Transferências de dados do Mailchimp e da Europa

Se você for um usuário localizado no Espaço Econômico Europeu (EEE), no Reino Unido ou na Suíça (a que nos referiremos coletivamente como "Europa" para esta seção de perguntas frequentes), ou se usar nossa plataforma para processar dados sobre seus contatos na Europa, nosso Adendo de Processamento de Dados (DPA) foi elaborado para permitir que você transfira dados pessoais europeus para o Mailchimp nos Estados Unidos e para permitir que o Mailchimp processe legalmente esses dados em seu nome.

Agora que fazemos parte da Intuit, também estamos atualizando nossa Declaração de Privacidade Global, Termos de Uso Padrão, Termos adicionais e Adendo de Processamento de Dados a partir de 10 de janeiro de 2022.

O DPA está incorporado diretamente em nossos Termos de Uso Padrão e não exige uma assinatura. Ao utilizar o Mailchimp ou cadastrar-se para criar uma conta, você concorda com esses termos. De acordo com os Termos de uso padrão e do Adendo de Processamento de Dados, todos os usuários se comprometem a fazer uso em conformidade com todas as leis aplicáveis.

Conformidade de exportação de dados da Europa do Mailchimp

O Mailchimp tem sua conformidade com as diretrizes do Privacy Shield entre Estados Unidos e a União Europeia e entre a Suíça e os Estados Unidos (EU-US e Swiss-US Privacy Shield) certificada desde 2016.

Em 16 de julho de 2020, o Supremo Tribunal de Justiça da União Europeia (CJEU), invalidou o Privacy Shield UE-EUA. Além disso, em 8 de setembro de 2020, o órgão responsável pela proteção de dados da Suíça, em uma declaração de posicionamento, anunciou que não considera mais o Privacy Shield Suíça-EUA adequado para fins de transferência de dados pessoais da Suíça para os Estados Unidos.

No entanto, o Mailchimp continuará a proteger os dados europeus em conformidade com os Princípios do Privacy Shield com os quais ele teve sua conformidade certificada. Consulte a Declaração de Privacidade Global para obter mais detalhes.

Além disso, o Mailchimp compromete-se contratualmente a transferir e processar todos os dados europeus de seus usuários em conformidade com as Cláusulas Contratuais Padrão (as "SCCs"), que continuam a dar aos nossos usuários a capacidade de transferir legalmente dados sujeitos à lei de proteção de dados europeus (incluindo o RGPD) fora da Europa para o Mailchimp nos Estados Unidos. As SCCs se aplicam automaticamente de acordo com o Adendo de Processamento de Dados do Mailchimp.

Recentemente atualizamos nosso Adendo de Processamento de Dados para garantir que ele incorpore as novas SCCs adotadas pela Comissão Europeia em 4 de junho de 2021. As novas SCCs serão aplicadas automaticamente a todos os usuários que começaram a usar nosso serviço a partir de 27 de setembro de 2021 e para todos os outros usuários em 27 de dezembro de 2022. Isso é consistente com a Decisão de Implementação da Comissão Europeia em 4 de junho de 2021, que acompanhou as novas SCCs.

Mais informações sobre transferências de dados

Sabemos que alguns de nossos usuários podem ter dúvidas sobre a conformidade com a transferência de dados, incluindo o impacto da decisão do CJEU de 2020 sobre transferências de dados e a adoção das novas SCCs pela Comissão Europeia em 4 de junho de 2021. Nesta seção, apresentaremos algumas perguntas e respostas comuns.

O que o TJUE decidiu sobre transferências de dados da UE?

Em 16 de julho de 2020, o TJUE invalidou as diretrizes da estrutura do Privacy Shield entre a União Europeia e os Estados Unidos (EU-US Privacy Shield), antes considerado um viabilizador para que as empresas pudessem transferir dados legalmente da Europa para os EUA. Ao mesmo tempo, o TJUE confirmou que as Cláusulas Contratuais Padrão (SCCs) continuam a fornecer um mecanismo válido para as empresas transferirem dados pessoais para fora da Europa.

No entanto, o TJUE observou que, além de aderir às SCCs, o exportador e o importador de dados podem precisar concordar com medidas complementares para garantir um nível adequado de proteção para os dados transferidos. Após a decisão do TJUE, o Conselho Europeu de Proteção de Dados publicou suas Recomendações sobre medidas suplementares, que visam a auxiliar controladores e processadores atuando como exportadores de dados com seus deveres. Isso inclui identificar e implementar medidas suplementares apropriadas onde forem necessárias e garantir um nível essencialmente equivalente de proteção aos dados que transferem para fora da Europa.

Como a decisão do CJEU afeta o meu uso do Mailchimp?

Nossos usuários podem continuar a transferir dados europeus para o Mailchimp nos Estados Unidos. Sabíamos que a decisão do CJEU era uma possibilidade, então há muito tempo fornecemos aos nossos usuários duas camadas de proteção para transferências de dados da Europa para os EUA em nosso Adendo de Processamento de Dados: conformidade com as diretrizes do Privacy Shield UE-EUA e as SCCs.

Embora a decisão do CJEU invalidasse as diretrizes do Privacy Shield UE-EUA, ela não invalidou as SCCs, que continuam sendo um mecanismo válido de exportação de dados. Nossos acordos são estruturados de forma que as SCCs entrem em vigor automaticamente, portanto, nossos usuários foram protegidos pelas SCCs imediatamente após a decisão. Além disso, também continuaremos a honrar nosso compromisso com a proteção dos dados europeus em conformidade com os princípios do Privacy Shield.

O Mailchimp transfere dados para fora da Europa? Em caso afirmativo, para quais países?

Sim. O Mailchimp está sediado nos Estados Unidos e nossos servidores também estão localizados nesse país. Isso significa que os dados que processamos podem ser transferidos, armazenados ou processados nos Estados Unidos. Além disso, utilizamos integrações com fornecedores terceirizados que processam dados pessoais em nosso nome para fornecer serviços ao Mailchimp e seus servidores podem estar localizados fora da Europa.

Você pode visualizar a lista completa dos subprocessadores que usamos para processar os dados de nossos membros, juntamente com detalhes de sua localização. Tomamos medidas para garantir que nossos fornecedores ofereçam salvaguardas adequadas para proteger os dados pessoais que eles processam em nosso nome e os obrigamos, contratualmente, a processar esses dados em conformidade com as leis de proteção de dados aplicáveis.

Que medidas o Mailchimp implementou para proteger os dados de clientes europeus processados fora da Europa?

O Mailchimp implementou várias medidas para garantir que os dados europeus permaneçam protegidos quando forem transferidos para fora da Europa.

Compromissos contratuais
Além de incorporar as SCCs, nosso Adendo de Processamento de Dados também especifica nossos compromissos com a segurança, confidencialidade do processamento, limitações nas transferências internacionais de dados pessoais, cooperação com os direitos dos titulares dos dados, aviso de incidentes de segurança e muito mais.

É importante ressaltar que o Mailchimp não vende, aluga nem negocia dados de usuários.

Medidas de segurança
O Mailchimp trata a privacidade e a segurança dos dados dos nossos usuários com importância primordial. Nosso programa de segurança e privacidade está descrito em detalhes em nossa página de segurança.

Aqui está um resumo de algumas das medidas técnicas e organizacionais importantes e específicas que implementamos, e que continuaremos a implementar, para proteção contra o acesso não autorizado aos dados do usuário:

(1) Criptografia
Na medida do possível, o Mailchimp implementa tecnologias de criptografia em sua infraestrutura para ajudar a proteger os dados do usuário contra acesso não autorizado quando processados internamente pelo Mailchimp. Por exemplo, todas as páginas de produção do Mailchimp usam Segurança de Camada de Transporte (TLS), um protocolo de criptografia seguro, e a rede sem fio interna do Mailchimp usa criptografia WPA2 de 128 bits. Além disso, o e-mail do Mailchimp (256 bits), todas as conexões VPN (256 bits) e o aplicativo de bate-papo interno (256 bits) também são criptografados. As páginas de login usam TLS e têm proteção contra ataque de força bruta. Isso também se aplica a aplicativos móveis e à API do Mailchimp.

(2) Controles de acesso
O Mailchimp restringe o acesso de terceiros às suas ferramentas e infraestrutura internas. Nossa equipe jurídica avalia todas as solicitações de acesso e garante que sejam apropriadas para o trabalho a ser executado, e que o terceiro siga todas as disposições de segurança e privacidade descritas em seu contrato. Depois de aprovado, o Mailchimp só concede o acesso a partes claramente definidas do sistema por meio de contas controladas.

O Mailchimp continua comprometido em manter os mais altos níveis de privacidade e segurança para nossos usuários. Se você tiver dúvidas sobre nosso programa de segurança e privacidade, envie suas perguntas aqui.

Acordos com fornecedores
Tomamos todas as medidas necessárias para garantir que nossos acordos com fornecedores internacionais terceirizados (incluindo subprocessadores) estabeleçam os compromissos apropriados desses terceiros com relação à transferência e ao processamento de dados europeus para fora da Europa, e que nos permitam implementar um mecanismo de transferência de dados apropriado e legal (como as Cláusulas Contratuais Padrão) e proteções adicionais, conforme necessário. Estão disponíveis detalhes atualizados dos subprocessadores que usamos para processar os dados dos nossos membros.

Privacy Shield (Escudo de Proteção da Privacidade)
Não usamos mais o Privacy Shield como mecanismo para transferências de dados, já que o Privacy Shield UE-EUA e o Privacy Shield Suíça-USA não são mais válidos de acordo com a recente decisão do TJUE em Schrems II. No entanto, na medida em que o Mailchimp tem compromissos contínuos estabelecidos com a nossa Certificação de Privacy Shield existente, continuaremos a honrá-los, inclusive garantindo o direito de ação direta de reparação contra o Mailchimp fornecido aos indivíduos e também o direito de reivindicar uma arbitragem vinculativa.

Como o Mailchimp responde às solicitações de informação?

Consideramos cuidadosamente todas as solicitações de informação e, conforme nossa política, não fornecemos a terceiros informações de uma conta que não pertença a eles, a menos que sejamos legalmente obrigados a fazê-lo. Isso significa que só nos sujeitaremos em caso de ordem judicial válida, intimação, mandado de busca ou outro processo legal adequado que busque informações e registros de uma conta do Mailchimp. O Mailchimp segue certas diretrizes ao responder a solicitações de informação, sejam de uma entidade governamental ou não governamental:

• Nós nos esforçamos para manter a privacidade e a confidencialidade do usuário.
• Quando possível, pedimos ao solicitante que busque as informações diretamente dos titulares das contas relevantes, em vez de por meio do Mailchimp.
• Pedimos ao solicitante que nos forneça o máximo de informações possível para que possamos identificar adequadamente a conta de usuário correta. Nós não responderemos a uma solicitação sem antes demandar informações adequadas e específicas, como endereço de e-mail, cabeçalhos de e-mail, domínio de internet, nome de usuário, endereço IP ou outras informações semelhantes, que nos permitam identificar e localizar a conta correta.
• Na ausência de uma exceção regulamentar de acordo com as leis dos EUA, só respondemos a solicitações que tenham sido feitas por meio de um processo legal válido nos EUA. Isso significa que processos legais (como intimações, pedidos de divulgação, mandados de busca ou ordens judiciais) devem ser devidamente acatados por um tribunal dos EUA de jurisdição competente e emitidos de acordo com as normas processuais federais e/ou estaduais aplicáveis antes que o Mailchimp responda.
• O Mailchimp não aceita solicitações diretamente de entidades governamentais fora dos EUA. Respondemos apenas a solicitações de governos estrangeiros feitas por meio de um Tratado de Assistência Jurídica Mútua ou outro meio diplomático ou legal disponível que possibilite a obtenção de informações do Mailchimp.

De acordo com nosso Adendo de Processamento de Dados, o Mailchimp se compromete a fornecer aos usuários europeus um aviso prévio por escrito sobre quaisquer solicitações compulsórias para acessar seus dados, a menos que sejamos impossibilitados por lei.

O Mailchimp publica relatórios de transparência sobre solicitações de informação?

Para demonstrar nosso compromisso com a privacidade e nossos esforços para sermos tão transparentes quanto possível, agora o Mailchimp publica relatórios anuais de transparência para documentar a quantidade e o tipo de solicitações legais que recebemos. Embora haja restrições sobre o nível de detalhes que podemos fornecer, tentaremos ao máximo ser tão transparentes legalmente quanto possível em todos esses relatórios.

O Mailchimp recebe solicitações de informação do governo dos EUA?

O ponto central da recente decisão do TJUE e uma das principais razões pelas quais o Privacy Shield foi invalidado foi a preocupação expressa sobre os programas nacionais de inteligência e vigilância dos EUA contida na Seção 702, também chamada de Emendas da Lei FISA, e de acordo com a Ordem Executiva 12333. De maneira geral, o Mailchimp não fornece voluntariamente às agências ou autoridades governamentais (incluindo autoridades policiais) informações sobre as contas do Mailchimp ou acesso a elas.

No entanto, como uma plataforma de marketing por e-mail B2B e, portanto, um "serviço de comunicação eletrônica", o Mailchimp é, como quase todos os provedores de serviços de nuvem dos EUA, o tipo de entidade para a qual o governo dos EUA está tecnicamente autorizado a emitir diretivas FISA conforme a Seção 702 ou realizar coleta de inteligência nos termos da OE 12333. Isso significa que o Mailchimp pode ser tecnicamente atendido com esses tipos de solicitações de informações compulsórias.

Nossos relatórios de transparência anuais documentam o número limitado e os tipos específicos de solicitações legais que o Mailchimp recebeu. Além disso, como descrito acima, também temos políticas e processos rigorosos em vigor para responder a solicitações de informação em cumprimento da lei.

Posso executar as Cláusulas Contratuais Padrão da UE com o Mailchimp?

As Cláusulas Contratuais Padrão ("SCCs") da UE são incorporadas diretamente ao nosso Adendo de Processamento de Dados (DPA), que automaticamente faz parte de nossos Termos de Uso Padrão (nosso contrato com você) e se aplica aos dados de clientes protegidos pelas leis europeias de proteção de dados (incluindo o RGPD).