DPA Maio 2026

2.1. Para os fins deste DPA, e de acordo com as definições do GDPR, a MyScript atua como Operador/Subcontratante e Você atua como Controlador/Responsável pelo Tratamento.

2.2. O Operador/Subcontratante:

• cumprirá todas as Leis de Proteção de Dados aplicáveis no Tratamento dos Dados Pessoais do Usuário, e
• não fará o Tratamento dos Dados Pessoais do Usuário, a não ser de acordo com as instruções documentadas por Você.

2.2. Pelo presente, Você instrui o Operador/Subcontratante a tratar dos Dados Pessoais do Usuário a fim de fornecer os Serviços.

O Operador/Subcontratante tomará medidas razoáveis para garantir a confiabilidade de qualquer funcionário, agente ou contratado do Operador/Subcontratante que possa ter acesso aos Dados Pessoais do Usuário, garantindo, em cada caso, que o acesso seja estritamente limitado aos indivíduos que precisam acessar os Dados Pessoais do Usuário relevantes para a prestação dos Serviços ou para desempenhar sua função dentro da organização do Operador/Subcontratante, e para cumprir as leis aplicáveis no contexto dos deveres desse indivíduo para com o Operador/Subcontratante, garantindo que todos esses indivíduos estejam sujeitos a compromissos de confidencialidade ou obrigações profissionais ou estatutárias de confidencialidade.

4.1. Responsabilidades de Segurança do Operador/Subcontratante

4.1.1. Levando em consideração o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do Tratamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas físicas, o Operador/Subcontratante, em relação aos Dados Pessoais do Usuário, implementará medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado a esse risco, incluindo, conforme apropriado, as medidas mencionadas no Artigo 32(1) do GDPR.

4.1.2. Ao avaliar o nível adequado de segurança, o Operador/Subcontratante levará em conta, em particular, os riscos apresentados pelo Tratamento, especialmente os decorrentes de uma Violação de Dados Pessoais.

4.1.3. As medidas de segurança do Operador/Subcontratante estão detalhadas no Anexo 2 deste DPA.

4.2. Suas Responsabilidades de Segurança

Você concorda que, sem prejuízo das obrigações do Operador/Subcontratante nos termos da Seção 4.1 (Medidas de Segurança) e da Seção 7 (Violação de Dados Pessoais):

4.2.1. Você é o único responsável pelo Seu uso do Serviço, incluindo (i) garantir que obteve todas as permissões necessárias de qualquer pessoa física cujos Dados Pessoais sejam tratados por meio do Serviço e (ii) manter todas as Suas credenciais de login e senhas em segurança e alterá-las regularmente.

4.2.2. O Operador/Subcontratante não tem obrigação de proteger os Dados Pessoais do Usuário que Você optar por armazenar ou transferir fora dos sistemas do Operador/Subcontratante (ou dos Encarregados/Subcontratantes Ulteriores).

4.2.3. Você é o único responsável por revisar as medidas de segurança e avaliar por si mesmo se o Serviço, as medidas de segurança, as informações adicionais de segurança e os compromissos do Operador/Subcontratante nos termos desta Seção 4 (Segurança de Dados) atenderão às Suas necessidades, inclusive no que diz respeito a quaisquer obrigações de segurança das leis de proteção de dados aplicáveis à Sua jurisdição.

5.1. O Operador/Subcontratante não transferirá os Dados Pessoais do Usuário a terceiros nem indicará (ou divulgará quaisquer Dados Pessoais do Usuário a) qualquer Encarregado/Subcontratante Ulterior, a menos que seja exigido ou autorizado por Você.

5.2. Pelo presente, Você autoriza os Encarregados/Subcontratantes Ulteriores listados no Anexo 1 deste DPA a receber e tratar os Dados Pessoais do Usuário conforme necessário para a prestação dos Serviços. O Operador/Subcontratante informará Você sobre qualquer alteração no Anexo 1 antes do Tratamento de quaisquer Dados Pessoais do Usuário por qualquer novo Encarregado/Subcontratante Ulterior e Você poderá deixar de utilizar os Serviços.

5.3. O Operador/Subcontratante será responsável pelos atos e omissões de seus Encarregados/Subcontratantes Ulteriores na mesma medida em que seria responsável se executasse diretamente os serviços de cada Encarregado/Subcontratante Ulterior nos termos deste DPA e da Notificação Legal e dos Termos de Uso.

6.1. Levando em consideração a natureza do Tratamento, o Operador/Subcontratante ajudará Você implementando medidas técnicas e organizacionais apropriadas, na medida do possível, para o cumprimento das Suas obrigações, conforme razoavelmente entendido pelo Operador/Subcontratante, de responder às solicitações para exercício dos direitos do Titular dos Dados nos termos das Leis de Proteção de Dados, a saber, direito de acesso, direito de retificação, restrição de Tratamento, apagamento, portabilidade de dados, objeção ao Tratamento ou o direito de não estar sujeito a decisões individuais automatizadas (doravante “Solicitação do Titular dos Dados”).

6.2. O Operador/Subcontratante:

• notificará Você prontamente caso receba uma solicitação de um Titular dos Dados nos termos de qualquer Lei de Proteção de Dados em relação aos Dados Pessoais do Usuário, e
• garantirá que ele não responda a essa solicitação, exceto de acordo com as Suas instruções documentadas ou conforme exigido pelas leis aplicáveis às quais o Operador/Subcontratante está sujeito, sendo que, nesse caso, o Operador/Subcontratante, na medida permitida pelas leis aplicáveis, informará Você sobre essa exigência legal antes de responder à solicitação.

6.3. Levando em consideração a natureza do Tratamento, o Operador/Subcontratante ajudará Você por meio de medidas técnicas e organizacionais apropriadas, na medida do possível, para o cumprimento da Sua obrigação de responder a uma Solicitação do Titular dos Dados nos termos das Leis Europeias de Proteção de Dados. Além disso, na medida em que Você, no uso do Serviço, não tenha a capacidade de tratar uma Solicitação do Titular dos Dados, o Operador/Subcontratante deverá, mediante Sua solicitação por escrito, fornecer cooperação e assistência razoáveis para facilitar Sua resposta a tal Solicitação do Titular dos Dados, na medida em que seja legalmente permitido fazê-lo e que a resposta seja exigida pelas Leis Europeias de Proteção de Dados. Na medida do permitido por lei, Você será responsável por quaisquer custos decorrentes da prestação de tal assistência pelo Operador/Subcontratante.

7.1. O Operador/Subcontratante notificará Você e a Autoridade Supervisora Competente, sem demora indevida, ao tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Usuário, fornecendo a Você informações suficientes para permitir que Você cumpra quaisquer obrigações de relatar ou informar os Titulares dos Dados sobre a Violação de Dados Pessoais nos termos das Leis de Proteção de Dados.

7.2. O Operador/Subcontratante cooperará com Você e tomará medidas comerciais razoáveis conforme orientado por Você para auxiliar na investigação, mitigação e remediação de cada Violação de Dados Pessoais.

7.3. Notificação(ões) de qualquer Violação de Dados Pessoais será(ão) entregue(s) a Você por comunicação direta. Você é o único responsável por garantir que quaisquer informações de contato, incluindo endereço de e-mail para notificações, fornecidas ao Operador/Subcontratante estejam atualizadas e válidas.

7.4. O Operador/Subcontratante não avaliará o conteúdo dos Dados Pessoais do Usuário para identificar informações sujeitas a quaisquer requisitos legais específicos. Você é o único responsável por cumprir as leis de notificação de incidentes aplicáveis e por cumprir quaisquer obrigações de notificação a terceiros relacionadas a qualquer Violação de Dados Pessoais.

7.5. A notificação ou resposta do Operador/Subcontratante a uma Violação de Dados Pessoais nos termos desta Seção 7.1 (Violação de Dados Pessoais) não será interpretada como reconhecimento de qualquer falha ou responsabilidade por parte do Operador/Subcontratante com relação à Violação de Dados Pessoais.

O Operador/Subcontratante fornecerá a Você assistência razoável com quaisquer avaliações de impacto à proteção de dados e consultas prévias com autoridades supervisoras ou outras autoridades competentes de privacidade de dados, que Você considere razoavelmente necessárias nos termos dos artigos 35 ou 36 do GDPR ou disposições equivalentes de qualquer outra Lei de Proteção de Dados, em cada caso exclusivamente em relação ao Tratamento de Dados Pessoais do Usuário pelo Operador/Subcontratante e levando em consideração a natureza do Tratamento e as informações disponíveis ao Operador/Subcontratante.

9.1. Mediante Sua solicitação expressa ou após a exclusão da Sua conta por Você, o Operador/Subcontratante excluirá os Dados Pessoais do Usuário que tenham sido Tratados ou que estejam sendo Tratados pelo Operador/Subcontratante. A exclusão é definitiva e o Operador/Subcontratante não manterá nenhuma cópia de tais Dados Pessoais do Usuário.

9.2. Após a cessação dos Serviços, o Operador/Subcontratante prontamente, e em qualquer caso no prazo de 12 meses a partir da data de cessação de quaisquer Serviços que envolvam o Tratamento de Dados Pessoais do Usuário, excluirá e providenciará a exclusão de todas as cópias (se houver) desses Dados Pessoais do Usuário que tenham sido transferidos ao Operador/Subcontratante (ou a quaisquer Encarregados/Subcontratantes Ulteriores) durante a prestação do Serviço.

10.1. O Operador/Subcontratante realizará auditorias regularmente e garantirá que todos os Encarregados/Subcontratantes Ulteriores façam o mesmo, a fim de assegurar a conformidade com este DPA e suas obrigações nos termos das Leis de Proteção de Dados aplicáveis.

10.2. Sujeito a esta Seção 10, o Operador/Subcontratante disponibilizará a Você, mediante solicitação e desde que um acordo de confidencialidade adequado esteja em vigor, todas as informações necessárias para demonstrar a conformidade com este DPA, em relação ao Tratamento dos Dados Pessoais do Usuário pelo Operador/Subcontratante e/ou Encarregados/Subcontratantes Ulteriores.

10.3. Você pode solicitar a realização de qualquer auditoria, incluindo inspeções, que tenha o direito de solicitar ou determinar em Seu próprio nome e em nome de Seus controladores quando estiver atuando como Operador/Subcontratante, nos termos da Lei de Proteção de Dados aplicável, instruindo o Operador/Subcontratante a realizar a auditoria descrita na Seção 10.1.

10.4. Caso Você deseje alterar esta instrução relativa à auditoria, Você tem o direito de solicitar tal alteração enviando uma notificação por escrito ao Operador/Subcontratante para legal@myscript.com. Se o Operador/Subcontratante recusar seguir qualquer solicitação e/ou instrução Sua relativa a auditorias, incluindo inspeções, Você terá o direito de rescindir os Serviços imediatamente.

11.1. O Operador/Subcontratante não poderá transferir, nem autorizar a transferência, de Dados Pessoais do Usuário para países fora da UE e/ou do EEE sem o Seu consentimento prévio por escrito. Se os Dados Pessoais tratados sob este DPA forem transferidos de um país dentro do Espaço Econômico Europeu para um país fora do Espaço Econômico Europeu, as Partes deverão garantir que os Dados Pessoais do Usuário sejam adequadamente protegidos. Para isso, as Partes deverão, salvo acordo em contrário, basear-se em decisões de adequação da UE para países fora da UE e/ou em cláusulas contratuais padrão aprovadas pela UE para a transferência de Dados Pessoais.

11.2. Uma lista dos Encarregados/Subcontratantes Ulteriores que recebem Dados Pessoais do Usuário, bem como os países em que estão localizados, é fornecida no Anexo 1 deste DPA. Para os fins da Seção 11.1 acima, Você consente com a transferência de Dados Pessoais do Usuário para os Encarregados/Subcontratantes Ulteriores listados no Anexo 1.

12.1. Duração

Este DPA entra em vigor após a Sua aceitação da Notificação Legal e dos Termos de Uso e permanecerá em vigor enquanto o Operador/Subcontratante fornecer os Serviços a Você.

12.2. Avisos

Todas as notificações e comunicações feitas nos termos deste DPA devem ser por escrito e enviadas por e-mail para o endereço utilizado para criar uma conta MyScript, no caso de a MyScript entrar em contato com Você, e devem ser enviadas para legal@myscript.com caso Você deseje notificar a MyScript.

12.3. Lei e jurisdição

Este DPA é regido pelas leis da França, excluindo suas regras de conflito de leis. Qualquer disputa decorrente de ou relacionada a este DPA, que as Partes não consigam resolver de forma amigável, será submetida à jurisdição exclusiva dos tribunais ou autoridades francesas competentes.

12.4. Separabilidade

Caso qualquer disposição deste DPA seja inválida ou inexequível, o restante deste DPA permanecerá válido e em vigor. A disposição inválida ou inexequível será (i) alterada conforme necessário para garantir sua validade e aplicabilidade, preservando as intenções das Partes o mais próximo possível ou, se isso não for possível, (ii) interpretada como se a parte inválida ou inexequível nunca tivesse sido incluída.

12.5. Autoridade Supervisora Competente

A Autoridade Supervisora Competente a ser contatada em caso de reclamação, queixa ou solicitação é a Commission Nationale des Informations et des Libertés (CNIL) e pode ser contatada por meio desta página (em francês).

13.1. Anexo 1 – Lista de Encarregados/Subcontratantes Ulteriores

Recursos de nuvem dos apps MyScript

Encarregado/Subcontratante Ulterior: AWS, provedor de infraestrutura em nuvem sediado na União Europeia.

Encarregado/Subcontratante Ulterior: Freshdesk (Freshworks), responsável por receber e gerenciar solicitações de suporte que podem incluir a transferência de arquivos (Conteúdo), sediado na União Europeia.

Encarregado/Subcontratante Ulterior: Brevo, provedor de serviços de e-mail sediado na União Europeia.

Reconhecimento do MyScript Cloud por meio do portal do desenvolvedor

Encarregado/Subcontratante Ulterior: AWS, provedor de infraestrutura em nuvem sediado em Oregon, EUA (SCC em vigor).

Encarregado/Subcontratante Ulterior: Brevo, provedor de serviços de e-mail sediado na União Europeia.

13.2. Anexo 2 – Medidas de Segurança

O Operador/Subcontratante implementará e manterá as seguintes medidas de segurança técnica e organizacional ao Tratar dos Dados Pessoais do Usuário em Seu nome:

Controles de Acesso Físico

O Operador/Subcontratante tomará medidas razoáveis para impedir o acesso físico, como edifícios seguros e salas de servidores seguras, para impedir que pessoas não autorizadas obtenham acesso aos Dados Pessoais do Usuário, ou garantir que os Encarregados/Subcontratantes Ulteriores que operam data centers em seu nome estejam cumprindo esses controles.

Controles de Acesso ao Sistema

O Operador/Subcontratante tomará medidas razoáveis para evitar que os Dados Pessoais do Usuário sejam utilizados sem autorização. Esses controles variarão de acordo com a natureza do Tratamento realizado e podem incluir, entre outros, autenticação por meio de senhas, combinada com autenticação multifator quando aplicável, processos documentados de autorização, firewalls, processos documentados de gerenciamento de mudanças e/ou registro de acesso em vários níveis e atualizações automáticas de segurança.

Controles de Acesso a Dados

O Operador/Subcontratante tomará medidas razoáveis para garantir que os Dados Pessoais do Usuário sejam acessíveis e gerenciáveis apenas por funcionários devidamente autorizados, que o acesso direto à consulta ao banco de dados seja restrito e que os direitos de acesso ao aplicativo sejam estabelecidos e aplicados para garantir que as pessoas autorizadas a usar um sistema de tratamento de dados tenham acesso apenas aos Dados Pessoais do Usuário para os quais tenham privilégio de acesso, e que os Dados Pessoais do Usuário não possam ser lidos, copiados, modificados ou removidos sem autorização durante o Tratamento.

Controles de Transmissão

O Operador/Subcontratante tomará medidas razoáveis para garantir que seja possível verificar e estabelecer para quais entidades a transferência de Dados Pessoais do Usuário por meio de meios de transmissão de dados está prevista, de modo que os Dados Pessoais do Usuário não possam ser lidos, copiados, modificados ou removidos sem autorização durante a transmissão ou transporte eletrônico. Essas medidas incluem o uso de conexões seguras de servidor certificadas e a limitação do compartilhamento de recursos entre origens em todas as APIs.

Controles de Entrada

O Operador/Subcontratante tomará medidas razoáveis para possibilitar a verificação e o estabelecimento de se metadados foram inseridos, modificados ou removidos em sistemas de tratamento de dados. O Operador/Subcontratante utilizará as melhores práticas do setor, incluindo protocolos criptográficos para autenticação e registros seguros de auditoria.

Backup de Dados

Os backups dos bancos de dados no Serviço são realizados regularmente, são protegidos e criptografados em repouso para garantir que os Dados Pessoais do Usuário sejam protegidos contra destruição acidental ou perda. Snapshots são realizados a cada 12 horas (AWS). O backup criptografado é realizado a cada três dias em nossos servidores.

13.3. Anexo 3 – Descrição das Atividades de Tratamento

Nome: MyScript SAS

Endereço: 3 rue de la Rainière, 44339 Nantes Cedex 3, França

Nome, cargo e dados de contato da pessoa de contato: Emilie Fowell, DPO, legal@myscript.com

Atividades relevantes para os dados transferidos: Execução dos Serviços

Função (Controlador/Responsável pelo Tratamento, Operador/Subcontratante): Operador/Subcontratante

13.3.1. Recursos de nuvem dos apps MyScript

a. Categorias de Titulares dos Dados cujos dados pessoais são transferidos

Você poderá enviar Dados Pessoais do Usuário aos Serviços, cuja extensão é determinada e controlada exclusivamente por Você.

b. Categorias de dados pessoais transferidos

Dados Pessoais do Usuário não estruturados contidos no conteúdo do MyScript Notes ou MyScript Math enviados por Você ao Operador/Subcontratante por meio do Serviço para compartilhamento com a MyScript ou para armazenamento por meio dos recursos de nuvem dos apps MyScript.

c. Categorias especiais de dados

A MyScript não coleta nenhuma categoria especial de dados (como origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, filiação sindical, dados genéticos ou biométricos, saúde e vida sexual). No entanto, o conteúdo dos Dados Pessoais do Usuário não estruturados, conforme descrito acima, é desconhecido pela MyScript.

d. Frequência da transferência

Os Dados Pessoais do Usuário não estruturados são transferidos para o(s) nosso(s) Encarregado(s)/Subcontratante(s) Ulterior(es) listado(s) no Anexo 1 e de forma contínua, dependendo da frequência do Seu uso do Serviço.

e. Natureza do Tratamento

A natureza do Tratamento é o desempenho dos Serviços.

f. Finalidade(s) da transferência de dados e do Tratamento posterior

A MyScript fará o Tratamento dos Dados Pessoais do Usuário conforme necessário para executar os Serviços solicitados por Você.

g. O período durante o qual os dados pessoais serão retidos ou, se isso não for possível, os critérios usados para determinar esse período

Os Dados Pessoais do Usuário não estruturados são transferidos para os servidores do Operador/Subcontratante enquanto Você decidir armazenar ou compartilhar Dados Pessoais do Usuário por meio dos recursos de nuvem dos apps MyScript. Se Você excluir Sua conta MyScript, todos os Dados Pessoais do Usuário serão automaticamente excluídos de todos os pontos de armazenamento.

h. Para transferências para (Sub-)operadores, especifique também o objeto, a natureza e a duração do Tratamento

O Encarregado/Subcontratante Ulterior tratará os Dados Pessoais do Usuário conforme necessário para a prestação dos Serviços. O Encarregado/Subcontratante Ulterior tratará os Dados Pessoais do Usuário enquanto Você tiver uma conta MyScript, salvo acordo em contrário por escrito ou se Você tiver solicitado a exclusão antecipada dos Dados Pessoais do Usuário. As identidades dos Encarregados/Subcontratantes Ulteriores utilizados para a prestação dos Serviços e seus países de localização estão listadas no Anexo 1 deste DPA.

13.3.2. Reconhecimento do MyScript Cloud por meio do portal do desenvolvedor

a. Categorias de Titulares dos Dados cujos dados pessoais são transferidos

Você poderá enviar Dados Pessoais do Usuário aos Serviços, cuja extensão é determinada e controlada exclusivamente por Você.

b. Categorias de dados pessoais transferidos

• Dados Pessoais do Usuário não estruturados contidos em documentos enviados por Você ao Operador/Subcontratante pelo Serviço para transformação de notas escritas à mão em texto digitado.
• Endereço IP do Usuário Final.

c. Categorias especiais de dados

A MyScript não coleta nenhuma categoria especial de dados (como origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, filiação sindical, dados genéticos ou biométricos, saúde e vida sexual). No entanto, o conteúdo dos Dados Pessoais do Usuário não estruturados, conforme descrito acima, é desconhecido pela MyScript.

d. Frequência da transferência (por exemplo, se os dados são transferidos de forma única ou contínua)

Todas as categorias de dados listadas acima são transferidas para o(s) nosso(s) Encarregado(s)/Subcontratante(s) Ulterior(es) listado(s) no Anexo 1 e de forma contínua, dependendo do uso do Serviço.

e. Natureza do Tratamento

A natureza do Tratamento é o desempenho dos Serviços.

f. Finalidade(s) da transferência de dados e do Tratamento posterior

A MyScript fará o Tratamento dos Dados Pessoais conforme necessário para executar os Serviços.

g. O período durante o qual os dados pessoais serão retidos ou, se isso não for possível, os critérios usados para determinar esse período

Os Dados Pessoais do Usuário não estruturados são transferidos para os servidores do Operador/Subcontratante pelo tempo necessário para que o Tratamento ocorra, sendo então devolvidos ao Usuário Final e não sendo armazenados pelo Operador/Subcontratante. Endereços IP são mantidos em registros de log por 12 meses. Os Dados Pessoais do Usuário não estruturados não são armazenados pelo Operador/Subcontratante, a menos que solicitado de forma específica e expressa por Você por escrito.

h. Para transferências para (Sub-)operadores, especifique também o objeto, a natureza e a duração do Tratamento

O Encarregado/Subcontratante Ulterior tratará os Dados Pessoais do Usuário conforme necessário para a prestação dos Serviços. O Encarregado/Subcontratante Ulterior tratará os Dados Pessoais enquanto Você utilizar os Serviços, salvo acordo em contrário por escrito. As identidades dos Encarregados/Subcontratantes Ulteriores utilizados para a prestação dos Serviços e seus países de localização estão listadas no Anexo 1 deste DPA.