Mapeamento do adendo sobre tratamento de dados do Google Cloud: leis estaduais de privacidade dos EUA

Minimização e limitação de finalidades

A coleta e o uso de informações pessoais de um consumidor por uma empresa devem ser limitados ao que for razoavelmente necessário para atingir os objetivos para os quais as informações pessoais foram coletadas ou processadas.

Os clientes decidem quais informações colocar nos serviços e quais serviços usar, como usá-los e para qual finalidade. O Google se compromete a acessar ou usar os dados do cliente apenas para fornecer, proteger e monitorar os serviços de acordo com os termos do contrato. 

Estados aplicáveis: CA, CO, CT, DE, FL, IN, MT, OR, TN, TX, VA

Referência ao CDPA: Seção 5.2 (Compliance com as instruções do Cliente) e Seção 7.1.2 (Acesso e compliance) dos Termos Gerais do CDPA.

Segurança dos dados

As empresas precisam estabelecer, implementar e manter práticas de segurança de dados administrativas, técnicas e físicas razoáveis para proteger a confidencialidade, a integridade e a acessibilidade dos dados pessoais.

Além das Medidas de Segurança descritas no Apêndice 2 do CDPA, o Google oferece uma funcionalidade que permite aos clientes implementar proteções adicionais para proteger informações pessoais, o que pode exigir a configuração adequada de recursos na nuvem sob o gerenciamento do cliente.

O Google gerencia a segurança da infraestrutura (ou seja, o hardware, o software, a rede e as instalações que dão suporte aos serviços). O Google reconhece que as instituições precisam revisar os controles internos como parte da avaliação de risco. Para ajudar, o Google passa por várias auditorias independentes de terceiros pelo menos uma vez ao ano para fornecer uma verificação independente de nossas operações e controles internos. O Google se compromete a obedecer os seguintes padrões internacionais durante a vigência do nosso contrato com você:

• ISO/IEC 27001:2013 (Sistemas de gerenciamento de segurança da informação)
• SOC 2
• SOC 3

O Google também fornece informações detalhadas aos clientes sobre nossas práticas de segurança em:

• Página de segurança de infraestrutura
• Artigo sobre segurança
• Whitepaper sobre segurança nativa da nuvem
• Página de visão geral do projeto de segurança de infraestrutura
• Página de recursos de segurança
• Página de recursos de compliance do Cloud

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência ao CDPA: Seção 7.1 (Medidas, Controles e Assistência de Segurança do Google), Seção 7.3 (Responsabilidades e Avaliação de Segurança do Cliente), Seção 7.4 (Certificações de conformidade e relatórios SOC) dos Termos Gerais e Apêndice 2 (Medidas de segurança) do CDPA.

Discriminação por exercício de direitos

As empresas não podem discriminar os consumidores que exercem seus direitos.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência do CDPA: N/A

Processamento discriminatório

Uma empresa não pode processar dados pessoais em violação às leis estaduais e federais que proíbem a discriminação ilegal contra consumidores.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CO, CT, DE, FL, IA, IN, MT, TN, TX, VA

Referência do CDPA: N/A 

Requisitos de consentimento / desistência de dados sensíveis

Uma empresa não pode processar dados sensíveis de um consumidor sem o consentimento dele ou, no caso de uma criança conhecida, de acordo com a COPPA.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência do CDPA: N/A 

Outras obrigações de consentimento

Uma empresa não pode usar dados coletados por um dispositivo (por exemplo, reconhecimento facial ou de voz) para fins de vigilância sem consentimento.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: FL

Referência do CDPA: N/A 

Menores de idade: consentimento para vendas / compartilhamento / publicidade direcionada

Uma empresa não pode processar os dados pessoais de um menor para publicidade segmentada ou venda sem consentimento.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CA, CT, MT, OR

Referência do CDPA: N/A 

Aviso na coleta

Uma empresa precisa informar os consumidores no momento ou antes da coleta de informações pessoais.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CA

Referência do CDPA: N/A 

Aviso de privacidade

As empresas precisam fornecer aos consumidores um aviso de privacidade que explique como os dados pessoais serão processados e quais são os direitos do consumidor.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência do CDPA: N/A

Outras obrigações de transparência

As divulgações aos consumidores precisam ser acessíveis e compreensíveis.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CA, CO, FL

Referência do CDPA: N/A

Divulgação de vendas e publicidade direcionada

Uma empresa precisa divulgar as vendas de informações pessoais ou publicidade direcionada e oferecer a opção de recusa.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência do CDPA: N/A

Processamento de dados desidentificados e pseudonimizados

Uma empresa que usa dados anonimizados precisa tomar medidas razoáveis para garantir que esses dados não possam ser associados a um consumidor e exigir que os destinatários desses dados anonimizados cumpram essa obrigação.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais. O Google se compromete a acessar ou usar os dados do cliente apenas para fornecer, proteger e monitorar os serviços de acordo com os termos do contrato.

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência ao CDPA: seção 5.2 (Compliance com as instruções do cliente) dos Termos Gerais do CDPA.

8.1 Avaliações de Proteção de Dados.

Uma empresa precisa realizar uma avaliação de proteção de dados para determinadas atividades de processamento.

O Google se compromete a oferecer cooperação e assistência razoáveis aos clientes na realização das avaliações de impacto da proteção de dados. Para o Google Cloud Platform ou os serviços do Google Workspace, consulte a página de recursos de DPIA do Google para saber o que é uma DPIA e se você precisa de uma para usar esses serviços.

Estados aplicáveis: CO, CT, DE, FL, IN, MT, OR, TN, TX, UT, VA

Referência ao CDPA: seção 8 (Avaliações de impacto e consultas) dos Termos Gerais do CDPA.

Restrição à revenda de informações pessoais

Um terceiro não pode vender informações pessoais que foram vendidas a ele por uma empresa.

O Google não vende os dados do cliente. O Google só acessa ou usa os dados do cliente para fornecer, proteger e monitorar os serviços de acordo com os termos do contrato.

Estados aplicáveis: CA

Referência ao CDPA: seção 5.2 (Compliance com as instruções do cliente) dos Termos Gerais do CDPA.

Requisitos de treinamento e manutenção de registros

As empresas precisam treinar funcionários para lidar com as consultas dos consumidores e manter registros de solicitações e respostas dos consumidores por 24 meses.

Essa é uma responsabilidade do cliente com base nas próprias operações comerciais.

Estados aplicáveis: CA

Referência ao CDPA: seção 12.2 (Registros de processamento do Google) dos Termos Gerais do CDPA.

Requisitos contratuais para todas as vendas, compartilhamentos ou divulgações de informações pessoais a prestadores de serviços ou contratados

Uma empresa que vende informações pessoais de um consumidor precisa celebrar um contrato com o terceiro que atenda a determinados requisitos.

O Google não compra nem vende dados pessoais de clientes para terceiros. O Google exige que nossos subcontratados atendam aos mesmos padrões elevados. Especificamente, o Google exige que nossos subcontratados cumpram o nosso contrato feito com você e que acessem e usem seus dados apenas na medida necessária para cumprir as obrigações subcontratadas. O Google continua sendo responsável por quaisquer obrigações subcontratadas.

Estados aplicáveis: CA

Referência do CDPA: seção 11.3 (Requisitos para o envolvimento de Subprocessadores) dos Termos Gerais do CDPA.

Status do controlador / processador

A determinação de que uma parte é um controlador ou um operador em relação ao processamento específico de dados pessoais é baseada em fatos e depende do contexto em que os dados pessoais serão processados.

Para fins do Google Cloud, o Google atua como um processador dos dados pessoais do cliente. O Cliente é um controlador ou processador, conforme o caso.

Estados aplicáveis: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência ao CDPA: seção 4.1 (Papéis das partes) dos Termos Gerais do CDPA.

Requisito do contrato

Um contrato entre um controlador e um operador deve regular os procedimentos de processamento de dados do operador em relação ao processamento realizado em nome do controlador.

O contrato do cliente, que inclui o Aditivo sobre o tratamento de dados do Cloud, rege os procedimentos de processamento de dados do Google em nome do cliente.

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência do CDPA: Apêndice 1 (Assunto e Detalhes do Tratamento de Dados) do CDPA.

Limitações de uso de dados

Um contrato entre um controlador e um processador deve estabelecer instruções para o tratamento de dados, a natureza e a finalidade do tratamento, o tipo de dados sujeito ao tratamento, a duração do tratamento e os direitos e obrigações de ambas as partes.

O Google se compromete a tratar os dados pessoais do cliente apenas de acordo com o CDPA, incluindo o Apêndice 1, que descreve o assunto e a duração do tratamento, a natureza e a finalidade do tratamento e as categorias de dados. 

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência ao CDPA: Seção 5.2 (Compliance com as instruções do Cliente) e Seção 7.1.2 (Acesso e compliance) dos Termos Gerais e Apêndice 1 (Assunto e detalhes do tratamento de dados) do CDPA.

Impor um dever de confidencialidade aos funcionários

O contrato entre um controlador e um processador garante que cada pessoa que processa dados pessoais esteja sujeita a um dever de confidencialidade.

Os clientes podem acessar os dados (incluindo os dados dos usuários finais) no Google Cloud a qualquer momento. Se o Google receber uma solicitação de um indivíduo (por exemplo, um usuário final do cliente) relacionada a dados pessoais do cliente, nossa equipe de privacidade vai orientar o solicitante a enviar a solicitação para você, o cliente do Google Cloud. Os clientes do Google Cloud podem controlar as respostas a essas solicitações de acordo com os procedimentos e requisitos internos.

Estados aplicáveis: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referência ao CDPA: Seção 7.1.2 (Acesso e compliance) dos Termos Gerais e Seção 4 (Segurança do pessoal) no Apêndice 2 (Medidas de segurança) do CDPA.

Requisito de auditoria

O contrato entre um controlador e um processador garante que o processador forneça à empresa informações para demonstrar conformidade com as obrigações do processador, mediante solicitação, e que passe por auditorias independentes anualmente usando estruturas de controle aceitas.

O Google oferece suporte à conformidade do cliente disponibilizando a documentação de segurança relevante para revisão e passando por várias auditorias independentes de terceiros pelo menos uma vez por ano para fornecer uma verificação independente de nossas operações e controles internos. A página do Gerenciador de relatórios de compliance do Google oferece acesso fácil e sob demanda a esses recursos de compliance essenciais, sem custos adicionais. Os principais recursos incluem nossos certificados ISO/IEC mais recentes, relatórios SOC e autoavaliações.

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Referência à CDPA: Seção 7.4 (certificações de compliance e relatórios SOC) e Seção 7.5 (revisões e auditorias de compliance) dos Termos Gerais da CDPA.

Ajudamos com as obrigações do controlador

Um processador vai seguir as instruções da empresa e ajudar a empresa a: considerar a natureza do processamento e as informações disponíveis para o processador, responder a solicitações de direitos do consumidor.

O Google se compromete a ajudar os clientes com solicitações de consumidores na Seção 9 dos Termos Gerais do CDPA.

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Referência à CDPA: consulte as respostas nas seções "Direitos do consumidor" e "Responsabilidades da empresa / controlador" acima. Seção 9 (Acesso; Direitos do titular dos dados; Exportação de dados) e Seção 9.2.2 (Assistência do Google com relação a solicitações de titulares de dados) dos Termos Gerais do CDPA.

Ajudamos com as obrigações do controlador

Um processador vai seguir as instruções da empresa e ajudar a empresa a: considerar a natureza do processamento e as informações disponíveis para o processador, cumprir as obrigações relacionadas à segurança do processamento dos dados pessoais e notificar uma violação de segurança.

O Google implementa e mantém medidas técnicas, organizacionais e físicas para proteger os dados do cliente contra divulgação ou acesso não autorizados. O Google notifica os clientes sobre incidentes de dados e fornece detalhes sobre eles de forma imediata e sem atrasos. O Google também disponibiliza controles de segurança adicionais aos clientes. 

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TX, UT, VA

Referência ao CDPA: Seção 7.1 (Medidas, Controles e Assistência de Segurança do Google), Seção 7.1.4 Assistência de Segurança do Google), Seção 7.2 (Incidentes de Dados), Seção 7.2.1 (Notificação de Incidentes) e Seção 7.3 (Responsabilidades e Avaliação de Segurança do Cliente) dos Termos Gerais e Apêndice 2 (Medidas de Segurança) do CDPA.

Ajudamos com as obrigações do controlador

Levando em conta a natureza do processamento e as informações disponíveis para o processador, ele vai seguir as instruções da empresa e oferecer assistência: fornecendo as informações necessárias para realizar avaliações de proteção de dados.

O Google se compromete a ajudar os clientes com avaliações de proteção de dados na Seção 8 dos Termos Gerais do CDPA. Além disso, para o Google Cloud Platform e o Google Workspace, o Google mantém a Central de recursos de DPIA para ajudar os clientes.

Estados aplicáveis: CA, CO, CT, DE, FL, IN, MT, OR, TX, VA

Referência ao CDPA: seção 8 (Avaliações de impacto e consultas) dos Termos Gerais do CDPA.

Direito de objeção do subcontratante

Um subcontratado que lida com dados pessoais não pode ser contratado a menos que a empresa tenha a oportunidade de se opor.

O Google envia aos clientes um aviso com informações sobre qualquer novo engajamento de subprocessador e a oportunidade de se opor rescindindo unilateralmente o contrato. Devido à natureza de um para muitos dos nossos serviços, o Google não consegue operacionalizar um processo de aprovação para cada cliente. O Google exige que nossos subcontratados atendam aos mesmos padrões elevados que nós e continua sendo responsável por quaisquer obrigações subcontratadas. Em particular, o Google exige que nossos subcontratados cumpram o contrato com você e acessem e usem seus dados apenas na medida necessária para cumprir as obrigações subcontratadas a eles.

Estados aplicáveis: CO, CT, DE 

Referência ao CDPA: Seção 11.1 (Consentimento para o envolvimento de Subprocessadores), Seção 11.3 (Requisitos para o envolvimento de Subprocessadores) e Seção 11.4 (Oportunidade para contestar Subprocessadores) dos Termos Gerais do CDPA.

Excluir ou devolver dados após a rescisão / conclusão dos serviços

O contrato entre um controlador e um operador vai garantir que o operador devolva ou destrua todos os dados pessoais do cliente ao final da prestação de serviços.

O Google vai excluir todos os dados do cliente (incluindo os dados pessoais) ao final do período, de acordo com a legislação aplicável e dentro de um período máximo de 180 dias. Para mais detalhes sobre o processo de exclusão de dados e os compromissos do Google, consulte o CDPA e a documentação Data Deletion on Google Cloud.

Estados aplicáveis: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Referência ao CDPA: Seção 6.1 (Exclusão pelo Cliente) e Seção 6.2 (Devolução ou Exclusão ao Final do Período) dos Termos Gerais do CDPA.

Notificar o controlador se as obrigações não puderem mais ser cumpridas

Um processador precisa notificar a empresa se determinar que não pode mais cumprir com as obrigações impostas pela CCPA.

O Google vai notificar os clientes se não puder cumprir com as obrigações impostas pela CCPA, a menos que essa notificação seja proibida pela legislação aplicável.

Estados aplicáveis: CA

Referência ao CDPA: seção 3 (Compliance) da subseção da CCPA no apêndice 3 (Leis de privacidade específicas) do CDPA.