Termos de Tratamento de Dados

Última atualização: 1 de julho de 2026

1. Sobre estes termos

Os presentes Termos de Tratamento de Dados fazem parte dos Termos-Quadro do Cliente entre a nuaxia Limited e o Cliente.

Eles aplicam-se apenas quando a nuaxia trata Dados Pessoais do Cliente:

na qualidade de operador por conta do Cliente ou de um Cliente Final; ou
na qualidade de suboperador quando o Cliente atua ele próprio na qualidade de operador.

Estes termos aplicam-se automaticamente a esse tratamento, salvo se as partes acordarem expressamente por escrito termos de tratamento de dados diferentes.

2. Quando a nuaxia atua na qualidade de controlador

A nuaxia atua ordinariamente na qualidade de controlador independente quando determina por que os dados pessoais são coletados ou utilizados e os meios essenciais desse tratamento.

Isso pode incluir tratamentos relacionados a:

a manutenção e o desenvolvimento das próprias bases de dados da nuaxia relativas a profissionais de saúde, organizações de saúde e outros contatos profissionais;
a verificação de identidade, qualificações, funções, locais de trabalho e elegibilidade profissionais;
a manutenção dos perfis de Participantes e dos históricos de relacionamento;
a identificação e a decisão de quem convidar para pesquisas, atividades educativas e outros engajamentos;
a gestão das comunicações e dos relacionamentos com os Participantes;
a administração das contas de Participantes e das gratificações;
a prevenção de fraude, duplicação, uso indevido e incidentes de segurança;
a manutenção dos registros de qualidade, conformidade e atividade;
a gestão do próprio site, alertas, aplicativos e serviços da nuaxia; e
o cumprimento das próprias obrigações legais, regulatórias, de farmacovigilância e profissionais da nuaxia.

Os dados pessoais tratados pela nuaxia na qualidade de controlador independente são regidos pelo Aviso de Privacidade da nuaxia e pelas Leis de Proteção de Dados aplicáveis, não por estes Termos de Tratamento de Dados.

O fato de a nuaxia deter ou tratar informações em conexão com um projeto do Cliente não determina, por si só, se a nuaxia é controlador ou operador. Cada atividade de tratamento será avaliada de acordo com os papéis reais das partes.

3. Quando a nuaxia atua na qualidade de operador

A nuaxia atua na qualidade de operador ou suboperador apenas quando trata dados pessoais por conta, e mediante instruções documentadas, do Cliente ou de um Cliente Final.

Isso pode ocorrer, por exemplo, quando:

o Cliente fornece uma lista de contatos para uso exclusivo no projeto do Cliente;
a nuaxia hospeda ou trata dados identificáveis controlados pelo Cliente;
o Cliente fornece dados identificáveis para análise, validação ou elaboração de relatórios;
a nuaxia trata informações do pessoal do Cliente ou do Cliente Final para prestar um serviço específico do Cliente; ou
uma agência nomeia a nuaxia como suboperador por conta de um Cliente Final.

Quando a nuaxia atua na qualidade de operador para uma atividade e na qualidade de controlador independente para outra, estes termos aplicam-se apenas à atividade de operador.

4. Definições

Nestes termos:

Dados Pessoais do Cliente significa os dados pessoais tratados pela nuaxia na qualidade de operador ou suboperador nos termos do Contrato.
Eles não incluem os dados pessoais em relação aos quais a nuaxia atua na qualidade de controlador independente.
Leis de Proteção de Dados significa todas as leis de proteção de dados e privacidade aplicáveis ao respectivo tratamento, incluindo o GDPR do Reino Unido, o Data Protection Act 2018 conforme alterado, o GDPR da UE quando aplicável e qualquer legislação que os substitua ou complemente.
Violação de Dados Pessoais significa uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada de Dados Pessoais do Cliente ou no acesso aos mesmos, de forma acidental ou ilícita.
Suboperador significa outra organização nomeada pela nuaxia para tratar os Dados Pessoais do Cliente.
Os termos controlador, operador, dados pessoais, tratamento, titular dos dados e categorias especiais de dados têm o significado a eles atribuído nos termos das Leis de Proteção de Dados aplicáveis.
Outros termos em maiúscula têm o significado indicado nos Termos-Quadro do Cliente.

5. Descrição padrão do tratamento

Salvo se a Proposta dispuser expressamente de forma diversa, a seguinte descrição aplica-se sempre que a nuaxia tratar Dados Pessoais do Cliente na qualidade de operador ou suboperador.

5.1 Objeto

O objeto do tratamento é a prestação dos Serviços descritos na Proposta quando tais Serviços envolverem Dados Pessoais do Cliente.

5.2 Duração

O tratamento prosseguirá durante:

a duração dos respectivos Serviços;
qualquer período razoavelmente necessário para concluir os Serviços;
qualquer período de retenção acordado; e
o tempo razoavelmente necessário para devolver, excluir ou remover de forma segura os Dados Pessoais do Cliente dos sistemas de backup de rotina.

5.3 Natureza do tratamento

O tratamento pode incluir:

recepção e coleta;
registro e organização;
armazenamento e acesso;
revisão e validação;
adaptação e estruturação;
análise e elaboração de relatórios;
transmissão e disponibilização a destinatários autorizados;
limitação e proteção;
devolução; e
exclusão ou anonimização dos Dados Pessoais do Cliente.

A nuaxia realizará apenas as operações de tratamento razoavelmente necessárias para prestar os Serviços e cumprir as instruções documentadas do Cliente.

5.4 Finalidade

A finalidade do tratamento é prestar os Serviços descritos na Proposta e cumprir as instruções documentadas lícitas relativas a esses Serviços.

5.5 Tipos de dados pessoais

Os Dados Pessoais do Cliente podem incluir:

nomes e dados de contato;
informações de emprego e profissionais;
cargos, funções, qualificações e vínculos organizacionais;
identificadores profissionais;
informações de pesquisas, entrevistas, pesquisa acadêmica ou consultas;
informações de conta, portal e uso de serviços;
informações de correspondência e de administração de projetos; e
outros dados pessoais fornecidos pelo Cliente ou por sua conta para os Serviços acordados.

A nuaxia não tratará categorias especiais de dados ou dados relativos a condenações criminais na qualidade de operador, salvo se tal tratamento for expressamente acordado na Proposta ou em outras instruções documentadas.

5.6 Categorias de titulares dos dados

As pessoas envolvidas podem incluir:

empregados e representantes do Cliente e do Cliente Final;
contatos profissionais identificados ou fornecidos pelo Cliente;
clientes, fornecedores, consultores ou contratados do Cliente ou do Cliente Final;
respondentes de pesquisas, pesquisa acadêmica ou entrevistas cujas informações sejam fornecidas ou controladas pelo Cliente; e
outras pessoas identificadas nos Materiais do Cliente.

5.7 Variações

A Proposta ou outras instruções escritas de projeto acordadas podem complementar ou variar esta descrição padrão quando os Serviços envolverem um tratamento diferente ou adicional.

Se nenhuma variação for registrada, aplica-se a descrição padrão desta cláusula.

6. Responsabilidades e direitos do Cliente

O Cliente é responsável por assegurar que:

ele, ou o respectivo Cliente Final, esteja habilitado a atuar na qualidade de controlador dos Dados Pessoais do Cliente;
o tratamento tenha uma base legal;
qualquer condição exigida para o tratamento de categorias especiais de dados ou de dados relativos a condenações criminais seja atendida;
todas as informações de privacidade exigidas tenham sido fornecidas;
os Dados Pessoais do Cliente tenham sido coletados e divulgados licitamente;
suas instruções cumpram as Leis de Proteção de Dados;
os Dados Pessoais do Cliente sejam adequados, pertinentes e limitados ao razoavelmente necessário;
os Dados Pessoais do Cliente sejam razoavelmente exatos e atuais; e
ele esteja autorizado a emitir instruções por conta de qualquer Cliente Final.

O Cliente tem o direito de:

emitir instruções documentadas lícitas relativas ao tratamento;
receber informações razoáveis que demonstrem o cumprimento destes termos pela nuaxia;
exigir a devolução ou exclusão dos Dados Pessoais do Cliente quando os respectivos Serviços terminarem; e
exercer os direitos de auditoria estabelecidos abaixo.

Quando o Cliente atuar para um Cliente Final, o Cliente confirma que:

tem autoridade para nomear a nuaxia;
foi obtida qualquer aprovação necessária para nomear a nuaxia como suboperador;
está autorizado a emitir instruções por conta do Cliente Final; e
comunicará as instruções do Cliente Final de forma exata.

O Cliente não deve instruir a nuaxia a tratar dados pessoais de uma forma que viole as Leis de Proteção de Dados.

7. Instruções de tratamento

A nuaxia tratará os Dados Pessoais do Cliente apenas:

mediante as instruções documentadas do Cliente;
na medida razoavelmente necessária para prestar os Serviços;
na medida permitida pelo Contrato; ou
quando exigido pela lei aplicável.

As instruções documentadas podem estar contidas em:

os Termos-Quadro do Cliente;
os presentes Termos de Tratamento de Dados;
a Proposta;
materiais de projeto aprovados;
uma solicitação de alteração acordada; ou
comunicações escritas de um representante autorizado do Cliente.

Se a nuaxia acreditar razoavelmente que uma instrução infringe as Leis de Proteção de Dados, a nuaxia notificará o Cliente e poderá suspender o tratamento afetado até que a instrução seja esclarecida, alterada ou retirada.

Se a lei aplicável exigir que a nuaxia trate os Dados Pessoais do Cliente de forma diversa das instruções do Cliente, a nuaxia informará o Cliente antes de fazê-lo, salvo se a lei proibir essa notificação.

8. Confidencialidade e acesso

A nuaxia assegurará que as pessoas autorizadas a tratar os Dados Pessoais do Cliente:

estejam sujeitas a obrigações de confidencialidade apropriadas;
recebam acesso apenas quando razoavelmente necessário para a sua função;
tratem as informações apenas para os Serviços acordados e de acordo com as instruções autorizadas; e
recebam treinamento apropriado em proteção de dados e segurança.

A nuaxia removerá ou alterará o acesso quando não for mais necessário.

Essas obrigações de confidencialidade continuam após a pessoa correspondente deixar de trabalhar nos Serviços.

9. Segurança

A nuaxia manterá medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais do Cliente, levando em conta:

a natureza, o âmbito, o contexto e as finalidades do tratamento;
o estado da tecnologia disponível;
os custos de implementação; e
a probabilidade e a gravidade dos riscos para as pessoas.

As medidas podem incluir, quando apropriado:

requisitos de confidencialidade e treinamento de pessoal;
contas individuais e controles de acesso baseados em funções;
controles de senha e autenticação multifator;
transmissão e armazenamento seguros;
criptografia quando apropriado;
proteção de sistemas, redes e endpoints;
atualizações de segurança e gestão de vulnerabilidades;
mecanismos de backup e recuperação;
procedimentos de detecção e resposta a incidentes;
separação lógica de projetos e dados;
exclusão e descarte seguros; e
controles apropriados sobre os Suboperadores.

A nuaxia pode atualizar suas medidas de segurança quando a alteração não reduzir substancialmente o nível geral de proteção.

O Cliente:

manterá suas contas e credenciais seguras;
restringirá o acesso ao pessoal autorizado;
notificará a nuaxia prontamente sobre suspeita de acesso não autorizado;
utilizará os métodos seguros acordados para transmitir os Dados Pessoais do Cliente; e
cumprirá as instruções de segurança razoáveis relativas aos Serviços.

10. Suboperadores

O Cliente concede à nuaxia autorização escrita geral para nomear Suboperadores quando razoavelmente necessário para prestar os Serviços.

A nuaxia:

disponibilizará ao Cliente, mediante solicitação ou por meio de uma lista on-line mantida, informações sobre os Suboperadores relevantes que tratam Dados Pessoais do Cliente;
dará aviso prévio razoável de qualquer Suboperador relevante novo ou substituto;
celebrará termos escritos que obriguem o Suboperador a fornecer salvaguardas de proteção de dados substancialmente equivalentes aos requisitos pertinentes destes termos; e
permanecerá responsável pelo cumprimento dessas obrigações pelo Suboperador na medida exigida pelas Leis de Proteção de Dados.

O Cliente pode opor-se a um Suboperador proposto por motivos razoáveis especificamente relacionados à proteção dos Dados Pessoais do Cliente.

O Cliente deve levantar uma objeção prontamente após receber o aviso e expor seus motivos.

As partes trabalharão de boa-fé para tratar uma objeção válida. Se nenhuma solução razoável estiver disponível, qualquer das partes poderá rescindir a parte afetada dos Serviços.

A nuaxia pode fazer uma alteração urgente de Suboperador quando razoavelmente necessário para tratar um incidente de segurança, uma falha de fornecedor, um requisito legal ou outro risco operacional relevante. A nuaxia notificará o Cliente assim que for razoavelmente praticável.

11. Transferências internacionais

A nuaxia não realizará uma transferência internacional restrita de Dados Pessoais do Cliente, salvo se um mecanismo de transferência lícito ou uma exceção se aplicar.

Quando exigido, a nuaxia utilizará salvaguardas apropriadas, que podem incluir:

regulamentos ou decisões de adequação aplicáveis;
cláusulas contratuais padrão aprovadas;
um acordo ou adendo de transferência internacional do Reino Unido aprovado;
normas corporativas vinculantes; ou
outro mecanismo de transferência lícito.

A nuaxia exigirá que os Suboperadores relevantes cumpram os requisitos aplicáveis de transferência internacional.

Salvo se a Proposta dispuser expressamente de forma diversa, os Serviços não garantem que todos os Dados Pessoais do Cliente permanecerão em um determinado país.

12. Solicitações dos titulares dos dados

Se a nuaxia receber uma solicitação de um titular dos dados relativa aos Dados Pessoais do Cliente, a nuaxia:

notificará o Cliente sem demora indevida;
fornecerá os detalhes pertinentes disponíveis; e
não responderá substantivamente, salvo se instruída pelo Cliente ou exigido por lei.

O Cliente permanece responsável por:

verificar a identidade do solicitante;
determinar se a solicitação é válida;
decidir como responder; e
cumprir o prazo legal aplicável.

Levando em conta a natureza do tratamento, a nuaxia prestará assistência razoável para permitir que o Cliente ou o Cliente Final responda à solicitação.

13. Assistência à conformidade

Levando em conta a natureza do tratamento e as informações de que dispõe, a nuaxia prestará assistência razoável em relação às obrigações do Cliente relativas a:

a segurança do tratamento;
os direitos dos titulares dos dados;
as Violações de Dados Pessoais;
as avaliações de impacto à proteção de dados;
as consultas a uma autoridade de proteção de dados; e
a demonstração da conformidade com as Leis de Proteção de Dados.

O Cliente deve fornecer aviso prévio razoável e informações suficientes ao solicitar assistência.

A nuaxia pode cobrar Honorários adicionais razoáveis quando uma solicitação:

for incomumente extensa;
estiver fora do âmbito ordinário dos Serviços;
exigir trabalho substancial de desenvolvimento técnico ou de recuperação; ou
resultar de instruções do Cliente incompletas, inexatas ou alteradas.

A nuaxia notificará o Cliente sobre encargos adicionais relevantes antes de incorrer neles, quando razoavelmente praticável.

14. Violações de Dados Pessoais

A nuaxia notificará o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais do Cliente.

Na medida em que estiver disponível, a nuaxia fornecerá informações sobre:

a natureza da violação;
as categorias de Dados Pessoais do Cliente afetadas;
as categorias e o número aproximado de pessoas e registros afetados;
as consequências prováveis;
as medidas adotadas ou propostas para conter, investigar e tratar a violação; e
um contato apropriado para mais informações.

Quando nem todas as informações estiverem imediatamente disponíveis, a nuaxia poderá fornecê-las em etapas à medida que a investigação avançar.

A nuaxia:

tomará medidas razoáveis para conter e investigar a violação;
tomará medidas razoáveis para mitigar possíveis efeitos adversos;
preservará as informações pertinentes; e
prestará cooperação razoável às obrigações de avaliação e notificação do Cliente.

O Cliente ou o respectivo Cliente Final é responsável por determinar se uma notificação deve ser feita a:

uma autoridade de proteção de dados;
os titulares dos dados afetados;
outro regulador;
um patrocinador do projeto; ou
outro terceiro.

A nuaxia não fará uma notificação que identifique o Cliente ou o Cliente Final, salvo:

mediante instrução do Cliente;
mediante acordo entre as partes; ou
quando exigido por lei.

Uma notificação de violação não constitui admissão de responsabilidade.

15. Informações de conformidade e auditorias

Mediante solicitação razoável, a nuaxia fornecerá as informações razoavelmente necessárias para demonstrar a conformidade com estes termos.

Isso pode incluir:

informações de segurança pertinentes;
questionários de segurança preenchidos;
resumos de políticas;
informações sobre os Suboperadores;
relatórios de asseguração independentes disponíveis; e
respostas escritas razoáveis a perguntas sobre conformidade.

Quando essas informações forem razoavelmente insuficientes, o Cliente poderá auditar a conformidade da nuaxia com estes termos.

Salvo se uma auditoria for exigida em decorrência de uma violação relevante ou por um regulador competente:

o Cliente deve fornecer aviso prévio escrito razoável;
não poderá ser realizada mais de uma auditoria em um período de 12 meses;
a auditoria deve ocorrer durante o horário comercial normal;
deve limitar-se ao tratamento coberto por estes termos;
deve minimizar a perturbação das operações da nuaxia; e
deve ser conduzida por uma pessoa devidamente qualificada sujeita a obrigações de confidencialidade.

Um auditor não deve ser um concorrente direto da nuaxia sem o consentimento prévio por escrito da nuaxia.

Uma auditoria não deve expor:

dados pessoais ou informações confidenciais de outro cliente;
o código-fonte da nuaxia;
material protegido por sigilo legal;
credenciais de segurança; ou
informações detalhadas que criariam uma vulnerabilidade de segurança relevante.

O Cliente arcará com seus próprios custos de auditoria e com os custos razoáveis da nuaxia para dar suporte a uma auditoria incomumente extensa. A nuaxia arcará com seus próprios custos razoáveis quando a auditoria identificar uma violação relevante destes termos pela nuaxia.

Nada nesta cláusula restringe os poderes de uma autoridade de proteção de dados competente.

16. Devolução e exclusão

Quando os respectivos Serviços terminarem, a nuaxia, à escolha escrita do Cliente:

devolverá os Dados Pessoais do Cliente;
os excluirá; ou
devolverá parte e excluirá o restante,

salvo se a lei aplicável exigir retenção continuada.

O Cliente deve fornecer suas instruções de devolução ou exclusão no prazo de 30 dias após a conclusão ou rescisão dos respectivos Serviços.

Se o Cliente não fornecer instruções nesse prazo, a nuaxia poderá excluir os Dados Pessoais do Cliente de acordo com seus procedimentos ordinários de retenção e exclusão.

Os Dados Pessoais do Cliente contidos em backups seguros podem permanecer até serem excluídos ou sobrescritos por meio do ciclo ordinário de backup, desde que:

permaneçam adequadamente protegidos;
não sejam utilizados para outra finalidade; e
sejam restaurados apenas quando razoavelmente necessário para fins de recuperação de desastres, segurança ou legais.

Esta cláusula não obriga a nuaxia a excluir:

os dados pessoais em relação aos quais a nuaxia atua na qualidade de controlador independente;
as informações cuja retenção é exigida por lei;
as informações irreversivelmente anonimizadas;
as informações estatísticas que não mais identificam uma pessoa, um Cliente ou um Cliente Final; ou
as informações que o Contrato permita separadamente à nuaxia reter.

17. Relação com os Termos-Quadro do Cliente

A responsabilidade decorrente destes Termos de Tratamento de Dados é regida pelas disposições de responsabilidade dos Termos-Quadro do Cliente.

Nada nestes termos limita a responsabilidade quando esta não puder ser limitada licitamente.

Havendo conflito relativo aos Dados Pessoais do Cliente, aplica-se a seguinte ordem de prioridade:

um acordo ou instrumento imperativo de transferência internacional;
quaisquer termos de tratamento de dados expressamente assinados por ambas as partes para os respectivos Serviços;
os presentes Termos de Tratamento de Dados;
a Proposta aplicável; e
os Termos-Quadro do Cliente.

18. Duração

Os presentes Termos de Tratamento de Dados aplicam-se enquanto a nuaxia tratar Dados Pessoais do Cliente na qualidade de operador ou suboperador nos termos do Contrato.

As disposições relativas a confidencialidade, segurança, devolução e exclusão, auditorias e responsabilidade continuam enquanto a nuaxia retiver os respectivos Dados Pessoais do Cliente.

Idioma

Este documento foi traduzido do inglês. Em caso de qualquer incongruência ou conflito entre esta versão traduzida e a versão em língua inglesa, prevalecerá a versão em língua inglesa, salvo na medida em que a legislação aplicável exija de outro modo.