Este Contrato de Tratamento de Dados de Parceiros da SpaceX Super Intelligence (“DPA de Parceiros”) integra o Contrato da Rede de Parceiros SpaceX Super Intelligence celebrado entre a Anysphere, Inc., uma sociedade constituída no Texas (“Anysphere”), e a entidade que aceitou esse contrato (“Parceiro”) (o “Contrato de Parceiro”). Este DPA de Parceiros é o Contrato de Tratamento de Dados de Parceiros mencionado na Seção 12.2 (Contrato de Tratamento de Dados) do Contrato de Parceiro e rege o tratamento de Dados Pessoais que qualquer das partes receba da outra em relação ao Programa de Parceiros. Este DPA de Parceiros é um Aditivo ao Contrato de Parceiro, que está disponível em https://cursor.com/terms/spn (ou em qualquer URL que venha a substituí-la, conforme designado pela Anysphere) e no Portal de Parceiros, e é administrado por meio do Portal de Parceiros.

O Parceiro aceita este DPA de Parceiros ao aceitar o Contrato de Parceiro, ao clicar para aceitar este DPA de Parceiros no Portal de Parceiros ou ao participar de qualquer outra forma do Programa de Parceiros depois de este DPA de Parceiros lhe ter sido apresentado ou disponibilizado. A pessoa física que aceita este DPA de Parceiros em nome do Parceiro declara ter poderes para vincular o Parceiro e quaisquer Afiliadas do Parceiro aprovadas para participar do Programa de Parceiros nos termos da Seção 2.3 do Contrato de Parceiro.

1. Definições.

   1. Interpretação. Os termos iniciados por letra maiúscula utilizados, mas não definidos neste DPA de Parceiro, têm os significados atribuídos no Contrato de Parceiro. Os termos “controlador”, “operador”, “titular dos dados”, “tratamento” (e “tratar”), “empresa”, “provedor de serviços”, “contratado”, “terceiro”, “vender”, “compartilhar” e “autoridade supervisora” têm os significados atribuídos nas Leis de Proteção de Dados aplicáveis e abrangem quaisquer termos equivalentes utilizados nessas leis.

   2. Termos Definidos. Neste DPA de Parceiro:

      “Dados de Triagem de Conformidade” significa Dados Pessoais relativos aos proprietários, executivos, diretores, funcionários ou agentes do Parceiro que a Anysphere coleta para avaliar a elegibilidade do Parceiro para participar, e continuar participando, do Programa de Parceiros, incluindo informações sobre vínculo empregatício ou afiliação, atual ou anterior, com órgãos governamentais, relações empregatícias ou comerciais com a Anysphere ou seus funcionários, status de sanções e de parte restrita, bem como qualquer violação, autodenúncia, investigação, inquérito, alegação ou medida de fiscalização relacionada a leis anticorrupção, de prevenção à lavagem de dinheiro, de sanções ou de controle de exportações.

      “Leis de Proteção de Dados” significa todas as leis e regulamentos relacionados a privacidade, proteção de dados, segurança de dados ou marketing eletrônico aplicáveis ao tratamento de Dados Pessoais do Programa por uma das partes, incluindo, conforme aplicável: (a) o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 (“GDPR”) e a Diretiva ePrivacy 2002/58/CE, juntamente com as respectivas leis nacionais de implementação; (b) o GDPR na forma em que integra a legislação do Reino Unido (“UK GDPR”), o UK Data Protection Act 2018 e as Privacy and Electronic Communications Regulations 2003; (c) a Lei Federal Suíça de Proteção de Dados (“FADP”); (d) as Leis Estaduais de Privacidade dos EUA; (e) o Personal Information Protection and Electronic Documents Act e a Legislação Antispam do Canadá; (f) o Privacy Act 1988 e o Spam Act 2003 da Austrália; (g) o Personal Data Protection Act 2012 de Singapura; (h) a Lei de Proteção de Informações Pessoais do Japão; (i) o Digital Personal Data Protection Act, 2023 da Índia; e (j) a Lei Geral de Proteção de Dados do Brasil; em cada caso, conforme alteradas, substituídas ou complementadas periodicamente.

      “Parte Divulgadora” significa a parte (incluindo suas Afiliadas e qualquer pessoa que atue em seu nome) que fornece ou disponibiliza Dados Pessoais do Programa à outra parte, e “Parte Receptora” significa a parte (incluindo suas Afiliadas) que os recebe.

      “Dados Fornecidos pelo Parceiro” significa os Dados Pessoais do Programa que o Parceiro, suas Afiliadas ou qualquer pessoa agindo em nome deles forneça ou disponibilize à Anysphere ou às suas Afiliadas.

      “Dados Pessoais” significa qualquer informação relacionada a uma pessoa natural identificada ou identificável, bem como qualquer outra informação definida como “dados pessoais”, “informações pessoais” ou termo equivalente conforme as Leis de Proteção de Dados.

      “Violação de Dados Pessoais” significa uma violação de segurança que resulte na destruição, perda ou alteração acidental ou ilícita dos Dados Pessoais do Programa, ou na divulgação ou acesso não autorizado a eles, enquanto estiverem na posse, guarda ou controle da Parte Receptora ou de qualquer pessoa que realize o tratamento desses dados em nome da Parte Receptora.

      “Dados Pessoais do Programa” significa os Dados Pessoais que uma Parte Divulgadora fornece ou disponibiliza à Parte Receptora em relação ao Programa de Parceiros, seja por meio do Portal de Parceiros, de formulários do Programa de Parceiros, de submissões de registro de oportunidades, de ferramentas de mapeamento de contas, de canais de colaboração compartilhados, de e-mail, de reuniões ou de qualquer outra forma, excluindo, porém, os dados e as atividades descritos na Seção 2.2.

      “Transferência Restrita” significa uma transferência de Dados Pessoais do Programa sujeita ao GDPR, ao UK GDPR ou à FADP para um país ou território que a autoridade competente não tenha reconhecido como detentor de um nível adequado de proteção de Dados Pessoais, quando nenhum outro mecanismo legal de transferência for aplicável.

      “SCCs” significa as cláusulas contratuais padrão anexas à Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021, conforme alteradas ou substituídas periodicamente, e “Módulo Um” e “Módulo Dois” significam, respectivamente, os módulos controlador-para-controlador e controlador-para-operador das SCCs.

      “Dados Sensíveis” significa: (a) categorias especiais de dados pessoais, dados pessoais sensíveis ou informações pessoais sensíveis nos termos das Leis de Proteção de Dados, incluindo dados que revelem origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas ou filiação sindical, bem como dados genéticos, biométricos ou relativos à saúde, ou dados referentes à vida sexual ou à orientação sexual de uma pessoa; (b) Dados Pessoais relativos a condenações, infrações ou alegações criminais; (c) identificadores emitidos pelo governo, incluindo números de seguridade social, de identificação fiscal, de passaporte e de carteira de habilitação; (d) números de conta financeira, de conta bancária ou de cartão de pagamento; (e) dados de geolocalização precisa; (f) senhas de conta e outras credenciais de autenticação; e (g) Dados Pessoais de crianças.

      “Dados Fornecidos pela Anysphere” significa os Dados Pessoais do Programa que a Anysphere, suas Afiliadas ou qualquer pessoa que atue em nome delas forneça ou disponibilize ao Parceiro ou às suas Afiliadas.

      “Aviso de Privacidade da SpaceXSI” significa o aviso de privacidade da Anysphere disponível em https://cursor.com/privacy (ou em qualquer URL que venha a substituí-la, conforme designado pela Anysphere), com as atualizações feitas periodicamente.

      “Adendo do Reino Unido” significa o Adendo Internacional de Transferência de Dados às Cláusulas Contratuais Padrão da Comissão Europeia (versão B.1.0), emitido pelo Comissário de Informação do Reino Unido, conforme alterado ou substituído de tempos em tempos.

      “Leis Estaduais de Privacidade dos EUA” significa a California Consumer Privacy Act de 2018, conforme alterada pela California Privacy Rights Act de 2020, e seus regulamentos de implementação (“CCPA”), bem como todas as demais leis estaduais abrangentes de privacidade do consumidor dos EUA, em cada caso conforme vigentes periodicamente.

2. Escopo.

   1. Aplicação. Este DPA de Parceiros aplica-se ao tratamento, por cada parte, dos Dados Pessoais do Programa que receber da outra parte. Os Dados Pessoais do Programa normalmente decorrem das atividades do Programa de Parceiros descritas no Anexo 1 (Descrição do Tratamento), conforme tais atividades sejam atualizadas periodicamente nas Regras do Programa.

   2. Exclusões. Este DPA de Parceiros não se aplica aos dados a seguir, que tampouco integram os Dados Pessoais do Programa:

      1. Uso do Serviço pelo Parceiro. Dados Pessoais tratados em relação à compra, ao acesso ou ao uso do Serviço pelo Parceiro (ou por suas Afiliadas) na qualidade de cliente, inclusive no âmbito de qualquer plano empresarial, Licença de Avaliação, sandbox ou acesso não destinado à revenda, os quais são regidos pelo Master Services Agreement ou por outros termos de cliente aplicáveis, pelo Adendo de Tratamento de Dados disponível em https://cursor.com/terms/dpa e por quaisquer termos de uso aplicáveis;

      2. Serviços do Parceiro e Dados do Cliente. Dados do Cliente e quaisquer outros Dados Pessoais que o Parceiro trate para um Cliente, ou no âmbito de um contrato com ele, ao prestar os Serviços do Parceiro, os quais são regidos exclusivamente pelo contrato entre o Parceiro e esse Cliente. Quando o Parceiro prestar Serviços do Parceiro a um Cliente e a Anysphere fornecer o Serviço ao mesmo Cliente, cada parte tratará os Dados Pessoais desse Cliente nos termos de seu próprio contrato com o Cliente, e nenhuma das partes atuará como operadora ou suboperadora da outra;

      3. Atividades no Marketplace. Dados Pessoais tratados em relação a qualquer Plugin ou à participação do Parceiro no Marketplace (incluindo quaisquer dados descritos como “Dados do Plugin” ou “Conteúdo do Usuário” nos SpaceXSI Marketplace Terms), os quais são regidos pelos SpaceXSI Marketplace Terms;

      4. Contratos apartados. Dados Pessoais tratados no âmbito de qualquer contrato escrito apartado que autorize o Parceiro a revender, distribuir ou subcontratar o Serviço, ou de qualquer outro contrato apartado entre as partes que contenha seus próprios termos de proteção de dados, nos limites do escopo desse contrato; e

      5. Dados coletados de forma independente. Dados Pessoais que uma parte coleta de forma independente, e não da outra parte, ainda que se refiram aos mesmos indivíduos ou organizações, incluindo Dados Pessoais que a Anysphere coleta diretamente de um Cliente ou potencial Cliente.

   3. Relação com a Seção 12.1. Este DPA de Parceiros complementa, e não limita, as obrigações do Parceiro previstas na Seção 12.1 (Aviso e Consentimento) do Contrato de Parceria.

3. Funções das Partes.

   1. Controladores Independentes. Exceto conforme disposto na Seção 8 (Acordos de Operador), cada parte atua como controladora independente (e, quando aplicável nos termos das Leis Estaduais de Privacidade dos EUA, como empresa ou terceiro) com relação aos Dados Pessoais do Programa que recebe da outra parte. Cada parte determina de forma independente as finalidades e os meios de seu próprio tratamento. As partes não são controladoras conjuntas, e nenhuma delas realiza o tratamento de Dados Pessoais do Programa em nome da outra.

   2. Conformidade Própria de Cada Parte. Cada parte é responsável por sua própria conformidade com as Leis de Proteção de Dados em relação ao tratamento de Dados Pessoais do Programa que realiza, incluindo o fornecimento de avisos, o estabelecimento de uma base legal, o atendimento aos titulares dos dados, a manutenção de registros das atividades de tratamento e o cumprimento de suas obrigações perante as autoridades de controle. Nenhuma das partes deverá, conscientemente, realizar o tratamento de Dados Pessoais do Programa de forma que leve a outra parte a violar as Leis de Proteção de Dados.

4. Divulgação de Dados Pessoais do Programa.

   1. Divulgação Lícita. Cada Parte Divulgadora deverá garantir que sua coleta de Dados Pessoais do Programa, bem como a divulgação desses dados à Parte Receptora, estejam em conformidade com as Leis de Proteção de Dados. Sem prejuízo da Seção 12.1 (Aviso e Consentimento) do Contrato de Parceria, o Parceiro declara e garante que, para todos os Dados Fornecidos pelo Parceiro, forneceu todos os avisos, obteve todos os consentimentos e estabeleceu todas as bases legais exigidas pelas Leis de Proteção de Dados para que: (a) o Parceiro divulgue os dados à Anysphere; e (b) a Anysphere trate os dados para as finalidades descritas na Seção 5.1(a), incluindo entrar em contato com o Cliente ou potencial Cliente em questão sobre o Serviço e verificar o engajamento do Parceiro com esse Cliente.

   2. Aviso a Clientes e Potenciais Clientes. Quando exigido pela legislação aplicável, antes de enviar um registro de oportunidade ou de divulgar de outra forma à Anysphere os Dados Pessoais do pessoal de um Cliente ou potencial Cliente, o Parceiro deverá informar as pessoas em questão (ou garantir que tenham sido informadas) de que o Parceiro poderá compartilhar suas informações de contato e de oportunidade com a Anysphere, de que a Anysphere poderá usar essas informações conforme descrito no Aviso de Privacidade da SpaceXSI e de que o Parceiro poderá receber benefícios do Programa de Parceiros caso o Cliente ou potencial Cliente realize uma compra junto à Anysphere. O Parceiro não deverá divulgar à Anysphere os Dados Pessoais de qualquer pessoa que tenha se oposto ao compartilhamento de seus Dados Pessoais com a Anysphere ou optado por não participar dele.

   3. Aviso ao Pessoal do Parceiro. O Parceiro deverá informar seu pessoal, contratados, proprietários, executivos e diretores, bem como os de suas Afiliadas, cujos Dados Pessoais o Parceiro forneça à Anysphere (incluindo usuários e Administradores do Portal de Parceiros, pessoas em busca de credenciamentos, membros de canais de colaboração compartilhados e pessoas identificadas nos Dados de Triagem de Conformidade), de que a Anysphere tratará seus Dados Pessoais conforme descrito neste DPA de Parceiros e no Aviso de Privacidade da SpaceXSI, inclusive disponibilizando a eles o Aviso de Privacidade da SpaceXSI.

   4. Minimização de Dados e Dados Sensíveis. Cada Parte Divulgadora deverá divulgar apenas os Dados Pessoais do Programa razoavelmente necessários para a respectiva finalidade do Programa de Parceiros. O Parceiro não deverá fornecer Dados Sensíveis à Anysphere, exceto: (a) quando a Anysphere os solicitar por meio de um formulário do Portal de Parceiros, das Regras do Programa ou de outra solicitação por escrito, como informações de roteamento de pagamento e informações fiscais necessárias para o pagamento de taxas, ou Dados de Triagem de Conformidade; ou (b) conforme aprovado de outra forma pela Anysphere por escrito. Qualquer solicitação desse tipo constitui uma solicitação expressa e por escrito da Anysphere para fins da Seção 12.1 (Aviso e Consentimento) do Contrato de Parceria, limitada aos Dados Sensíveis solicitados. Ao enviar comprovantes de atividades de marketing, resultados de eventos ou informações semelhantes, o Parceiro deverá usar métricas agregadas, domínios de empresas ou cargos em vez de Dados Pessoais em nível individual, sempre que possível.

   5. Acurácia e Atualizações. Cada Parte Divulgadora deverá adotar medidas razoáveis para garantir que os Dados Pessoais do Programa que divulga sejam precisos e atualizados, e deverá notificar prontamente a Parte Receptora caso tome conhecimento de que quaisquer Dados Pessoais do Programa divulgados por ela estão imprecisos ou desatualizados, ou de que uma pessoa retirou o consentimento ou se opôs ao tratamento realizado pela Parte Receptora. O Parceiro deverá manter atualizadas as informações de usuário do Portal de Parceiros e notificar prontamente a Anysphere, por meio do Portal de Parceiros ou pelo e-mail partnersupport@x.ai, quando uma pessoa com conta no Portal de Parceiros, credenciamento ativo ou associação a um canal de colaboração compartilhado deixar a organização do Parceiro ou não participar mais das atividades do Parceiro no Programa de Parceiros.

5. Tratamento pela Parte Receptora.

   1. Limitação de finalidade.

      1. Anysphere. A Anysphere poderá tratar os Dados Fornecidos pelo Parceiro: (i) para operar, administrar e aprimorar o Programa de Parceiros, incluindo para as finalidades descritas no Anexo 1; (ii) para divulgar, vender, fornecer e dar suporte ao Serviço, bem como para gerenciar seu relacionamento com os Clientes e potenciais Clientes identificados nos Dados Fornecidos pelo Parceiro, em conformidade com o Aviso de Privacidade da SpaceXSI e as Leis de Proteção de Dados; (iii) para verificar a conformidade do Parceiro com o Contrato de Parceria, as Regras do Programa e a legislação aplicável, bem como para detectar e prevenir fraudes, abusos e incidentes de segurança; (iv) para cumprir obrigações legais e para estabelecer, exercer ou defender reivindicações judiciais; e (v) para qualquer outra finalidade permitida pelas Leis de Proteção de Dados e descrita no Aviso de Privacidade da SpaceXSI.

      2. Parceiro. O Parceiro tratará os Dados Fornecidos pela Anysphere somente para a finalidade específica do Programa de Parceiros para a qual a Anysphere os forneceu (por exemplo, cocomercializar em uma oportunidade identificada, realizar o planejamento de contas em conjunto com a Anysphere ou administrar a participação do Parceiro no Programa de Parceiros) e em conformidade com o Contrato de Parceria, as Regras do Programa, este DPA de Parceiro e as Leis de Proteção de Dados. É vedado ao Parceiro: (i) vender, alugar ou licenciar os Dados Fornecidos pela Anysphere; (ii) usar os Dados Fornecidos pela Anysphere para divulgar ou promover qualquer produto ou serviço concorrente do Serviço, ou para qualquer ação de marketing não relacionada à finalidade para a qual a Anysphere os forneceu; (iii) combinar os Dados Fornecidos pela Anysphere com outros dados para construir ou enriquecer bancos de dados de contatos, perfis ou listas de leads para finalidades não relacionadas ao Programa de Parceiros; ou (iv) divulgar os Dados Fornecidos pela Anysphere a qualquer terceiro, exceto conforme permitido na Seção 5.4.

      3. Outros tratamentos. Qualquer das partes também poderá tratar os Dados Pessoais do Programa para outra finalidade quando exigido pela legislação aplicável, quando necessário para proteger os interesses vitais de uma pessoa física ou quando essa pessoa tiver consentido com o tratamento adicional.

   2. Transparência. Cada parte deverá manter e disponibilizar um aviso de privacidade que atenda aos requisitos das Leis de Proteção de Dados aplicáveis ao tratamento, por ela realizado, dos Dados Pessoais do Programa. Quando a Anysphere entrar em contato com uma pessoa física cujos Dados Pessoais tenha recebido do Parceiro, a Anysphere deverá fornecer as informações exigidas pelas Leis de Proteção de Dados no prazo por elas estabelecido, o que poderá ocorrer no momento da primeira comunicação da Anysphere com essa pessoa.

   3. Confidencialidade e Segurança. Cada Parte Receptora deverá: (a) implementar e manter medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Programa contra Violações de Dados Pessoais, levando em consideração o estado da técnica, os custos de implementação, a natureza, o escopo, o contexto e as finalidades do tratamento, bem como os riscos às pessoas físicas, sendo que tais medidas incluirão, no mínimo, aquelas descritas no Anexo 2 (Medidas Mínimas de Segurança); (b) limitar o acesso aos Dados Pessoais do Programa a funcionários, contratados e prestadores de serviços que necessitem desse acesso para as finalidades permitidas nos termos da Seção 5.1; e (c) garantir que as pessoas autorizadas a tratar os Dados Pessoais do Programa estejam sujeitas a obrigações de confidencialidade adequadas. O Parceiro é responsável pela segurança de suas contas e credenciais do Portal de Parceiros, nos termos da Seção 8 (Acesso ao Portal de Parceiros) do Contrato de Parceria.

   4. Prestadores de serviços e divulgações posteriores.

      1. Operadores. Cada Parte Receptora pode contratar operadores e prestadores de serviços para tratar Dados Pessoais do Programa em seu nome, incluindo provedores de plataformas de portal de parceiros e de gerenciamento de relacionamento com parceiros, sistemas de gerenciamento de relacionamento com clientes, ferramentas de mapeamento de contas, ferramentas de colaboração e comunicação, sistemas de gerenciamento de aprendizagem, serviços de pagamento e tributários, hospedagem em nuvem e ferramentas de produtividade com recursos de IA. A Parte Receptora somente contratará tais operadores mediante contrato por escrito que os obrigue a proteger os Dados Pessoais do Programa de maneira consistente com este DPA de Parceiro e com as Leis de Proteção de Dados, e permanecerá responsável pelo tratamento realizado por eles.

      2. Afiliadas da Anysphere. A Anysphere pode divulgar Dados Fornecidos pelo Parceiro às suas Afiliadas para as finalidades descritas na Seção 5.1(a). Cada Afiliada da Anysphere que receber Dados Fornecidos pelo Parceiro deverá tratá-los de acordo com este DPA de Parceiro.

      3. Outras divulgações. Exceto conforme permitido por esta Seção 5.4, a Parte Receptora não divulgará Dados Pessoais do Programa a nenhum terceiro, salvo: (i) a seus assessores profissionais e aos de suas Afiliadas que estejam sujeitos a obrigações de confidencialidade; (ii) a um sucessor em relação a uma fusão, aquisição, reorganização societária ou venda de todos ou substancialmente todos os seus ativos, conforme permitido pelo Contrato de Parceiro; (iii) conforme exigido pela legislação aplicável, por ordem judicial ou por autoridade governamental competente, observado o disposto na Seção 5.7; ou (iv) conforme de outra forma permitido pelas Leis de Proteção de Dados e, no caso do Parceiro, mediante consentimento prévio por escrito da Anysphere.

   5. Solicitações dos Titulares dos Dados. Cada parte é responsável por responder às solicitações de pessoas que exerçam seus direitos nos termos das Leis de Proteção de Dados em relação aos Dados Pessoais do Programa que controla. Se uma parte receber uma solicitação relacionada ao tratamento realizado pela outra parte, ela deverá, quando permitido por lei, prontamente (e, em qualquer caso, no prazo de cinco (5) dias úteis) encaminhar a solicitação à outra parte ou informar à pessoa como entrar em contato com a outra parte, e as partes deverão cooperar de forma razoável para respondê-la. Se uma pessoa se opuser ao recebimento de comunicações de marketing, revogar seu consentimento ou solicitar a exclusão de seus dados, e a solicitação for relevante para o tratamento dos Dados Pessoais do Programa pela outra parte, a parte que receber a solicitação deverá notificar prontamente a outra parte para que esta possa adotar qualquer medida exigida pelas Leis de Proteção de Dados.

   6. Violações de Dados Pessoais. A Parte Receptora deverá notificar a Parte Divulgadora sem demora injustificada e, em qualquer caso, no prazo de setenta e duas (72) horas após tomar conhecimento de uma Violação de Dados Pessoais envolvendo Dados Pessoais do Programa recebidos da Parte Divulgadora. A notificação descreverá, na medida do que for conhecido no momento, a natureza da Violação de Dados Pessoais, as categorias e o número aproximado de pessoas e registros afetados, as prováveis consequências e as medidas adotadas ou propostas para tratar a Violação de Dados Pessoais e mitigar seus efeitos, e a Parte Receptora deverá complementar a notificação à medida que novas informações se tornarem disponíveis. A Parte Receptora deverá adotar medidas razoáveis para conter, investigar e remediar a Violação de Dados Pessoais e deverá cooperar de forma razoável com a Parte Divulgadora. Cada parte é responsável por quaisquer notificações às autoridades de supervisão e às pessoas que as Leis de Proteção de Dados lhe exijam na qualidade de controlador, e as partes deverão coordenar de boa-fé o conteúdo e o momento dessas notificações. Exceto quando exigido por lei, nenhuma das partes deverá mencionar o nome da outra parte em qualquer notificação ou declaração pública sobre uma Violação de Dados Pessoais sem o consentimento prévio e por escrito da outra parte. O Parceiro deverá enviar as notificações previstas nesta Seção 5.6 para legal@cursor.com, e tais notificações também atendem à Seção 5(g) (Obrigações do Parceiro) do Contrato de Parceria no que se refere à Violação de Dados Pessoais.

   7. Solicitações Governamentais e de Órgãos Reguladores. Se uma Parte Receptora receber de uma autoridade de supervisão, órgão de aplicação da lei ou outra autoridade governamental uma solicitação referente a Dados Pessoais do Programa recebidos da outra parte, a Parte Receptora deverá, quando legalmente permitido, notificar prontamente a Parte Divulgadora, divulgar apenas o mínimo de Dados Pessoais do Programa necessário para responder e cooperar de forma razoável com os esforços da Parte Divulgadora para responder à solicitação ou contestá-la.

   8. Retenção e exclusão.

      1. Geral. Cada Parte Receptora deverá reter os Dados Pessoais do Programa somente pelo tempo necessário para as finalidades permitidas nos termos da Seção 5.1 e, em seguida, deverá excluí-los ou anonimizá-los, exceto conforme exigido ou permitido pela legislação aplicável.

      2. Dados Fornecidos pela Anysphere. Após o término ou a rescisão do Contrato de Parceiro, ou mediante solicitação prévia por escrito da Anysphere, o Parceiro deverá deixar de usar os Dados Fornecidos pela Anysphere e, no prazo de trinta (30) dias, excluí-los (ou, mediante solicitação da Anysphere, devolvê-los), devendo atestar por escrito que o fez, caso a Anysphere assim solicite, exceto na medida em que a legislação aplicável exija que o Parceiro os retenha. Os Dados Pessoais do Programa retidos em backups de rotina poderão ser excluídos de acordo com o ciclo de backup padrão do Parceiro, desde que permaneçam protegidos nos termos deste DPA de Parceiro e não sejam usados ativamente.

      3. Dados Fornecidos pelo Parceiro. A Anysphere poderá reter os Dados Fornecidos pelo Parceiro após o término ou a rescisão do Contrato de Parceiro na medida razoavelmente necessária para: (i) administrar taxas de registro, taxas de indicação e outros valores devidos antes da rescisão; (ii) manter registros relacionados ao Programa de Parceiros, inclusive pelo período descrito na Seção 20.5 (Registros) do Contrato de Parceiro; (iii) dar continuidade aos seus relacionamentos diretos com Clientes e potenciais Clientes; (iv) cumprir obrigações legais; e (v) constituir, exercer ou defender reivindicações legais. A Anysphere deverá reter os Dados de Triagem de Conformidade somente pelo tempo necessário para as finalidades de conformidade para as quais foram coletados e conforme exigido pela legislação aplicável.

   9. Ferramentas Automatizadas e IA. A Anysphere pode usar ferramentas automatizadas, incluindo modelos de IA e agentes operados pela Anysphere, por suas Afiliadas ou por seus prestadores de serviços, para ajudar a revisar e processar solicitações de Parceiros, registros de oportunidades, solicitações de benefícios, envios de atividades de marketing e outros envios e comunicações do Programa de Parceiros. A decisão de aprovar, rejeitar, condicionar ou revogar uma solicitação de Parceiro ou um registro de oportunidade cabe à equipe da Anysphere, e a Anysphere não submeterá nenhuma pessoa a uma decisão baseada exclusivamente em tratamento automatizado que produza efeitos jurídicos sobre essa pessoa ou que a afete de forma igualmente significativa, exceto conforme permitido pelas Leis de Proteção de Dados. A Anysphere não usará Dados Pessoais contidos nos Dados Fornecidos pelo Parceiro para treinar modelos de IA que a Anysphere disponibilize de forma geral a terceiros. O Parceiro não deverá inserir Dados Fornecidos pela Anysphere em nenhuma ferramenta de IA ou outro serviço de terceiros que use esses dados para treinar modelos em benefício de qualquer pessoa que não seja o Parceiro, ou que de outra forma os utilize para seus próprios fins.

   10. Cooperação. Cada parte deverá fornecer à outra parte informações razoáveis e cooperar com ela, às suas próprias custas, conforme necessário para que a outra parte cumpra suas obrigações nos termos das Leis de Proteção de Dados relativas aos Dados Pessoais do Programa, inclusive no que se refere a avaliações de impacto sobre a proteção de dados, registros de tratamento e consultas de autoridades supervisoras.

6. Leis estaduais de privacidade dos EUA.

   1. Ausência de venda. As partes reconhecem que quaisquer taxas de registro, taxas de indicação ou outros Benefícios de Parceiro concedidos no âmbito do Programa de Parceiros constituem contraprestação pelos serviços de indicação, prospecção, cocomercialização e serviços relacionados prestados pelo Parceiro, conforme descrito na Seção 7 (Registro de Negócios, Taxas e Pagamento) do Contrato de Parceria, e não pelos Dados Pessoais do Programa. Nenhuma das partes divulga Dados Pessoais do Programa à outra em troca de contraprestação monetária ou de outra natureza com valor econômico, e as partes não pretendem que qualquer divulgação realizada nos termos deste DPA de Parceiro constitua venda ou compartilhamento de Dados Pessoais nos termos das Leis Estaduais de Privacidade dos EUA.

   2. Termos de terceiros. Na medida em que uma Parte Receptora receba Dados Pessoais do Programa na qualidade de terceiro nos termos das Leis Estaduais de Privacidade dos EUA, ou que uma divulgação realizada nos termos deste DPA de Parceiro seja, por qualquer outro motivo, tratada como venda ou compartilhamento, a Parte Receptora deverá: (a) tratar esses Dados Pessoais do Programa exclusivamente para as finalidades limitadas e específicas estabelecidas na Seção 5.1 e no Anexo 1; (b) cumprir as obrigações que lhe forem aplicáveis nos termos das Leis Estaduais de Privacidade dos EUA e assegurar a esses Dados Pessoais do Programa o mesmo nível de proteção de privacidade exigido pelas Leis Estaduais de Privacidade dos EUA; (c) permitir que a Parte Divulgadora, mediante notificação por escrito, adote medidas razoáveis e apropriadas para garantir que a Parte Receptora use esses Dados Pessoais do Programa de forma consistente com as obrigações da Parte Divulgadora nos termos das Leis Estaduais de Privacidade dos EUA, bem como para interromper e remediar qualquer uso não autorizado; (d) notificar a Parte Divulgadora caso conclua que não pode mais cumprir suas obrigações nos termos das Leis Estaduais de Privacidade dos EUA; e (e) atender a qualquer solicitação de opt-out ou outra requisição de consumidor que a Parte Divulgadora lhe comunique, conforme exigido pelas Leis Estaduais de Privacidade dos EUA.

7. Transferências internacionais de dados.

   1. Disposições gerais. Cada parte poderá tratar Dados Pessoais do Programa nos Estados Unidos e em qualquer outro país onde ela, suas Afiliadas ou seus operadores atuem, desde que cumpra os requisitos de transferência das Leis de Proteção de Dados.

   2. Transferências do EEE. Na medida em que uma divulgação de Dados Pessoais do Programa pela Parte Divulgadora à Parte Receptora constitua uma Transferência Restrita sujeita ao GDPR, as partes concordam com o Módulo Um das SCCs (ou, quando a Seção 8 se aplicar e a Parte Receptora atuar como operadora da Parte Divulgadora, com o Módulo Dois das SCCs), que são incorporadas a este DPA de Parceiro por referência, e:

      1. a Parte Divulgadora é o “exportador de dados” e a Parte Receptora é o “importador de dados”;

      2. aplica-se a cláusula opcional de adesão (docking clause) da Cláusula 7;

      3. na Cláusula 9 do Módulo Dois, aplica-se a Opção 2 (autorização geral por escrito), com o prazo de notificação estabelecido na Seção 8.2(d);

      4. não se aplica a redação opcional da Cláusula 11(a);

      5. na Cláusula 13, a autoridade de controle competente é determinada de acordo com a Cláusula 13(a) e, quando o exportador de dados não estiver estabelecido no EEE e não tiver nomeado um representante nos termos do Artigo 27 do GDPR, a autoridade de controle competente é a Irish Data Protection Commission;

      6. na Cláusula 17, aplica-se a Opção 1 e as SCCs são regidas pelas leis da Irlanda;

      7. na Cláusula 18(b), as disputas serão dirimidas perante os tribunais da Irlanda;

      8. o Anexo I das SCCs é preenchido com as informações do Anexo 1 deste DPA de Parceiro; e

      9. o Anexo II das SCCs é preenchido com as informações do Anexo 2 deste DPA de Parceiro.

   3. Transferências do Reino Unido. Na medida em que uma Transferência Restrita esteja sujeita ao UK GDPR, as SCCs se aplicam na forma prevista na Seção 7.2, conforme alteradas pelo UK Addendum, que é incorporado a este DPA de Parceiro por referência, e: (a) as Tabelas 1 a 3 do UK Addendum são preenchidas com as informações da Seção 7.2 e dos Anexos 1 e 2 deste DPA de Parceiro; e (b) para a Tabela 4, nenhuma das partes poderá encerrar o UK Addendum nos termos da Seção 19 do UK Addendum.

   4. Transferências da Suíça. Na medida em que uma Transferência Restrita esteja sujeita à FADP, as SCCs se aplicam na forma prevista na Seção 7.2, com as seguintes alterações: (a) as referências ao GDPR devem ser entendidas como referências à FADP; (b) as referências a “UE”, “União” e “Estado-Membro” incluem a Suíça, e o termo “Estado-Membro” não impede que titulares de dados na Suíça apresentem reivindicações em seu local de residência habitual; e (c) a autoridade de controle competente é o Swiss Federal Data Protection and Information Commissioner.

   5. Mecanismos alternativos de transferência. Uma parte poderá se basear em uma decisão de adequação, no EU-U.S. Data Privacy Framework e em suas extensões para o Reino Unido e a Suíça (quando essa parte for certificada), ou em qualquer outro mecanismo de transferência reconhecido pelas Leis de Proteção de Dados, em vez das SCCs. Se um mecanismo de transferência adotado nos termos desta Seção 7 for invalidado ou deixar de estar disponível, as partes deverão cooperar de boa-fé para implementar um mecanismo de transferência lícito alternativo, e a Anysphere poderá atualizar este DPA de Parceiro nos termos da Seção 11.2 para essa finalidade.

   6. Outras jurisdições. Quando as Leis de Proteção de Dados de qualquer outra jurisdição exigirem termos contratuais específicos para a transferência de Dados Pessoais do Programa para fora dessa jurisdição, as partes concordam que este DPA de Parceiro (incluindo, quando permitido, as SCCs adaptadas para essa jurisdição) constitui esses termos, e cada parte deverá firmar quaisquer termos de transferência adicionais que a Anysphere razoavelmente disponibilizar no Portal de Parceiros para atender a esses requisitos.

   7. Conflito. Em caso de conflito entre este DPA de Parceiro e as SCCs (inclusive conforme alteradas pelo UK Addendum ou pela Seção 7.4), as SCCs prevalecerão na medida do conflito.

8. Acordos com Operadores.

   1. Aplicação. Esta Seção 8 aplica-se somente quando as partes acordarem expressamente, em um Aditivo, nas Regras do Programa ou em outro documento escrito, que uma parte (a “Parte Operadora”) realizará o tratamento de Dados Pessoais do Programa em nome da outra parte (a “Parte Instrutora”) e de acordo com as instruções documentadas desta, por exemplo, quando o Parceiro coletar inscrições em nome da Anysphere para um evento organizado pela Anysphere. Para esse tratamento, a Parte Instrutora é a controladora e a Parte Operadora é sua operadora (e, quando aplicável, sua prestadora de serviços ou contratada nos termos das Leis Estaduais de Privacidade dos EUA), e as Seções 3.1 e 5.1 não se aplicam a esse tratamento.

   2. Obrigações da Operadora. A Parte Operadora deverá:

      1. realizar o tratamento dos Dados Pessoais do Programa somente de acordo com as instruções documentadas da Parte Instrutora, inclusive no que diz respeito a transferências, salvo se a legislação aplicável exigir de outra forma (caso em que deverá informar a Parte Instrutora antes do tratamento, a menos que a lei o proíba), e informar prontamente a Parte Instrutora se, em sua opinião, uma instrução violar as Leis de Proteção de Dados;

      2. garantir que as pessoas autorizadas a realizar o tratamento dos Dados Pessoais do Programa estejam sujeitas a obrigações de confidencialidade;

      3. implementar as medidas descritas no Anexo 2 e quaisquer outras medidas exigidas pelo Artigo 32 do GDPR, quando aplicável;

      4. não contratar outro operador sem a autorização geral por escrito da Parte Instrutora, a qual a Parte Instrutora concede para os operadores indicados pela Parte Operadora no momento em que o acordo for celebrado; notificar a Parte Instrutora com antecedência mínima de trinta (30) dias (o que a Anysphere poderá fazer por meio do Portal de Parceiros ou de sua página de suboperadores) sobre qualquer inclusão ou substituição pretendida, período durante o qual a Parte Instrutora poderá se opor com base em fundamentos razoáveis de proteção de dados; vincular cada operador a termos escritos que ofereçam, no mínimo, o mesmo nível de proteção desta Seção 8; e permanecer responsável pela atuação de cada operador;

      5. considerando a natureza do tratamento, auxiliar a Parte Instrutora, por meio de medidas apropriadas, no atendimento às solicitações dos titulares dos dados e no cumprimento de suas obrigações relativas à segurança, à notificação de Violações de Dados Pessoais, às avaliações de impacto sobre a proteção de dados e à consulta prévia às autoridades de controle;

      6. notificar a Parte Instrutora sem demora injustificada e, em qualquer caso, no prazo de quarenta e oito (48) horas após tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Programa tratados em nome da Parte Instrutora;

      7. a critério da Parte Instrutora, excluir ou devolver os Dados Pessoais do Programa ao término do tratamento e excluir as cópias existentes, salvo se a legislação aplicável exigir sua retenção;

      8. disponibilizar à Parte Instrutora as informações razoavelmente necessárias para demonstrar a conformidade com esta Seção 8, bem como permitir e contribuir com auditorias, incluindo inspeções, realizadas pela Parte Instrutora ou por um auditor independente por ela designado, no máximo uma vez a cada período de doze (12) meses (exceto após uma Violação de Dados Pessoais ou quando exigido por uma autoridade de controle), mediante aviso prévio de pelo menos trinta (30) dias, sujeito a obrigações razoáveis de confidencialidade e às custas da Parte Instrutora, ressalvado que a Parte Operadora poderá, alternativamente, fornecer certificações independentes ou relatórios de auditoria atualizados, desde que abranjam razoavelmente o escopo da auditoria; e

      9. quando as Leis Estaduais de Privacidade dos EUA se aplicarem: não vender nem compartilhar os Dados Pessoais do Programa; não retê-los, usá-los ou divulgá-los para qualquer finalidade que não sejam as finalidades comerciais especificadas pela Parte Instrutora, nem fora da relação comercial direta entre as partes; não combiná-los com Dados Pessoais recebidos de outras fontes, exceto conforme permitido pelas Leis Estaduais de Privacidade dos EUA; cumprir as Leis Estaduais de Privacidade dos EUA e oferecer o mesmo nível de proteção de privacidade que elas exigem; notificar a Parte Instrutora caso não consiga mais cumprir suas obrigações; e permitir que a Parte Instrutora tome medidas razoáveis e apropriadas para interromper e corrigir qualquer uso não autorizado.

9. Responsabilidade e Medidas Reparatórias.

   1. Responsabilidade. A responsabilidade de cada parte decorrente deste DPA de Parceiro ou a ele relacionada, incluindo aquela prevista nas SCCs entre as partes, está sujeita à Seção 17 (Limitação de Responsabilidade) do Contrato de Parceiro, incluindo o tratamento dado às Reivindicações Excluídas, conforme modificado por qualquer Adendo aplicável. Nada neste DPA de Parceiro limita a responsabilidade de qualquer das partes perante os titulares dos dados nos termos das SCCs, nem qualquer responsabilidade que não possa ser limitada nos termos da legislação aplicável.

   2. Indenização. A violação deste DPA de Parceiro pelo Parceiro constitui violação do Contrato de Parceiro para fins da Seção 16.1 (Indenização pelo Parceiro) do Contrato de Parceiro.

   3. Suspensão. Se o Parceiro violar este DPA de Parceiro, ou se a Anysphere acreditar razoavelmente que continuar a divulgar Dados Pessoais do Programa ao Parceiro violaria as Leis de Proteção de Dados, a Anysphere poderá, sem qualquer responsabilidade, suspender a divulgação de Dados Fornecidos pela Anysphere ao Parceiro, bem como a capacidade do Parceiro de enviar Dados Pessoais do Programa, sem prejuízo dos direitos que lhe são conferidos pela Seção 18 (Vigência e Rescisão) do Contrato de Parceiro.

10. Verificação de conformidade.

    1. Parceiro. Mediante solicitação razoável e por escrito da Anysphere, no máximo uma vez a cada período de doze (12) meses (exceto após uma Violação de Dados Pessoais, a pedido de uma autoridade supervisora ou quando a Anysphere tiver motivos razoáveis para suspeitar de não conformidade), o Parceiro deverá preencher um questionário escrito e razoável sobre privacidade e segurança e fornecer documentação comprobatória razoável que demonstre sua conformidade com este DPA do Parceiro. Os direitos da Anysphere previstos na Seção 20.5 (Registros) do Contrato de Parceria abrangem também a conformidade do Parceiro com este DPA do Parceiro.

    2. Anysphere. A Anysphere disponibiliza informações sobre seu programa de segurança, incluindo seu relatório SOC 2 Tipo II, por meio de sua Central de Confiança em https://trust.cursor.com (ou em outra URL que a Anysphere venha a designar periodicamente, mediante notificação ao Parceiro), e deverá responder às perguntas razoáveis e por escrito do Parceiro sobre o tratamento, pela Anysphere, dos Dados Fornecidos pelo Parceiro.

11. Vigência, Atualizações e Disposições Gerais.

    1. Vigência. Este DPA de Parceiro entra em vigor na data que ocorrer primeiro entre (a) a data em que o Parceiro aceitar este DPA de Parceiro (inclusive mediante a aceitação do Contrato de Parceiro) por meio do Portal de Parceiros; ou (b) a data da primeira participação do Parceiro no Programa de Parceiros, conforme permitido pela Anysphere, após este DPA de Parceiro lhe ter sido apresentado ou disponibilizado, e permanece em vigor enquanto qualquer das partes realizar o tratamento de Dados Pessoais do Programa recebidos da outra parte. As Seções 5.8, 9 e 11 subsistirão a qualquer expiração ou rescisão deste DPA de Parceiro ou do Contrato de Parceiro.

    2. Atualizações. A Anysphere poderá atualizar este DPA de Parceiro de acordo com a Seção 20.4 (Alterações e Atualizações do Programa) do Contrato de Parceiro, publicando o DPA de Parceiro atualizado no Portal de Parceiros ou na URL aplicável. As atualizações necessárias para cumprir as Leis de Proteção de Dados, ou orientações ou decisões de uma autoridade supervisora, poderão entrar em vigor no momento da publicação ou conforme exigido por lei. Nenhuma atualização modificará as SCCs ou o Adendo do Reino Unido, exceto para adotar uma versão alterada ou substitutiva emitida pela autoridade competente.

    3. Ordem de Precedência. Este DPA de Parceiro é um dos Adendos do Contrato de Parceiro. Exceto conforme estabelecido neste DPA de Parceiro, o Contrato de Parceiro permanecerá inalterado e em pleno vigor e efeito. Com relação ao tratamento de Dados Pessoais do Programa, em caso de conflito, aplica-se a seguinte ordem de precedência, na medida do conflito: (a) as SCCs, na medida em que forem aplicáveis; (b) este DPA de Parceiro; (c) o Contrato de Parceiro e quaisquer outros Adendos; e (d) as Regras do Programa.

    4. Lei Aplicável e Disputas. Exceto conforme exigido pelas SCCs ou pelas Leis de Proteção de Dados, este DPA de Parceiro é regido pela lei estabelecida na Seção 19 (Resolução de Disputas) do Contrato de Parceiro, e as disputas dele decorrentes serão resolvidas na forma prevista nessa mesma Seção.

    5. Afiliadas. Quando as Afiliadas do Parceiro participarem do Programa de Parceiros nos termos da Seção 2.3 do Contrato de Parceiro, o Parceiro aceita este DPA de Parceiro em nome delas, deverá garantir que elas o cumpram e permanece responsável pela conformidade delas. As Afiliadas da Anysphere que realizam o tratamento de Dados Fornecidos pelo Parceiro poderão invocar e fazer cumprir este DPA de Parceiro como terceiras beneficiárias expressas, além dos direitos de terceiros beneficiários previstos na Seção 20.6 (Terceiros Beneficiários) do Contrato de Parceiro.

    6. Contatos de Privacidade. O Parceiro deverá designar um contato de privacidade no Portal de Parceiros; caso não o faça, a Anysphere poderá enviar notificações nos termos deste DPA de Parceiro ao Administrador do Portal de Parceiros do Parceiro. O contato de privacidade da Anysphere é legal@cursor.com, ou outros dados de contato que a Anysphere venha a designar periodicamente por meio do Portal de Parceiros ou por e-mail enviado ao contato de privacidade designado pelo Parceiro.

    7. Ausência de Outros Terceiros Beneficiários. Exceto conforme estabelecido na Seção 11.5 e conforme previsto para os titulares dos dados nas SCCs, este DPA de Parceiro não cria direitos para nenhum terceiro.

ANEXO 1 – Descrição do Tratamento

Este Anexo 1 também constitui o Anexo I das SCCs nos casos em que as SCCs se aplicam nos termos da Seção 7.

Parte A – Lista das Partes

Parte B – Tratamento por Atividade do Programa de Parceiros

Parte C – Outros Detalhes do Tratamento

Finalidades do tratamento: Conforme descrito na Seção 5.1.

Natureza do tratamento: Coleta, registro, organização, estruturação, armazenamento, recuperação, consulta, uso, análise (incluindo revisão automatizada e assistida por IA nos termos da Seção 5.9), divulgação por transmissão, alinhamento ou combinação, restrição, eliminação e destruição.

Dados Sensíveis: As partes não pretendem trocar Dados Sensíveis além de (a) Dados de Triagem de Conformidade, que podem incluir informações sobre vínculo com o setor público e supostas infrações, e (b) identificadores de pagamento e fiscais. Medidas de proteção: limitação de finalidade, restrições de acesso com base na necessidade de conhecimento, criptografia em trânsito e em repouso e retenção limitada, conforme descrito nas Seções 4.4 e 5.8.

Frequência da transferência: Contínua, durante a vigência do Contrato de Parceiro.

Período de retenção: Conforme descrito na Seção 5.8.

Destinatários e transferências subsequentes: Conforme descrito na Seção 5.4.

Autoridade supervisora competente: Conforme descrito na Seção 7.2(e), para transferências do EEE; o UK Information Commissioner, para transferências do Reino Unido; e o Swiss Federal Data Protection and Information Commissioner, para transferências da Suíça.

ANEXO 2 – Medidas Mínimas de Segurança

Este Anexo 2 também constitui o Anexo II das SCCs quando as SCCs se aplicarem nos termos da Seção 7. Cada parte deverá manter, no mínimo, as seguintes medidas para os Dados Pessoais do Programa sob sua posse, guarda ou controle:

1. Governança. Um programa formal de segurança da informação, por escrito, com um responsável designado, além de políticas de segurança e privacidade revisadas pelo menos uma vez por ano.

2. Controle de acesso. Acesso baseado em funções segundo o princípio do menor privilégio, IDs de usuário exclusivos, autenticação multifator para sistemas que armazenam Dados Pessoais do Programa (incluindo contas do Portal de Parceiros, quando disponível) e remoção imediata do acesso, em qualquer caso em até cinco (5) dias úteis, após um indivíduo mudar de função ou deixar a organização.

3. Pessoal. Obrigações de confidencialidade para todo o pessoal com acesso, verificação de antecedentes quando permitida por lei e adequada à função, e treinamento em segurança e privacidade pelo menos uma vez por ano.

4. Criptografia. Criptografia dos Dados Pessoais do Programa em trânsito, usando TLS 1.2 ou superior, e em repouso, usando criptografia padrão do setor.

5. Segurança de endpoints e de rede. Dispositivos gerenciados com proteção de endpoint, aplicação tempestiva de patches de segurança e controles de rede, como firewalls e detecção de intrusão.

6. Registro de logs e monitoramento. Registro de logs de acesso a sistemas que armazenam Dados Pessoais do Programa e monitoramento destinado a detectar acessos não autorizados.

7. Gerenciamento de vulnerabilidades. Varredura regular de vulnerabilidades e remediação tempestiva das vulnerabilidades identificadas, de acordo com sua gravidade.

8. Gerenciamento de operadores. Due diligence de segurança e privacidade sobre operadores antes da contratação, e proteções contratuais por escrito consistentes com este DPA de Parceiro.

9. Resposta a incidentes. Um plano de resposta a incidentes documentado e testado periodicamente, que permita à parte cumprir os prazos de notificação previstos neste DPA de Parceiro.

10. Continuidade de negócios. Procedimentos de backup e recuperação adequados ao risco.

11. Minimização e descarte. Coleta limitada ao necessário e exclusão segura ou anonimização dos Dados Pessoais do Programa quando não forem mais necessários.

12. Ferramentas aprovadas. Tratamento dos Dados Pessoais do Programa somente em sistemas corporativos aprovados, e não em contas de e-mail pessoais, dispositivos pessoais sem controles adequados ou ferramentas de IA não aprovadas.

Além disso, a Anysphere mantém as medidas técnicas e organizacionais descritas em seu relatório SOC 2 Tipo II e em sua Central de Confiança em https://trust.cursor.com (ou em outra URL que a Anysphere venha a designar, periodicamente, mediante notificação ao Parceiro).