A SurveyMonkey fornece seus serviços no mundo todo por meio de seus subprocessadores globais. No contrato firmado com você, prometemos que cada transferência de dados pessoais para nós cumpra com a lei de proteção de dados aplicável. Nós transferimos dados pessoais somente para subprocessadores que os protegem com recursos tão rigorosos quanto os recursos que aplicamos aos dados pessoais sob nosso poder.

Além disso, as medidas complementares que tomamos são alinhadas à decisão proferida em 16 de julho de 2020 pelo Tribunal de Justiça da União Europeia (“TJUE”) no Caso C-311/18, Comissão de Proteção de Dados x Facebook Ireland Limited e Maximilian Schrems (“Schrems II”) e à orientação do Conselho de Proteção de Dados Europeu (“CPDE”) com respeito a medidas adicionais. Informações mais detalhadas abaixo.

Para obter mais informações sobre como processamos os dados pessoais em geral, consulte nosso Aviso de Privacidade.

Parte I: transferências para a SurveyMonkey

Parte II: Transferências subsequentes para subprocessadores

Se você é cliente dos EUA, seu contrato incluirá um aditivo de proteção de dados (“APD”) com a entidade da SurveyMonkey nos EUA: SurveyMonkey Inc. Se tiver usuários no Espaço Econômico Europeu (“EEE”), no Reino Unido ou na Suíça e, portanto, precisar de um mecanismo de transferência de dados de usuários para a SurveyMonkey, você pode solicitar que adicionemos o mecanismo de transferência relevante. Se você é Cliente de autoatendimento, nosso APD online já contém esses mecanismos de transferência.

Além das Cláusulas Contratuais Padrão (CCPs) e como medida secundária, a SurveyMonkey Inc. também certifica sua conformidade com o DPF UE-EUA, ou seja, a Comissão Europeia considera nosso processamento “adequado” nos termos do Artigo 45(3) do RGPD. Assim que forem aprovados pelas autoridades do Reino Unido e da Suíça, respectivamente, a SurveyMonkey também certificará sua conformidade com o Adendo do Reino Unido ao DPF UE-EUA e os Princípios do DPF Suíça-EUA.

Se você é Cliente residente no EEE, no Reino Unido ou na Suíça, seu contrato incluirá um aditivo de proteção de dados (“APD”) com a entidade da SurveyMonkey da Irlanda: SurveyMonkey Europe UC. Como a transferência de você para a SurveyMonkey é entre entidades europeias para as quais não é necessário mecanismo de transferência (ou que reconheceu o status mútuo de adequação), não é necessário qualquer outro mecanismo de transferência.

Se você é Cliente residente fora dos EUA, do EEE, do Reino Unido ou da Suíça, mas tem usuários no EEE, no Reino Unido ou na Suíça e precisa assegurar-se de que existe um mecanismo de transferência para transferências subsequentes, seu contrato incluirá um APD com a entidade SurveyMonkey da Irlanda, a SurveyMonkey Europe UC, e você pode solicitar que adicionemos o mecanismo de transferência relevante. Se você é Cliente de autoatendimento, nosso APD online já contém esses mecanismos de transferência.

Você transfere dados pessoais à SurveyMonkey para que possamos processar os dados pessoais para as seguintes finalidades:

Avalie se você transfere dados para alguma finalidade diferente.

Os dados pessoais do Cliente transferidos à SurveyMonkey podem ter todas as informações pessoais que você decidir fornecer nas suas perguntas em pesquisas, formulários e questionários. Como plataforma, pressupomos que uma grande variedade de dados pessoais, inclusive dados de categoria potencialmente especial, é coletada por você. 

As informações que coletamos estão especificadas na seção 2 do nosso Aviso de privacidade.

Como se indica acima, você firmará um contrato com uma entidade da SurveyMonkey nos EUA ou Irlanda, dependendo da sua localização. Com base na assessoria fornecida por consultores externos especializados em proteção de dados e análise das leis às quais a SurveyMonkey está sujeita, acreditamos que o risco associado com o regime jurídico nos EUA seja baixo, e o risco associado com o regime jurídico na Irlanda seja de zero risco material ao sujeito dos dados. Veja a seção "Medidas adicionais: organização" abaixo para mais informações sobre a legislação dos EUA especificamente.

Mesmo onde houver um baixo risco material ou nenhum risco devido ao regime jurídico no país de destino, a SurveyMonkey implementou medidas adicionais para proteger ainda mais os dados pessoais. As medidas adicionais estão divididas em três categorias: (i) contratual; (ii) organizacional; e (iii) proteções técnicas. 

Conforme descrito acima, a SurveyMonkey concorda em celebrar CCPs com seus Clientes. Segundo a resolução Schrems II, as partes podem usar CCPs e, sempre que apropriado, outras proteções para transferir dados pessoais do Reino Unido, da Suíça e do EEE (“Dados Europeus”) para os Estados Unidos. Se você celebrou um contrato com a SurveyMonkey ou usa seus serviços de outra maneira de forma que ela precise processar dados pessoais de sujeitos de Dados Europeus (conforme apropriado dependendo da entidade que você está contratando), a SurveyMonkey: 

Para obter mais informações sobre nosso acordo que será vinculado pelas Cláusulas Contratuais Padrão, consulte os Termos de Uso (para clientes de autoatendimento), o Contrato principal de serviços (para clientes SurveyMonkey Enterprise e GetFeedback Digital) ou outro acordo que você possa ter negociado com a SurveyMonkey.

As preocupações do CJEU sobre as transferências de dados para os Estados Unidos basearam-se na coleta de dados nos EUA sob a Ordem Executiva 12333 (“EO 12333”) e sob a Seção 702 da Lei de Vigilância da Inteligência Estrangeira (“FISA § 702”), especialmente a vigilância “upstream” no âmbito da FISA § 702.  Os riscos presentados por essas cláusulas legais dos EUA não se aplicam ao processamento da SurveyMonkey de dados pessoais ou podem ser suficientemente mitigados pelas proteções organizacionais que a SurveyMonkey oferece.

Além disso, em 10 de julho de 2023, a Comissão Europeia adotou sua decisão de adequação ao DPF UE-EUA. A decisão de adequação conclui que os Estados Unidos garantem um nível adequado de proteção (comparado ao nível da UE) para os dados pessoais transferidos da UE para empresas dos EUA que aderem ao DPF UE-EUA.

A decisão de adequação segue a assinatura de uma Ordem Executiva pelos EUA relacionada ao “Aprimoramento de proteções para atividades de inteligência de sinais dos Estados Unidos”, que introduziu novas proteções vinculativas para abordar os pontos levantados pelo Tribunal de Justiça da UE na decisão Schrems II, de julho 2020. Em particular, as novas obrigações visam garantir que os dados possam ser acessados por agências de inteligência dos EUA somente na medida necessária e proporcional, e estabelecer um mecanismo de reparação independente e imparcial para tratamento e solução de reclamações de cidadãos europeus relativas à coleta de seus dados para fins de segurança nacional (consulte: https://ec.europa.eu/commission/presscorner/detail/en/qanda_23_3752).

A SurveyMonkey não é elegível para receber pedidos de vigilância “upstream” ou em massa sob a FISA § 702. A SurveyMonkey Inc. atua, em parte, como um serviço de comunicações eletrônicas (“SCE”) e, potencialmente, um serviço de computação remota (“SCR”) (como se define nas Seções 2510 e 2711 do Título 18 USC, respectivamente) em conexão com certos serviços ou recursos de produtos que fornecemos aos Clientes.  A SurveyMonkey Inc. está entre o grande grupo de empresas sobre a qual o governo dos Estados Unidos poderia servir uma diretriz específica sob o FISA § 702.  Porém, à medida que o governo interpretou e aplicou o FISA § 702, a SurveyMonkey não é elegível para receber o tipo de pedido que foi a principal preocupação para o CJEU na decisão do Schrems II, por exemplo, uma ordem do FISA § 702 para vigilância “upstream”.  Como o governo dos EUA aplicou o FISA § 702, ele usa as ordens upstream apenas para segmentar o tráfego que passa pelos fornecedores estruturais da internet que transportam o tráfego da internet para terceiros (por exemplo, operadoras de telecomunicações).  Por exemplo, veja o relatório do Conselho de Supervisão de Privacidade e Liberdades Civis, o Relatório sobre o Programa de Vigilância Operado Segundo a Seção 702 da Lei de Vigilância da Inteligência Exterior (2 de julho de 2014), páginas 35-40, disponível em https://fas.org/irp/offdocs/pclob-702.pdf.  A SurveyMonkey não fornece esses serviços estruturais da internet, pois apenas transportamos tráfego que envolvam nossos próprios clientes.  Portanto, não somos elegíveis para receber o tipo de ordem principalmente abordada, e considerada problemática na decisão do Schrems II.

A SurveyMonkey não recebeu nenhuma diretriz no âmbito do FISA § 702, e é improvável que recebamos alguma. Até a data desta declaração, a SurveyMonkey não recebeu nenhuma diretriz no âmbito do FISA § 702 e não há motivo para acreditar que em algum momento ela possa receber essa diretriz.  É altamente improvável que os dados pessoais que a SurveyMonkey processa para nossos clientes (dados de feedback) sejam relevantes para as atividades de inteligência estrangeira regidas pelo FISA § 702.  Além disso, caso algum dado pessoal seja relevante para alguma investigação, é mais provável que o governo procure esses dados por outros meios jurídicos (como um mandato de busca aprovado por um juiz) que satisfaçam os altos padrões para o acesso governamental aos dados descritos na resolução do Schrems II.  Isso se deve ao fato de que seria muito mais rápido e fácil para o governo aplicar uma ordem ou mandato que o FISA § 702 para implementar mecanismos exigidos para o governo para apresentar diretrizes à SurveyMonkey no âmbito do FISA § 702.

A SurveyMonkey não ajuda (e não pode ser obrigada a ajudar) as autoridades dos EUA na coleta de informações sob a Ordem Executiva 12333. A SurveyMonkey não presta e não prestará qualquer assistência às autoridades dos EUA que conduzem vigilância no âmbito da EO 12333.  A EO 12333 não concede ao governo dos EUA a possibilidade de obrigar as empresas a prestar assistência com essas atividades, e a SurveyMonkey não fará isso voluntariamente.  Consequentemente, a SurveyMonkey não toma, nem pode ser obrigada a tomar, qualquer medida para facilitar o tipo de vigilância em massa prevista na resolução do Schrems II da EO 12333 considerada problemática.

A SurveyMonkey fornece uma variedade de medidas técnicas que erradicam as principais deficiências citadas na resolução do Schrems II referente ao citado (vigilância em massa prevista no FISA § 702 e intercepções em massa previstas na EO 12333).  

A SurveyMonkey criptografa todos os dados inativos em nossos centros de dados usando criptografia AES-256. Ela também criptografa todos os dados ativos com: (i) certificados RSA-2048 gerados por uma Autoridade de Certificação pública em comunicações com entidades de fora de seus centros de dados; e (ii) certificados RSA-256 gerados pela Autoridade de Certificação Interna com todos os dados do centro de dados.  Esses esforços de criptografia visam a prevenir a aquisição não autorizada de dados de forma inteligível e a prevenção de grampos/adulterações quando os dados estão em trânsito entre dois pontos. 

Alguns clientes da SurveyMonkey (por exemplo, clientes da GetFeedback Digital) têm seus dados armazenados apenas na União Europeia. Nesses casos, os dados não são armazenados nos EUA e um mínimo acesso a esses dados ocorre nos Estados Unidos para fins limitados (por exemplo, para prestar suporte ao cliente sob pedido para seguir o suporte do sun.security e/ou recursos de engenharia limitados para resolver problemas/bugs técnicos ou criar sistemas).

A SurveyMonkey também mantém procedimentos administrativos, técnicos e físicos rigorosos para proteger as informações armazenadas em seus servidores. O acesso às informações pessoais é limitado por meio de credenciais de login aos colaboradores que precisam delas para realizar seu trabalho. A SurveyMonkey implementa técnicas de minimização de dados para limitar o volume de dados pessoais transferidos da UE para jurisdições de terceiros incluindo, quando for o caso, a pseudonimização ou a desidentificação dos dados. Além disso, a SurveyMonkey usa controles de acesso, tais como a autenticação de multifatores, o login unificado, o acesso apenas se necessário, fortes controles de senhas e acesso restrito a contas administrativas.  

Além disso, enquanto SCE/SCR, a SurveyMonkey está sujeita à Lei de Privacidade de Comunicações Eletrônicas, 18 USC. § 2701, et seq. dos EUA  (“ECPA”, na sigla em inglês), que fornece proteção aos Clientes da SurveyMonkey.  Por exemplo, a ECPA proíbe que órgãos do governo procurem informações sobre Clientes de serviços como a SurveyMonkey, a não ser que esses órgãos primeiro passem pelo processo jurídico apropriado, incluindo mandato judicial ou mandato de busca para as informações, diferente das informações básicas do assinante.  Do mesmo modo, tanto o FISA quanto a ECPA fornecem aos Clientes da SurveyMonkey reparação contra o governo dos EUA (incluindo danos monetários ou medidas disciplinares contra as autoridades governamentais relevantes) se obtém inadequadamente informações sobre eles (ver 18 USC. § 2712).

Igualmente, a assessoria jurídica externa da SurveyMonkey, com a qual trabalha há muito tempo, tem experiência em responder aos pedidos de dados de usuários do governo dos EUA previstos no FISA § 702.  A política da SurveyMonkey é transferir essas solicitações à própria equipe interna de conformidade legal da SurveyMonkey e, se necessário, a essa assessoria externa para avaliação.  Sempre que for o caso, a SurveyMonkey pretende usar os mecanismos jurídicos disponíveis para contestar as demandas de acesso aos dados usando o FISA § 702 (incluindo quaisquer cláusulas ou ordens de não revelação anexas a elas) no caso improvável de que a SurveyMonkey receba essa demanda.  A demanda então seria analisada por um tribunal dos EUA (o Tribunal do FISA). 

A SurveyMonkey também reconhece que uma ordem para fornecer acesso aos dados no âmbito do FISA § 702 exige que a SurveyMonkey notifique nossos Clientes de que não poderíamos cumprir com as Cláusulas Contratuais Padrão, permitindo que rescindam o contrato conosco e suspendam os fluxos de dados para nós.  Nunca tivemos de emitir uma notificação desse tipo.

Considerando a análise acima, acreditamos que o risco de danos ao sujeito dos dados não é material.

A tabela abaixo resumo nossa conclusão da avaliação do impacto da transferência.

Um risco "não material" significa que os dados pessoais são transferidos a uma jurisdição que foi considerada apropriada pela Comissão Europeia (e, assim, as proteções jurídicas são equivalentes às da Europa), e que existem medidas contratuais, técnicas e organizacionais vigentes para proteger ainda mais os dados.

Um risco "baixo" significa que os dados pessoais são transferidos a uma jurisdição com um mecanismo do RGPD Capítulo V em vez da adequação. Enquanto as proteções jurídicas são não necessariamente equivalentes às da Europa, a transferência ainda cumpre com as normas legais e é amparada por medidas contratuais, técnicas e organizacionais vigentes para proteger ainda mais os dados.

Os subprocessadores são fornecedores da SurveyMonkey que processam os dados pessoais dos seus usuários para ajudar a SurveyMonkey a prestar o serviço a você. Todos os subprocessadores da SurveyMonkey têm um vínculo contratual para proteger os dados pessoais com medidas de proteção não menos rigorosas do que o padrão que aplicamos aos dados pessoais sob nosso poder.

Quando a SurveyMonkey transfere dados pessoais aos subprocessadores, realizamos uma Avaliação do Impacto da Transferência ("AIT") similar às etapas mencionadas acima. Fazemos isso para garantir que seus dados pessoais estejam protegidos em cada etapa, tal como exige a lei de proteção de dados e o contrato que firmamos com você. Fornecemos um resumo dos pontos mais importantes da AIT para cada subprocessador abaixo.

Observe que nem todos os subprocessadores são usados para prestar todos os nossos Serviços. Nossa lista de subprocessadores está segmentada por serviços específicos da SurveyMonkey. 

Se quiser receber avisos quando houver atualizações na nossa Lista de subprocessadores, inscreva-se aqui.

Faça download da nossa lista de subprocessadores atuais em PDF.