Acordo de Tratamento de Dados (“DPA”)

• 1. Considerando

  As Leis de Proteção de Dados exigem que qualquer Tratamento de Dados Pessoais realizado por um Operador seja regido por um contrato entre tal Operador e o Controlador e, além disso, que as Partes realizem uma avaliação de seus papéis para qualquer Tratamento; portanto, as Partes desejam definir detalhadamente sua relação de tratamento de dados de acordo com os termos estabelecidos neste DPA.

• 2. Definições e interpretações

  Neste DPA, os termos "Controlador", "Titular dos Dados", "Dados Pessoais", "Processar", "Operador", "Pseudonimização" e "Autoridade Supervisora" terão os significados atribuídos a eles de acordo com as Leis de Proteção de Dados ou, quando não especificamente definidos, os significados de termos análogos de acordo com as Leis de Proteção de Dados.

  As seguintes palavras e frases terão os significados abaixo:

  “Serviços de Aquisição” significa um serviço de pagamento que gera uma transferência de fundos para o Companhia por meio da Adyen, envolvendo autorização, registro, compensação e liquidação de Transações de acordo com as Regras do Esquema;

  “Leis de Proteção de Dados” significa todas as leis, regulamentos e regras aplicáveis ao Processamento de Dados Pessoais por uma Parte, conforme alterados de tempos em tempos, incluindo mas não se limitando  a Lei Geral de Proteção de Dados Pessoais Nº 13.709/18 (“LGPD”),

  “Colaborador” significa qualquer empregado, agente contratado, trabalhador terceirizado ou qualquer outra pessoa que trabalhe sob a autoridade direta de uma Parte;

  “Instrução” significa a instrução documentada do Controlador para o Operador para a realização de uma ação específica nos termos do Contrato (incluindo todos os seus Anexos), que direta ou indiretamente envolva o Tratamento de Dados Pessoais;

   “Violação de Dados Pessoais” significa uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a Dados Pessoais transmitidos, armazenados ou de outra forma Tratados.

  “Suboperador” significa qualquer empresa contratada pelo Operador para Tratar Dados Pessoais em nome do Operador.

• 3. Funções e Termos Aplicáveis

  3.1.    Com relação ao Tratamento pela Adyen de quaisquer Dados Pessoais para os Serviços da Adyen na condição de Operador, os termos do Anexo 1 deste DPA se aplicam na medida em que a Adyen for considerada como Operador.

  3.2.    No que diz respeito ao Tratamento pela Adyen de quaisquer Dados Pessoais na condição de Controlador, incluindo para a prestação dos Serviços de Aquisição no âmbito do Contrato, em relação ao Tratamento pela Adyen de qualquer informação de contato comercial do Companhia ou informações “Know Your Customer”, conforme exigido nas leis contra lavagem de dinheiro e financiamento de terrorismo, Processar Dados Pessoais para cumprir com as obrigações legais da Adyen, como o monitoramento de transações financeiras e em relação a quaisquer novos Serviços da Adyen adicionais ou funcionalidades dos Serviços da Adyen quando esta assumir a função de Controladora, os termos do Anexo 2 deste DPA devem ser aplicados. O tratamento de Dados Pessoais para esses fins é regido pela Política de Privacidade da Adyen (disponível online em adyen.com ou em qualquer outro site sucessor), conforme alterado de tempos em tempos.

  3.3.    Cada Parte compromete-se a cumprir suas obrigações de acordo com as Leis de Proteção de Dados aplicáveis.

  Este DPA é acordado e celebrado conforme estabelecido abaixo.

  Anexos que fazem parte deste DPA:

  Anexo 1: Termos do Controlador para o Operador

  Anexo 2: Termos do Controlador para o Controlador

  Anexo 3:Programa de Segurança e Proteção de Dados Pessoais

  Anexo 4: Descrição do Tratamento

• Anexo 1 do DPA – Termos do Controlador para o Operador

  • 1.         Escopo de Tratamento e Obrigações Gerais

    1.1.    Para o Tratamento de Dados Pessoais nos termos do Contrato, onde o Companhia atua como Controlador de dados  e a Adyen atua como Operadora de dados, . Cada Parte compromete-se a cumprir suas obrigações de acordo com as Leis de Proteção de Dados, sendo a única responsável pelo cumprimento das Leis de Proteção de Dados que lhes forem aplicáveis.

    1.2.    O Operador tratará os Dados Pessoais de maneira consistente com este DPA, as Instruções do Controlador e/ou na medida necessária para prestar os Serviços ao Controlador no âmbito do Contrato e de acordo com as leis e regulamentos aplicáveis. O Anexo 3 contém uma descrição dessas atividades de Tratamento.

    1.3.    O Controlador decide que categorias de dados serão enviadas ao Operador. O Controlador (e seus auditores) terão acesso aos Dados Pessoais dos Clientes Tratados pelo Operador por meio da Área do Cliente.

    1.4.    O Contrato e este DPA considerarão como Instruções do Controlador para o Operador para o Tratamento de Dados Pessoais. O Controlador é responsável por garantir que as Instruções fornecidas ao Operador para Tratar os Dados Pessoais estejam de acordo com as Leis Aplicáveis . Em caso de violação de tais leis, o Controlador indenizará e isentar o Operador de qualquer reivindicação ou reclamação de um Titular dos Dados daí decorrente. O Operador notificará o Controlador sempre que considerar que as Instruções do Controlador possam estar violando quaisquer Leis de Proteção de Dados. Qualquer falha do Operador em notificar o Controlador não afetará a responsabilidade do Controlador por suas Instruções.

    1.5.    Para evitar dúvidas, o Operador não será responsável pelo Tratamento de Dados Pessoais por terceiros quando tais Dados Pessoais forem enviados pelo Operador por Instrução do Controlador, tais como Instituidores de Arranjos de Pagamentos e outros Adquirentes. O Tratamento feito por essas partes não é regido por este DPA.

  • 2.         Titular dos Dados

    2.1.    O Operador não tem relacionamento direto com o Titular dos Dados e informaráos Titulares dos Dados para contatar o Controlador primeiro. O Operador notificará o Controlador, sem atrasos indevidos, a menos que especificamente proibido pelas leis e regulamentos aplicáveis, caso o Operador receba:

                   (a)        quaisquer solicitações de direitos dos titulares com relação aos Dados Pessoais Tratados;

                   (b)       qualquer reclamação relativa ao Tratamento de Dados Pessoais, incluindo alegações de que o Tratamento infringe os direitos de um Titular dos Dados de acordo com a Lei de Proteção de Dados; ou

                   (c)        qualquer ordem, demanda, solicitação ou qualquer outro documento que pretenda obrigar a apresentação de Dados Pessoais de acordo com a legislação aplicável.

    Processor will not respond to any of the above unless expressly authorized to do so by the Controller or as obligated under applicable law or a court order.

    2.2.    Processor will reasonably cooperate with Controller and assist Controller with respect to any action taken relating to such request, complaint, order or other document as described under clause 2.1. As far as reasonably possible and taking into account the nature of the Processing, the information available to Processor, industry practices and costs, Processor will implement appropriate technical and organizational measures to provide Controller with such cooperation and assistance. Where the required information can be retrieved by Controller itself from the systems of Processor through the Customer Area made available by Processor, Controller will retrieve such information itself from the systems of Processor.

  • 3.         Localização dos dados

    O Operador armazenará os Dados Pessoais do Controlador somente em centros de dados localizados na UE, exceto conforme Instruções específicas do Controlador. Os Dados Pessoais originados fora da UE também podem ser tratados em servidores locais ou regionais. O Controlador entende e concorda que, para o cumprimento do Contrato, os Dados Pessoais podem ser acessados por Colaboradores do Operador e/ou do Suboperador, que podem estar localizados fora da UE. As Partes assegurarão que as medidas apropriadas previstas nas Leis de Proteção de Dados estejam em vigor.

  • 4.         Obrigações de segurança

    4.1.    O Operador desenvolverá, implementar e manter medidas de segurança técnicas e organizacionais adequadas para salvaguardar a segurança dos Dados Pessoais de acordo com as Leis de Proteção de Dados. Estas medidas irão garantir um nível adequado de segurança, levando em consideração os riscos envolvidos com o Tratamento e a natureza dos Dados Pessoais, padrões da indústria vigentes e requisitos de segurança obrigatórios aplicáveis ao Operador. As Partes reconhecem que a adequação das medidas de segurança mencionadas nesta cláusula 5ª e no Apêndice 1 pode mudar ao longo do tempo, e que um conjunto eficaz de medidas de segurança exige avaliação frequente e melhoria das medidas de segurança. O Operador, portanto, frequentemente avaliará e restringirá, aumentará ou melhorará tais medidas para garantir a conformidade.

    4.2.    Para garantir um padrão mínimo de proteção, o Operador aplica as medidas de segurança técnicas e organizacionais definidas no Anexo 4 desta DPA:

    (a)        impedir o acesso de pessoas não autorizadas aos sistemas de processamento de Dados Pessoais (controle de acesso físico);

    (b) evitar o uso não autorizado dos sistemas de processamento de Dados Pessoais (controle de acesso)

    (c) fornecer aos usuários autorizados acesso ao sistema de processamento, a fim de acessar os Dados Pessoais necessários para suas tarefas, e impedir a leitura, a cópia, a alteração ou a remoção não autorizada de Dados Pessoais durante o processamento (controle de acesso).

    (d) proteger os Dados Pessoais contra leitura, cópia, modificação ou exclusão não autorizada durante a transmissão eletrônica, transporte ou armazenamento em mídia de armazenamento, e que as entidades destinatárias de qualquer transferência de Dados Pessoais por meio de transmissão de dados possam ser estabelecidas e verificadas (controle de transferência de dados)

    (e) manter uma trilha de auditoria para documentar se os Dados Pessoais foram inseridos, modificados ou removidos de qualquer sistema de processamento e por quem (controle de entrada);

    (f) garantir que os Dados Pessoais sejam processados exclusivamente de acordo com as Instruções (controle de instruções)

    (g) proteger os Dados Pessoais contra destruição ou perda acidental (controle de disponibilidade); e

    (h) processar separadamente os Dados Pessoais coletados para diferentes finalidades (controle de separação).

    4.3.    O Operador terá, pelo menos uma vez por ano, suas medidas técnicas e organizacionais para proteger os Dados Pessoais auditados por um auditor independente externo de acordo com a norma de auditoria ISAE 3402/SOC 1 (ou uma norma de auditoria equivalente selecionada pelo Operador). O Operador, mediante solicitação do Controlador, deve disponibilizar o relatório de auditoria final mais recente de tal auditoria conforme a ISAE 3402/SOC 1 ao Controlador para análise. A auditoria ISAE 3402/SOC 1 será realizada por uma empresa de auditoria profissional independente e com boa reputação. O Operador adere a norma de segurança e confidencialidade de dados PCI DSS e pelo menos uma vez por ano deve ser auditado quanto à conformidade com tal norma. O Operador, no primeiro pedido do Controlador, deverá comprovar o cumprimento atual do Operador, compartilhando sua certificação mais recente de acordo com essa norma.

    4.4.    O Operador garantirá que qualquer Colaborador encarregado do Tratamento de Dados Pessoais tenha assinado obrigações de confidencialidade adequadas e esteja devidamente instruído para desempenhar suas funções de forma a ajudar a garantir a conformidade com os termos deste DPA e tenha sido devidamente instruído a aplicar as normas aplicáveis de segurança e confidencialidade de dados.

  • 5.         Violação de Dados Pessoais

    5.1.    No caso de uma Violação de Dados Pessoais, o Operador notificará o Controlador sem atrasos indevidos a respeito e para que o Controlador cumpra suas obrigações de notificação de acordo com as Leis de Proteção de Dados, após tomar conhecimento de uma Violação de Dados Pessoais. O Operador envidará seus melhores esforços comerciais para abordar o seguinte na notificação:

                   (a)        Descrição da natureza da Violação de Dados Pessoais, incluindo, quando possível, as categorias e o número de Titulares de Dados;

                   (b)       O nome e os dados de contato do representante de proteção de dados do Operador ou outro ponto de contato onde mais informações possam ser obtidas;

                   (c)        Descrição das consequências prováveis da Violação de Dados Pessoais;

                   (d)       Descrição das medidas adotadas ou propostas pelo Operador para lidar com a Violação de Dados Pessoais, incluindo, quando apropriado, medidas para mitigar seus possíveis efeitos adversos.

    Quando não for possível fornecer as informações ao mesmo tempo, as informações podem ser fornecidas em fases, sem atrasos indevidos.

    5.2.    O Operador tomará prontamente as ações necessárias e apropriadas para investigar, mitigar e remediar quaisquer efeitos de uma Violação de Dados Pessoais e prestar assistência ao Controlador para garantir que o Controlador possa cumprir as obrigações específicas previstas nas Leis de Proteção de Dados às quais possa estar sujeito em relação à Violação de Dados Pessoais.

  • 6.         Suboperadores

    O Controlador concede ao Operador, por meio deste, uma autorização geral para a contratação de Suboperadores. O Operador imporá as mesmas obrigações relevantes de proteção de dados aos Suboperadores conforme estabelecido neste DPA, em particular em relação à implementação de medidas técnicas e organizacionais apropriadas. Para evitar dúvidas, caso o Operador use Suboperadores, o Operador permanecerá totalmente responsável perante o Controlador pelo cumprimento de suas obrigações nos termos deste DPA.

  • 7.         Assistência

    Levando em consideração a natureza do Tratamento e das informações disponíveis, o Operador prestará ao Controlador assistência razoável mediante solicitação, no que diz respeito a (i) garantir o cumprimento das obrigações do Controlador de acordo com as Leis de Proteção de Dados; (ii) disponibilizar ao Controlador todas as informações razoáveis necessárias para comprovar o cumprimento das Leis de Proteção de Dados; e (iii) realizar as avaliações de impacto da proteção de dados necessárias quando expressamente exigido pelas leis e regulamentos aplicáveis.

  • 8.         Indenização

    Desde que e na medida em que tal violação não seja causada ou atribuível ao Controlador, o Operador indenizará e manterá o Controlador isento de qualquer reivindicação (incluindo honorários advocatícios razoáveis) movida contra o Controlador por um terceiro como resultado direto de uma violação pelo Operador de seus compromissos de proteção de dados neste DPA. A responsabilidade total do Operador de acordo com esta cláusula de indenização será limitada a um valor equivalente ao total das Taxas de Tratamento pagas pela Companhia à Adyen durante o ano anterior completo (ou se nenhum Serviço foi fornecido no ano anterior, o total das Taxas de Tratamento pagas nos primeiros 12 meses da vigência do Contrato). O Controlador notificará prontamente o Operador por escrito sobre qualquer reivindicação pela qual o Controlador acredita ter direito a ser indenizado de acordo com este DPA. O Operador assumirá imediatamente o controle da defesa e da investigação de tal reivindicação e contratar um advogado de sua escolha para conduzir e defender a mesma, às custas e despesas do Operador.

  • 9.         Prazo e rescisão

    9.1.    Este DPA entrará em vigor na Data de Vigência do Contrato e continuará até a rescisão do referido instrumento, após a qual este DPA será automaticamente rescindido de forma simultânea, com exceção das cláusulas que por sua natureza devam continuar permanecendo em pleno vigor.

    9.2.    O Operador, após a rescisão ou expiração deste DPA, deverá devolver ou excluir quaisquer Dados Pessoais a pedido do Controlador. O Operador deverá confirmar a devolução ou exclusão dos Dados Pessoais por escrito. O Operador não será obrigado a excluir Dados Pessoais quando a retenção pelo Operador for obrigatória para cumprir os requisitos legais aplicáveis ou quando as obrigações de retenção impostas pelos Instituidores de Arranjos de Pagamentos forem aplicáveis às transações de pagamento usando a própria Forma de Pagamento. O Operador, nesse caso, bloqueará os Dados Pessoais para uso posterior, garantirá o armazenamento seguro de tais Dados Pessoais e não usará tais Dados Pessoais para qualquer outra finalidade que não os fins de conformidade. Caso a exclusão de uma transação de pagamento e /ou Dados Pessoais relacionados não seja possível na prática devido a limitações técnicas (levando em consideração o estado da arte e o custo razoável associado a essa exclusão), o Controlador reconhece que o Operador pode escolher usar medidas de pseudoanonimização em vez de excluir certos Dados Pessoais.

• Anexo 2 do DPA – Termos do Controlador

  • 1.         Escopo de Tratamento e Obrigações Gerais

    1.1.    Para o Tratamento de Dados Pessoais ao qual este Anexo se aplica, o Companhia e a Adyen reconhecem e concordam que cada um atuará como Controladores de Dados separados e independentes em relação aos Dados Pessoais que processarem.

    1.2.    Cada Parte compromete-se a cumprir suas obrigações de acordo com as Leis de Proteção de Dados e não fará ou permitirá que nada seja feito que possa levar a outra Parte a violar suas obrigações previstas nas Leis de Proteção de Dados.

    1.3.    Além da Cláusula 1.2, as Partes adotarão todas as medidas exigidas pelas leis e regulamentos aplicáveis e melhores práticas da indústria para garantir a segurança do Tratamento de Dados Pessoais.

  • 2.         Assistência

    Cada Parte cooperará com a outra, na medida razoavelmente solicitada, em relação a qualquer comunicação de uma Autoridade Supervisora sobre o Tratamento de Dados Pessoais, quaisquer solicitações de Titulares de Dados com relação aos seus Dados Pessoais Tratados ou conformidade com as Leis de Proteção de Dados.

• Anexo 3 do DPA – Programa de Segurança e Proteção de Dados Pessoais

  As medidas neste Anexo refletem as proteções e mitigações de risco em vigor para os sistemas e serviços que processam Dados Pessoais. A Adyen se compromete a implementar e manter medidas técnicas e organizacionais pelo menos tão rigorosas quanto as incluídas abaixo (os detalhes podem mudar com o tempo, mas o nível geral de segurança não diminuirá).

  • 1.         Testes e garantias externos independentes

    a. Conselho de Normas de Segurança da Indústria de Cartões de Pagamento (PCI SSC)

    Avaliado anualmente por um QSA certificado pelo PCI SSC.

    Conformidade com o programa PCI:

    • PCI DSS Nível 1;

    • PCI PIN;

    • PCI P2PE;

    • PCI 3DS;

    As certificações de conformidade (AoCs) podem ser compartilhadas mediante solicitação.

    b. SOC 2 Tipo 2

    Avaliado anualmente por um auditor externo.

    O relatório SOC 2 Tipo 2 pode ser compartilhado mediante solicitação.

    c. Testes de segurança

    Testes de segurança internos contínuos.

    Testes de segurança externos independentes contínuos.

    A visão geral do programa pode ser compartilhada mediante solicitação.

  • 2.         Programa de segurança da informação

    Nosso compromisso com a segurança dos dados de clientes, parceiros e funcionários é demonstrado por medidas robustas implementadas ao longo de todo o ciclo de vida dos processos, informações e sistemas, conforme descrito no programa de segurança da informação. Esse programa descreve os processos e componentes implementados pela Adyen para garantir a governança e o gerenciamento da segurança da informação. O escopo do programa de segurança da informação inclui toda a infraestrutura, produtos, aplicativos, software, pessoas, fornecedores, escritórios e centros de dados da Adyen.

    O programa de segurança da informação e seus controles são avaliados anualmente pela função de auditoria interna da Adyen, pela avaliação PCI DSS e pela auditoria SOC 2 Tipo 2. Os controles são revisados trimestralmente pela equipe de Risco Corporativo da Adyen.

    A Adyen se compromete a implementar e manter os controles estabelecidos no programa de segurança da informação. O programa de segurança pode ser compartilhado mediante solicitação.

  • 3.         Equipe de Segurança

    A Adyen opera e mantém uma equipe dedicada à segurança da informação composta por especialistas nas seguintes áreas: engenharia de segurança; segurança de produtos; segurança de plataformas; governança, risco e conformidade; resposta a incidentes; cultura de segurança. O diretor de segurança da Adyen desempenha uma função de supervisão em todas as áreas de segurança e se reporta a várias partes interessadas, incluindo o diretor de risco e conformidade (CRCO) e o conselho administrativo da Adyen.

  • 4.         Gerenciamento de identidades e acessos

    As medidas a seguir estão em vigor para proteger e limitar o acesso aos sistemas que processam dados pessoais:

    •           O acesso é concedido e mantido com base na função de trabalho individual.

    •           Todos os acréscimos, alterações e exclusões de acesso a sistemas individuais são aprovados por um gerente e devem ser acompanhados de um caso comercial.

    •           Um processo automatizado de entrada e saída é estabelecido para encerrar todo o acesso lógico aos sistemas. Esse processo é revisado periodicamente para monitorar qualquer atividade suspeita.

    •           O princípio do menor privilégio é mantido em todos os requisitos de gerenciamento de acesso.

    •           O acesso aos sistemas da Adyen que processam dados pessoais exige um laptop gerenciado pela Adyen com um certificado pré-instalado, combinado com vários níveis de autenticação, incluindo um token de hardware para quaisquer contas administrativas.

    •           São necessários IDs de usuário únicos e individuais. Por política, contas compartilhadas não são permitidas.

    •           Quando aplicável, os sistemas têm:

    •           Reautenticação após inatividade;

    •           Bloqueio após várias tentativas de login com falha;

    •           Exigência de complexidade da senha: 12 caracteres; letras maiúsculas e minúsculas; pelo menos um dígito; pelo menos um caractere especial.

    •           Os registros de atividade do usuário e do sistema são monitorados de acordo com a Cláusula 12 deste Anexo.

  • 5.         Área do Cliente

    As medidas de segurança podem ser configuradas pelo comerciante para sua área do cliente. Informações atualizadas sobre medidas de segurança estão disponíveis publicamente no Adyen Docs: https://docs.adyen.com/account.

  • 6.         Treinamento e conscientização sobre segurança

    Os seguintes requisitos de treinamento de segurança estão em vigor:

    •           Todos os funcionários da Adyen recebem treinamento de segurança no momento da integração e, depois disso, anualmente.

    •           Todos os desenvolvedores da Adyen precisam de treinamento adicional em desenvolvimento seguro, e treinamento adicional anualmente.

    •           Adyen Security opera um programa contínuo de conscientização de segurança, disseminando a conscientização sobre os principais tópicos de segurança, eventos e práticas de engenharia social.

  • 7.         Dados armazenados, dados em trânsito

    As medidas a seguir estão em vigor para proteger os Dados Pessoais armazenados e em trânsito:

    •           Os dados pessoais armazenados são criptografados usando a criptografia padrão do setor.

    •           Os Dados Pessoais são protegidos durante o tratamento/em trânsito usando criptografia padrão do setor.

    •           A Adyen implementa criptografia forte, mascaramento de dados e/ou pseudonimização de Dados Pessoais quando processados internamente.

    •           O Pessoal que requer acesso a Dados Pessoais não protegidos como tal é estritamente controlado, com base nos princípios de necessidade de conhecimento, com monitoramento de acesso e alertas de prevenção de perda de dados em vigor.

    •           Os Dados Pessoais armazenados são logicamente segmentados de outros dados comerciais.

  • 8.         Proteção de dispositivos de uso final

    As seguintes medidas estão em vigor para proteger os dispositivos dos usuários finais:

    • Criptografia em nível de disco usando criptografia padrão da indústria.

    • Configuração padronizada em conformidade com as melhores práticas da indústria.

    • Não é permitido ter acesso root.

    • Soluções antivírus e antimalware em execução como padrão.

    •       As assinaturas de malware são atualizadas várias vezes ao dia.

    • Conexão com a rede Adyen por meio de VPN baseada em certificado.

    • Bloqueio automático da tela após um tempo de inatividade de 5 minutos.

    • Requisito de complexidade da senha: 12 caracteres; maiúsculas e minúsculas; pelo menos um dígito; pelo menos um caractere especial.

    • As redes sem fio da Adyen às quais os dispositivos dos usuários finais se conectam são configuradas com criptografia WPA2.

    • A conexão de mídias removíveis é tecnicamente restrita e monitorada.

    • O uso autorizado deve ser acompanhado por um caso de negócios claro, dupla permissão da segurança da informação e do gerente, e é restrito por tempo. Em todos os momentos, os dados nessas mídias removíveis são criptografados usando criptografia de arquivo ou dispositivo.

    • Os funcionários só têm permissão para instalar software de um ambiente gerenciado.

    • Downloads e montagem de software fora deste catálogo não são permitidos e são rigorosamente monitorados.

  • 9.         Segurança da infraestrutura

    As medidas a seguir estão em vigor para garantir a segurança da infraestrutura:

    •           Padrões de configuração automatizados são aplicados a todos os componentes da infraestrutura.

    o           Monitoramento e alerta sobre alterações de configuração e desvios dos padrões definidos.

    •           Segmentação da arquitetura de rede em ambientes separados.

    •           Controle duplo de firewall, no nível da rede e do host.

    o           As regras de firewall são testadas no mínimo trimestralmente.

    •           Política de gerenciamento de mudanças aplicada automaticamente, incluindo o princípio dos 4 olhos.

    •           Detecção e prevenção de intrusões na rede (IDS/IPS).

    •           Tráfego de rede é protegido com segurança de nível de transporte padrão do setor.

    •           Todas as instalações do data center cumprem requisitos rigorosos de segurança física:

    •           O acesso físico aos data centers é limitado ao pessoal autorizado da Adyen ou a contratados (com supervisão direta do pessoal da Adyen) cujas funções ou responsabilidades de trabalho exijam tal acesso físico.

    •           O acesso físico aos data centers é reforçado por pontos de controle de segurança, presença de guardas e autenticação usando crachás e/ou biometria.

    •           O acesso às áreas da Adyen é restrito ao pessoal autorizado por meio de autenticação de dois fatores usando crachás e/ou pin pads.

    •           Os visitantes que acessam os data centers são acompanhados por pessoal autorizado da Adyen, e todo o acesso será registrado por meio da lista de visitantes do data center. Os visitantes devem fornecer prova de identificação na forma de um documento de identidade.

    •           Há vigilância por vídeo para monitorar a entrada e saída dos data centers.

    •           O acesso físico aos data centers e às áreas da Adyen é monitorado 24 horas por dia, 7 dias por semana.

  • 10.      Confiabilidade da plataforma

    As medidas a seguir estão em vigor para garantir a confiabilidade da plataforma:

    - Os clusters de banco de dados são implantados em uma configuração de alta disponibilidade.

    - Os serviços da Adyen são escalonáveis linearmente para atender a novas demandas operacionais.

    - As atualizações da plataforma são lançadas sem tempo de inatividade para manutenção.

    - Por região, qualquer data center pode suportar a carga total de outro, inclusive a carga de pico.

    - Dispersão global, multicontinental, de data centers.

    - Testes mensais para recuperação e estabilização do data center.

    - O backup dos dados do data center é feito por meio de espelhamento contínuo entre servidores e data centers. Isso ocorre por meio do armazenamento de instantâneos completos de um banco de dados em um ponto no tempo. Os instantâneos são capturados continuamente durante toda a operação do banco de dados.

    - Todos os componentes do data center (hardware e software) são monitorados continuamente pelas equipes de suporte técnico da Adyen.

  • 11.      Gerenciamento de chaves criptográficas

    As seguintes medidas estão em vigor para proteger o material criptográfico:

    • Arquitetura, procedimentos e processos de gerenciamento de chaves documentados, mantidos e auditados anualmente.

    • Especialista dedicado ao gerenciamento de chaves como parte do domínio de segurança do produto.

    • Todas as chaves criptográficas utilizadas nas operações de criptografia são criptografadas por uma chave armazenada nos módulos de segurança de hardware (HSMs) de propriedade da Adyen, como parte da infraestrutura da Adyen.

    • As chaves de criptografia de registro único são protegidas utilizando chaves HSM (ou seja, com suporte HSM).

    • O processo de descarte de chaves criptográficas expiradas está alinhado e é auditado de acordo com o Padrão de Segurança PCI PIN.

    • Todas as atividades relacionadas ao processo de gerenciamento de chaves criptográficas diretamente relacionadas aos HSMs são realizadas em um ambiente seguro usando listas de verificação baseadas em teclas digitadas. As ações são realizadas por pelo menos duas pessoas (princípio dos quatro olhos) seguindo uma lista definida de ações em uma sala de operações dedicada. O acesso à sala de operações é permitido apenas a duas pessoas (controle duplo) para fins de gerenciamento de chaves.

  • 12.      Resposta a incidentes e continuidade dos negócios

    As seguintes medidas estão em vigor para garantir a continuidade dos processos críticos de negócios:

    • A Adyen mantém uma estrutura de gestão de continuidade de negócios que compreende: política de continuidade de negócios; análise de impacto nos negócios; avaliação de ameaças e riscos à continuidade dos negócios; plano de resposta à continuidade dos negócios. Essa estrutura é:

    • Projetada para identificar ameaças potenciais e os impactos que essas ameaças, se concretizadas, podem causar à continuidade das operações comerciais.

    • Sujeita a revisões por auditoria interna, para identificar melhorias tanto na implementação quanto no nível de resiliência.

    • Testada no mínimo uma vez por ano, com testes adicionais semanais como parte do ciclo de lançamento da plataforma.

    • Auditada, revisada e atualizada no mínimo uma vez por ano.

    • A Adyen mantém uma estrutura de gestão de incidentes:

    • Comunicada e disponível a todos os funcionários da Adyen.

    • Testada por meio de controles internos pela equipe de Risco Corporativo da Adyen.

    • Auditada, revisada e atualizada pelo menos uma vez por ano.

    • De propriedade e mantida pelas principais partes interessadas da Adyen.

    • Para obter informações sobre notificação de incidentes, consulte a Cláusula 5 do Anexo 1 do DPA.

  • 13.      Registro de eventos e gerenciamento de eventos de segurança

    As seguintes medidas estão em vigor para proteger os registros e gerenciar eventos de segurança:

    • Os registros gerados (aplicativo, banco de dados, rede, sistema operacional, plataforma) são armazenados criptografados e gerenciados em um cluster de registros segmentado e monitorado.

    • Os registros são protegidos contra destruição e modificações não autorizadas.

    • Os registros são mantidos por, no mínimo, um ano.

    • Os registros são verificados primeiro em banda e, à medida que são consumidos pelo cluster de registros, são verificados quanto a informações confidenciais.

    • As telas de verificação na banda e no cluster procuram dados confidenciais PCI e informações de identificação pessoal (PII).

    • A Adyen utiliza um sistema de gerenciamento de informações e eventos de segurança (SIEM) com suporte dos engenheiros da Adyen e monitorado de forma contínua e automática por um grupo de segurança. Isso permite que a Adyen detecte eventos relacionados à segurança.

    • Capacidade de realizar análises forenses de eventos do sistema.

  • 14.      Desenvolvimento de software seguro

    As medidas a seguir estão em vigor para garantir o desenvolvimento seguro de software:

    - Ciclo de vida de desenvolvimento de software seguro (SSDLC) documentado e mantido com diretrizes formais de desenvolvimento.

    - Requisito de treinamento de segurança para desenvolvedores para todos os desenvolvedores da Adyen. A conscientização inclui:

    - Princípios de design seguro.

    - Vulnerabilidades comuns de codificação segura (por exemplo, OWASP top 10).

    - Tópicos baseados em tendências, incidentes e vulnerabilidades do setor.

    - Ambiente de implantação em estágios em que as versões de software são desenvolvidas, testadas e implantadas em um ciclo semanal.

    - Revisões de código automatizadas e manuais.

    - Análise de código estático.

    - Gerenciamento de dependências

    - Varredura de segredos.

    - Gerenciamento de artefatos isolados por ambiente (por exemplo, teste, ao vivo).

    - Modelagem de ameaças e revisões de design seguro.

    - Testes de segurança contínuos (internos e externos) do produto e da plataforma da Adyen.

    - Monitoramento contínuo (observação, avaliação e análise em tempo real de sistemas, processos ou atividades para detectar e responder a mudanças, desvios ou riscos potenciais).

  • 15.      Gerenciamento de vulnerabilidade

    As seguintes medidas estão em vigor para gerenciar as vulnerabilidades:

    - Processo de gerenciamento de vulnerabilidades que inclui identificação, classificação, priorização e mitigação de vulnerabilidades associadas aos sistemas da Adyen.

    - Manter a capacidade de responder a ameaças críticas a qualquer momento (24/7/365).

    - As varreduras de vulnerabilidade de aplicativos e redes são realizadas várias vezes por mês.

    - Varredura mensal de vulnerabilidades externas realizada por um fornecedor certificado pelo Payment Card Industry (PCI).

    - Digestão de uma série de recursos externos de inteligência contra ameaças cibernéticas e criação de detecções para ameaças relevantes.

    - Mitigação de ataques DDoS:

    - Utilizar um parceiro anti-DDoS sob medida.

    - Utilizar várias redes de distribuição de conteúdo.

    - Utilizar uma rede diversificada de provedores de serviços de Internet.

    - Mitigação incorporada à arquitetura de rede da plataforma por meio de infraestrutura geograficamente dispersa.

    - O uso não autorizado de hardware e software é detectado automaticamente em toda a infraestrutura da Adyen, inclusive nas estações de trabalho.

    - Aplicação mínima semanal de patches de sistema em todos os principais componentes da infraestrutura, mantendo a capacidade de liberar patches imediatos.

    - Testes de segurança contínuos (internos e externos) do produto e da plataforma da Adyen, com um processo documentado para correção de descobertas.

  • 16.      Retenção, minimização e exclusão de dados

    A Adyen tem a obrigação de armazenar todos os dados de transações de acordo com a lei aplicável. De acordo com a lei holandesa, a Adyen N.V. é obrigada a armazenar dados de transações por 7 anos. Os dados armazenados são usados apenas para conformidade com a legislação aplicável, para fins de conformidade com as regras do esquema e para uso de acordo com as instruções do Controlador.

    A Adyen fornece funcionalidades de exportação para comerciantes na Área do Cliente da Adyen, bem como opções manuais e de API para Solicitações de Apagamento de Assunto.

    A Adyen segue as regras dos arranjos de pagamento e/ou outros protocolos aplicáveis que ditam os dados necessários para processar uma transação.

    Sob as instruções explícitas do comerciante, a Adyen processa as informações necessárias exigidas do comprador para processar transações de pagamento. Os Estabelecimentos decidem sobre os métodos de pagamento e se devem coletar dados além do campo de dados mínimo exigido.

• Anexo 4 ao DPA – Descrição do Tratamento

  Objeto, natureza e duração do processamento:

  O objeto, a natureza e a duração do Processamento dos Dados Pessoais estão definidos no Contrato. A Adyen atua como Processadora ao fornecer os Serviços da Adyen e na medida em que a Adyen estiver seguindo as instruções do Comerciante.

  Finalidade do Processamento

  Para prestar os serviços previstos no Contrato, que incluem:

  •       Processamento de transações de pagamento

  •       Serviços relacionados a suporte

  •       Detecção de fraude

  •       Defesa de estornos

  •       Relatórios e Área do Cliente da Adyen

  Assunto do processamento

  Assuntos dos dados: Os Dados Pessoais Processados dizem respeito às seguintes categorias de titulares de dados:

  - Compradores do Comerciante

  Categorias de Dados Pessoais: Os Dados Pessoais Processados para um comprador podem incluir:

  •       Nome

  •       Endereço de cobrança

  •       Endereço de entrega

  •       Endereço de e-mail

  •       Endereço de IP

  •       Detalhes de pagamento

  •       Outros dados que o comerciante opta por fornecer à Adyen, como informações da cesta, idioma do navegador, método de entrega, país do comprador etc.

  Detalhes de pagamento: Para iniciar um pagamento, os seguintes detalhes de pagamento (que incluem Dados Pessoais) podem ser Processados pela Adyen (observe que os campos de dados abaixo dependem fortemente dos métodos de pagamento que o Merchant deseja oferecer e dos serviços que o Merchant adquire da Adyen):

  - Para solicitações de pagamento com cartão de crédito/débito:

  o Detalhes do cartão, como CVC, mês de validade, ano de validade, nome do titular do cartão, número do cartão, número de emissão

  o Observação: os detalhes do cartão são criptografados de acordo com os requisitos do PCI-DSS

  - Para solicitações de transferência bancária:

  o      Número da conta bancária

  o      BIC

  o      Nome do banco

  o      ID do local do banco

  o      Código do país

  Detecção de fraude: Para a detecção de fraude que a Adyen fornece a um comerciante como Processador, a Adyen pode processar:

  - Detalhes de pagamento, como tempo e valor da transação

  - Nome do comprador 

  - Impressão digital do dispositivo

  - Cookie persistente      

  - Endereço de e-mail

  - Endereço de IP          

  - Referência do comprador       

  - Número de telefone    

  - Endereço de cobrança            

  - Endereço de entrega

  - Outros dados que o comerciante opta por fornecer à Adyen, como informações da cesta, idioma do navegador, método de entrega, país do comprador etc.                       

  Defesa de chargebacks: A Adyen pode processar informações fornecidas e carregadas pelo Merchant para defender chargebacks.

  Relatórios e Cutomer Area da Adyen: As informações acima mencionadas serão disponibilizadas ao Merchant por meio da Cutomer Area da Adyen e suas funcionalidades de relatório.

  Natureza do processamento

  •       Coleta

  •       Registro

  •       Estruturação

  •       Modificação

  •       Armazenamento

  •       Recuperação

  •       Consulta

  •       Divulgação por transferência

  •       Disseminação

  •       Comparação

  •       Restrição

  •       Apagamento e destruição

  •       De acordo com o Contrato e este DPA

  Duração do Processamento

  A Adyen processará os Dados Pessoais durante a vigência do Contrato e de acordo com as leis e regulamentos aplicáveis. Todos os dados de transação processados pela Adyen em nome de seus Estabelecimentos são armazenados por um período de 7 anos após a conclusão da transação relevante, de acordo com a lei holandesa (Seção 2:10 do Código Civil Holandês (DCC) (Burgerlijk Wetboek) e 3:15i do DCC).