Adendo de processamento de dados

Este Adendo de Processamento de Dados (”DPA“) faz parte do Contrato de Assinatura celebrado entre o Cliente (o”Companhia”) e RadiateCapital Limited (”Rebrandly”, o”Processador de dados”) (juntos como”Festas”) (o”Contrato principal”).

CONSIDERANDO QUE

• A empresa atua como controladora de dados.

• A Companhia contratou a Rebrandly para fornecer determinados Serviços sob o Contrato Principal, que exigirá o processamento de Dados Pessoais da Empresa pela Rebrandly, atuando como Processadora de Dados.

• Este DPA estabelece os termos, requisitos e condições adicionais nos quais a Rebrandly processará os Dados Pessoais da Empresa ao fornecer serviços de acordo com o Contrato Principal. Este DPA contém as cláusulas obrigatórias exigidas pelo artigo 28 (3) da versão retida da legislação da UE do Regulamento Geral de Proteção de Dados ((UE) 2016/679) (GDPR do Reino Unido) para contratos entre controladores e processadores e pelo Regulamento Geral de Proteção de Dados ((UE) 2016/679).

É ACORDADO DA SEGUINTE FORMA:

• Definições e interpretação

• A menos que definido de outra forma neste documento, os termos e expressões em maiúsculas usados neste DPA terão o seguinte significado:

”Pessoas autorizadas” significa as pessoas ou categorias de pessoas que a Empresa autoriza a fornecer instruções de processamento de dados pessoais à Rebrandly, conforme identificado no Anexo 1.

”Objetivos comerciais” significa os serviços descritos no Contrato Principal ou qualquer outra finalidade especificamente identificada no Anexo 2.

“Dados pessoais da empresa” significa qualquer informação relacionada a uma pessoa física identificada ou identificável que seja processada pela Rebrandly como resultado ou em conexão com a prestação dos serviços nos termos do Contrato Principal; uma pessoa física identificável é aquela que pode ser identificada, direta ou indiretamente, em particular por referência a um identificador, como nome, número de identificação, dados de localização, identificador on-line ou a um ou mais fatores específicos físicos, fisiológicos, genéticos, identidade mental, econômica, cultural ou social dessa pessoa natural.

“Subprocessador contratado” significa qualquer pessoa indicada por ou em nome da Rebrandly para processar os Dados Pessoais da Empresa em nome do Controlador em conexão com este DPA.

“Leis de proteção de dados” significa:

• Na medida em que o GDPR do Reino Unido se aplica, a lei do Reino Unido ou de uma parte do Reino Unido relacionada à proteção de dados pessoais.
• Na medida em que o GDPR da UE se aplica, a lei da União Europeia ou de qualquer estado membro da União Europeia ao qual o Cliente ou o Fornecedor esteja sujeito, relacionada à proteção de Dados Pessoais.

“Transferência de dados” significa:

• uma transferência de dados pessoais da empresa da empresa para um subprocessador contratado; ou
• uma transferência posterior de dados pessoais da empresa de um subprocessador contratado para outro subprocessador contratado, ou entre dois estabelecimentos de um subprocessador contratado, em cada caso, em que tal transferência seria proibida pelas Leis de Proteção de Dados (ou pelos termos dos contratos de transferência de dados estabelecidos para tratar das restrições de transferência de dados das Leis de Proteção de Dados).

”DPA” significa este Adendo de Processamento de Dados e todos os Cronogramas.

”EEE” o Espaço Econômico Europeu.

“GDPR” significa o Regulamento Geral de Proteção de Dados ((UE) 2016/679).

“SCC” significa o Acordo Internacional de Transferência de Dados da ICO para a transferência de dados pessoais do Reino Unido e/ou o Adendo de Transferência Internacional de Dados da ICO às Cláusulas Contratuais Padrão da Comissão da UE e/ou às Cláusulas Contratuais Padrão da Comissão Europeia para a transferência de dados pessoais para países terceiros, de acordo com o Regulamento (UE) 2016/679, conforme estabelecido no Anexo à Decisão de Implementação da Comissão (UE) 2021/914 e/ou as Cláusulas Contratuais Padrão da Comissão para o transferência de dados pessoais da União Europeia para processadores estabelecidos em países terceiros (transferências de controlador para processador), conforme estabelecido no anexo da Decisão 2010/87/UE da Comissão ou em cláusulas alternativas que possam ser aprovadas pela Comissão Europeia ou pelo Reino Unido de tempos em tempos.

“Serviços” significa o painel de gerenciamento de links de marca e os aplicativos que a Rebrandly fornece. Os Serviços são descritos com mais detalhes no Anexo 2.

”Contrato de assinatura” significa os Termos de Uso disponibilizados periodicamente em rebrandly.com/terms-conditions ou outros termos e condições que são mutuamente acordados por escrito e assinados entre a Empresa e a Rebrandly.

”GDPR DO REINO UNIDO” tem o significado atribuído na seção 3 (10) (conforme complementado pela seção 205 (4)) da Lei de Proteção de Dados de 2018.

• Os termos, “Comissão”, “Controlador”, “Titular dos dados”, “Estado Membro”, “Dados pessoais”, “Violação de dados pessoais”, “Processamento” e “Autoridade Supervisora” terão o mesmo significado que lhes é atribuído nas Leis de Proteção de Dados, e seus termos cognatos devem ser interpretados de acordo.

• Este DPA está sujeito aos termos do Contrato Principal e está incorporado ao Contrato Principal. As interpretações e os termos definidos estabelecidos no Contrato Principal se aplicam à interpretação deste DPA, a menos que o contexto exija o contrário.

• Os Cronogramas fazem parte deste DPA e entrarão em vigor como se estivessem definidos na íntegra no corpo deste DPA. Qualquer referência a esse DPA inclui os cronogramas.

• Uma referência por escrito ou por escrito inclui e-mail com uma confirmação clara do recebimento pela outra parte.

• Em caso de conflito ou ambiguidade entre:

• qualquer disposição contida no corpo deste DPA e qualquer disposição contida nos Cronogramas, a disposição no corpo deste DPA prevalecerá;
• nos termos de qualquer fatura anexa ou de outros documentos anexados a este DPA e de qualquer disposição contida nos Cronogramas; a disposição contida nos Cronogramas prevalecerá;
• qualquer uma das disposições deste DPA e as disposições do Contrato Principal, as disposições deste DPA prevalecerão; e
• qualquer uma das disposições deste Contrato e de qualquer SCC executado, as disposições do SCC executado prevalecerão.

• Processamento de dados pessoais da empresa

• A Companhia e a Rebrandly reconhecem que, para os fins das Leis de Proteção de Dados, a Empresa é a controladora e a Rebrandly é a processadora.

• A Rebrandly deve cumprir as leis de proteção de dados aplicáveis que se relacionam especificamente ao processamento de dados pessoais da empresa.

• A Empresa mantém o controle dos Dados Pessoais da Empresa e permanece responsável por suas obrigações de conformidade de acordo com as Leis de Proteção de Dados aplicáveis, incluindo, mas não se limitando a, fornecer os avisos necessários e obter os consentimentos necessários, e pelas instruções de processamento por escrito fornecidas à Rebrandly.

• O Anexo 1 descreve o assunto, a duração, a natureza e a finalidade do processamento e as categorias de dados pessoais da empresa e os tipos de titulares de dados em relação aos quais a Rebrandly pode processar para cumprir os objetivos comerciais do Contrato Principal.

• Obrigações de rebrandly

• A Rebrandly processará os Dados Pessoais da Empresa somente na medida e da maneira necessária para os Propósitos Comerciais, de acordo com as instruções escritas da Empresa por Pessoas Autorizadas para fornecer os Serviços. Essas instruções precisam ser previamente acordadas e fornecidas por escrito à Rebrandly pela Companhia.

• A Rebrandly cumprirá qualquer solicitação ou instrução por escrito da Empresa, previamente acordada, de Pessoas Autorizadas que exijam que a Rebrandly altere, transfira, exclua ou processe os Dados Pessoais da Empresa sempre que possível.

• A Rebrandly manterá a confidencialidade de todos os Dados Pessoais da Empresa e não divulgará Dados Pessoais da Empresa a terceiros não autorizados, a menos que a Empresa ou este DPA autorizem especificamente a divulgação, ou conforme exigido pela legislação nacional, tribunal ou regulador.

• Pessoal rebrandly

A Rebrandly tomará medidas razoáveis para garantir a confiabilidade de qualquer funcionário, agente, contratado ou qualquer subprocessador contratado que possa ter acesso aos Dados Pessoais da Empresa, garantindo, em cada caso, que o acesso seja limitado às pessoas que precisam conhecer/acessar os Dados Pessoais da Empresa relevantes, conforme estritamente necessário para os fins do Contrato Principal, e cumprir as Leis de Proteção de Dados no contexto dos deveres desse indivíduo para com a Rebrandly, garantindo que todos esses indivíduos sejam sujeito a compromissos de confidencialidade ou profissionais ou obrigações legais de confidencialidade.

• Segurança

• A Rebrandly implementará medidas técnicas e organizacionais apropriadas contra o processamento, acesso, cópia, modificação, reprodução, exibição ou distribuição não autorizados ou ilegais dos Dados Pessoais da Empresa e contra a perda, destruição, alteração, divulgação ou dano acidental ou ilegal dos Dados Pessoais da Empresa. Consulte o Cronograma 3 para ver as medidas técnicas e organizacionais da Rebrandly para proteger os dados contra destruição, alteração, perda, divulgação ou acesso não autorizados.

• Ao avaliar o nível apropriado de segurança, a Rebrandly deve levar em conta, em particular, os riscos apresentados pelo Processamento, em particular decorrentes de uma violação de dados pessoais.

• Subprocessamento

• A Rebrandly não indicará (nem divulgará nenhum dado pessoal da empresa para) nenhum subprocessador contratado, a menos que seja exigido ou autorizado pela empresa.

• Os subprocessadores contratados aprovados no início deste DPA estão definidos nesta página da web: https://rebrandly.com/SubProcessors (”Subprocessador Página”).

• Subprocessadores atuais e notificação de adições de subprocessadores:

• O Cliente entende que a operação efetiva dos Serviços pode exigir a transferência de Dados do Cliente para as Afiliadas da Rebrandly ou para os Subprocessadores da Rebrandly. O Cliente autoriza a transferência de Dados do Cliente para locais fora da Europa (as principais instalações de processamento da Rebrandly estão nos Estados Unidos da América), inclusive para Afiliadas e Subprocessadores da Rebrandly, sujeito à conformidade contínua com este DPA durante toda a vigência do Contrato. Por meio deste documento, o Cliente fornece autorização geral para a Rebrandly contratar outros subprocessadores terceirizados para processar os Dados do Cliente nos Serviços para os fins permitidos.

• A Rebrandly pode, mediante notificação razoável ao Cliente, adicionar à Página do Subprocessador. A Rebrandly notificará o Cliente se pretende adicionar ou substituir subprocessadores da Página do Subprocessador pelo menos 10 dias antes de tais alterações. Para receber essa notificação, os clientes precisam seguir o link https://rebrandly.com/SubProcessors-notification para entrar na lista de distribuição da Rebrandly. Se o Cliente se opuser à nomeação de um Subprocessador adicional dentro de dez (10) dias corridos após tal notificação por motivos razoáveis relacionados à proteção dos Dados Pessoais, a Rebrandly trabalhará de boa fé com o Cliente para encontrar uma solução alternativa. Caso as partes não consigam encontrar essa solução, o Cliente poderá rescindir o Contrato sem nenhum custo adicional.

• Direitos do titular dos dados

• Levando em consideração a natureza do Processamento, a Rebrandly ajudará a Empresa a implementar medidas técnicas e organizacionais apropriadas, na medida do possível, e às custas da Empresa, para o cumprimento das obrigações da Empresa, conforme razoavelmente entendido pela Empresa, de responder às solicitações para exercer os direitos do Titular dos Dados de acordo com as Leis de Proteção de Dados.

• O rebrandly deve:

• notificar a Empresa se ela receber uma solicitação de um Titular de Dados de acordo com qualquer Lei de Proteção de Dados em relação aos Dados Pessoais da Empresa; e

• garantir que não responda a essa solicitação, exceto nas instruções documentadas da Empresa ou conforme exigido pelas Leis Aplicáveis às quais a Rebrandly está sujeita. Nesse caso, a Rebrandly deverá, na medida permitida pelas Leis Aplicáveis, informar a Empresa sobre essa exigência legal antes de responder à solicitação.

• Violação de dados pessoais

• A Rebrandly notificará a Empresa sem demora injustificada após a Rebrandly tomar conhecimento de uma violação de dados pessoais que afeta os dados pessoais da empresa, fornecendo à Empresa informações suficientes para permitir que a Empresa cumpra quaisquer obrigações de relatar ou informar os titulares de dados sobre a violação de dados pessoais de acordo com as Leis de Proteção de Dados.

• A Rebrandly cooperará com a Empresa e tomará medidas comerciais razoáveis, conforme indicado pela Empresa, para auxiliar na investigação, mitigação e remediação de cada violação de dados pessoais.

• Avaliação do impacto da proteção de dados e consulta prévia

A Rebrandly fornecerá assistência razoável à Empresa (às custas da Empresa) em quaisquer avaliações de impacto na proteção de dados e consultas prévias com autoridades supervisoras ou outras autoridades competentes de privacidade de dados, que a Empresa considere razoavelmente exigidas pelo artigo 35 ou 36 do GDPR, pelo GDPR do Reino Unido ou por disposições equivalentes de quaisquer outras Leis de Proteção de Dados, em cada caso, exclusivamente em relação ao processamento de dados pessoais da empresa e levando em consideração a natureza do processamento e das informações disponível para os subprocessadores contratados.

• Exclusão ou devolução de dados pessoais da empresa

A pedido da Empresa, a Rebrandly deverá, imediatamente e em qualquer caso, dentro de 10 dias úteis a partir da data de cessação de quaisquer Serviços que envolvam o Processamento de Dados Pessoais da Empresa (a “Data de Cessação”), excluir e solicitar a exclusão dos Dados Pessoais da Empresa.

• Direitos de auditoria

• A Rebrandly disponibilizará à Empresa, mediante solicitação, as informações necessárias para demonstrar conformidade com este DPA.
• Os direitos de informação e auditoria da Empresa surgem apenas na seção 9.1, na medida em que o DPA não lhes conceda direitos de informação e auditoria que atendam aos requisitos relevantes das Leis de Proteção de Dados.

• Transferências internacionais

• O Cliente reconhece e concorda que a Rebrandly e seus subprocessadores podem transferir e processar dados pessoais para e nos Estados Unidos da América e em outros locais nos quais a Rebrandly, suas afiliadas ou seus subprocessadores mantêm operações de processamento de dados, conforme descrito mais especificamente na Página do Subprocessador. A Rebrandly deve garantir que tais transferências sejam feitas em conformidade com a Legislação de Proteção de Dados Aplicável e este DPA.

• A Rebrandly só pode processar ou permitir o processamento de Dados Pessoais da Empresa fora do EEE sob a condição de que a transferência esteja em conformidade com as Leis de Proteção de Dados e este DPA.

• Se a empresa consentir com a nomeação pela Rebrandly de um subprocessador contratado localizado fora do EEE, em conformidade com as disposições da cláusula 10, a empresa autoriza a Rebrandly a entrar no SCCs com o subprocessador contratado em seu nome.

• Termos gerais

Avisos. Todos os avisos e comunicações fornecidos de acordo com este DPA devem ser feitos por escrito. A confirmação do recebimento por e-mail será enviada pela outra parte. A Empresa será notificada por e-mail enviado para o endereço relacionado ao uso do Serviço de acordo com o Contrato Principal. A Rebrandly será notificada por e-mail enviado para o endereço: legal@rebrandly.com.

• Lei aplicável e jurisdição

Este DPA é regido pelas leis da República da Irlanda.

Qualquer disputa que surja em conexão com este DPA que as Partes não poderão resolver

amigavelmente, será submetido à jurisdição exclusiva dos tribunais de Dublin, sujeito a

possível recurso aos tribunais superiores irlandeses.

Anexo 1: Finalidades e detalhes do processamento de dados pessoais

Objeto do processamento: Gerenciamento e análise de links

Duração do processamento: Durante a vigência do Contrato Principal

Natureza do processamento: Coleta e agregação de endereços IP

Categorias de dados pessoais: Dados técnicos

A Empresa concorda em não incluir nenhum dado pessoal da empresa em nenhum URL/link criado usando os Serviços nem em qualquer parte da plataforma (por exemplo: notas, tags, etc.). É responsabilidade da Empresa notificar a Rebrandly com antecedência e por escrito (e a Rebrandly precisa autorizá-la por escrito) caso a Empresa inclua ou deseje incluir quaisquer Dados Pessoais da Empresa em qualquer URL/link criado ao usar os Serviços ou outra parte da plataforma Rebrandly.

Tipos de titulares de dados: Clientes

Pessoas autorizadas:

Lista de subprocessadores aprovados pela empresa: https://rebrandly.com/SubProcessors

Identifique a base legal da Rebrandly para o processamento de dados pessoais da empresa fora do EEE, a fim de cumprir as restrições de transferência transfronteiriça: Os servidores AWS da Rebrandly estão localizados principalmente nos Estados Unidos da América. A AWS é um subprocessador contratado aprovado e pode processar dados pessoais da empresa (ou seja, dados pessoais da empresa da UE) na prestação dos serviços à empresa.

Cronograma 2: Descrição do serviço

Os serviços são oferecidos pela RadiateCapital Limited (”Rebrandly”).

O Rebrandly é uma plataforma de gerenciamento de links projetada para marcar, rastrear e compartilhar URLs curtos usando um nome de domínio personalizado. O Rebrandly fornece uma plataforma completa que inclui um painel baseado na web, aplicativos para celulares (iOS e Android), software para Mac e Windows e extensões de navegador.

Cronograma 3: Medidas técnicas e organizacionais

Os relatórios SOC 2 Tipo II mais recentes da Rebrandly e os relatórios anuais de testes de penetração são disponibilizados para clientes atuais e potenciais por meio do Rebrandly Trust Center. Solicite acesso aqui: www.trust.rebrandly.com.

A Rebrandly implementará e manterá medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais da Empresa contra destruição, alteração, perda, divulgação ou acesso não autorizados, conforme estabelecido neste Cronograma.

Os termos em maiúsculas não definidos neste Cronograma, ou definidos de outra forma no DPA, terão o mesmo significado que no Contrato Principal.

”Recursos de informação” significa qualquer computação e outras redes, sistemas, aplicativos e elementos de rede, pelos quais os Dados Pessoais da Empresa são armazenados, transmitidos ou processados de acordo com o Contrato.

”Criptografia forte” significa o uso de tecnologias de criptografia com tamanhos mínimos de chave de 128 bits para criptografia simétrica e 1024 bits para criptografia assimétrica.

• Requisitos de segurança do sistema

Monitoramento de alertas de segurança: monitore ativamente os recursos do setor (por exemplo, listas de e-mails ou sites de fornecedores de software) para notificação oportuna de todos os alertas de segurança aplicáveis relativos aos recursos de informação da Rebrandly.

Verificação do sistema: verifique os recursos de informação internos e externos com o software de verificação de vulnerabilidades de segurança padrão do setor (incluindo, mas não limitado a, ferramentas de verificação de rede, servidor, aplicativo e banco de dados).

Implante sistemas de detecção/prevenção de intrusões: implante um ou mais sistemas de detecção/prevenção de intrusões (IDS ou IPS) em um modo ativo de operação.

Corrigindo vulnerabilidades do serviço: Use um processo documentado para corrigir vulnerabilidades de segurança nos Recursos de Informação, inclusive por meio de publicações do setor, verificação de vulnerabilidades, verificação de vírus e análise de registros de segurança, e aplique os patches de segurança apropriados imediatamente com relação à probabilidade de que tal vulnerabilidade possa ser ou esteja em processo de ser explorada.

Administração de segurança: atribua responsabilidades de administração de segurança pela configuração de sistemas operacionais hospedeiros a indivíduos específicos e garanta que a equipe de segurança tenha a experiência razoável e necessária em segurança da informação/rede. Gerencie usuários do IAM e suas permissões por pessoal autorizado e siga o princípio de menor privilégio.

Fortalecimento do servidor: garanta que todos os servidores da Rebrandly estejam e permaneçam “protegidos”, restringindo o acesso somente à VPN da empresa e exigindo a posse de uma chave SSH para acessá-los, quando aplicável.

Restrinja os privilégios e o acesso do usuário: restrinja o acesso dos usuários somente aos comandos, dados e recursos de informação necessários para executar funções autorizadas. O acesso de administrador de sistema/raiz (ou privilegiado, superusuário ou similar) deve ser limitado a indivíduos que necessitam desse acesso de alto nível no desempenho de suas tarefas, e os administradores de sistema não devem realizar tarefas para usuários não privilegiados usando contas ou credenciais de administrador do sistema.

• Requisitos de segurança física

Instalações seguras: certifique-se de que todos os recursos de informação da Rebrandly estejam localizados em instalações físicas seguras, com acesso limitado e restrito somente a indivíduos autorizados. A AWS controla e monitora o acesso a todos os datacenters.

Acesso de monitoramento e registro: Monitore e registre, para fins de auditoria, o acesso às instalações físicas contendo recursos de informação usados em conexão com o desempenho da Rebrandly de suas obrigações nos termos do Contrato.

• Requisitos de segurança de rede

Detecção e tratamento de acesso não autorizado: Tenha um processo e controles documentados para detectar e lidar com tentativas não autorizadas de acessar as informações do cliente. O gerenciamento global da infraestrutura da Rebrandly é realizado usando uma conta primária da AWS que faz parte de uma organização da AWS com serviços de governança habilitados (Security Hub, GuardDuty, CloudTrail, Config) para supervisionar acessos e ameaças à nuvem e conformidade contínua.

Criptografia de informações em trânsito e em repouso: use criptografia forte para transferir dados pessoais da empresa para fora das instalações controladas pela empresa ou controladas pela rebrandly, ou ao transmitir dados pessoais da empresa por qualquer rede não confiável ou ao armazenar dados pessoais da empresa.

Acesso remoto: Exija autenticação e criptografia para qualquer uso de acesso remoto dos Recursos de Informação. Separe a rede interna da Internet usando firewalls configurados para permitir somente tráfego autorizado, conforme definido na Política de Segurança da Rebrandly. Monitore e monitore o tráfego que entra na rede de produção da Rebrandly por meio de firewall e ferramentas de monitoramento implementadas pela AWS e configuradas pela Rebrandly, como registros de VPC e CloudTrail.

• Requisitos de dados pessoais da empresa

Segregação de dados pessoais da empresa: separe os aplicativos da empresa e os dados pessoais da empresa de quaisquer outros aplicativos e informações dos clientes da Rebrandly ou da Rebrandly, usando controles lógicos de acesso.

Documentação de backup, transporte, armazenamento e descarte seguros das informações do cliente: Tenha um procedimento documentado para o backup, transporte, armazenamento e descarte seguros dos dados pessoais da empresa e, mediante solicitação da empresa, forneça esse procedimento documentado à empresa.

Plano de continuidade de negócios e recuperação de desastres: mantenha planos de continuidade de negócios e recuperação de desastres que garantam que a Rebrandly possa cumprir suas obrigações contratuais nos termos do Contrato.

• Requisitos de identificação/autenticação

Credenciais e senhas exclusivas: Credenciais, IDs de usuário e senhas não serão compartilhadas e não serão usadas por nenhuma pessoa que não seja o usuário individual atribuído.

Limitar logins com falha: limite as tentativas de login fracassadas a no máximo seis (6) tentativas sucessivas e bloqueie a conta do usuário ao atingir esse limite. O acesso à conta do usuário pode ser reativado posteriormente por meio de um processo manual que exige a verificação da identidade do usuário ou, quando tal recurso existir, pode ser reativado automaticamente após pelo menos três (3) minutos da última tentativa fracassada de login.

Encerrar sessões interativas inativas: encerre sessões interativas ou ative um protetor de tela seguro com bloqueio que exija autenticação, após um período de inatividade não superior a quinze (15) minutos.

Senhas: as senhas devem atender aos requisitos mínimos de (i) devem ter no mínimo oito (8) caracteres de comprimento; (ii) se a senha tiver menos de doze caracteres, ela deverá conter caracteres de pelo menos três (3) desses agrupamentos: alfa maiúsculo, alfa minúsculo, numérico e caracteres especiais; (iii) não deve ser igual ao ID de usuário ao qual estão associadas; e (iv)) deve ser complexo e não conter nomes ou palavras do dicionário.

Transmissão segura de IDs de usuário e senhas: use um método seguro para o transporte de credenciais de autenticação (por exemplo, senhas) e mecanismos de autenticação (por exemplo, tokens ou cartões inteligentes). Garanta que a autenticação da sessão do usuário seja protegida utilizando a criptografia TLS nos sites do fornecedor.

• Requisitos de integridade de software e dados

Verificar e remover vírus: tenha o software antivírus atual instalado e em execução para verificar e remover vírus imediatamente.

Recursos de produção e não produção separados: separe as atividades de desenvolvimento e teste dos ambientes operacionais e restrinja o acesso do desenvolvedor aos ambientes operacionais para reduzir os riscos de modificações inadvertidas ou não autorizadas no sistema operacional que possam comprometer a integridade ou a disponibilidade do sistema.

Processo de controle de alterações de software: implemente um processo documentado de controle de alterações de software, incluindo procedimentos de retirada.

Utilize o registro de transações do banco de dados: para aplicativos que utilizam um banco de dados que permite modificações nos dados pessoais da empresa, tenha os recursos de registro de transações do banco de dados habilitados e retenha os registros de transações do banco de dados por no mínimo seis (6) meses.

Revise o Código de Vulnerabilidades e Conformidade com os Requisitos de Segurança Padrão do Setor: Para todos os softwares desenvolvidos, usados, fornecidos e/ou suportados por este Contrato, revise esse software para encontrar e remediar vulnerabilidades de segurança durante a implementação inicial e após quaisquer modificações e atualizações e implemente as diretrizes do OWASP.

Teste de garantia de qualidade de aplicativos e vulnerabilidades de segurança: realize testes de garantia de qualidade para a funcionalidade do aplicativo e os componentes de segurança (por exemplo, teste de funções de autenticação, autorização e contabilidade, bem como qualquer outra atividade projetada para validar a arquitetura de segurança) durante a implementação inicial e após quaisquer modificações e atualizações.

• Controles de monitoramento e auditoria

Restrinja o acesso aos registros de segurança: restrinja o acesso aos registros de segurança a pessoas autorizadas.

Revise os registros de segurança e resolva problemas de segurança: revise, rotineiramente, os registros de segurança em busca de anomalias e documente e resolva todos os problemas de segurança registrados em tempo hábil.

Retenção de registros: mantenha registros completos e precisos relacionados ao desempenho de suas obrigações decorrentes deste Cronograma e à conformidade da Rebrandly em um formato que permita a auditoria por um período não inferior a três (3) anos, ou mais, conforme exigido de acordo com uma ordem judicial ou processo civil ou regulatório.

Análise anual de conformidade: No mínimo, revise anualmente este Cronograma para garantir que a Rebrandly esteja em conformidade com os requisitos deste Contrato.

• Procedimentos de segurança e integridade do pessoal

Procedimentos e práticas de pessoal: Implemente procedimentos apropriados para o pessoal da Rebrandly, incluindo, mas não se limitando a, realizar verificações de antecedentes de acordo com a legislação aplicável.

Treinamento de pessoal: forneça treinamento apropriado sobre privacidade e segurança da informação aos funcionários da Rebrandly que tenham acesso aos dados ou sistemas pessoais do cliente.