Este Aditivo de Proteção de Dados da Signifyd (o "DPA") é incorporado por referência ao Contrato e a todos os pedidos relacionados entre o Assinante e a Signifyd Brasil Ltda (o "Contrato"). Este DPA é celebrado e entra em vigor na data de vigência do Contrato (a "Data de Vigência"). No caso de conflito entre este Aditivo e o Contrato, prevalecerá este DPA.

Os termos usados neste DPA têm o significado aqui estabelecidos. Os termos em maiúsculas não definidos neste documento têm o significado atribuído a eles no Contrato.

1. ESCOPO. Para os fins deste DPA, a Signifyd poderá ser considerada como Operadora de Dados Pessoais do Assinante tratados em relação aos Usuários Finais do Assinante residentes nos EUA, ou uma Controladora para os Dados Pessoais do Assinante tratados em relação aos Usuários Finais do Assinante residentes fora dos EUA. A natureza e o escopo das atividades de Tratamento estão estabelecidos no Contrato e detalhados no Apêndice 1. As Partes deverão cumprir todas as Leis de Proteção de Dados aplicáveis
2. TERMOS ESPECÍFICOS POR REGIÃO. Na medida em que a Signifyd Trata Dados Pessoais do Assinante, protegidos por Leis de Proteção de Dados em uma das regiões listadas no Suplemento A (Termos Específicos por Região), os termos ali especificados com relação à(s) jurisdição(ões) aplicável(is) se aplicarão em conjunto com os termos deste DPA e, em caso de conflito, os Termos Específicos por Região prevalecerão.
3. SUBOPERADORES / FORNECEDORES
   1. O Assinante reconhece que a Signifyd pode utilizar afiliadas e fornecedores para Tratar os Dados Pessoais do Assinante de acordo com as disposições deste DPA e das Leis de Proteção de Dados aplicáveis. Quando a Signifyd atuar como Operadora de Dados, tais fornecedores são considerados “Suboperadores” de acordo com as Leis de Proteção de Dados aplicáveis. Quando a Signifyd subcontratar quaisquer de seus direitos ou obrigações relacionados aos Dados Pessoais do Assinante, incluindo a qualquer afiliada ou fornecedor, a Signifyd tomará medidas para selecionar e reter fornecedores que sejam capazes de manter medidas apropriadas de privacidade e segurança para proteger os Dados Pessoais de Assinantes, de forma consistente com as Leis de Proteção de Dados aplicáveis, e que estejam sujeitos a obrigações de proteção de dados semelhantes às dispostas neste DPA.
   2. A lista atual de fornecedores e afiliadas da Signifyd está fornecida no Apêndice 2 deste documento, e o Assinante, por meio deste, consente com o uso de tais fornecedores pela Signifyd. Exceto em circunstâncias urgentes, para as quais a Signifyd deverá fornecer notificação em prazo comercialmente razoável, a Signifyd deverá informar o Assinante com antecedência de pelo menos quinze (15) dias úteis antes de adicionar quaisquer novos fornecedores à lista, momento em que o Assinante terá 10 (dez) dias para apresentar uma objeção que seja comercialmente razoável ao novo fornecedor. Caso o Assinante não concorde com o uso de qualquer um desses Suboperadores, os representantes de ambas as partes deverão se reunir de boa-fé para tentar chegar a um acordo sobre o uso dos fornecedores contestados.
4. RETORNO OU DESTRUÇÃO DE DADOS PESSOAIS. Quando o Contrato terminar, por qualquer motivo, ou quando a Signifyd cessar o Tratamento dos Dados Pessoais, a Signifyd deverá excluir os dados de acordo com os termos estabelecidos no Contrato, a menos que a Signifyd seja obrigada ou autorizada pela Lei de Proteção de Dados aplicável a armazenar os Dados Pessoais do Assinante por um período mais longo.
5. SEGURANÇA DE DADOS
   1. Medidas de Segurança. A Signifyd implementará medidas administrativas, técnicas, físicas e organizacionais apropriadas para proteger os Dados Pessoais do Assinante, conforme estabelecido no Anexo II.
   2. Incidente de Segurança. A menos que seja proibido pela lei aplicável, a Signifyd notificará prontamente (e, em qualquer caso, dentro do período exigido pela lei aplicável) o Assinante sobre um Incidente de Segurança, caso exigido por lei. No caso de um Incidente de Segurança, a Signifyd investigará o Incidente de Segurança e tomará medidas comercialmente razoáveis para conter e mitigar o Incidente de Segurança de maneira oportuna, e cada parte ajudará razoavelmente a outra parte a cumprir as determinações legais aplicáveis resultantes de tal Incidente de Segurança. A notificação descrita na primeira frase desta Seção deverá incluir uma descrição do Incidente de Segurança e (na medida em que disponível) os Dados Pessoais do Assinante afetados, e outros detalhes que o Assinante possa razoavelmente solicitar ou que a Signifyd seja obrigada a fornecer de acordo com as Leis de Proteção de Dados aplicáveis. A Signifyd fornecerá informações oportunas relacionadas ao Incidente de Segurança à medida que forem conhecidas ou conforme for razoavelmente solicitado pelo Assinante. A menos que exigido por lei aplicável à Signifyd, a Signifyd não notificará nenhum indivíduo ou qualquer terceira parte, além de uma entidade governamental, sobre qualquer possível Incidente de Segurança envolvendo Dados Pessoais do Assinante, de qualquer maneira que seja razoavelmente provável identificar o Assinante, sem antes obter a permissão por escrito do Assinante.
   3. Auditorias. Mediante solicitação, a Signifyd poderá fornecer ao Assinante, a cada ano, uma opinião ou um relatório feito por uma empresa de auditoria terceirizada reconhecida no mercado (cada um desses relatórios, um "Relatório"). Se um Relatório não fornecer, na avaliação razoável do Assinante, informações suficientes para confirmar a conformidade da Signifyd com os termos deste DPA, o Assinante ou uma empresa de auditoria terceirizada reconhecida no mercado e acordada entre o Assinante e a Signifyd poderá auditar a conformidade da Signifyd com os termos deste DPA durante o horário comercial regular, com notificação prévia razoável à Signifyd, sujeita a procedimentos e obrigações de confidencialidade, e tomando todas as medidas para evitar interrupções desnecessárias nas operações da Signifyd. O Assinante é responsável por todos os custos relacionados a tal auditoria, incluindo todos os que, a qualquer tempo, a Signifyd despender para tal auditoria, além dos custos pelos serviços prestados pela Signifyd. Antes do início de qualquer auditoria, o Assinante e a Signifyd deverão acordar sobre o escopo, o cronograma e a duração da auditoria. O Assinante deverá notificar prontamente a Signifyd com informações sobre qualquer não conformidade descoberta durante o curso da auditoria. O Assinante não poderá auditar a Signifyd mais de uma vez por ano.
6. RESPONSABILIDADE. A responsabilidade das partes entre si, no caso de violação deste DPA, estará sujeita às disposições de limitação de responsabilidade estabelecidas no Contrato.
7. TERMOS DEFINIDOS.
   1. "Controlador" significa a entidade que, sozinha ou em conjunto com outras, determina as finalidades e os meios do Tratamento de Dados Pessoais.
   2. “Leis de Proteção de Dados” significa todas as leis, regulamentos e demais normas aplicáveis em qualquer jurisdição relacionados à privacidade, proteção de dados, segurança de dados, notificação de incidente ou Tratamento de Dados Pessoais, incluindo, sem limitação, na medida em que aplicáveis:
      1. A Lei de Privacidade do Consumidor da Califórnia, Código Civil da Califórnia § 1798.100 e seguintes, bem como os regulamentos associados, incluindo, quando em vigor, as emendas da Lei de Direitos de Privacidade da Califórnia (“CCPA”);
      2. O Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679 (“GDPR”);
      3. A Lei Federal Suíça sobre Proteção de Dados (“FADP”);
      4. A Lei de Proteção de Dados do Reino Unido de 2018 (“UK GDPR”); e
      5. A Lei Geral de Proteção de Dados Brasileira ("LGPD").
   3. “Titular dos Dados” significa qualquer pessoa natural cujos Dados Pessoais sejam tratados no contexto deste DPA. 7
   4. “Cláusulas Contratuais Padrão da UE” ou “SCCs da UE” significa as Cláusulas Contratuais Padrão emitidas nos termos da Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, sobre cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros, conforme o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, complementadas conforme estabelecido na Seção 4 abaixo e disponíveis em: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32021D0914&from=EN.
   5. “Cláusulas-Padrão Contratuais Brasileiras” ou “SCCs Brasileiras” significa as cláusulas-padrão padrão para a transferência internacional de dados pessoais adotadas pela Autoridade Nacional de Proteção de Dados (ANPD), nos termos da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, emitida com fundamento no artigo 33, inciso I, da Lei Geral de Proteção de Dados (Lei nº 13.709/2018 – “LGPD”), conforme aplicável, e disponível em: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-19-de-23-de-agosto-de-2024-580095396.
   6. “Europa” significa os Estados-membros da União Europeia (“UE”), Suíça, Reino Unido (“UK”), o Espaço Econômico Europeu (“EEE”), o Acordo Europeu de Livre Comércio e Mônaco.
   7. “Finalidades Relacionadas à Fraude” significa a identificação, prevenção, disputa e monitoramento de fraudes, bem como a análise de dados com a finalidade de desenvolver, manter e aprimorar os modelos preditivos e os serviços relacionados à fraude da Signifyd, inclusive por meio do uso de LLMs e tecnologias similares.
   8. “Dados Pessoais” inclui, além de “dados pessoais”, “informações pessoais”, “informações de identificação pessoal” e termos similares, os quais terão o mesmo significado que lhes for atribuído pelas Leis de Proteção de Dados aplicáveis relevantes neste DPA.
   9. “Operador”, “Prestador de Serviço” ou “Contratado” significa a entidade que trata Dados Pessoais em nome de um Controlador ou de um Agente de Tratamento, ou a quem o Controlador ou Agente de Tratamento disponibiliza Dados Pessoais para uma finalidade empresarial, nos termos de um contrato escrito contendo as cláusulas exigidas pelas Leis de Proteção de Dados aplicáveis.
   10. “Tratamento” ou “Tratar” significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais ou sobre conjuntos de Dados Pessoais, por meios automatizados ou não, tais como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, disseminação ou qualquer outra forma de disponibilização, alinhamento ou combinação, restrição, eliminação ou destruição.
   11. “Incidente de Segurança” significa qualquer perda, uso indevido, acesso não autorizado, divulgação, alteração ou destruição de Dados Pessoais sob posse, guarda ou controle da Signifyd, que sejam processados em nome do Assinante em conexão com um Pedido.
   12. “Dados Pessoais do Assinante” significa os Dados Pessoais que são Tratados pela Signifyd no contexto da prestação dos Serviços ao Assinante nos termos do Contrato.
   13. “SCCs do Reino Unido” significa o Aditivo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão Europeia (disponível na Data de Vigência em: https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf).

SUPLEMENTO A
TERMOS ESPECÍFICOS POR REGIÃO

Para os Dados Pessoais do Assinante tratados em relação a Usuários Finais do Assinante residentes nos EUA:

1. Papel das Partes e Natureza do Tratamento
   1. Para fins da CCPA e de quaisquer Leis de Proteção de Dados aplicáveis dentro dos Estados Unidos, a Signifyd realizará o Tratamento dos Dados Pessoais do Assinante na qualidade de Contratada, Operadora de Dados ou Prestadora de Serviços. Na medida em que a Signifyd realizar o Tratamento de Dados Pessoais do Assinante como Operadora de Dados, Contratada ou Prestadora de Serviços, o fará apenas em nome do Assinante, enquanto Controlador de Dados, ou conforme permitido pela Lei de Proteção de Dados aplicável, incluindo a possibilidade de realizar Tratamento de Dados Pessoais de Assinantes para fins de prevenção à fraude, conforme o regulamento CCPA, Seção 7050(a)(4). 1
   2. O Anexo I abaixo estabelece os detalhes e a natureza das atividades de Tratamento. As partes concordam que o Anexo I atende qualquer obrigação aplicável sob as Leis de Proteção de Dados dos EUA de fornecer essas informações.
2. Obrigações das Partes quando o Assinante é o Controlador de Dados ou Empresa, a Signifyd atua como Operadora de Dados, Prestadora de Serviços ou Contratada e o Assinante é um Controlador de Dados ou Empresa.
   1. O Assinante, por meio deste, concorda em:
      1. fornecer à Signifyd apenas instruções que sejam legítimas;
      2. cumprir e executar suas obrigações conforme a Lei de Proteção de Dados aplicável, incluindo direitos dos Titulares de Dados, segurança e confidencialidade dos dados, garantindo uma base legal apropriada para o Tratamento e fornecimento dos Dados Pessoais do Assinante à Signifyd;
      3. fornecer aos Titulares de Dados todas as informações necessárias (inclusive por meio de aviso de privacidade público, transparente e de fácil acesso) sobre o Tratamento de Dados Pessoais pela Signifyd e pelo Assinante para os fins descritos no Contrato e neste DPA.
   2. Na medida em que a Signifyd atue como Operadora de Dados, Prestadora de Serviços ou Contratada do Assinante, a Signifyd se compromete a:
      1. Realizar o tratamento dos Dados Pessoais do Assinante exclusivamente: (a) para cumprir com suas obrigações perante o Assinante conforme o Contrato, incluindo este DPA; (b) em nome do Assinante; e (c) em conformidade com as Leis de Proteção de Dados. A Signifyd não “venderá” os Dados Pessoais do Assinante (conforme o termo entre aspas é definido nas Leis de Proteção de Dados aplicáveis), nem os “compartilhará” ou realizará o Tratamento dos Dados Pessoais do Assinante para fins de “publicidade comportamental entre contextos” ou “publicidade direcionada” (conforme esses termos entre aspas são definidos nas Leis de Proteção de Dados aplicáveis), nem realizará o Tratamento dos Dados Pessoais do Assinante para qualquer outra finalidade que não aquelas específicas aqui estabelecidas ou fora do relacionamento comercial direto com o Assinante.
      2. Não reter, utilizar ou divulgar os Dados Pessoais do Assinante para qualquer finalidade diferente da finalidade comercial especificada no Contrato, a menos que expressamente permitido pelas Leis de Proteção de Dados aplicáveis.
      3. Não reter, utilizar ou divulgar os Dados Pessoais do Assinante fora da relação comercial direta entre a Signifyd e o Assinante, incluindo não combinar ou atualizar os Dados Pessoais do Assinante de maneiras proibidas a uma Prestadora de Serviços ou Contratada sob a CCPA, salvo se expressamente permitido pelo CCPA.
      4. Não tentar vincular, identificar ou criar qualquer relação entre os Dados Pessoais do Assinante e dados não pessoais ou quaisquer outros dados sem autorização expressa do Assinante, salvo se permitido pelas Leis de Proteção de Dados.
      5. Garantir que as pessoas autorizadas por ela para realizar o Tratamento dos Dados Pessoais do Assinante estejam vinculadas a compromissos de confidencialidade ou sujeitas a obrigações legais adequadas de confidencialidade.
      6. Considerando a natureza do Tratamento, auxiliar o Assinante por meio da implementação de medidas técnicas e organizacionais apropriadas, incluindo, mas não se limitando a, atualizações em funcionalidades de software ou suporte técnico, para assegurar que o Assinante possa responder às solicitações dos Titulares de Dados no exercício de seus direitos conforme as Leis de Proteção de Dados.
      7. Na medida aplicável, notificar prontamente o Assinante sobre (a) quaisquer reclamações de terceiros ou Titulares de Dados relacionadas ao Tratamento dos Dados Pessoais do Assinante; ou (b) qualquer solicitação governamental ou de Titulares de Dados para acesso ou informações sobre o Tratamento feito pela Signifyd em nome do Assinante, salvo se proibido pelas Leis de Proteção de Dados aplicáveis. A Signifyd oferecerá cooperação e assistência razoáveis ao Assinante em relação a tais solicitações. Se a Signifyd estiver proibida pelas Leis de Proteção de Dados de divulgar os detalhes de uma solicitação governamental ao Assinante, a Signifyd informará que não pode mais seguir as instruções do Assinante sob este DPA sem fornecer maiores detalhes, e aguardará novas instruções do Assinante.
      8. Notificar o Assinante se a Signifyd determinar que: (a) não pode mais cumprir com suas obrigações sob as Leis de Proteção de Dados; ou (b) que, em sua opinião, uma instrução do Assinante infringe as Leis de Proteção de Dados.
      9. Oferecer assistência e cooperação razoáveis ao Assinante para a realização de um relatório de impacto à proteção de dados do Tratamento ou Tratamento proposto dos Dados Pessoais do Assinante, quando exigido pelas Leis Aplicáveis de Proteção de Dados, e às custas razoáveis do Assinante.
      10. Oferecer assistência e cooperação razoáveis ao Assinante em consultas com autoridades reguladoras relativas ao Tratamento ou Tratamento proposto dos Dados Pessoais do Assinante, incluindo o cumprimento de qualquer obrigação aplicável à Signifyd de consultar tais autoridades.
      11. Conceder ao Assinante o direito de tomar medidas razoáveis e apropriadas para: (a) assegurar que a Signifyd use os Dados Pessoais do Assinante de maneira consistente com as Leis de Proteção de Dados; e (b) cessar e remediar qualquer Tratamento não autorizado mediante notificação.
   3. Declaração. A Signifyd declara que compreende suas obrigações sob este DPA e que cumprirá com elas.Para Dados Pessoais do Assinante relativos a Usuários Finais do Assinante residentes na Europa, América Latina e fora dos EUA:
3. Papel das Partes
   1. Fora dos EUA: Para fins de quaisquer Leis de Proteção de Dados aplicáveis fora dos Estados Unidos e conforme definido explicitamente na Seção 1.b.ii-v, a Signifyd deverá realizar o Tratamento dos Dados Pessoais do Assinante como Controladora de Dados.
      1. A Signifyd deverá realizar o Tratamento dos Dados Pessoais do Assinante com autoridade independente para determinar as finalidades e os meios do Tratamento de Dados Pessoais do Assinante, conforme estabelecido neste Contrato, em particular para os Fins Relacionados à Prevenção de Fraude.
      2. Com relação aos Dados Pessoais do Assinante sujeitos às Leis de Proteção de Dados aplicáveis na Europa, cada parte será uma Controladora independente. Nesses casos, as partes reconhecem e confirmam que nenhuma das partes atua como Operadora em nome da outra parte, e que o Contrato não cria uma relação de Controladoria conjunta ou Controlador-operador entre as partes.
      3. O GDPR, especificamente nos Considerandos 47 e 71, reconhece os Fins Relacionados à Prevenção de Fraude como interesses legítimos que fornecem uma base legal para que um controlador realize o tratamento de dados pessoais.
      4. Quando a Signifyd estiver atuando como Controladora de Dados, o Assinante será responsável por suas próprias atividades de Tratamento, incluindo a gestão do relacionamento com os Titulares de Dados.
4. Obrigações das Partes como Controladoras Independentes. No caso de as partes atuarem como Controladores de Dados independentes sob o Contrato, as partes concordam com o seguinte:
   1. Cooperação.
      1. Cada parte cooperará de maneira razoável com a outra parte para cumprir as obrigações de conformidade previstas pelas Leis de Proteção de Dados aplicáveis e firmará quaisquer acordos adicionais de privacidade, confidencialidade ou segurança da informação que forem razoavelmente solicitados pela outra parte para fins de conformidade com as Leis de Proteção de Dados aplicáveis. Em caso de conflito entre o Contrato e quaisquer desses acordos adicionais de privacidade, confidencialidade ou segurança da informação, o acordo adicional prevalecerá com relação ao Tratamento de Dados Pessoais do Assinante que estejam sob seu escopo.
      2. As partes concordam em cooperar de forma razoável entre si para responder a solicitações de autoridades de supervisão competentes e a solicitações dos Titulares de Dados relacionadas ao Tratamento de Dados Pessoais do Assinante sob o Contrato.
5. Transferência Internacional de Dados
   1. A Signifyd não realizará qualquer Tratamento transfronteiriço de Dados Pessoais do Assinante, nem transmitirá, direta ou indiretamente, quaisquer Dados Pessoais do Assinante para qualquer país fora do país de origem desses dados, sem observar as Leis de Proteção de Dados aplicáveis. Quando a Signifyd realizar uma transferência posterior de Dados Pessoais do Assinante, a Signifyd garantirá um mecanismo legítimo de transferência de dados foi implementado antes da transferência de um país para outro.
   2. As partes concordam que, se os Serviços envolverem transações de dados com “Países Sensíveis” ou “Pessoas Abrangidas”, essas transações estarão sujeitas às restrições sobre transferências posteriores de grandes volumes de Dados Pessoais Sensíveis dos EUA, conforme previsto na Seção 202.302 das disposições do Departamento de Justiça dos EUA (DOJ) relativas à Prevenção de Acesso a Dados Pessoais Sensíveis dos EUA e Dados Relacionados ao Governo por Países Sensíveis ou Pessoas Abrangidas (a “Regra do DOJ”). Todos os termos desta seção devem ser entendidos conforme definidos pela Regra do DOJ.
      1. O Assinante não poderá, sem o consentimento prévio por escrito da Signifyd, transferir, divulgar ou permitir o acesso a qualquer grande volume de Dados Pessoais Sensíveis dos EUA para: (a) qualquer pessoa ou entidade localizada em um País Sensível; (b) qualquer Pessoa Abrangida; ou (c) qualquer terceiro que pretenda, ou seja provável que venha a, transferir os dados para um País Sensível ou Pessoa Abrangida.
      2. O Assinante concorda em implementar medidas de conformidade para evitar transferências não autorizadas, incluindo: (a) condução de due diligence detalhada sobre todos os terceiros aos quais transfira Dados Pessoais Sensíveis dos EUA em grande escala; (b) garantia de que todos os terceiros estejam contratualmente obrigados a cumprir as restrições estabelecidas nesta cláusula; e (c) auditorias regulares das práticas de transferência de dados para garantir conformidade com este contrato.
      3. No caso de uma violação confirmada ou suspeita desta cláusula, o Assinante deverá: (a) notificar imediatamente a Signifyd por escrito; (b) fornecer informações detalhadas sobre a natureza e o alcance da violação; e (c) cooperar integralmente com a Signifyd na investigação e mitigação dos efeitos da violação.
   3. Com relação aos Dados Pessoais do Assinante transferidos sob as Leis de Proteção de Dados da Europa, e exceto conforme disposto nas Seções 3.3 e 3.4 abaixo, as partes concordam que: (i) o Módulo 1 das SCCs da UE se aplica a essas transferências; (ii) a Cláusula 7 (cláusula opcional de adesão) está incluída; (iii) a linguagem opcional da Cláusula 11 (Reparação) não está incluída; (iv) sob as Cláusulas 17, 18 e 13(a), as partes escolhem as leis da Irlanda, os tribunais da Irlanda e as autoridades supervisoras da Irlanda como regentes deste DPA para transferências; (v) os Anexos I(A), I(B) e II estão preenchidos conforme estabelecido no Apêndice 1 deste DPA.
   4. Com relação aos Dados Pessoais do Assinante transferidos do Reino Unido, para os quais a lei de proteção de dados do Reino Unido rege a natureza internacional da transferência, as SCCs do Reino Unido fazem parte deste DPA e prevalecem sobre o restante deste DPA, conforme estabelecido nas SCCs do Reino Unido. Para fins dessas cláusulas, serão considerados como segue: A qualificação das partes e de suas afiliadas será a do Contrato; Os Contatos Principais serão aqueles definidos no Contrato; as cláusulas aprovadas referidas na Tabela 2 serão as SCCs da UE; os Anexos serão os definidos conforme os Apêndices 1 e 2 abaixo; e qualquer Parte poderá encerrar este DPA conforme a Seção 19 das SCCs do Reino Unido.
   5. Para transferências de Dados Pessoais do Assinante sujeitas à FADP, as SCCs da UE fazem parte deste DPA conforme a Seção 3.2, mas com as seguintes alterações conforme exigido pela FADP: (i) referências ao GDPR nas SCCs da UE devem ser entendidas como referências à FADP quando os dados estiverem sujeitos exclusivamente a ela e não ao GDPR; (ii) o termo “estado-membro” nas SCCs da UE não deve ser interpretado de modo a excluir Titulares de Dados na Suíça da possibilidade de buscar seus direitos em seu local de residência habitual (Suíça), de acordo com a Cláusula 18(c) das SCCs da UE; e (iii) a autoridade supervisora competente será o Comissário Federal de Proteção de Dados e Informação da Suíça (para transferências sujeitas à FADP e não ao GDPR), ou ambos o Comissário e a autoridade supervisora identificada nas SCCs da EU (quando a FADP e o GDPR se aplicarem, respectivamente).
   6. Para Dados Pessoais do Assinante relativos a Usuários Finais residentes no Brasil, na medida em que tais dados estejam sujeitos à LGPD, as partes reconhecem e concordam que: i. Papel das Partes: A Signifyd atuará como Controladora de Dados com relação a tal Tratamento, de acordo com os Fins Relacionados à Prevenção de Fraude previstos no Contrato. O Assinante continuará responsável por suas próprias atividades de Tratamento sob a LGPD. ii. Transferências Internacionais de Dados: transferências internacionais de dados ocorrerão no contexto do Tratamento de Dados Pessoais do Assinante e as partes, então, designaram as Cláusulas Padrão Contratuais Brasileiras (CPC-BR) como o mecanismo legal aplicável para tais transferências. As transferências internacionais de Dados Pessoais do Assinante sob o Contrato, este DPA e a LGPD obedecerão às disposições da CPC-BR, conforme estabelecido no Apêndice 3. iii. Em caso de conflito entre o Contrato ou este DPA e o Apêndice 3, os termos do Apêndice 3 prevalecerão com relação ao Tratamento de Dados Pessoais do Assinante sujeitos à LGPD.

APÊNDICE 1
Anexo I

A. LISTA DAS PARTES

Exportador(es) de Dados:
O Assinante e a qualificação e assinatura do Assinante serão aqueles fornecidos no Contrato.

Atividades relevantes aos dados transferidos sob estas Cláusulas: Coletar consentimento e transferir Dados Pessoais do Assinante para fins de a Signifyd fornecer os Serviços conforme estabelecido no Contrato.

Papel (controlador/operador): Controlador

Importador(es) de Dados:

Nome: Signifyd, Inc

Endereço: 99 Almaden Blvd, 4º andar, San Jose, CA 95113

Nome da pessoa de contato, cargo e informações de contato:

Nisha Ramachandran, Diretora Jurídica / Encarregada de Proteção de Dados, [email protected], confirme assinatura fornecida no DPA. O contato para o Titular dos Dados sob a LGPD será: Daniel Longo Braga, Advogado Sênior, [email protected], também disponível em [email protected].

Atividades relevantes aos dados transferidos sob estas Cláusulas: A Signifyd realizará o Tratamento dos Dados Pessoais do Assinante de acordo com o DPA e com o contrato entre a Signifyd e o Exportador de Dados que regula os Serviços. O Tratamento pode incluir coleta, armazenamento, uso, modificação e transferência de Dados Pessoais do Assinante, conforme necessário para a prestação dos Serviços, incluindo, mas não se limitando, aos Fins Relacionados à Prevenção de Fraude.

Papel (Controlador/Operador):

• Com relação somente aos Dados Pessoais do Assinante relativos a Titulares de Dados residentes nos EUA: Operador
• Com relação somente aos Dados Pessoais do Assinante relativos a Titulares de Dados residentes fora dos EUA: Controlado

B. DESCRIÇÃO DA TRANSFERÊNCIA

Categorias de titulares de dados cujos dados pessoais são transferidos

• Titulares de Dados
• Empregados do Assinante (na medida em que o empregado seja um contato comercial ou crie uma conta na plataforma da Signifyd)
• Categorias de dados pessoais transferidos
• Identificadores, como: número de telefone, ID do usuário, primeiro nome, sobrenome, endereço físico, endereço de e-mail, código postal, ID do dispositivo, ID do pedido, ID da transação, itens comprados.
• Informações de pagamento e bancárias, como: valor da transação, método de pagamento, últimos 4 dígitos de um número de cartão de pagamento, BIN do cartão.
• Atividade na Internet ou Rede, como: comportamento de login, análise comportamental de transações, endereço IP.
• Dados Profissionais ou Relacionados ao Emprego, como: informações de contato do empregado do Assinante.
• Inferências extraídas de outras Informações Pessoais.

Dados sensíveis transferidos (se aplicável) e restrições ou salvaguardas aplicadas, levando integralmente em consideração a natureza dos dados e os riscos envolvidos, como, por exemplo, limitação estrita de finalidade, restrições de acesso (incluindo acesso apenas por funcionários com treinamento especializado), manutenção de registros de acesso aos dados, restrições para transferências posteriores ou medidas adicionais de segurança.

• N/A

Frequência da transferência (por exemplo, se os dados são transferidos uma única vez ou de forma contínua)

• Base contínua por transação revisada, conforme estabelecido no Contrato.

Natureza do Tratamento

• A Signifyd é responsável por prestar os Serviços aos nossos clientes, conforme descrito no Contrato, especialmente para os Fins Relacionados à Prevenção de Fraude.

Finalidade(s) da transferência de dados e do tratamento posterior

• N/A O

período pelo qual os dados pessoais serão retidos, ou, se isso não for possível, os critérios usados para determinar tal período

• Pelo menor dos seguintes prazos: (i) cinco (5) anos ou (ii) até que os dados deixem de ter utilidade material para os Serviços da Signifyd.

Para transferências a (sub)operadores, também especificar o objeto, natureza e duração do tratamento

• Os Suboperadores estarão sujeitos à mesma natureza e finalidades do Tratamento conforme estabelecido neste DPA.

C. AUTORIDADE SUPERVISORA COMPETENTE

Identificar a(s) autoridade(s) supervisora(s) competente(s), de acordo com a Cláusula 13

• Autoridade de Proteção de Dados da Irlanda

Anexo II
MEDIDAS TÉCNICAS E ORGANIZACIONAIS, INCLUINDO MEDIDAS PARA GARANTIR A SEGURANÇA DOS DADOS

Descrição das medidas técnicas e organizacionais implementadas pelo(s) importador(es) de dados (incluindo quaisquer certificações relevantes) para garantir um nível apropriado de segurança, levando em consideração a natureza, escopo, contexto e finalidade do Tratamento, bem como os riscos para os direitos e liberdades das pessoas naturais:

A Signifyd implementou as seguintes medidas técnicas e organizacionais:

Auditorias e Certificações:

• SOC 2 Type II
• PCI DSS
• ISO 27001

Medidas adotadas para proteger a Confidencialidade e Integridade das Informações do Assinante e do Usuário Final:

• O acesso ao ambiente de produção é restrito a funcionários autorizados, com base na função e na necessidade de negócios. A infraestrutura de produção é segregada do ambiente não-produtivo e da infraestrutura exposta ao público.
• Uma estratégia de controle de Defesa em Profundidade é implementada, com múltiplas camadas de defesa perimetral ao redor dos servidores de aplicação e banco de dados principais, firewalls de rede e aplicação, balanceadores de carga, restrições de acesso lógico e ferramentas de monitoramento de ameaças e logging.
• Os Dados Pessoais são criptografados em repouso e durante o trânsito pela internet pública. Quando não for possível criptografar os dados em repouso por motivos comerciais, controles compensatórios, incluindo controles de acesso, são estabelecidos.
• Programa de Segurança da Informação: Um Programa de Segurança da Informação documentado é mantido, estabelecido com o objetivo de proteger os Dados Pessoais contra perda acidental ou ilícita, acesso ou divulgação identificar riscos internos e previsíveis à segurança e acessos não autorizados e minimizar os riscos de segurança.
• Segurança de Rede: São mantidos controles e políticas de acesso para gerenciar o acesso de cada conexão de rede e usuário. Firewalls ou tecnologias funcionalmente equivalentes e controles de autenticação são utilizados. Planos de ação corretiva e resposta a incidentes são aplicados para lidar com possíveis ameaças de segurança.
• Revisões Periódicas: Avaliações regulares da segurança da rede e do Programa de Segurança da Informação são conduzidas com base nos padrões da indústria. Atualizações e melhorias às medidas protetivas são implementadas conforme necessário com base nessas revisões.

Medidas adotadas para garantir Disponibilidade e Tempo de Atividade da Plataforma e Serviços Associados conforme estabelecido em Acordos de Nível de Serviço:

• Processos de Continuidade de Negócios e Recuperação de Desastres estão em vigor e os planos são testados anualmente para garantir capacidade de Recuperação de Desastres.
• O sistema de produção da Signifyd é tolerante a falhas, escalável e altamente disponível. O tráfego de entrada é balanceado entre zonas de disponibilidade geograficamente distribuídas.
• Um processo robusto de backup foi estabelecido para os bancos de dados de produção e os dados dos Usuários Finais.

Medidas adotadas para garantir Qualidade, Precisão e Segurança dos Serviços e dos Dados envolvidos:

• Todas as alterações na plataforma seguem um ciclo de desenvolvimento de software (SDLC) rigoroso, incluindo testes e garantia de qualidade em ambientes de teste antes da promoção ao ambiente de produção.
• Scans de vulnerabilidade trimestrais e testes de penetração em aplicações web anuais são realizados para monitorar vulnerabilidades e configurações inadequadas na plataforma de produção.
• Todos os sistemas com acesso público via internet são segregados da rede de produção por meio de segmentação de rede, firewalls e/ou restrições de acesso lógico. O acesso dos usuários à solução é gerenciado por meio de uma Interface de Programação de Aplicações, que controla o tipo e formato de todos os dados que entram e saem do sistema.
•  Revisões de acesso de usuários são realizadas periodicamente ao longo do ano. Quaisquer problemas identificados são documentados e acompanhados até a resolução.
• Toda autenticação e transmissão de dados para o ambiente de produção ocorre por canais seguros de transmissão (por exemplo, IPSec, SSH, TLS).

Medidas adotadas para garantir a Segurança, Confidencialidade e Integridade dos Dados em Contato com Terceiros:

• Contratos com fornecedores estabelecem requisitos de segurança da informação e confidencialidade para os fornecedores.

Medidas adotadas para garantir a Disponibilidade da Plataforma e dos Dados nela contidos:

• Processos de Recuperação de Desastres e Continuidade de Negócios estão em vigor, e a infraestrutura de produção é configurada em modo de alta disponibilidade para minimizar interrupções inesperadas nos serviços e no acesso aos Serviços.
• O sistema de produção da Signifyd é tolerante a falhas, escalável e altamente disponível. O tráfego de entrada é balanceado entre zonas de disponibilidade geograficamente distribuídas.
• Um processo robusto de backup foi estabelecido para os bancos de dados de produção e os dados dos clientes.

Medidas adotadas por Subcontratados/Suboperadores:

• Programa de Segurança da Informação: Um Programa documentado de Segurança da Informação é mantido, estabelecido com o objetivo de proteger os Dados Pessoais do Assinante contra perda, acesso ou divulgação acidental ou ilícita, identificar riscos internos e previsíveis à segurança e minimizar os riscos.
• Segurança de Rede: Controles e políticas de acesso são mantidos para gerenciar conexões de rede e acesso de usuários. Firewalls ou tecnologias funcionalmente equivalentes e controles de autenticação são utilizados. Planos de ação corretiva e resposta a incidentes são utilizados para responder a potenciais ameaças à segurança.
• Segurança Física:
  • O acesso aos data centers é restrito a funcionários com necessidade legítima de negócio. O acesso é revogado quando não for mais necessário.
  • Controles físicos como barreiras, validação eletrônica de acesso e verificação por pessoal de segurança são utilizados.
  • Portas com travas, vigilância por vídeo e sistemas eletrônicos de detecção de intrusão são utilizados nas instalações onde os dados são armazenados.
  • Crachás de identificação com foto, registro de entrada e saída e acompanhamento por funcionários são exigidos para todos os visitantes.
• Revisões Periódicas: Avaliações da segurança da rede e do Programa de Segurança da Informação são realizadas regularmente com base nos padrões da indústria. Melhorias e atualizações são aplicadas conforme exigido por essas análises.

APÊNDICE 2

Suboperadores/Fornecedores da Signifyd