Anexo de seguridad

Esta es la Adenda de Seguridad bajo el Contrato Marco.

1. POLÍTICA DE SEGURIDAD

• Ripple Treasury mantendrá una política de seguridad integral (“Política de Seguridad”) que satisfaga los requisitos establecidos a continuación. Ripple Treasury no realizará ningún cambio en la Política de Seguridad que reduzca o limite materialmente, en cualquier aspecto sustancial, los derechos o protecciones ofrecidos al Cliente en virtud de este Anexo en general. A petición del Cliente, Ripple Treasury proporcionará al Cliente un resumen de la Política de Seguridad vigente en ese momento.
• Ripple Treasury revisará la Política de Seguridad al menos anualmente y la volverá a emitir si se actualiza, especialmente tras cualquier cambio en la legislación aplicable, avances tecnológicos o cambios sustanciales en la infraestructura de TI de Ripple Treasury.

2.ESTÁNDARES.2.ESTÁNDARES.

Ripple Treasury utilizará medidas estándar de la industria para asegurar y proteger los Datos del Cliente. Cuando corresponda, Ripple Treasury utilizará y se adherirá al Marco de Controles de Seguridad para Proveedores de la Sociedad de Telecomunicaciones Financieras Interbancarias Mundiales (SWIFT) vigente en ese momento.Ripple Treasury utilizará medidas estándar del sector para asegurar y proteger los Datos del Cliente. Cuando corresponda, Ripple Treasury aplicará y cumplirá con el Marco de Controles de Seguridad para Proveedores de la Society for Worldwide Interbank Financial Telecommunication (SWIFT) vigente en ese momento.

3.FORMACIÓN Y CONCIENCIACIÓN.3. FORMACIÓN Y CONCIENCIACIÓN.

• Generalidades. Ripple Treasury establecerá un programa de formación y educación adecuado diseñado para garantizar que su personal esté debidamente capacitado en relación con sus responsabilidades en materia de confidencialidad, protección de datos y deberes de no divulgación, incluyendo, sin limitación, cualquier requisito especial relacionado con los Datos del Cliente.
• Usuarios con acceso privilegiado. Además de sus obligaciones generales de formación, Ripple Treasury pondrá a disposición formación de seguridad específica a todo el personal al que se le conceda acceso privilegiado (por ejemplo, root, dba, administrador de sistemas, administrador de red, acceso de superusuario, soporte, etc.) a los sistemas que gestionan o contienen Datos del Cliente.

4.EVALUACIONES DE RIESGOS.4.EVALUACIONES DE RIESGO.

• Evaluación de riesgos. Ripple Treasury realizará, al menos anualmente, una evaluación de riesgos exhaustiva dirigida por la dirección (ya sea internamente o con recursos contratados e independientes) que identifique los datos del cliente, los activos empresariales (por ejemplo, la infraestructura técnica) y los flujos de trabajo operativos de Ripple Treasury, las amenazas contra esos elementos (tanto internas como externas), la probabilidad de que ocurran esas amenazas y el impacto en la organización para determinar un nivel adecuado de salvaguardias de seguridad de la información.
• Mitigación de riesgos. Ripple Treasury utilizará medidas estándar de la industria para gestionar, controlar y mitigar cualquier riesgo identificado en la evaluación de riesgos que pudiera resultar en el acceso no autorizado, copia, uso, procesamiento, divulgación, alteración, transferencia, pérdida o destrucción de los Datos del Cliente, todo ello en consonancia con la sensibilidad de los Datos del Cliente, así como con la complejidad y el alcance de las actividades de Ripple Treasury en virtud del Contrato.

5.PRUEBAS DE CONTROLES DE SEGURIDAD.5. PRUEBAS DE CONTROLES DE SEGURIDAD.

• Ripple Treasury hará que un auditor independiente externo realice, al menos anualmente, una auditoría de la seguridad de los Sistemas de Ripple Treasury de acuerdo con la Declaración sobre Normas para Trabajos de Atestiguamiento n.º 18, bajo los estándares del Instituto Americano de Contadores Públicos Certificados (el “AICPA”), generando un informe SOC 2 Tipo II. A petición del Cliente, Ripple Treasury proporcionará una copia de dicho informe al Cliente. El informe será Información Confidencial de Ripple Treasury y el Cliente asumirá las obligaciones de confidencialidad que el auditor exija a personas en situaciones similares.
• Con respecto a los proveedores de Ripple Treasury que prestan servicios de alojamiento, Ripple Treasury, a petición del Cliente, proporcionará al Cliente las auditorías de seguridad realizadas en los sistemas de dicho proveedor que Ripple Treasury tenga permitido obtener en virtud de su acuerdo con dicho proveedor, sujeto a que el Cliente asuma las obligaciones de confidencialidad que exijan los auditores que elaboraron dichos informes.

6.SEGURIDAD ORGANIZACIONAL.6. SEGURIDAD ORGANIZACIONAL.

• Responsabilidad. Ripple Treasury asignará la responsabilidad de la gestión de la seguridad de la información únicamente al personal cualificado y de alto nivel adecuado.
• Acceso por necesidad de conocimiento. Ripple Treasury restringirá el acceso a los sistemas de información utilizados en relación con los servicios prestados en virtud del Contrato y/o a los Datos del Cliente únicamente a aquel personal que sea fiable, tenga la experiencia técnica suficiente para el puesto asignado y conozca sus obligaciones y las consecuencias de cualquier violación de seguridad o incumplimiento de los requisitos de confidencialidad.
• Confidencialidad y personal de Ripple Treasury. Ripple Treasury se asegurará de que su personal que tenga acceso a la Información Confidencial del Cliente mantenga la confidencialidad de dicha Información Confidencial de acuerdo con las obligaciones de Ripple Treasury en virtud del Contrato Marco.

7. Gestión de activos.7. GESTIÓN DE ACTIVOS.

• Control de Datos. Ripple Treasury no copiará, descargará, transmitirá (hacia o desde) ni almacenará Datos del Cliente en ningún ordenador de sobremesa, portátil, servidor, dispositivo portátil o de otro tipo en ninguna ubicación, y se asegurará de que el Personal de Ripple Treasury tampoco lo haga, a menos que esté directamente relacionado con la prestación del servicio en virtud del Contrato.
• Gestión de la Configuración. Ripple Treasury establecerá una línea base de configuración para los sistemas de información de la infraestructura de TI de Ripple Treasury utilizando los estándares de seguridad de la información aplicables, las recomendaciones del fabricante y las prácticas de la industria. Ripple Treasury establecerá un monitoreo apropiado para asegurar que la infraestructura de TI de Ripple Treasury esté configurada de acuerdo con la línea base de configuración establecida durante toda la vida útil de la infraestructura de TI de Ripple Treasury.
• Gestión de Cambios. La implementación de cambios y la introducción de nuevos sistemas deben ser controladas, documentadas y aplicadas mediante el uso de procedimientos de control de cambios exhaustivos y formales que incluyan documentación, especificaciones, pruebas, control de calidad, recuperación e implementación gestionada.
• Gestión de Vulnerabilidades. Ripple Treasury implementará una política organizacional formal para un programa de gestión de vulnerabilidades que requiera el escaneo de vulnerabilidades, la suscripción a un servicio de notificación de vulnerabilidades, un método para priorizar la remediación de vulnerabilidades basado en el riesgo (uno de cuyos componentes debe ser un sistema de calificación estándar de la industria), plazos de remediación establecidos basados en la calificación de riesgo, y el seguimiento e informe sobre la efectividad del programa de remediación.

8. RESPONSABILIDAD POR PROVEEDORES.

Ripple Treasury será responsable ante el Cliente por cualquier acto u omisión de un proveedor u otro agente de Ripple Treasury que, si fuera cometido u omitido por Ripple Treasury, constituiría un incumplimiento de este Anexo por parte de Ripple Treasury.

9. GEOLOCALIZACIÓN:

Cuando un Anexo de Pedido requiera una ubicación particular para el alojamiento de Datos del Cliente (por ejemplo, una región de Azure o una especificación similar), Ripple Treasury mantendrá los Datos del Cliente almacenados y procesados por el Sistema aplicable en esa ubicación.

10. SEGURIDAD FÍSICA DE LAS INSTALACIONES.

• Aseguramiento de Instalaciones Físicas. Ripple Treasury mantendrá, o hará que se mantenga, el entorno de alojamiento para el(los) Sistema(s) en un entorno físicamente seguro que restrinja el acceso solo a personas autorizadas. Un entorno seguro incluye la gobernanza de personal de seguridad 24×7 o medios equivalentes de monitoreo activo de los controles de seguridad para todas las ubicaciones relevantes (incluyendo, sin limitación, edificios, instalaciones informáticas e instalaciones de almacenamiento de registros).
• Ubicaciones Seguras de Procesamiento Físico. Ripple Treasury mantendrá un registro actualizado de todas las ubicaciones donde almacena o procesa Datos del Cliente en relación con la prestación de servicios y el propietario de dicha ubicación de datos. Ripple Treasury actualizará dicho registro para reflejar cualquier transferencia o reubicación de porciones sustanciales de Datos del Cliente.

11. MANEJO DE MEDIOS.

• Seguridad Física de los Medios. Ripple Treasury utilizará medidas estándar de la industria para evitar el acceso no autorizado, la copia, alteración o eliminación de cualquier medio que contenga Datos del Cliente, dondequiera que se encuentren. Los medios extraíbles en los que Ripple Treasury almacene Datos del Cliente (incluyendo, entre otros, unidades flash, CD y DVD) deben cifrarse utilizando AES de al menos 256 bits (o equivalente).
• Destrucción de Medios. Ripple Treasury borrará o destruirá de forma segura los medios extraíbles y cualquier dispositivo móvil (ejemplos incluyen discos, unidades USB, DVD, cintas de respaldo, impresoras, computadoras portátiles o tabletas, etc.) que contengan Datos del Cliente cuando ya no se utilicen, haciendo que los Datos del Cliente en dichos medios físicos sean ininteligibles e incapaces de reconstrucción por cualquier medio técnico antes de cualquier reutilización de los medios, si lo solicita el Cliente o si dichos medios o dispositivos móviles ya no están destinados a ser utilizados. Todas las cintas de respaldo que por cualquier motivo no sean destruidas deben cumplir con el nivel de protección descrito en este Anexo hasta su destrucción.
• Destrucción de Papel. Ripple Treasury triturará en tiras todo el papel de desecho que contenga Datos del Cliente y lo eliminará de manera segura y confidencial para que dicho papel de desecho sea ilegible.

12. GESTIÓN DE COMUNICACIONES Y OPERACIONES.

• Pruebas de Penetración. Ripple Treasury contratará, al menos anualmente, a un tercero independiente (o a una función de prueba organizacionalmente independiente) para realizar una prueba de penetración de la infraestructura de TI de Ripple Treasury. Ripple Treasury proporcionará al Cliente, previa solicitud, un resumen de alto nivel de los resultados de la prueba.
• Alcance de las Pruebas de Penetración. El alcance de una prueba de penetración debe incluir el perímetro de la infraestructura de TI de Ripple Treasury y cualquier sistema crítico que pueda afectar la seguridad de la infraestructura de TI de Ripple Treasury. Esto incluye tanto el perímetro externo (superficies de ataque expuestas al público) como el perímetro interno de la infraestructura de TI de Ripple Treasury (superficies de ataque de LAN a LAN). Las pruebas deben incluir evaluaciones tanto a nivel de aplicación como a nivel de red.
• Cifrado de Datos. Ripple Treasury cifrará los Datos del Cliente que estén en posesión o bajo el control de Ripple Treasury, tanto en reposo (cuando no estén siendo procesados activamente) como en tránsito. Para las circunstancias en tránsito, Ripple Treasury habilitará TLS con una fuerza de cifrado de al menos 256 bits en el Punto de Demarcación. Ripple Treasury implementará y cumplirá una política formal de cifrado organizacional que cubra estándares aceptables, algoritmos, prácticas de gestión de claves y certificados.
• Prevención de pérdida de datos. Ripple Treasury implementará controles exhaustivos de prevención de fugas de datos diseñados para identificar, detectar, monitorizar, documentar y, o bien prevenir, o bien alertar sobre la salida de dichos Datos del Cliente del control de Ripple Treasury sin la autorización correspondiente.
• Destrucción de datos. Cuando el Acuerdo Marco permita o exija a Ripple Treasury destruir Datos del Cliente, Ripple Treasury borrará o destruirá dichos Datos del Cliente, haciéndolos irrecuperables.
• Restricciones de tráfico de red. Ripple Treasury implementará controles técnicos que restrinjan el tráfico de red que afecta a los Datos del Cliente al tráfico mínimo requerido para proporcionar el servicio (por ejemplo, restricciones de puertos, controles de firewall, etc.).
• Redes inalámbricas. Ripple Treasury garantizará que cualquier uso del tráfico de red organizacional Wi-Fi para la transmisión de Datos del Cliente esté cifrado utilizando WPA2 o WPA3 con la opción de algoritmo de cifrado AES proporcionada para SSID no difundidos y autenticación mutua entre el servidor y los dispositivos finales; o medidas similares o mejores.
• Código malicioso. Ripple Treasury implementará controles para detectar la introducción o intrusión de Código Malicioso en los sistemas de información que manejan o contienen Datos del Cliente, e implementará y mantendrá controles diseñados para prevenir el acceso no autorizado, la divulgación o la pérdida de integridad de cualquier Dato del Cliente.
• Controles de Internet. Ripple Treasury implementará controles para identificar y bloquear el acceso de los empleados a contenido de Internet de alto riesgo e indeseable y a sitios web de mayor riesgo (como correo electrónico basado en Internet o servicios de almacenamiento de archivos) utilizando la Infraestructura de TI de Ripple Treasury.

13. CONTROL DE ACCESO.

• Acceso autorizado. Ripple Treasury mantendrá una separación lógica de tal manera que el acceso a la Infraestructura de TI de Ripple Treasury que aloja los Datos del Cliente y/o que se utiliza para proporcionar servicios al Cliente identificará de forma única a cada individuo que requiera acceso y concederá acceso solo al personal autorizado basándose en el principio de mínimos privilegios.
• Inventario de acceso de usuarios. Ripple Treasury mantendrá una lista precisa y actualizada de todo el Personal de Ripple Treasury que tenga acceso a los Datos del Cliente y tendrá un proceso para deshabilitar rápidamente el acceso, dentro de las 24 horas siguientes a la transferencia o terminación. Además, Ripple Treasury revisará periódicamente (al menos anualmente) los derechos de acceso de los usuarios para garantizar que se preserve el principio de mínimo privilegio.
• Acceso ya no necesario.

  * Con respecto a cualquier Personal de Ripple Treasury que ya no requiera, o ya no esté autorizado a tener, acceso a los Datos del Cliente, cuando el acceso de los usuarios sea gestionado por el Cliente, Ripple Treasury notificará al Cliente con al menos 24 horas de antelación al momento en que dicho acceso ya no sea requerido o autorizado.

  * Sin perjuicio de lo anterior, cuando el acceso de los usuarios sea gestionado por Ripple Treasury, Ripple Treasury rescindirá inmediatamente el acceso a los sistemas y las instalaciones del Cliente por parte de cualquier Personal de Ripple Treasury que sea desvinculado o que ya no participe activamente en ninguna asignación del Cliente, o si dicho personal deja de ser empleado o proveedor de

• Gestión de credenciales de autenticación. Ripple Treasury comunicará las Credenciales de Acceso a los usuarios de una manera razonablemente calculada para evitar que sean recibidas por personas no autorizadas a recibirlas.
• Registro y monitorización. Ripple Treasury registrará y monitorizará todo acceso a la Infraestructura de TI de Ripple Treasury para adiciones, alteraciones, eliminaciones y copias de Datos del Cliente. Ripple Treasury mantendrá registros de los intentos de acceso al sistema o aplicables, tanto exitosos como fallidos. Ripple Treasury mantendrá los registros de administración durante un mínimo de 60 días y los registros de transacciones financieras durante un mínimo de seis meses.
• Autenticación multifactor para acceso remoto. Ripple Treasury utilizará autenticación multifactor y un túnel seguro al acceder de forma remota a la Infraestructura de TI de Ripple Treasury.
• Autenticación multifactor para aplicaciones expuestas a Internet. Ripple Treasury exigirá autenticación multifactor para todos los usuarios de aplicaciones que estén expuestas a Internet pública; que permitan instrucciones/transacciones financieras; o que permitan la visualización de Datos Personales sensibles.
• Acceso administrativo a los puntos finales. Ripple Treasury restringirá generalmente el acceso administrativo en las máquinas de usuario final utilizadas por el Personal de Ripple Treasury, incluida la capacidad de instalar software, exclusivamente al personal y a las cuentas privilegiadas con responsabilidades administrativas técnicas.

14. USO DE ORDENADORES PORTÁTILES Y DISPOSITIVOS MÓVILES.

• Requisitos de cifrado. Ripple Treasury cifrará los datos de cualquier ordenador portátil o dispositivo móvil que contenga Datos del Cliente utilizando un algoritmo de cifrado reconocido en la industria con un cifrado AES de al menos 256 bits (o equivalente).
• Almacenamiento seguro. Ripple Treasury exigirá que todos sus ordenadores portátiles y dispositivos móviles que accedan a los Datos del Cliente se almacenen de forma segura siempre que no estén en posesión inmediata del Personal de Ripple Treasury. En caso de pérdida o robo de un ordenador portátil de Ripple Treasury u otro dispositivo móvil que contenga Datos del Cliente sin cifrar o fácilmente identificables, Ripple Treasury notificará de inmediato al Cliente.
• Tiempo de Inactividad. Ripple Treasury empleará controles de acceso y contraseña, así como tiempos de inactividad no superiores a 30 minutos en todos los portátiles, ordenadores de escritorio y dispositivos móviles utilizados por el Personal de Ripple Treasury para acceder a los Datos del Cliente.
• Portátiles/Dispositivos Móviles. – Ripple Treasury implementará controles técnicos que prohíban el acceso a los Datos del Cliente en portátiles o dispositivos móviles cuando no se puedan cumplir los requisitos anteriores.

15. ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN.

• Análisis de Código. Con respecto al software que Ripple Treasury desarrolla para su uso como parte de un Sistema, Ripple Treasury realizará pruebas de seguridad de aplicaciones estáticas (SAST) con una herramienta y/o proceso comercialmente reconocido diseñado para identificar y remediar vulnerabilidades de seguridad técnicas. Además, Ripple Treasury examinará su código en busca de fallos de diseño (como código de depuración residual) que podrían utilizarse para eludir los controles de seguridad implementados, y/o para la inclusión de código que podría utilizarse con intenciones maliciosas.
• Seguridad del Software de Código Abierto. Ripple Treasury, según corresponda, implementará controles asociados con el uso de software de código abierto dentro del ciclo de vida de desarrollo para abordar y mitigar los riesgos de dicho software. Estos controles incluirán mínimamente disposiciones para inventarios y auditorías de software de código abierto, análisis de componentes y composición, seguridad y vulnerabilidades, licencias y cumplimiento, y calidad del software.
• Parcheo de Software. Ripple Treasury actualizará y parcheará regularmente todo el software informático en la infraestructura de TI de Ripple Treasury que maneja o contiene Datos del Cliente, aplicando parches para vulnerabilidades calificadas como "críticas" o "altas" dentro de los 30 días posteriores a la disponibilidad del parche, a menos que se hayan aplicado otros controles sugeridos o recomendados por el editor del software que mitiguen la vulnerabilidad.

16. GESTIÓN DE INCIDENTES Y COMUNICACIONES.

• Gestión de Incidentes/Notificación de Incumplimiento. Ripple Treasury desarrollará e implementará un plan de respuesta a incidentes aprobado por la dirección que especifique las acciones a tomar cuando Ripple Treasury o uno de sus proveedores sospeche o detecte que una persona ha obtenido acceso no autorizado a Datos del Cliente o a sistemas o aplicaciones que contienen Datos del Cliente (el "Plan de Respuesta"). El Plan de Respuesta incluirá las siguientes disposiciones.

  * Procedimientos de Escalada. Notificación a los gerentes superiores y presentación de informes apropiados a las agencias reguladoras y de aplicación de la ley.

  * Informe de Incidentes. Ripple Treasury proporcionará rápidamente al Cliente los detalles que Ripple Treasury tenga u obtenga sobre las circunstancias generales y el alcance de dicho acceso no autorizado, incluyendo, sin limitación, las categorías de Datos Personales del Cliente y el número y/o las identidades de los interesados afectados, así como cualquier medida tomada para proteger los Datos del Cliente y preservar la información para cualquier investigación necesaria.

  * Investigación y Prevención. Ripple Treasury hará esfuerzos razonables para ayudar al Cliente a investigar o prevenir la recurrencia de dicho acceso y: (A) cooperará con el Cliente en sus esfuerzos por cumplir con las notificaciones legales u otras obligaciones legales aplicables al Cliente o a sus clientes que surjan de un acceso o uso no autorizado y para buscar medidas cautelares u otras reparaciones equitativas y (B) tomará rápidamente todas las medidas razonables necesarias para prevenir una recurrencia y mitigar las pérdidas derivadas de dicho acceso no autorizado. Además, en caso de que Ripple Treasury informe de un incidente de seguridad al Cliente y el incidente de seguridad resulte en que el Cliente abra un caso de soporte técnico de nivel "crítico", Ripple Treasury tomará las siguientes medidas a menos que las partes acuerden lo contrario:

    * Ripple Treasury asignará uno o más ingenieros de soporte en la nube, gerentes de cuentas técnicas o personal similar (el "Responsable de Incidentes") para coordinar con el Cliente, supervisar los detalles del incidente de seguridad, investigar y diagnosticar las preocupaciones del Cliente, y trabajar con los expertos en la materia del servicio de Ripple Treasury en relación con el incidente de seguridad;

    * Ripple Treasury hará esfuerzos comercialmente razonables para que el Responsable de Incidentes responda (o acuse recibo) al caso de soporte técnico del Cliente según lo establecido en el SLA; y

    * Si es necesario y apropiado, el Responsable de Incidentes organizará una interacción directa entre el Cliente y los expertos en la materia del servicio de Ripple Treasury en relación con el incidente de seguridad.

  * Formación del Personal y Confidencialidad. Ripple Treasury se asegurará de que todo el personal comprenda plenamente el proceso y las condiciones bajo las cuales se les exige invocar la respuesta a incidentes adecuada. Ripple Treasury mantendrá la confidencialidad según, y en la medida en que, lo exija el Contrato Marco en relación con la posesión, uso o conocimiento no autorizados, reales o sospechados, de Datos del Cliente o cualquier otro fallo de las medidas de seguridad de Ripple Treasury o el incumplimiento de sus políticas o procedimientos de seguridad.

  * Revisión/Actualización Anual. Ripple Treasury revisará el Plan de Respuesta al menos anualmente para adaptarse a cualquier cambio material en los sistemas, aplicaciones o procesos operativos y aprobado por la dirección. Ripple Treasury realizará, al menos anualmente, un ejercicio de validación para comprobar si las suposiciones del Plan de Respuesta son precisas y confirmar la capacidad de Ripple Treasury para ejecutar el plan tal como está diseñado.

Clientes DORA. En la medida en que el Cliente sea una "Entidad Financiera" sujeta a la Ley de Resiliencia Operativa Digital (Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital para el sector financiero y por el que se modifican los Reglamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 y (UE) 2016/1011. Véase también https://eur-lex.europa.eu/eli/reg/2022/2554/oj) ("DORA")) y esté obligado a imponer a Ripple Treasury las obligaciones establecidas en el Art. 30 de DORA, Ripple Treasury prestará asistencia al Cliente cuando se produzca un "Incidente TIC" relacionado con el/los Sistema(s) proporcionado(s) al Cliente. Cuando dicho Incidente TIC sea causado directamente por un incumplimiento de Ripple Treasury de sus obligaciones en virtud del Contrato, Ripple Treasury proporcionará dichos servicios sin coste adicional, hasta el límite de responsabilidad establecido en el Contrato. Cuando dicho Incidente TIC no sea causado directamente por un incumplimiento de Ripple Treasury de sus obligaciones en virtud del Contrato, Ripple Treasury proporcionará dichos servicios a la tarifa de Servicios Profesionales establecida en el Documento de Pedido o, si no se establece dicha tarifa en el Documento de Pedido, a las tarifas vigentes en ese momento de Ripple Treasury (pero, en cualquier caso, comercialmente razonables).

‍