Aditamento de Segurança

Este é o Aditamento de Segurança sob o Contrato Principal.Este é o Aditamento de Segurança nos termos do Contrato Principal.

1.POLÍTICA DE SEGURANÇA1.POLÍTICA DE SEGURANÇA

• A Ripple Treasury manterá uma política de segurança abrangente (“Política de Segurança”) que satisfaça os requisitos estabelecidos abaixo. A Ripple Treasury não fará qualquer alteração à Política de Segurança que reduza ou limite materialmente, em qualquer aspeto material, os direitos ou proteções oferecidos ao Cliente sob este Aditamento em geral. Mediante solicitação do Cliente, a Ripple Treasury fornecerá ao Cliente um resumo da Política de Segurança então vigente.
• A Ripple Treasury revisará a Política de Segurança pelo menos anualmente e a reeditará se atualizada, particularmente após quaisquer alterações na lei aplicável, avanços tecnológicos ou mudanças materiais na Infraestrutura de TI da Ripple Treasury.

2. NORMAS.2.PADRÕES.

A Ripple Treasury utilizará medidas padrão da indústria para proteger e salvaguardar os Dados do Cliente. Quando aplicável, a Ripple Treasury utilizará e aderirá à Estrutura de Controles de Segurança do Provedor da Society for Worldwide Interbank Financial Telecommunication (SWIFT) então vigente.A Ripple Treasury utilizará medidas padrão da indústria para proteger e salvaguardar os Dados do Cliente. Quando aplicável, a Ripple Treasury adotará e cumprirá a Estrutura de Controles de Segurança para Provedores da Sociedade para Telecomunicações Financeiras Interbancárias Mundiais (SWIFT) então vigente.

3. FORMAÇÃO E CONSCIENTIZAÇÃO.3.TREINAMENTO E CONSCIENTIZAÇÃO.

• Geralmente. A Ripple Treasury instituirá um programa de formação e educação apropriado, concebido para garantir que o seu pessoal esteja devidamente formado relativamente às suas responsabilidades no que diz respeito à confidencialidade, proteção de dados e deveres de não divulgação, incluindo, sem limitação, quaisquer requisitos especiais relacionados com os Dados do Cliente.
• Utilizadores com Acesso Privilegiado. Além das suas obrigações gerais de formação, a Ripple Treasury disponibilizará formação de segurança específica a todo o pessoal com acesso privilegiado (por exemplo, root, dba, administrador de sistema, administrador de rede, acesso de nível superutilizador, suporte, etc.) a sistemas que processam ou contêm Dados do Cliente.

4. AVALIAÇÕES DE RISCO.4. AVALIAÇÕES DE RISCO.

• Avaliação de Risco. A Ripple Treasury realizará, pelo menos anualmente, uma avaliação de risco abrangente dirigida pela gestão (internamente ou com recursos contratados e independentes) que identifique os dados do cliente, os ativos comerciais (por exemplo, infraestrutura técnica) e os fluxos de trabalho operacionais da Ripple Treasury, as ameaças contra esses elementos (tanto internas quanto externas), a probabilidade de ocorrência dessas ameaças e o impacto sobre a organização para determinar um nível apropriado de salvaguardas de segurança da informação.
• Mitigação de Riscos. A Ripple Treasury utilizará medidas padrão da indústria para gerenciar, controlar e mitigar quaisquer riscos identificados na avaliação de risco que possam resultar em acesso não autorizado, cópia, uso, processamento, divulgação, alteração, transferência, perda ou destruição de Dados do Cliente, tudo isso proporcional à sensibilidade dos Dados do Cliente, bem como à complexidade e ao escopo das atividades da Ripple Treasury sob o Contrato.

5. TESTES DE CONTROLES DE SEGURANÇA.5. TESTE DE CONTROLES DE SEGURANÇA.

• A Ripple Treasury fará com que um auditor independente terceiro realize, pelo menos anualmente, uma auditoria da segurança dos Sistemas da Ripple Treasury de acordo com a Declaração sobre Normas para Engajamentos de Atribuição Nº 18, sob as normas do American Institute of Certified Public Accountants (o “AICPA”), gerando um relatório SOC 2 Tipo II. Mediante solicitação do Cliente, a Ripple Treasury fornecerá uma cópia de tal relatório ao Cliente. O relatório será Informação Confidencial da Ripple Treasury e o Cliente assumirá as obrigações de confidencialidade que o auditor exigir de pessoas em situação semelhante.
• Com respeito aos fornecedores da Ripple Treasury que prestam serviços de alojamento, a Ripple Treasury, prontamente mediante solicitação do Cliente, fornecerá ao Cliente as auditorias de segurança realizadas nos sistemas de tal fornecedor que a Ripple Treasury esteja autorizada a obter ao abrigo do seu acordo com tal fornecedor, sujeito à assunção pelo Cliente das obrigações de confidencialidade que o(s) auditor(es) que produziram tais relatórios exijam.

6. SEGURANÇA ORGANIZACIONAL.

• Responsabilidade. A Ripple Treasury atribuirá a responsabilidade pela gestão da segurança da informação apenas a pessoal qualificado e sénior apropriado.
• Acesso por Necessidade de Conhecimento. A Ripple Treasury restringirá o acesso aos sistemas de informação utilizados em conexão com os serviços prestados sob o Acordo e/ou aos Dados do Cliente apenas ao pessoal que seja fiável, possua experiência técnica suficiente para a função atribuída e conheça as suas obrigações e as consequências de qualquer violação de segurança ou não conformidade com os requisitos de confidencialidade.
• Confidencialidade e Pessoal da Ripple Treasury. A Ripple Treasury fará com que o seu pessoal que tenha acesso a Informações Confidenciais do Cliente mantenha a confidencialidade de tais Informações Confidenciais, em conformidade com as obrigações da Ripple Treasury ao abrigo do Acordo Principal.

7. GESTÃO DE ATIVOS.

• Controlo de Dados. A Ripple Treasury não copiará, descarregará, transmitirá (para ou de), nem armazenará Dados do Cliente em qualquer computador de secretária, portátil, servidor, dispositivo portátil ou outro dispositivo em qualquer local, e fará com que o Pessoal da Ripple Treasury não o faça, a menos que esteja diretamente relacionado com a prestação de serviços ao abrigo do Acordo.
• Gestão de Configuração. A Ripple Treasury estabelecerá uma linha de base de configuração para os sistemas de informação da Infraestrutura de TI da Ripple Treasury, utilizando as normas de segurança da informação aplicáveis, as recomendações do fabricante e as práticas da indústria. A Ripple Treasury estabelecerá um monitoramento apropriado para garantir que a Infraestrutura de TI da Ripple Treasury esteja configurada de acordo com a linha de base de configuração estabelecida durante toda a vida útil da Infraestrutura de TI da Ripple Treasury.
• Gestão de Mudanças. A implementação de mudanças e a introdução de novos sistemas devem ser controladas, documentadas e aplicadas através do uso de procedimentos de controlo de mudanças abrangentes e formais, incluindo documentação, especificações, testes, controlo de qualidade, recuperação e implementação gerida.
• Gerenciamento de Vulnerabilidades. A Ripple Treasury implementará uma política organizacional formal para um programa de gerenciamento de vulnerabilidades que exige varredura de vulnerabilidades, assinatura de um serviço de notificação de vulnerabilidades, um método para priorizar a remediação de vulnerabilidades com base no risco (um componente do qual deve ser um sistema de classificação padrão da indústria), prazos de remediação estabelecidos com base na classificação de risco, e o rastreamento e relatório sobre a eficácia do programa de remediação.

8. RESPONSABILIDADE POR FORNECEDORES.

A Ripple Treasury será responsável perante o Cliente por qualquer ato ou omissão de um fornecedor ou outro agente da Ripple Treasury que, se cometido ou omitido pela Ripple Treasury, constituiria uma violação deste Adendo por parte da Ripple Treasury.

9. GEOLOCALIZAÇÃO:

Onde um Cronograma de Pedido exigir um local específico para a hospedagem de Dados do Cliente (por exemplo, uma região Azure ou especificação similar), a Ripple Treasury manterá os Dados do Cliente armazenados e processados pelo Sistema aplicável nesse local.

10. SEGURANÇA FÍSICA DAS INSTALAÇÕES.

• Proteção de Instalações Físicas. A Ripple Treasury manterá, ou fará com que seja mantido, o ambiente de hospedagem para o(s) Sistema(s) em um ambiente fisicamente seguro que restringe o acesso apenas a indivíduos autorizados. Um ambiente seguro inclui governança de pessoal de segurança 24 horas por dia, 7 dias por semana, ou meios equivalentes de monitoramento ativo dos controles de segurança para todos os locais relevantes (incluindo, sem limitação, edifícios, instalações de computadores e instalações de armazenamento de registros).
• Locais Seguros de Processamento Físico. A Ripple Treasury manterá um registro atualizado de todos os locais onde armazena ou processa Dados do Cliente em conexão com a prestação de serviços e o proprietário de tal local de dados. A Ripple Treasury atualizará tal registro para refletir qualquer transferência ou realocação de partes materiais dos Dados do Cliente.

11. MANUSEIO DE MÍDIA.

• Segurança Física da Mídia. A Ripple Treasury utilizará medidas padrão da indústria para prevenir o acesso não autorizado, cópia, alteração ou remoção de qualquer mídia contendo Dados do Cliente, onde quer que esteja localizada. Mídias removíveis nas quais os Dados do Cliente são armazenados (incluindo, mas não se limitando a, pen drives, CDs e DVDs) pela Ripple Treasury devem ser criptografadas usando AES de pelo menos 256 bits (ou equivalente).
• Destruição de Mídia. A Ripple Treasury apagará ou destruirá com segurança mídias removíveis e qualquer dispositivo móvel (exemplos incluem discos, unidades USB, DVDs, fitas de backup, impressoras, laptops ou tablets, etc.) contendo Dados do Cliente quando não estiverem mais em uso, tornando os Dados do Cliente nessas mídias físicas ininteligíveis e incapazes de reconstrução por quaisquer meios técnicos antes de qualquer reutilização da mídia, se solicitado pelo Cliente ou se tal mídia ou dispositivo móvel não for mais destinado a ser usado. Todas as fitas de backup que, por qualquer motivo, não forem destruídas devem atender ao nível de proteção descrito neste Adendo até serem destruídas.
• Destruição de Papel. A Ripple Treasury triturará em tiras todo o lixo de papel contendo Dados do Cliente e o descartará de forma segura e confidencial, de modo a tornar todo esse lixo de papel ilegível.

12. GESTÃO DE COMUNICAÇÕES E OPERAÇÕES.

• Teste de Penetração. A Ripple Treasury, pelo menos anualmente, contratará um terceiro independente (ou uma função de teste organizacionalmente independente) para realizar um teste de penetração na Infraestrutura de TI da Ripple Treasury. A Ripple Treasury, mediante solicitação, fornecerá ao Cliente um resumo de alto nível dos resultados do teste.
• Escopo do Teste de Penetração. O escopo de um teste de penetração deve incluir o perímetro da Infraestrutura de TI da Ripple Treasury e quaisquer sistemas críticos que possam impactar a segurança da Infraestrutura de TI da Ripple Treasury. Isso inclui tanto o perímetro externo (superfícies de ataque voltadas para o público) quanto o perímetro interno da Infraestrutura de TI da Ripple Treasury (superfícies de ataque LAN-para-LAN). O teste deve incluir avaliações tanto da camada de aplicação quanto da camada de rede.
• Criptografia de Dados. A Ripple Treasury criptografará os Dados do Cliente em sua posse ou sob seu controle, tanto em repouso (quando não estiverem sendo processados ativamente) quanto em trânsito. Para circunstâncias em trânsito, a Ripple Treasury habilitará TLS com força de criptografia de pelo menos 256 bits no Ponto de Demarcação. A Ripple Treasury implementará e cumprirá uma política organizacional formal de criptografia que abrange padrões aceitáveis, algoritmos, práticas de gerenciamento de chaves e certificados.
• Prevenção de Perda de Dados. A Ripple Treasury implementará controles abrangentes de vazamento de dados projetados para identificar, detectar, monitorar, documentar e, ou prevenir, ou alertar sobre a saída dos Dados do Cliente do controle da Ripple Treasury sem autorização.
• Destruição de Dados. Onde a Ripple Treasury for permitida ou exigida pelo Contrato Principal a destruir Dados do Cliente, a Ripple Treasury apagará ou destruirá tais Dados do Cliente, tornando-os irrecuperáveis.
• Restrições de Tráfego de Rede. A Ripple Treasury implementará controles técnicos que restringem o tráfego de rede que afeta os Dados do Cliente ao tráfego mínimo necessário para fornecer o serviço (por exemplo, restrições de porta, controles de firewall, etc.).
• Redes Sem Fio. A Ripple Treasury garantirá que qualquer uso de tráfego de rede organizacional Wi-Fi para transmissão de Dados do Cliente seja criptografado usando WPA2 ou WPA3 com a opção de algoritmo de criptografia AES fornecida para SSID não transmitido e autenticação mútua entre o servidor e os dispositivos finais; ou medidas semelhantes ou melhores.
• Código Malicioso. A Ripple Treasury implementará controles para detectar a introdução ou intrusão de Código Malicioso em sistemas de informação que processam ou armazenam Dados do Cliente e implementará e manterá controles projetados para prevenir o acesso não autorizado, a divulgação ou a perda de integridade de quaisquer Dados do Cliente.
• Controles de Internet. A Ripple Treasury implementará controles para identificar e bloquear o acesso de funcionários a conteúdo de Internet de alto risco e indesejável e a sites de maior risco (como e-mail baseado na Internet ou serviços de armazenamento de arquivos) usando a Infraestrutura de TI da Ripple Treasury.

13. CONTROLE DE ACESSO.

• Acesso Autorizado. A Ripple Treasury manterá uma separação lógica de forma que o acesso à Infraestrutura de TI da Ripple Treasury que hospeda Dados do Cliente e/ou está sendo usada para fornecer serviços ao Cliente identificará unicamente cada indivíduo que requer acesso e concederá acesso apenas a pessoal autorizado com base no princípio do menor privilégio.
• Inventário de Acesso de Usuários. A Ripple Treasury manterá uma lista precisa e atualizada de todo o Pessoal da Ripple Treasury que tem acesso aos Dados do Cliente e terá um processo para desabilitar prontamente o acesso, dentro de 24 horas após a transferência ou rescisão. Além disso, a Ripple Treasury revisará periodicamente (pelo menos anualmente) os direitos de acesso dos usuários para garantir que o princípio do menor privilégio seja preservado.
• Acesso Não Mais Necessário.

  * Com relação a qualquer Pessoal da Ripple Treasury que não necessite mais, ou não esteja mais autorizado a ter, acesso a Dados do Cliente, onde o acesso do usuário é gerenciado pelo Cliente, a Ripple Treasury notificará o Cliente com pelo menos 24 horas de antecedência ao momento em que tal acesso não for mais necessário ou autorizado.

  * Não obstante o acima, onde o acesso do usuário é gerenciado pela Ripple Treasury, a Ripple Treasury encerrará imediatamente o acesso a sistemas e instalações do Cliente por qualquer Pessoal da Ripple Treasury que seja removido ou não esteja mais ativamente envolvido em qualquer atribuição do Cliente, ou se tal pessoal deixar de ser um funcionário ou fornecedor da

• Gestão de Credenciais de Autenticação. A Ripple Treasury comunicará as Credenciais de Acesso aos usuários de uma maneira razoavelmente calculada para evitar o recebimento por pessoas não autorizadas a recebê-las.
• Registro e Monitoramento. A Ripple Treasury registrará e monitorará todo o acesso à Infraestrutura de TI da Ripple Treasury para adições, alterações, exclusões e cópias de Dados do Cliente. A Ripple Treasury manterá registros de sistema ou tentativas de acesso aplicáveis, tanto bem-sucedidas quanto falhas. A Ripple Treasury manterá logs de administração por um mínimo de 60 dias e logs de transações financeiras por um mínimo de seis meses.
• Autenticação Multifator para Acesso Remoto. A Ripple Treasury usará autenticação multifator e um túnel seguro ao acessar remotamente a Infraestrutura de TI da Ripple Treasury.
• Autenticação Multifator para Aplicações Acessíveis pela Internet. A Ripple Treasury exigirá autenticação multifator para todos os usuários de aplicações que são acessíveis pela Internet pública; que permitem instruções/transações financeiras; ou que possibilitam a exibição de Dados Pessoais sensíveis.
• Acesso Administrativo a Endpoints. A Ripple Treasury geralmente restringirá o acesso administrativo em máquinas de usuário final usadas pelo Pessoal da Ripple Treasury, incluindo a capacidade de instalar software, exclusivamente a pessoal e contas privilegiadas com responsabilidades administrativas técnicas.

14. USO DE LAPTOPS E DISPOSITIVOS MÓVEIS.

• Requisitos de Criptografia. A Ripple Treasury criptografará dados em qualquer laptop ou dispositivo móvel contendo Dados do Cliente usando um algoritmo de criptografia reconhecido pela indústria com criptografia AES de pelo menos 256 bits (ou equivalente).
• Armazenamento Seguro. A Ripple Treasury exigirá que todos os seus laptops e dispositivos móveis que acessam Dados do Cliente sejam armazenados de forma segura sempre que não estiverem na posse imediata do Pessoal da Ripple Treasury. No caso de um laptop da Ripple Treasury ou outro dispositivo móvel perdido ou roubado contendo Dados do Cliente não criptografados ou facilmente identificáveis, a Ripple Treasury notificará prontamente o Cliente sobre o ocorrido.
• Tempo Limite de Inatividade. A Ripple Treasury empregará controles de acesso e senha, bem como tempos limite de inatividade de no máximo 30 minutos em todos os laptops, desktops e dispositivos móveis usados pelo Pessoal da Ripple Treasury para acessar Dados do Cliente.
• Laptops/Dispositivos Móveis. – A Ripple Treasury implementará controles técnicos que proíbem o acesso a Dados do Cliente em laptops ou dispositivos móveis onde os requisitos acima não puderem ser atendidos.

15. AQUISIÇÃO, DESENVOLVIMENTO E MANUTENÇÃO DE SISTEMAS DE INFORMAÇÃO.

• Análise de Código. No que diz respeito ao software que a Ripple Treasury desenvolve para uso como parte de um Sistema, a Ripple Treasury realizará testes de segurança de aplicativos estáticos (SAST) com uma ferramenta e/ou processo comercialmente reconhecido, projetado para identificar e corrigir vulnerabilidades técnicas de segurança. Além disso, a Ripple Treasury examinará seu código em busca de falhas de design (como código de depuração residual) que possam ser usadas para contornar os controles de segurança implementados e/ou pela inclusão de código que possa ser usado com intenção maliciosa.
• Segurança de Software de Código Aberto. A Ripple Treasury, conforme aplicável, implementará controles associados ao uso de software de código aberto dentro do ciclo de vida de desenvolvimento para abordar e mitigar os riscos de tal software. Esses controles incluirão minimamente disposições para inventários e auditorias de software de código aberto, análise de componentes e composição, segurança e vulnerabilidades, licenciamento e conformidade, e qualidade de software.
• Aplicação de Patches de Software. A Ripple Treasury atualizará e aplicará patches regularmente em todo o software de computador na Infraestrutura de TI da Ripple Treasury que lida ou armazena Dados do Cliente, com a aplicação de patches para vulnerabilidades classificadas como ‘críticas’ ou ‘altas’ dentro de 30 dias da disponibilidade do patch, a menos que outros controles sugeridos ou recomendados pelo editor do software tenham sido aplicados para mitigar a vulnerabilidade.

16. GESTÃO DE EVENTOS DE INCIDENTES E COMUNICAÇÕES.

• Gestão de Incidentes/Notificação de Violação. A Ripple Treasury desenvolverá e implementará um plano de resposta a incidentes aprovado pela gestão que especifica as ações a serem tomadas quando a Ripple Treasury ou um de seus fornecedores suspeitar ou detectar que uma pessoa obteve acesso não autorizado a Dados do Cliente ou a sistemas ou aplicações que contenham Dados do Cliente (o “Plano de Resposta”). O Plano de Resposta incluirá as seguintes disposições.

  * Procedimentos de Escalada. Notificação a gerentes seniores e relatórios apropriados a agências reguladoras e de aplicação da lei.

  * Relatório de Incidentes. A Ripple Treasury fornecerá prontamente ao Cliente os detalhes que a Ripple Treasury possua ou obtenha sobre as circunstâncias gerais e a extensão de tal acesso não autorizado, incluindo, sem limitação, as categorias de Dados Pessoais do Cliente e o número e/ou identidades de quaisquer titulares de dados afetados, bem como quaisquer medidas tomadas para proteger os Dados do Cliente e preservar informações para qualquer investigação necessária.

  * Investigação e Prevenção. A Ripple Treasury empregará esforços razoáveis para auxiliar o Cliente na investigação ou prevenção da reincidência de qualquer acesso desse tipo e: (A) cooperará com o Cliente em seus esforços para cumprir avisos estatutários ou outras obrigações legais aplicáveis ao Cliente ou seus clientes decorrentes de acesso ou uso não autorizado e para buscar medidas cautelares ou outras medidas equitativas e (B) tomará prontamente todas as ações razoáveis necessárias para prevenir uma reincidência e mitigar perdas decorrentes de qualquer acesso não autorizado. Além disso, no caso de a Ripple Treasury relatar um incidente de segurança ao Cliente e o incidente de segurança resultar na abertura de um caso de suporte técnico pelo Cliente no nível “crítico”, a Ripple Treasury tomará as seguintes medidas, a menos que acordado de outra forma entre as partes:

    * A Ripple Treasury designará um ou mais engenheiros de suporte em nuvem, gerentes de contas técnicas ou pessoal similar (o “Responsável pelo Incidente”) para coordenar com o Cliente, monitorar detalhes do incidente de segurança, investigar e diagnosticar preocupações do Cliente e trabalhar com os especialistas no assunto de serviço da Ripple Treasury em conexão com o incidente de segurança;

    * A Ripple Treasury empregará esforços comercialmente razoáveis para que o Responsável pelo Incidente responda (ou acuse o recebimento) ao caso de suporte técnico do Cliente, conforme previsto no SLA; e

    * Se necessário e apropriado, o Responsável pelo Incidente providenciará a interação direta entre o Cliente e os especialistas no assunto de serviço da Ripple Treasury em conexão com o incidente de segurança.

  * Treinamento de Pessoal e Confidencialidade. A Ripple Treasury garantirá que todo o pessoal compreenda plenamente o processo e as condições sob as quais são obrigados a invocar a resposta a incidentes apropriada. A Ripple Treasury manterá a confidencialidade conforme, e na medida exigida pelo Contrato Principal, em relação à posse, uso ou conhecimento não autorizado real ou suspeito de Dados do Cliente ou qualquer outra falha das medidas de segurança da Ripple Treasury ou não conformidade com suas políticas ou procedimentos de segurança.

  * Revisão/Atualização Anual. A Ripple Treasury revisará o Plano de Resposta pelo menos anualmente para acomodar quaisquer alterações materiais em sistemas, aplicações ou processos operacionais e aprovadas pela gestão. A Ripple Treasury realizará, pelo menos anualmente, um exercício de validação para testar se as premissas do Plano de Resposta são precisas e confirmar a capacidade da Ripple Treasury de executar o plano conforme projetado.

Clientes DORA. Na medida em que o Cliente seja uma “Entidade Financeira” sujeita ao Regulamento sobre a Resiliência Operacional Digital (Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho de 14 de dezembro de 2022 relativo à resiliência operacional digital para o setor financeiro e que altera os Regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 e (UE) 2016/1011. Ver também https://eur-lex.europa.eu/eli/reg/2022/2554/oj) (“DORA”)) e seja obrigado a impor à Ripple Treasury obrigações estabelecidas no Art. 30 da DORA, a Ripple Treasury prestará assistência ao Cliente quando ocorrer um “Incidente de TIC” relacionado ao(s) Sistema(s) fornecido(s) ao Cliente. Quando tal Incidente de TIC for diretamente causado por uma violação das obrigações da Ripple Treasury nos termos do Contrato, a Ripple Treasury fornecerá tais serviços sem custo adicional, até o limite de responsabilidade estabelecido no Contrato. Quando tal Incidente de TIC não for diretamente causado por uma violação das obrigações da Ripple Treasury nos termos do Contrato, a Ripple Treasury fornecerá tais serviços à taxa de Serviços Profissionais estabelecida no Documento de Pedido ou, se nenhuma taxa for estabelecida no Documento de Pedido, às taxas então vigentes da Ripple Treasury (mas, em qualquer caso, comercialmente razoáveis).

‍