Acordo de Segurança da Informação da Fair Isaac

Este Acordo de Segurança da Informação da Fair Isaac ("Acordo de Segurança da Informação") faz parte do Contrato e está sujeito a todos os termos e condições do Acordo, incluindo, sem limitação, as disposições de limitação de responsabilidade nele contidas. Este Contrato de Segurança da Informação descreve as medidas de segurança e os procedimentos implementados pela Fair Isaac em relação aos Serviços SaaS. Se houver um conflito entre os termos deste Contrato de Segurança da Informação e o Contrato, os termos deste Contrato de Segurança da Informação serão aplicados, mas apenas na medida de tal conflito. A menos que definido neste Contrato de Segurança da Informação, os termos em maiúsculas terão os mesmos significados declarados no Contrato. 

1. Definições

“Acordo" significa coletivamente o acordo entre o Cliente e a Fair Isaac que faz referência a este Contrato de Segurança da Informação e de acordo com o qual a Fair Isaac fornece Serviços SaaS ao Cliente e todos os pedidos relacionados, formulários de pedidos, assinaturas, declarações de trabalho, ordens de serviço, ordens de compra, emendas e outros anexos a tal acordo.

“Dados do titular do cartão" tem o significado fornecido pelo Conselho de Padrões de Segurança da Indústria de Cartões de Pagamento ("PCI").  No mínimo, os Dados do Titular do Cartão consistem no número completo da conta principal ("PAN"). Os dados do titular do cartão também podem aparecer na forma do PAN completo mais qualquer um dos seguintes: nome do titular do cartão, data de validade e/ou código de serviço. 

“Dados do Cliente" significa quaisquer dados enviados por ou em nome do Cliente sob o Contrato. Os Dados do Cliente podem incluir Dados do Titular do Cartão ou Dados Pessoais.

“Dados Pessoais do Cliente" significa Dados do Cliente que são Dados Pessoais.

“"Dados Pessoais" significa qualquer informação que identifique, se relacione, descreva, seja razoavelmente capaz de ser associada ou possa razoavelmente ser vinculada, direta ou indiretamente, a uma determinada pessoa física, ou conforme definido de outra forma pelas Leis de Proteção de Dados Aplicáveis. Os Dados Pessoais incluem, na medida do aplicável, "dados pessoais", conforme definido no GDPR, no GDPR do Reino Unido e na LGPD; "informações pessoais", conforme definido no CCPA; "informações pessoais não públicas", conforme definido na Lei Gramm-Leach-Bliley, 15 U.S.C. § 6801 et seq.; e "dados do titular do cartão", conforme definido pelo Conselho de Padrões de Segurança da Indústria de Cartões de Pagamento ("PCI"). Os Dados Pessoais não incluem dados desidentificados de tal forma que tenham sido despojados de todos os identificadores diretos ou estejam de outra forma em uma forma que não identifique e não possa ser usada para identificar uma pessoa física.

“Autoridades Reguladoras" significa qualquer agência governamental ou autoridade reguladora responsável pela supervisão ou aplicação de uma lei, estatuto ou regulamento aplicável à segurança ou privacidade dos Dados do Cliente.

“Auditoria de Segurança" significa uma avaliação das práticas, procedimentos, infraestrutura, padrões, conformidade e/ou desempenho de segurança da Fair Isaac, que pode incluir a compilação de respostas aos questionários do Cliente, a participação em discussões detalhadas com a equipe de segurança do Cliente ou auditores terceirizados e/ou a facilitação de visitas in loco às instalações de propriedade da Fair Isaac. 

“Violação de Segurança" significa um Incidente de Segurança que resulta na aquisição, acesso, alteração, destruição, perda, uso ou divulgação não autorizados de Dados do Cliente que compromete a segurança, confidencialidade ou privacidade de tais informações. Uma Violação de Segurança não inclui qualquer aquisição, acesso ou uso não intencional dos Dados do Cliente por um funcionário ou indivíduo agindo sob a autoridade da Fair Isaac se: (i) tal aquisição, acesso ou uso foi feito de boa fé e dentro do curso e escopo do emprego ou outra relação profissional de tal funcionário ou indivíduo, respectivamente, com Fair Isaac; e (ii) tais informações não sejam mais adquiridas, acessadas, usadas ou divulgadas por qualquer pessoa.

“"Incidente de Segurança" significa uma ocorrência que realmente ou potencialmente põe em risco a confidencialidade, integridade ou disponibilidade de um sistema de informações ou das informações que o sistema processa, armazena ou transmite ou que constitui uma violação ou ameaça iminente de violação de políticas de segurança, procedimentos de segurança ou políticas de uso aceitáveis.

2. Governança da Segurança Cibernética

2.1. Programa de Segurança Cibernética. A Fair Isaac mantém um programa de segurança cibernética, liderado por um Diretor de Segurança Cibernética, que é projetado para proteger o Serviço SaaS, ativos organizacionais, Dados do Cliente e infraestrutura ("Programa de Segurança Cibernética"). O Programa de Segurança Cibernética da Fair Isaac é informado por requisitos regulatórios atuais e em evolução, tendências do setor e melhores práticas.

2.2. Políticas de Segurança Cibernética. Como parte de seu Programa de Segurança Cibernética, a Fair Isaac projeta suas políticas e padrões de segurança para se alinhar com a ISO27001, e eles são revisados, atualizados e aprovados pelo menos anualmente. Todos os funcionários e contratados da Fair Isaac são obrigados a salvaguardar a confidencialidade, integridade e disponibilidade dos dados e sistemas de informação e são obrigados a entender e cumprir todas as políticas e padrões de segurança documentados.

2.3. Treinamento de conscientização em segurança cibernética. A Fair Isaac exige que todos os funcionários e contratados realizem treinamento de conscientização de segurança no momento da contratação e anualmente a partir de então. Além do treinamento obrigatório de conscientização sobre segurança, a Fair Isaac desenvolveu um programa de treinamento de segurança baseado em funções para determinadas funções que dependem do cargo.

3. Responsabilidades da Fair Isaac

3.1. Proteção de Dados do Cliente. A Fair Isaac implementará e manterá medidas técnicas e organizacionais razoáveis projetadas para (i) proteger a segurança e a confidencialidade dos Dados do Cliente, (ii) proteger contra ameaças ou perigos antecipados à segurança ou integridade dos Dados do Cliente e (iii) proteger contra acesso não autorizado ou uso dos Dados do Cliente que possam resultar em danos substanciais aos clientes ou usuários finais do Cliente ou do Cliente. O Cliente não enviará ao Serviço SaaS quaisquer Dados Pessoais que contenham "Dados do Titular do Cartão" sujeitos aos Padrões de Segurança PCI, a menos que a Fair Isaac tenha concordado por escrito de acordo com o Acordo em receber tais Dados do Titular do Cartão e, em seguida, apenas com relação ao Serviço SaaS (ou parte dele) especificamente identificado pela Fair Isaac para tal recebimento. A Fair Isaac não terá nenhuma responsabilidade sob qualquer Acordo relacionado aos Dados do Titular do Cartão que não sejam processados de acordo com os termos desta seção, não obstante qualquer disposição em contrário contida no Acordo, nos Padrões de Segurança de Dados da Indústria de Cartões de Pagamento ("PCI DSS") ou regulamentos semelhantes.

3.2. Gerenciamento de Incidentes. A Fair Isaac investigará e responderá prontamente a Incidentes de Segurança suspeitos ou reais. Todos os funcionários e contratados são obrigados a relatar suspeitas de incidentes de segurança. Os Incidentes de Segurança identificados são analisados pela Fair Isaac em um esforço para conter, recuperar, corrigir e prevenir tais Incidentes de Segurança.

3.3. Resposta a violação de segurança. A Fair Isaac monitorará seus sistemas e procedimentos em busca de Incidentes de Segurança, violações e atividades suspeitas que sejam razoavelmente previsíveis para resultar em uma Violação de Segurança. Isso inclui atividades externas suspeitas (como sondas não autorizadas, varreduras ou tentativas de invasão) e atividades internas suspeitas (como acesso não autorizado de administrador do sistema, alterações não autorizadas ou uso indevido ao sistema ou à rede). Após a detecção pela Fair Isaac de qualquer Violação de Segurança que tenha ocorrido, a Fair Isaac investigará para identificar a causa e tomar medidas corretivas imediatas para evitar incidentes futuros semelhantes. Além disso, na medida em que a Fair Isaac tenha permissão legal para fazê-lo, a Fair Isaac deverá, dentro do período de tempo exigido pela lei aplicável, mas em nenhum caso mais de quarenta e oito (48) horas após a confirmação, notificar o Cliente sobre a natureza da Violação de Segurança e as medidas que estão sendo tomadas para resolver o incidente e prevenir incidentes futuros. Se o Cliente detectar qualquer Violação de Segurança, o Cliente deverá notificar imediatamente a Fair Isaac.

3.4. Gerenciamento de vulnerabilidades. A Fair Isaac gerenciará todas as vulnerabilidades do sistema de informações encontradas usando um scanner de vulnerabilidades aprovado pelo setor, incluindo, quando aplicável, uma opção aprovada pelo PCI para verificações de conformidade com PCI. No caso de uma vulnerabilidade detectada, a Fair Isaac empreenderá prontamente os esforços de correção apropriados.

3.5. Desenvolvimento de Software Seguro. A Fair Isaac manterá um processo de ciclo de vida de desenvolvimento de software projetado para incluir certos requisitos de segurança em cada fase do desenvolvimento dos produtos de software da Fair Isaac, for informado pelos padrões aplicáveis do setor e incluir, conforme apropriado, atividades como: modelagem de ameaças, revisões seguras de código, testes de penetração e correção de vulnerabilidades de segurança de produtos detectadas. A Fair Isaac usa ferramentas padrão do setor para realizar varreduras estáticas e dinâmicas de código.

3.6. Criptografia. Durante o trânsito, os Dados do Cliente são criptografados usando protocolos criptograficamente seguros (TLS v.1,2 ou superior) e, enquanto estão em repouso no Serviço SaaS, os Dados do Cliente são criptografados usando protocolos criptograficamente seguros (AES-256 bits ou equivalente).

3.7. Controles de Acesso. A Fair Isaac segue o "princípio do privilégio mínimo", o que significa que um usuário autorizado só recebe níveis de acesso ao sistema e direitos conforme apropriado dada a função de trabalho do usuário. Todos os acessos e ações realizadas com esse acesso são rastreáveis até um usuário individual e documentados na ferramenta de gerenciamento de serviços de TI da Fair Isaac.

3.8. Segurança Física e Ambiental. As instalações da Fair Isaac são classificadas em categorias com base nos dados e informações que são processados, transmitidos ou armazenados nas instalações. Os controles de segurança aplicados às instalações dependem da classificação. CFTV é implementado para monitorar pontos de entrada e saída. O acesso às instalações é concedido com base no princípio do menor privilégio e todos os funcionários recebem um crachá de proximidade exclusivo para acesso às instalações correspondentes às suas funções de trabalho. Os visitantes devem fazer login e ser escoltados por um funcionário da Fair Isaac enquanto estiverem nas instalações da Fair Isaac.

3.9. Descarte de Informações do Cliente. Na medida em que os Dados do Cliente estejam sob a posse e controle da Fair Isaac e o Cliente não tenha a capacidade de dispor de tais Dados do Cliente, a Fair Isaac deverá dispor dos Dados do Cliente em conformidade com a lei aplicável à qual a Fair Isaac está sujeita. Em continuidade ao acima exposto, a Fair Isaac tomará medidas razoáveis destinadas a proteger contra o acesso não autorizado ou o uso dos Dados do Cliente em conexão com sua eliminação, considerando a natureza e a sensibilidade dos Dados do Cliente, os custos e benefícios de diferentes métodos de descarte e as mudanças tecnológicas relevantes. O Cliente reconhece e concorda que tem uma obrigação afirmativa de fornecer à Fair Isaac aviso prévio sobre os Dados do Cliente que estão ou podem estar sujeitos a requisitos específicos de eliminação de processos, e a conformidade da Fair Isaac com esta seção depende do recebimento dessa notificação do Cliente. Quaisquer dados armazenados em backups externos, incluindo, sem limitação, cópias de segurança de computador geradas automaticamente ou cópias de arquivo geradas no curso normal dos procedimentos dos sistemas de tecnologia da informação da Fair Isaac, serão destruídos como parte do processo normal de destruição de dados da Fair Isaac. Se o Cliente exigir que a Fair Isaac remova arquivos específicos dos backups, o Cliente será responsável por todos os custos associados à recuperação dos dados de backups e arquivos externos, recarregamento dos dados nos sistemas da Fair Isaac, exclusão dos arquivos em questão e nova execução de backups e transmissão dos dados restantes.

4. Auditorias e Relatórios da Fair Isaac. A Fair Isaac contrata auditores terceirizados independentes para avaliar o Programa de Segurança Cibernética da Fair Isaac anualmente, incluindo as seguintes auditorias independentes de terceiros:

a) SOC2 Tipo 2;

b) ISO27001; E

(c) PCI DSS (somente soluções compatíveis com PCI).

5. Auditorias, Relatórios e Testes de Clientes

a) Geral. Sujeito a quaisquer termos aplicáveis sob este Contrato de Segurança da Informação e/ou em um acordo de proteção de dados entre as partes que regem o processamento de Dados Pessoais, se o Cliente solicitar uma Auditoria de Segurança, o Cliente concorda e reconhece que o seguinte processo e critérios devem ser satisfeitos antes que a Fair Isaac seja obrigada a conceder uma solicitação de Auditoria de Segurança: (i) O Cliente fornecerá notificação por escrito com 30 dias de antecedência à Fair Isaac com a solicitação de Auditoria de Segurança que incluirá detalhes razoáveis da Auditoria de Segurança solicitada; (ii) O Cliente está limitado a uma Auditoria de Segurança dentro de um período de 12 meses; e (iii) as partes celebrarão um acordo mutuamente acordado para serviços profissionais emitidos sob o Contrato, e tal acordo definirá as obrigações e os termos comerciais, incluindo, mas não se limitando a, termos relacionados à confidencialidade e não divulgação, no que diz respeito à Auditoria de Segurança solicitada. Sujeito ao exposto acima, em resposta a uma solicitação de Auditoria de Segurança, a Fair Isaac disponibilizará documentação padrão do setor relacionada ao seu programa e infraestrutura de segurança, incluindo políticas, procedimentos e relatórios para inspeção, exame e auditoria; auditorias no local não serão permitidas, a menos que o Cliente demonstre razoavelmente uma necessidade substancial após revisar a documentação de auditoria fornecida pela Fair Isaac e as partes concordem mutuamente sobre o momento e o escopo para evitar interrupções nas operações comerciais normais da Fair Isaac. Em nenhuma circunstância o Cliente terá acesso a dados relativos a outros clientes da Fair Isaac.

b) Cooperação com as entidades reguladoras. As operações comerciais do Cliente podem estar sujeitas a auditoria pelas Autoridades Reguladoras do Cliente. A Fair Isaac cooperará com os esforços do Cliente para cumprir as obrigações regulatórias do Cliente com relação a auditorias solicitadas por escrito sob notificação, solicitação ou ordem legalmente válidas pela Autoridade Reguladora do Cliente. Sujeito à Seção 5(a), a Fair Isaac disponibilizará as informações descritas na Seção 5(a), na medida legalmente permitida e exigida pelas Autoridades Reguladoras; desde que, no entanto, o Cliente pague por todo o tempo gasto pela Fair Isaac em conexão com os esforços para apoiar as auditorias do Cliente contempladas nesta seção às taxas horárias então vigentes da Fair Isaac, além de quaisquer despesas do próprio bolso.

(c) Relatórios de Auditoria e Dados de Auditoria. O Cliente deverá fornecer à Fair Isaac cópias de todos os relatórios de auditoria gerados pelo Cliente, incluindo quaisquer relatórios de auditoria dos auditores internos ou externos do Cliente e das Autoridades Reguladoras do Cliente, em conexão com qualquer auditoria sob esta Seção 5, a menos que o Cliente seja proibido pela lei aplicável. O Cliente poderá utilizar os relatórios de auditoria somente com a finalidade de atender aos seus requisitos regulatórios de auditoria de acordo com a legislação aplicável e/ou confirmar o cumprimento dos requisitos deste Contrato de Segurança da Informação. Os relatórios de auditoria são Informações Confidenciais das partes nos termos do Acordo. Todas as informações da Fair Isaac recebidas ou obtidas pelo Cliente ou seus auditores antes, durante e/ou após a auditoria (coletivamente, "Dados de Auditoria") devem ser tratadas pelo Cliente e seus auditores como Informações Confidenciais da Fair Isaac e somente serão usadas e retidas para fins da auditoria. Todos os Dados de Auditoria em formato eletrônico devem ser mantidos em formato criptografado. Todos os Dados de Auditoria mantidos como documentação em papel ou anotações devem ser mantidos em um contêiner seguro e trancado. O Cliente e seus auditores não divulgarão nenhuma informação a outra parte sem a aprovação específica por escrito da Fair Isaac. Os auditores devem assinar um acordo de confidencialidade por escrito aceitável para a Fair Isaac antes de conduzir a auditoria. 

(d) Nenhum teste de cliente. O Cliente e qualquer parte que atue em nome do Cliente estão proibidos de realizar qualquer tipo de teste (automatizado ou não) que afete ou contra a infraestrutura e as redes da Fair Isaac. A Fair Isaac realiza periodicamente seus próprios testes de infraestrutura e redes. A Fair Isaac está disposta a discutir os resultados dos testes com o Cliente; e a Fair Isaac pode, a seu exclusivo critério, fornecer relatórios de resumo executivo de testes de penetração, conforme aplicável, ao Cliente para seu uso interno de avaliação de sua conformidade com os Padrões de Segurança PCI, se aplicável. Em nenhum caso a Fair Isaac é obrigada a fornecer quaisquer resultados de teste ao Cliente. Todas as informações e relatórios fornecidos ao Cliente devem ser tratados pelo Cliente como Informações Confidenciais da Fair Isaac.

e) Recomendações de auditoria. Com base nos resultados de uma auditoria sob esta Seção 5, os auditores do Cliente ou do Cliente podem fazer recomendações à Fair Isaac relacionadas a questões de segurança. Se a auditoria identificar quaisquer problemas de segurança que as partes concordem ser materiais e que afetem diretamente os Dados do Cliente em posse da Fair Isaac por meio do Serviço SaaS, a Fair Isaac trabalhará com o Cliente e envidará esforços razoáveis para remediar os problemas com base na natureza e sensibilidade dos Dados do Cliente. Se o Cliente solicitar que a Fair Isaac tome medidas corretivas, a Fair Isaac avaliará a solicitação à luz das normas e práticas padrão do setor e das obrigações contratuais da Fair Isaac com (i) o Cliente sob o Contrato e (ii) seus outros clientes. Se a Fair Isaac determinar que o pedido de correção do Cliente é específico para os requisitos do Cliente (ou seja, não é necessário para outros clientes) e a Fair Isaac determinar que pode fornecer serviços profissionais para acomodar a solicitação do Cliente, a Fair Isaac desenvolverá uma declaração de trabalho ou outro acordo que preveja serviços profissionais com as taxas então vigentes da Fair Isaac para aprovação do Cliente. Se aprovado pelo Cliente, a Fair Isaac desenvolverá e proporá um cronograma de implementação de tal declaração de trabalho ou acordo. A menos e até que as partes executem uma declaração definitiva de trabalho ou outro acordo para tais serviços profissionais, a Fair Isaac não terá obrigação de realizar quaisquer solicitações do Cliente.

6. Alterações. Este Contrato de Segurança da Informação está sujeito a alterações pela Fair Isaac a qualquer momento, publicando uma versão revisada no site da https://www.fico.com/en/legal ("Site da FICO") ou de outra forma fornecendo aviso por escrito de tais alterações ao Cliente. Quaisquer alterações a este Contrato de Segurança da Informação entrarão em vigor a partir da data da "Última Atualização" mencionada no Site da FICO ou no aviso por escrito, conforme aplicável. O Cliente revisou e concorda com este Contrato de Segurança da Informação, e o uso continuado do Serviço SaaS pelo Cliente após a data da "Última Atualização" constituirá a aceitação e concordância do Cliente com todas essas alterações.