Acuerdo de seguridad de la información de Fair Isaac

Este Acuerdo de Seguridad de la Información de Fair Isaac ("Acuerdo de Seguridad de la Información") es parte del Acuerdo y está sujeto a todos los términos y condiciones del Acuerdo, incluidas, entre otras, las disposiciones de limitación de responsabilidad del mismo. Este Acuerdo de Seguridad de la Información describe las medidas y procedimientos de seguridad implementados por Fair Isaac en relación con los Servicios SaaS. Si existe un conflicto entre los términos de este Acuerdo de Seguridad de la Información y el Acuerdo, se aplicarán los términos de este Acuerdo de Seguridad de la Información, pero solo en la medida de dicho conflicto. A menos que se defina en este Acuerdo de Seguridad de la Información, los términos en mayúsculas tendrán los mismos significados establecidos en el Acuerdo. 

1. Definiciones

“"Acuerdo" significa colectivamente el acuerdo entre el Cliente y Fair Isaac que hace referencia a este Acuerdo de Seguridad de la Información y en virtud del cual Fair Isaac proporciona Servicios SaaS al Cliente, y todos los pedidos, formularios de pedido, suscripciones, declaraciones de trabajo, órdenes de trabajo, órdenes de compra, enmiendas y otros anexos relacionados con dicho acuerdo.

“"Datos del titular de la tarjeta" tiene el significado proporcionado por el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago ("PCI").  Como mínimo, los Datos del Titular de la Tarjeta consisten en el número de cuenta principal ("PAN") completo. Los datos del titular de la tarjeta también pueden aparecer en forma de PAN completo más cualquiera de los siguientes: nombre del titular de la tarjeta, fecha de vencimiento y/o código de servicio. 

“"Datos del Cliente" se refiere a cualquier dato enviado por o en nombre del Cliente en virtud del Acuerdo. Los Datos del Cliente pueden incluir Datos del Titular de la Tarjeta o Datos Personales.

“"Datos Personales del Cliente" se refiere a los Datos del Cliente que son Datos Personales.

“"Datos personales" se refiere a cualquier información que identifique, se relacione, describa, sea razonablemente capaz de asociarse con, o pueda vincularse razonablemente, directa o indirectamente, con una persona física en particular, o según se defina de otro modo en las Leyes de Protección de Datos Aplicables. Los Datos personales incluyen, en la medida en que corresponda, "datos personales" tal como se definen en el RGPD, el RGPD del Reino Unido y la LGPD; "información personal" tal como se define en la CCPA; "información personal no pública" según se define en la Ley Gramm-Leach-Bliley, 15 U.S.C. § 6801 et seq.; y "datos del titular de la tarjeta", según lo define el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago ("PCI"). Los datos personales no incluyen datos anonimizados, de modo que se les haya quitado todo identificador directo o que se encuentren en una forma que no identifique y no pueda utilizarse para identificar a una persona física.

“"Autoridades Reguladoras" se refiere a cualquier agencia gubernamental o autoridad reguladora responsable de la supervisión o el cumplimiento de una ley, estatuto o reglamento aplicable a la seguridad o privacidad de los Datos del Cliente.

“"Auditoría de seguridad" se refiere a una evaluación de las prácticas, procedimientos, infraestructura, estándares, cumplimiento y/o desempeño de Fair Isaac, que puede incluir la compilación de respuestas a cuestionarios del Cliente, la participación en discusiones detalladas con el equipo de seguridad del Cliente o auditores externos, y/o la facilitación de visitas in situ a las instalaciones propiedad de Fair Isaac. 

“"Violación de Seguridad" significa un Incidente de Seguridad que resulta en la adquisición, acceso, alteración, destrucción, pérdida, uso o divulgación no autorizada de Datos del Cliente que compromete la seguridad, confidencialidad o privacidad de dicha información. Una Violación de Seguridad no incluye ninguna adquisición, acceso o uso no intencional de los Datos del Cliente por parte de un empleado o individuo que actúe bajo la autoridad de Fair Isaac si: (i) dicha adquisición, acceso o uso se realizó de buena fe y dentro del curso y alcance del empleo u otra relación profesional de dicho empleado o individuo, respectivamente, con Fair Isaac; y (ii) dicha información no es adquirida, accedida, utilizada o divulgada por ninguna otra persona.

“"Incidente de seguridad" significa un suceso que pone en peligro real o potencialmente la confidencialidad, integridad o disponibilidad de un sistema de información o la información que el sistema procesa, almacena o transmite, o que constituye una violación o amenaza inminente de violación de las políticas de seguridad, los procedimientos de seguridad o las políticas de uso aceptable.

2. Gobernanza de la ciberseguridad

2.1. Programa de Seguridad Cibernética. Fair Isaac mantiene un programa de seguridad cibernética, dirigido por un director de seguridad cibernética, que está diseñado para proteger el servicio SaaS, los activos de la organización, los datos del cliente y la infraestructura ("Programa de seguridad cibernética"). El programa de ciberseguridad de Fair Isaac se basa en los requisitos normativos actuales y en evolución, las tendencias del sector y las mejores prácticas.

2.2. Políticas de ciberseguridad. Como parte de su Programa de Seguridad Cibernética, Fair Isaac diseña sus políticas y estándares de seguridad para alinearlos con ISO27001, y se revisan, actualizan y aprueban al menos una vez al año. Todos los empleados y contratistas de Fair Isaac están obligados a salvaguardar la confidencialidad, integridad y disponibilidad de los datos y los sistemas de información, y deben comprender y cumplir con todas las políticas y normas de seguridad documentadas.

2.3. Capacitación en concientización sobre seguridad cibernética. Fair Isaac exige que todos los empleados y contratistas realicen capacitaciones de concientización sobre seguridad al momento de la contratación y anualmente a partir de entonces. Además de la capacitación obligatoria de concientización sobre seguridad, Fair Isaac ha desarrollado un programa de capacitación en seguridad basado en roles para ciertos roles que dependen de las funciones laborales.

3. Responsabilidades de Fair Isaac

3.1. Protección de los datos de los clientes. Fair Isaac implementará y mantendrá medidas técnicas y organizativas razonables diseñadas para (i) proteger la seguridad y confidencialidad de los Datos del Cliente, (ii) proteger contra amenazas o peligros anticipados para la seguridad o integridad de los Datos del Cliente, y (iii) proteger contra el acceso o uso no autorizado de los Datos del Cliente que podría resultar en un daño sustancial al Cliente o a los clientes o usuarios finales del Cliente. El Cliente no deberá enviar al Servicio SaaS ningún Dato Personal que contenga "Datos del Titular de la Tarjeta" sujetos a las Normas de Seguridad de la PCI, a menos que Fair Isaac haya acordado por escrito, de conformidad con el Acuerdo, recibir dichos Datos del Titular de la Tarjeta y solo con respecto al Servicio SaaS (o parte del mismo) identificado específicamente por Fair Isaac para dicha recepción. Fair Isaac no tendrá ninguna responsabilidad en virtud de ningún Acuerdo relacionado con los Datos del Titular de la Tarjeta que no se procesen de acuerdo con los términos de esta sección, sin perjuicio de cualquier disposición en contrario contenida en el Acuerdo, los Estándares de Seguridad de Datos de la Industria de Tarjetas de Pago ("PCI DSS") o regulaciones similares.

3.2. Gestión de incidencias. Fair Isaac investigará y responderá con prontitud a los Incidentes de Seguridad presuntos o reales. Todos los empleados y contratistas están obligados a informar sobre presuntos incidentes de seguridad. Fair Isaac analiza los Incidentes de Seguridad identificados con el fin de contenerlos, recuperarlos, corregirlos y prevenirlos.

3.3. Respuesta a brechas de seguridad. Fair Isaac monitoreará sus sistemas y procedimientos para detectar Incidentes de Seguridad, violaciones y actividades sospechosas que sea razonablemente previsible que resulten en una Violación de Seguridad. Esto incluye actividad externa sospechosa (como sondeos, escaneos o intentos de allanamiento no autorizados) y actividad interna sospechosa (como acceso no autorizado de administrador del sistema, cambios no autorizados o uso indebido de su sistema o red). Una vez que Fair Isaac detecte cualquier Violación de Seguridad que haya ocurrido, Fair Isaac investigará para identificar la causa y tomar medidas correctivas inmediatas para evitar incidentes similares en el futuro. Además, en la medida en que Fair Isaac esté legalmente autorizado a hacerlo, Fair Isaac deberá, dentro del período de tiempo requerido por la ley aplicable, pero en ningún caso más de cuarenta y ocho (48) horas después de la confirmación, notificar al Cliente sobre la naturaleza de la Violación de Seguridad y las medidas que se están tomando para abordar el incidente y prevenir incidentes futuros. Si el Cliente detecta alguna Violación de Seguridad, deberá notificarlo inmediatamente a Fair Isaac.

3.4. Gestión de vulnerabilidades. Fair Isaac gestionará todas las vulnerabilidades del sistema de información que se encuentren utilizando un escáner de vulnerabilidades aprobado por la industria, que incluye, cuando corresponda, una opción aprobada por PCI para escaneos de cumplimiento de PCI. En caso de que se detecte una vulnerabilidad, Fair Isaac emprenderá de inmediato los esfuerzos de corrección correspondientes.

3.5. Desarrollo de software seguro. Fair Isaac mantendrá un proceso de ciclo de vida de desarrollo de software que está diseñado para incluir ciertos requisitos de seguridad en cada fase del desarrollo de los productos de software de Fair Isaac, se basa en las normas aplicables de la industria e incluye, según corresponda, actividades tales como: modelado de amenazas, revisiones de código seguro, pruebas de penetración y corrección de vulnerabilidades de seguridad de productos detectadas. Fair Isaac utiliza herramientas estándar del sector para realizar escaneos de código estáticos y dinámicos.

3.6. Criptografía. Mientras están en tránsito, los datos del cliente se cifran mediante protocolos criptográficamente seguros (TLS v.1,2 o superior) y, mientras están en reposo dentro del servicio SaaS, los datos del cliente se cifran mediante protocolos criptográficamente seguros (AES-256 bits o equivalente).

3.7. Controles de acceso. Fair Isaac sigue el "principio de mínimo privilegio", lo que significa que a un usuario autorizado solo se le otorgan niveles de acceso al sistema y derechos según corresponda según la función laboral del usuario. Todos los accesos y las acciones que se toman con ese acceso se pueden rastrear hasta un usuario individual y se documentan dentro de la herramienta de administración de servicios de TI de Fair Isaac.

3.8. Seguridad Física y Ambiental. Las instalaciones de Fair Isaac se clasifican en categorías según los datos y la información que se procesan, transmiten o almacenan en las instalaciones. Los controles de seguridad aplicados a las instalaciones dependen de la clasificación. El CCTV está implementado para monitorear los puntos de entrada y salida. El acceso a las instalaciones se concede sobre la base del principio de privilegios mínimos y a todos los empleados se les asigna una insignia de proximidad única para el acceso a las instalaciones correspondiente a sus funciones laborales. Los visitantes deben registrarse y ser acompañados por un empleado de Fair Isaac mientras se encuentren en las instalaciones de Fair Isaac.

3.9. Eliminación de la información del cliente. En la medida en que los Datos del Cliente estén dentro de la posesión y el control de Fair Isaac y el Cliente no tenga la capacidad de disponer de dichos Datos del Cliente, Fair Isaac dispondrá de los Datos del Cliente de conformidad con la ley aplicable a la que Fair Isaac esté sujeta. En cumplimiento de lo anterior, Fair Isaac tomará las medidas razonables diseñadas para proteger contra el acceso o uso no autorizado de los Datos del Cliente en relación con su eliminación, considerando la naturaleza y sensibilidad de los Datos del Cliente, los costos y beneficios de los diferentes métodos de eliminación y los cambios tecnológicos relevantes. El Cliente reconoce y acepta que tiene la obligación afirmativa de notificar previamente a Fair Isaac los Datos del Cliente que estén o puedan estar sujetos a requisitos específicos de eliminación de procesos, y el cumplimiento de esta sección por parte de Fair Isaac depende de la recepción de dicha notificación por parte del Cliente. Todos los datos almacenados en copias de seguridad externas, incluidas, entre otras, copias de seguridad informáticas generadas automáticamente o copias de archivo generadas en el curso ordinario de los procedimientos de sistemas de tecnología de la información de Fair Isaac, serán destruidos como parte del proceso normal de destrucción de datos de Fair Isaac. Si el Cliente requiere que Fair Isaac elimine archivos específicos de las copias de seguridad, el Cliente es responsable de todos los costos asociados con la recuperación de los datos de copias de seguridad y archivos externos, la recarga de los datos en los sistemas de Fair Isaac, la eliminación de los archivos en cuestión y la repetición de las copias de seguridad y la transmisión de los datos restantes.

4. Auditorías e informes de Fair Isaac. Fair Isaac contrata a auditores externos independientes para evaluar anualmente el Programa de Seguridad Cibernética de Fair Isaac, incluidas las siguientes auditorías externas independientes:

a) SOC2 Tipo 2;

b) ISO27001; Y

(c) PCI DSS (solo soluciones compatibles con PCI).

5. Auditorías, informes y pruebas del cliente

a) Generalidades. Sujeto a los términos aplicables en virtud de este Acuerdo de Seguridad de la Información y/o de un acuerdo de protección de datos entre las partes que rija el procesamiento de Datos Personales, si el Cliente solicita una Auditoría de Seguridad, entonces el Cliente acepta y reconoce que se deben cumplir los siguientes procesos y criterios antes de que Fair Isaac esté obligado a otorgar una solicitud de Auditoría de Seguridad: (i) El Cliente notificará por escrito a Fair Isaac con 30 días de anticipación la solicitud de Auditoría de Seguridad que incluirá detalles razonables de la Auditoría de Seguridad solicitada; (ii) El Cliente está limitado a una Auditoría de Seguridad dentro de un período de 12 meses; y (iii) las partes celebrarán un acuerdo mutuamente acordado para los servicios profesionales emitidos en virtud del Acuerdo, y dicho acuerdo definirá las obligaciones y los términos comerciales, incluidos, entre otros, los términos relacionados con la confidencialidad y la no divulgación, con respecto a la Auditoría de Seguridad solicitada. Sujeto a lo anterior, en respuesta a una solicitud de Auditoría de Seguridad, Fair Isaac pondrá a disposición documentación estándar de la industria relacionada con su programa e infraestructura de seguridad, incluidas políticas, procedimientos e informes para la inspección, el examen y la auditoría; No se permitirán auditorías in situ a menos que el Cliente demuestre razonablemente una necesidad sustancial después de revisar la documentación de auditoría proporcionada por Fair Isaac y las partes acuerden mutuamente el momento y el alcance para evitar la interrupción de las operaciones comerciales normales de Fair Isaac. En ningún caso el Cliente tendrá acceso a datos relacionados con otros clientes de Fair Isaac.

b) Cooperación con las autoridades reguladoras. Las operaciones comerciales del Cliente pueden estar sujetas a auditoría por parte de las Autoridades Reguladoras del Cliente. Fair Isaac cooperará con los esfuerzos del Cliente para cumplir con las obligaciones reglamentarias del Cliente con respecto a las auditorías solicitadas por escrito en virtud de una notificación, solicitud u orden legalmente válida por parte de la Autoridad Reguladora del Cliente. Sujeto a la Sección 5(a), Fair Isaac pondrá a disposición la información descrita en la Sección 5(a), en la medida en que lo permitan y exijan las Autoridades Reguladoras; siempre y cuando, sin embargo, el Cliente pague por todo el tiempo que Fair Isaac dedique en relación con los esfuerzos para respaldar las auditorías del Cliente contempladas en esta sección a las tarifas por hora de Fair Isaac vigentes en ese momento, más cualquier gasto de bolsillo.

(c) Informes de Auditoría y Datos de Auditoría. El Cliente deberá proporcionar a Fair Isaac copias de todos los informes de auditoría generados por el Cliente, incluidos los informes de auditoría de los auditores internos o externos del Cliente y las Autoridades Reguladoras del Cliente, en relación con cualquier auditoría en virtud de esta Sección 5, a menos que la ley aplicable lo prohíba. El Cliente podrá utilizar los informes de auditoría únicamente con el fin de cumplir con sus requisitos de auditoría reglamentarios en virtud de la legislación aplicable y/o confirmar el cumplimiento de los requisitos en virtud de este Acuerdo de Seguridad de la Información. Los informes de auditoría son Información Confidencial de las partes en los términos del Acuerdo. Toda la información de Fair Isaac recibida u obtenida por el Cliente o sus auditores antes, durante y/o después de la auditoría (en conjunto, "Datos de Auditoría") debe ser tratada por el Cliente y sus auditores como Información Confidencial de Fair Isaac y solo podrá ser utilizada y conservada para los fines de la auditoría. Todos los datos de auditoría en formato electrónico deben conservarse en un formato cifrado. Todos los datos de auditoría mantenidos como documentación o notas en papel deben guardarse en un contenedor seguro y cerrado. El Cliente y sus auditores no divulgarán ninguna información a otra parte sin la aprobación específica por escrito de Fair Isaac. Los auditores deben firmar un acuerdo de confidencialidad por escrito aceptable para Fair Isaac antes de llevar a cabo la auditoría. 

(d) Sin pruebas de cliente. El Cliente, y cualquier parte que actúe en su nombre, tienen prohibido realizar cualquier tipo de pruebas (automatizadas o de otro tipo) que afecten o vayan en contra de la infraestructura y las redes de Fair Isaac. Fair Isaac realiza periódicamente sus propias pruebas de su infraestructura y redes. Fair Isaac está dispuesto a discutir los resultados de las pruebas con el Cliente; y Fair Isaac puede, a su entera discreción, proporcionar informes resumidos ejecutivos de pruebas de penetración, según corresponda, al Cliente para su uso interno de la evaluación de su cumplimiento con las Normas de seguridad de PCI, si corresponde. En ningún caso Fair Isaac está obligado a proporcionar los resultados de las pruebas al Cliente. Toda la información y los informes proporcionados al Cliente deben ser tratados por el Cliente como Información Confidencial de Fair Isaac.

e) Recomendaciones de auditoría. Sobre la base de los resultados de una auditoría conforme a esta Sección 5, el Cliente o los auditores del Cliente pueden hacer recomendaciones a Fair Isaac en relación con cuestiones de seguridad. Si la auditoría identifica algún problema de seguridad que las partes acuerden que es material y que afecta directamente a los Datos del Cliente en posesión de Fair Isaac a través del Servicio SaaS, Fair Isaac trabajará con el Cliente y hará todos los esfuerzos razonables para remediar los problemas en función de la naturaleza y sensibilidad de los Datos del Cliente. Si el Cliente solicita que Fair Isaac tome medidas correctivas, Fair Isaac evaluará la solicitud a la luz de las normas y prácticas estándar de la industria, y de las obligaciones contractuales de Fair Isaac para con (i) el Cliente en virtud del Acuerdo y (ii) sus otros clientes. Si Fair Isaac determina que la solicitud de corrección del Cliente es específica para los requisitos del Cliente (es decir, no es necesaria para otros clientes) y Fair Isaac determina que puede proporcionar servicios profesionales para satisfacer la solicitud del Cliente, entonces Fair Isaac elaborará una declaración de trabajo u otro acuerdo que estipule servicios profesionales a los honorarios de Fair Isaac vigentes en ese momento para la aprobación del Cliente. Si el Cliente lo aprueba, Fair Isaac desarrollará y propondrá un cronograma de implementación para dicha declaración de trabajo o acuerdo. A menos que y hasta que las partes ejecuten una declaración definitiva de trabajo u otro acuerdo para dichos servicios profesionales, Fair Isaac no tendrá la obligación de cumplir con ninguna solicitud del Cliente.

6. Cambios. Este Acuerdo de Seguridad de la Información está sujeto a cambios por parte de Fair Isaac en cualquier momento mediante la publicación de una versión revisada en el sitio web de https://www.fico.com/en/legal ("Sitio web de FICO") o mediante una notificación por escrito de dichos cambios al Cliente. Cualquier cambio a este Acuerdo de Seguridad de la Información entrará en vigencia a partir de la fecha de "Última actualización" a la que se hace referencia en el sitio web de FICO o en el aviso por escrito, según corresponda. El Cliente ha revisado y está de acuerdo con este Acuerdo de Seguridad de la Información, y el uso continuado del Servicio SaaS por parte del Cliente después de la fecha de "Última actualización" constituirá la aceptación y el acuerdo del Cliente con todos dichos cambios.