1.Âmbito
1.1.
Este Adendo DORA (o “Adendo DORA”) constitui um adendo ao Contrato e faz parte integrante do mesmo. Em caso de conflito entre este Adendo DORA e o Contrato, prevalecerá este Adendo DORA.
2.Definições e interpretação
2.1.
Os termos utilizados neste Adendo ao DORA terão os significados definidos a seguir, salvo se o contexto exigir o contrário.
| Contrato | significa o Contrato de Terceirização entre o Prestador de Serviços e a Nium (cada qual uma “Parte” e, conjuntamente, as “Partes”) ao qual este Adendo DORA está incorporado, pelo qual a Nium contrata os Serviços do Prestador de Serviços; |
| Legislação Aplicável | significa quaisquer leis, regulamentos, restrições regulatórias, obrigações ou regras aplicáveis ao Contrato e a este Adendo DORA (incluindo códigos de conduta vinculantes e declarações de princípio vinculantes incorporados e contidos nessas regras periodicamente), interpretados, quando relevante, de acordo com quaisquer orientações, códigos de conduta ou documentos semelhantes publicados por qualquer autoridade reguladora; |
| Informações Confidenciais | significa todas as informações (incluindo Dados, conforme aplicável), independentemente da forma em que sejam registradas ou preservadas, divulgadas por uma Parte à outra em relação ao Contrato; e/ou inclui, entre outras, quaisquer entregáveis dos Serviços, segredos comerciais, know-how, invenções, técnicas, processos, programas de software e outras informações relacionadas a TI, documentação, esquemas, procedimentos, contratos, informações de clientes, informações sobre funcionários, segurados ou beneficiários, informações financeiras, orçamentos, vendas, marketing, relações públicas, publicidade e planos comerciais, ideias, estratégias, designs, projeções, planos de negócios, planos imobiliários, planos de expansão estratégica, produtos e designs de produtos, informações de fornecimento, possíveis ideias de rotulagem e marcação de produtos, informações não publicadas relacionadas aos direitos de propriedade intelectual de qualquer Parte, dados pessoais, todas as comunicações entre as Partes e outras informações não públicas relacionadas aos negócios de qualquer Parte; |
| Nium | significa a entidade Nium identificada como destinatária dos serviços e parte do Contrato; |
| Dados | means the data (including text, drawings, diagrams, images or sounds (together with any database made up of any of these)) which are embodied in any electronic, magnetic, optical or tangible media, which may include personal data and which are: (a) fornecidas ao Prestador de Serviços pela Nium, por ela ou em seu nome, ou por um destinatário do Serviço; ou (b) que o Prestador de Serviços é obrigado a gerar, processar, armazenar ou transmitir nos termos deste Contrato; |
| Leis de Proteção de Dados | means: (a) qualquer legislação em vigor, de tempos em tempos, relativa à privacidade e/ou ao tratamento de dados pessoais, incluindo o Regulamento Geral sobre a Proteção de Dados (UE 2016/679) (“GDPR”), a Lei de Proteção de Dados de 2018 no Reino Unido (conforme aplicável), os Regulamentos de Privacidade e Comunicações Eletrônicas de 2003 (SI 2003/2426) e quaisquer leis ou regulamentos que implementem a Diretiva de Privacidade e Comunicações Eletrônicas 2002/58/CE; (b) quaisquer leis que substituam, ampliem, restabeleçam, consolidem ou alterem qualquer uma das disposições acima, independentemente de terem sido promulgadas antes ou depois da data do Acordo, a partir da data de sua entrada em vigor (exceto, quando permitido pela legislação nacional aplicável, na medida em que o RGPD seja modificado pela legislação nacional aplicável de tempos em tempos, mas quando a modificação tiver o efeito de privar os titulares de dados dos direitos aos quais teriam direito caso qualquer tratamento relevante fosse realizado no EEE ou no Reino Unido (conforme aplicável), tal modificação não terá efeito sobre este Contrato); e (c) as orientações e os códigos de conduta emitidos por qualquer órgão regulador relevante do EEE ou do Reino Unido (conforme aplicável) e aplicáveis a uma das partes; |
| DORA | significa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) nº 1060/2009, (UE) nº 648/2012, (UE) nº 600/2014, (UE) nº 909/2014 e (UE) 2016/1011; |
| Boas Práticas do Setor | significa a capacidade, os recursos, a estrutura organizacional, os métodos, as técnicas, os projetos, os padrões, as competências, a diligência, a eficiência, a confiabilidade e a prudência geralmente e razoavelmente esperados de um prestador de serviços devidamente qualificado e experiente que exerça o mesmo tipo de atividade previsto no Contrato e que se espera resultem no cumprimento de suas obrigações de acordo com a Legislação Aplicável, de forma confiável, segura, econômica e eficiente; |
| Evento de Insolvência | means any of the following: (a) for proferida uma decisão por um tribunal competente ou for aprovada uma resolução relativa à administração do Prestador de Serviços; ou (b) a apresentação de um pedido de liquidação do Prestador de Serviços, o qual não seja indeferido dentro do prazo previsto nas Leis Aplicáveis; ou (c) for proferida uma decisão ou aprovada uma resolução para a dissolução do Prestador de Serviços, ou o Prestador de Serviços entrar em liquidação (voluntária ou não), exceto para fins de reestruturação com solvência ou fusão, na qual a entidade resultante assuma todas as obrigações da entidade que foi dissolvida; ou (d) for apresentado, em relação ao Prestador de Serviços, um pedido de medida judicial ou de nomeação de um administrador judicial (incluindo um administrador judicial administrativo ou gestor), administrador, examinador, liquidatário, liquidatário provisório, curador ou funcionário de funções semelhantes; ou (e) se for nomeado um administrador judicial, administrador, examinador, liquidatário, liquidatário provisório ou funcionário com funções semelhantes para administrar a totalidade ou parte dos ativos ou do negócio do Prestador de Serviços e tal nomeação não for revogada no prazo de trinta (30) dias a partir da data da nomeação; ou (f) o Prestador de Serviços propor qualquer acordo voluntário com seus credores, convocar uma assembleia de credores, celebrar um acordo de recuperação com seus credores em geral, efetuar uma cessão em benefício de seus credores ou celebrar qualquer outro acordo semelhante; ou (g) o Prestador de Serviços cessar, ou ameaçar cessar, a prática de suas atividades comerciais; ou (h) qualquer terceiro exerça um direito real de garantia sobre a totalidade ou a quase totalidade dos ativos do Prestador de Serviços; ou (i) caso ocorra qualquer evento análogo aos descritos nas alíneas (a) a (h) acima em qualquer outra jurisdição à qual o Prestador de Serviços esteja sujeito; |
| Sistema(s) de TI | significa um sistema de tecnologia da informação (composto por hardware, software e/ou rede(s)); |
| Órgão(s) Regulador(es) | significa qualquer órgão ou tribunal regulador ou quase regulador, administrativo ou tributário, autoridade de listagem ou agência de aplicação da lei que regule ou supervisione a Nium ou o Prestador de Serviços em relação à prestação ou ao recebimento dos Serviços nos termos do Contrato, bem como qualquer órgão substituto ou sucessor em qualquer jurisdição relevante, periodicamente; |
| Serviços | significa quaisquer serviços e/ou produtos prestados pelo Prestador de Serviços à Nium nos termos do Contrato; |
| Local(is) de Prestação de Serviços | significa os países e regiões a partir dos quais os Serviços são prestados, incluindo hospedagem, tratamento e armazenamento de Dados, conforme estabelecido no Anexo B deste Adendo; |
| Padrões de Serviço | significa os níveis de serviço e os indicadores-chave de desempenho relevantes segundo os quais o Prestador de Serviços deve executar os Serviços, ou conforme acordado de outra forma, por escrito, entre as Partes; |
| Prestador de Serviços | significa a entidade identificada como Prestador de Serviços e parte do Contrato; |
| Pessoal do Prestador de Serviços | significa cada pessoa empregada, contratada ou de outra forma envolvida, periodicamente, pelo Prestador de Serviços ou em seu nome, para a prestação de todos ou parte dos Serviços; |
| Instalações do Prestador de Serviços | significa quaisquer instalações próprias, alugadas, ocupadas ou controladas de outra forma pelo Prestador de Serviços; e |
| Vírus | means any computer program code, computer virus, computer worm, Trojan horse, authorisation key, licence control utility or software lock, which is intended by any person to, is likely to, or may: (a) prejudicar o funcionamento de quaisquer sistemas ou programas de computador de propriedade da Nium; ou (b) causar perda, corrupção ou dano a qualquer programa ou dado armazenado nos sistemas de computador ou programas de propriedade da Nium. |
2.2.
As referências a parágrafos contidas neste Adendo à DORA referem-se a parágrafos deste próprio Adendo à DORA.
3.Serviços
3.1.
O Prestador de Serviços deverá prestar os Serviços à Nium a partir do(s) Local(is) de Prestação de Serviços, de acordo com os Padrões de Serviço.
3.2.
Quaisquer alterações às Normas de Serviço serão regidas pelo processo padrão de alteração estabelecido no Contrato.
3.3.
O Prestador de Serviços não deverá alterar o local a partir do qual os Serviços são prestados sem notificar a Nium com antecedência e sujeito ao consentimento prévio por escrito da Nium (que não deverá ser negado sem motivo justificado).
4.Obrigações gerais e conformidade regulatória
4.1.
O Prestador de Serviços se compromete, durante toda a vigência do Contrato, a cumprir todas as suas responsabilidades, obrigações e compromissos decorrentes do Contrato e deste Adendo DORA (incluindo, sem limitação, aqueles relacionados ao Pessoal do Prestador de Serviços) em conformidade com toda a Legislação Aplicável, incluindo quaisquer Leis Aplicáveis que se apliquem à Nium no que diz respeito aos Serviços que o Prestador de Serviços presta à Nium.
4.2.
O Prestador de Serviços reconhece que:
4.2.1.
A Nium está sujeita às regras, regulamentos e exigências de seus órgãos reguladores no exercício de suas atividades. Assim, o Prestador de Serviços deverá:
4.2.1.1.
cooperar plenamente com os órgãos reguladores da Nium e seus representantes e informar imediatamente a Nium sobre todas as comunicações ou negociações que mantiver com tais partes; e
4.2.1.2.
em quaisquer relações com os órgãos reguladores da Nium e seus representantes, tomar as precauções razoáveis para preservar o relacionamento e a reputação da Nium perante tais órgãos reguladores;
4.2.2.
todos ou parte dos Serviços sejam considerados “serviços de TIC” (conforme definido na DORA) e o Prestador de Serviços seja considerado um “prestador terceirizado de serviços de TIC” (conforme definido na DORA) da Nium que não esteja dando suporte a uma “função crítica ou importante” (conforme definido na DORA) da Nium e que, consequentemente, este Adendo à DORA inclui disposições destinadas a garantir a conformidade da Nium com os requisitos previstos na DORA e em outras Leis Aplicáveis, bem como a facilitar o exercício da autoridade por parte de qualquer Órgão Regulador em relação às obrigações relevantes previstas neste Adendo à DORA ou no Contrato; e
4.2.3.
A Nium poderá ser obrigada a avaliar regularmente o status e a criticidade dos Serviços e, consequentemente, o status desses Serviços poderá sofrer alterações durante a vigência do Contrato, podendo o Prestador de Serviços passar a ser considerado um “prestador de serviços terceirizados críticos de TIC” (conforme definido na DORA). Nessas circunstâncias, a Nium terá o direito de:
4.2.3.1.
exigir alterações nos termos deste Contrato (em particular, neste Adendo à DORA) a fim de garantir que ele continue em conformidade com a DORA e com outras orientações dos Órgãos Reguladores da Nium em relação aos “serviços de TIC” (conforme definido na DORA); e
4.2.3.2.
informar as autoridades reguladoras da Nium sobre a mudança no status de criticidade dos Serviços (seja ela real, esperada ou planejada).
4.2.4.
A Nium é obrigada a informar suas autoridades reguladoras caso, por qualquer motivo, o prestador de serviços não possa ou não queira, nos termos do contrato, facilitar o cumprimento, por parte da Nium, de suas obrigações e expectativas regulatórias (incluindo as previstas na DORA).
4.3.
O Prestador de Serviços reconhece que a Nium pode ser obrigada a divulgar Informações Confidenciais a um Órgão Regulador (incluindo, quando necessário, fornecer uma cópia do Contrato e deste Adendo ao DORA), na medida em que tal divulgação seja necessária para permitir a supervisão eficaz da Nium por quaisquer autoridades competentes relevantes e para permitir que a Nium cumpra suas obrigações nos termos do DORA ou de outras Leis Aplicáveis.
5.Confidencialidade
5.1.
Sujeito à legislação aplicável, cada Parte tratará as Informações Confidenciais da outra Parte como estritamente confidenciais e não as copiará, divulgará, reproduzirá ou utilizará, exceto se a divulgação, cópia, reprodução ou utilização for:
5.1.1.
ao pessoal de uma das Partes ou a quaisquer prestadores de serviços terceirizados, na medida do necessário para prestar ou receber os Serviços (conforme o caso), ou para cumprir as obrigações dessa Parte nos termos do Contrato, e desde que tal pessoal, consultores, potenciais financiadores ou prestadores de serviços terceirizados estejam sujeitos a obrigações de confidencialidade equivalentes às previstas neste parágrafo 5;
5.1.2.
necessárias para fins de qualquer processo judicial, arbitragem, tribunal, procedimentos alternativos de resolução de controvérsias ou outros processos civis relacionados ao Contrato;
5.1.3.
aprovado por escrito pela Parte à qual pertencem as Informações Confidenciais; ou
5.1.4.
após as Informações Confidenciais se tornarem de domínio público (exceto em caso de violação deste parágrafo 5).
5.2.
Cada Parte notificará imediatamente a outra Parte caso ocorra uma violação das obrigações de confidencialidade previstas neste parágrafo 5.
5.3.
As obrigações de confidencialidade previstas neste parágrafo 5 permanecerão em vigor por 3 anos após a rescisão do Contrato.
6.Proteção de dados
6.1.
Neste parágrafo 6 e neste Adendo ao DORA, os termos “dados pessoais”, “controlador de dados” e “processador de dados” terão o significado definido no Artigo 4º do RGPD.
6.2.
Para os fins deste Contrato, fica acordado que a Nium é o “controlador de dados” e o Prestador de Serviços é o processador de dados.
6.3.
Todos os dados pessoais a serem tratados pelo Prestador de Serviços em nome da Nium, nos termos do Contrato, deverão ser tratados de acordo com os termos do Acordo de Proteção de Dados.
7.Segurança de dados
7.1.
O Prestador de Serviços assumirá a responsabilidade por (a) preservar a confidencialidade, autenticidade, disponibilidade e integridade dos Dados, (b) restringir o acesso aos Dados apenas aos Funcionários do Prestador de Serviços que precisem ter acesso aos Dados, com base na necessidade de saber, para o cumprimento adequado das obrigações do Prestador de Serviços nos termos deste Contrato, e (c) impedir a corrupção ou perda dos Dados, enquanto esses Dados estiverem sob a posse ou controle do Prestador de Serviços, ou de seus agentes, contratados ou subcontratados, e deverá assegurar que disponha de controles adequados (inclusive junto a seus agentes, contratados ou subcontratados) para proteger contra o uso não autorizado e/ou ilegal dos Dados.
7.2.
Por um período de 60 dias após a rescisão do Contrato por qualquer motivo (o “Período de Recuperação”), o Prestador de Serviços deverá disponibilizar, por meio de protocolos seguros e em um formato estruturado e legível por máquina, quaisquer Dados que estejam no ambiente de produção, ou manter o sistema de serviço acessível, com o objetivo de permitir a recuperação dos Dados pela Nium. Durante o Período de Recuperação, o Prestador de Serviços prestará assistência razoável à Nium para facilitar a recuperação dos Dados, incluindo assistência na compreensão da estrutura e do formato de quaisquer arquivos de exportação relevantes.
8.Segurança
8.1.
O Prestador de Serviços deverá implementar e manter um nível de segurança em relação às suas atividades previstas no Contrato (incluindo os Serviços) e a quaisquer Sistemas de TI e locais que utilize para realizar tais atividades, de modo que (no mínimo e de forma contínua):
8.1.1.
esteja em conformidade com as Boas Práticas do Setor e que o Prestador de Serviços considere, de forma razoável, ser necessário para garantir o cumprimento da Legislação Aplicável;
8.1.2.
é adequado para conter o risco das seguintes ocorrências em níveis de risco que sejam aceitáveis à luz das Boas Práticas do Setor:
8.1.2.1.
perda de quaisquer resultados do Serviço, direitos de propriedade intelectual da Nium ou Dados;
8.1.2.2.
perda da integridade ou da confidencialidade de quaisquer resultados do Serviço, dos direitos de propriedade intelectual da Nium ou dos Dados;
8.1.2.3.
acesso não autorizado, uso ou interferência em quaisquer resultados dos Serviços, direitos de propriedade intelectual da Nium ou Dados por parte de qualquer pessoa ou organização; e
8.1.2.4.
a introdução de vírus em quaisquer sistemas de TI e ataques internos ou externos aos sistemas do provedor de serviços, incluindo hacking, negação de serviço, phishing e fenômenos semelhantes; e
8.1.3.
no que diz respeito às Instalações do Prestador de Serviços (e a quaisquer outros locais nos quais seja permitido a prestação dos Serviços), incluirá uma política de segurança do local que contenha disposições relativas a:
8.1.3.1.
requisitos de acesso à segurança do local;
8.1.3.2.
requisitos de acesso por cartão magnético;
8.1.3.3.
requisitos relativos aos visitantes (incluindo a aprovação prévia de quaisquer visitantes pela Nium e o acompanhamento dos visitantes enquanto estiverem no local);
8.1.3.4.
requisitos de controle de acesso às instalações;
8.1.3.5.
requisitos para celulares e dispositivos com função de câmera; e
8.1.3.6.
requisitos de mídia portátil.
8.2.
O Prestador de Serviços deverá implementar e manter medidas de segurança adequadas para cumprir suas obrigações previstas no parágrafo 8.1 deste Adendo à DORA e deverá testar regularmente e manter tais medidas sob revisão.
8.3.
O Prestador de Serviços deverá participar de quaisquer programas de conscientização sobre segurança em tecnologias da informação e comunicação ou de treinamento em resiliência operacional digital que a Nium seja obrigada, nos termos da Legislação Aplicável, a oferecer aos seus funcionários ou à sua administração, disponibilizando a expertise do Prestador de Serviços na matéria para inclusão no programa ou nos materiais de treinamento relacionados.
8.4.
No que diz respeito ao nível de segurança e às medidas de segurança mencionadas nos parágrafos 8.1 e 8.2 deste Adendo ao DORA, a Nium terá o direito de analisar e verificar os detalhes e a eficácia dessas medidas (inclusive por meio da realização de testes de penetração de segurança orientados por ameaças), e o Prestador de Serviços deverá levar em consideração quaisquer orientações e procedimentos de segurança que sejam razoavelmente exigidos pela Nium e notificados ao Prestador de Serviços.
8.5.
Cada Parte deverá informar imediatamente a outra sobre qualquer acesso não autorizado, uso ou outro tipo de abuso — efetivo, tentado ou suspeito — de quaisquer Sistemas de TI, Dados ou outro incidente de segurança, do qual venha a tomar conhecimento (um “Incidente”). Posteriormente, cada Parte deverá prestar à outra total cooperação e assistência na investigação das causas e do impacto de tal Incidente, bem como na elaboração de um plano de correção detalhado que estabeleça as medidas que cada Parte está adotando para resolver o Incidente.
9.Rescisão
9.1.
Sem prejuízo de quaisquer outros direitos ou recursos que possa ter nos termos do Contrato, a Nium poderá rescindir o Contrato (total ou parcialmente):
9.1.1.
com efeito imediato, mediante notificação por escrito ao Prestador de Serviços, caso este:
9.1.1.1.
violar a Legislação Aplicável; ou
9.1.1.2.
cometer uma violação substancial ou persistente (incluindo o descumprimento persistente de quaisquer níveis de serviço estabelecidos), ou uma série de violações menores do Contrato que, individualmente, possam não ser substanciais, mas que, em conjunto, constituam uma violação substancial do Contrato, a saber:
(a)
no caso de uma violação passível de correção, após notificação da Nium exigindo que o Prestador de Serviços corrija a violação, e o Prestador de Serviços não a corrija no prazo de trinta (30) dias, desde que o Prestador de Serviços envide todos os esforços razoáveis para corrigir a violação o mais rápido possível, não obstante esse prazo de trinta (30) dias para correção; ou
(b)
dada a natureza da violação ou da medida corretiva proposta pelo Prestador de Serviços, não for possível saná-la;
(c)
ou ocorrer um Evento de Insolvência que afete o Prestador de Serviços; ou
9.1.2.
mediante notificação prévia por escrito ao Prestador de Serviços com trinta (30) dias de antecedência, nos casos em que:
9.1.2.1.
A Nium for obrigada ou instruída por um órgão regulador a fazê-lo;
9.1.2.2.
se forem identificados impedimentos que afetem (a) a capacidade do Prestador de Serviços de prestar os Serviços; ou (b) a gestão e a segurança dos Dados pelo Prestador de Serviços; ou
9.1.2.3.
houver [mudanças que afetem os Serviços ou o Prestador de Serviços e que, na opinião da Nium, resultem em um impacto adverso na prestação dos Serviços.