A. Considerandos

Este Adendo de Tratamento de Dados Pessoais (o “DPA”) complementa e integra os Termos e Condições Gerais, o Contrato com o Estabelecimento, o Contrato de Serviços, a ordem de serviço, o descritivo de trabalho (statement of work) ou outro acordo escrito que reja o acesso e o uso, pelo Estabelecimento, dos serviços da Rebill (em conjunto, o “Contrato de Serviços”).

As partes reconhecem que, no âmbito dos Serviços, o Estabelecimento pode coletar Dados Pessoais diretamente dos pagadores ou de outros usuários finais e transmitir tais Dados Pessoais à Rebill por meio de integrações via API, fluxos de pagamento hospedados (hosted), painéis (dashboards), canais de suporte ou outros meios técnicos acordados.

Para os Serviços de Operador descritos neste DPA, o Estabelecimento atua como Controlador e a Rebill atua como Operador. As partes reconhecem ainda que a Rebill pode atuar como Controlador independente em relação a determinadas atividades que a Rebill determina e realiza para cumprir a legislação aplicável, a regulação financeira, as obrigações de prevenção à lavagem de dinheiro, a triagem de sanções (sanctions screening), os controles de fraude e risco, os requisitos fiscais e contábeis, as regras das redes de pagamento, as disputas, os chargebacks, as demandas judiciais e os reportes regulatórios.

Este DPA incorpora por referência a Política de Privacidade da Rebill, na medida aplicável. Em caso de conflito entre este DPA e a Política de Privacidade quanto às obrigações da Rebill como Operador, prevalece este DPA. Em caso de conflito entre este DPA e o Contrato de Serviços em matéria de proteção de dados, prevalece este DPA; nos demais casos, prevalece o Contrato de Serviços.

2. Escopo e Alocação de Papéis

2.1 Este DPA aplica-se ao Tratamento, pela Rebill, de Dados Pessoais de Clientes do Estabelecimento como Operador em relação aos Serviços de Operador. Os detalhes desse Tratamento estão estabelecidos no Anexo 1.

2.2 As partes acordam que o Estabelecimento é responsável por determinar as finalidades e a base legal para coletar e transmitir os Dados Pessoais de Clientes do Estabelecimento à Rebill para os Serviços de Operador.

2.3 A Rebill tratará os Dados Pessoais de Clientes do Estabelecimento como Operador somente conforme as instruções documentadas do Estabelecimento, incluindo o Contrato de Serviços, este DPA, a configuração dos Serviços pelo Estabelecimento e o uso, pelo Estabelecimento, da API, do painel ou do fluxo operacional aplicável, salvo se a Rebill for obrigada a tratar tais Dados Pessoais por força de lei aplicável

2.5 Vedação à venda de Dados Pessoais. A Rebill não venderá os Dados Pessoais de Clientes do Estabelecimento nem os utilizará para publicidade comportamental entre contextos (cross-context behavioral advertising) ou para finalidades de marketing não relacionadas, exceto quando expressamente autorizado pelo Estabelecimento ou permitido pela Lei de Proteção de Dados Aplicável.

2.5 Proibição da venda de Dados Pessoais. A Rebill não venderá os Dados Pessoais dos Clientes do Comércio, nem os utilizará para publicidade comportamental entre contextos (cross-context behavioral advertising) nem para fins de marketing não relacionados, salvo autorização expressa do Comércio ou permissão da Lei de Proteção de Dados aplicável.

3. Obrigações do Estabelecimento

3.1 O Estabelecimento cumprirá a Lei de Proteção de Dados Aplicável na sua condição de Controlador, inclusive fornecendo todos os avisos exigidos e obtendo todos os consentimentos ou outras bases legais exigidas antes de coletar ou transmitir Dados Pessoais à Rebill.

3.2 O Estabelecimento assegurará que seus avisos de privacidade divulguem o uso da Rebill e de terceiros pertinentes para o processamento de pagamentos, a prevenção à fraude, os controles de risco, o suporte ao cliente, a conformidade regulatória e outras finalidades razoavelmente necessárias à prestação dos Serviços.

3.3 O Estabelecimento não instruirá a Rebill a tratar Dados Pessoais de forma que viole a Lei de Proteção de Dados Aplicável, as regras das redes de pagamento, os requisitos PCI DSS, a regulação financeira, as regras de PLD/KYC ou o Contrato de Serviços.

3.5 O Estabelecimento não transmitirá categorias especiais de Dados Pessoais, dados pessoais sensíveis ou dados regulados além do necessário para os Serviços, salvo acordo expresso por escrito e respaldado por uma base legal aplicável.

3.5 A El Comercio não transmitirá categorias especiais de Dados Pessoais, dados pessoais sensíveis nem dados regulamentados para além do necessário para a prestação dos Serviços, salvo acordo expresso por escrito e apoiado por uma base de licitude aplicável.

4. Obrigações da Rebill como Operador

4.1 Instruções documentadas. A Rebill tratará os Dados Pessoais de Clientes do Estabelecimento como Operador somente conforme instruções documentadas do Estabelecimento, salvo exigência de lei aplicável. Se a Rebill for legalmente obrigada a tratar Dados Pessoais fora das instruções do Estabelecimento, a Rebill notificará o Estabelecimento antes de tal Tratamento, salvo vedação legal.

4.2 Confidencialidade e acesso. A Rebill assegurará que o pessoal autorizado a tratar Dados Pessoais de Clientes do Estabelecimento esteja sujeito a obrigações de confidencialidade adequadas e que o acesso seja limitado ao pessoal e aos sistemas com necessidade legítima de prestar os Serviços.

4.3 Medidas de segurança. A Rebill implementará e manterá medidas técnicas e organizacionais adequadas, destinadas a proteger os Dados Pessoais de Clientes do Estabelecimento contra o Tratamento não autorizado ou ilícito e contra a perda, destruição, alteração ou divulgação acidentais. Tais medidas incluirão, quando aplicável, os controles descritos no Anexo 3.

4.4 PCI e dados de cartão. Na medida em que a Rebill trate Dados do Portador do Cartão, a Rebill manterá controles destinados a cumprir os requisitos PCI DSS aplicáveis ao seu papel. A Rebill não armazenará códigos de verificação de cartão, CVV, CVC, CID, PINs ou dados completos de tarja magnética após a autorização, ainda que criptografados, salvo na medida expressamente permitida pelas regras PCI DSS aplicáveis.

4.5 Solicitações de titulares. Considerando a natureza do Tratamento, a Rebill prestará assistência razoável ao Estabelecimento para responder a solicitações dos Titulares dos Dados que exerçam direitos sob a Lei de Proteção de Dados Aplicável. Se a Rebill receber diretamente uma solicitação relativa a Dados Pessoais de Clientes do Estabelecimento tratados como Operador, a Rebill, salvo vedação legal, redirecionará ou encaminhará prontamente tal solicitação ao Estabelecimento.

4.6 RIPDs e consultas. A Rebill prestará assistência razoável ao Estabelecimento para os relatórios de impacto à proteção de dados e as consultas prévias às autoridades de controle, na medida exigida pela Lei de Proteção de Dados Aplicável e relacionada ao Tratamento da Rebill como Operador.

4.7 Instruções ilícitas. Se a Rebill entender razoavelmente que uma instrução viola a Lei de Proteção de Dados Aplicável, a Rebill notificará o Estabelecimento e poderá suspender o Tratamento afetado até que as partes resolvam a questão.

5. Suboperadores

5.1 O Estabelecimento concede à Rebill autorização geral por escrito para contratar Suboperadores que prestem os Serviços de Operador, sujeito aos requisitos desta Seção 5.

5.2 A Rebill manterá uma lista de Suboperadores autorizados, incluindo nome, finalidade, local de tratamento e o mecanismo de transferência pertinente quando razoavelmente disponível. A lista vigente será fornecida no Anexo 2, por meio de uma página web de suboperadores da Rebill, ou mediante solicitação escrita do Estabelecimento.

5.3 A Rebill imporá a cada Suboperador obrigações de proteção de dados por escrito não menos protetivas do que as estabelecidas neste DPA, na medida aplicável à natureza dos serviços prestados pelo Suboperador.

5.4 A Rebill fornecerá ao Estabelecimento aviso prévio de, no mínimo, trinta (30) dias antes de adicionar ou substituir um Suboperador quando exigido pela Lei de Proteção de Dados Aplicável ou quando a alteração for material para os Serviços de Operador. O Estabelecimento poderá objetar por motivos razoáveis de proteção de dados no prazo de quinze (15) dias após o aviso.

5.5 Se as partes não puderem resolver uma objeção tempestiva e razoável, o Estabelecimento poderá encerrar os Serviços de Operador afetados sem penalidade mediante aviso escrito de trinta (30) dias. Este remédio aplica-se somente às atividades de Tratamento afetadas e não exime o Estabelecimento das obrigações de pagamento vencidas antes do encerramento.

5.6 A Rebill permanece responsável perante o Estabelecimento pelos atos e omissões dos Suboperadores na mesma medida em que a Rebill seria responsável se prestasse os Serviços de Operador diretamente, sujeito às limitações de responsabilidade do Contrato de Serviços e deste DPA.

6. Incidentes de Segurança e Notificação de Violação de Dados

6.2 O aviso incluirá, na medida razoavelmente disponível: (a) uma descrição da natureza da Violação de Dados; (b) as categorias e o número aproximado de Titulares dos Dados e registros afetados; (c) as prováveis consequências; (d) as medidas adotadas ou propostas para tratar e mitigar a Violação de Dados; e (e) os dados de contato do ponto focal de segurança ou de proteção de dados da Rebill.

6.2 A notificação incluirá, na medida do razoavelmente possível: (a) uma descrição da natureza da Violação de Dados; (b) as categorias e o número aproximado de Titulares dos Dados e registos afetados; (c) as consequências prováveis; (d) as medidas adotadas ou propostas para resolver e mitigar a violação de dados; e (e) os dados de contacto do ponto de contacto de segurança ou de proteção de dados da Rebill.

6.3 A Rebill adotará medidas razoáveis para investigar, conter, remediar e mitigar os efeitos de uma Violação de Dados. O Estabelecimento é responsável por determinar se é exigida notificação às autoridades de controle, reguladores, redes de pagamento ou Titulares dos Dados afetados, exceto quando a Rebill tiver obrigação legal independente de notificar.

6.4 A notificação sob esta Seção 6 não constitui admissão de culpa, responsabilidade ou violação de lei.

7. Transferências Internacionais de Dados

7.1 Os Dados Pessoais de Clientes do Estabelecimento poderão ser transferidos ou tratados em países distintos daquele em que se encontram o Estabelecimento ou os Titulares dos Dados, incluindo países onde operem a Rebill, suas afiliadas, credenciadoras, instituições financeiras, provedores de nuvem, provedores de prevenção à fraude, provedores de KYC/PLD, plataformas de suporte e outros Suboperadores.

7.2 Quando uma transferência de Dados Pessoais estiver sujeita a restrições de transferência internacional, a Rebill assegurará a existência de um mecanismo de transferência adequado, tal como decisão de adequação, cláusulas contratuais padrão, normas corporativas vinculantes, certificação, consentimento, exceção por necessidade ou outro mecanismo reconhecido pela Lei de Proteção de Dados Aplicável.

7.3 Para as transferências de Dados Pessoais a partir do Espaço Econômico Europeu, do Reino Unido ou da Suíça para país não reconhecido como de proteção adequada, as partes recorrerão às cláusulas contratuais padrão aplicáveis ou a mecanismo equivalente, conforme alterado ou substituído periodicamente, aplicando-se o módulo correspondente aos papéis das partes.

7.4 Para as transferências de Dados Pessoais a partir do Brasil sujeitas às restrições de transferência internacional da LGPD, as partes aplicarão um mecanismo de transferência reconhecido pela ANPD, incluindo as cláusulas contratuais padrão aprovadas pela ANPD quando exigidas. Quando tais cláusulas forem exigidas, serão incorporadas integralmente e sem alteração, salvo pelos campos editáveis permitidos.

7.5 Mediante solicitação escrita razoável do Estabelecimento, a Rebill fornecerá informações sobre os mecanismos de transferência aplicáveis aos Serviços de Operador, sujeito a restrições de confidencialidade, segurança e legais.

8. Auditoria e Verificação de Conformidade

8.1 Mediante solicitação escrita razoável, a Rebill disponibilizará as informações razoavelmente necessárias para demonstrar a conformidade com este DPA, incluindo resumos de políticas de segurança, certificações de terceiros, atestações, evidências PCI DSS, SOC 2, ISO 27001, resumos executivos de testes de penetração ou materiais equivalentes, quando disponíveis e pertinentes.

8.2 O Estabelecimento poderá solicitar uma auditoria presencial ou independente não mais do que uma vez por ano civil, e somente quando as informações, os relatórios, as certificações e as atestações disponibilizadas sob a Seção 8.1 forem razoavelmente insuficientes para demonstrar a conformidade, salvo se uma auditoria for exigida por uma autoridade de controle ou decorrer de uma Violação de Dados material que afete Dados Pessoais de Clientes do Estabelecimento. Toda auditoria estará sujeita a aviso prévio por escrito de, no mínimo, trinta (30) dias, escopo razoável, confidencialidade, restrições de segurança e às políticas da Rebill destinadas a proteger seus sistemas, outros clientes e informações sensíveis.

8.3 As partes acordarão por escrito o escopo, o momento, a duração e o auditor. A Rebill poderá rejeitar um auditor que seja concorrente, careça de qualificação adequada ou apresente conflito de interesse, caso em que as partes cooperarão para selecionar um auditor alternativo.

8.4 Quando a Rebill fornecer um relatório de auditoria, certificação ou atestação de terceiro vigente que cubra o Tratamento pertinente, tais materiais satisfarão o requisito de auditoria, salvo se o Estabelecimento demonstrar que atividade de auditoria adicional é legalmente exigida ou razoavelmente necessária.

8.5 As auditorias serão realizadas às custas do Estabelecimento e não interromperão de forma irrazoável as operações da Rebill. As auditorias não poderão incluir acesso direto a sistemas de produção, código-fonte, dados de outros clientes, aconselhamento jurídico privilegiado ou informações de segurança altamente sensíveis.

9. Conservação, devolução e supressão

9.1 A Rebill conservará os Dados Pessoais de Clientes do Estabelecimento durante a vigência do Contrato de Serviços e por qualquer período adicional exigido ou permitido pela Lei de Proteção de Dados Aplicável, pela regulação financeira, pelas obrigações de PLD/KYC, pelas regras fiscais e contábeis, pelos requisitos das bandeiras de cartão, pelas regras de disputas e chargebacks, pelos requisitos de auditoria ou pelas demandas judiciais.

9.2 Após o encerramento ou a expiração do Contrato de Serviços, e sujeito à conservação legalmente exigida ou permitida, a Rebill, conforme a opção escrita do Estabelecimento, devolverá ou eliminará de forma segura os Dados Pessoais de Clientes do Estabelecimento tratados exclusivamente como Operador. A Rebill confirmará a conclusão no prazo de sessenta (60) dias após a solicitação escrita do Estabelecimento, salvo se a conservação for exigida ou permitida por lei.

9.3 Quando a Rebill conservar Dados Pessoais após o encerramento para o Tratamento como Controlador Independente ou para fins de conservação legal, tratará tais dados somente para essas finalidades e manterá medidas de segurança adequadas.

9.4 Backups. Os Dados Pessoais armazenados em backups rotineiros serão eliminados ou sobrescritos conforme o ciclo de vida padrão de backup da Rebill, desde que tais dados permaneçam protegidos e não sejam restaurados, exceto quando necessário para recuperação de desastres, segurança ou finalidades legais ou de conformidade.

9.5 Detalhes adicionais de conservação estão estabelecidos no Anexo 4. Se o Anexo 4 conflitar com lei imperativa, prevalece o período de conservação legal imperativo.

10. Responsabilidade

10.1 A responsabilidade de cada parte sob este DPA está sujeita às limitações e exclusões de responsabilidade do Contrato de Serviços, salvo na medida vedada pela Lei de Proteção de Dados Aplicável. Para evitar dúvidas, os limites de responsabilidade agregada do Contrato de Serviços e deste DPA aplicam-se em conjunto e não de forma independente, de modo que a responsabilidade agregada total de qualquer das partes sob ambos os instrumentos não excederá o limite aplicável mais alto estabelecido no Contrato de Serviços.

10.2 Na medida permitida pela lei aplicável, a responsabilidade agregada total da Rebill perante o Estabelecimento sob ou em conexão com este DPA não excederá cinquenta por cento (50%) do total das tarifas pagas pelo Estabelecimento à Rebill nos doze (12) meses anteriores ao evento que originar a demanda.

10.3 As limitações desta Seção 10 não se aplicam à responsabilidade decorrente de culpa grave ou dolo de uma parte, nem a demandas que não possam ser limitadas sob a Lei de Proteção de Dados Aplicável.

11. Prazo

11.1 Este DPA tem início na data de vigência do Contrato de Serviços e permanece em vigor enquanto a Rebill tratar Dados Pessoais de Clientes do Estabelecimento por conta do Estabelecimento ou conforme de outro modo exigido pela Lei de Proteção de Dados Aplicável.

11.2 O encerramento ou a expiração deste DPA não afeta direitos ou obrigações vencidos antes do encerramento nem as disposições destinadas a sobreviver, incluindo as Seções 7, 8, 9, 10, 12 e 13.

12. Lei Aplicável e Foro

12.1 Este DPA rege-se pelas leis especificadas no Contrato de Serviços. Se o Contrato de Serviços não especificar a lei aplicável, este DPA rege-se pelas leis da República Argentina, desconsiderados os princípios de conflito de leis.

12.2 Qualquer disputa decorrente ou relacionada a este DPA estará sujeita ao foro de resolução de disputas especificado no Contrato de Serviços. Se nenhum for especificado, as partes submetem-se à jurisdição exclusiva dos tribunais competentes da Cidade de Buenos Aires, Argentina.

13. Disposições Gerais

13.1 Acordo integral. Este DPA, juntamente com o Contrato de Serviços e os documentos incorporados, constitui o acordo integral entre as partes quanto ao Tratamento, pela Rebill, de Dados Pessoais de Clientes do Estabelecimento como Operador.

13.2 Alterações. A Rebill poderá alterar este DPA mediante aviso prévio por escrito de trinta (30) dias quando a alteração for necessária para cumprir mudanças na Lei de Proteção de Dados Aplicável, nas regras das redes de pagamento, nas obrigações regulatórias, nos requisitos de segurança ou em mudanças materiais dos Serviços. Para outras alterações, exige-se o acordo escrito das partes.

13.3 Divisibilidade. Se qualquer disposição deste DPA for inválida ou inexequível, será modificada na mínima medida necessária para torná-la válida e exequível, permanecendo em vigor as demais disposições.

13.4 Ordem de prevalência. Em caso de conflito em matéria de proteção de dados, este DPA prevalece sobre o Contrato de Serviços, salvo se o Contrato de Serviços dispuser expressamente que prevalece sobre este DPA. Em todos os demais assuntos, prevalece o Contrato de Serviços.

13.5 Ausência de terceiros beneficiários. Salvo quando exigido pela Lei de Proteção de Dados Aplicável ou pelas cláusulas de transferência incorporadas, este DPA não cria direitos para terceiros.

14. Celebração

Este DPA integra e constitui parte indissociável do Contrato de Serviços entre as partes. Poderá ser celebrado eletronicamente, por incorporação por referência, ou por assinatura abaixo, conforme permitido pelo Contrato de Serviços e pela lei aplicável.

Anexo 1. Detalhes do tratamento

Anexo 2. Suboperadores Autorizados e Panorama de Transferências

A Rebill utiliza Suboperadores nas categorias indicadas abaixo para prestar os Serviços. Os nomes dos provedores, os locais de tratamento e os mecanismos de transferência podem variar por país, meio de pagamento e configuração do produto. A Rebill disponibilizará a lista vigente de Suboperadores mediante solicitação escrita, por meio de uma página web de suboperadores da Rebill, ou sob confidencialidade quando apropriado.

Anexo 3. Medidas Técnicas e Organizacionais

Anexo 4. Marco de Conservação