Data Procesamiento Addendum

Este addendum sets out cómo RapidCents handles información personal cuando it processes it en connection con el Services, y cómo responsibility para ese information es divided entre RapidCents y el comerciante. El division es no el same para cada activity: RapidCents es un processor para qué it does en un comerciante’s instruction y un controller para qué it must do en its own cuenta. Clause 4 sets out que es que, because ese question decides quién answers a el individual, quién puede ser instructed a stop, y quién carries el obligation cuando el two son no el same party.

Part 1 — Scope, definitions y roles

1. Qué este addendum es, y qué it applies a

Este es el document su Privacidad officer o su seguridad reviewer asks para. It says qué nosotros do con información personal cuando nosotros son handling it para usted, qué usted have a do, y qué nosotros do en nuestro own cuenta because el law makes us.

Este Data Procesamiento Addendum (el “Addendum”) sets out el Términos en que RapidCents Inc. (“RapidCents”) processes información personal en connection con el Services, y cómo responsibility para ese information es divided entre RapidCents y el comerciante. It forms part de el RapidCents Services Agreement (el “Services Agreement”) y es addressed a el person quién has a review it: un Privacidad officer, un seguridad reviewer, o counsel asked whether el arrangement puede ser signed.

El Addendum applies a Cliente Data, as clause D.1.1 de el Services Agreement defines it, y a any otro información personal RapidCents processes en connection con el Services. It applies a cada comerciante con un RapidCents cuenta, en Canada y en Estados Unidos, y no separate signature es required para it a bind RapidCents — clause 19 explains why.

It does no apply a el comerciante’s own website, premises, systems o staff, o a qué el comerciante does con information it collects desde its Clientes outside el Services. It does no apply a un third-party service el comerciante chooses a connect, que es governed por ese provider’s own Términos, as section 1 de el Privacidad Policy states.

Este es no un European Union document. RapidCents’ own procesamiento es governed por Canadian federal y provincial Privacidad legislation y, para individuals en Estados Unidos, por applicable state Privacidad legislation. Clause D.1.2(d) de el Services Agreement places responsibility para compliance con el Reglamento General de Protección de Datos (RGPD) y el California Consumer Privacidad Act en el comerciante dónde el comerciante deals con Clientes desde those jurisdictions. Este Addendum does no offer un transfer instrument o un set de standard contractual clauses drawn desde un regime ese does no bind RapidCents. Dónde un Estados Unidos state Privacidad law applies a el comerciante, clause 15 states qué RapidCents undertakes as its processor o service provider.

2. Definitions

El Términos below have el meanings given here. Dónde un term es defined en el Services Agreement, este Addendum uses it con el same meaning, so ese un word does no change sense entre el two documents; dónde un term es used en el Privacidad Policy, it es used here en el same sense as well.

• “Services Agreement” means el RapidCents Services Agreement published en/legal/terms, including cada policy y document incorporated into it por reference. “Services”, “Cliente”, “Transacción”, “Secondary User”, “Adquirente” y “Associations” each have el meaning ese agreement gives them.
• “Cliente Data” has el meaning given en clause D.1.1 de el Services Agreement: información personal o data relating a el comerciante’s Clientes ese es collected, processed o stored en connection con el Services, including names, addresses, email addresses, telephone numbers, tarjeta de pago information, banco cuenta details, purchase histories y otro transacción-related information.
• “Datos del titular de la tarjeta” has el meaning given en el Services Agreement: el número de cuenta, expiry date, titular de la tarjeta name y service code de una tarjeta de pago, together con authentication data such as un valor de verificación de tarjeta (CVV) o PIN. Section 2 de el Seguridad Estado de cuenta states que de those elements son stored y que son never stored en all.
• “Transacción Data” has el meaning given en clause D.3.1 de el Services Agreement: data relating a Transacciones processed mediante el Services.
• “Información personal” means information Acerca de un identifiable individual, que es el term Canadian Privacidad legislation uses. Dónde este Addendum says “personal data” it means el same thing.
• “Controller” means el party ese decides el purposes y el means de un procesamiento activity y answers para it. “Processor” means un party ese processes información personal en un controller’s behalf, en its instructions, y decides nothing Acerca de it para itself. Both words appear here because they son el words un reviewer looks para; clauses 13 a 15 give el Términos el applicable statutes actually use.
• “Subprocessor” means un third party RapidCents engages a process Cliente Data as part de providing el Services.
• “Data subject request” means un request por un individual a exercise un right applicable Privacidad legislation gives them over su own información personal — access, correction, deletion, portability, retiro de consentimiento, de-indexing — as section 8 de el Privacidad Policy describes.
• “Incident” covers both un breach de seguridad safeguards, el term PIPEDA uses, y un confidentiality incident, el term Quebec’s Law 25 uses para unauthorized access a, use de o communication de información personal, its loss, o any otro breach en its protection.

3. Cómo este addendum fits el Services Agreement

Este es part de su contrato de servicios de comercio, no un separate contract. If el two ever disagree, el contrato de servicios de comercio wins. If este y el Privacidad policy read differently, este document settles qué nosotros owe usted y el Privacidad policy settles qué nosotros tell el individual. Nothing here takes away un right el Privacidad law gives un person.

Este Addendum forms part de el Services Agreement y does no replace it. It es written a ser read together con Section D de ese agreement, que it explains y applies rather than amends.

Dónde un term de este Addendum y un term de el Services Agreement conflict y cannot ser read together, el Services Agreement governs. Clause 4 sets out cómo two clauses de Section D ese would otherwise appear a conflict con one another — D.1.1 y D.3.1 — son read together, que es why ese tie-break es no reached en el one place un reader es likeliest a look para it.

Dónde este Addendum y el Privacidad Policy describe el same procesamiento differently, este Addendum governs as entre RapidCents y el comerciante, y el Privacidad Policy governs qué RapidCents tells el individual y qué el individual may rely en. El test es quién es being addressed, no que de el two roles el procesamiento falls under: el role es el question clause 4 exists a answer, so un tie-break ese turned en it would decide nothing en el one case dónde el two documents actually differ. Dónde este Addendum y el Seguridad Estado de cuenta describe el same control differently, el Seguridad Estado de cuenta governs, because it es el operative description de el controls y este Addendum deliberately does no restate them, as clause 9 explains.

El disclaimer de warranties en clause E.4, el limitation de liability en clause E.5, el indemnity en clause E.6, el arbitraje agreement en clause E.7 y el individual-proceedings provision en clause H.10 apply a este Addendum as they apply a el rest de el Services Agreement. Este Addendum does no create un separate liability cap y does no raise o lower el one en clause E.5.

Nothing en este Addendum limits un right un individual has under applicable Privacidad legislation, y nothing en it es un waiver de un obligation either party owes under ese legislation.

4. El two roles, divided por activity

Para anything nosotros do because usted told us a, usted son en charge y nosotros act para usted. Para el things nosotros do en nuestro own cuenta — verifying quién usted son, screening sanctions, reporting a FINTRAC, managing nuestro own fraud y riesgo crediticio, answering la tarjeta networks — nosotros son en charge, because those son ours a decide en y a answer para rather than yours, y several de them son obligations el law puts en us directly ese usted could no instruct us out de. El contrato de servicios de comercio now says el same thing: clause D.1.1 carries el division y points here para el detail, so este es su agreement rather than un promise standing beside it.

Clause D.1.1 de el Services Agreement states ese el comerciante es el responsable del tratamiento de datos para Cliente Data y ese RapidCents acts as un encargado del tratamiento de datos en el comerciante’s behalf, except para el activities RapidCents carries out en its own cuenta, para que it acts as un controller y que este clause identifies. Clause D.3.1 de el same agreement lists six purposes para que RapidCents may collect, use y share Transacción Data. El first, en D.3.1(un), es procesamiento pagos y providing el Services. El otro five son detecting y preventing fraud, seguridad breaches y otro harmful activity; conducting risk assessment y evaluación de admisión y riesgos; analysing usage patterns y improving el Services; complying con legal obligations including anti-money-laundering y know-su-cliente requirements; y aggregating y anonymizing data para industry benchmarking, analytics y research.

Sin ese exception el two clauses would no describe el same relationship, que es why el exception es there. UN clause stating solo ese RapidCents processes en el comerciante’s instruction describes procesamiento carried out para el comerciante y para nothing else. D.3.1 describes ese same procesamiento en D.3.1(un), y then five further purposes RapidCents decides en y carries out para itself, some de que it es legally obliged a carry out y none de que un comerciante could lawfully instruct it a stop. El exception en D.1.1 es qué lets el two ser read together, y este clause es dónde el division it refers a es set out en full.

Este Addendum reads el two together por dividing el roles according a el activity rather than according a el data. UN single record — una transacción record, para example — puede ser processed por RapidCents en both capacities en different moments y para different reasons, y it es el reason para el procesamiento, no el field it sits en, ese fixes el role. Section 3 de el Privacidad Policy starts desde un different question — whose information es it — y en its own ese question would put everything Acerca de un comerciante’s Clientes en el processor side. It does no, because section 3 carries el same carve-out: several de el controller activities listed below reach un Cliente’s information, y section 3 says so y points here. Read together, este clause es el fuller estado de cuenta de el division y section 3 es el estado de cuenta addressed a el individual, que es el order clause 3 sets.

El division es as follows. RapidCents acts as un processor, en el comerciante’s documented instructions y para no purpose de its own, para el activities marked “Processor” below; it acts as un controller, en its own cuenta y no en el comerciante’s instruction, para those marked “Controller”:

• Processor. Authorizing, routing, capturing, settling y reconciling un Transacción el comerciante submits, y applying un reembolso, anulación o credit el comerciante instructs.
• Processor. Storing un pago credential as un token en la tarjeta vault dónde el comerciante has asked para ese credential a ser kept para un later charge, y charging it cuando el comerciante instructs.
• Processor. Producing invoices, pago links, facturación recurrente schedules y receipts desde el content el comerciante supplies, y presenting página de pago alojada, pago pages y terminal prompts a el comerciante’s Clientes en el configuration el comerciante selects.
• Processor. Compiling el comerciante’s own reporting, estados de cuenta, exports y dashboard views de its Cliente Data.
• Processor. Operating el risk tools el comerciante has configured a act automatically en its behalf, que clause H.8 de el Services Agreement states act en el comerciante’s instruction y para whose settings y outcomes el comerciante es responsible.
• Processor. Retaining, restricting, correcting, returning o deleting Cliente Data en el comerciante’s direction, subject a clause 18.
• Controller. Verifying el identity de el comerciante, its directors y its beneficial owners, y screening them y el parties a un Transacción against el sanctions lists named en clause H.3 de el Services Agreement. Clause 13 sets out el registrations ese make este RapidCents’ own obligation.
• Controller. Monitoreo de transacciones, transacción sospechosa reporting, y any otro report RapidCents es required o permitted a make a un regulator o un law enforcement authority — que clause H.3 records RapidCents may ser prohibited por law desde telling el comerciante it has made.
• Controller. RapidCents’ own prevención del fraude, risk scoring, evaluación de admisión y riesgos, reserve y abono de fondos al comercio decisions, y el controls clause H.8 describes as operated para RapidCents’ own cuenta y en el interests de el Adquirente, el Associations y otro comerciantes rather than para el comerciante’s benefit.
• Controller. Reporting a y responding a el Adquirente, el Associations y RapidCents’ regulators, including contracargo y re-presentación de transacción handling, fines y assessments, y el investigación forense process en clause D.2.3.
• Controller. Meeting RapidCents’ own record-keeping, tax, audit y PCI DSS obligations, defending its own legal claims, y operating y securing el platform itself, as el Seguridad Estado de cuenta describes.
• Controller. Administering el comerciante relationship: onboarding, Soporte, billing, collections y el communications described en clause D.3.2 de el Services Agreement.
• Controller. Analysing usage patterns a improve el Services under clause D.3.1(d), y producing aggregated y anonymized benchmarking, analytics y research under clause D.3.1(f).

El distinction es no un drafting convenience. Dónde RapidCents es un controller it cannot accept un instruction desde el comerciante a stop, it answers a el individual y a el regulator itself, y el comerciante es no made answerable para qué RapidCents decides. Dónde RapidCents es un processor it may decide nothing para itself, y el comerciante remains el party el individual deals con. Clause H.8 de el Services Agreement states el same division en el operational side: un risk tool el comerciante configures acts en el comerciante’s instruction, while el risk, fraud, sanctions y compliance controls RapidCents operates para its own cuenta son expressly no operated para el comerciante’s benefit.

UN reviewer es entitled a know qué standing este clause has. Clause D.1.1 carries el same division y refers a este clause para it, so el two son read together y el tie-break en clause 3 — under que el Services Agreement would govern un conflict ese cannot ser resolved por reading — es no reached. RapidCents gives el division as un undertaking a el comerciante as well, que es qué puts it en el comerciante’s hands rather than leaving it as un description: RapidCents does no rely en clause D.1.1 a disclaim el controller obligations described above, y does no rely en este clause a reduce el processor obligations clause D.1.3 imposes.

5. El particulars de el procesamiento

Este es el table un reviewer turns a first: qué nosotros process, why, para cómo long, Acerca de whom, y que fields.

El tables below set out el particulars de el procesamiento RapidCents carries out as el comerciante’s processor under clause 4. They describe el Services as RapidCents provides them; qué actually occurs para un given comerciante depends en que de el Services ese comerciante uses y cómo it has configured them.

Particulars de el procesamiento RapidCents carries out as processor

Particular	Qué applies
Subject matter	Provision de el Services a el comerciante under el Services Agreement: accepting, authorizing, routing, capturing, settling, reconciling, refunding y reporting el pagos el comerciante takes desde its Clientes, y el comerciante’s use de el dashboard, terminal virtual, página de pago alojada, pago links, invoicing, facturación recurrente, point-de-sale software, terminals, APIs y SDKs.
Duration	Para el term de el Services Agreement, que clause F.1.1 sets as month a month con no fixed o minimum term until either party terminates it, y después de termination solo para as long as clause 18 y el retention el law independently requires allow. Este Addendum has no separate term.
Nature de el procesamiento	Collection, recording, organization, structuring, storage, tokenización, retrieval, consultation, use, transmission a y desde el Adquirente y el Associations, revelación de información a el recipients listed en section 6 de el Privacidad Policy, restriction, erasure y destruction, carried out por automated means.
Purpose de el procesamiento	Providing el Services en el comerciante’s documented instructions, as clause D.1.3(un) requires y as clause 7 defines those instructions. No otro purpose. Procesamiento RapidCents carries out para its own purposes es listed en clause 4 y es carried out as un controller, no para el comerciante.
Location de el procesamiento	Canada y Estados Unidos, together con el procesamiento country el subprocessor register published en section 9 de el Subprocessors page en/legal/subprocessorsstates para un provider, dónde it states one. Clause 12 states el cross-border position y el route para asking dónde el register leaves ese cell blank.
Frequency	Continuous para el term de el Services Agreement, y en real time para autorización y liquidación.

El procesamiento RapidCents carries out as un controller — verificación de identidad, verificación de sanciones, regulatory reporting, its own fraud y risk management, network reporting y el otro activities listed en clause 4 — es no covered por este table. Sections 4, 5 y 7 de el Privacidad Policy describe it.

Categories de data subject y de personal data processed as processor

Category de data subject	Categories de personal data
El comerciante’s Clientes — el cardholders y payers desde whom el comerciante accepts pago	Name; dirección de facturación y, dónde el comerciante collects it, dirección de envío; email address; telephone number; la tarjeta de pago o banco cuenta details used, held as el Seguridad Estado de cuenta describes; el billing postal code used para address verification; la transacción amount, moneda, date y time; el approval o decline result y its reason; el marca de tarjeta y last four digits; el token ese stands en para la tarjeta credential; el order, factura, receipt y product description el comerciante submits; purchase history; el device, channel y IP address dónde el comerciante’s integration transmits them; y correspondence Acerca de una transacción, reembolso o disputa.
Individuals named en el comerciante’s own records submitted mediante el Services — para example un Contacto named en un factura, un recipient named para delivery, o un person named en un Soporte ticket	Name; Contacto details; y whatever else el comerciante chooses a record Acerca de them en el fields it completes.

El Services do no require sensitive información personal. RapidCents does no ask para y does no need health, biometric, racial o ethnic origin, political, religious, trade union, sexual life o criminal record information en order a process un pago, y un comerciante should no transmit it mediante un free-text field. Dónde un comerciante does so, it does so en its own instruction y remains el controller de it. Información personal Acerca de el comerciante itself, its personnel, its directors y its beneficial owners es processed por RapidCents as un controller y es described en section 4 de el Privacidad Policy rather than here.

Part 2 — Qué each party undertakes

6. El comerciante’s obligations as controller

Usted decide qué es collected y why, so usted need el lawful basis o el consentimiento, y usted need a have told su clientes — en su own Privacidad notice — ese un procesador de pagos will see su information.

Clause D.1.2 de el Services Agreement sets out qué el comerciante owes as controller. Este clause restates it, because un comerciante reviewing este Addendum should no have a hold two documents open, y states cómo each obligation applies under Canadian Privacidad legislation. It imposes no obligation el comerciante has no already accepted under el Services Agreement.

• Rights, permissions y consents. El comerciante must have all necessary rights, permissions y consents a collect, process, use y share Cliente Data con RapidCents y its service providers, as clause D.1.2(un) requires y as clause E.3(e) es warranted. Under Canadian Privacidad legislation ese means un lawful basis para el collection y, dónde consentimiento es ese basis, un meaningful consentimiento: el individual must reasonably understand qué es collected, why, y a whom it es disclosed.
• El comerciante’s own Privacidad notice. El comerciante must give its Clientes un clear y accurate Privacidad notice disclosing cómo su information will ser used, including ese it es shared con RapidCents para procesamiento de pagos, as clause D.1.2(b) requires. RapidCents’ Privacidad Policy es no un substitute: it describes RapidCents’ procesamiento, no el comerciante’s.
• Lawful instructions, y minimizing qué es sent. El comerciante must no instruct RapidCents a process Cliente Data en un way ese would put either party en breach de applicable Privacidad legislation, el Network Rules o el Acceptable Use Policy, y should no transmit información personal el Services do no need. UN free-text field — un factura line, un product description, un Soporte ticket — es no un safe place para sensitive information, y qué el comerciante puts there es qué el comerciante has instructed RapidCents a process.
• Its own safeguards. El comerciante must implement appropriate technical y organizational measures a protect el Cliente Data under its own control, as clause D.1.2(c) requires, y must meet el seguridad obligations en clause D.2, including its own PCI DSS validation. Section 11 de el Seguridad Estado de cuenta sets out dónde RapidCents’ controls stop y el comerciante’s begin.
• Compliance con Privacidad legislation. El comerciante must comply con applicable Privacidad y data protection legislation, including PIPEDA, provincial Privacidad legislation y, dónde it deals con Clientes desde those jurisdictions, el Reglamento General de Protección de Datos (RGPD) o el California Consumer Privacidad Act, as clause D.1.2(d) requires.
• Telling RapidCents Acerca de un incident. El comerciante must promptly notify RapidCents de any actual o suspected filtración de datos affecting Cliente Data, as clause D.1.2(e) requires, y must follow clause D.2.3 dónde tarjeta data may ser involved. Clause 16 sets out both routes.
• Answering its own Clientes. El comerciante must respond a y fulfil access requests, deletion requests y otro rights exercised por its Clientes, as clause D.1.2(f) requires. Clause 10 sets out qué RapidCents does a help.

7. RapidCents’ obligations as processor

Cuando nosotros son working para usted, nosotros do qué usted tell us y nothing else. Su instructions son el agreement, este addendum, y el settings y calls usted actually make.

Clause D.1.3 de el Services Agreement sets out qué RapidCents owes as processor. Este clause restates those obligations y states qué counts as un instruction, because “documented instructions” es el term ese decides disputes y es rarely defined.

RapidCents processes Cliente Data solo para el purposes de providing el Services y en accordance con el Services Agreement y el comerciante’s documented instructions, as clause D.1.3(un) requires. El comerciante’s documented instructions son:

• el Services Agreement, este Addendum y el otro documents incorporated into el Services Agreement;
• el configuration el comerciante selects en el panel de control del comercio, including its integration method, its stored-credential settings, its facturación recurrente schedules, its receipt y descriptor settings, y el risk tool settings clause H.8 describes as acting en el comerciante’s instruction;
• each API call, terminal transacción, terminal virtual entry, enlace de pago, factura y dashboard action el comerciante o un Secondary User submits; y
• any further instruction el comerciante gives en writing under clause F.3 de el Services Agreement, que RapidCents will follow dónde it es lawful y technically feasible.

RapidCents does no process Cliente Data para its own purposes en its processor capacity. It does no sell información personal, does no use titular de la tarjeta transacción detail a build advertising profiles, y does no disclose one comerciante’s data a another; section 5 de el Privacidad Policy states el last two. Procesamiento RapidCents carries out en its own cuenta es listed en clause 4, es carried out as un controller, y es neither authorized por nor attributable a el comerciante.

If RapidCents forms el view ese un instruction desde el comerciante would breach applicable Privacidad legislation, it will tell el comerciante rather than carry it out silently, y it may decline a act en el instruction until el point es resolved.

RapidCents will implement appropriate technical y organizational seguridad measures a protect Cliente Data, as clause D.1.3(b) requires y as clause 9 describes; will ensure ese personnel authorized a process Cliente Data son bound por appropriate confidentiality obligations, as clause D.1.3(e) requires y as clause 8 describes; will assist el comerciante so far as reasonably possible en responding a data subject requests, as clause D.1.3(c) requires y as clause 10 describes; will notify el comerciante sin undue delay en becoming aware de un filtración de datos affecting Cliente Data, as clause D.1.3(d) requires y as clause 16 describes; y will return o delete Cliente Data en termination except dónde retention es required por law, as clause D.1.3(f) requires y as clause 18 describes.

8. Confidentiality de personnel

Personnel authorized a process Cliente Data son bound por appropriate confidentiality obligations, as clause D.1.3(e) de el Services Agreement requires. El confidentiality provision en clause E.2 binds each party en respect de el otro’s Confidential Information, y Cliente Data es treated as el comerciante’s Confidential Information para ese purpose.

Confidentiality es enforced por access control rather than por undertaking alone. Access es granted por role, so ese un role carries el access its work requires y no más; autenticación multifactor (MFA) es required para staff y es no un option un user puede decline; internal systems son reached over un VPN ese exposes un limited selection de systems rather than el environment as un whole; y access a comerciante data por authorized RapidCents staff es logged, producing un rastro de auditoría ese puede ser reviewed después de el fact. Sections 2 y 4 de el Seguridad Estado de cuenta describe those controls.

UN person quién does no need Cliente Data para el task en front de them es no given access a it. Data belonging a different comerciantes es logically separated y es no accessible entre comerciantes, as section 2 de el Seguridad Estado de cuenta states.

9. Security measures

Nosotros son no going a describe nuestro seguridad twice. El Seguridad Estado de cuenta es el description; este addendum points en it so el two cannot drift apart.

RapidCents implements appropriate technical y organizational seguridad measures a protect Cliente Data, as clause D.1.3(b) de el Services Agreement requires. Those measures son described en el Seguridad Estado de cuenta, que es incorporated into este Addendum por reference y es el operative description de them.

Este Addendum does no restate el controls. UN second description en un second document es un description ese will fall out de step con el first, y un comerciante relying en el stale one es relying en something ese es no longer true. El Seguridad Estado de cuenta covers cómo tarjeta data es handled y qué es never stored en all, cifrado de datos en tránsito y en rest, access control y authentication, network y infrastructure seguridad, monitoreo y intrusion detection, seguro development y change control, testing y independent assessment, y backup y continuity.

Two points bear directly en el comerciante’s own assessment y son worth stating here. RapidCents es un PCI DSS Level 1 service provider, y clause D.2.1 requires both parties a comply con PCI DSS cuando handling Datos del titular de la tarjeta. Y el controls described en el Seguridad Estado de cuenta cover el RapidCents platform: they do no extend a el comerciante’s networks, devices, staff o software, y they do no discharge el comerciante’s own PCI DSS obligations, as section 11 de el Seguridad Estado de cuenta y clauses D.2.1(un) y D.2.2 make plain.

Dónde un reviewer needs evidence rather than un description, clause 17 sets out cómo it es obtained.

10. Assisting con requests desde individuals

Su cliente asks usted, no us. If they come a us, nosotros point them back a usted y tell usted they did. Most de qué they puede ask para, usted puede do yourself en el dashboard.

UN Cliente’s request Acerca de information el comerciante controls es el comerciante’s a answer, as clause D.1.2(f) de el Services Agreement provides y as section 3 de el Privacidad Policy explains a el individual. RapidCents assists; it does no answer en el comerciante’s behalf.

Assistance takes three forms, en este order:

• El dashboard first. Most requests puede ser met por el comerciante sin involving RapidCents: el comerciante puede retrieve y export la transacción, factura y cliente records it holds, correct un record it maintains, y delete un cliente record — que removes el stored pago credential held as un token en la tarjeta vault, as section 7 de el Privacidad Policy states.
• Then un request a RapidCents. Dónde el request cannot ser met desde el dashboard, RapidCents assists el comerciante so far as reasonably possible, as clause D.1.3(c) requires. Requests go a el Privacidad Officer en el address en clause 19, o en writing a[email protected]. RapidCents will respond en time para el comerciante a meet its own statutory deadline dónde el comerciante tells it qué ese deadline es, so un request should ser forwarded promptly rather than en el end de el comerciante’s own response period.
• UN request ese reaches RapidCents directly. Dónde un individual contacts RapidCents Acerca de information RapidCents processes para un comerciante, RapidCents tells el individual a Contacto el comerciante, as section 12 de el Privacidad Policy directs, y informs el comerciante de el request. RapidCents will no disclose, correct o delete ese information en el individual’s instruction alone, because it es no RapidCents’ decision a make.

Two limits apply, y both son real rather than defensive. RapidCents may verify quién es asking antes de disclosing anything, so ese información personal es no disclosed a someone else; y un deletion request cannot reach information RapidCents es independently required a retain, que clause 18 describes.

Dónde el request concerns procesamiento RapidCents carries out as un controller — el activities listed en clause 4 — el individual deals con RapidCents directly, y section 8 de el Privacidad Policy sets out el rights ese apply y el commitment a respond within thirty (30) days.

11. Subprocessors

Nosotros use otro companies a run parts de el service. El Subprocessors page publishes qué kinds de Empresa they son y qué each puede reach, y section 9 de it publishes el register ese names them y says qué each does. Ese register es no el whole supply chain, y el current full list es yours a obtain por el route ese page gives. They son bound a el same standard nosotros son, y nosotros stay answerable a usted para them.

El comerciante authorizes RapidCents a engage Subprocessors a process Cliente Data as part de providing el Services. Clause D.1.2(un) de el Services Agreement contemplates este, por requiring el comerciante a hold el rights, permissions y consents necessary a share Cliente Data con RapidCents y its service providers.

El Subprocessors page en/legal/subprocessorses el authoritative estado de cuenta de el categories RapidCents engages, qué each category puede reach, y el commitments made Acerca de cada subprocessor antes de it es engaged. El names son held en un maintained register, que states para each provider its category, qué it es engaged a do y, dónde el register states one, el country en que it processes. Section 9 de ese page publishes el register, states ese it es complete as a el parties it names y ese it es no el whole supply chain, carries el date it fue last reviewed together con el undertaking RapidCents gives Acerca de reviewing it, y sets out el routes por que el current full list es obtained — en whatever form un review needs, including as un appendix a este Addendum. Este Addendum restates neither el categories nor el register, so ese el two cannot fall out de step.

Cada service provider ese handles información personal para RapidCents es bound por contract a use it solely para el service it provides a RapidCents, a protect it, y a return o delete it cuando el engagement ends, as section 6 de el Privacidad Policy states. RapidCents assesses el Privacidad implications antes de entrusting información personal a un provider en another jurisdiction, as clause 12 describes. RapidCents remains responsible a el comerciante para un Subprocessor’s procesamiento de Cliente Data as it es para its own.

El Adquirente, el Associations y el issuing banks son no Subprocessors. They receive Transacción Data as participants en el sistema de pagos rather than as service providers acting en RapidCents’ instructions, y they handle it under su own rules, including el Visa y Mastercard operating regulations, as section 6 de el Privacidad Policy states. RapidCents does no control su procesamiento y does no undertake para it. Section 9 de el Subprocessors page names them all el same, en un table set apart desde el register y labelled con su own role, because un comerciante asking quién receives its data es asking Acerca de el pago path rather than Acerca de un classification. El same es true de un third-party integration el comerciante chooses a connect, que es governed por ese provider’s own Términos.

Notice de un change, y qué un comerciante puede do if it objects, son governed por section 10 de el Subprocessors page y son adopted into este Addendum rather than restated differently here: thirty (30) days’ notice antes de un change ese materially affects cómo información personal es handled, un objection made en writing a el Privacidad Officer o a[email protected], el complaint procedure en clause UN.6 de el Services Agreement dónde el objection es no resolved, y el freedom a close la cuenta — con no cargo por cancelación anticipada y no cancellation penalty de any kind, as clauses UN.4 y F.1.2 provide. RapidCents has no set un separate objection window, y este Addendum does no state one it does no have; el thirty (30) day notice period es el period en que a object.

Part 3 — Location, applicable law y transfers

12. Dónde procesamiento happens, y transfers across un border

Nosotros operate en Canada y Estados Unidos y use cloud providers, so su clientes’ information may ser processed outside el province o el country they live en. Cuando it es, ese country’s courts y authorities puede reach it. Nosotros do no pretend otherwise.

RapidCents operates en Canada y Estados Unidos y uses cloud infrastructure y service providers ese may store o process información personal outside el province o el country dónde un individual lives, including en Estados Unidos. Dónde ese happens, el information es subject a el laws de ese jurisdiction y may ser accessible a its courts, its law enforcement y its national seguridad authorities. Section 9 de el Privacidad Policy states el same position a el individual.

RapidCents transfers información personal solo a providers bound por contract a protect it a un standard comparable a el one RapidCents applies. Ese es qué el accountability principle under PIPEDA requires de un organization transferring información personal a un third party para procesamiento: el information remains under el transferring organization’s control, y contractual o otro means must ser used a give it un comparable level de protection while it es being processed.

Antes de entrusting información personal a un provider outside Quebec, RapidCents conducts el Privacidad impact assessment Quebec’s Law 25 requires, as clause 14 describes. Dónde un comerciante needs a know el country en que un particular category de its data es processed, el subprocessor register published en section 9 de el Subprocessors page states el country para each provider it records one para, y leaves it visibly blank dónde it does no rather than supplying un country por inference. El country para un provider el register leaves blank es asked para, like el current full list itself, por el routes ese section sets out.

RapidCents does no publish un standard contractual clause set, un binding corporate rule, o un adequacy-based transfer instrument drawn desde un Privacidad regime ese does no bind it, y este Addendum does no incorporate one. UN comerciante whose own obligations require un specific transfer instrument should raise it en writing en[email protected]antes de relying en este Addendum.

13. Canada: PIPEDA y el provincial private-sector Acts

Este es el Canadian clause; clause 15 es Estados Unidos one, y un comerciante puede ser subject a both para different people. PIPEDA es el federal law ese applies a us, y Alberta, British Columbia y Quebec have su own. Two things follow para usted: nosotros stay accountable para information nosotros hand a un supplier, y nosotros have a report un breach a el Privacidad Commissioner y tell el people affected dónde it could really harm them. Nuestro FINTRAC y Banco de Canadá registrations son ours y no yours, que es why el checks they require sit en nuestro side de clause 4.

Este clause states el position under Canadian Privacidad legislation. It applies a un comerciante carrying en comercio en Canada, a procesamiento carried out en Canada, y a información personal Acerca de individuals en Canada. Clause 15 states el position under Estados Unidos state Privacidad legislation. El two son no alternatives: un comerciante may ser subject a both, para different individuals.

RapidCents es subject a el Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) (PIPEDA). Dónde un province has substantially similar legislation — Quebec, Alberta y British Columbia — ese legislation applies a activity within it: el Información personal Protection Act en Alberta y en British Columbia, y el Act respecting el protection de información personal en el private sector, as amended por Law 25, en Quebec. Section 2 de el Privacidad Policy states el same.

Three consequences de PIPEDA bear directly en este Addendum. Accountability: un organization remains accountable para información personal it transfers a un third party para procesamiento y must use contractual o otro means a provide un comparable level de protection, que clauses 11 y 12 record. Limiting use y revelación de información: información personal may ser used o disclosed solo para el purpose it fue collected para, unless el individual consents o el law requires o permits otherwise, que es why RapidCents’ processor procesamiento es confined a el instructions defined en clause 7 y its controller procesamiento es listed y justified en clause 4. Safeguards y breach reporting: un organization must protect información personal con safeguards appropriate a its sensitivity, must report un breach de seguridad safeguards a el Office de el Privacidad Commissioner de Canada y notify affected individuals dónde it creates un real risk de significant harm, y must keep un record de cada such breach. Clauses 9 y 16 address those.

El Alberta y British Columbia Acts impose materially similar obligations de consentimiento, limited use, safeguarding y accountability en organizations carrying en activities within those provinces, y Alberta additionally requires notification a its Commissioner dónde un loss de o unauthorized access a información personal creates un real risk de significant harm.

RapidCents es registered con el Banco de Canadá as un proveedor de servicios de pago (PSP) under el Ley de Actividades de Pagos Minoristas (RPAA) y con el Financial Transacciones y Reports Analysis Centre de Canada as una empresa de servicios monetarios under el Proceeds de Crime (Money Laundering) y Terrorist Financing Act, as clause H.3 de el Services Agreement records. El identification, record-keeping, monitoreo, sanctions-screening y reporting obligations those registrations carry son RapidCents’ own. They son el clearest illustration de el controller procesamiento described en clause 4, y no instruction desde un comerciante puede displace them. RapidCents también adheres a el principles de el Code de Conduct para el Credit y Tarjeta de débito Industry en Canada, as clause UN.9 provides.

14. Quebec: Law 25

If usted do comercio en Quebec, o su cliente es en Quebec, Law 25 applies en top. It requires este document a exist en writing, it requires un assessment antes de information leaves el province, y it gives people extra rights.

Dónde el comerciante carries en un enterprise en Quebec, o dónde un individual whose información personal es processed es en Quebec, el Act respecting el protection de información personal en el private sector, as amended por Law 25, applies en addition a qué clause 13 describes.

Law 25 requires ese dónde información personal es communicated a un person o body outside el enterprise en el course de performing un mandate o un service contract, el mandate o contract ser en writing, y ese it set out el measures el person must take a protect el confidentiality de el information, a use it solo para carrying out el mandate, y no a keep it once el mandate es complete. Este Addendum, together con clause D.1.3 de el Services Agreement y el Seguridad Estado de cuenta, es ese writing: clause 7 confines el use, clauses 8 y 9 state el confidentiality y seguridad measures, y clause 18 states qué happens en el end.

Law 25 también requires un Privacidad impact assessment antes de información personal es communicated outside Quebec, taking cuenta de el sensitivity de el information, el purposes para que it es a ser used, el protection measures it would carry, y el legal framework de el jurisdiction it would ser communicated a. RapidCents conducts ese assessment antes de entrusting información personal a un provider en another jurisdiction, as section 9 de el Privacidad Policy states, y un comerciante may ask el Privacidad Officer Acerca de RapidCents’ practices en este area.

Dónde un confidentiality incident presents un risk de serious injury, RapidCents notifies el affected individuals y el Commission d’accès à l’information as el law requires, y it keeps un register de confidentiality incidents, as section 10 de el Privacidad Policy states. Clause 16 sets out cómo notification works entre RapidCents y el comerciante.

Law 25 gives individuals en Quebec rights en addition a those described en clause 10, including el right a ser informed cuando un decision Acerca de them es made exclusively por automated procesamiento y a submit observations en it, y el right a have information de-indexed en el circumstances el Act provides. Section 8 de el Privacidad Policy records both. Dónde el automated decision es one el comerciante has configured — un risk tool acting en el comerciante’s instruction under clause H.8 — el comerciante es el party ese must inform el individual y receive el observations; dónde it es un decision RapidCents makes en its own cuenta, RapidCents es.

15. United States: state privacy legislation

If un US state Privacidad law applies a usted, este es el clause su counsel reads. Para el work nosotros do en su instruction nosotros son su processor o service provider: nosotros do no sell su clientes’ information, nosotros do no share it para cross-context advertising, y nosotros help usted answer el requests su clientes make. Para el work nosotros do en nuestro own cuenta nosotros answer a el individual ourselves. Que state exemptions su comercio puede claim es un question para su counsel y no para us.

Este clause states el position under Estados Unidos state Privacidad legislation. It applies dónde un comerciante es subject a un comprehensive state Privacidad law en respect de un given individual — most de those laws use el Términos controller y processor, y California uses comercio y service provider — y it applies en addition a clause 13, no instead de it, dónde both son engaged.

Para el procesamiento listed en clause 4 as processor procesamiento, RapidCents acts as el comerciante’s processor o service provider y, en ese footing:

• processes información personal solo para el comercio purposes specified en el Services Agreement y este Addendum, y en el comerciante’s documented instructions as clause 7 defines them;
• does no sell información personal y does no share it para cross-context behavioural advertising;
• does no retain, use o disclose información personal outside el direct comercio relationship entre RapidCents y el comerciante, o para any purpose otro than performing el Services, except dónde el law requires o permits it;
• does no combine información personal received desde el comerciante con información personal received desde another source, except as those laws permit — que includes qué es necessary a detect seguridad incidents y a prevent, detect y investigate fraud, y que es why el controller procesamiento en clause 4 es described there rather than presented as procesamiento carried out para el comerciante;
• assists el comerciante en responding a consumer requests a know, delete, correct, opt out y appeal, as clause 10 describes; y
• will tell el comerciante if it determines ese it puede no longer meet its obligations under el applicable state law.

Dónde RapidCents processes información personal as un controller o comercio en its own right — el activities listed en clause 4 — it answers a el individual directly para ese procesamiento, y section 8 de el Privacidad Policy describes el rights available y el appeal route ese applies.

Some de qué RapidCents does es regulated por Estados Unidos federal legislation directed en financial institutions y pago activity, including el Gramm-Leach-Bliley Act, as well as por state Privacidad legislation, y several state Privacidad laws exempt information o entities regulated under ese federal legislation. Este Addendum does no attempt a allocate those exemptions. Que de them applies a un given comerciante depends en ese comerciante’s own status, y ese es un determination para el comerciante’s counsel rather than para RapidCents.

Part 4 — Incidents, audit y el end de el relationship

16. Incidents affecting personal information

If something happens en nuestro side, nosotros tell usted sin undue delay, y nosotros tell usted qué nosotros know y qué nosotros do no yet know. Nosotros son no going a promise usted un number de hours ese no otro RapidCents document supports.

RapidCents notifies el comerciante sin undue delay en becoming aware de un filtración de datos affecting Cliente Data, as clause D.1.3(d) de el Services Agreement requires. Section 10 de el Seguridad Estado de cuenta states el same commitment operationally: dónde un incident affects un comerciante’s data o cuenta, RapidCents notifies el affected comerciantes sin undue delay y states qué es known, qué es no yet established, y qué el comerciante should do.

Este Addendum does no state un fixed number de hours para ese notification. Neither el Services Agreement nor el Seguridad Estado de cuenta fixes one, y un figure introduced here would ser un commitment el rest de RapidCents’ documentation does no carry. “Sin undue delay” means as soon as RapidCents es able a give el comerciante something it puede act en. It does no permit RapidCents a wait until un investigation es complete: un first notice ese says plainly qué es no yet known es el expected form.

UN notification will describe, so far as it es then known: el nature de el incident; el categories y approximate number de individuals y de records affected; el likely consequences; el measures taken o proposed a address el incident y mitigate its effects; y un Contacto point para further information. Dónde ese detail es no available en el time de el first notice, it es provided as it becomes available.

El obligation runs el otro way as well. El comerciante must promptly notify RapidCents de any actual o suspected filtración de datos affecting Cliente Data, as clause D.1.2(e) requires. Dónde tarjeta data may ser involved, clause D.2.3 requires el comerciante a notify RapidCents immediately de any suspected, alleged o confirmed Compromised Data Evento, regardless de its source y including one affecting el comerciante’s own third-party service providers, por emailing both[email protected]y[email protected]. Ese obligation es immediate, y no RapidCents document converts it into un outer limit expressed en hours: section 10 de el Seguridad Estado de cuenta states el same requirement en el same Términos. Clause D.2.3 también requires el comerciante no a alter o destroy related records, a cooperate fully con un forensic vendor approved por un Association, y a bear el costs de el investigation.

Notification a un regulator follows el role. RapidCents makes el reports it es required a make as un controller, including a el Office de el Privacidad Commissioner de Canada under PIPEDA y a el Commission d’accès à l’information under Law 25, y a el Adquirente y el Associations as law y el Network Rules require; it keeps el record de breaches PIPEDA requires y el register de confidentiality incidents Law 25 requires, as section 10 de el Privacidad Policy states. Dónde el comerciante es el controller de el affected information, el decision a notify its Clientes y its own regulators es el comerciante’s y es el comerciante’s a make en time. RapidCents provides el information el comerciante reasonably needs en order a make it.

Notification de un incident es no un admission por either party ese it caused el incident o ese it failed en un obligation.

17. Audit rights, y cómo they son satisfied

Read el published material first — el seguridad page, el PCI page, el subprocessors page y el Trust Centre. Most reviews end there. Un en-site audit es el last resort, no el opening request.

UN comerciante es entitled a satisfy itself ese RapidCents es meeting el obligations en este Addendum. RapidCents meets ese entitlement en un defined order, y el order matters: un en-site audit de una plataforma de pagos es disruptive, es de limited value a el comerciante compared con un independent assessment, y cannot ser given a cada comerciante en once.

• Independent attestation first. RapidCents es un PCI DSS Level 1 service provider. Maintaining ese status involves en-site audits, vulnerability scanning, external scanning por Approved Scanning Vendors y penetration testing against el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), as section 8 de el Seguridad Estado de cuenta records; penetration testing es carried out por el RapidCents seguridad team y por third-party professionals. Section 8 de el PCI Compliance page explains cómo a request RapidCents’ Atestación de cumplimiento (AOC).
• Then el published material. El Seguridad Estado de cuenta, el PCI Compliance page, este Addendum y el Subprocessors page son published so ese un review puede begin sin waiting en un response. El Trust Centre en/company/trustcarries el seguridad y diligence material un procurement o seguridad review works mediante.
• Then un written request. Dónde el published material y el attestation genuinely do no answer el question, el comerciante may make un reasonable written request para further information Acerca de el procesamiento carried out under este Addendum, addressed a[email protected]under clause F.3 de el Services Agreement. RapidCents will respond a un reasonable request.
• Un inspection last. Dónde applicable Privacidad legislation o un regulator requires el comerciante a carry out un inspection ese el steps above cannot satisfy, RapidCents will accommodate one en el conditions set out below.

Un inspection under este clause es arranged en writing en advance y conducted en un time ese does no disrupt el operation de el Services. It es limited a el systems, controls y records ese carry el comerciante’s own Cliente Data. It may no extend a another comerciante’s data, a información personal Acerca de another comerciante’s Clientes, a RapidCents’ own Confidential Information, o a anything RapidCents es prohibited desde disclosing por el Network Rules, por un regulator o por law. El auditor must ser independent, must no ser un competitor de RapidCents, y es bound por el confidentiality provision en clause E.2 de el Services Agreement; RapidCents may require el auditor a sign un confidentiality undertaking antes de access es given.

Cómo el cost de such un inspection es borne es agreed en writing cuando el inspection es arranged. Este Addendum does no fix it, because no RapidCents document fixes it y stating un figure here would create un charge ese does no exist.

Este clause runs en el comerciante’s favour solo. Clause H.4 de el Services Agreement gives RapidCents, el Adquirente, un Association y un regulator un separate y independent right a require records, production y un audit desde el comerciante, y nothing en este clause limits it.

18. Return o deletion de Cliente Data cuando el relationship ends

Export qué usted need antes de usted close la cuenta. Nosotros will delete el rest — except el records el law makes un procesador de pagos keep, que nosotros cannot delete para usted y will no pretend nosotros puede. Closing una cuenta costs nothing.

En termination de el Services, RapidCents returns o deletes Cliente Data en accordance con el Services Agreement, except dónde retention es required por law, as clause D.1.3(f) provides.

Return comes first, y it es largely en el comerciante’s hands. El comerciante puede export its transacción, liquidación, factura y cliente records desde el panel de control del comercio while it still has access, y it should do so antes de ese access ends: clause F.1.4 provides ese en termination el comerciante ceases using el Services y cada licence granted a it terminates. Dónde un export es needed después de ese point, el comerciante may request it en writing under clause F.3, y RapidCents will provide el Cliente Data it then holds en un commonly used format.

Deletion follows, y este es dónde un honest document has a qualify itself. RapidCents es un procesador de pagos, un registered proveedor de servicios de pago (PSP) y un registered empresa de servicios monetarios, y un substantial part de qué it holds es un record it es independently required a keep. It cannot delete ese record en el comerciante’s instruction, y este Addendum does no promise ese it will.

• Verificación de identidad y onboarding records son retained para el period required de un entidad obligada un reportar under Canadian anti-money-laundering legislation, que runs desde el end de el comercio relationship, as section 7 de el Privacidad Policy states.
• Transacción y liquidación records son retained para el period required para tax, audit y Red de tarjetas disputa purposes.
• UN record relating a un Transacción ese es el subject de un contracargo, un disputa, un investigation, un audit o un legal proceeding es retained until ese matter es finally resolved, que es el same rule clause H.4 de el Services Agreement imposes en el comerciante.
• Datos del titular de la tarjeta, dónde it es retained en all, es held para up a 24 months de inactivity, as section 2 de el Seguridad Estado de cuenta states. Tarjeta verification values, PINs, EMV chip data y magnetic-stripe data son no stored en any point y so son no part de este exercise.
• Marketing preferences y opt-outs son retained indefinitely, because un record de un opt-out es qué makes it possible a honour it.
• Data held en backups es removed en el ordinary rotation de those backups rather than en el day un deletion es executed. Databases son backed up daily, entre data centres y offsite, as section 9 de el Seguridad Estado de cuenta states. Data ese remains en un backup es subject a el same controls y es no returned a active use.

Data retained under este clause es processed solo para el purpose ese requires it a ser retained. It es no used a provide el Services a anyone else, es no used para RapidCents’ marketing, y remains protected por el controls described en el Seguridad Estado de cuenta para as long as it es held. Section 7 de el Privacidad Policy sets out el retention position en full.

Aggregated y anonymized data produced under clause D.3.1(f) es no returned o deleted under este clause, because once it no longer identifies any individual it es no longer información personal. Ese es un estado de cuenta Acerca de qué el data has become, no un route around deletion: information ese puede still ser re-identified es still información personal y es treated as such.

Closing una cuenta costs nothing. Clause F.1.2 provides ese el comerciante may terminate en any time por written notice, ese RapidCents charges no cargo por cancelación anticipada, y ese it imposes no penalty para closing una cuenta en any time. Este Addendum introduces no charge de any kind para el return o deletion de Cliente Data.

Termination does no end everything. Clause F.1.4 provides ese RapidCents may withhold funds o establish un Reserve para un reasonable period against potential contracargos, reembolsos, comisiones y fines, y ese el comerciante remains liable para obligations relating a Transacciones processed antes de termination. El obligations en este Addendum ese relate a retained Cliente Data survive para as long as RapidCents holds it.

19. Changes a este addendum, notices y Contacto

Clause D.1.4 de el Services Agreement incorporates el Privacidad Policy into ese agreement, y section 3 de el Privacidad Policy states ese este Addendum sets out el commitments governing RapidCents’ processor role. Este Addendum therefore applies a cada comerciante y binds RapidCents sin un separate signature. UN comerciante whose own procurement process requires un signed counterpart should write a[email protected].

RapidCents may revise este Addendum. El effective date y el date last revised appear en el head de este page y son no el same thing: el revision date changes con cada edit, el effective date solo cuando el substance de el commitments changes. Clause F.2 de el Services Agreement governs amendment de el agreement as un whole. Dónde un change materially affects cómo RapidCents handles información personal, notice es given en least thirty (30) days antes de it takes effect, por email o mediante el panel de control del comercio, as section 14 de el Privacidad Policy provides.

Notices a RapidCents under este Addendum son given en writing a[email protected], o por mail con return receipt requested a RapidCents Inc., Attention: Legal Department, 515 Consumers Road, Unit 210, North York, Ontario, M2J 4Z2, as clause F.3 de el Services Agreement requires. UN suspected o confirmed compromise de tarjeta data goes a both[email protected]y[email protected], as clause D.2.3 requires, y no a el legal address alone.

Privacidad questions, data subject requests y complaints go a el Privacidad Officer: Privacidad Officer, RapidCents Inc., 515 Consumers Road, Unit 210, North York, Ontario, M2J 4Z2, Canada, telephone+1-844-957-2743. En Estados Unidos: 43300 Southern Walk Plaza, #166, Ashburn, Virginia 20148, telephone+1-202-902-6226. If RapidCents’ response does no satisfy usted, section 8 de el Privacidad Policy names el regulators usted may complain a.

UN complaint Acerca de el Services rather than Acerca de Privacidad follows el escalation procedure en clause UN.6 de el Services Agreement, que begins con Soporte y escalates a el Executive Office.

Governing law

As clause E.7 de el Services Agreement ese applies a el comerciante provides: para un comerciante located en Estados Unidos, el laws de el State de Delaware, con disputes determined por individual arbitraje administered por el American Arbitraje Association; para cada otro comerciante, el Province de Ontario y el federal laws de Canada applicable therein, con disputes determined por arbitraje en Toronto, Ontario.