Subprocessors

UN subprocessor es un Empresa RapidCents engages a perform part de el Services, y que en doing ese work handles información personal RapidCents holds — including información personal un comerciante es responsible para. Este page explains qué un subprocessor es y cómo it differs desde un supplier usted engage yourself, el categories RapidCents engages y qué each puede reach, el commitments made Acerca de cada subprocessor antes de it es engaged, qué it means ese some procesamiento occurs outside Canada, el register naming el providers RapidCents engages y cómo a obtain el current full list, y qué usted puede do if usted object a un change.

1. Qué un subprocessor es

No plataforma de pagos runs entirely en its own machines. UN subprocessor es un Empresa nosotros engage ese ends up handling data usted son responsible para.

RapidCents does no perform cada part de el Services itself. El servers el platform runs en, el systems ese carry un message a el Tarjeta Networks, el checks ese verify un comercio en onboarding, el service ese delivers un email — some de ese es done por otro companies RapidCents engages. Dónde such un Empresa handles información personal RapidCents holds, it es un subprocessor.

El term follows desde clause D.1 de el Services Agreement y section 3 de el Privacidad Policy. Para información personal Acerca de un comerciante’s own clientes — Cliente Data, as D.1 defines it — el comerciante es el controller y decides qué es collected y why; RapidCents es el processor y handles it en el comerciante’s documented instructions; un subprocessor es un Empresa RapidCents en turn engages a perform part de ese procesamiento. Each link es bound por el one above it. Ese es el position para procesamiento RapidCents carries out en el comerciante’s instruction; clause 4 de el Data Procesamiento Addendum lists el narrower set de activities — verificación de sanciones, regulatory reporting y RapidCents’ own fraud y risk decisions among them — ese reach el same information but ese RapidCents carries out as un controller, que es why section 11 says este page sits underneath both roles.

UN subprocessor es no un supplier usted engage yourself. Un accounting package o un shopping-cart complemento (plugin) usted connect a su cuenta es engaged por usted: clause B.6 de el Services Agreement makes usted solely responsible para evaluating, selecting y implementing it, y states ese its availability mediante RapidCents implies no comercio relationship con el provider. Those son outside este page. Nor es cada third party ese touches un pago un subprocessor — el Adquirente y el Tarjeta Networks act para su own purposes under su own rules, as section 2 explains.

2. Qué este page covers, y qué it does no

Este page covers el categories de subprocessor RapidCents engages a provide el platform described en el Seguridad Estado de cuenta — el gateway, página de pago alojada, pago links, Rapid.js, el dashboard, la terminal virtual, invoicing y facturación recurrente, point-de-sale software, el terminals RapidCents supplies y el APIs y SDKs ese reach them — y el providers behind el public RapidCents websites. Four things it does no cover.

• El Adquirente y el Tarjeta Networks. Clause UN.2 de el Services Agreement names el Adquirente as Elavon, LLC y Elavon Canada Empresa, el institución financiera y Association member contracted por RapidCents a submit sales drafts y transacción information a el Associations y receive liquidación funding desde them. They son independent parties en el pago path, no processors acting en RapidCents’ instructions: section 6 de el Privacidad Policy records ese su handling es governed por su own rules, including el Visa y Mastercard operating regulations, y clause F.5 makes them third-party beneficiaries de el provisions ese concern them.
• Third-party services un comerciante chooses a connect, que clause B.6 addresses y section 1 above describes.
• Professional advisers. Auditors, lawyers y insurers receive information under un duty de confidence rather than as processors, as section 6 de el Privacidad Policy sets out.
• Disclosures compelled por law, que son un obligation rather than un procesamiento engagement y que no contract puede override. Clause H.3 records ese RapidCents’ obligations under el Proceeds de Crime (Money Laundering) y Terrorist Financing Act y el Ley de Actividades de Pagos Minoristas (RPAA) may require un report a un regulator o law enforcement sin notice, y sometimes sin RapidCents being permitted a say it has made one.

3. El categories de subprocessor RapidCents engages

Here son el kinds de Empresa nosotros engage y qué each one puede see. Que particular companies they son es qué el register en section 9 es para.

El categories set out en el table below correspond a el service-provider categories disclosed en section 6 de el Privacidad Policy. UN category states qué un provider es engaged a do y qué información personal it puede reach en doing it, que es el part ese determines el risk. El identity de el individual providers es held en el register described en section 9.

One de el categories en el table cannot ser declined while una cuenta es open. Verificación de identidad y verificación de sanciones exist because RapidCents es registered con el Financial Transacciones y Reports Analysis Centre de Canada as una empresa de servicios monetarios y con el Banco de Canadá as un proveedor de servicios de pago (PSP), y so carries obligations de its own para cliente identification, beneficial ownership, mantenimiento de registros, monitoreo de transacciones, verificación de sanciones y reporting, as clause H.3 states. Submitting un Transacción a el Adquirente y el Tarjeta Networks cannot ser declined either, because una transacción no submitted es no authorized — but ese submission es el pago path described en section 2 rather than un engagement RapidCents has given a un subprocessor, y el register en section 9 names no provider en el red de tarjetas y acquiring connectivity category.

Analytics y advertising measurement son different: un visitor a el public websites puede turn either off en any time con el “Cookie settings” control en el footer de cada page, que opens el cookie notice. En Estados Unidos y en Canada outside Quebec they run desde un visitor’s first page until el visitor turns them off; everywhere else they run solo once el visitor has accepted them, apart desde el cookieless signals Google’s tag sends whatever el visitor chooses; y un Global Privacidad Control signal turns advertising measurement off en cada region, as el Cookie Policy describes. Y dónde RapidCents performs un function itself, no category appears — section 7 de el Seguridad Estado de cuenta records ese its systems y applications son developed en-house, que es why software development es no un category en el table.

Categories de subprocessor, qué each es engaged a do, y qué it puede reach

Category	Engaged a do	Información personal it puede reach
Infrastructure y hosting	Operate el compute, storage, database y network el platform runs en, hold el daily backups, y deliver el public RapidCents websites y el assets un visitor’s navegador loads con them.	Any category held en el platform. Tarjeta numbers son held as tokens, y el sensitive fields listed en section 3 de el Seguridad Estado de cuenta son encrypted en rest. UN provider ese solo serves un asset a un visitor’s navegador reaches el technical information ese request carries y nothing held en el platform.
Red de tarjetas y acquiring connectivity	Carry la autorización, compensación, liquidación y disputa messages un Transacción generates a el Adquirente, que under clause UN.2 submits them onward a el Associations. El register en section 9 names no provider en este category: RapidCents submits Transacciones mediante its Adquirente, y este page does no assert un intermediary it cannot evidence.	Transacción information, y la tarjeta credential needed a authorize y settle it.
Verificación de identidad y verificación de sanciones	Verify un comercio y its beneficial owners en onboarding, y screen against sanctions y watch lists.	Comercio y identity information, including government identification dónde verification requires it.
Fraud y risk scoring	Score una transacción o una cuenta para risk, supply el device, velocity y behavioural signals el Risk Tools en clause H.8 use, y tell un person desde un automated submission en el forms el public RapidCents websites publish.	Transacción information, technical information Acerca de el device, session y channel, y, en un public form, el technical information un navegador sends cuando el check runs.
Communications delivery	Deliver el email, SMS y en-product messages RapidCents sends, including service, seguridad y billing notices.	Contacto information, marketing preferences, y el content de el message sent.
Support tooling	Run el ticketing, telephony, chat y knowledge systems mediante que RapidCents Soporte answers usted.	Contacto y cuenta information, y el content de Soporte communications, including recordings dónde usted son told un call es recorded.
Analytics	Measure cómo el public RapidCents websites son used: desde un visitor’s first page en Estados Unidos y en Canada outside Quebec unless el visitor turns el analytics category off, y elsewhere solo once el visitor has accepted it, apart desde el cookieless signals Google’s tag sends whatever el visitor chooses.	Technical information desde un visitor’s use de those websites — el pages viewed, cómo el visitor arrived y, para session recording, clicks, scrolling y pointer movement — as el Cookie Policy describes.
Advertising measurement	Measure que advertising brings comerciantes a el public RapidCents websites y que visits become enquiries: desde un visitor’s first page en Estados Unidos y en Canada outside Quebec unless el visitor turns el marketing category off, y elsewhere solo once el visitor has accepted it.	Technical information desde un visitor’s use de those websites y, cuando un enquiry o job application es stored, un hashed copy de its reference number y, para un enquiry solo y en el cases el Cookie Policy sets out, de el email address, phone number y name given en it.

El Adquirente y el Tarjeta Networks appear en el second row because they son el destination de el messages ese category carries. They son no themselves subprocessors, para el reason given en section 2, y they son named under su own role en el second table en section 9.

4. Qué RapidCents does antes de un subprocessor es engaged

Antes de un Empresa goes near su data nosotros assess it, put it under un written contract binding it a qué nosotros son bound a, limit it a el one job it fue engaged para, y require it a keep confidential qué it sees. These son conditions de engagement, no remedies applied después de un problem. El analytics y advertising services en nuestro public websites son el exception, y este section says cómo.

Five commitments apply a cada subprocessor, antes de it es engaged.

• Due diligence. RapidCents assesses un prospective subprocessor antes de entrusting información personal a it: el seguridad controls it operates, dónde y under qué legal framework it would process, y whether el work puede ser done con less información personal than it has asked para. Dónde it would process outside Canada, el assessment includes el Privacidad impact assessment described en section 7.
• UN written contract imposing equivalent obligations. UN subprocessor es engaged under un written contract binding it a protect el information a un standard comparable a el one RapidCents applies, a assist RapidCents en meeting its obligations under clause D.1, a notify RapidCents de un seguridad incident affecting ese information, y a return o delete qué it holds cuando el engagement ends. Section 6 de el Privacidad Policy states el same commitment.
• Limitación de finalidad. UN subprocessor may use el information solo para el service it provides a RapidCents — no para purposes de its own, no a build un profile o product de its own, y no para onward revelación de información except as el contract permits. Section 5 de el Privacidad Policy records ese RapidCents does no use titular de la tarjeta transacción detail a build advertising profiles y does no disclose one comerciante’s data a another. UN subprocessor es no un route around either.
• Confidentiality. Personnel authorized a process el information son bound por confidentiality obligations: clause D.1, item 1.3(e), requires ese de RapidCents, y RapidCents requires it en turn de un subprocessor. El definition de Confidential Information en clause E.2, y its four exceptions, apply a qué es disclosed under el Agreement.
• Least data, no all data. UN subprocessor receives el categories its function requires rather than el whole record. El table en section 3 states, para each category, qué un provider en it puede reach.

One exception es stated here rather than left a ser found. Google, Meta y Microsoft, que el register en section 9 names para el analytics y advertising measurement en el public RapidCents websites, provide those services under su own Términos, y qué each may do con qué it receives es set por those Términos. Meta may use qué it receives para its own purposes. El limitación de finalidad above es therefore no un description de those three engagements; section 4UN de el Privacidad Policy y el Cookie Policy state qué each receives y cómo un visitor turns it off.

RapidCents es validated as un PCI DSS Level 1 service provider, y requirement 12.8 de el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) applies a it directly: maintain un list de el third parties con que datos del titular de la tarjeta es shared, carry out due diligence antes de engaging one, hold un written agreement en que el third party acknowledges its responsibility para ese data, monitor each one’s compliance status, y record que requirements each party manages. RapidCents es assessed against those requirements.

5. Engaging un subprocessor does no move RapidCents’ obligations

Usted never have a chase un supplier de ours. Bring el request, el complaint o el incident a us; dealing con el provider es nuestro job.

Engaging un subprocessor does no divide RapidCents’ obligations entre RapidCents y el provider. El commitments en clause D.1, items 1.3(un) a 1.3(f), de el Services Agreement — procesamiento solo en el comerciante’s documented instructions, appropriate technical y organizational seguridad measures, assistance con data subject requests, notice sin undue delay de un filtración de datos affecting Cliente Data, personnel bound a confidentiality, y return o deletion en el end de el engagement — continue a ser owed a el comerciante por RapidCents, whichever Empresa performs el underlying work.

So un comerciante does no have a pursue un subprocessor. UN request, un complaint o un incident es raised con RapidCents, y RapidCents deals con el provider: section 12 de el Privacidad Policy gives el route para un Privacidad request, clause UN.6 el escalation path para un unresolved complaint, y section 10 de el Seguridad Estado de cuenta el handling de un incident affecting un comerciante’s data o cuenta.

El limitation de liability en clause E.5 continues a apply a those obligations y es neither enlarged nor narrowed por este page. El Data Procesamiento Addendum governs el point contractually, y clause 19 de ese addendum records ese it applies a cada comerciante y binds RapidCents sin un separate signature.

6. Procesamiento outside Canada

Some de el work happens outside Canada, including en Estados Unidos. While data es there it es subject a ese country’s laws, including access por its courts y authorities. No contract puede change ese, y nosotros would rather say so than let usted discover it.

RapidCents operates en Canada y en Estados Unidos, y some de el subprocessors it engages store o process información personal outside el province o el country en que el individual concerned lives, including en Estados Unidos. Section 9 de el Privacidad Policy records el same fact.

El consequence es worth stating plainly. While información personal es en another jurisdiction it es subject a ese jurisdiction’s laws, y may ser accessible a its courts, law enforcement agencies y national seguridad authorities mediante el legal processes available there. UN contract entre RapidCents y un subprocessor cannot displace el law de el place dónde el procesamiento happens, y este page does no suggest otherwise. Qué un contract puede do es bind el provider a un standard de protection, a limitación de finalidad, a confidentiality y a notification — el commitments en section 4, que es why el assessment en section 7 es made antes de un provider en another jurisdiction es engaged rather than después de. Dónde usted need a know el country un category de su data es processed en, el register en section 9 states it para each provider it records one para, y gives el route para asking dónde it does no.

7. Cross-border transfer under Canadian law

Canadian law does no forbid sending data abroad. It makes us stay accountable para it, put el protection en el contract, y ser open ese it happens. Quebec adds un assessment beforehand, un written agreement, y un duty a tell people en collection.

Este section y el next describe different regimes. Que one applies a un given piece de información personal turns en dónde el individual es, no en dónde el comerciante es incorporated. Nothing here asserts ese Canadian law governs un Estados Unidos comerciante’s data; section 8 es el position there.

En Canada, el Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) does no prohibit transferring información personal a un service provider en another country. It treats el transfer as un use para procesamiento y holds el transferring organization accountable para el information while it es en el provider’s hands, requiring contractual o otro means a provide un comparable level de protection. It también carries un openness obligation, que es why section 6 exists: un organization es expected a ser transparent ese información personal may ser processed en another jurisdiction y may ser accessible a ese jurisdiction’s courts, law enforcement y national seguridad authorities.

Para un individual en Quebec, el Act respecting el protection de información personal en el private sector, as amended por Law 25, goes further. Antes de información personal es communicated outside Quebec, un assessment de el Privacidad-related factors must ser carried out, taking into cuenta el sensitivity de el information, el purposes de its use, el protection measures — including contractual measures — ese would apply a it, y el legal framework de el jurisdiction dónde it would ser processed. It may ser communicated solo if ese assessment establishes ese it would receive adequate protection, y el communication must ser el subject de un written agreement ese takes el results de el assessment into cuenta. Law 25 también carries un separate transparency obligation ese el assessment does no satisfy: un person collecting información personal must inform el individual, en el time de collection, de el possibility ese it could ser communicated outside Quebec. Ese es why este page states ese some procesamiento occurs outside Canada rather than describing el safeguards alone.

Alberta’s Información personal Protection Act adds un requirement de its own: un organization using un service provider outside Canada must set out en its policies el countries outside Canada en que el collection, use o revelación de información takes place y el purposes para que ese provider has been authorized a act, y must tell individuals cómo a obtain ese information y whom a ask Acerca de it. Ese es why el register en section 9 carries un procesamiento country para each provider, states it dónde el register records one, leaves it visibly blank dónde it does no rather than supplying un country por inference, y sets out both whom a ask y cómo a obtain el current full list — que es el half de ese requirement un register en its own does no satisfy. British Columbia’s Act applies a activity en ese province y, like Alberta’s, holds un organization responsible para información personal it has placed en un service provider’s custody.

8. Cross-border transfer under United States law

US state Privacidad laws do no restrict sending data across un border. They regulate qué must ser en el contract con un provider y qué un Privacidad notice must disclose. Engaging un provider en those Términos es no un sale de su data.

En Estados Unidos there es no comprehensive federal Privacidad statute de general application, y el state comprehensive Privacidad laws now en force do no restrict el transfer de personal data outside el country as such. Qué they regulate es el contract y el notice.

UN controller ese engages un processor o service provider must have un written contract setting out el nature y purpose de el procesamiento, el type de personal data, el duration, y el rights y obligations de each party; binding el processor a un duty de confidentiality; requiring it a delete o return el data en el end de el engagement; requiring it a assist con seguridad y con consumer rights requests; y requiring any subcontractor it engages a ser bound por un written contract imposing el same obligations. El commitments en section 4 son written a meet ese standard. Those laws también require un comercio a disclose en its Privacidad notice el categories de third parties a que información personal es disclosed: este page y section 6 de el Privacidad Policy son ese revelación de información en el category level, y el register en section 9 supplies el identities it records, together con el route a el current full list.

Para un resident de un Estados Unidos jurisdiction con un comprehensive Privacidad statute, engaging un subprocessor ese es bound por el limitación de finalidad en section 4 es no un sale: it receives el information a perform un service para RapidCents y para no purpose de its own. El analytics y advertising measurement services en el public websites son no engaged en ese footing, as section 4 states; section 4UN de el Privacidad Policy describes qué they receive y cómo un visitor turns them off, y section 8 de ese policy sets out cómo such un resident exercises el rights those laws grant, including el right a appeal un decision en un request.

If usted son un Estados Unidos comerciante, el obligations en section 7 son no being asserted against usted. They son stated because RapidCents es un Canadian Empresa procesamiento información personal Acerca de individuals en Canada, y because un comerciante con Canadian clientes inherits un version de them mediante its own Privacidad notice.

9. El register, y cómo a obtain el current full list

El companies nosotros engage son named below, con qué each es engaged a do y, dónde el register states one, el country it processes en. El parties en el pago path quién son no nuestro suppliers son named too, en un second table, because usted son asking quién touches su data rather than cómo nosotros classify them. El register es complete as a el companies en it, it es no el whole supply chain, y el current full list es yours para el asking.

RapidCents maintains un register de el subprocessors it engages. Para each one it states el name de el provider, el category en section 3 it falls en, qué it es engaged a do, y, dónde el register states one, el country en que it processes — el information un Privacidad notice, un vendor questionnaire y un Alberta policy revelación de información each need, kept en one place so el three cannot diverge. It es published below, y un procesamiento country el register does no state es left visibly blank rather than supplied por inference; el routes set out below son cómo a ask para it.

El register es complete as a el parties named en it, y nothing has been added a make it read as fuller than it es. It es no el whole supply chain. RapidCents engages providers en el infrastructure y hosting, verificación de identidad y verificación de sanciones, communications delivery, Soporte tooling y analytics categories described en section 3 ese el register below does no name, y el Approved Scanning Vendors y third-party penetration testers described en section 8 de el Seguridad Estado de cuenta son no named there either. El current full list es provided en request, por el routes set out below. UN short register es no evidence de un short supply chain, y este page says so rather than letting el table imply otherwise.

Qué RapidCents undertakes Acerca de keeping el register current es este, y deliberately no más than este. El register carries el date it fue last reviewed, published beneath it. RapidCents reviews it whenever un provider en it es added, replaced o removed y, en any evento, en least once en cada twelve months, y republishes este page dónde un review changes it. Dónde un change materially affects cómo información personal es handled, section 10 applies y notice es given antes de it takes effect. RapidCents does no undertake ese este page reflects un change en el day el change es made. It undertakes ese el date de el last review es published beside el register, so ese cómo current el register es puede ser read rather than assumed.

A obtain el current full list, ask mediante/contact, por email a[email protected], o por writing a el Privacidad Officer en el address en section 12 de el Privacidad Policy. El same routes son cómo a ask para el country un provider processes en dónde el register leaves ese cell blank. It es supplied en whatever form el review needs — within un completed vendor seguridad questionnaire, as un appendix a un Data Procesamiento Addendum, o en its own. El Atestación de cumplimiento (AOC) para el PCI DSS Level 1 validation es no published; section 8 de el PCI Compliance page sets out cómo a request ese. Qué es published, y puede ser read sin asking anyone, es el rest de el material un seguridad o procurement review works mediante: el Seguridad Estado de cuenta, el Data Procesamiento Addendum, el Privacidad Policy, el Accessibility Estado de cuenta y el vulnerability revelación de información route, que el Trust Centre en/company/trustgathers en one place.

El second table names el parties en el pago path ese son no subprocessors. They son set out separately desde el register, y no inside it, because listing un Red de tarjetas as un subprocessor would represent ese RapidCents contracts para its handling de información personal y puede bring ese handling a un end; section 2 explains why neither es so. They son named all el same. UN comerciante asking quién touches its data es asking Acerca de el pago path rather than Acerca de un classification, y un page ese answered solo el classification would have withheld el answer.

Este page states el categories, el commitments y el law ese governs them; el register states quién. Holding el names en one maintained register rather than restating them across several documents es qué keeps el two desde falling out de step.

Subprocessor register: provider, category, engagement y procesamiento country

Provider	Category en section 3	Engaged a do	Procesamiento country
El content delivery network ese serves el site	Infrastructure y hosting	Serve el public RapidCents website desde un edge network. Cada request un visitor makes reaches it antes de it reaches RapidCents, so it necessarily receives el network address el request comes desde, el page requested y el identification el navegador sends. RapidCents también reads el country el network reports, en order a serve el Canadian o Estados Unidos site.	—
Cloudflare, Inc. (Turnstile)	Fraud y risk scoring	Run el bot-mitigation check el estado de cuenta comparison form en/Precios/comisión-checkpresents antes de un estado de cuenta es accepted y, dónde RapidCents has switched it en, el same check en el Contacto form y el job formulario de solicitud. El check runs en el visitor’s navegador, que contacts el provider directly y discloses a it el network address, el navegador identification y el interaction signals el check uses a tell un person desde un automated submission.	—
Google LLC (reCAPTCHA)	Fraud y risk scoring	Run el same bot-mitigation check, en el same form, dónde RapidCents’ configuration selects este provider rather than el otro. It reaches el same information, para el same purpose.	—
Google LLC (Google Fonts)	Infrastructure y hosting	Serve el typefaces el public RapidCents websites son set en. Dónde un page requests them desde el provider rather than desde RapidCents’ own servers, el stylesheet y el font files son requested por el visitor’s navegador directly, que discloses a el provider el navegador’s network address y el identification it sends con un request. It reaches nothing held en el platform.	—
Google LLC (Google Analytics y Google Tag Manager)	Analytics	Load el measurement tags en el public RapidCents websites y measure cómo those websites son used: page views, cómo visitors arrive, y el events el site reports — ese un enquiry o un job application fue sent y ese un link a RapidCents’ sign-up page o a its en línea ordering site fue followed. El visitor’s navegador contacts el provider directly, disclosing its network address, el page address, el referring page y el identification el navegador sends. While un visitor’s analytics category es off, el tag does no read o write el Google Analytics cookies.	Estados Unidos, y otro countries en que el provider operates
Google LLC (Google advertising)	Advertising measurement	Measure el Google advertising ese brings visitors a el public RapidCents websites, mediante el advertising signals de el Google tag, while un visitor’s marketing category es en: storing advertising cookies, receiving data Acerca de el visit para advertising, y using it a personalise advertising.	Estados Unidos, y otro countries en que el provider operates
Meta Platforms, Inc. (Meta pixel y Conversions API)	Advertising measurement	Measure el Meta advertising ese brings visitors a el public RapidCents websites, while un visitor’s marketing category es en. El visitor’s navegador sends el provider page views directly, y RapidCents’ server sends el same events, y un Lead o SubmitApplication evento cuando un enquiry o un job application es stored, con el page address, el provider’s navegador identifiers, el network address, el navegador identification, un hashed reference number y, para un enquiry solo y en el cases el Cookie Policy sets out, un hashed email address, phone number y name.	Estados Unidos, y otro countries en que el provider operates
Microsoft Corporation (Clarity)	Analytics	Record cómo pages en el public RapidCents websites son used — clicks, scrolling y pointer movement — so ese visits puede ser replayed y summarised, while un visitor’s analytics category es en. El visitor’s navegador contacts el provider directly, disclosing its network address, el page address y el identification el navegador sends.	Estados Unidos, y otro countries en que el provider operates

Named por role rather than por Empresa. RapidCents es finalising que content delivery network es named here y will publish el Empresa name en este register antes de it es relied upon. El role, el data el network necessarily receives y el purpose above son complete y accurate as stated. El form loads one bot-mitigation provider en un time, y que one it loads es set en RapidCents’ configuration rather than en el page un visitor receives. Both providers el site implements son named here, because un register ese named solo one would depend en un setting el reader cannot check. Google, Meta y Microsoft provide el analytics y advertising measurement services en este register under su own Términos, que set qué each may do con qué it receives; section 4 states ese exception. Meta may use qué it receives para its own purposes, as its Términos allow. UN procesamiento country shown as — es one este register does no state para ese provider. It es left blank rather than filled en por inference: un country stated wrongly es worse than un country left a ser asked para, because Alberta’s Información personal Protection Act makes el revelación de información de el country un requirement rather than un courtesy. Ask por el routes este section sets out para el country un particular provider processes en. Register last reviewed 3 October 2026.

Pago-system participants, que son no subprocessors

Party	Role en el pago path	Qué it does, y under whose rules
Elavon, LLC y Elavon Canada Empresa (together, el Adquirente)	Adquirente	El institución financiera y Association member RapidCents has contracted con. Clause UN.2 de el Services Agreement records ese it submits sales drafts y transacción information a el Associations en RapidCents’ behalf, receives liquidación funding para those transacciones desde el Associations, y disburses those funds a RapidCents para onward liquidación a el comerciante. It acts under its own Association membership rather than en RapidCents’ instructions.
Visa	Red de tarjetas	Operates el network un Transacción en its tarjetas es authorized, cleared, settled y disputed mediante, under operating regulations it writes y RapidCents cannot vary.
Mastercard	Red de tarjetas	Operates el network un Transacción en its tarjetas es authorized, cleared, settled y disputed mediante, under operating regulations it writes y RapidCents cannot vary.
American Express	Red de tarjetas	Operates el network un Transacción en its tarjetas es authorized, cleared, settled y disputed mediante, under operating regulations it writes y RapidCents cannot vary.
Discover	Red de tarjetas	Operates el network un Transacción en its tarjetas es authorized, cleared, settled y disputed mediante, under operating regulations it writes y RapidCents cannot vary.
Diners Club	Red de tarjetas	Operates el network un Transacción en its tarjetas es authorized, cleared, settled y disputed mediante, under operating regulations it writes y RapidCents cannot vary.
Interac	Red de tarjetas	Operates el network un Transacción en its tarjetas es authorized, cleared, settled y disputed mediante, under operating rules it writes y RapidCents cannot vary. Section 1 de el KYC Policy names it among el networks whose operating regulations bind un adquirente y its processor.
El banco ese issued la tarjeta	Emisor	Receives el solicitud de autorización para un Transacción en la tarjeta it issued y decides it, y es el party un titular de la tarjeta raises un disputa con. Clause 11 de el Data Procesamiento Addendum records ese issuing banks receive Transacción Data as participants en el sistema de pagos y handle it under su own rules.

Un banco emisor es named por la tarjeta un Cliente chooses a pay con rather than por RapidCents, so este row es un class de party rather than un Empresa. RapidCents neither selects it nor instructs it. Este table has no procesamiento-country column. RapidCents neither engages these parties nor decides dónde they process, so el answer es theirs a give rather than RapidCents’ a state, y un column de dashes would suggest un answer fue being withheld. Su handling es governed por su own rules, including el Visa y Mastercard operating regulations, as section 6 de el Privacidad Policy records.

10. Notice de un change, y qué a do if usted object

If el supply chain changes en un way ese materially affects cómo información personal es handled, usted get thirty days’ notice first. If usted son no comfortable con un change, tell us y nosotros will explain it. If ese does no settle it, usted puede close su cuenta — there es no cancellation comisión y no cargo por cancelación anticipada.

UN supply chain changes: un provider es replaced, un category gains one, un provider moves el region it processes en. Dónde un change materially affects cómo información personal es handled, section 14 de el Privacidad Policy applies y notice es given en least thirty (30) days antes de it takes effect. Notice reaches usted por el routes en clause F.3 de el Services Agreement — el dashboard, el email address en su cuenta, o el address en su cuenta information — y es effective cuando sent o posted. En Estados Unidos, el Electronic Signatures en Global y National Commerce Act y el Uniform Electronic Transacciones Act as enacted en su state — o, en New York, ese state’s own legislation — give it el same legal effect as un notice en paper, as el Electronic Communications Consentimiento explains.

If usted object a un change, say so. Write a el Privacidad Officer en el address en section 12 de el Privacidad Policy, o email[email protected], setting out que provider o category concerns usted y why. RapidCents will tell usted qué el provider es engaged a do, qué it puede reach, dónde it processes y qué its contract requires de it. Those four answers come desde el register en section 9, el category table en section 3 y el commitments en section 4, que es qué lets un objection ser answered desde un document rather than desde un assurance. Dónde un objection es no resolved, el complaint procedure en clause UN.6 applies: Soporte first, el Executive Office if el matter es no resolved o closed within fourteen (14) comercio days, y el final escalation route después de un further five (5) comercio days sin un substantive response.

Two limits son worth being straight Acerca de. RapidCents cannot remove un subprocessor engaged a meet un obligation it has no option de declining, as section 3 explains. Y un objection es no un veto: no separate objection window has been set, as el last paragraph de este section y clause 11 de el Data Procesamiento Addendum both record, y el remedy el Services Agreement gives un comerciante quién will no accept un change es el one en el next paragraph — closing la cuenta, con no cargo por cancelación anticipada y no cancellation penalty de any kind.

Dónde un change es one usted son no prepared a accept, usted may close su cuenta. Clause UN.4 de el Services Agreement states ese RapidCents charges no cargo por cancelación anticipada y imposes no cancellation penalty de any kind, y ese un comerciante es free a close its cuenta en any time y para any reason. Dónde un change amounts a un material adverse change a el Términos de el Agreement unilaterally imposed por RapidCents, el cancellation right en clause UN.3 applies en its own Términos, por written notice within ninety (90) days de el notice de el change y en return de el cierre de cuenta form ese clause requires. Clause UN.5 preserves su liability para transacciones already processed, including contracargos y reembolsos arriving después de closure.

RapidCents has no set un separate objection window para un subprocessor change, y este page does no state one it does no have. Raise un objection as soon as usted son able y, wherever possible, antes de el change takes effect; el thirty (30) day notice period above es el period en que a do it.

11. Cómo este page relates a el otro documents

Este page es un description de practice. It es no el contract y creates no rights de its own. Dónde anything en it differs desde el Services Agreement, el Agreement governs; clause F.6 records ese el Agreement, con el policies y documents incorporated into it por reference, es el entire agreement entre el parties en its subject matter.

El Data Procesamiento Addendum es dónde el subprocessor Términos son contractual. Section 3 de el Privacidad Policy states ese dónde RapidCents acts as un processor, el Addendum sets out el commitments governing ese role, y clause 19 de el Addendum records ese it applies a cada comerciante y binds RapidCents sin un separate signature; un comerciante whose own procurement process requires un signed counterpart asks para one en[email protected]. Its Términos govern la autorización de subprocessors, el notice given de un change y el comerciante’s rights en objection, y take precedence over este page.

El Privacidad Policy governs RapidCents’ procesamiento de información personal para its own purposes — Acerca de comerciantes, comerciante staff, applicants, website visitors y people quién Contacto RapidCents, y el narrower set de activities section 3 de ese policy places en el controller side even though they reach un comerciante’s own Clientes — para que RapidCents es el controller. Este page sits underneath both roles, because un single subprocessor may handle información personal en either.

El Seguridad Estado de cuenta describes el controls operating en el RapidCents environment y el PCI Compliance page describes qué el Level 1 validation covers y dónde it stops. Neither says anything Acerca de un subprocessor’s own environment; section 4 governs ese. Y as el Seguridad Estado de cuenta says de itself, este page describes practices: it es no un service level, un warranty, o un representation ese any system es free de vulnerabilities, y el disclaimer en clause E.4 applies a it en el same footing.

12. Qué remains su responsibility

Usted still have a tell su own clientes ese su data goes a us y a el companies nosotros engage, y usted still have a hold el consents para it. Nosotros cannot obtain them en su behalf.

RapidCents publishing este page does no discharge un comerciante’s obligations a its own clientes. UN comerciante quién treats it as though it did will ser el party un regulator asks.

• Hold el consents. Clause D.1, item 1.2(un), requires usted a have all necessary rights, permissions y consents a collect, process, use y share Cliente Data con RapidCents y its service providers. El consentimiento es yours a obtain.
• Give el notice. Item 1.2(b) requires clear y accurate Privacidad notices a su clientes disclosing cómo su data will ser used, including el sharing de ese data con RapidCents para procesamiento de pagos purposes. Dónde su clientes son en Quebec, ese notice must también inform them en collection de el possibility ese el information could ser communicated outside Quebec.
• Disclose el categories dónde el law requires it de usted. UN Estados Unidos state Privacidad law obliging usted a disclose el categories de third parties a que usted disclose información personal places ese obligation en usted, no en RapidCents. Section 3 gives usted el categories; section 9 names el providers el register records y gives el route a el current full list, if su notice needs them.
• Answer su own clientes. Item 1.2(f) makes usted responsible para responding a access, deletion y otro rights requests desde su clientes. RapidCents will assist a el extent reasonably possible, as item 1.3(c) requires, but el request es answered por usted.
• Tell RapidCents cuando something goes wrong. Item 1.2(e) requires prompt notice de any actual o suspected filtración de datos affecting Cliente Data, y clause D.2, item 2.3, requires immediate notice de un suspected, alleged o confirmed compromised data evento por email a both[email protected]y[email protected]— including one occurring en one de su own third-party service providers.
• Keep su own list. Clause B.6 makes usted solely responsible para evaluating, selecting y implementing any third-party service usted connect, y requirement 12.8 de PCI DSS applies a usted en respect de su own service providers exactly as it applies a RapidCents en respect de its.