1. Aplicabilidade geral.

1.1. Âmbito de aplicação. These Security Terms (“Security Terms”) apply to the Solutions and/or services provided under the Agreement, which may include Commvault’s Software, SaaS Solution, and/or services.

1.2. Precedência.In the event of conflict between these Security Terms and the main body of the Agreement, these Security Terms shall prevail with respect to security-related matters, unless prohibited by applicable law.

 

2. Conformidade regulatória.

2.1. Conformidade da Commvault.

2.1.1 General.A Commvault implementou e mantém um programa de segurança projetado para estar em conformidade com a norma NIST 800-30/CSF e as melhores práticas do setor. Para suas Soluções SaaS, a Commvault mantém certificações e avaliações de terceiros, incluindo ISO 27001, SOC 2 Tipo II, HIPAA (incluindo o processamento de Informações de Saúde Protegidas) e PCI. Para obter a lista atualizada de certificações, avaliações e atestados adicionais, consulte nosso Centro de Confiança:https://trust.commvault.com/resources.

2.1.2 FedRAMP.Nossa oferta de SaaS em Government Cloud possui certificação FedRAMP Classe D (Alta) e atende aos requisitos de controle de base da FedRAMP Classe D (Alta) com base na norma NIST SP 800-53. Para obter mais informações, consulte a listagem da Commvault no FedRAMP Marketplace:https://marketplace.fedramp.gov/products/FR2115384377.

 

3. Modelo de Responsabilidade Compartilhada.

3.1. Limitações de uso e processamento de dados. Commvault may use Customer Data solely for the purpose of delivering the Solutions in accordance with its Master Terms and Conditions and Data Processing Agreement. Commvault shall not process Customer Data for any other purpose without Customer’s written consent.

3.2. Responsabilidades pela Solução SaaS. Security and compliance for infrastructure and data protection operate under a shared-responsibility model. Commvault is responsible for securing the SaaS Solution and protecting Customer Data in transit and at rest within Commvault’s Defined Service Boundary in accordance with the provisions set forth herein. “Defined Service Boundary” means the systems, infrastructure, and applications directly owned, operated, and controlled by Commvault for the delivery of the SaaS Solution, excluding without limitation Customer environments, Customer-managed configurations, identity providers, and any components outside Commvault’s direct operational control. Customer is responsible for establishing and maintaining its own security and compliance programs as they relate to their use of the Commvault Solutions and/or services. This includes responsibility for security controls outside the Commvault’s Defined Service Boundary, without limitation: (i) managing access to its applications and infrastructure, including authenticating users and managing credentials; (ii) maintaining appropriate endpoint protection; (iii) fulfilling all compliance obligations related to its data and environment; and (iv) lawful use of the Solutions. Our Documentation sets forth security and configuration guidance.

 

4. Monitoramento da postura de segurança.

4.1. Monitoramento contínuo. Commvault maintains continuous monitoring of the SaaS Solution in accordance with industry best practices, including without limitation, vulnerability scanning, threat detection, configuration compliance checks, and logging of security events.

4.2. DevSecOps e Testes. Commvault embeds security reviews within its development lifecycle, including secure code reviews, static/dynamic analysis, and annual penetration tests.

4.3. Correção. Commvault maintains processes to identify and remediate vulnerabilities in accordance with its internal policies. For the SaaS Solution, Commvault shall use commercially reasonable efforts to remediate critical vulnerabilities within 30 days and high-severity vulnerabilities within 60 days, unless otherwise agreed in writing with Customer.

 

5. Segurança e Conformidade.

5.1. Controle de acesso. Commvault’s personnel and systems are subject to access management controls designed to protect Customer Data from unauthorized access in accordance with Section 4.2 (Access) of the SaaS Solution Terms and Conditions. Such controls include, where applicable, multi-factor-authentication, least privilege and role-based access, segregation of duties, access approval procedures, regular access reviews, and procedures to revoke stale access.

5.2. Conscientização e treinamento. Commvault maintains an annual training and awareness program which aligns with applicable law and is independently verified by external auditors to monitor effectiveness and integrity.

5.3. Direitos de auditoria

5.3.1. Independent Audits.A validação da conformidade é comprovada por meio de documentação, incluindo, entre outros, relatórios de auditoria de terceiros disponíveis em:https://trust.commvault.com/resources.

5.3.2. Customer Audit Rights.

5.3.2.1.Upon request, Commvault will make available current security and compliance documentation, including third-party audit reports, certifications, penetration test summaries, security whitepapers, and control descriptions (“Security Documentation”).

5.3.2.2.O cliente poderá exercer seus direitos de auditoria mediante o envio de um questionário razoável, por escrito, sobre segurança ou conformidade, no máximo uma vez por ano ou após um incidente de segurança relevante que afete os Dados do Cliente. A Commvault responderá de boa-fé, dentro de um prazo comercialmente razoável, seja preenchendo o questionário, seja fornecendo informações substancialmente equivalentes.

5.3.2.3.O Cliente reconhece que os direitos de auditoria excluem inspeções no local, acesso às instalações ou ao sistema, entrevistas com funcionários, acesso à infraestrutura, código-fonte, logs, registros internos, artefatos probatórios (incluindo capturas de tela ou configurações) e quaisquer testes técnicos (incluindo testes de penetração, varreduras de vulnerabilidades ou exercícios de engenharia social).

5.4. Planejamento de contingência. Commvault maintains a business continuity and disaster recovery plan for the SaaS Solution, which is subject to periodic testing. The SaaS Solution infrastructure is designed to support global redundancy, rapid failover capabilities, and disaster recovery isolation. Commvault’s business continuity and disaster recovery plan is validated annually by its third-party auditors.

5.5. Gerenciamento de Configuração. For the SaaS Solution, all systems supporting Customer Data follow secure configuration baselines, and changes are controlled through documented workflows that include testing and authorization procedures. Configuration changes are tracked and monitored while access to configuration changes is restricted to authorized personnel.

5.6. Identificação e Autenticação. Commvault shall make available authentication controls for Customer’s Authorized Users accessing the Solutions and/or services, including multi-factor authentication (MFA), single sign-on (SSO) via SAML or OAuth, and integration with Customer’s identity providers.

5.7. Resposta a incidentes

5.7.1. Procedures.A Commvault mantém procedimentos documentados de resposta a incidentes, incluindo funções definidas, caminhos de escalonamento e protocolos de comunicação.

5.7.2.Salvo disposição em contrário prevista em lei, a Commvault concorda em notificar o Cliente sobre qualquer Violação de Segurança no prazo de setenta e duas (72) horas após a confirmação da mesma pela Commvault. O Cliente deverá cooperar com os procedimentos de resposta a incidentes da Commvault, conforme necessário.

5.7.3. “Security Breach”significa a destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a Dados do Cliente não criptografados.

5.7.4. Contact Information.O Cliente poderá relatar uma violação de segurança ou suas preocupações à Equipe de Resposta a Incidentes de Segurança da Commvault pelo e-mailsoc@commvault.com.

5.7.5. Investigation and Forensics.Para qualquer Violação de Segurança que requeira investigação, a Commvault deverá: (i) realizar análises forenses digitais apropriadas utilizando ferramentas e metodologias padrão do setor; (ii) preservar as evidências relevantes de acordo com a legislação aplicável; (iii) realizar análise da causa raiz para determinar a origem e o escopo do incidente; e (iv) implementar medidas corretivas para evitar a recorrência, sujeito a considerações comerciais razoáveis e limitações do sistema. De acordo com esta Seção 5.7.5, a Commvault poderá fornecer ao Cliente um relatório resumido, mediante solicitação.

5.7.6. Third-Party Coordination.Para o Software: o Cliente deverá liderar as atividades de resposta a incidentes e coordenar-se com os terceiros apropriados, conforme julgar necessário. A Commvault deverá fornecer suporte e assistência razoáveis ao Cliente em relação a tais atividades de resposta a incidentes. Para a Solução SaaS: Quando exigido por lei ou necessário do ponto de vista operacional, a Commvault poderá coordenar as atividades de resposta a incidentes com terceiros apropriados, incluindo órgãos de segurança pública, autoridades regulatórias, provedores de infraestrutura em nuvem e outros fornecedores de segurança. Em ambos os casos, a parte coordenadora deverá notificar a outra parte sobre tal coordenação quando legalmente permitido e operacionalmente viável, desde que as informações confidenciais do Cliente sejam protegidas na medida do possível, dadas as circunstâncias.

5.8. Manutenção. Commvault shall monitor the SaaS Solution’s availability and perform testing of infrastructure availability. Commvault periodically releases patches, fixes, upgrades, updates or new versions (together, the “Updates”)
. Os Clientes que utilizam nosso Software são responsáveis por manter e implementar as Atualizações no Software.

5.9. Proteção de Mídia. For the SaaS Solution, Commvault utilizes reputable third-party cloud infrastructure providers that maintain media protection controls aligned with their published security standards. Media sanitization and destruction processes for Customer Data are performed in accordance with the standards and procedures of the applicable third-party cloud service providers. For Software, Customer is solely responsible for implementing media protection measures, including the sanitization and destruction of any media containing Customer Data within Customer’s environment.

5.10. Proteção física e ambiental. Customer Data is protected by physical controls, including but not limited to secured facilities and equipment, authorized and documented personnel access, restricted server areas, monitored and logged facility access, and supporting security and authentication systems.

5.11. Gestão do Programa. Commvault maintains an information security program that includes: (a) a defined organizational structure, and documented policies, roles, responsibilities, and strategic objectives; (b) risk management through periodic risk assessments, and formal processes to identify, assess, mitigate, and track security risks; (c) a security controls framework aligned with industry standards; (d) security testing to address potential attack vectors and a multi-layered security approach in development and operations; (e) training and development programs for security personnel; and (f) periodic review and updates of the program.

5.12. Segurança do Pessoal. Except as prohibited by law, Commvault shall conduct background checks for employees with access to Customer Data in accordance with applicable law. Commvault maintains an onboarding process for confidentiality obligations and policy acknowledgments, employment policies, processes for role changes and terminations.

5.13. Avaliação de riscos. Commvault maintains security policies designed to support alignment with applicable security standards, security testing and vulnerability identification processes which may include penetration testing and vulnerability disclosure programs, vulnerability management processes, and security evaluations, all conducted in accordance with its internal policies. Evidence of independent audits is available as referenced in Section 5.3.1.

5.14. Integridade do sistema e das informações

5.14.1. Encryption.A Commvault deverá criptografar os Dados do Cliente em trânsito utilizando versões atuais do TLS ou outros protocolos de segurança com algoritmos de criptografia robustos, e em repouso utilizando versões atuais dos algoritmos de criptografia AES, de acordo com os padrões do setor.

5.14.2. Key Management.As chaves de criptografia são armazenadas com segurança em um banco de dados criptografado, protegido por controle de acesso baseado em funções e, opcionalmente, por uma senha. A integração com Serviços Externos de Gerenciamento de Chaves (conforme definido abaixo) é suportada para maior segurança e segregação, de acordo com a seção 5.14.3.

5.14.3. Third-Party Key Management Services.If technically feasible and Customer elects to use a third-party Key Management Service (“KMS”), Customer shall be solely responsible for securing such KMS by taking, at a minimum, the following measures: (i) implementing NIST 800-57 or equivalent industry standard security controls to protect the KMS; and (ii) backing up the encryption keys to a virtually air-gapped environment. Commvault expressly disclaims any and all liability related to, or arising from, the Customer’s use of the third-party KMS, including inability to access data resulting from such use. Commvault is not responsible or liable for the manner in which the third-party KMS transmits, accesses, processes, stores, uses or provides data to Commvault.

5.15 Gestão de Riscos da Cadeia de Suprimentos. Commvault shall conduct risk-based assessments of suppliers, maintain records of suppliers, conduct periodic reviews of supplier documentation and assessments, and implement security measures for third-party access.

5.16 Controles de Integridade e Qualidade de Dados. Within Commvault’s Defined Service Boundary, Commvault maintains controls designed to support data integrity and quality, which may include: (a) authorization policies for input, reading, alteration, and deletion of data; (b) authentication of authorized personnel; (c) protective measures for data operations including logging of material changes where appropriate; (d) segregation and protection of data via database schemas, logical access controls, and/or encryption; (e) utilization of user identification credentials; and (f) session management controls. These controls are maintained in accordance with Commvault’s internal security policies.

 

6. Localização de dados.

A Commvault armazenará e processará os Dados do Cliente nas regiões geográficas especificadas na Documentação aplicável, com opções de residência regional dos dados conforme estabelecido na mesma.

 

7. Gerenciamento de alterações.

7.1. Notificação de alterações. Commvault shall provide at least 30 days’ prior written notice of material changes to its security policies or controls that may adversely affect Customer Data.

7.2. Rescisão. If such change materially degrades security, Customer may terminate the affected Solutions and/or services without penalty, provided however that all sales of Software are final, non-returnable and non-refundable.

 

8. Compromissos do provedor de nuvem.

A Commvault utiliza provedores terceirizados de infraestrutura em nuvem, que podem incluir Microsoft Azure, AWS, GCP e/ou Oracle Cloud Infrastructure, para o provisionamento de Soluções SaaS. A Commvault adota certas medidas de segurança desses provedores de nuvem. A documentação de segurança de cada provedor de nuvem está disponível em seus respectivos centros de confiança.

 

9. Jurisdições aplicáveis e submódulos.

9.1. Estrutura global. These Security Terms are intended for global use and shall apply except as overridden by mandatory local law.

9.2. Anexos regionais e setoriais. Regional and Sector-Specific annexes (e.g.,Contrato de dados do cliente da Commvault, o Adendo HIPAA, o Adendo do Setor Financeiro) complementarão e, quando necessário, prevalecerão sobre estes Termos de Segurança exclusivamente na medida necessária para o cumprimento da legislação.