Acuerdo de Procesamiento de Datos

> Versión en español. Esta es una traducción del Acuerdo de Tratamiento de Datos de AK Digital LLC, facilitada para su comodidad. En caso de discrepancia entre esta traducción y la versión original en inglés, prevalecerá la versión en inglés.

ANEXO DE AK DIGITAL LLC PARA PLATAFORMA COMO SERVICIO (PAAS): ACUERDO DE TRATAMIENTO DE DATOS CONFORME AL ART. 28 DEL RGPD

1. ANTECEDENTES

1.1 AK Digital LLC presta servicios a sus clientes (responsables del tratamiento) que pueden implicar el tratamiento de datos personales, y recurre a subencargados para la ejecución de servicios específicos que pueden incluir el acceso a dichos datos o su tratamiento.

2. DEFINICIONES

2.1 Tratamiento de datos y sus términos correlativos designan cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

2.2 Datos personales o información personal designa todos los datos tratados por las partes en relación con los Servicios que (i) identifican o pueden utilizarse para identificar, contactar o localizar a una persona física, (ii) se refieren de cualquier modo a una persona física identificada, o (iii) quedan comprendidos en cualquier definición de «datos personales» o «información personal» conforme a la normativa de privacidad aplicable.

2.3 Interesado designa a la persona cuyos datos son objeto de tratamiento.

2.4 Responsable del tratamiento designa a la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento de datos personales.

2.5 Encargado del tratamiento designa a la entidad que trata datos personales por cuenta del responsable.

2.6 Subencargado del tratamiento designa a cualquier tercero designado por el Encargado o por cuenta de este para tratar datos personales.

2.7 Incidente de seguridad designa una violación de la seguridad, confirmada o razonablemente sospechada, no autorizada o ilícita, que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos.

2.8 RGPD designa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).

3. ÁMBITO DE ESTE ANEXO DPA

AK Digital LLC presta los Servicios de Plataforma al Cliente y a sus Usuarios, lo que requiere la recogida y el tratamiento de Datos del Cliente. El presente Anexo de Acuerdo de Tratamiento de Datos (en adelante, «DPA») especifica las obligaciones del Cliente (como responsable del tratamiento) y de AK Digital LLC (como encargado del tratamiento) derivadas de la normativa de protección de datos respecto de cualquier tratamiento de Datos del Cliente que resulte de la prestación, operación y uso de los Servicios de Plataforma conforme al Contrato.

4. OBJETO Y DURACIÓN DEL TRATAMIENTO

4.1 AK Digital LLC tratará los Datos del Cliente por cuenta del Cliente, quien actúa como responsable del tratamiento (art. 4, apdo. 7, del RGPD) y determina los fines de cada tratamiento.

4.2 El objeto del tratamiento de los Datos del Cliente es la prestación y operación de los Servicios de Plataforma al Cliente y a sus Usuarios, según se especifica en este Anexo DPA y en el Contrato. La vigencia de este Anexo DPA queda sujeta a la vigencia del Contrato. Si el Contrato se resuelve, este Anexo DPA quedará extinguido.

4.3 El alcance, el tipo y la finalidad del tratamiento de los Datos del Cliente consisten en (a) prestar, (b) operar y (c) permitir al Cliente y a sus Usuarios utilizar los Servicios de Plataforma conforme a lo establecido en el Contrato. Los tipos de Datos del Cliente y las categorías de interesados afectados se detallan en el Anexo 1.

4.4 Parte del tratamiento de los Datos del Cliente se realiza en un Estado miembro de la Unión Europea (UE) o en otro Estado parte del Acuerdo sobre el Espacio Económico Europeo (EEE). La transferencia y el tratamiento de Datos del Cliente en un país que no sea Estado miembro de la UE ni parte del EEE quedan aprobados respecto de los subencargados aquí identificados, y solo tendrán lugar si se cumplen las garantías específicas de los artículos 44 y siguientes del RGPD, a fin de asegurar un nivel adecuado de protección de datos.

5. RESPONSABILIDADES Y GARANTÍAS DEL CLIENTE

5.1 Como responsable del tratamiento (art. 4, apdo. 7, del RGPD), el Cliente asume la responsabilidad exclusiva sobre la licitud del tratamiento de los Datos del Cliente.

5.2 El Cliente garantiza a AK Digital LLC que ha:

(a) recogido y tratado los Datos del Cliente de manera lícita, leal y transparente, con fines determinados, explícitos y legítimos, y ha informado debidamente a los interesados afectados conforme a los artículos 12 y siguientes del RGPD;

(b) cumplido sus obligaciones (cuando resulten aplicables) de efectuar una declaración previa sobre el tratamiento de los Datos del Cliente ante la autoridad de control competente;

(c) verificado, antes del uso de los Servicios de Plataforma, que el tratamiento de los Datos del Cliente en el marco de dichos Servicios se ajusta a la finalidad y a los medios de los Datos del Cliente aportados y puestos a disposición por el Cliente y sus Usuarios en los Servicios de Plataforma.

6. MEDIDAS TÉCNICAS Y ORGANIZATIVAS

6.1 AK Digital LLC implantará todas las medidas técnicas y organizativas exigidas por la ley para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de los Datos del Cliente, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de los interesados.

6.2 AK Digital LLC documentará y pondrá a disposición del Cliente, para su verificación —en particular respecto del cumplimiento concreto de este Anexo DPA—, el esquema de implantación de las medidas técnicas y organizativas, que se recogen en el Anexo 2.

6.3 Las medidas técnicas y organizativas están sujetas al progreso técnico y a su evolución. Por ello, AK Digital LLC tendrá derecho a implantar medidas alternativas adecuadas, sin menoscabo del nivel de seguridad y de la eficacia de las medidas definidas originalmente.

7. RECTIFICACIÓN, LIMITACIÓN Y SUPRESIÓN DE LOS DATOS DEL CLIENTE; DERECHOS DE LOS INTERESADOS

7.1 En la medida en que resulte posible dentro de las funcionalidades de los Servicios de Plataforma, será el propio Cliente quien rectifique, suprima o limite los Datos del Cliente. Fuera del alcance de dichas funcionalidades, AK Digital LLC rectificará, suprimirá o limitará (por ejemplo, mediante bloqueo) los Datos del Cliente siguiendo instrucción legítima del Cliente.

7.2 Las Partes entienden de común acuerdo que corresponde al Cliente atender las solicitudes de los interesados. En caso de que un interesado se dirija directamente a AK Digital LLC solicitando la rectificación o supresión de datos personales, la limitación del tratamiento, o el ejercicio de otros derechos reconocidos por la ley, AK Digital LLC trasladará dicha solicitud al Cliente sin dilación indebida.

7.3 AK Digital LLC asistirá al Cliente, dentro de un alcance razonable, en el cumplimiento de sus obligaciones frente a los interesados, en particular en lo relativo al derecho de acceso, de rectificación, de supresión, de limitación del tratamiento, a la obligación de notificación relativa a la rectificación o supresión, al derecho a la portabilidad de los datos y al derecho de oposición.

8. AUDITORÍAS Y OTROS DEBERES DE AK DIGITAL LLC

8.1 AK Digital LLC tratará los Datos del Cliente únicamente conforme al Contrato, a este Anexo DPA y a las instrucciones legítimas del Cliente, con el fin de prestar los Servicios de Plataforma.

8.2 AK Digital LLC asistirá al Cliente, en la medida necesaria y razonable, para garantizar el cumplimiento de las obligaciones legales, en particular en la realización de evaluaciones de impacto relativas a la protección de datos y en las consultas previas necesarias a la autoridad de control competente.

8.3 AK Digital LLC facilitará al Cliente los datos de contacto de su delegado de protección de datos. Dichos datos también se publican en la dirección https://runmyprocess.com/imprint/

8.4 AK Digital LLC está obligada a asegurar que sus empleados y auxiliares, entre otros, que puedan acceder a los Datos del Cliente se comprometan a cumplir las exigencias legales de secreto de los datos y las obligaciones de confidencialidad correspondientes.

8.5 AK Digital LLC informará de inmediato al Cliente de cualquier medida o inspección de una autoridad de control relativa al tratamiento de los Datos del Cliente.

8.6 AK Digital LLC facilitará al Cliente, en una medida razonable, toda la información necesaria para elaborar un registro de las actividades de tratamiento de los Datos del Cliente. AK Digital LLC mantendrá un registro separado de las actividades de tratamiento, en su caso en formato electrónico, conforme a las exigencias legales.

8.7 AK Digital LLC llevará a cabo controles sobre el tratamiento de los Datos del Cliente correspondientes a su ámbito de responsabilidad como encargado del tratamiento, a fin de garantizar el cumplimiento de este Anexo DPA.

8.8 AK Digital LLC pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de la normativa de protección de datos aplicable, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones llevadas a cabo por el Cliente o por otro auditor designado por él, únicamente respecto del tratamiento de los Datos del Cliente comprendido en el ámbito de este Anexo DPA.

9. DERECHOS DE AUDITORÍA

9.1 El Cliente tendrá derecho a verificar el cumplimiento de (a) las obligaciones derivadas de la normativa de protección de datos aplicable y (b) este Anexo DPA, en especial de las medidas técnicas y organizativas y de las instrucciones legítimas que haya impartido.

9.2 A tal efecto, el Cliente tendrá derecho, durante toda la vigencia de este Anexo DPA y previa consulta con AK Digital LLC, o mediante auditores designados en cada caso concreto que sean idóneos y estén obligados a confidencialidad, a que se realicen las inspecciones oportunas en el establecimiento de AK Digital LLC donde tenga lugar el tratamiento de los Datos del Cliente.

9.3 AK Digital LLC se compromete, a solicitud del Cliente, a facilitarle toda la información y las pruebas pertinentes y necesarias para cumplir con la normativa de protección de datos aplicable.

10. SUBENCARGADOS DEL TRATAMIENTO

10.1 Los subencargados aprobados por el Cliente en el momento de la celebración del Contrato se detallan en el Anexo 1.

10.2 El Cliente reconoce y aprueba que AK Digital LLC podrá modificar la Plataforma en cualquier momento, siempre que la nueva Plataforma cumpla las condiciones establecidas en este DPA y no altere las tarifas de los Servicios de Plataforma.

10.3 Solo podrán contratarse otros subencargados si:

(a) AK Digital LLC comunica la contratación por escrito o en formato de texto con una antelación razonable y el Cliente no se opone por motivos justificados.

(b) AK Digital LLC celebra con los subencargados acuerdos que contengan disposiciones de protección de datos equiparables y garantiza la implantación de medidas técnicas y organizativas adecuadas.

(c) El tratamiento por parte de los subencargados tiene lugar en un Estado miembro de la UE o en otro Estado parte del Acuerdo sobre el EEE, o cumple las garantías de los artículos 44 y siguientes del RGPD.

10.4 AK Digital LLC seguirá siendo responsable frente al Cliente del cumplimiento de las obligaciones del subencargado contratado.

11. COMUNICACIÓN DE VIOLACIONES POR PARTE DE AK DIGITAL LLC

11.1 AK Digital LLC diseñará el tratamiento de los Datos del Cliente, los procedimientos operativos y los procesos asociados de modo que pueda detectar y reconocer cualquier vulneración de la protección de datos y comunicarla.

11.2 AK Digital LLC notificará al Cliente sin dilación indebida si una violación de la seguridad ocasiona la destrucción, pérdida o alteración accidental o ilícita de los Datos del Cliente, o la comunicación o el acceso no autorizados a dichos datos.

11.3 AK Digital LLC es consciente de que el Cliente está obligado a notificar determinadas violaciones en un plazo máximo de setenta y dos (72) horas desde que tenga constancia de ellas, y le asistirá en el cumplimiento de estas obligaciones de notificación.

11.4 AK Digital LLC documentará cualquier violación de la seguridad de los datos personales que afecte a los Datos del Cliente y adoptará, en consulta con el Cliente, las medidas oportunas para salvaguardar dichos datos y mitigar las consecuencias adversas para los interesados.

12. FACULTAD DEL CLIENTE PARA IMPARTIR INSTRUCCIONES

12.1 El tratamiento de los Datos del Cliente se regirá exclusivamente por (a) este Anexo DPA, (b) las instrucciones que sean posibles dentro de las funcionalidades de los Servicios de Plataforma y (c) cualesquiera otras instrucciones razonables y justificadas del Cliente, que se documentarán en cada caso por escrito o en formato de texto.

12.2 El Cliente confirmará de inmediato por escrito o en formato de texto cualquier instrucción verbal.

12.3 AK Digital LLC no utilizará los Datos del Cliente para fines distintos de los previstos en este Anexo DPA y en el Contrato, ni realizará copias sin conocimiento del Cliente, salvo las copias de seguridad necesarias para garantizar un tratamiento adecuado.

12.4 AK Digital LLC informará de inmediato al Cliente si, a su juicio, una instrucción infringe la normativa de protección de datos aplicable, y tendrá derecho a suspender su ejecución hasta que el Cliente la confirme o la modifique.

13. SUPRESIÓN DE LOS DATOS DEL CLIENTE Y DEVOLUCIÓN DE SOPORTES

13.1 El plan de supresión se detalla en el Anexo 1.

13.2 Finalizado el tratamiento, o en cualquier fecha anterior que el Cliente requiera, AK Digital LLC suprimirá todos los Datos del Cliente, salvo que existan deberes legales de conservación, que se documentarán y comunicarán al Cliente.

ANEXO 1 DEL ANEXO DPA

TIPOS DE DATOS DEL CLIENTE, INTERESADOS AFECTADOS, OBLIGACIONES DE SUPRESIÓN Y SUBENCARGADOS

1. TIPOS DE DATOS DEL CLIENTE

(a) Datos maestros de los Usuarios (por ejemplo, nombre y dirección de correo electrónico)
(b) Metadatos transaccionales de los Usuarios (por ejemplo, cuentas de Usuario, direcciones IP de inicio de sesión)
(c) Datos de la Aplicación del Cliente (por ejemplo, metadatos de Usuario)
(d) Datos del Cliente aportados por el Cliente y tratados por la Aplicación del Cliente

2. INTERESADOS AFECTADOS

Los interesados afectados son los Usuarios, es decir, los empleados del Cliente, sus proveedores de servicios (incluido su personal) y sus clientes (incluido su personal).

3. OBLIGACIONES DE SUPRESIÓN

Todos los Datos del Cliente, el Contenido del Cliente y las Aplicaciones del Cliente almacenados en los Servicios de Plataforma se suprimen tras la extinción del Contrato y el periodo de reversibilidad, salvo que resulten aplicables obligaciones legales de conservación.

4. SUBENCARGADOS (SERVICIOS PRINCIPALES)

- Amazon Web Services, Inc. - Estados Unidos - Alojamiento de la plataforma
- Coralogix Ltd. - Israel/Singapur - Alojamiento de los archivos de registro de los servicios de plataforma
- ZOHO CORPORATION B.V - Países Bajos - Alojamiento del sistema de tiques de soporte al cliente
- Google LLC - Estados Unidos - Alojamiento de los servidores de correo del personal
- Hyverr S.R.O - República Checa - Soporte al cliente de segundo nivel
- PurpleTalk Inc - India - Soporte al cliente de tercer nivel

ANEXO 2 DEL ANEXO DPA

MEDIDAS TÉCNICAS Y ORGANIZATIVAS

AK Digital LLC implantará, para el tratamiento de cualesquiera Datos del Cliente, las medidas técnicas y organizativas de seguridad previstas en el Acuerdo y, previa solicitud por escrito, aportará prueba de su implantación.

2.1 Control de acceso a los equipos: AK Digital LLC impedirá el acceso de personas no autorizadas a los equipos utilizados para el tratamiento.

2.2 Control de soportes de datos: AK Digital LLC impedirá la lectura, copia, modificación o retirada no autorizadas de los soportes de datos.

2.3 Control de almacenamiento: AK Digital LLC impedirá la introducción, consulta, modificación o supresión no autorizadas de los Datos del Cliente.

2.4 Control de usuarios: AK Digital LLC impedirá el uso de sistemas de tratamiento automatizado por personas no autorizadas mediante equipos de transmisión de datos.

2.5 Control de acceso a los datos: AK Digital LLC garantizará que las personas autorizadas accedan únicamente a los datos personales comprendidos en su autorización de acceso.

2.6 Control de comunicación: AK Digital LLC mantendrá registros adecuados que permitan verificar y determinar a qué organismos se han transmitido o puesto a disposición los Datos del Cliente tratados.

2.7 Control de introducción: AK Digital LLC garantizará que sea posible verificar y determinar qué datos personales se han introducido, cuándo y por quién.

2.8 Control de transporte: AK Digital LLC impedirá la lectura, copia, modificación o supresión no autorizadas de datos personales durante su transferencia o transporte.

2.9 Recuperación: AK Digital LLC garantizará que los sistemas instalados puedan restaurarse en caso de interrupción.

2.10 Fiabilidad: AK Digital LLC garantizará que las funciones del sistema operen de forma fiable y que los fallos se notifiquen.

2.11 Integridad: AK Digital LLC garantizará que los Datos del Cliente almacenados no puedan corromperse por un mal funcionamiento del sistema.

2.12 Control contractual: Los Datos del Cliente tratados por encargo se tratarán exclusivamente conforme al Contrato y a las instrucciones del Cliente.

2.13 Control de disponibilidad: Los Datos del Cliente estarán protegidos frente a su comunicación, destrucción accidental o no autorizada, o pérdida.

2.14 Separación: AK Digital LLC garantizará que los Datos del Cliente recogidos con distintas finalidades puedan tratarse de forma separada, conforme a las instrucciones e información del Cliente.