Este Anexo de Procesamiento de Datos entra en vigor a partir del 10 de agosto de 2026
Este Anexo de Procesamiento de Datos y sus Anexos (el “Anexo” o “DPA”) refleja el acuerdo de las partes con respecto al Procesamiento de Datos Personales por parte de Gather Presence, Inc. (“Gather”, también “nosotros” o “nos”) en nombre del Cliente (también “usted”) en relación con los Términos de Servicio del sitio, la Política de Privacidad de Gather, la Política de Privacidad de Grapevine, los Términos de Servicio de Grapevine, u otro acuerdo escrito o electrónico entre Gather y usted que rige el uso de los Servicios de Gather (colectivamente, el “Acuerdo”).
¿Necesita una copia firmada? Envíe un correo electrónico a support@gather.town
1. Definiciones
“Afiliado” significa cualquier entidad que controle directamente o indirectamente, sea controlada por, o esté bajo control común con la entidad en cuestión. “Control”, para los fines de esta definición, significa la propiedad o el control directo o indirecto de más del 50% de las participaciones con derecho a voto de la entidad en cuestión.
“Servicios de Gather” significa los servicios elegidos por el Cliente según se especifica en el Acuerdo.
“CCPA” significa la Ley de Privacidad del Consumidor de California, Cal. Civ. Code §1798.100 y siguientes, y sus reglamentos de aplicación.
“Responsable del tratamiento” significa la entidad que determina los fines y medios del Procesamiento de Datos Personales, incluyendo, según corresponda, cualquier “empresa” tal como se define ese término en la CCPA.
“Cliente” significa la entidad que celebró el Acuerdo junto con sus Afiliados que han firmado Formularios de Pedido.
“Datos del Cliente” significa cualquier cosa definida en el Acuerdo como “Datos del Cliente”, siempre que dichos datos sean datos electrónicos o información enviada por o para el Cliente a los Servicios de Gather.
“Leyes de Protección de Datos” significa las leyes, normas y reglamentos de protección de datos o privacidad de la Unión Europea, el Espacio Económico Europeo y sus estados miembros, Suiza, el Reino Unido y los Estados Unidos y sus estados, aplicables al Procesamiento de Datos Personales bajo este Anexo.
“Interesado” significa la persona física identificada o identificable a la que se refieren los Datos Personales.
“RGPD” significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
“Datos Personales” significa cualquier información relativa a una persona física identificada o identificable que el Cliente proporciona a Gather como parte de los Servicios de Gather, siempre que dichos datos sean Datos del Cliente.
“Procesar” o “Procesamiento” significa cualquier operación o conjunto de operaciones realizadas por Gather como parte de los Servicios de Gather sobre Datos Personales o conjuntos de Datos Personales, ya sea por medios automatizados o no.
“Encargado del tratamiento” significa la entidad que Procesa Datos Personales en nombre del Responsable del tratamiento, incluyendo, según corresponda, cualquier “proveedor de servicios” tal como se define ese término en la CCPA.
“Incidente de Seguridad” significa una violación confirmada de la seguridad que haya provocado la destrucción, pérdida, alteración accidental o ilícita, la divulgación no autorizada de Datos Personales transmitidos, almacenados o procesados de otro modo, o el acceso a los mismos por parte de una persona no autorizada.
“Cláusulas Contractuales Tipo” significa el acuerdo celebrado por y entre el Cliente y Gather, adjunto a este Anexo como Anexo 1 de conformidad con la Decisión de la Comisión Europea del 4 de junio de 2021 sobre cláusulas contractuales tipo para la transferencia de datos personales a encargados del tratamiento establecidos en terceros países en virtud de la Decisión de Ejecución de la Comisión 914/2021/UE.
“Subencargado del tratamiento” significa un tercero, incluida una entidad bajo control común con Gather o controlada por esta, designada para Procesar Datos Personales en relación con el Acuerdo.
“Autoridad de Control” tendrá el significado que se le otorga en el RGPD.
Los términos en mayúscula utilizados pero no definidos en este Anexo tendrán los significados previstos en el Acuerdo.
2. Procesamiento de Datos Personales
2.1. Las partes reconocen y aceptan que, con respecto al Procesamiento de Datos Personales, el Cliente es el Responsable del tratamiento y Gather es el Encargado del tratamiento.
2.2. El objeto del Procesamiento en virtud de este Anexo son los Datos Personales. La duración del Procesamiento en virtud de este Anexo es por el término del Acuerdo, sujeto al derecho de Gather a retener Datos Personales según se describe en este Anexo. El propósito del Procesamiento de Datos Personales bajo este Anexo es que Gather brinde los Servicios de Gather al Cliente de conformidad con el Acuerdo. La naturaleza del Procesamiento es la prestación de los Servicios de Gather, como se describe más específicamente en el Acuerdo. El tipo de Datos Personales son los datos recopilados y procesados por el Cliente, a su entera discreción, a través del uso de los Servicios de Gather por parte del Cliente. Los interesados son los usuarios finales del Cliente que acceden y utilizan la(s) aplicación(es) móvil(es), sitio(s) web, plataforma, IoT u otra(s) aplicación(es) del Cliente.
2.3. Gather solo Procesará Datos Personales de acuerdo con las disposiciones de este Anexo, las instrucciones del Cliente y las Leyes de Protección de Datos aplicables a la prestación de los Servicios de Gather por parte de Gather. El Cliente se asegurará de que todas las instrucciones proporcionadas por el Cliente a Gather con respecto al Procesamiento de Datos Personales cumplan con todas las Leyes de Protección de Datos aplicables, incluida (si corresponde) la CCPA. El Cliente acepta además que las instrucciones que proporcione a Gather con respecto al Procesamiento de Datos Personales no harán que Gather infrinja ninguna Ley de Protección de Datos aplicable, incluida (si corresponde) la CCPA.
2.4. El Cliente, en su uso de los Servicios de Gather, Procesará Datos Personales de acuerdo con los requisitos de las Leyes de Protección de Datos y, si corresponde, la CCPA, lo que incluye, entre otros, proporcionar los avisos requeridos y obtener los consentimientos necesarios de los Interesados en relación con el uso de Gather como Encargado del tratamiento. Las decisiones y acciones del Cliente relativas al Procesamiento y uso de Datos Personales cumplirán con las Leyes de Protección de Datos, la CCPA y los términos del Acuerdo y este Anexo. El Cliente será el único responsable de la exactitud, calidad y legalidad de los Datos Personales y de los medios por los cuales el Cliente adquirió dichos Datos Personales.
3. Transferencias Internacionales de Datos Personales
Los Datos Personales que Gather Procesa en nombre del Cliente se transferirán, almacenarán y procesarán en los Estados Unidos. Por el presente, el Cliente consiente la transferencia de los Datos Personales a los Estados Unidos y consiente el almacenamiento y Procesamiento de los Datos Personales en los Estados Unidos por parte de Gather para que esta brinde los Servicios de Gather. Si el Cliente transfiere Datos Personales de la Unión Europea, el Espacio Económico Europeo y/o sus estados miembros (“EEE”), Suiza y el Reino Unido, la transferencia se realizará a través de las Cláusulas Contractuales Tipo adjuntas como Anexo 1 a este Anexo. Las Cláusulas Contractuales Tipo no se aplicarán a los Datos Personales que no se transfieran fuera de la Unión Europea, el EEE y/o sus estados miembros, Suiza y el Reino Unido.
4. Solicitudes de Terceros y Confidencialidad
4.1. Gather no divulgará Datos Personales a ninguna persona física ni a un tercero que no sea: (i) a solicitud del Cliente; (ii) según lo dispuesto en este Anexo; (iii) según sea necesario para proporcionar los Servicios de Gather; o (iv) según lo exija la ley aplicable o una orden válida y vinculante de un organismo encargado de hacer cumplir la ley. Salvo que la ley exija lo contrario, Gather notificará de inmediato al Cliente sobre cualquier citación, orden judicial, administrativa o arbitral de una agencia ejecutiva o administrativa u otra autoridad gubernamental (“Solicitud”) que reciba y que se relacione con los Datos Personales. A solicitud del Cliente, Gather le proporcionará información razonable que esté en su posesión y que pueda responder a la Solicitud, así como cualquier asistencia razonablemente requerida para que el Cliente responda a la Solicitud de manera oportuna. El Cliente reconoce que Gather no tiene la responsabilidad de interactuar directamente con la entidad que realiza la Solicitud.
4.2. Gather se asegurará de que todos los empleados o aquellos que tengan la autoridad para acceder o Procesar los Datos Personales estén sujetos a obligaciones de confidencialidad con respecto a los Datos Personales. Gather se asegurará de que sus empleados o aquellos que tengan la autoridad para Procesar Datos Personales no los procesen excepto bajo las instrucciones del Cliente. Gather se asegurará de que todos los empleados hayan recibido capacitación en las leyes relativas al manejo de Datos Personales; y sean conscientes tanto de los deberes de Gather como de sus deberes y obligaciones personales bajo dichas leyes y este Anexo.
5. Solicitud del Interesado
Gather notificará de inmediato al Cliente si recibe una solicitud de un Interesado para ejercer el derecho de acceso, rectificación, oposición al Procesamiento, supresión (“derecho al olvido”), portabilidad de datos, limitación del tratamiento o derecho a no ser objeto de una decisión individual automatizada, siendo cada una de estas solicitudes una “Solicitud del Interesado”. Gather proporcionará toda la asistencia razonable y oportuna al Cliente, incluidas las medidas técnicas y organizativas adecuadas, en la medida de lo posible, para permitir que el Cliente responda a dicha solicitud de un Interesado. En caso de que cualquier solicitud de un Interesado se realice directamente a Gather, Gather informará de inmediato al Cliente y le proporcionará todos los detalles de la solicitud.
6. Seguridad
Gather ha implementado y mantendrá las medidas técnicas y organizativas adecuadas, los controles internos y las rutinas de seguridad de la información para garantizar un nivel de seguridad adecuado al riesgo de pérdida accidental, destrucción, alteración, divulgación o acceso no autorizado, o la destrucción ilícita de Datos Personales.
7. Notificación de Incidentes de Seguridad
En caso de un Incidente de Seguridad que afecte a los Datos Personales del Cliente, Gather notificará al Cliente dentro de las 72 horas a partir de que Gather tenga conocimiento del Incidente de Seguridad. Además, Gather investigará el Incidente de Seguridad y proporcionará al Cliente información suficiente para que este cumpla con los requisitos de notificación de violación de datos en virtud de las Leyes de Protección de Datos. Gather también tomará medidas razonables para mitigar los efectos y minimizar cualquier daño resultante del Incidente de Seguridad. La obligación de Gather de informar o responder a un Incidente de Seguridad según lo dispuesto aquí no es ni se interpretará como un reconocimiento por parte de Gather de cualquier culpa o responsabilidad con respecto al Incidente de Seguridad.
8. Auditoría y Registros
8.1. Las partes acuerdan que cualquier auditoría realizada en virtud de este Anexo, incluso en virtud de las Cláusulas 5(f) o 12(2) de las Cláusulas Contractuales Tipo de la UE, se llevará a cabo de acuerdo con las especificaciones identificadas en esta Sección 8.1. El Cliente no podrá realizar una auditoría más de una vez por año civil, a menos que una Autoridad de Control o cualquier autoridad reguladora similar responsable de la aplicación de las Leyes de Protección de Datos en cualquier país o territorio le exija o solicite realizar una auditoría. El Cliente puede ponerse en contacto con Gather de acuerdo con la disposición de “Notificación” del Acuerdo para solicitar una auditoría in situ de los procedimientos de Gather relacionados con la protección de Datos Personales. Antes de que el Cliente pueda realizar una auditoría in situ de los procedimientos de Gather, Gather y el Cliente acordarán mutuamente el momento, el alcance y la duración de la auditoría. El Cliente reembolsará a Gather cualquier costo y gasto en que incurra Gather como resultado de la auditoría. Además, la auditoría se realizará de tal manera que se evite causar (o, si no se puede evitar, se minimice) cualquier daño, perjuicio o interrupción en las instalaciones virtuales, el equipo, el personal y las operaciones comerciales de Gather mientras el personal del Cliente se encuentre en esas instalaciones virtuales en el curso de dicha auditoría o inspección. Cualquier auditoría realizada en virtud de esta Sección 8.1 se limitará a las instalaciones virtuales de Gather (Gather no tiene una ubicación física comercial). Si se aplican las Cláusulas Contractuales Tipo de la UE, nada de lo aquí dispuesto se interpretará en el sentido de afectar los derechos de cualquier Autoridad de Control o del interesado en virtud de las Cláusulas Contractuales Tipo de la UE.
8.2. Gather mantendrá un registro de cualquier Procesamiento de Datos Personales que realice en nombre del Cliente, el cual pondrá a disposición de la Autoridad de Control correspondiente a solicitud de esta, y que incluirá:
el nombre y los datos de contacto de Gather y del Cliente en cuyo nombre actúa y, en su caso, del representante del Cliente y del delegado de protección de datos;
las categorías de Procesamiento realizadas en nombre del Cliente;
las transferencias de Datos Personales a un tercer país u organización internacional y la base sobre la cual esas transferencias cumplen con los requisitos; y
una descripción de las medidas de seguridad de datos adoptadas por Gather.
9. Subencargados del tratamiento
Usted acepta que podemos contratar a Subencargados del tratamiento para Procesar Datos Personales en su nombre. Actualmente hemos designado, como Subencargados del tratamiento, a los terceros enumerados en el Anexo 3 de este DPA. Le notificaremos si agregamos o reemplazamos a cualquier Subencargado del tratamiento enumerado en el Anexo 3 al menos 30 días antes de dichos cambios, si opta por recibir dicho correo electrónico antes de cualquier cambio completando el formulario disponible aquí.
Cuando contratemos Subencargados del tratamiento, impondremos términos de protección de datos a los Subencargados del tratamiento que brinden al menos el mismo nivel de protección para los Datos Personales que los de este DPA (incluyendo, cuando corresponda, las Cláusulas Contractuales Tipo), en la medida aplicable a la naturaleza de los servicios prestados por dichos Subencargados del tratamiento. Seguiremos siendo responsables del cumplimiento por parte de cada Subencargado del tratamiento con las obligaciones de este DPA y de cualquier acto u omisión de dicho Subencargado del tratamiento que nos haga incumplir cualquiera de sus obligaciones en virtud de este DPA.
El Cliente puede oponerse al uso por parte de Gather de un nuevo Subencargado del tratamiento notificándoselo a Gather de inmediato por escrito dentro de los treinta (30) días posteriores a la recepción del aviso de Gather sobre el nuevo Subencargado del tratamiento. Si el Cliente se opone al nuevo Subencargado del tratamiento, Gather hará esfuerzos razonables para ofrecer un cambio en los Servicios o en el uso de los Servicios por parte del Cliente para evitar el Procesamiento de Datos Personales por parte del Subencargado del tratamiento al que el Cliente se opuso. Si Gather no puede ofrecer dicho cambio dentro de los treinta (30) días posteriores a la recepción del aviso del Cliente, el Cliente podrá rescindir los Servicios que no puedan prestarse sin el uso del Subencargado del tratamiento rechazado. Si el Cliente rescinde los Servicios, Gather reembolsará al Cliente las tarifas pagadas por adelantado que cubran el resto del plazo especificado en el documento de pedido aplicable posterior a la fecha de entrada en vigor de la rescisión. Sin perjuicio de cualquier disposición en contrario contenida en el presente documento, el Cliente reconoce y acepta que Gather puede utilizar los Subencargados del tratamiento identificados en el Anexo 3 para prestar los Servicios de Gather. Gather sigue siendo responsable de sus Subencargados del tratamiento y responderá de sus actos y omisiones como de sus propios actos y omisiones, y cualquier referencia a las obligaciones, actos y omisiones de Gather en este Anexo se interpretará como referida también a los Subencargados del tratamiento de Gather. Las partes acuerdan que los derechos de auditoría previstos en los términos de este Anexo no se extienden a las instalaciones de los Subencargados del tratamiento de Gather.
10. Evaluación de Impacto relativa a la Protección de Datos y Consulta Previa
A solicitud del Cliente, Gather proporcionará asistencia razonable al Cliente con cualquier evaluación de impacto relativa a la protección de datos y consultas previas con las autoridades de control que el Cliente considere razonablemente que le son exigidas por los artículos 35 o 36 del RGPD, en cada caso únicamente en relación con el Procesamiento de Datos Personales por parte de Gather y teniendo en cuenta la naturaleza del Procesamiento y la información disponible para Gather.
11. Rescisión
11.1 Este Anexo continuará en vigor hasta el vencimiento o rescisión del Acuerdo.
11.2 Tras el vencimiento o rescisión del Acuerdo, el Cliente podrá extraer Datos Personales de los Servicios de Gather. Dentro de los treinta (30) días posteriores a la eliminación de un espacio virtual por parte del Cliente, Gather eliminará los Datos Personales de acuerdo con los términos del Acuerdo, excepto según lo exija la ley o, si lo permite la ley aplicable, para resolver disputas o hacer cumplir los acuerdos y políticas legales de Gather. Gather puede retener los Datos Personales necesarios para prestar los Servicios o la información que se pone a disposición de otros Clientes, como a través de publicaciones o conversaciones públicas, incluido lo descrito en la Sección 5.5(d) de los Términos de Servicio.
12. Disposiciones Específicas de la CCPA
12.1 Gather actúa como un “Proveedor de Servicios” en nombre del Cliente, una “Empresa”, de conformidad con la CCPA. Gather no retendrá, utilizará ni divulgará los Datos del Cliente que este le revele para ningún otro fin que no sea el específico de prestar los Servicios de Gather de conformidad con los términos del Acuerdo o según se disponga de otro modo en la CCPA.
12.2 Gather no venderá ningún Dato del Cliente a un tercero por una contraprestación monetaria u otra contraprestación de valor.
12.3 Gather no retendrá, utilizará ni divulgará ningún Dato del Cliente fuera de la relación comercial directa entre Gather y el Cliente, excepto según lo dispuesto en la CCPA.
13. Varios
Las partes no prevén la transferencia de datos sensibles como parte del Acuerdo. La responsabilidad de cada parte derivada de este Anexo o relacionada con él, ya sea por contrato, responsabilidad extracontractual o bajo cualquier teoría de responsabilidad, está sujeta a la sección de 'Limitación de Responsabilidad' del Acuerdo. Si existe un conflicto entre alguna disposición de este Anexo y alguna disposición del Acuerdo, prevalecerá este Anexo. Salvo por los cambios realizados por este Anexo, el Acuerdo permanece sin cambios y en pleno vigor y efecto. Este Anexo no restringirá ninguna Ley de Protección de Datos aplicable. Si alguna disposición de este Anexo resulta ineficaz o nula, esto no afectará a las disposiciones restantes. Las partes reemplazarán la disposición ineficaz o nula por una disposición legal que refleje el propósito comercial de la disposición ineficaz o nula. En caso de que falte una disposición necesaria, las partes agregarán una adecuada de buena fe. En caso de conflicto, el orden de precedencia con respecto al Procesamiento de Datos Personales será este Anexo y luego el Acuerdo. Si las Cláusulas Contractuales Tipo de la UE forman parte integrante de este Anexo, prevalecerán las Cláusulas Contractuales Tipo de la UE. Este Anexo sustituye y reemplaza todos los acuerdos, comunicaciones y otros entendimientos anteriores, escritos u orales, relacionados con el objeto de este Anexo. Este Anexo podrá firmarse en uno o más ejemplares, cada uno de los cuales se considerará un original y todos los cuales, tomados en su conjunto, se considerará que constituyen uno y el mismo documento.
Cláusulas Contractuales Tipo
SECCIÓN I
Cláusula 1
Objeto y alcance
(a) El objeto de estas cláusulas contractuales tipo es garantizar el cumplimiento de los requisitos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos) (1) para la transferencia de datos personales a un tercer país.
(b) Las Partes:
la persona o personas físicas o jurídicas, autoridad pública, agencia u otro organismo (en lo sucesivo, “entidad” o “entidades”) que transfieren los datos personales, tal como se enumeran en el Anexo I.A (en lo sucesivo, cada uno el “exportador de datos”), y
la entidad o entidades en un tercer país que reciben los datos personales del exportador de datos, directa o indirectamente a través de otra entidad que también sea Parte de estas Cláusulas, tal como se enumeran en el Anexo I.A (en lo sucesivo, cada uno el “importador de datos”) han acordado estas cláusulas contractuales tipo (en lo sucesivo: “Cláusulas”).
(c) Estas Cláusulas se aplican con respecto a la transferencia de datos personales según se especifica en el Anexo I.B.
(d) El Apéndice de estas Cláusulas que contiene los Anexos a los que se hace referencia en el mismo forma parte integrante de estas Cláusulas.
Cláusula 2
Efecto e invariabilidad de las Cláusulas
(a) Estas Cláusulas establecen garantías adecuadas, incluidos los derechos exigibles de los interesados y recursos legales efectivos, de conformidad con el artículo 46, apartado 1, y el artículo 46, apartado 2, letra c), del Reglamento (UE) 2016/679 y, con respecto a las transferencias de datos de responsables a encargados y/o de encargados a encargados, cláusulas contractuales tipo de conformidad con el artículo 28, apartado 7, del Reglamento (UE) 2016/679, siempre que no se modifiquen, excepto para seleccionar el Módulo o Módulos apropiados o para agregar o actualizar información en el Apéndice. Esto no impide que las Partes incluyan las cláusulas contractuales tipo establecidas en estas Cláusulas en un contrato más amplio y/o agreguen otras cláusulas o garantías adicionales, siempre que no contradigan, directa o indirectamente, estas Cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.
(b) Estas Cláusulas se entenderán sin perjuicio de las obligaciones a las que está sujeto el exportador de datos en virtud del Reglamento (UE) 2016/679.
Cláusula 3
Terceros beneficiarios
(a) Los interesados podrán invocar y exigir el cumplimiento de estas Cláusulas, como terceros beneficiarios, frente al exportador de datos y/o al importador de datos, con las siguientes excepciones:
Cláusula 1, Cláusula 2, Cláusula 3, Cláusula 6, Cláusula 7;
Cláusula 8 – Cláusula 8.1(b), 8.9(a), (c), (d) y (e);
Cláusula 9 – Cláusula 9(a), (c), (d) y (e);
Cláusula 12 – Cláusula 12(a), (d) y (f);
Cláusula 13;
Cláusula 15.1(c), (d) y (e);
Cláusula 16(e);
Cláusula 18 – Cláusula 18(a) y 18(b);
(b) El apartado (a) se entenderá sin perjuicio de los derechos de los interesados en virtud del Reglamento (UE) 2016/679.
Cláusula 4
Interpretación
(a) Cuando en estas Cláusulas se utilicen términos definidos en el Reglamento (UE) 2016/679, dichos términos tendrán el mismo significado que en dicho Reglamento.
(b) Estas Cláusulas se leerán e interpretarán a la luz de las disposiciones del Reglamento (UE) 2016/679.
(c) Estas Cláusulas no se interpretarán de manera que entren en conflicto con los derechos y obligaciones previstos en el Reglamento (UE) 2016/679.
Cláusula 5
Jerarquía
En caso de contradicción entre estas Cláusulas y las disposiciones de acuerdos relacionados entre las Partes, existentes en el momento en que se acuerden estas Cláusulas o que se celebren con posterioridad, prevalecerán estas Cláusulas.
Cláusula 6
Descripción de la(s) transferencia(s)
Los detalles de la(s) transferencia(s) y, en particular, las categorías de datos personales que se transfieren y el fin o fines para los que se transfieren, se especifican en el Anexo I.B.
Cláusula 7
Cláusula de adhesión
(a) Una entidad que no sea Parte de estas Cláusulas podrá, con el acuerdo de las Partes, adherirse a estas Cláusulas en cualquier momento, ya sea como exportador de datos o como importador de datos, completando el Apéndice y firmando el Anexo I.A.
(b) Una vez que haya completado el Apéndice y firmado el Anexo I.A, la entidad adherente se convertirá en Parte de estas Cláusulas y tendrá los derechos y obligaciones de un exportador de datos o importador de datos de acuerdo con su designación en el Anexo I.A.
(c) La entidad adherente no tendrá derechos ni obligaciones derivados de estas Cláusulas con respecto al período anterior a convertirse en Parte.
SECCIÓN II – OBLIGACIONES DE LAS PARTES
Cláusula 8
Garantías de protección de datos
El exportador de datos garantiza que ha realizado esfuerzos razonables para determinar que el importador de datos puede, mediante la implementación de medidas técnicas y organizativas adecuadas, cumplir con sus obligaciones en virtud de estas Cláusulas.
8.1. Instrucciones
(a) El importador de datos tratará los datos personales únicamente siguiendo instrucciones documentadas del exportador de datos. El exportador de datos podrá dar dichas instrucciones durante toda la duración del contrato.
(b) El importador de datos informará inmediatamente al exportador de datos si no puede seguir esas instrucciones.
8.2. Limitación de la finalidad
El importador de datos tratará los datos personales únicamente para los fines específicos de la transferencia, tal como se establece en el Anexo I.B, a menos que reciba nuevas instrucciones del exportador de datos.
8.3. Transparencia
A solicitud del interesado, el exportador de datos pondrá a su disposición una copia de estas Cláusulas, incluido el Apéndice completado por las Partes, de forma gratuita. En la medida necesaria para proteger secretos comerciales u otra información confidencial, incluidas las medidas descritas en el Anexo II y los datos personales, el exportador de datos podrá redactar parte del texto del Apéndice de estas Cláusulas antes de compartir una copia, pero proporcionará un resumen significativo en caso de que, de lo contrario, el interesado no pudiera comprender su contenido o ejercer sus derechos. A solicitud, las Partes proporcionarán al interesado los motivos de las redacciones, en la medida de lo posible sin revelar la información redactada. Esta Cláusula se entenderá sin perjuicio de las obligaciones del exportador de datos en virtud de los artículos 13 y 14 del Reglamento (UE) 2016/679.
8.4. Exactitud
Si el importador de datos tiene conocimiento de que los datos personales que ha recibido son inexactos o han quedado desactualizados, lo informará al exportador de datos sin demora indebida. En este caso, el importador de datos cooperará con el exportador de datos para suprimir o rectificar los datos.
8.5. Duración del tratamiento y supresión o devolución de datos
El tratamiento por parte del importador de datos solo se llevará a cabo durante la duración especificada en el Anexo I.B. Tras la finalización de la prestación de los servicios de tratamiento, el importador de datos, a elección del exportador de datos, suprimirá todos los datos personales tratados en nombre del exportador de datos y certificará al exportador de datos que lo ha hecho, o devolverá al exportador de datos todos los datos personales tratados en su nombre y suprimirá las copias existentes. Hasta que los datos sean suprimidos o devueltos, el importador de datos seguirá garantizando el cumplimiento de estas Cláusulas. En caso de que las leyes locales aplicables al importador de datos prohíban la devolución o supresión de los datos personales, el importador de datos garantiza que seguirá garantizando el cumplimiento de estas Cláusulas y solo los tratará en la medida y durante el tiempo que exija dicha ley local. Esto se entenderá sin perjuicio de la Cláusula 14, en particular el requisito para el importador de datos en virtud de la Cláusula 14(e) de notificar al exportador de datos durante toda la duración del contrato si tiene motivos para creer que está o ha pasado a estar sujeto a leyes o prácticas que no se ajusten a los requisitos de la Cláusula 14(a).
8.6. Seguridad del tratamiento
(a) El importador de datos y, durante la transmisión, también el exportador de datos implementarán medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos, incluida la protección contra una violación de la seguridad que provoque la destrucción, pérdida, alteración accidental o ilícita, la divulgación o el acceso no autorizados a dichos datos (en lo sucesivo, “brecha de seguridad de datos personales”). Al evaluar el nivel de seguridad adecuado, las Partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos que conlleva el tratamiento para los interesados. Las Partes considerarán, en particular, recurrir al cifrado o a la seudonimización, incluso durante la transmisión, cuando el fin del tratamiento pueda cumplirse de esa manera. En caso de seudonimización, la información adicional para atribuir los datos personales a un interesado específico permanecerá, cuando sea posible, bajo el control exclusivo del exportador de datos. Al cumplir con sus obligaciones en virtud de este párrafo, el importador de datos implementará al menos las medidas técnicas y organizativas especificadas en el Anexo II. El importador de datos realizará comprobaciones periódicas para garantizar que estas medidas sigan proporcionando un nivel de seguridad adecuado.
(b) El importador de datos concederá acceso a los datos personales a los miembros de su personal únicamente en la medida estrictamente necesaria para la ejecución, gestión y control del contrato. Se asegurará de que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad.
(c) En caso de producirse una brecha de seguridad de datos personales que afecte a los datos personales tratados por el importador de datos en virtud de estas Cláusulas, el importador de datos tomará las medidas adecuadas para solucionar la brecha, incluidas medidas para mitigar sus efectos adversos. El importador de datos también notificará al exportador de datos sin demora indebida después de haber tenido conocimiento de la brecha. Dicha notificación contendrá los datos de un punto de contacto donde se pueda obtener más información, una descripción de la naturaleza de la brecha (incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y registros de datos personales afectados), sus consecuencias probables y las medidas adoptadas o propuestas para solucionar la brecha, incluidas, cuando corresponda, medidas para mitigar sus posibles efectos adversos. Cuando no sea posible facilitar toda la información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento y la información restante se facilitará posteriormente sin demora indebida a medida que esté disponible.
(d) El importador de datos cooperará con el exportador de datos y le asistirá para permitir que este cumpla con sus obligaciones en virtud del Reglamento (UE) 2016/679, en particular para notificar a la autoridad de control competente y a los interesados afectados, teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga el importador de datos.
8.7 Datos sensibles
Cuando la transferencia implique datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o a la vida sexual o las orientación sexuales de una persona, o datos relativos a condenas e infracciones penales (en lo sucesivo, “datos sensibles”), el importador de datos aplicará las restricciones específicas y/o garantías adicionales descritas en el Anexo I.B.
8.8 Transferencias ulteriores
El importador de datos solo divulgará los datos personales a un tercero siguiendo instrucciones documentadas del exportador de datos. Además, los datos solo podrán divulgarse a un tercero situado fuera de la Unión Europea (4) (en el mismo país que el importador de datos o en otro tercer país, en lo sucesivo “transferencia ulterior”) si el tercero está o acepta estar vinculado por estas Cláusulas, bajo el Módulo correspondiente, o si:
la transferencia ulterior se realiza a un país que se beneficia de una decisión de adecuación de conformidad con el artículo 45 del Reglamento (UE) 2016/679 que cubra la transferencia ulterior;
el tercero garantiza de otro modo las salvaguardias adecuadas de conformidad con los artículos 46 o 47 del Reglamento (UE) 2016/679 con respecto al tratamiento en cuestión;
la transferencia ulterior sea necesaria para la formulación, el ejercicio o la defensa de reclamaciones judiciales en el contexto de procedimientos administrativos, reglamentarios o judiciales específicos; o
la transferencia ulterior sea necesaria para proteger los intereses vitales del interesado o de otra persona física.
Cualquier transferencia ulterior está sujeta al cumplimiento por parte del importador de datos de todas las demás garantías en virtud de estas Cláusulas, en particular la limitación de la finalidad.
8.9 Documentación y cumplimiento
(a) El importador de datos atenderá con prontitud y de manera adecuada las consultas del exportador de datos que se refieran al tratamiento en virtud de estas Cláusulas.
(b) Las Partes deberán poder demostrar el cumplimiento de estas Cláusulas. En particular, el importador de datos mantendrá la documentación adecuada sobre las actividades de tratamiento realizadas en nombre del exportador de datos.
(c) El importador de datos pondrá a disposición del exportador de datos toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en estas Cláusulas y, a solicitud del exportador de datos, permitirá y contribuirá a las auditorías de las actividades de tratamiento cubiertas por estas Cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir sobre una revisión o auditoría, el exportador de datos puede tener en cuenta las certificaciones pertinentes que posea el importador de datos.
(d) El exportador de datos puede optar por realizar la auditoría por sí mismo o encomendarla a un auditor independiente. Las auditorías pueden incluir inspecciones en los locales o instalaciones físicas del importador de datos y se llevarán a cabo, cuando corresponda, con un aviso previo razonable.
(e) Las Partes pondrán la información a que se refieren los apartados (b) y (c), incluidos los resultados de las auditorías, a disposición de la autoridad de control competente a solicitud de esta.
Cláusula 9
Uso de Subencargados del tratamiento
(a) El importador de datos tiene la autorización general del exportador de datos para la contratación de Subencargado(s) de una lista acordada. El importador de datos informará específicamente por escrito al exportador de datos sobre cualquier cambio previsto en dicha lista mediante la adición o sustitución de Subencargados con al menos treinta (30) días de antelación, dando así al exportador de datos tiempo suficiente para poder oponerse a tales cambios antes de la contratación de los Subencargado(s). El importador de datos facilitará al exportador de datos la información necesaria para permitirle ejercer su derecho de oposición.
(b) Cuando el importador de datos contrate a un Subencargado para llevar a cabo actividades de tratamiento específicas (en nombre del exportador de datos), lo hará mediante un contrato por escrito que prevea, en esencia, las mismas obligaciones de protección de datos que las que vinculan al importador de datos en virtud de estas Cláusulas, incluso en lo que respecta a los derechos de terceros beneficiarios para los interesados. (8) Las Partes acuerdan que, al cumplir con esta Cláusula, el importador de datos cumple con sus obligaciones en virtud de la Cláusula 8.8. El importador de datos se asegurará de que el Subencargado cumpla con las obligaciones a las que está sujeto el importador de datos de conformidad con estas Cláusulas.
(c) El importador de datos facilitará, a solicitud del exportador de datos, una copia de dicho acuerdo de Subencargado y de cualquier enmienda posterior al exportador de datos. En la medida necesaria para proteger secretos comerciales u otra información confidencial, incluidos los datos personales, el importador de datos podrá redactar el texto del acuerdo antes de compartir una copia.
(d) El importador de datos seguirá siendo plenamente responsable ante el exportador de datos del cumplimiento de las obligaciones del Subencargado en virtud de su contrato con el importador de datos. El importador de datos notificará al exportador de datos cualquier incumplimiento por parte del Subencargado de sus obligaciones en virtud de dicho contrato.
(e) El importador de datos acordará una cláusula de tercero beneficiario con el Subencargado por la cual, en caso de que el importador de datos haya desaparecido de hecho, haya dejado de existir jurídicamente o se haya declarado insolvente, el exportador de datos tendrá derecho a rescindir el contrato del Subencargado e instruir al Subencargado para que suprima o devuelva los datos personales.
Cláusula 10
Derechos de los interesados
(a) El importador de datos notificará de inmediato al exportador de datos cualquier solicitud que haya recibido de un interesado. No responderá a dicha solicitud por sí mismo a menos que haya sido autorizado para hacerlo por el exportador de datos.
(b) El importador de datos asistirá al exportador de datos a cumplir con sus obligaciones de responder a las solicitudes de los interesados para el ejercicio de sus derechos en virtud del Reglamento (UE) 2016/679. A este respecto, las Partes establecerán en el Anexo II las medidas técnicas y organizativas adecuadas, teniendo en cuenta la naturaleza del tratamiento, mediante las cuales se prestará la asistencia, así como el alcance y la medida de la asistencia requerida.
(c) En el cumplimiento de sus obligaciones en virtud de los apartados (a) y (b), el importador de datos cumplirá con las instrucciones del exportador de datos.
Cláusula 11
Recursos
(a) El importador de datos informará a los interesados en un formato transparente y de fácil acceso, mediante notificación individual o en su sitio web, de un punto de contacto autorizado para gestionar las reclamaciones. Atenderá con prontitud las reclamaciones que reciba de un interesado.
(b) En caso de litigio entre un interesado y una de las Partes en relación con el cumplimiento de estas Cláusulas, dicha Parte hará todo lo posible para resolver el asunto de manera amistosa y oportuna. Las Partes se mantendrán informadas mutuamente sobre dichos litigios y, cuando corresponda, cooperarán para resolverlos.
(c) Cuando el interesado invoque un derecho de tercero beneficiario de conformidad con la Cláusula 3, el importador de datos aceptará la decisión del interesado de:
presentar una reclamación ante la autoridad de control del Estado miembro de su residencia habitual o lugar de trabajo, o ante la autoridad de control competente de conformidad con la Cláusula 13;
someter el litigio a los tribunales competentes en el sentido de la Cláusula 18.
(d) Las Partes aceptan que el interesado pueda estar representado por un organismo, organización o asociación sin ánimo de lucro en las condiciones establecidas en el artículo 80, apartado 1, del Reglamento (UE) 2016/679.
(e) El importador de datos acatará una decisión que sea vinculante en virtud de la legislación aplicable de la UE o de un Estado miembro.
(f) El importador de datos acepta que la elección realizada por el interesado no perjudicará sus derechos sustantivos y procesales a interponer recursos de conformidad con las leyes aplicables.
Cláusula 12
Responsabilidad
(a) Cada Parte será responsable ante la otra Parte o Partes de los daños que cause a la otra Parte o Partes por cualquier incumplimiento de estas Cláusulas.
(b) El importador de datos será responsable ante el interesado, y este tendrá derecho a percibir una indemnización, por cualquier daño material o inmaterial que el importador de datos o su Subencargado cause al interesado al infringir los derechos de terceros beneficiarios en virtud de estas Cláusulas.
(c) Sin perjuicio del apartado (b), el exportador de datos será responsable ante el interesado, y este tendrá derecho a percibir una indemnización, por cualquier daño material o inmaterial que el exportador de datos o el importador de datos (o su Subencargado) causen al interesado al infringir los derechos de terceros beneficiarios en virtud de estas Cláusulas. Esto se entenderá sin perjuicio de la responsabilidad del exportador de datos y, cuando el exportador de datos sea un encargado que actúe en nombre de un responsable, de la responsabilidad del responsable en virtud del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725, según corresponda.
(d) Las Partes acuerdan que si el exportador de datos es declarado responsable en virtud del apartado (c) por los daños causados por el importador de datos (o su Subencargado), tendrá derecho a reclamar al importador de datos la parte de la indemnización correspondiente a la responsabilidad del importador de datos por el daño.
(e) Cuando más de una Parte sea responsable de cualquier daño causado al interesado como consecuencia de un incumplimiento de estas Cláusulas, todas las Partes responsables serán solidariamente responsables y el interesado tendrá derecho a entablar una acción judicial contra cualquiera de estas Partes.
(f) Las Partes acuerdan que si una de las Partes es declarada responsable en virtud del apartado (e), tendrá derecho a reclamar a la otra Parte o Partes la parte de la indemnización correspondiente a su responsabilidad por el daño.
(g) El importador de datos no podrá invocar la conducta de un Subencargado para eludir su propia responsabilidad.
Cláusula 13
Supervisión
(a) Cuando el exportador de datos esté establecido en un Estado miembro de la UE: La autoridad de control responsable de garantizar el cumplimiento por parte del exportador de datos del Reglamento (UE) 2016/679 en lo que respecta a la transferencia de datos, como se indica en el Anexo I.C, actuará como autoridad de control competente.
Cuando el exportador de datos no esté establecido en un Estado miembro de la UE, pero entre dentro del ámbito territorial de aplicación del Reglamento (UE) 2016/679 de conformidad con su artículo 3, apartado 2, y haya nombrado un representante de conformidad con el artículo 27, apartado 1, del Reglamento (UE) 2016/679: La autoridad de control del Estado miembro en el que esté establecido el representante en el sentido del artículo 27, apartado 1, del Reglamento (UE) 2016/679, como se indica en el Anexo I.C, actuará como autoridad de control competente.
Cuando el exportador de datos no esté establecido en un Estado miembro de la UE, pero entre dentro del ámbito de aplicación territorial del Reglamento (UE) 2016/679 de conformidad con su artículo 3, apartado 2, sin tener sin embargo que designar un representante de conformidad con el artículo 27, apartado 2, del Reglamento (UE) 2016/679: La autoridad de control de uno de los Estados miembros en los que se encuentren los interesados cuyos datos personales se transfieran en virtud de estas Cláusulas en relación con la oferta de bienes o servicios a los mismos, o cuyo comportamiento sea controlado, como se indica en el Anexo I.C, actuará como autoridad de control competente.
(b) El importador de datos acepta someterse a la jurisdicción de la autoridad de control competente y cooperar con ella en cualquier procedimiento destinado a garantizar el cumplimiento de estas Cláusulas. En particular, el importador de datos acepta responder a las consultas, someterse a auditorías y cumplir con las medidas adoptadas por la autoridad de control, incluidas las medidas correctoras y compensatorias. Facilitará a la autoridad de control una confirmación por escrito de que se han tomado las medidas necesarias.
SECTION III – LEYES LOCALES Y OBLIGACIONES EN CASO DE ACCESO POR PARTE DE LAS AUTORIDADES PÚBLICAS
Cláusula 14
Leyes y prácticas locales que afectan al cumplimiento de las Cláusulas
(a) Las Partes garantizan que no tienen motivos para creer que las leyes y prácticas del tercer país de destino aplicables al tratamiento de los datos personales por parte del importador de datos, incluidos los requisitos para revelar datos personales o las medidas que autoricen el acceso por parte de las autoridades públicas, impidan al importador de datos cumplir con sus obligaciones en virtud de estas Cláusulas. Esto se basa en el entendimiento de que las leyes y prácticas que respeten la esencia de los derechos y libertades fundamentales y no excedan de lo necesario y proporcionado en una sociedad democrática para salvaguardar uno de los objetivos enumerados en el artículo 23, apartado 1, del Reglamento (UE) 2016/679, no entran en contradicción con estas Cláusulas.
(b) Las Partes declaran que, al ofrecer la garantía del apartado (a), han tenido debidamente en cuenta, en particular, los siguientes elementos:
las circunstancias específicas de la transferencia, incluida la duración de la cadena de tratamiento, el número de agentes implicados y los canales de transmisión utilizados; las transferencias ulteriores previstas; el tipo de destinatario; el fin del tratamiento; las categorías y el formato de los datos personales transferidos; el sector económico en el que se produce la transferencia; el lugar de almacenamiento de los datos transferidos;
las leyes y prácticas del tercer país de destino – incluidas las que exigen la divulgación de datos a las autoridades públicas o autorizan el acceso por parte de tales autoridades – pertinentes a la luz de las circunstancias específicas de la transferencia, y las limitaciones y garantías aplicables (12);
cualquier garantía contractual, técnica u organizativa pertinente establecida para complementar las garantías de estas Cláusulas, incluidas las medidas aplicadas durante la transmisión y para el tratamiento de los datos personales en el país de destino.
(c) El importador de datos garantiza que, al llevar a cabo la evaluación en virtud del apartado (b), ha realizado sus mejores esfuerzos para proporcionar al exportador de datos la información pertinente y acepta que seguirá cooperando con el exportador de datos para garantizar el cumplimiento de estas Cláusulas.
(d) Las Partes acuerdan documentar la evaluación en virtud del apartado (b) y ponerla a disposición de la autoridad de control competente a solicitud de esta.
(e) El importador de datos acepta notificar al exportador de datos a la mayor brevedad si, tras haber acordado estas Cláusulas y durante la duración del contrato, tiene motivos para creer que está o ha pasado a estar sujeto a leyes o prácticas que no se ajusten a los requisitos del apartado (a), incluso tras una modificación de las leyes del tercer país o una medida (como una solicitud de divulgación) que indique una aplicación de dichas leyes en la práctica que no sea conforme con los requisitos del apartado (a).
(f) Tras una notificación de conformidad con el apartado (e), o si el exportador de datos tiene de otro modo motivos para creer que el importador de datos ya no puede cumplir con sus obligaciones en virtud de estas Cláusulas, el exportador de datos identificará de inmediato las medidas adecuadas (por ejemplo, medidas técnicas u organizativas para garantizar la seguridad y la confidencialidad) que deban adoptar el exportador de datos y/o el importador de datos para hacer frente a la situación. El exportador de datos suspenderá la transferencia de datos si considera que no se pueden garantizar salvaguardias adecuadas para dicha transferencia, o si así se lo ordena la autoridad de control competente. En este caso, el exportador de datos tendrá derecho a rescindir el contrato, en la medida en que afecte al tratamiento de datos personales en virtud de estas Cláusulas. Si el contrato implica a más de dos Partes, el exportador de datos podrá ejercer este derecho de rescisión únicamente con respecto a la Parte de que se trate, a menos que las Partes hayan acordado otra cosa. Cuando se rescinda el contrato de conformidad con esta Cláusula, se aplicará la Cláusula 16(d) y (e).
Cláusula 15
Obligaciones del importador de datos en caso de acceso por parte de las autoridades públicas
15.1. Notificación
(a) El importador de datos acepta notificar al exportador de datos y, cuando sea posible, al interesado a la mayor brevedad (si es necesario con la ayuda del exportador de datos) si:
recibe una solicitud legalmente vinculante de una autoridad pública, incluidas las autoridades judiciales, en virtud de las leyes del país de destino para la divulgación de datos personales transferidos de conformidad con estas Cláusulas; dicha notificación incluirá información sobre los datos personales solicitados, la autoridad solicitante, la base jurídica de la solicitud y la respuesta facilitada; o
tiene conocimiento de cualquier acceso directo de las autoridades públicas a los datos personales transferidos de conformidad con estas Cláusulas de acuerdo con las leyes del país de destino; dicha notificación incluirá toda la información de la que disponga el importador.
(b) Si el importador de datos tiene prohibido notificar al exportador de datos y/o al interesado en virtud de las leyes del país de destino, el importador de datos acepta realizar sus mejores esfuerzos para obtener una exención de la prohibición, con el fin de comunicar la mayor cantidad de información posible, a la mayor brevedad. El importador de datos acepta documentar sus mejores esfuerzos para poder demostrarlos a solicitud del exportador de datos.
(c) Cuando lo permitan las leyes del país de destino, el importador de datos acepta facilitar al exportador de datos, a intervalos regulares durante la vigencia del contrato, la mayor cantidad posible de información pertinente sobre las solicitudes recibidas (en particular, número de solicitudes, tipo de datos solicitados, autoridad o autoridades solicitantes, si las solicitudes han sido impugnadas y el resultado de dichas impugnaciones, etc.).
(d) El importador de datos acepta conservar la información de conformidad con los apartados (a) a (c) durante la vigencia del contrato y ponerla a disposición de la autoridad de control competente a solicitud de esta.
(e) Los apartados (a) a (c) se entenderán sin perjuicio de la obligación del importador de datos de conformidad con la Cláusula 14(e) y la Cláusula 16 de informar al exportador de datos a la mayor brevedad cuando no pueda cumplir con estas Cláusulas.
15.2. Control de legalidad y minimización de datos
(a) El importador de datos acepta revisar la legalidad de la solicitud de divulgación, en particular si se mantiene dentro de los poderes otorgados a la autoridad pública solicitante, y a impugnar la solicitud si, tras una evaluación minuciosa, concluye que existen motivos razonables para considerar que la solicitud es ilegal según las leyes del país de destino, las obligaciones aplicables en virtud del derecho internacional y los principios de cortesía internacional. El importador de datos, en las mismas condiciones, agotará las posibilidades de recurso. Al impugnar una solicitud, el importador de datos solicitará medidas provisionales con el fin de suspender los efectos de la solicitud hasta que la autoridad judicial competente haya decidido sobre el fondo del asunto. No divulgará los datos personales solicitados hasta que así lo exijan las normas de procedimiento aplicables. Estos requisitos se entenderán sin perjuicio de las obligaciones del importador de datos en virtud de la Cláusula 14(e).
(b) El importador de datos acepta documentar su evaluación jurídica y cualquier impugnación de la solicitud de divulgación y, en la medida permitida por las leyes del país de destino, poner la documentación a disposición del exportador de datos. También la pondrá a disposición de la autoridad de control competente a solicitud de esta.
(c) El importador de datos acepta proporcionar la cantidad mínima de información permitida al responder a una solicitud de divulgación, basándose en una interpretación razonable de la solicitud.
SECCIÓN IV – DISPOSICIONES FINALES
Cláusula 16
Incumplimiento de las Cláusulas y rescisión
(a) El importador de datos informará al exportador de datos a la mayor brevedad si no puede cumplir con estas Cláusulas, por cualquier motivo.
(b) En caso de que el importador de datos incumpla estas Cláusulas o no pueda cumplir con ellas, el exportador de datos suspenderá la transferencia de datos personales al importador de datos hasta que se garantice de nuevo el cumplimiento o se rescinda el contrato. Esto se entenderá sin perjuicio de la Cláusula 14(f).
(c) El exportador de datos tendrá derecho a rescindir el contrato, en la medida en que afecte al tratamiento de datos personales en virtud de estas Cláusulas, cuando:
el exportador de datos haya suspendido la transferencia de datos personales al importador de datos de conformidad con el apartado (b) y el cumplimiento de estas Cláusulas no se restablezca dentro de un plazo razonable y, en cualquier caso, dentro del plazo de un mes a partir de la suspensión;
el importador de datos incurra en un incumplimiento sustancial o persistente de estas Cláusulas; o
el importador de datos no cumpla con una decisión vinculante de un tribunal competente o de una autoridad de control con respecto a sus obligaciones en virtud de estas Cláusulas.
In estos casos, informará a la autoridad de control competente de dicho incumplimiento. Cuando el contrato implique a más de dos Partes, el exportador de datos podrá ejercer este derecho de rescisión únicamente con respecto a la Parte de que se trate, a menos que las Partes hayan acordado otra cosa.
(d) Los datos personales que hayan sido transferidos con anterioridad a la rescisión del contrato de conformidad con el apartado (c) serán, a elección del exportador de datos, devueltos inmediatamente al exportador de datos o suprimidos en su totalidad. Lo mismo se aplicará a las copias de los datos. El importador de datos certificará la supresión de los datos al exportador de datos. Hasta que los datos sean suprimidos o devueltos, el importador de datos seguirá garantizando el cumplimiento de estas Cláusulas. En caso de que las leyes locales aplicables al importador de datos prohíban la devolución o supresión de los datos personales transferidos, el importador de datos garantiza que seguirá garantizando el cumplimiento de estas Cláusulas y solo tratará los datos en la medida y durante el tiempo que exija dicha ley local.
(e) Cualquiera de las Partes podrá revocar su acuerdo de quedar vinculada por estas Cláusulas cuando (i) la Comisión Europea adopte una decisión de conformidad con el artículo 45, apartado 3, del Reglamento (UE) 2016/679 que regule la transferencia de datos personales a la que se aplican estas Cláusulas; o (ii) el Reglamento (UE) 2016/679 pase a formar parte del marco jurídico del país al que se transfieren los datos personales. Esto se entenderá sin perjuicio de otras obligaciones aplicables al tratamiento en cuestión en virtud del Reglamento (UE) 2016/679.
Cláusula 17
Ley aplicable
Estas Cláusulas se regirán por la ley de uno de los Estados miembros de la UE, siempre que dicha ley permita los derechos de terceros beneficiarios. Las Partes acuerdan que estas Cláusulas se regirán de conformidad con la sección 'Entidad Contratante; Ley Aplicable; Notificación' de los Términos Específicos de la Jurisdicción o, si dicha sección no especifica un Estado miembro de la UE, por la ley de la República de Irlanda (sin referencia a los principios de conflicto de leyes).
Cláusula 18
Elección de foro y jurisdicción
(a) Cualquier litigio derivado de estas Cláusulas se resolverá ante los tribunales de un Estado miembro de la UE.
(b) Las Partes acuerdan que dichos tribunales serán los de Irlanda.
(c) El interesado también podrá entablar acciones judiciales contra el exportador de datos y/o el importador de datos ante los tribunales del Estado miembro en el que tenga su residencia habitual.
(d) Las Partes aceptan someterse a la jurisdicción de dichos tribunales.
ANEXO DEL REINO UNIDO Y SUIZA A LAS CLÁUSULAS CONTRACTUALES TIPO
(a) Este Anexo modifica las Cláusulas Contractuales Tipo en la medida necesaria para que operen para las transferencias realizadas por el exportador de datos al importador de datos, en la medida en que el RGPD del Reino Unido o la LPD suiza (tal como se define en el Anexo de Procesamiento de Datos de Gather) se apliquen al tratamiento del exportador de datos al realizar esa transferencia.
(b) Las Cláusulas Contractuales Tipo se modificarán con las siguientes modificaciones:
(i) las referencias al "Reglamento (UE) 2016/679" se interpretarán como referencias al RGPD del Reino Unido o a la LPD suiza (según corresponda);
(ii) las referencias a artículos específicos del "Reglamento (UE) 2016/679" se sustituirán por el artículo o sección equivalente del RGPD del Reino Unido o de la LPD suiza (según corresponda);
(iii) se eliminarán las referencias al Reglamento (UE) 2018/1725;
(iv) las referencias a la "UE", la "Unión" y el "Estado miembro" se sustituirán por referencias al "Reino Unido" o "Suiza" (según corresponda);
(v) la Cláusula 13(a) y la Parte C del Anexo II no se utilizan y la "autoridad de control competente" será el Comisionado de Información del Reino Unido o el Comisionado Federal de Información y Protección de Datos de Suiza (según corresponda);
(vi) las referencias a la "autoridad de control competente" y a los "tribunales competentes" se sustituirán por referencias al "Comisionado de Información" y a los "tribunales de Inglaterra y Gales" o al "Comisionado Federal de Información y Protección de Datos de Suiza" y a los "tribunales aplicables de Suiza" (según corresponda);
(vii) en la Cláusula 17, las Cláusulas Contractuales Tipo se regirán por las leyes de Inglaterra y Gales o de Suiza (según corresponda); y
(viii) en la medida en que el RGPD del Reino Unido se aplique al tratamiento, la Cláusula 18 se sustituirá para establecer: “Cualquier litigio derivado de estas Cláusulas se resolverá ante los tribunales de Inglaterra y Gales. El interesado también podrá entablar acciones judiciales contra el exportador de datos y/o el importador de datos ante los tribunales de cualquier país del Reino Unido. Las Partes aceptan someterse a la jurisdicción de dichos tribunales”; y
(ix) en la medida en que la LPD suiza se aplique al tratamiento, la Cláusula 18 se sustituirá para establecer: “Cualquier litigio derivado de estas Cláusulas se resolverá ante los tribunales competentes de Suiza. Las Partes aceptan someterse a la jurisdicción de dichos tribunales”.
APÉNDICE
ANEXO I
A. LISTA DE LAS PARTES
EXPORTADOR DE DATOS
Nombre: El Cliente, tal como se define en el Acuerdo (en nombre propio y de sus Afiliados Autorizados)
Dirección: La dirección del Cliente, según se establece en el Acuerdo (si corresponde)
Nombre, cargo y datos de contacto de la persona de contacto: Los datos de contacto del Cliente, según se establece en el Acuerdo y/o según se establece en la Cuenta Gather del Cliente
Actividades pertinentes a los datos transferidos en virtud de estas Cláusulas: Tratamiento de Datos Personales en relación con el uso por parte del Cliente de los Servicios de Suscripción de Gather en virtud de los Términos de Servicio del Cliente de Gather
Función (responsable/encargado del tratamiento): Responsable del tratamiento de datos
IMPORTADOR DE DATOS
Nombre: Gather Presence, Inc.
Dirección: 2261 Market Street #4095 * San Francisco, CA 94114
Nombre, cargo y datos de contacto de la persona de contacto: security@gather.town
Actividades pertinentes a los datos transferidos en virtud de estas Cláusulas: Los servicios definidos en los Términos de Servicio de Gather Presence, Inc ( https://www.gather.town/terms-of-service)
Función (responsable/encargado del tratamiento): Encargado del tratamiento de datos
B. DESCRIPCIÓN DE LA TRANSFERENCIA
Categorías de interesados cuyos datos personales son transferidos
A menos que el Exportador de Datos disponga lo contrario, los Datos Personales del RGPD transferidos se refieren a las siguientes categorías de interesados: El Cliente y los usuarios finales del Cliente, incluidos los empleados y contratistas del Cliente.
Categorías de datos personales transferidos
Usted puede enviar Datos Personales a los Servicios, cuyo alcance es determinado y controlado por usted a su entera discreción, y que pueden incluir, entre otras, las siguientes categorías de Datos Personales:
a. Información de contacto
b. Cualquier otro Dato Personal enviado por, enviado a o recibido por usted, o sus usuarios finales, a través de los Servicios.
Para obtener detalles adicionales, puede visitar nuestra Política de Privacidad: https://www.gather.town/privacy-policy#Personal-Data
Datos sensibles transferidos y restricciones o garantías aplicadas
Las partes no prevén la transferencia de datos sensibles.
La frecuencia de la transferencia (por ejemplo, si los datos se transfieren de forma única o continua).
De forma continua.
Naturaleza y finalidad de las transferencias y del tratamiento
Los datos se transfieren y procesan para facilitar la prestación del Sitio y los Servicios, así como el soporte relacionado para los Servicios.
El período durante el cual se conservarán los datos personales o, si ello no es posible, los criterios utilizados para determinar dicho período
Conservamos sus Datos Personales únicamente durante el tiempo que sea necesario para los fines comerciales legítimos establecidos en la Política de Privacidad de Gather Presence, Inc (https://www.gather.town/privacy-policy), y no más de treinta (30) días después de que cierre su cuenta de usuario, a menos que se acuerde una política diferente en un acuerdo formalizado, o si estamos legalmente obligados a conservar los datos durante períodos más largos.
C. AUTORIDAD DE CONTROL COMPETENTE
A los efectos de las Cláusulas Contractuales Tipo, la autoridad de control que actuará como autoridad de control competente será (i) cuando el Cliente esté establecido en un Estado miembro de la UE, la autoridad de control responsable de garantizar el cumplimiento por parte del Cliente del RGPD; (ii) cuando el Cliente no esté establecido en un Estado miembro de la UE pero entre dentro del ámbito de aplicación extraterritorial del RGPD y haya nombrado un representante, la autoridad de control del Estado miembro de la UE en el que esté establecido el representante del Cliente; o (iii) cuando el Cliente no esté establecido en un Estado miembro de la UE pero entre dentro del ámbito de aplicación extraterritorial del RGPD sin tener que nombrar un representante, la autoridad de control del Estado miembro de la UE en el que se encuentren predominantemente los Interesados. En relación con los Datos Personales que estén sujetos al RGPD del Reino Unido o a la LPD suiza, la autoridad de control competente es el Comisionado de Información del Reino Unido o el Comisionado Federal de Información y Protección de Datos de Suiza (según corresponda).
ANEXO II
MEDIDAS TÉCNICAS Y ORGANIZATIVAS, INCLUIDAS LAS MEDIDAS TÉCNICAS Y ORGANIZATIVAS PARA GARANTIZAR LA SEGURIDAD DE LOS DATOS
Actualmente observamos las Medidas de Seguridad descritas en este Anexo II. Todos los términos en mayúsculas que no se definan de otro modo a continuación tendrán los significados establecidos en el DPA anterior o, alternativamente, en el Acuerdo.
Gather cifra los Datos Personales, lo que protege los Datos Personales durante la transmisión y el almacenamiento
Los datos recibidos por la aplicación Gather se cifran en tránsito mediante HTTPS, TLS y DTLS/SRTP, y los datos se cifran en reposo con AES256. Gather no almacena registros de vídeo, audio o chat en sus servidores.
Gather garantiza la confidencialidad, integridad, disponibilidad y resiliencia continuas de los sistemas y servicios de tratamiento, al tiempo que garantiza la calidad de los datos
La dirección ha aprobado e implementado una Política de Clasificación y Manejo de Datos con el fin de reducir los riesgos involucrados en el manejo de los datos de los clientes. La política es aplicable a toda la organización y a los contratistas pertinentes.
Gather garantiza la capacidad de restablecer la disponibilidad y el acceso a los Datos Personales de manera oportuna en caso de un incidente físico o técnico
Gather cuenta con un Plan de Recuperación ante Desastres en caso de que ocurra un evento que afecte a los centros de datos u otras instalaciones informáticas de Gather.
Gather cuenta con procesos para probar, valorar y evaluar la efectividad de las medidas técnicas y organizativas a fin de fortalecer nuestra postura de seguridad.
Gather tiene un conjunto de políticas y controles de seguridad de la información monitoreados continuamente para evaluar su efectividad y auditados periódicamente por terceros.
Identificación y autorización de usuarios de Gather, monitoreo del estado de configuración.
Gather tiene una Política de Control de Red y Acceso que es aplicable a todos los empleados, contratistas y terceros de Gather que utilizan sus recursos electrónicos, y todos los usuarios deben estar autenticados. Gather aplica reglas de cumplimiento y controles de seguridad de prueba para garantizar la seguridad de las operaciones.
Evaluación y remediación continua de vulnerabilidades.
Gather realiza revisiones anuales de sus políticas de información y utiliza una empresa externa para realizar pruebas de penetración en nuestra red y aplicaciones anualmente, además de realizar análisis recurrentes de vulnerabilidades.
Gather prioriza las vulnerabilidades de seguridad críticas que afectan la privacidad o seguridad del usuario por encima de todas las demás tareas de ingeniería cuando Gather tiene conocimiento de ellas.
Política Corporativa de Seguridad de la Información de Gather
Gather tiene varias políticas internas de seguridad de la información implementadas, incluidas las siguientes:
Política de Uso Aceptable
Política de Clasificación y Manejo de Datos
Política de Control de Red y Acceso
Manual de Administración de Seguridad
Plan de Respuesta a Incidentes de Seguridad
Proceso de Gestión de Riesgos de Proveedores
Ciclo de Vida del Desarrollo de Software
Gather tiene una capacidad limitada para compartir estas políticas y, en la medida en que estén disponibles para ser compartidas, requiere un acuerdo de confidencialidad.
Gather cuenta con su certificación de cumplimiento SOC 2.
ANNEX III
LISTA DE SUBENCARGADOS DEL TRATAMIENTO
Google Cloud
Página web: https://cloud.google.com/
Ubicación: Información completa aquí:
Descripción del tratamiento: Proveedor de alojamiento en la nube
Mailgun
Página web: https://www.mailgun.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Servicio de entrega de correo electrónico
Amazon Web Services
Página web: https://aws.amazon.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Proveedor de alojamiento en la nube
Amplitude
Página web: https://aws.amplitude.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Análisis de datos
Cloudflare
Página web: https://cloudflare.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Proveedor de alojamiento en la nube
New Relic
Página web: https://newrelic.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Análisis de datos
Twilio
Página web: https://twilio.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Mensajería
LiveKit
Página web: https://livekit.io/
Ubicación: Estados Unidos
Descripción del tratamiento: Vídeo
CockroachDB
Página web: https://www.cockroachlabs.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Base de datos distribuida con SQL estándar para aplicaciones en la nube.
Snowflake
Página web: https://www.snowflake.com/en/
Ubicación: Estados Unidos
Descripción del tratamiento: Almacén de datos centralizado
Enterpret
Página web: https://www.enterpret.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Repositorio de comentarios de los clientes
Census
Página web: https://www.getcensus.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Herramienta ETL inversa
HubSpot
Página web: https://www.hubspot.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Plataforma de gestión de relaciones con los clientes
Sendbird, Inc.
Página web: https://sendbird.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Chat en la aplicación
Statsig
Página web: https://statsig.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Gating y flags de características
Stripe
Página web: https://stripe.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Facturación, emisión de recibos y pagos.
Sigma
Página web: https://www.sigmacomputing.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Análisis de datos
Zendesk
Página web: https://www.zendesk.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Atención al cliente
Vanta
Página web: https://www.vanta.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Solicitudes de clientes para seguridad y cumplimiento
Zapier
Página web: https://zapier.com
Ubicación: Estados Unidos
Descripción del tratamiento: Exportación de datos de clientes cuando lo solicite el cliente
Clay Labs Inc.
Página web: https://clay.com
Ubicación: Estados Unidos
Descripción del tratamiento: Plataforma de gestión de relaciones.
Konfetti, Inc.
Página web: https://getkoala.com
Ubicación: Estados Unidos
Descripción del tratamiento: Análisis avanzado para rastrear la interacción con el sitio web.
Assembly AI, Inc.
Página web: https://assemblyai.com
Ubicación: Estados Unidos
Descripción del tratamiento: Transcripción de reuniones
Wistia, Inc.
Página web: https://wistia.com
Ubicación: Estados Unidos
Descripción del tratamiento: Alojamiento de vídeo
Open AI
Página web: https://openai.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Habilitación de funciones de IA dentro de Gather, incluyendo pero no limitado a resúmenes de reuniones, notas y puntos de acción. No se entrena con datos de clientes.
Anthropic
Página web: https://www.anthropic.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Habilitación de funciones de IA dentro de Gather. No se entrena con datos de clientes.
Modal
Página web: https://modal.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Proveedor de alojamiento en la nube
Pylon
Página web: https://usepylon.com/
Ubicación: Estados Unidos
Descripción del tratamiento: Plataforma de atención al cliente y gestión de tickets
Default
Página web: https://default.com
Ubicación: Estados Unidos
Descripción del tratamiento: Automatización del flujo de trabajo de salida al mercado
Grafana Labs
Página web: https://grafana.com
Ubicación: Estados Unidos
Descripción del tratamiento: Registro y monitoreo de rendimiento, incluyendo el procesamiento de direcciones IP y otros datos de uso técnico