PROTECCIÓN DE DATOS DE CORSEARCH

El presente Acuerdo de Protección de Datos («APD») forma parte del Contrato Marco de Prestación de Servicios de Corsearch o de cualquier otro acuerdo escrito entre Corsearch y el cliente (el «Contrato»).

En la medida en que Corsearch trate datos personales del cliente en el marco de sus servicios, se aplicará la presente Política de Privacidad. Esta Política de Privacidad no se aplica a los servicios de marcas; Corsearch no trata datos personales en nombre del cliente en el marco de dichos servicios. Corsearch actúa como responsable independiente en el marco de los servicios de marcas.

1. Definiciones

Las palabras que figuran a continuación, cuando aparecen en cursiva, tienen el significado que se indica a continuación. Todos los términos escritos en cursiva que no se definan aquí tienen el significado establecido en el contrato.

Por«datos personales del cliente»se entiende todos los datos personales, tal y como se describen en el anexo A, que sean tratados por Corsearch o en su nombre, para el cliente o en su nombre, en el marco del contrato o en relación con él, incluida la prestación de los servicios, con la excepción
de los datos personales de los usuarios.

Por«violación de la protección de datos»se entiende cualquier infracción de seguridad en Corsearch o en un subencargado del tratamiento en relación con los datos personales del cliente que dé lugar a la divulgación accidental
o a la destrucción ilícita, a la pérdida, a la modificación, a la divulgación no autorizada o al acceso a los datos personales del cliente, de la que Corsearch tenga conocimiento durante la vigencia del contrato, siempre que dicha violación de la seguridad no haya sido causada por el cliente o por un usuario.

Por«leyes de protección de datos»se entiende todas las leyes y normativas aplicables en materia de protección de datos que rigen el tratamiento de los datos personales del cliente en el marco del contrato, incluyendo, entre otras, el Reglamento General de Protección de Datos de la UE 2016/679 («RGPD»), el RGPD en su versión adoptada por el Reino Unido («RGPD del Reino Unido»), la Ley de Privacidad del Consumidor de California de 2018 («CCPA»), incluida la versión modificada por la Ley de Derechos de Privacidad de California de 2020 y sus reglamentos de aplicación («CPRA»), y la Ley de Protección de la Información Personal de la República Popular China («PIPL»), en su versión vigente en cada momento y en la versión actualizada, modificada o sustituida oportunamente.

«Solicitud del interesado»se refiere a una solicitud válida presentada por el interesado o en su nombre en relación con los datos personales del cliente, con el fin de ejercer sus derechos de conformidad con la legislación en materia de protección de datos.

Por «transferencia internacional»se entiende la transferencia de datos personales del cliente entre las partes desde el Espacio Económico Europeo («EEE»), el Reino Unido de Gran Bretaña e Irlanda del Norte («RU») y/o Suiza a un tercer país que, según la legislación en materia de protección de datos, no ofrece un nivel adecuado de protección de los datos personales del cliente.

El término «cláusulas contractuales tipo (Standard Contractual Clauses, SCC)» se refiere, en caso de aplicabilidad del RGPD, a las cláusulas contractuales que figuran en el anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021, en la versión modificada o sustituida adoptada por la Comisión Europea modificada o sustituida («SCC de la UE») y, en caso de aplicabilidad del RGPD del Reino Unido, el anexo del Reino Unido a las cláusulas contractuales tipo de la Comisión Europea para la transferencia internacional de datos, en la versión adoptada, modificada o actualizada por la Oficina del Comisionado de Información, el Parlamento o el Secretario de Estado del Reino Unido («SCC del Reino Unido»).

Por«datos personales sensibles»se entiende los datos personales de menores de edad o la información que revele el origen étnico, las opiniones políticas, las creencias religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos que permitan la identificación inequívoca, los datos relativos a la salud o los datos sobre la vida sexual o la orientación sexual de una persona.

Por«subencargado del tratamiento» se entiende cualquier tercero al que Corsearch haya encargado la realización de determinadas actividades de tratamiento en relación con los datos personales del cliente.

«Datos personales de los usuarios»se refiere a los datos personales de los usuarios que Corsearch trata para sus propios fines, incluyendo: (i) la prestación y la seguridad de los servicios, (ii) la concesión de acceso a los datos personales del cliente para el cliente y sus usuarios, (iii) el tratamiento de la información de la cuenta y la facturación, y (iv) la comunicación con el cliente para cumplir con las obligaciones derivadas del contrato.

«Responsable del tratamiento», «interesado», «organización internacional», «tratamiento» (y todas sus formas derivadas), «encargado del tratamiento», «país tercero», «empresa», «consumidor», «datos personales», «vender», «ceder», «prestador de servicios» y «autoridad de control» tienen, en cada caso, el significado establecido en la legislación en materia de protección de datos.

2. Condiciones generales

2.1. Funciones. En lo que respecta al tratamiento de los datos personales del cliente por parte de cualquiera de las partes, las partes acuerdan que el cliente actuará como responsable del tratamiento y Corsearch como encargado del tratamiento. Las partes reconocen y aceptan que Corsearch es un responsable del tratamiento independiente en lo que respecta a los datos personales de los usuarios.

2.2 . Cumplimiento de la legislación. En el tratamiento de los datos personales del cliente, cada parte cumplirá con la legislación en materia de protección de datos aplicable a dichos datos personales del cliente, siempre que estén bajo su responsabilidad.

2.3 Obligaciones del cliente. Durante el periodo de tratamiento de los datos personales del cliente:

- El cliente es responsable de determinar los fines y los medios del tratamiento de los datos personales que realiza,
- El cliente garantiza que sus instrucciones a Corsearch para el tratamiento de datos personales son y seguirán siendo lícitas,
- El cliente está facultado para transmitir datos personales de los usuarios a Corsearch, y
- El cliente no transmite datos personales sensibles a Corsearch

3. Detalles del tratamiento

3.1 En el anexo A se enumeran los fines y la duración del tratamiento, los tipos de datos personales y las categorías de los interesados, así como el tipo de tratamiento. Si en cualquier momento durante la vigencia del presente acuerdo fuera necesario actualizar el anexo A, las partes colaborarán de forma constructiva para acordar conjuntamente un anexo A actualizado por escrito.

3.2 Corsearch trata los datos personales del cliente:

- únicamente en la medida en que sea necesario para el cumplimiento de las obligaciones de Corsearch en el marco del contrato, y
- de conformidad con las instrucciones del cliente documentadas de forma conforme a la ley, salvo que Corsearch esté obligada de otro modo a hacerlo para cumplir con la legislación en materia de protección de datos. En tal caso,
Corsearch informará al cliente de dicha obligación legal, salvo que la ley lo prohíba a Corsearch.

3.3 Corsearch informará al cliente sin demora si, a juicio fundado de Corsearch, una instrucción del cliente relativa al tratamiento de sus datos personales infringe la legislación en materia de protección de datos. En tal caso, Corsearch no incumplirá el contrato y no incurrirá en responsabilidad alguna por la no ejecución de dicho tratamiento.

4. Seguridad de los datos y violaciones de la protección de datos

4.1 Corsearch garantiza que todas las personas a las que autoriza para tratar los datos personales del cliente en el marco de la prestación de los servicios:

- se hayan comprometido a mantener la confidencialidad o estén sujetos de otro modo a una obligación legal correspondiente en materia de confidencialidad,
- dispongan, dentro de los límites de los esfuerzos económicamente razonables de Corsearch, de las capacidades y la formación suficientes para tratar los datos personales del cliente, y
- cumplan la legislación en materia de protección de datos.

4.2 Corsearch adopta y mantiene, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, medidas técnicas y organizativas adecuadas para proteger los datos personales del cliente frente a violaciones de la seguridad, tal y como se describe con más detalle en este documento. Corsearch revisa y actualiza estas medidas técnicas y organizativas cuando sea necesario, sin que dichas actualizaciones reduzcan de manera significativa el nivel general de seguridad de los datos personales del cliente.

4.3 En caso de una violación de la protección de datos:

4.3.1. Corsearch informará al cliente sin demora (y, en cualquier caso, en un plazo de 72 horas) tras tener conocimiento de la violación de la protección de datos,
4.3.2. Corsearch facilitará toda la información razonablemente necesaria, en caso de que no esté disponible en su totalidad, por fases y sin demoras indebidas, incluyendo como mínimo:

- el tipo de violación de la protección de datos, incluyendo, en la medida de lo posible, las categorías y el número aproximado de personas afectadas y de registros de datos personales afectados;
- el nombre y los datos de contacto del punto de contacto para obtener más información;
- las consecuencias probables de la violación de la protección de datos;
- Corsearch describe las medidas adoptadas para subsanar la violación de la protección de datos, incluyendo, en su caso, medidas para mitigar posibles efectos adversos;;

4.3.3. Corsearch prestará toda la colaboración y asistencia que el cliente pueda razonablemente solicitar para que Corsearch cumpla con sus obligaciones en virtud de la legislación en materia de protección de datos,
4.3.4. Corsearch adoptará las medidas necesarias y razonables para subsanar la causa de la violación de la protección de datos y mitigar sus efectos, y
4.3.5. Corsearch no notificará a terceros (incluidas las autoridades de control o las personas afectadas
) la violación de la protección de datos, salvo en la medida en que lo exijan las leyes de protección de datos aplicables.

4.4 El cliente se compromete a coordinarse de manera constructiva con Corsearch en relación con el contenido de las posibles declaraciones públicas y/o comunicaciones necesarias dirigidas a los interesados y/o a las autoridades de control competentes, siempre que estas se refieran específicamente a Corsearch, a los empleados de Corsearch, a los subencargados del tratamiento y/o a los servicios prestados, en el contexto de una violación de la protección de datos.

5. Solicitudes de un interesado

5.1 Si Corsearch recibe directamente una solicitud de un interesado, se esforzará, en la medida en que pueda razonablemente determinar que el cliente es el responsable del tratamiento de los datos personales del interesado, por realizar los esfuerzos económicamente razonables para remitir sin demora la solicitud del interesado al cliente, sin responder a la misma.

5.2 Teniendo en cuenta la naturaleza del tratamiento, Corsearch cooperará y prestará apoyo al cliente de manera adecuada para que este pueda responder a la solicitud de un interesado y cumplir con sus obligaciones de conformidad con la legislación vigente en materia de protección de datos. En la medida en que lo permita la ley, el cliente será responsable de todos los costes y gastos razonables en que se incurra como consecuencia de la asistencia prestada por Corsearch.

5.3 Salvo que se acuerde expresamente lo contrario por escrito, Corsearch no está obligada y no podrá ser obligada en ningún caso a responder a una solicitud de un interesado.

6. Solicitudes de autoridades gubernamentales o reguladoras

6.1 Si Corsearch recibe una solicitud de una autoridad gubernamental o reguladora, incluyendo, entre otras, una solicitud de una autoridad de supervisión o una solicitud de acceso oficial vinculante, que se refiera a los datos personales del cliente y/o al tratamiento de dichos datos por parte de Corsearch en el marco de la presente Política de Privacidad, Corsearch lo notificará al cliente de inmediato, sin responder a dicha solicitud, y la remitirá al cliente, siempre que ello no esté prohibido por ley.

6.2 Si la ley prohíbe a Corsearch enviar una notificación al cliente o remitirle la solicitud, (i) Corsearch rechazará la solicitud en cuestión, salvo que exista una obligación legal de atenderla, o (ii) Corsearch impugnará la validez de dicha solicitud si tiene motivos para considerar que carece de fundamento jurídico.

6.3 Si Corsearch se ve obligada a atender dicha solicitud, Corsearch realizará todos los esfuerzos económicamente razonables para obtener una exención que le permita notificar al cliente y, en su defecto, se asegurará de que la información divulgada sea proporcionada y se limite al mínimo estrictamente necesario para atender la solicitud.

6.4 El cliente será responsable de todos los gastos de Corsearch, incluidos los honorarios legales razonables de Corsearch en que se incurra efectivamente al cumplir con dicha solicitud, y/o de todos los gastos y costes razonables en que incurra Corsearch al prestar asistencia al cliente.

7. Evaluaciones de impacto relativas a la protección de datos y consultas previas

Teniendo en cuenta el tipo de tratamiento y la información de que dispone Corsearch, esta empresa presta al cliente el apoyo adecuado para que pueda cumplir con sus obligaciones en materia de datos personales, realizar evaluaciones de impacto relativas a la protección de datos y/o consultar con las autoridades de control de conformidad con la legislación en materia de protección de datos.

8. Subencargados del tratamiento

8.1 Por la presente, el cliente concede a Corsearch una autorización general por escrito para contratar a subencargados del tratamiento, ya sea directamente o a través de una empresa vinculada a Corsearch, que Corsearch considere necesarios para la prestación de los servicios, incluidos todos los subencargados del tratamiento que Corsearch haya contratado a la fecha de entrada en vigor. Los subcontratistas actuales de Corsearch se enumeran aquí.

8.2 Corsearch impone a todos los subcontratistas obligaciones de protección de datos que no ofrezcan un nivel de protección inferior al establecido en el presente DSV.

8.3 Corsearch seguirá siendo responsable ante el cliente del cumplimiento de las obligaciones de cada subcontratista.

8.4 Corsearch informará al cliente por escrito, con al menos 30 días de antelación, de cualquier cambio previsto en relación con la incorporación o sustitución de subencargados del tratamiento. Corsearch pone a disposición del cliente, a través del enlace mencionado anteriormente, un mecanismo mediante el cual este puede registrarse para recibir notificaciones sobre actualizaciones de la lista de subencargados del tratamiento.

8.5 El cliente podrá oponerse al nombramiento de un subencargado del tratamiento si dicho subencargado haya supuesto o pueda suponer objetivamente un riesgo para la seguridad y el tratamiento seguro de los datos personales del cliente o para la capacidad del cliente de cumplir con la legislación en materia de protección de datos. Salvo lo anterior, el cliente no planteará objeciones injustificadas al nombramiento de nuevos subencargados del tratamiento, y si el cliente no plantea objeciones por escrito al nombramiento de un nuevo subencargado del tratamiento de conformidad con esta disposición, se considerará que da su consentimiento a dicho nombramiento.

8.6 Si el cliente, en un plazo de diez (10) días tras la recepción de la notificación, el cliente plantee por escrito a Corsearch objeciones fundadas contra el nombramiento de dicho nuevo subcontratista, las partes colaborarán de manera constructiva para encontrar una solución de mutuo acuerdo a dichas objeciones, incluyendo, en la medida de lo posible, la continuación de la prestación de los servicios por parte de Corsearch sin la participación del nuevo subcontratista en cuestión. Si las partes no llegan a una solución de mutuo acuerdo y Corsearch no puede, razonablemente, seguir prestando los servicios sin la participación de dicho nuevo subencargado del tratamiento, cada parte tendrá derecho a rescindir inmediatamente la parte correspondiente de los servicios que el nuevo subencargado del tratamiento deba asumir (y, si esto no fuera posible, el contrato en su totalidad), mediante notificación por escrito a la otra parte. Ninguna disposición de este apartado exime al cliente de la obligación de pagar los honorarios correspondientes a los servicios prestados por Corsearch al cliente hasta el momento de la rescisión del contrato.

9. Transferencias internacionales

9.1 Corsearch podrá, en la medida en que sea necesario para la prestación de los servicios, transmitir datos personales del cliente a empresas vinculadas y/o subencargados del tratamiento fuera del EEE, siempre que dicha transmisión (y cualquier tratamiento posterior) se realice de conformidad con la legislación en materia de protección de datos.

9.2 Si los datos personales del cliente se transfieren a un tercer país y dicha transferencia constituye una transferencia internacional con arreglo a la legislación en materia de protección de datos, Corsearch acordará con el cliente y con cada una de las empresas asociadas y subcontratistas, según proceda, las cláusulas contractuales tipo (Standard Contractual Clauses, SCC) correspondientes. Las SCC formalizadas, tal y como se recogen aquí, forman parte integrante de la presente DPA y son de aplicación a través de la misma o del uso de los servicios. En caso de que las SCC en las que confían las partes se actualicen o dejen de ser válidas por cualquier otro motivo, las partes acuerdan que las SCC nuevas o actualizadas, prescritas por las leyes de protección de datos, serán aplicables entre las partes sin que sea necesario modificar el presente DSV. Corsearch se reserva el derecho a realizar dichos cambios, a los que las partes están legalmente obligadas, en el enlace anterior.

9.3 En caso de contradicción entre el presente AVP y las CCT vigentes, prevalecerán las disposiciones de las CCT vigentes.

10. Conservación y supresión de datos

Una vez vencido o rescindido el contrato, independientemente del motivo, Corsearch eliminará de inmediato las copias existentes de los datos personales del cliente (o, a elección del cliente, devolverá dichos datos y los eliminará, siempre que el cliente lo notifique a Corsearch con al menos 30 días de antelación), lo que en ningún caso incluirá copias de datos personales que Corsearch y/o un subencargado del tratamiento de Corsearch trate por cuenta de otro cliente de Corsearch, salvo que las leyes de protección de datos exijan la conservación de dichos datos personales del cliente.

11. Auditoría

El cliente, o un auditor externo designado por él y sujeto a las correspondientes obligaciones de confidencialidad, podrá verificar el cumplimiento de la presente Política de Privacidad por parte de Corsearch de la siguiente manera:

- solicitando a Corsearch que rellene el cuestionario de evaluación de la seguridad del cliente y/o
- solicitando, en la medida en que sea pertinente y Corsearch disponga de ellas, copias de la información, los registros, las certificaciones y los informes de ensayo pertinentes emitidos por terceros independientes y acreditados, siempre que no se hayan producido cambios significativos en las medidas de protección utilizadas por Corsearch desde la emisión de la certificación o del informe de ensayo.

12. Disposiciones especiales de las leyes de protección de datos

12.1 CCPA/CRPA. Esta sección solo se aplica si los datos personales del cliente están sujetos a la Ley de Privacidad de California (
, CCPA) o a la Ley de Privacidad de California (CRPA):

12.2.1. Las siguientes definiciones se interpretarán, además, de manera que hagan referencia a la definición correspondiente de la CCPA: «Cliente» significa«Empresa (Business)», «Corsearch» significa«Proveedor de servicios (Service Provider)» y «Datos personales» significa«Información personal (Personal Information)»
12.2.2. Corsearch se abstendrá de (a) vender o ceder los datos personales del cliente, (b) conservar, utilizar o divulgar los datos personales del cliente para fines distintos (incluidos fines comerciales) de la prestación de los servicios en el marco del presente contrato o de cualquier otra forma conforme a la CCPA, (c) conservar, utilizar o divulgar datos personales del cliente fuera de la relación comercial directa entre el cliente y Corsearch, salvo para la prestación de los servicios en el marco del contrato, o (d) combinar datos personales del cliente con información personal procedente de otras fuentes.

12.2 PIPL. Esta sección solo es aplicable si los datos personales del cliente están sujetos a la PIPL:

12.2.1. Las siguientes definiciones se interpretarán, además, de manera que remitan a la definición correspondiente de la PIPL: «datos personales» significa«información personal (Personal Information)», «cliente» significa«encargado del tratamiento de datos personales (Personal Information Processor)», «Corsearch» significa«parte encargada (Entrusted Party)» y«datos sensibles»significa datos personales que, si se divulgan o se utilizan indebidamente, pueden vulnerar la dignidad personal de una persona física o poner en peligro su seguridad personal o la seguridad de sus bienes, incluidos los datos personales relativos a la identificación biométrica, las creencias religiosas, la identidad, al estado de salud, a la situación financiera, a la ubicación y los desplazamientos, así como datos personales de menores de 14 años.
12.2.2. En el marco del presente contrato, Corsearch tratará exclusivamente información personal que haya sido facilitada por los propios interesados.
12.2.3. Se consideran transferencias internacionales las transferencias transfronterizas de información personal en el sentido de la PIPL, y Corsearch ha adoptado medidas adecuadas y aplicables en el sentido de esta Política de Privacidad para garantizar que dichas transferencias se realicen de conformidad con la PIPL.
12.2.4. El cliente no transmite datos sensibles a Corsearch.

ANEXO A – ALCANCE DEL TRABAJO