ACUERDO DE PROTECCIÓN DE DATOS CORSEARCH

El presente Acuerdo de Protección de Datos («DPA») forma parte del Contrato Marco de Servicios de Corsearch o de cualquier otro acuerdo escrito celebrado entre Corsearch y el Cliente (el «Contrato»).
Si Corsearch trata Datos personales del Cliente en el marco de los Servicios, se aplicará el presente Acuerdo. El presente Acuerdo no se aplica a los Servicios de Marca; Corsearch no trata Datos personales en nombre del Cliente en el marco de los Servicios de Marca. Corsearch es un responsable del tratamiento independiente en relación con los Servicios de Marca.

1. Definiciones

Los siguientes términos, cuando aparecen con mayúscula, tienen el significado que se define a continuación. Cualquier término que comience con mayúscula y que se utilice en el presente documento, pero que no se haya definido aquí, tendrá el significado establecido en el Contrato.

«Datos personales del Cliente» se refiere a los datos personales descritos en el Anexo A, tratados por Corsearch o en su nombre para el Cliente o en nombre de este, en virtud del Contrato o en relación con el mismo, incluida la prestación de los Servicios, pero excluyendo los Datos personales del Usuario.

« Violación de datos » significa cualquier infracción de la seguridad de los Datos personales del Cliente que provoque la destrucción, la pérdida, la alteración, la divulgación no autorizada o el acceso accidental o ilegal a los Datos personales del Cliente, sufrida por Corsearch o cualquier subcontratista secundario y de la que Corsearch tenga conocimiento durante la vigencia del Contrato, salvo cuando la infracción sea provocada por el Cliente o cualquier Usuario.

«Leyes de protección de datos» se refiere a todas las leyes y normativas vigentes relacionadas con la protección de datos que sean aplicables al tratamiento de los datos personales del Cliente en virtud del Contrato, incluyendo, entre otras, el Reglamento General de Protección de Datos de la UE 2016/679 (« RGPD» ), el RGPD promulgado por el Reino Unido ( «RGPD británico »), la Ley de Protección de la Privacidad del Consumidor de California de 2018 ( «CCPA» ), incluida su modificación por la Ley de Derechos de Privacidad de California de 2020 (« CPRA »), y la Ley de Protección de la Información Personal de la República Popular China ( «PIPL» ), en cada caso en la medida en que estén en vigor y tal y como se actualicen, modifiquen o sustituyan periódicamente.

« Solicitud del interesado» significa una solicitud válida presentada por un interesado o en su nombre en relación con los datos personales del cliente para ejercer los derechos que le asisten en virtud de la legislación en materia de protección de datos.

«Transferencia internacional » significa una transferencia de datos personales del cliente entre las partes, desde el Espacio Económico Europeo (« EEE» ), el Reino Unido de Gran Bretaña e Irlanda del Norte (« RU ») y/o Suiza a un tercer país del que no se haya determinado que ofrece una protección adecuada de los Datos personales del Cliente en virtud de las Leyes de protección de datos.

«CCT» significa, cuando se aplica el RGPD, las cláusulas contractuales anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021, tal y como fueron adoptadas, modificadas o sustituidas por la Comisión Europea ( «CCT UE »), y cuando se aplica el RGPD británico, el anexo británico sobre la transferencia internacional de datos a las cláusulas contractuales tipo de la Comisión Europea para las transferencias internacionales de datos, tal y como fue adoptado, modificado o actualizado por la Oficina del Comisionado de Información, el Parlamento o un Secretario de Estado del Reino Unido ( «CCT británicas »).

«Datos personales sensibles» significa datos personales relativos a menores, o que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos que identifiquen a una persona de manera única, los datos de salud o los datos relativos a la vida sexual o la orientación sexual de una persona.

«Subsubcontratista» significa cualquier tercero contratado por Corsearch para llevar a cabo actividades de tratamiento específicas relacionadas con los Datos personales del Cliente.

«Datos personales del Usuario» significa los datos personales relativos a los Usuarios, tratados por Corsearch para sus propios fines, incluyendo: (i) proporcionar y garantizar la seguridad de los Servicios; (ii) conceder al Cliente y a sus Usuarios acceso a los Datos personales del Cliente; y (iii) gestionar la información de la cuenta y la facturación; y (iv) comunicarse con el Cliente para cumplir con sus obligaciones en virtud del Contrato.

Los términos «responsable del tratamiento», «persona afectada», «organización internacional», «tratar»/«tratamiento» (y sus derivados), «encargado del tratamiento», «tercer país», «empresa», «consumidor», «información personal», «vender », «compartir», «prestador de servicios» y «autoridad de control» tienen, cada uno, los significados especificados en las Leyes de protección de datos.

2. Condiciones generales

2.1. Funciones. En lo que respecta al tratamiento de los datos personales del Cliente por parte de cada una de las Partes, las Partes acuerdan que el Cliente actuará como responsable del tratamiento y Corsearch como encargado del tratamiento. Las Partes reconocen y acuerdan que Corsearch será un responsable del tratamiento independiente en relación con los datos personales del Usuario.

2.2 . Cumplimiento de la legislación. En su respectivo tratamiento de los Datos personales del Cliente, cada Parte cumplirá con las Leyes de protección de datos que rigen dichos Datos personales del Cliente que se encuentren bajo su control.

2.3 Obligaciones del Cliente. El Cliente, durante el periodo de tratamiento de los Datos personales del Cliente:

– tendrá la responsabilidad de determinar los fines y los medios del tratamiento que realiza de los datos personales;
– se asegurará de que sus instrucciones a Corsearch para el tratamiento de los datos personales sean y sean legales;
– estará autorizado a transferir los datos personales del usuario a Corsearch; y
– – no divulgará datos personales sensibles a Corsearch.

3. Detalles del tratamiento

3.1 El Anexo A define los objetivos y la duración del tratamiento, los tipos de datos personales y las categorías de interesados, así como la naturaleza del tratamiento. Si el Anexo A requiere una actualización en cualquier momento durante la vigencia del contrato, las Partes colaborarán de buena fe para acordar mutuamente la actualización por escrito del Anexo A.

3.2 Corsearch tratará los Datos personales del Cliente:

– únicamente en la medida necesaria para cumplir con sus obligaciones en virtud del Contrato; y
– de conformidad con las instrucciones legítimas y documentadas del Cliente, salvo que Corsearch esté obligada a tratarlos para cumplir con cualquier ley de protección de datos, en cuyo caso Corsearch informará al Cliente de dicha obligación legal, salvo que la ley lo prohíba.

3.3 Corsearch informará inmediatamente al Cliente si, a su juicio razonable, una instrucción del Cliente relacionada con el tratamiento de sus datos personales incumple la legislación en materia de protección de datos. En tal caso, Corsearch no incumplirá el presente Acuerdo ni el Contrato, ni incurrirá en responsabilidad alguna por no llevar a cabo dicho tratamiento.

4. Seguridad de los datos y violaciones de datos

4.1 Corsearch se asegurará de que todas las personas a las que autorice a tratar los datos personales del Cliente para la prestación de los Servicios:

– se han comprometido a respetar la confidencialidad o están sujetas de otro modo a una obligación legal de confidencialidad adecuada;
– en la medida en que Corsearch realice esfuerzos comercialmente razonables, cuentan con las competencias y la formación suficientes para el tratamiento de los datos personales del cliente; y
– cumplen con la legislación en materia de protección de datos.

4.2 Corsearch, teniendo en cuenta el estado actual de los conocimientos, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, aplicará y mantendrá las medidas técnicas y organizativas adecuadas para proteger los datos personales del Cliente frente a una violación de datos, tal y como se detalla aquí. Corsearch revisará y podrá actualizar estas medidas técnicas y organizativas de vez en cuando, siempre que dicha actualización no reduzca de manera significativa el nivel global de seguridad de los Datos personales del Cliente.

4.3 En caso de violación de datos, Corsearch:

4.3.1. notificará al Cliente lo antes posible (y, en cualquier caso, en un plazo de 72 horas) tras tener conocimiento de la ocurrencia de una violación de datos;
4.3.2. facilitará toda la información razonablemente necesaria, de forma gradual cuando la información no esté disponible en su totalidad, sin más demoras indebidas, incluyendo al menos:

– la naturaleza de la violación de datos, incluyendo, cuando sea posible, las categorías y el número aproximado de personas afectadas y de registros de datos personales afectados;
– el nombre y los datos de contacto de la persona de contacto a la que se puede solicitar información adicional;
– las consecuencias probables de la violación de datos;
– describirá las medidas adoptadas para subsanar la violación de datos personales, incluidas, en su caso, las medidas para mitigar las posibles consecuencias negativas;

4.3.3. prestará toda la cooperación y asistencia que el Cliente pueda requerir razonablemente para cumplir con sus obligaciones en virtud de las Leyes de protección de datos;
4.3.4. tomará las medidas razonables y necesarias para subsanar la causa y mitigar el impacto de la violación de datos; y
4.3.5. salvo en la medida en que lo exijan las Leyes de protección de datos pertinentes, no notificará a ningún tercero (incluida cualquier autoridad de control o persona afectada) en relación con la violación de datos.

4.4 El Cliente se compromete a coordinarse de buena fe con Corsearch en relación con el contenido de cualquier declaración pública y/o notificación que deba dirigirse a los interesados afectados y/o a las autoridades de control pertinentes, siempre que en cada caso se haga referencia específica a Corsearch, a los empleados de Corsearch, a cualquier subcontratista y/o a los Servicios, en relación con cualquier violación de datos.

5. Solicitudes de los interesados

5.1 Si Corsearch recibe directamente una solicitud del interesado, siempre que Corsearch pueda determinar razonablemente que el Cliente es el responsable del tratamiento de los datos personales del interesado, Corsearch hará todo lo comercialmente razonable para remitir rápidamente la solicitud del interesado al Cliente sin responder a dicha solicitud.

5.2 Teniendo en cuenta la naturaleza del tratamiento, Corsearch prestará una cooperación y asistencia razonables para permitir que el Cliente responda a la Solicitud del interesado y cumpla con sus obligaciones de conformidad con las Leyes de protección de datos pertinentes. En la medida en que lo permita la ley, el Cliente será responsable de los costes y gastos razonables derivados de la asistencia prestada por Corsearch.

5.3 Salvo que se acuerde expresamente lo contrario por escrito, Corsearch no está ni estará en ningún caso obligada a responder a ninguna Solicitud del interesado.

6. Solicitudes procedentes de gobiernos u organismos de control

6.1 Si Corsearch recibe una solicitud de un gobierno o de un organismo de control, incluyendo, sin limitación, una solicitud de una autoridad de control o una solicitud de acceso jurídicamente vinculante emitida por un gobierno, en relación con los Datos personales del Cliente y/o el tratamiento por parte de Corsearch de los Datos personales del Cliente en el marco del presente DPA, Corsearch, salvo que la ley lo prohíba, informará rápidamente al Cliente sin responder a dicha solicitud y la remitirá al Cliente.

6.2 Si Corsearch no tiene legalmente derecho a emitir una notificación dirigida al Cliente o a redirigir la solicitud al Cliente, Corsearch (i) rechazará la solicitud, salvo que esté legalmente obligado a cumplirla; o (ii) impugnará la validez de dicha solicitud si determina razonablemente que la solicitud carece de fundamento jurídico.

6.3 Si Corsearch está obligada a responder a dicha solicitud, Corsearch hará los esfuerzos comercialmente razonables para obtener una exención que le permita notificar al Cliente y, en su defecto, se asegurará de que la información divulgada sea proporcionada y se limite a la cantidad mínima estrictamente necesaria para cumplir con dicha solicitud.

6.4 El Cliente será responsable de todos los costes de Corsearch, incluidos los honorarios legales razonables en que Corsearch haya incurrido realmente para cumplir con dicha solicitud y/o de todos los costes y gastos razonables derivados de la asistencia prestada por Corsearch al Cliente.

7. Evaluaciones de impacto en materia de protección de datos y consultas previas

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone Corsearch, Corsearch prestará al Cliente la asistencia que este solicite razonablemente para que pueda cumplir con sus obligaciones, en lo que respecta a los datos personales del Cliente, a la hora de realizar evaluaciones de impacto en materia de protección de datos y/o consultar a las autoridades de control en el marco de la legislación sobre protección de datos.

8. Subcontratistas de segundo nivel

8.1 Por la presente, el Cliente otorga a Corsearch una autorización general por escrito para contratar a cualquier subcontratista, ya sea directamente o a través de cualquier empresa afiliada a Corsearch, que Corsearch considere necesario para la prestación de los Servicios, incluidos todos los subcontratistas contratados por Corsearch en la Fecha de inicio del servicio. Los subcontratistas actuales de Corsearch se enumeran aquí.

8.2 Corsearch impondrá a cada subcontratista de segundo nivel obligaciones de protección de datos cuyo nivel de protección no sea inferior al de las obligaciones establecidas en este DPA.

8.3 Corsearch seguirá siendo responsable ante el Cliente del cumplimiento de las obligaciones de cada subcontratista de segundo nivel.

8.4 Corsearch proporcionará al Cliente un preaviso por escrito de al menos 30 días sobre cualquier modificación prevista relativa a la incorporación o sustitución de subcontratistas. Corsearch proporciona al Cliente, a través del enlace mencionado anteriormente, un mecanismo de registro para recibir las actualizaciones de la lista de subcontratistas, al que el Cliente se inscribirá para recibir dichas notificaciones.

8.5 El Cliente podrá oponerse a la designación de cualquier subcontratista si este ha supuesto o puede suponer objetivamente un riesgo para la seguridad y el tratamiento seguro de los Datos personales del Cliente o para la capacidad del Cliente de cumplir con la Legislación de protección de datos. De lo contrario, el Cliente no se opondrá de manera irrazonable al nombramiento de ningún nuevo subcontratista, y si el Cliente no se opone por escrito al nombramiento de ningún nuevo subcontratista de conformidad con esta cláusula, se considerará que el Cliente ha aprobado dicho nombramiento.

8.6 Si, en los diez (10) días siguientes a la recepción de la notificación por parte del Cliente, el Cliente se oponga razonablemente por escrito ante Corsearch a la designación de dicho nuevo subcontratista, las Partes colaborarán de buena fe para llegar a una solución mutuamente aceptable con el fin de responder a dicha oposición, incluyendo, cuando sea posible, que Corsearch continúe prestando los Servicios sin la participación de dicho nuevo subcontratista. Si las Partes no logran alcanzar una solución mutuamente aceptable y Corsearch no es razonablemente capaz de continuar prestando los Servicios sin la participación de dicho nuevo subcontratista, cada Parte tendrá derecho a rescindir la parte de los Servicios en cuestión a la que se prevé que se asocie dicho nuevo subcontratista (si esto no es posible, al Contrato en su totalidad) de forma inmediata mediante notificación por escrito dirigida a la otra Parte. Nada de lo dispuesto en esta Cláusula exime al Cliente de cualquier obligación de pago de los gastos correspondientes a los Servicios prestados por Corsearch y recibidos por el Cliente hasta la fecha de finalización establecida en el presente documento.

9. Transferencias internacionales

9.1 Corsearch podrá, en la medida en que sea necesario para prestar los Servicios, transferir los Datos personales del Cliente a sus empresas afiliadas y/o a subcontratistas fuera del EEE, siempre que dicha transferencia (y cualquier tratamiento posterior) se realice de conformidad con la legislación en materia de protección de datos.

9.2 Cuando los Datos personales del Cliente se transfieran a un tercer país y dicha transferencia constituya una Transferencia internacional en virtud de las Leyes de protección de datos, Corsearch celebrará los CCT pertinentes con el Cliente y cada una de sus Sociedades afiliadas y cada uno de sus Subsubcontratistas, según proceda. Los CCT celebrados por las Partes, tal y como se presentan aquí, se incorporan al presente DPA y a través de él o mediante el uso de los Servicios. Si cualquier CCT en el que se basen las Partes se actualiza o deja de ser válido por cualquier otro motivo, las Partes acuerdan que dichos CCT nuevos o actualizados, tal y como puedan ser exigidos por las Leyes de protección de datos, se aplicarán entre las Partes sin que sea necesario modificar el presente DPA. Corsearch se reserva el derecho a introducir cambios que las Partes estén legalmente obligadas a aplicar a través del siguiente enlace:

9.3 En caso de conflicto entre este DPA y las CCT aplicables, prevalecerán las condiciones de las CCT aplicables.

10. Conservación y supresión de datos

Tras la expiración o la rescisión del Contrato por cualquier motivo, Corsearch eliminará sin demora (o, a elección del Cliente, devolverá y eliminará, siempre que el Cliente lo notifique a Corsearch con al menos 30 días de antelación) las copias existentes de los Datos personales del Cliente, que en ningún caso incluirán copias de datos personales tratados en nombre de otro cliente de Corsearch, tratados por Corsearch y/o cualquiersubcontratista, a menos que las Leyes de protección de datos exijan la conservación de dichos Datos personales del Cliente.

11. Auditoría

El Cliente, o cualquier auditor externo designado por el Cliente y sujeto a las obligaciones de confidencialidad pertinentes, podrá verificar el cumplimiento de Corsearch con el presente DPA mediante:

– exigiendo a Corsearch que rellene el cuestionario de evaluación de la seguridad del Cliente; y/o
– en la medida en que sea aplicable y esté a disposición de Corsearch, solicitando copias de la información, registros, certificaciones e informes de auditoría pertinentes emitidos por terceros independientes de reconocido prestigio, siempre que no se hayan producido cambios significativos en los controles utilizados por Corsearch desde la emisión de la certificación o del informe de auditoría.

12. Disposiciones específicas de las leyes de protección de datos

12.1 CCPA / CRPA. Esta sección se aplica únicamente si los datos personales del Cliente están sujetos a la CCPA/CRPA:

12.2.1. Las siguientes definiciones se interpretarán en referencia a la definición correspondiente según la CCPA: «Cliente» significa «Empresa» («Business»); «Corsearch» significa «Proveedor de servicios » («Service Provider») y «Datos personales» significa «Información personal » («Personal Information»).
12.2.2. Corsearch (a) no venderá ni compartirá los Datos personales del Cliente, (b) no conservará, utilizará ni divulgará los Datos personales del Cliente para ningún fin (incluidos fines comerciales) distinto de la prestación de los Servicios en virtud del Contrato, o según lo permita la CCPA, (c) no registrará, conservará, utilizará ni divulgará Datos personales del Cliente fuera de la relación profesional directa entre el Cliente y Corsearch, salvo para la prestación de los Servicios en el marco del Contrato, (d) ni combinará los Datos personales del Cliente con Información personal recibida de otra fuente.

12.2 PIPL. Esta sección se aplica únicamente si los datos personales del cliente están sujetos a la PIPL:

12.2.1. Las siguientes definiciones se interpretarán en referencia a la definición correspondiente según la PIPL: «Datos personales» significa «Información personal » («Personal Information»); «Cliente» significa «Encargado del tratamiento de datos personales » («Personal Information Processor»); «Corsearch» significa «Parte encargada » («Entrusted Party»); y «Datos sensibles» significa la información personal susceptible de atentar contra la dignidad personal de una persona física o contra su seguridad personal o la de sus bienes materiales una vez que se divulgue o se utilice indebidamente, incluida la información personal relativa a la identificación biométrica, las creencias religiosas, la identidad específica, la salud médica, las cuentas financieras y los desplazamientos, así como la información personal de menores de 14 años.
12.2.2. En virtud del presente Contrato, Corsearch solo trata la Información personal que ha sido hecha pública por los propios interesados.
12.2.3. 12.2.3. Las transferencias internacionales se consideran transferencias transfronterizas de datos personales en el marco de la PIPL y Corsearch ha implementado medidas adecuadas y aplicables, tal y como se definen en este DPA, para garantizar que dichas transferencias se realicen de conformidad con la PIPL.
12.2.4. El Cliente no divulgará datos sensibles a Corsearch.

ANEXO A – ÁMBITO DEL TRATAMIENTO