Acuerdo de protección de datos de Corsearch

Corsearch B.V., una sociedad de responsabilidad limitada registrada en los Países Bajos con KVK 54875625 de Naritaweg 116, 1043 CA Amsterdam, Países Bajos ("Corsearch"); y ("Cliente").

El presente Acuerdo de Protección de Datos ("APD") forma parte del Contrato Principal de Servicios de Corsearch u otro acuerdo escrito suscrito entre Corsearch y el Cliente (el "Acuerdo").

1. Definiciones

Las siguientes palabras, cuando aparecen con mayúscula, tienen el significado que se indica a continuación. Los términos en mayúscula utilizados pero no definidos en el presente documento tienen el significado que se establece en el Acuerdo.

"Datos Personales del Cliente" se refiere a cualquier dato personal, tal y como se describe en el Anexo A, procesado para o en nombre del Cliente bajo o en relación con el Acuerdo, incluyendo en la prestación de los Servicios, pero excluyendo cualquier Dato de Usuario.

"Violación de Datos" significa cualquier destrucción accidental o ilegal, pérdida, alteración, pérdida de control, divulgación no autorizada o acceso a los Datos Personales del Cliente sufridos por Corsearch o cualquier Subprocesador de los que Corsearch tenga conocimiento durante el Periodo de Vigencia, excepto cuando dicha violación sea causada por el Cliente o cualquier Usuario.

"Leyes de protección de datos" significa todas las leyes y reglamentos aplicables relacionados con la protección de datos que son aplicables al procesamiento de los Datos Personales del Cliente en virtud del Acuerdo, incluido, entre otros, el Reglamento General de Protección de Datos de la UE 2016/679 ("GDPR"), el GDPR promulgado por el Reino Unido ("GDPR del Reino Unido"), la Ley de Privacidad del Consumidor de California de 2018 ("CCPA"), incluida la modificada por la Ley de Derechos de Privacidad de California de 2020 y sus reglamentos de aplicación ("CPRA"), y la Ley de Protección de la Información Personal de la República Popular China ("PIPL"), en cada caso en la medida en que esté en vigor, y según se actualice, modifique o sustituya de vez en cuando.

"Transferencia Internacional" significa una transferencia de Datos Personales del Cliente entre las Partes, desde el Espacio Económico Europeo ("EEE"), el Reino Unido, y/o Suiza a un tercer país que no está determinado a proporcionar una protección adecuada de los Datos Personales del Cliente bajo las Leyes de Protección de Datos.

"Solicitud de privacidad" significa, con respecto a los Datos Personales del Cliente: (i) una solicitud validada de un interesado para ejercer cualquiera de sus derechos en virtud de las Leyes de Protección de Datos; o (ii) cualquier queja, notificación u otra comunicación de un interesado o autoridad supervisora, autoridad gubernamental u organismo judicial;

"CEC" se refiere a las cláusulas contractuales anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021, adoptadas, modificadas o sustituidas por la Comisión Europea ; y/o , la adenda de transferencia internacional de datos del Reino Unido a las cláusulas contractuales tipo de la Comisión Europea para las transferencias internacionales de datos, adoptadas, modificadas o actualizadas por la Oficina del Comisario de Información, el Parlamento o el Secretario de Estado del Reino Unido(según proceda).

"Subprocesador" se refiere a cualquier tercero contratado por Corsearch para llevar a cabo actividades de procesamiento con respecto a los Datos Personales del Cliente.

"Datos del Usuario" se refiere a los datos personales relativos a los Usuarios, procesados por Corsearch para sus propios fines, incluyendo: (a) proporcionar y garantizar la seguridad de los Servicios; (b) conceder al Cliente y a sus Usuarios acceso a los Datos Personales del Cliente; y (c) procesar la información de la cuenta y la facturación; y (d) comunicarse con el Cliente para cumplir con sus obligaciones en virtud del Acuerdo.

"decisión de adecuación", "responsable del tratamiento", "interesado", "proceso"/"tratamiento" (y cualquier otra derivación de los mismos), "encargado del tratamiento", "tercer país", "empresa", "consumidor", "datos personales", "vender" "compartir", "datos personales sensibles", "proveedor de servicios" y "autoridad de control" tienen el significado que se especifica en las Leyes de Protección de Datos.

2. Condiciones generales

2.1. Funciones. En lo que respecta al tratamiento de los Datos personales del cliente por parte de cada una de las Partes, las Partes acuerdan que el Cliente actuará como responsable del tratamiento y Corsearch como encargado del tratamiento, si bien las partes reconocen y acuerdan que Corsearch será un responsable independiente en relación con el tratamiento de los Datos del usuario.

2.2 Cumplimiento de la legislación. En el tratamiento de los Datos Personales del Cliente, cada Parte cumplirá con las Leyes de Protección de Datos que rigen dichos Datos Personales del Cliente mientras estén bajo su control.

2.3 Obligaciones del Cliente. El Cliente , durante el tiempo que dure el tratamiento de los Datos Personales del Cliente, deberá:

2.3.1 determinar los fines y los medios del tratamiento de los datos personales del cliente;
2.3.2 garantizar que sus instrucciones a Corsearch para el tratamiento de los datos personales del cliente sean y vayan a ser lícitas;
2.3.3 estar facultado para transferir los datos del usuario a Corsearch; y
2.3.4 no revelar ningún dato personal sensible a Corsearch.

3. Detalles del tratamiento

3.1 El Anexo A establece los fines y la duración del tratamiento, los tipos de datos personales, las categorías de interesados y la naturaleza del tratamiento. Si el Anexo A requiere actualización en cualquier momento durante el Periodo de Vigencia, las Partes colaborarán de buena fe para acordar mutuamente por escrito un Anexo A actualizado.

3. 2 Corsearch procesará los Datos Personales del Cliente:

3.2.1 únicamente en la medida en que sea necesario y con el único fin de cumplir con las obligaciones que le incumben en virtud del Acuerdo; y
3.2.2 de conformidad con las instrucciones legítimas y documentadas del Cliente, salvo que Corsearch esté obligada a hacerlo para cumplir con cualquier ley de protección de datos, en cuyo caso Corsearch notificará al Cliente dicho requisito legal, salvo que la ley lo prohíba.

3.3 Corsearch informará inmediatamente al Cliente si, a su juicio razonable, una instrucción del Cliente relativa al tratamiento de los Datos Personales del Cliente incumple la legislación en materia de protección de datos. En tal caso, Corsearch no incumplirá el Contrato ni será responsable en modo alguno por no llevar a cabo dicho tratamiento.

4. Seguridad de los datos y violaciones de la seguridad de los datos

4.1 Corsearch se asegurará de que todas las personas que traten los datos personales de los clientes:

4.1.1 se hayan comprometido a mantener la confidencialidad o estén sujetos a una obligación legal de confidencialidad adecuada, que garantice, como mínimo, el mismo nivel de protección de los Datos Personales del Cliente que el Contrato y el presente DPA;
4.1.2, dentro de los límites de lo comercialmente razonable por parte de Corsearch, cuenten con las competencias y la formación suficientes para el tratamiento de los Datos Personales del Cliente; y
4.1.3 cumplan con la Legislación en materia de Protección de Datos.

4.2 Corsearch, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, aplicará y mantendrá las medidas técnicas y organizativas adecuadas, tal y como se detalla aquí. Corsearch revisará y podrá actualizar dichas medidas técnicas y organizativas periódicamente, siempre que dichas actualizaciones no reduzcan de manera significativa el nivel general de seguridad de los Datos Personales del Cliente.

4.3 En caso de que se produzca una violación de la seguridad de los datos, Corsearch:

4.3.1. notificar al Cliente sin demora injustificada (y, en cualquier caso, en un plazo de 72 horas) tras tener conocimiento de dicha violación de datos;
4.3.2. facilitar toda la información razonablemente necesaria, en caso de que no se disponga de la información completa, por fases y sin demora injustificada, incluyendo al menos:

a. la naturaleza de la violación de datos, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos personales afectados;
b. el nombre y los datos de contacto de la persona de contacto para obtener más información;
c. las consecuencias probables de la violación de datos;
d. una descripción de las medidas adoptadas para hacer frente a la violación de datos, incluidas, cuando proceda, las medidas destinadas a mitigar sus posibles efectos adversos;

4.3.3. prestar la cooperación y la asistencia que el Cliente solicite razonablemente para cumplir con sus obligaciones en virtud de las Leyes de Protección de Datos;
4.3.4. adoptar las medidas razonables necesarias para subsanar la causa de la violación de datos y mitigar su impacto; y
4.3.5. salvo en la medida en que lo exijan las Leyes de Protección de Datos pertinentes, no realizar ninguna notificación a terceros (incluidas las autoridades de control o los interesados) en relación con la violación de datos.

4.4 El Cliente acepta coordinarse con Corsearch de buena fe en relación con el contenido de cualquier declaración pública y/o cualquier notificación requerida a los sujetos de datos afectados y/o a las autoridades de supervisión pertinentes que el Cliente realice, en cada caso si se refiere específicamente a Corsearch, a los empleados de Corsearch, a cualquier Subprocesador y/o a los Servicios, en relación con cualquier Vulneración de Datos.

5. Solicitudes de privacidad

5.1 Si Corsearch recibe una Solicitud de Privacidad con respecto a los Datos Personales del Cliente, Corsearch deberá, en la medida en que la ley lo permita, (i) notificar al Cliente con prontitud tras la identificación del Cliente como el controlador de datos pertinente; (ii) rechazar la solicitud e instruir al tercero para que realice dicha solicitud directamente al Cliente, y (iii) proporcionar al tercero la información de contacto del Cliente, sin responder a dicha solicitud.

5.2 Si Corsearch se ve obligada a responder a dicha Solicitud de Privacidad, Corsearch hará (cuando proceda) intentos comercialmente razonables para garantizar que la información revelada sea proporcionada y se limite a la cantidad mínima estrictamente necesaria para cumplir con dicha solicitud.

5.3 Teniendo en cuenta la naturaleza del procesamiento, Corsearch proporcionará cooperación y asistencia razonables para permitir al Cliente responder o cumplir (según sea el caso) con una Solicitud de Privacidad.

6. Evaluaciones de impacto sobre la protección de datos y consultas previas

Teniendo en cuenta la naturaleza del procesamiento y la información disponible para Corsearch, Corsearch proporcionará la asistencia razonablemente solicitada al Cliente para permitirle cumplir con sus obligaciones, con respecto a los Datos Personales del Cliente, de realizar evaluaciones de impacto de protección de datos y/o consultar con las autoridades de supervisión en virtud de las Leyes de Protección de Datos.

7. Subprocesadores

7.1 Por la presente, el Cliente otorga a Corsearch una autorización general por escrito para contratar a cualquier subencargado del tratamiento, ya sea directamente o a través de cualquier filial de Corsearch, que Corsearch considere necesario para la prestación de los Servicios, incluidos todos los subencargados del tratamiento contratados por Corsearch a la Fecha de Inicio. Los subencargados del tratamiento actuales de Corsearch figuran aquí.

7.2 Corsearch impondrá a cada subencargado de tratamiento obligaciones de protección de datos que no sean de menor grado de protección que las establecidas en el presente DPA.

7.3 Corsearch seguirá siendo responsable ante el Cliente del cumplimiento de las obligaciones de cada subencargado de tratamiento.

7.4 Corsearch notificará al Cliente por escrito, con al menos 30 días de antelación, cualquier cambio previsto relativo a la incorporación o sustitución de subencargados de tratamiento. Corsearch proporciona al Cliente, a través del enlace mencionado anteriormente, un mecanismo para suscribirse y recibir actualizaciones de la lista de subencargados del tratamiento, a la que el Cliente se suscribirá para recibir dichas notificaciones.

7.5 El Cliente podrá oponerse al nombramiento de cualquier subencargado del tratamiento si dicho subencargado ha causado objetivamente o es probable que cause un riesgo para la seguridad y el tratamiento seguro de los Datos Personales del Cliente o para la capacidad del Cliente de cumplir con las Leyes de Protección de Datos. De lo contrario, el Cliente no se opondrá de manera irrazonable al nombramiento de dicho nuevo subencargado del tratamiento y, si el Cliente no se opone por escrito al nombramiento de dicho nuevo subencargado del tratamiento de conformidad con esta cláusula, se considerará que el Cliente ha aprobado dicho nombramiento.

7.6 Si, en el plazo de diez (10) días desde la recepción de la notificación por parte del Cliente, este se opone razonablemente por escrito a Corsearch al nombramiento de dicho nuevo subencargado del tratamiento, las Partes colaborarán de buena fe para determinar una solución mutuamente aceptable que resuelva dicha objeción, incluyendo, cuando sea posible, que Corsearch continúe prestando los Servicios sin la participación de dicho nuevo subencargado del tratamiento. Si las Partes no llegan a una solución mutuamente aceptable y Corsearch no puede, razonablemente, continuar prestando los Servicios sin la participación de dicho nuevo subencargado del tratamiento, cada Parte tendrá derecho a rescindir la parte pertinente de los Servicios a la que dicho nuevo subencargado del tratamiento esté destinado a estar relacionado (si no es posible, el Contrato en su totalidad) inmediatamente mediante notificación por escrito a la otra Parte. Ninguna disposición de la presente cláusula eximirá al Cliente de sus obligaciones de pago de las tarifas correspondientes a los Servicios prestados por Corsearch y recibidos por el Cliente hasta la fecha de rescisión prevista en el presente.

8. 8. Transferencias internacionales

8.1 Corsearch podrá, en la medida en que sea necesario para prestar los Servicios, transferir los Datos Personales del Cliente a sus Filiales y/o Subencargados del tratamiento fuera del EEE, siempre que dicha transferencia (y cualquier tratamiento posterior) se lleve a cabo de conformidad con las Leyes de Protección de Datos.

8.2 Cuando los Datos Personales del Cliente se transfieran a un tercer país y dicha transferencia constituya una Transferencia Internacional en virtud de las Leyes de Protección de Datos, Corsearch suscribirá las CCT pertinentes con el Cliente y cada una de sus Filiales y Subencargados del Tratamiento, según corresponda. Las CCT firmadas por las Partes, tal y como se establece aquí, se incorporan al presente DPA, y a través de este DPA o mediante el uso de los Servicios. Si alguna de las CCT en las que se basan las Partes se actualiza o queda invalidada de cualquier otra forma, las Partes acuerdan que dichas CCT nuevas o actualizadas, según lo prescriban las Leyes de Protección de Datos, se aplicarán entre las Partes sin necesidad de modificar el presente DPA. Corsearch se reserva el derecho a realizar los cambios que las Partes estén legalmente obligadas a aplicar en el enlace anterior.

8.3 En caso de conflicto entre este DPA y las CCT aplicables, prevalecerán los términos de las CCT aplicables.

9. Conservación y supresión de datos

9.1 Tras la expiración o rescisión del Acuerdo por cualquier motivo, Corsearch podrá conservar los Datos Personales del Cliente durante un máximo de 30 días. A partir de entonces, a menos que la retención sea requerida por las Leyes de Protección de Datos, Corsearch eliminará inmediatamente los Datos Personales del Cliente, que no incluirán copias de datos personales procesados en nombre de otro cliente de Corsearch, procesados por Corsearch y/o cualquier Subprocesador.

9.2 Siempre que el Cliente lo notifique por escrito a Corsearch con al menos 30 días de antelación, Corsearch devolverá al Cliente todas las copias existentes de los Datos Personales del Cliente.

10. Auditoría

El Cliente o cualquier auditor externo al que el Cliente dé instrucciones y que esté sujeto a obligaciones razonables de confidencialidad, podrá auditar el cumplimiento de este APD por parte de Corsearch, mediante:

a. exigir a Corsearch que cumplimente el cuestionario de evaluación de seguridad del Cliente; y/o
b. en la medida en que sea aplicable y esté a disposición de Corsearch, solicitar copias de la información, los registros, las certificaciones y los informes de auditoría pertinentes emitidos por terceros independientes de reconocido prestigio, siempre que no se hayan producido cambios significativos en los controles utilizados por Corsearch desde la emisión de la certificación o del informe de auditoría.

11. Disposiciones específicas de las leyes de protección de datos

11.1 CCPA / CRPA. Esta Sección se aplica únicamente si los Datos Personales del Cliente están sujetos a la CCPA / CPRA:

11.2.1. Las siguientes definiciones se interpretarán además de conformidad con la definición correspondiente de la CCPA: «Cliente» significa«Empresa»; «Corsearch» significa«Proveedor de servicios»y «datos personales» significa«Información personal».
11.2.2. Corsearch no (a) venderá ni compartirá los Datos personales del cliente, ni los divulgará con fines de publicidad dirigida o elaboración de perfiles, (b) conservará, utilizará o divulgará los datos personales del cliente para ningún fin (incluido un fin comercial) distinto de la prestación de los servicios en virtud del contrato, o según lo permita la CCPA; (c) salvo con el fin de prestar los servicios en virtud del contrato, conservará, utilizará o divulgará los datos personales del cliente fuera de la relación comercial directa entre el cliente y Corsearch; ni (d) combinará los datos personales del cliente con información personal recibida de otra fuente.

11.2 PIPL. Esta Sección se aplica únicamente si los Datos Personales del Cliente están sujetos a la PIPL:

12.2.1. Las siguientes definiciones se interpretarán de tal forma que hagan referencia a la definición correspondiente de la PIPL: «Datos personales» significa«Información personal»; «Cliente» significa«Responsable del tratamiento de datos personales»; «Corsearch» significa«Encargado del tratamiento»; y «Datos sensibles» significa la información personal que pueda dar lugar a daños a la dignidad personal de cualquier persona física o a daños a su seguridad personal o patrimonial una vez divulgada o apropiada indebidamente, incluida la información personal relativa a la identificación biométrica, las creencias religiosas, la identidad específica, la salud médica, las cuentas financieras y el paradero y los movimientos, así como la información personal de menores de 14 años.
11.2.2. En virtud del presente Acuerdo, Corsearch procesa únicamente la Información Personal que haya sido hecha pública por los propios interesados.
11.2.3. Las transferencias internacionales se consideran transferencias transfronterizas de Información Personal en virtud de la PIPL y Corsearch es responsable de aplicar las medidas adecuadas y aplicables, tal y como se definen en el presente DPA y en las Leyes de Protección de Datos, para garantizar que dichas transferencias se realicen de conformidad con la PIPL.

ANEXO A - ÁMBITO DEL TRATAMIENTO