Acuerdo de procesamiento de datos

El presente Acuerdo de Tratamiento de Datos ("DPA") forma parte y se incorpora a cualquier acuerdo, incluso en forma de Condiciones de servicio, entre Spendbase, Inc. u otra entidad legal dentro del grupo de empresas Spendbase (colectivamente, "Spendbase") y la entidad cliente aplicable ("Cliente") (cada uno de ellos un "Fiesta" y juntos el "Fiestas") que rige el uso por parte del Cliente de los servicios de Spendbase (el "Acuerdo").

Esta APD se aplica a todo el procesamiento de datos personales por parte de Spendbase en nombre del Cliente en virtud del Acuerdo. Todos los términos en mayúsculas no definidos en el presente APD tendrán el significado que se les atribuye en el Acuerdo. El presente APD entrará en vigor en la fecha de entrada en vigor del Acuerdo (el "Fecha de entrada en vigor").

Al celebrar el Acuerdo con Spendbase, se considera que las Partes han ejecutado el presente APD, incluidas las Cláusulas Contractuales Tipo, que forman parte del presente APD.

Este APD se aplica igualmente cuando la entidad contratante es Spendbase, Inc. u otra filial de Spendbase.

CONSIDERANDO:

(A) En relación con la prestación de Servicios, el Procesador procesará ciertos datos personales en nombre del Controlador en el sentido del artículo 28 GDPR;

(B) Las Partes desean garantizar que dicho tratamiento de datos personales se lleve a cabo de conformidad con la Legislación Aplicable en materia de Protección de Datos, en particular el Reglamento (UE) 2016/679 (el "GDPR");

(C) Las Partes acuerdan que los Vendedores tratarán los datos personales bajo su propia responsabilidad y sobre la base de acuerdos independientes (incluidos sus propios acuerdos de tratamiento de datos y políticas de privacidad). Para evitar cualquier duda, el presente APD no se aplica a dichas actividades de tratamiento de los Proveedores.

(D) Por consiguiente, las Partes celebran el presente APD, que establece los derechos y obligaciones de las Partes en relación con el tratamiento de datos personales por parte del encargado del tratamiento por cuenta del responsable del tratamiento.

AHORA, POR LO TANTOlas Partes acuerdan lo siguiente:

En el presente APD, los siguientes términos tendrán el significado que se indica a continuación. Los términos en mayúsculas no definidos en el presente documento tendrán el significado que se les atribuye en el RGPD.

"Legislación aplicable en materia de protección de datos" se refiere al GDPR y a cualquier otra ley y normativa federal o estatal aplicable relacionada con la protección de datos personales y la privacidad;

"Responsable del tratamiento Datos personalespor "datos personales" se entenderá cualquier dato personal tratado por el procesador en nombre del controlador en relación con los servicios, como se describe con más detalle en Anexo 1 Detalles del tratamiento;

"Filtración de datos"una violación de la seguridad que provoque la destrucción accidental o ilícita, la pérdida, la alteración, la difusión no autorizada o el acceso a Datos Personales del Responsable del Tratamiento;

"Solicitud del interesado"una solicitud de un interesado para ejercer sus derechos en virtud del RGPD;

"País restringido"país o territorio fuera del Espacio Económico Europeo que no se beneficia de una decisión de adecuación de la Comisión Europea;

"Transferencia restringida"(i) una transferencia de Datos Personales del Responsable del Tratamiento a un Encargado del Tratamiento en un País Restringido; o (ii) una transferencia ulterior de Datos Personales del Responsable del Tratamiento a un Subencargado del Tratamiento en un País Restringido;

"Servicios"se refiere a la plataforma SaaS y los servicios relacionados prestados por el procesador al controlador;

"Subprocesador"se refiere a cualquier entidad jurídica designada por el Procesador para procesar los Datos Personales del Controlador en relación con los Servicios;

Vendedor"proveedor externo de productos o servicios de software como servicio (SaaS).

Los términos "datos personales", "categorías especiales de datos", "interesado", "procesamiento", "controlador", "procesador", y "autoridad de control"tendrán el significado que se les da en el GDPR.

2.1 El presente APD regula el tratamiento de los Datos Personales del Responsable por parte del Procesador en nombre del Responsable en relación con los Servicios. La naturaleza, la finalidad y los detalles de dicho tratamiento se describen en Anexo 1 Detalles del tratamiento. El Procesador procesará los Datos Personales del Controlador únicamente siguiendo instrucciones del Controlador y no procesará los Datos Personales del Controlador para ningún otro propósito, excepto cuando sea necesario hacerlo en virtud de las Leyes de Protección de Datos Aplicables.

2.2 Al suscribir el presente APD, el Responsable da instrucciones al Procesador para que procese los Datos Personales del Responsable únicamente en la medida en que sea necesario para:

(i) prestar los Servicios y el soporte técnico correspondiente;

(ii) cumplir las instrucciones documentadas del controlador; y

(iii) cumplir la legislación aplicable a la que esté sujeto el procesador.

2.3 El Responsable reconoce que los Servicios le permiten contratar a Proveedores de su elección. Cada proveedor procesa los datos personales de forma independiente con arreglo a sus propias condiciones, políticas de privacidad y acuerdos de procesamiento de datos. Para evitar dudas, el procesador no actúa como procesador con respecto a ningún dato personal procesado por los proveedores, y esta DPA no se aplica a dicho procesamiento.

2.4 El responsable del tratamiento no facilitará, y el encargado del tratamiento no solicitará ni tendrá intención de tratar, ninguna categoría especial de datos, tal como se definen en el RGPD.

2.5 El Responsable garantiza que ha establecido una base jurídica válida en virtud de las Leyes de Protección de Datos Aplicables para todo el tratamiento de los Datos Personales del Responsable por parte del Encargado, tal como se contempla en el presente APD.

3.1 El Encargado del tratamiento se asegurará de que las personas autorizadas a tratar los Datos Personales del Responsable del tratamiento estén sujetas a una obligación adecuada de confidencialidad, ya sea contractual o legal, y de que dichas obligaciones sigan vigentes tras la finalización de su contratación.

3.2 Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el Responsable del tratamiento aplicará y mantendrá las medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Responsable contra la destrucción, accidental o ilícita, la pérdida, la alteración, la difusión o el acceso no autorizados. La descripción de dichas medidas figura en Anexo 2 Medidas técnicas y organizativas.

3.3 El controlador es responsable de:

(i) asegurar sus credenciales de acceso y los dispositivos utilizados para acceder a los Servicios;

(ii) garantizar un nivel de seguridad adecuado al riesgo en su utilización de los Servicios; y

(iii) determinar si los Servicios y las medidas descritas en Anexo 2 Medidas técnicas y organizativas cumplir los requisitos legales y reglamentarios del Controlador.

3.4 El Procesador no tiene obligación de proteger los Datos Personales del Controlador que éste decida almacenar o transferir fuera de los Servicios o de los sistemas de los Subprocesadores (por ejemplo, almacenamiento fuera de línea o en las instalaciones).

4.1 El Responsable reconoce y acepta que el Procesador puede contratar a Subprocesadores para procesar los Datos Personales del Responsable en relación con los Servicios. El Procesador podrá seguir utilizando a todos los Subprocesadores contratados por él a partir de la Fecha de entrada en vigor del presente APD.

4.2 La lista de subprocesadores se encuentra en spendbase.co/subprocesadores y se incorpora al presente APD por referencia. El encargado del tratamiento podrá actualizar esta lista de vez en cuando y notificará al responsable del tratamiento cualquier nuevo subencargado publicando la lista actualizada en el sitio web del encargado del tratamiento.

4.3 El encargado del tratamiento se asegurará de que cada subencargado del tratamiento esté vinculado por un contrato que imponga obligaciones de protección de datos no menos protectoras que las establecidas en el presente APD, incluidas las obligaciones relativas a la confidencialidad, la seguridad y la protección de datos.

4.4 El procesador seguirá siendo plenamente responsable de los actos y omisiones de sus subprocesadores en la misma medida que si los actos y omisiones fueran propios.

4.5 El Responsable del tratamiento reconoce y acepta que todas las filiales actuales y futuras del Procesador pueden actuar como Subprocesadores en virtud del presente APD. Dichas filiales se considerarán autorizadas y no se requerirá la aprobación por separado del Responsable del tratamiento. El Procesador seguirá siendo plenamente responsable del cumplimiento del presente APD por parte de sus filiales.

4.6 No todos los Subprocesadores procesan Datos Personales del Controlador en relación con cada Servicio. Los Subprocesadores específicos involucrados dependen de las características de los Servicios que el Controlador elija utilizar

5.1 Teniendo en cuenta la naturaleza del tratamiento, el Procesador proporcionará al Controlador la asistencia razonable que sea necesaria para que el Controlador pueda responder a las solicitudes de los interesados para ejercer sus derechos en virtud de las Leyes de Protección de Datos Aplicables, en la medida en que dichas solicitudes se relacionen con los Datos Personales del Controlador y los Servicios.

5.2 Si el encargado del tratamiento recibe directamente una solicitud del interesado, lo notificará sin demora al responsable del tratamiento y no responderá a la solicitud salvo que reciba instrucciones documentadas del responsable del tratamiento o cuando así lo exija la legislación aplicable en materia de protección de datos.

5.3 La obligación del Encargado del tratamiento de prestar asistencia con arreglo a la presente sección 5 se aplicará únicamente en la medida en que el Responsable del tratamiento no pueda responder por sí mismo a la solicitud del interesado mediante la funcionalidad de los Servicios.

6.1 El procesador notificará al controlador sin demoras indebidas después de tener conocimiento de una violación de datos presunta o real que afecte a los datos personales del controlador.

6.2 Dicha notificación describirá, en la medida en que esté razonablemente al alcance del encargado del tratamiento:

(i) la naturaleza de la violación de los datos, incluidas, cuando sea posible, las categorías y el número aproximado de interesados afectados y las categorías y el número aproximado de registros de datos personales afectados;

(ii) las consecuencias previstas de la violación de datos; y

(iii) las medidas adoptadas o que se propone adoptar el encargado del tratamiento para hacer frente a la violación de datos, incluidas, en su caso, las medidas para mitigar sus posibles efectos adversos.

6.3 El Responsable del tratamiento es responsable del cumplimiento de las obligaciones de notificación o comunicación aplicables al Responsable del tratamiento en caso de violación de los datos.

6.4 La notificación o respuesta del procesador a la violación de datos en virtud de esta Sección 6 no se interpretará como un reconocimiento por parte del procesador de cualquier culpa o responsabilidad con respecto al incidente.

7.1 Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el Encargado del Tratamiento, éste podrá prestar una asistencia razonable al Responsable del Tratamiento en relación con las evaluaciones de impacto sobre la protección de datos y las consultas previas a las autoridades de control, según lo dispuesto en la Legislación Aplicable en materia de Protección de Datos.

7.2 Para demostrar el cumplimiento del presente APD, el encargado del tratamiento pondrá a disposición del responsable del tratamiento la documentación razonablemente necesaria para demostrar su cumplimiento del artículo 28 del RGPD, que puede incluir informes de auditoría de terceros, certificaciones u otra información.

7.3 Las auditorías se limitarán a revisiones a distancia de la documentación facilitada por el encargado del tratamiento. El responsable del tratamiento no podrá realizar dichas auditorías más de una vez cada doce (12) meses, salvo que una autoridad de control exija lo contrario.

7.4 El Responsable del tratamiento avisará por escrito con una antelación mínima de setenta y dos (72) horas antes de cualquier auditoría. Todas las auditorías se llevarán a cabo de manera que se evite la interrupción de las operaciones comerciales del Procesador. El Controlador correrá con todos los costos de cualquier auditoría.

8.1 Las Partes acuerdan que, en la medida en que cualquier tratamiento de Datos Personales del Responsable implique una Transferencia Restringida, dicha transferencia se regirá por las Cláusulas Contractuales Tipo para la transferencia de datos personales a terceros países (Módulo Dos: Responsable a Encargado del Tratamiento) publicadas por la Comisión Europea en virtud de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 ("CEC").

8.2 Los CEC se incorporan por referencia al presente APD y forman parte del mismo como si estuvieran redactados en su totalidad.

8.3 Las Partes han acordado la siguiente cartografía de anexos:

(i) Anexo I (Descripción del tratamiento): cumplimentado con referencia a Anexo 1 Detalles del tratamiento.

(ii) Anexo II (Medidas técnicas y organizativas): completado por referencia a Anexo 2 Medidas técnicas y organizativas.

(iii) Anexo III (Lista de subencargados del tratamiento): cumplimentado con referencia a la Lista de subprocesadores.

8.4 Las CEC se regirán por la legislación del Estado miembro de la UE en el que esté establecido el Responsable del tratamiento, y los litigios se someterán a la jurisdicción de los tribunales de dicho Estado miembro.

8.5 Cláusula de acoplamiento (cláusula 7 SCC): Se aplica la cláusula de acoplamiento opcional.

8.6 Cuando proceda, cualquier transferencia de Datos Personales del Responsable del tratamiento desde el Responsable del tratamiento en el Reino Unido al Encargado del tratamiento en el Espacio Económico Europeo está cubierta por las normas de adecuación emitidas por el Organismo pertinente en virtud del Párrafo 5 del Anexo 21 de la Ley de Protección de Datos del Reino Unido de 2018 y, por lo tanto, no constituye una Transferencia Restringida.

8.7 Cuando Spendbase contrate a subprocesadores ubicados fuera del EEE/Reino Unido, dichas transferencias estarán protegidas por los CEC (Módulo 3: de procesador a procesador) o las decisiones de adecuación, según proceda.

9.1 A la terminación o expiración de los Servicios que implican el tratamiento de Datos Personales del Responsable, el Procesador deberá, a elección del Responsable, ya sea

(i) devolver todos los Datos Personales del Responsable del Tratamiento en un formato estructurado, de uso común y lectura mecánica, o bien

(ii) suprimir todos los Datos Personales del Responsable, y certificará dicha supresión a petición escrita del Responsable. El Responsable comunicará su preferencia al Encargado del tratamiento antes de la rescisión.

9.2 El encargado del tratamiento completará la supresión o devolución en un plazo de treinta (30) días a partir de la finalización, a menos que la ley exija una conservación más prolongada, siempre que dichos datos se mantengan confidenciales y se traten únicamente en la medida necesaria para el cumplimiento de dicha ley.

10.1 La responsabilidad de cada una de las Partes en virtud de este APD o en relación con el mismo estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el Acuerdo.

10.2 Salvo que los CEC exijan lo contrario para las Transferencias Restringidas, este APD se regirá e interpretará de conformidad con la ley aplicable establecida en el Acuerdo, y cualquier disputa que surja de o en relación con este APD estará sujeta a la jurisdicción exclusiva de los tribunales especificados en el Acuerdo.

10.3 En caso de conflicto entre los términos del presente APD y el Acuerdo, prevalecerá el presente APD en lo que respecta a la materia de protección de datos.

10.4 Si fuera necesario para cumplir la legislación aplicable en materia de protección de datos o las directrices vinculantes de una autoridad de control competente, el procesador podrá modificar el presente APD mediante notificación por escrito al controlador. Las Partes cooperarán de buena fe para garantizar el cumplimiento continuado.

10.5 El presente APD permanecerá en vigor mientras el Procesador procese Datos Personales del Controlador en nombre del Controlador en virtud del Acuerdo.

10.6 Salvo que los CEC dispongan lo contrario, el presente APD se regirá por la legislación aplicable establecida en el Contrato.

Las preguntas relativas a esta DPA pueden dirigirse a legal@test-domain-partnerway.prod.spendbase.co