RGPD y DPA

1. Relación con el Acuerdo

1.1. Este anexo sobre el procesamiento de datos («DPA») forma parte del acuerdo maestro de servicios o de las condiciones de uso disponibles en https://gmelius.com/legal/terms o en cualquier otro lugar en el que las Condiciones de uso puedan publicarse de vez en cuando (según corresponda, el «Acuerdo»), celebrado entre el Cliente y Gmelius SA («Gmelius»), en virtud del cual el Cliente ha accedido a los Servicios de aplicación de Gmelius tal como se definen en el Acuerdo aplicable. Gmelius y la Compañía son individualmente una «parte» y, colectivamente, las «partes».

1.2. Este DPA se aplica solo en la medida en que Gmelius reciba, almacene o procese datos personales en relación con los Servicios. El anexo 1 describe las actividades de procesamiento incluidas en el ámbito de esta DPA.

1.3. Las partes acuerdan que este DPA sustituirá cualquier anexo de procesamiento de datos existente que las partes hayan suscrito anteriormente en relación con los Servicios.

1.4. A excepción de los cambios introducidos por esta DPA, el Acuerdo permanece sin cambios y en pleno vigor y efecto. Si hay algún conflicto entre este DPA y el Acuerdo, este DPA prevalecerá en la medida en que surja ese conflicto.

1.5. Cualquier reclamación presentada en virtud de esta DPA o en relación con ella estará sujeta al Acuerdo.

1.6. La Compañía también acepta que cualquier sanción reglamentaria en la que Gmelius incurra en relación con los datos de la empresa y que surja como resultado o en relación con el incumplimiento por parte de la Compañía de sus obligaciones en virtud de esta DPA o de cualquier ley de protección de datos aplicable tendrá en cuenta y reducirá la responsabilidad de Gmelius en virtud del Acuerdo como si fuera una responsabilidad ante la Compañía en virtud del Acuerdo.

1.7. Nadie más que las partes en este DPA, sus sucesores y cesionarios autorizados tendrá derecho a hacer cumplir cualquiera de sus términos (excepto en la medida en que las personas puedan hacer valer sus derechos a través de un mecanismo internacional de transferencia de datos).

1.8. Este DPA se regirá e interpretará de conformidad con las disposiciones legales y jurisdiccionales aplicables del Acuerdo, a menos que un mecanismo internacional de transferencia de datos o las leyes de protección de datos aplicables exijan lo contrario.

1.9. En caso de conflicto entre este DPA y el Acuerdo, el DPA controlará en la medida necesaria para resolver el conflicto. En caso de que las partes utilicen un mecanismo internacional de transferencia de datos y exista un conflicto entre las obligaciones de ese mecanismo internacional de transferencia de datos y las de este DPA, prevalecerá el Mecanismo internacional de transferencia de datos.

1,10. Es posible que Gmelius deba actualizar este DPA para cumplir con la legislación aplicable y, en tal caso, Gmelius avisará con una antelación razonable de cualquier actualización de este tipo.

2. Definiciones

2.1. Los siguientes términos tienen los significados que se indican a continuación. Todos los términos en mayúscula que no estén definidos en este DPA tendrán los significados establecidos en el Acuerdo.

2.2. Los siguientes términos tienen las definiciones que se les dan en la CCPA:»Negocios,»»Venta,»»Proveedor de servicios,» y»Tercero».

2.3. »Acuerdo» se refiere a los acuerdos celebrados entre las partes, que rigen la prestación de los Servicios a la Compañía.

2.4. »Datos de la empresa» se refiere a cualquier dato personal que Gmelius procese en nombre de la Compañía como procesador durante la prestación de los Servicios.

2,5. »Consentimiento» significa la indicación libre, específica, informada e inequívoca de los deseos del interesado, mediante la cual, mediante una declaración o una acción afirmativa clara, expresa su acuerdo con el procesamiento de los datos personales que le conciernen.

2.6. »Controlador» se refiere a la entidad que determina los fines y los medios del procesamiento de datos personales. El término «responsable» incluye términos equivalentes en otras leyes de protección de datos, como el término «empresa» o «tercero» definido por la CCPA, según lo requiera el contexto.

2.7. »Ley de protección de datos» se refiere a todas las leyes de protección de datos y privacidad aplicables al procesamiento de datos personales en virtud del Acuerdo, incluido el Reglamento 2016/679 (Reglamento general de protección de datos) («GDPR») y Cal. Civ. Título del código 1.81.5, § 1798.100 y siguientes. (Ley de privacidad del consumidor de California) («CCPA»).

2.8. »Sujeto de datos» significa una persona física identificada o identificable.

2.9. »Datos anonimizados» se refiere a un conjunto de datos que no contiene ningún dato personal. Los datos agregados son datos anonimizados. «Desidentificar» significa crear datos anonimizados a partir de datos personales.

2.10. »EEE» significa el Espacio Económico Europeo.

2.11. »Datos personales» significa la información que identifica, se relaciona con, describe, es razonablemente capaz de asociarse o podría vincularse razonablemente, directa o indirectamente, con un sujeto de datos. El término «datos personales» incluye términos equivalentes en la ley de protección de datos, como el término «información personal» definido por la CCPA, según lo requiera el contexto.

2,12»Violación de datos personales» se refiere a una violación de la seguridad de los Servicios que provoque la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilegal a los Datos de la Compañía.

2.13. »Proceso» o»Procesamiento» cualquier operación o conjunto de operaciones que una parte lleve a cabo con los datos personales, incluida la recopilación, el registro, la organización, el almacenamiento, la adaptación o la modificación, la recuperación, la consulta, el uso, la divulgación mediante transmisión, difusión o puesta a disposición de otro modo, la alineación o combinación, el bloqueo, el borrado o la destrucción.

2.14. »Procesador» se refiere a una entidad que procesa datos personales en nombre de otra entidad. «Procesador» incluye términos equivalentes en otras leyes de protección de datos, como el término «proveedor de servicios» definido por la CCPA, según lo requiera el contexto.

2.15. »Datos sensibles» se refiere a los siguientes tipos y categorías de datos: datos que revelan el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas o la afiliación sindical; datos genéticos; datos biométricos; datos relacionados con la salud, incluida la información de salud protegida regida por la Ley de Portabilidad y Responsabilidad del Seguro Médico; datos sobre la vida sexual u orientación sexual de una persona física; números de identificación gubernamentales (por ejemplo, SSN, carné de conducir); información de tarjetas de pago; información personal no pública regida por la Gramm Ley Leach Billey; y identificador no cifrado en combinación con una contraseña u otro código de acceso que permita el acceso a la cuenta del interesado; y geolocalización precisa.

2.16. »Servicios» se refiere a cualquier producto o servicio proporcionado por Gmelius a la Compañía de conformidad con el Acuerdo.

2.17. »Cláusulas contractuales estándar» se refiere a las cláusulas contractuales estándar de la Unión Europea para las transferencias internacionales desde el Espacio Económico Europeo a terceros países, Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021.

2.18. »Subprocesador» se refiere a un procesador contratado por una parte que actúa como procesador.

3. Descripción de las actividades de procesamiento de datos personales de las Partes y los estados de las Partes

3.1. El anexo 1 describe los propósitos del procesamiento por parte de las partes, los tipos o categorías de datos personales involucrados en el procesamiento y las categorías de sujetos de datos afectados por el procesamiento.

3.2. El anexo 1 enumera los estados de las partes en virtud de la Ley de Protección de Datos pertinente.

4. Transferencia internacional de datos

4.1. Algunas jurisdicciones exigen que una entidad que transfiera datos personales o acceda a datos personales desde una jurisdicción extranjera tome medidas adicionales para garantizar que los datos personales cuenten con protecciones especiales (una»Mecanismo internacional de transferencia de datos»). Las partes cumplirán con cualquier mecanismo de transferencia internacional de datos que pueda exigir la ley de protección de datos aplicable, incluidas las cláusulas contractuales estándar. Antes de que una de las partes transfiera a la otra parte o permita que la otra parte acceda a los datos personales ubicados en una jurisdicción que requiera un mecanismo de transferencia internacional de datos, la parte que realiza la transferencia notificará a la otra parte el requisito correspondiente y las partes trabajarán juntas de buena fe para cumplir los requisitos de ese mecanismo internacional de transferencia de datos.

4.2. Si el Mecanismo Internacional de Transferencia de Datos en el que se basan las partes se invalida o reemplaza, las partes trabajarán juntas de buena fe para encontrar una alternativa adecuada.

4.3. Con respecto a los datos personales de los interesados ubicados en el EEE, Suiza o el Reino Unido que la empresa transfiera a Gmelius o a los que Gmelius acceda, las partes acuerdan que, al ejecutar este DPA, también ejecutan las cláusulas contractuales estándar, que se incorporarán como referencia y formarán parte integral de este DPA. Las partes acuerdan que, con respecto a los elementos de las cláusulas contractuales estándar que requieren la participación de las partes, los anexos 1 y 2 contienen la información relevante. Las partes acuerdan que, en lo que respecta a los datos personales de los interesados en el Reino Unido y Suiza, adoptarán las modificaciones de las cláusulas contractuales estándar que figuran en el anexo 1 para adaptar las cláusulas contractuales estándar a la legislación del Reino Unido o Suiza, según proceda.

5. Protección de datos en general

5.1. Cumplimiento. Las partes cumplirán con sus respectivas obligaciones en virtud de la Ley de Protección de Datos y sus avisos de privacidad.

5.2. Procesamiento de datos personales por parte de la empresa. La empresa declara y garantiza que cuenta con el consentimiento u otra base legal necesaria para recopilar y divulgar datos personales a Gmelius en relación con los Servicios.

5.3. Cooperación.

1. Solicitudes de sujetos de datos. (5.3.1.1.) Facilitación de respuestas. Los Servicios proporcionan a la Compañía una serie de controles que la Compañía puede utilizar para recuperar, corregir, eliminar o restringir los datos de la Compañía, y que la Compañía puede usar para ayudarla en relación con sus obligaciones en virtud de la Ley de Protección de Datos, incluidas las relacionadas con la respuesta a las solicitudes de las personas o las autoridades de protección de datos aplicables. En la medida en que la Compañía no pueda acceder de forma independiente a los Datos de la Compañía relevantes dentro de los Servicios, Gmelius (por cuenta de la Compañía) brindará una cooperación razonable para ayudar a la Compañía a responder a cualquier solicitud de las personas o las autoridades de protección de datos aplicables en relación con el procesamiento de los datos de la Compañía en virtud del Acuerdo. (5.3.1.2.) Solicitudes recibidas por Gmelius. En caso de que Gmelius reciba solicitudes de personas para ejercer sus derechos, Gmelius notificará a la persona la necesidad de presentar la solicitud directamente a la Compañía y la notificará sin demora a la Compañía, a menos que se prohíba legalmente a Gmelius proporcionar dicha notificación.
2. Solicitudes gubernamentales y de investigación. Si una autoridad gubernamental (por ejemplo, la Comisión Federal de Comercio, el fiscal general de un estado de EE. UU. o una autoridad europea de protección de datos) envía a Gmelius una solicitud de datos de la empresa (por ejemplo, mediante una citación u orden judicial), Gmelius intentará redirigir a la agencia policial para que solicite esos datos directamente a la Compañía. Como parte de este esfuerzo, Gmelius puede proporcionar la información de contacto básica de la empresa a la autoridad gubernamental. Si se ve obligada a divulgar los datos de la empresa a una autoridad gubernamental, Gmelius avisará con razonable antelación a la empresa de la solicitud para que la empresa pueda solicitar una orden de protección u otro recurso adecuado, a menos que se le prohíba legalmente hacerlo.
3. Otros requisitos de la ley de protección de datos. Previa solicitud, las partes se proporcionarán la información pertinente para cumplir con sus respectivas obligaciones (si las hubiera) de realizar evaluaciones de impacto en materia de protección de datos o consultas previas con las autoridades de protección de datos.

5.4. Confidencialidad. Las partes se asegurarán de que sus empleados, contratistas independientes y agentes estén sujetos a la obligación de mantener la confidencialidad de los datos personales.

5.5. Tecnologías de seguimiento. La empresa reconoce que, en relación con el rendimiento de los Servicios, Gmelius emplea cookies, identificadores únicos, balizas web y tecnologías de seguimiento similares («Tecnologías de seguimiento»). La empresa mantendrá los mecanismos adecuados de notificación, consentimiento, aceptación y exclusión, tal y como exigen las leyes de protección de datos, para permitir a Gmelius implementar tecnologías de seguimiento legalmente en los dispositivos de los usuarios finales (que se definen a continuación) y recopilar datos de ellos de acuerdo con la Declaración de cookies de Gmelius y tal como se describe en ella (https://gmelius.com/legal/cookie-policy).

6. Seguridad de datos

6.1. Controles de seguridad. Gmelius implementará y mantendrá las medidas de seguridad técnicas y organizativas adecuadas para proteger los datos de la empresa de las violaciones de datos personales y para preservar la seguridad y la confidencialidad de los datos de la empresa, de acuerdo con los estándares de seguridad de Gmelius descritos en esta DPA y en https://gmelius.com/legal/security («Medidas de seguridad»).

6.2. Actualizaciones de las medidas de seguridad. La Compañía es responsable de revisar la información puesta a disposición por Gmelius en relación con la seguridad de los datos y de tomar una determinación independiente sobre si los Servicios cumplen con los requisitos y obligaciones legales de la Compañía en virtud de las leyes de protección de datos. La Compañía reconoce que las medidas de seguridad están sujetas al progreso y al desarrollo técnicos y que Gmelius puede actualizar o modificar las medidas de seguridad de vez en cuando, siempre que dichas actualizaciones y modificaciones no provoquen una degradación de la seguridad general de los Servicios adquiridos por la Compañía.

6.3. Responsabilidades de la empresa. No obstante lo anterior, la Compañía acepta que, salvo lo dispuesto en esta DPA, la Compañía es responsable de su uso seguro de los Servicios, lo que incluye proteger las credenciales de autenticación de sus cuentas, proteger la seguridad de los datos de la Compañía cuando están en tránsito hacia y desde los Servicios y tomar las medidas apropiadas para cifrar o hacer copias de seguridad de forma segura de los Datos de la Compañía cargados en los Servicios.

7. Obligaciones de Gmelius como procesador o subprocesador

7.1. Gmelius tendrá las obligaciones establecidas en esta sección 7 si procesa datos personales en su calidad de procesador de la empresa; para mayor claridad, estas obligaciones no se aplican a Gmelius en su calidad de controlador, empresa o tercero.

7.2. Alcance del procesamiento. Gmelius procesará los datos de la empresa únicamente para los fines descritos en esta DPA y únicamente de acuerdo con las instrucciones legales y documentadas de la empresa. Las partes acuerdan que este DPA y el Acuerdo establecen las instrucciones completas y finales de la Compañía para Gmelius en relación con el procesamiento de los datos de la empresa en virtud del Acuerdo y el procesamiento fuera del alcance de estas instrucciones (si lo hubiera) requerirá un acuerdo previo por escrito entre la Compañía y Gmelius. Se prohíbe a Gmelius: (i) vender datos de la empresa; (ii) retener, usar o divulgar los datos de la empresa para cualquier propósito que no sea el propósito específico de prestar los servicios especificados en el Acuerdo, incluida la retención, el uso o la divulgación de los datos de la empresa para un propósito comercial distinto de la prestación de los servicios especificados en el Acuerdo; o (iii) retener, usar o divulgar los datos de la empresa fuera de la relación comercial directa entre la Compañía y Gmelius. Gmelius informará sin demora a la Compañía si seguir las instrucciones de la Compañía implicaría una violación de la Ley de Protección de Datos o si Gmelius debe divulgar los Datos de la Compañía en respuesta a una obligación legal, a menos que la obligación legal prohíba a Gmelius realizar dicha divulgación. Sin perjuicio de lo dispuesto en esta sección, Gmelius puede procesar los datos de la empresa según sea necesario para detectar incidentes de seguridad de los datos o protegerse contra actividades fraudulentas o ilegales y para desarrollar o mejorar la calidad de sus productos y servicios, siempre que, en el transcurso de estas actividades, Gmelius no (i) permita que ningún tercero (que no sean los proveedores de servicios de Gmelius o excepto según lo indique la Compañía) acceda a los datos de la empresa ni (ii) utilice los datos de la empresa para modificar o añadir La información personal se recopila de una fuente que no es la Compañía. Al firmar este Anexo, Gmelius certifica que entiende y cumplirá con las obligaciones aquí estipuladas.

7.3. Solicitudes de ejercicio de derechos de los interesados. Gmelius informará sin demora a la Compañía si Gmelius recibe una solicitud de un sujeto de datos para ejercer sus derechos con respecto a sus datos personales en virtud de la ley de protección de datos aplicable. La empresa será responsable de responder a dichas solicitudes. Gmelius no responderá a dichos sujetos de datos excepto para confirmar sus solicitudes. Gmelius proporcionará a la Compañía asistencia razonable desde el punto de vista comercial, previa solicitud, para ayudar a la Compañía a responder a la solicitud de un sujeto de datos.

7.4. Subprocesadores de Gmelius.

1. Subprocesadores existentes. La empresa acepta que Gmelius pueda utilizar los subprocesadores que figuran en el Anexo 1.
2. Uso de subprocesadores. La empresa concede a Gmelius una autorización general para contratar subprocesadores si Gmelius y esos subprocesadores firman un acuerdo que exija que el subprocesador cumpla con obligaciones que no sean menos protectoras que las de este DPA.
3. Notificación de adiciones o cambios en los subprocesadores. Gmelius (i) proporcionará una lista actualizada de los subprocesadores que haya designado previa solicitud por escrito de la Compañía a https://gmelius.com/legal/dpa; y (ii) notificar a la Compañía (para qué correo electrónico será suficiente) si agrega o cambia los subprocesadores al menos (10) días calendario antes de cualquier cambio. La Compañía podrá oponerse por escrito al nombramiento por parte de Gmelius de un subprocesador nuevo o modificado en un plazo de cinco (5) días naturales a partir de dicha notificación, siempre que dicha objeción se base en motivos razonables relacionados con la protección de datos. En tal caso, las partes discutirán dichas preocupaciones de buena fe con el fin de lograr una solución. Si esto no es posible, la Compañía puede suspender o rescindir el Acuerdo (sin perjuicio de los gastos en los que incurra la Compañía antes de la suspensión o rescisión).
4. Responsabilidad de los subprocesadores. Gmelius será responsable de los actos u omisiones de sus Subprocesadores en la misma medida en que Gmelius sería responsable si prestara los servicios del Subprocesador directamente en virtud de la DPA, salvo que se establezca lo contrario en el Acuerdo.

7.5. Violación de datos personales. Gmelius notificará a la Compañía sin demora indebida cualquier violación de datos personales que afecte a los datos personales que Gmelius procesa en relación con los Servicios. Previa solicitud, Gmelius proporcionará a la Compañía información sobre la violación de datos personales en la medida necesaria para que la Compañía cumpla con cualquier obligación que tenga de investigar o notificar a las autoridades, con la salvedad de que Gmelius se reserva el derecho de redactar información confidencial o sensible desde el punto de vista de la competencia. La empresa acepta que la notificación por correo electrónico de una violación de datos personales es suficiente y notificará a Gmelius si cambia su información de contacto. La Compañía acepta que Gmelius no notifique a la Compañía los eventos relacionados con la seguridad que no den lugar a una violación de datos personales ni afecten a los datos personales que Gmelius procesa en relación con los Servicios.

7.6. Eliminación y devolución de datos personales. Tras la rescisión o el vencimiento del Acuerdo, Gmelius eliminará todos los Datos de la Compañía (incluidas las copias) que estén en su poder o control (después de proporcionarle a la Compañía la posibilidad de descargar, de conformidad con el Acuerdo), salvo que este requisito no se aplicará en la medida en que la ley aplicable exija a Gmelius conservar algunos o todos los Datos de la Compañía, que Gmelius aislará y protegerá de forma segura contra cualquier procesamiento posterior, excepto en la medida en que lo exija ley.

7.7. Verificación del cumplimiento. Previa solicitud razonable, Gmelius verificará su cumplimiento de esta DPA, siempre que la Compañía no ejerza este derecho más de una vez al año.

Cronograma 1

Descripción del procesamiento y los subprocesadores

Subprocesadores

La empresa autoriza a Gmelius a utilizar los subprocesadores que se enumeran a continuación de conformidad con la sección 7.4.

Cronograma 2

Medidas de seguridad técnicas y organizativas de Gmelius

Gmelius mantiene medidas de seguridad administrativas, físicas y técnicas diseñadas para proteger la seguridad, la confidencialidad y la integridad de los datos personales del cliente procesados por Gmelius como parte de los Servicios, tal y como se describe a continuación: https://gmelius.com/legal/security

Apéndice A

Cláusulas contractuales estándar

Cláusula 7: Las partes no permiten el atraque.

Cláusula 9, módulo 2 (a): Las partes seleccionan la opción 2. El período de tiempo es de 5 días.

Cláusula 9, módulo 3 (a): Las partes seleccionan la opción 2. El período de tiempo es de 5 días.

Cláusula 11 (a): Las partes no seleccionan la opción de resolución independiente de disputas.

Cláusula 17: Las partes acuerdan que la jurisdicción que rige es el Estado miembro en el que está establecido el exportador de datos.

Cláusula 18: Para los módulos 1 a 3, las partes acuerdan que el foro es el Estado miembro en el que está establecido el exportador de datos.

Anexo I (A): El exportador de datos es la empresa. El importador de datos es Gmelius. Los datos de contacto de las partes forman parte del Acuerdo.

Anexo I (B): Las partes acuerdan que el Anexo 1 describe la transferencia.

Anexo I (C): La autoridad supervisora competente es la autoridad supervisora que tiene jurisdicción principal sobre el exportador de datos.

Anexo II: Las partes acuerdan que el Anexo 2 describe las medidas técnicas y organizativas aplicables a la transferencia.

Localización de las cláusulas contractuales estándar

Para Suiza

• Las partes adoptan el estándar GDPR para todas las transferencias de datos.
• Cláusula 13 y anexo I (C): Las autoridades competentes en virtud de la cláusula 13 y del anexo I (C) son el Comisionado Federal de Protección de Datos e Información y, al mismo tiempo, la autoridad del estado miembro del EEE identificada anteriormente.
• Cláusula 17: Las partes acuerdan que la jurisdicción que rige es el Estado miembro en el que está establecido el exportador de datos.
• Cláusula 18: Para los módulos 1 a 3, las partes acuerdan que el foro es el Estado miembro en el que está establecido el exportador de datos. Las partes acuerdan interpretar las cláusulas contractuales estándar de modo que los interesados en Suiza puedan hacer valer sus derechos en Suiza de conformidad con la cláusula 18 (c).
• Las partes acuerdan interpretar las cláusulas contractuales estándar de modo que la sección «Sujetos de los datos» incluya información sobre las personas jurídicas suizas hasta que entre en vigor la Ley Federal de Protección de Datos revisada.

Para el Reino Unido

• Las partes acuerdan que las cláusulas contractuales tipo se consideran modificadas en la medida necesaria para que se apliquen a las transferencias desde el Reino Unido a un tercer país y proporcionen las garantías adecuadas para las transferencias de conformidad con el artículo 46 del Reglamento General de Protección de Datos del Reino Unido («RGPD del Reino Unido»). Estas modificaciones incluyen el cambio de las referencias del RGPD al RGPD del Reino Unido y el cambio de las referencias a los Estados miembros de la UE al Reino Unido.
• Cláusula 17: Las partes acuerdan que la jurisdicción que rige es el Reino Unido.
• Cláusula 18: Para los módulos 1 a 3, las partes acuerdan que el foro son los tribunales de Inglaterra y Gales. Las partes acuerdan que los interesados pueden iniciar acciones legales contra cualquiera de las partes en los tribunales de cualquier país del Reino Unido.

‍