El presente apéndice sobre tratamiento de datos ("DPA") es un acuerdo formal entre Simbase INC.sociedad constituida con arreglo a las leyes del Estado de Delaware ("Simbase") y la entidad descrita en el Acuerdo ("Cliente"). Ambas partes son aquí denominadas individualmente como una "Parte" y conjuntamente como las "Partes".
El presente APD está perfectamente integrado y forma parte esencial del contrato de suscripción que rige el uso del Servicio (el "Contrato") entre las Partes. A menos que se defina de otro modo, los términos en mayúsculas de este APD tendrán el mismo significado que se especifica en el Contrato. En caso de discrepancias o incoherencias entre el presente APD, cualquier acuerdo de procesamiento de datos ejecutado previamente y otras partes del Acuerdo, prevalecerán las estipulaciones del presente APD.
La esencia de esta DPA gira en torno a las condiciones que se aplican cuando Simbase procesa Datos Personales en virtud del Acuerdo. Su finalidad es garantizar que dicho tratamiento se ajuste a la legislación aplicable y respete los derechos de las personas cuyos Datos Personales sean objeto de tratamiento.
1. Definiciones
"Derecho aplicable se refiere a todas las leyes, normativas y otros requisitos legales o reglamentarios federales y estatales de Estados Unidos aplicables en cualquier jurisdicción en relación con el Contrato, incluida, entre otras, la Ley de Privacidad del Consumidor de California modificada por la Ley de Derechos de Privacidad de California ("CCPA/CPRA"), la Ley de Protección de Datos del Consumidor de Virginia ("VCDPA"), la Ley de Privacidad de Colorado ("CPA"), la Ley de Privacidad de Datos de Connecticut ("CTDPA") y cualquier otra ley estatal de privacidad o protección de datos aplicable.
"Información personal" se refiere a la información que identifica, se refiere a, describe, es razonablemente capaz de ser asociada con, o podría razonablemente estar vinculada, directa o indirectamente, con un individuo identificado o identificable o un hogar, tal como se define en la legislación aplicable. Esto incluye, en su caso, la "información personal", tal como se define en la CCPA/CPRA y términos equivalentes en otras leyes estatales de privacidad.
"Proveedor de servicios" se refiere a Simbase cuando procesa Datos Personales en nombre del Cliente en virtud del Contrato, tal y como se entiende dicho término en la Legislación Aplicable (incluido "procesador" en virtud de las leyes de privacidad estatales aplicables).
"Subprocesador" se refiere a cualquier tercero contratado por Simbase para ayudar en el tratamiento de Datos Personales en nombre del Cliente.
"Consumidor" se refiere a un individuo que es el sujeto de la Información Personal procesada bajo esta DPA, incluyendo cualquier "consumidor" o "sujeto de datos" como se define bajo la Ley Aplicable.
"Violación de datos personales" se entenderá una violación de la seguridad que provoque la destrucción accidental o ilegal, la pérdida, la alteración, la divulgación no autorizada o el acceso a Datos Personales transmitidos, almacenados o tratados de otro modo por Simbase o sus Subprocesadores en relación con el Contrato.
2. Ámbito de aplicación
La presente DPA se aplica al tratamiento de Datos personales por parte de Simbase en nombre del Cliente en relación con la prestación de Servicios en virtud del Contrato. Esta DPA es aplicable a Clientes domiciliados en Estados Unidos o Canadá y al tratamiento de Datos Personales de Consumidores ubicados en Estados Unidos o Canadá.
Simbase procesará la Información Personal sólo en la medida necesaria para cumplir con sus obligaciones en virtud del Contrato y de conformidad con las instrucciones documentadas del Cliente, a menos que el procesamiento sea requerido por la Ley Aplicable, en cuyo caso Simbase deberá, en la medida permitida por la ley, informar al Cliente de dicho requisito legal antes del procesamiento.
3. Obligaciones de Simbase
En su calidad de Proveedor de Servicios en virtud del presente APD, Simbase deberá:
(a) procesar los Datos Personales sólo en la medida razonablemente necesaria y proporcionada para alcanzar los fines operativos establecidos en el Acuerdo, y de conformidad con las instrucciones documentadas del Cliente;
(b) no vender Información Personal, tal y como se define este término en la CCPA/CPRA o en las leyes de privacidad estatales equivalentes;
(c) no conservará, utilizará ni divulgará Datos Personales para ningún fin distinto de los fines específicos establecidos en el Contrato, incluidos la conservación, utilización o divulgación de Datos Personales para un fin comercial distinto de la prestación de los Servicios especificados en el Contrato;
(d) no compartirá Información Personal con fines de publicidad conductual entre contextos, tal como se define en la CCPA/CPRA;
(e) No combinar los Datos Personales recibidos del Cliente o en su nombre con los Datos Personales que Simbase reciba de otra persona o personas o en su nombre, o que recopile de sus propias interacciones con los Consumidores, salvo en los casos expresamente permitidos por la Legislación Aplicable;
(f) aplicar y mantener salvaguardas administrativas, técnicas y físicas razonables diseñadas para proteger los Datos Personales contra el acceso, la destrucción, el uso, la modificación o la divulgación no autorizados, de acuerdo con las normas descritas en las Normas de seguridad de datos de Simbase, disponibles en www.simbase.com/terms/data-security-standards;
(g) garantizar que todos los empleados, agentes y personal autorizado para tratar los Datos Personales se han comprometido a mantener la confidencialidad o están sujetos a una obligación legal o contractual de confidencialidad adecuada;
(h) a petición escrita del Cliente, eliminar o devolver la Información Personal (y cualquier copia de la misma) al Cliente a la finalización de este Acuerdo, a menos que la Ley Aplicable exija conservar dicha Información Personal;
(i) poner a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones de esta sección, y permitir y contribuir significativamente a las auditorías, incluidas las inspecciones, llevadas a cabo por el Cliente o su auditor designado (por cuenta y cargo del Cliente, a menos que se acuerde lo contrario);
(j) notificar al Cliente sin demora indebida tras tener conocimiento de una violación de datos personales, y proporcionar cooperación y asistencia razonables para identificar, remediar y mitigar los efectos de dicha violación; y
(k) previa solicitud razonable, facilitará al Cliente un resumen o copia de los resultados de cualquier auditoría o evaluación de seguridad de terceros realizada en relación con los Servicios.
4. Obligaciones del cliente
El Cliente deberá:
(a) asegurarse de que el uso que hace de los Servicios y sus instrucciones para el tratamiento de los Datos Personales cumplen la Legislación Aplicable, incluido el envío de las notificaciones requeridas y la obtención de los consentimientos o autorizaciones requeridos de los Consumidores cuyos Datos Personales vayan a ser tratados en virtud del Acuerdo;
(b) ser el único responsable de la exactitud, calidad y legalidad de la Información personal proporcionada a Simbase y de los medios por los que el Cliente adquirió dicha Información personal;
(c) notificar sin demora a Simbase cualquier solicitud de derechos del Consumidor que requiera la asistencia de Simbase para su cumplimiento, y cooperar con Simbase en la respuesta a dichas solicitudes dentro de los plazos exigidos por la Legislación Aplicable; y
(d) asegurarse de no revelar a Simbase ninguna categoría de Datos personales que Simbase no esté autorizada a tratar en virtud del Contrato.
5. Solicitudes de derechos de los consumidores
Simbase proporcionará asistencia razonable al Cliente para responder a las solicitudes verificables de derechos del consumidor en virtud de la legislación aplicable, incluidas las solicitudes de acceso, eliminación, corrección o exclusión voluntaria de la venta o el intercambio de información personal.
Si Simbase recibe directamente una solicitud de derechos del Consumidor, Simbase lo notificará inmediatamente al Cliente y no responderá a dicha solicitud directamente a menos que el Cliente lo autorice o lo exija la Ley Aplicable. Simbase cooperará con el Cliente para cumplir con tales solicitudes dentro de los plazos prescritos por la Ley Aplicable, que son generalmente:
(a) California (CCPA/CPRA): 45 días a partir de la recepción de una solicitud verificable, con una posible prórroga de 45 días adicionales previa notificación al Consumidor;
(b) Virginia (VCDPA): 45 días a partir de la recepción, con una posible prórroga de otros 45 días previa notificación;
(c) Colorado (CPA) y Connecticut (CTDPA): 45 días a partir de la recepción, con una posible prórroga de otros 45 días previa notificación; y
(d) otros estados aplicables: según lo prescrito por la ley de privacidad estatal pertinente.
6. Subprocesadores
Por la presente, el Cliente concede a Simbase una autorización general por escrito para contratar a Subprocesadores para el tratamiento de Datos Personales en virtud del presente APD. Puede consultar una lista actualizada de los Subprocesadores de Simbase en www.simbase.com/terms/subprocessors.
Simbase avisará al Cliente con una antelación razonable antes de contratar a un nuevo Encargado del tratamiento o de sustituir a un Encargado del tratamiento existente, mediante la actualización de la página de Encargados del tratamiento mencionada anteriormente o mediante notificación directa. Si el Cliente se opone a un nuevo Subencargado del tratamiento por motivos razonables relacionados con la protección de datos, deberá notificarlo por escrito a Simbase en un plazo de catorce (14) días a partir de la recepción de la notificación. Las Partes colaborarán de buena fe para encontrar una solución mutuamente aceptable. Si no se puede llegar a una resolución, el Cliente podrá cancelar el Servicio afectado sin penalización alguna, previa notificación por escrito a Simbase.
Simbase se asegurará de que cada Subprocesador esté sujeto a obligaciones no menos protectoras que las establecidas en el presente APD, y Simbase seguirá siendo plenamente responsable ante el Cliente de los actos y omisiones de sus Subprocesadores.
7. Violación de datos personales
En caso de violación de los datos personales, Simbase notificará al Cliente sin demora indebida y, en cualquier caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de la violación. Dicha notificación incluirá, en la medida de lo razonable:
(a) una descripción de la naturaleza de la infracción, incluidas, cuando sea posible, las categorías y el número aproximado de consumidores y registros afectados;
(b) el nombre y los datos de contacto del punto de contacto dentro de Simbase del que puede obtenerse más información;
(c) una descripción de las consecuencias probables del incumplimiento; y
(d) una descripción de las medidas adoptadas o propuestas por Simbase para hacer frente al incumplimiento y mitigar sus posibles efectos adversos.
Simbase cooperará con el Cliente en el cumplimiento de cualquier obligación de notificación de incumplimiento en virtud de la legislación aplicable, que generalmente requiere la notificación a los consumidores afectados y, en su caso, a los fiscales generales del estado en plazos que van desde treinta (30) a noventa (90) días dependiendo de la jurisdicción.
8. Medidas de seguridad
Simbase implementará y mantendrá un programa integral de seguridad de la información que incluya las salvaguardas administrativas, técnicas y físicas apropiadas para proteger la Información Personal, de acuerdo con los estándares de la industria, incluyendo el Marco de Ciberseguridad del NIST y la ISO/IEC 27001. Las medidas de seguridad de Simbase se describen con más detalle en las Normas de seguridad de datos disponibles en www.simbase.com/terms/data-security-standards.
Estas medidas incluirán, como mínimo: cifrado de la información personal en tránsito y en reposo; controles de acceso y mecanismos de autenticación; evaluaciones periódicas de vulnerabilidad y pruebas de penetración; formación de los empleados en materia de seguridad; y procedimientos de respuesta ante incidentes.
9. Auditorías y cumplimiento
Previa solicitud razonable por escrito del Cliente, y con sujeción a las obligaciones de confidencialidad pertinentes, Simbase pondrá a su disposición la información necesaria para demostrar el cumplimiento del presente APD. El Cliente podrá realizar o encargar una auditoría de las actividades de tratamiento de Simbase, siempre que:
(a) el Cliente lo notifique por escrito a Simbase con al menos treinta (30) días de antelación;
(b) las auditorías se realicen durante el horario laboral habitual y no interrumpan de forma injustificada las operaciones de Simbase;
(c) el Cliente correrá con todos los gastos asociados a la auditoría, a menos que se acuerde lo contrario; y
(d) los resultados de la auditoría y cualquier información obtenida se tratarán como Información confidencial de Simbase.
Cuando Simbase haya obtenido certificaciones o informes de auditoría de terceros relevantes (como SOC 2 Tipo II), Simbase podrá poner dichos informes a disposición del Cliente en lugar de una auditoría directa, a discreción de Simbase.
10. Devolución y supresión de datos
A la terminación o expiración del Contrato, y previa solicitud por escrito del Cliente, Simbase, a elección del Cliente, devolverá toda la Información Personal al Cliente en un formato de uso común y legible por máquina, o eliminará de forma segura toda la Información Personal en su posesión, incluyendo todas las copias, dentro de los treinta (30) días siguientes a la recepción de dicha solicitud.
Simbase proporcionará una certificación escrita de la eliminación a petición del Cliente. Simbase podrá conservar los Datos Personales en la medida en que lo exija la Legislación Aplicable, siempre que Simbase siga protegiendo dichos Datos Personales conservados de conformidad con el presente APD y los procese únicamente para los fines exigidos por la ley.
11. Responsabilidad e indemnización
La responsabilidad de cada una de las Partes en virtud del presente APD estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el Acuerdo. Nada de lo dispuesto en el presente APD limitará la responsabilidad de cualquiera de las Partes por dolo, negligencia grave o cualquier responsabilidad que no pueda ser limitada o excluida por la Legislación Aplicable.
Cada Parte indemnizará, defenderá y mantendrá indemne a la otra Parte frente a cualesquiera reclamaciones de terceros, daños, pérdidas, costes y gastos (incluidos los honorarios razonables de abogados) derivados o relacionados con el incumplimiento del presente APD por parte de la Parte indemnizadora, con sujeción a las limitaciones de responsabilidad establecidas en el Acuerdo.
12. Ley aplicable y resolución de litigios
El presente APD se regirá e interpretará de conformidad con las leyes del Estado de Delaware, sin tener en cuenta sus principios de conflicto de leyes, y las leyes federales aplicables de los Estados Unidos. En la medida en que una ley de privacidad estatal específica se aplique al tratamiento de Datos Personales en virtud del presente APD, dicha ley estatal también regirá las actividades de tratamiento pertinentes.
Cualquier disputa que surja de o esté relacionada con este DPA que no pueda ser resuelta por las Partes a través de una negociación de buena fe se someterá a la jurisdicción exclusiva de los tribunales federales o estatales ubicados en el Estado de Delaware.
13. Plazo y rescisión
El presente APD entrará en vigor en la fecha en que se celebre el Acuerdo y permanecerá en vigor durante la vigencia del mismo. A la terminación del Acuerdo, el presente APD quedará automáticamente resuelto, sin perjuicio de lo dispuesto en la Sección 10 (Devolución y supresión de datos) y de cualesquiera otras disposiciones que, por su naturaleza, estén destinadas a sobrevivir a la terminación, incluidas las obligaciones de confidencialidad, responsabilidad e indemnización.
14. Varios
El presente APD, junto con el Acuerdo, constituye el acuerdo íntegro entre las Partes con respecto al objeto del mismo y sustituye a todos los acuerdos, propuestas o manifestaciones anteriores y contemporáneos, escritos u orales, relativos al objeto del presente APD.
Si alguna disposición de este APD se considera inaplicable o inválida, dicha disposición se limitará o eliminará en la medida mínima necesaria para que este APD siga siendo plenamente vigente y aplicable.
Simbase podrá actualizar esta DPA de vez en cuando para reflejar cambios en la legislación aplicable o en las prácticas de procesamiento de Simbase. Simbase notificará al Cliente los cambios sustanciales con una antelación razonable. El uso continuado de los Servicios después de dicha notificación constituye la aceptación de la DPA actualizada.
Información de contacto
Si tiene alguna pregunta sobre esta DPA o para ejercer sus derechos en virtud de la misma, póngase en contacto con
Simbase INC.
1401 Pennsylvania Ave, Suite 105 Wilmington, DE 19806
Correo electrónico: privacy@simbase.com
Página web: www.simbase.com
