Acuerdo de procesamiento de datos de Zonos

Este Acuerdo de procesamiento de datos («DPA») actúa como anexo a los Términos de servicio y la Política de privacidad de Zonos («Acuerdo Principal») entre iGlobal Exports, LLC, DBA Zonos («Zonos») y el Cliente («Cliente»), (conjuntamente, las «Partes»).

CONSIDERANDO QUE: 

A. El Cliente actúa como Responsable del tratamiento.

B. El Cliente desea subcontratar ciertos Servicios, que implican el tratamiento de datos personales, a Zonos como Encargado del tratamiento.

C. Las Partes desean implementar un DPA que cumpla con los requisitos del marco legal vigente en relación con el tratamiento de datos y con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).

D. Las Partes desean establecer sus derechos y obligaciones.

Este DPA incluye e incorpora por referencia los anexos y adendas mencionados al final de este documento. Todos los términos en mayúscula no definidos en este DPA tendrán el significado establecido en el Acuerdo Principal.

Las partes acuerdan lo siguiente:

1. Definiciones

Salvo que se defina de otro modo en el presente documento, los términos y expresiones en mayúscula utilizados en este DPA tendrán el siguiente significado:

1. «Encargado contratado» significa un Subencargado;

2. «Leyes de protección de datos» significa las Leyes de protección de datos de la UE y, en la medida en que resulten aplicables, las leyes de protección de datos o privacidad de cualquier otro país;

3. «Transferencia de datos» significa:

   1. Una transferencia de Datos personales del Cliente a un Encargado contratado; o
   2. Una transferencia ulterior de Datos personales de un Encargado contratado a un Subencargado subcontratado, o entre dos establecimientos de un Encargado contratado, en cada caso, cuando dicha transferencia estaría prohibida por las Leyes de protección de datos (o por los términos de los acuerdos de transferencia de datos establecidos para abordar las restricciones de transferencia de datos de las Leyes de protección de datos);

4. «DPA» significa este Acuerdo de procesamiento de datos y todos sus Anexos;

5. «EEA» significa el Espacio Económico Europeo;

6. «Leyes de protección de datos de la UE» significa la Directiva 95/46/CE de la UE, según haya sido transpuesta a la legislación interna de cada Estado miembro y según haya sido modificada, sustituida o reemplazada periódicamente, incluido el GDPR y las leyes que implementen o complementen el GDPR;

7. «GDPR» significa el Reglamento General de Protección de Datos de la UE 2016/679;

8. «Datos personales» significa cualquier Dato personal Tratado por un Encargado contratado en nombre del Cliente conforme al Acuerdo Principal o en relación con el mismo;

9. «Servicios» significa cualquier producto o servicio proporcionado por Zonos al Cliente conforme al Acuerdo Principal y según se describe con mayor detalle en el mismo;

10. «Subencargado» significa cualquier Encargado designado por Zonos o en su nombre para tratar Datos personales en nombre del Cliente en relación con el DPA.

11. Los términos «Responsable del tratamiento», «Interesado», «Estado miembro», «Datos personales», «Violación de la seguridad de los datos personales» y «Tratamiento» tendrán el mismo significado que en el GDPR, y sus términos relacionados se interpretarán en consecuencia.

2. Obligaciones del Cliente

1. Cumplimiento de las leyes.

   1. En el ámbito del DPA y en su uso de los Servicios, el Cliente acepta cumplir con sus obligaciones como Responsable del tratamiento en virtud de las Leyes de protección de datos en el Tratamiento de Datos personales y en cualquier instrucción de tratamiento que emita a Zonos.
   2. El Cliente ha proporcionado aviso y ha obtenido (o obtendrá) todos los consentimientos y derechos necesarios en virtud de las Leyes de protección de datos para que Zonos trate Datos personales y proporcione los Servicios conforme al Acuerdo Principal y a este DPA.

2. Instrucciones del Responsable del tratamiento. Las Partes acuerdan que el Acuerdo Principal (incluido este DPA), junto con el uso de los Servicios de Zonos por parte del Cliente conforme al Acuerdo Principal, constituyen las instrucciones completas y finales del Cliente a Zonos en relación con el Tratamiento de Datos personales, y las instrucciones adicionales fuera del ámbito de las instrucciones requerirán un acuerdo previo por escrito entre el Cliente y Zonos.

3. Obligaciones de Zonos

1. Cumplimiento de las leyes. En el ámbito del DPA y en su prestación de los Servicios, Zonos:

   1. Será responsable de cumplir con todas las Leyes de protección de datos aplicables como Encargado del tratamiento en el Tratamiento de Datos personales; y
   2. No Tratará los Datos personales del Cliente salvo conforme a las instrucciones documentadas del Cliente.

2. Personal de Zonos. Zonos tomará medidas razonables para garantizar la fiabilidad de cualquier empleado, agente o contratista que pueda tener acceso a los Datos personales, asegurando en cada caso que el acceso esté estrictamente limitado a aquellas personas que necesiten conocer o acceder a los Datos personales pertinentes, según sea estrictamente necesario para los fines del Acuerdo Principal, y para cumplir con las Leyes aplicables en el contexto de los deberes de esa persona hacia el Encargado contratado, garantizando que todas esas personas estén sujetas a compromisos de confidencialidad u obligaciones profesionales o legales de confidencialidad.

3. Seguridad.

   1. Teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del Tratamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, Zonos implementará, en relación con los Datos personales, medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado a ese riesgo, incluidas, según corresponda, las medidas a las que se refiere el artículo 32(1) del GDPR.
   2. Al evaluar el nivel apropiado de seguridad, Zonos tendrá en cuenta los riesgos que presenta el Tratamiento, en particular los derivados de una Violación de la seguridad de los datos personales.

4. Subcontratación del tratamiento. Zonos no designará (ni divulgará Datos personales a) ningún Subencargado salvo que el Cliente lo requiera o autorice.

5. Derechos de los interesados.

   1. Teniendo en cuenta la naturaleza del Tratamiento, Zonos asistirá al Cliente implementando medidas técnicas y organizativas apropiadas, en la medida en que sea posible, para el cumplimiento de las obligaciones de Zonos, según lo entienda razonablemente Zonos, de responder a las solicitudes para ejercer los derechos de los Interesados en virtud de las Leyes de protección de datos.

   2. Zonos acepta:

      1. Notificar sin demora al Cliente si recibe una solicitud de un Interesado en virtud de cualquier Ley de protección de datos respecto de Datos personales; y
      2. Garantizar que no responda a dicha solicitud salvo conforme a las instrucciones documentadas del Cliente o según lo exijan las Leyes aplicables a las que Zonos esté sujeto, en cuyo caso Zonos informará, en la medida en que lo permitan las Leyes aplicables, al Cliente de ese requisito legal antes de que el Encargado contratado responda a la solicitud.

6. Violación de la seguridad de los datos personales.

   1. Zonos notificará al Cliente sin demora indebida en cuanto tenga conocimiento de una Violación de la seguridad de los datos personales que afecte a Datos personales, proporcionando al Cliente información suficiente para permitirle cumplir con cualquier obligación de informar o notificar a los Interesados sobre la Violación de la seguridad de los datos personales en virtud de las Leyes de protección de datos.
   2. Zonos cooperará con el Cliente y tomará medidas comerciales razonables según las indique el Cliente para ayudar en la investigación, mitigación y remediación de cada Violación de la seguridad de los datos personales.

7. Evaluación de impacto relativa a la protección de datos y consulta previa. Zonos proporcionará asistencia razonable al Cliente con cualquier evaluación de impacto relativa a la protección de datos y consultas previas con Autoridades de supervisión u otras autoridades competentes en materia de privacidad de datos, que el Cliente considere razonablemente requeridas por el artículo 35 o 36 del GDPR o disposiciones equivalentes de cualquier otra Ley de protección de datos, en cada caso únicamente en relación con el Tratamiento de Datos personales por parte de los Encargados contratados y teniendo en cuenta la naturaleza del Tratamiento y la información disponible para ellos.

8. Devolución o eliminación de datos. Tras la desactivación o terminación de los Servicios, todos los Datos personales serán eliminados, salvo que este requisito no se aplique en la medida en que Zonos esté obligado por la ley aplicable a conservar parte o la totalidad de los Datos personales, o a Datos personales que haya archivado en sistemas de copia de seguridad, los cuales Zonos aislará y protegerá de forma segura contra cualquier tratamiento ulterior, salvo en la medida en que lo exija la ley aplicable.

9. Informes de seguridad. Zonos mantendrá registros de sus estándares de seguridad. A solicitud escrita del Cliente, Zonos proporcionará respuestas (de forma confidencial) a todas las solicitudes razonables de información realizadas por el Cliente, incluidas respuestas a cuestionarios de seguridad de la información y auditoría, que el Cliente (actuando de forma razonable) considere necesarias para confirmar el cumplimiento de Zonos con este DPA, siempre que el Cliente no ejerza este derecho más de una vez al año.

10. Transferencia de datos. El Cliente reconoce y acepta que Zonos puede acceder y tratar Datos personales a nivel global según sea necesario para proporcionar los Servicios conforme al Acuerdo Principal, y en particular que los Datos personales serán transferidos y tratados por Zonos en los Estados Unidos y en otras jurisdicciones donde los Subencargados de Zonos tengan operaciones. Zonos garantizará que dichas transferencias se realicen en cumplimiento de los requisitos de las Leyes de protección de datos, incluido el cumplimiento de las cláusulas contractuales tipo aprobadas por la UE para la transferencia de datos personales.

11. Disposiciones adicionales para información personal de California.

    1. Esta Sección 11 solo se aplicará respecto de la información personal de California.

    2. Al tratar información personal de California conforme a las instrucciones del Cliente, las Partes reconocen y acuerdan que el Cliente es una empresa y Zonos es un proveedor de servicios a efectos del CCPA.

    3. Las Partes acuerdan que Zonos tratará la información personal de California como proveedor de servicios estrictamente con el fin de prestar los Servicios conforme al Acuerdo Principal. Zonos utiliza los datos de servicio para sus propios fines comerciales legítimos conforme a la Política de privacidad de Zonos. Las Partes acuerdan que Zonos no hará lo siguiente:

       1. Vender información personal de California (según se define en el CCPA);
       2. Conservar, utilizar o divulgar información personal de California con un fin comercial distinto del fin comercial empresarial o según lo permita el CCPA; o
       3. iii. Conservar, utilizar o divulgar información personal de California fuera de la relación comercial directa entre el Cliente y Zonos.

    4. Zonos certifica que comprende y cumplirá con las restricciones establecidas en la Sección 11(c).

4. Términos generales

1. Confidencialidad. Cada Parte debe mantener confidenciales este Acuerdo y la información que reciba sobre la otra Parte y su negocio en relación con este DPA («Información confidencial») y no debe utilizar ni divulgar dicha Información confidencial sin el consentimiento previo por escrito de la otra Parte, excepto en la medida en que:

   1. La divulgación sea requerida por ley;
   2. La información pertinente ya esté en el dominio público.

2. Notificaciones. Todas las notificaciones y comunicaciones realizadas en virtud de este DPA deben ser por escrito y se entregarán personalmente, se enviarán por correo postal o se enviarán por correo electrónico a la dirección o dirección de correo electrónico indicada en el encabezado de este DPA o a cualquier otra dirección que las Partes notifiquen periódicamente al cambiar de domicilio.

5. Ley aplicable y jurisdicción

Este DPA se rige por las disposiciones de ley aplicable y jurisdicción del Acuerdo Principal, salvo que las Leyes de protección de datos exijan lo contrario.\

Anexo A. Lista de Subencargados de Zonos

Disponible bajo solicitud

Anexo B. Medidas de seguridad

Disponible bajo solicitud