El Contrato Marco de Prestación de Servicios de GDPRLocal y las condiciones adicionales aquí recogidas rigen nuestros productos, servicios y relaciones con los clientes.
No hay ningún requisito para contratar los servicios. No es necesario disponer de una tarjeta de crédito para registrarse y, una vez registrado, los servicios se pueden contratar y activar en cualquier momento.
Última actualización: 3 de noviembre de 2026
El presente Acuerdo de tratamiento de datos entre la UE y el Reino Unido («DPA») complementa el acuerdo en virtud del cual GDPRLocal presta los Servicios al Cliente, ya sea el Contrato Marco de Servicios de GDPRLocal u otro acuerdo, mandato o formulario de pedido firmado (el «Acuerdo») celebrado entre el cliente que firma este DPA («Cliente») y GDPRLocal Ltd., con domicilio social en 1st Floor Front Suite, 27-29 North Street, Brighton, Inglaterra, BN1 1EB (la «Empresa»), en nombre propio y en el de sus filiales. Al formalizar el DPA de conformidad con la sección 11 del presente documento, el Cliente celebra este DPA en su propio nombre y, en la medida en que lo exijan las Leyes de Protección de Datos aplicables (definidas más adelante), en nombre y por cuenta de sus Filiales (definidas más adelante). El presente DPA incorpora los términos del Acuerdo, y cualquier término no definido en este DPA tendrá el significado que se le atribuye en el Acuerdo.
1.1Por «filial» se entiende: (i) una entidad de la que una de las partes posea, directa o indirectamente, el cincuenta por ciento (50 %) o más de las acciones u otras participaciones en el capital social, (ii) una entidad que posea al menos el cincuenta por ciento (50 %) o más de las acciones u otras participaciones en el capital social de una de las partes, o (iii) una entidad que se encuentre bajo control común con una de las partes, al estar al menos el cincuenta por ciento (50 %) o más de las acciones u otras participaciones en el capital social de dicha entidad y de una de las partes en manos de la misma persona; no obstante, dicha entidad solo se considerará una filial mientras exista dicha titularidad.
1.2Por «subencargado del tratamiento autorizado» se entiende un tercero que tenga necesidad de conocer o acceder de cualquier otra forma a los datos personales del cliente para que la empresa pueda cumplir con sus obligaciones en virtud del presente DPA o del Acuerdo, y que: (1) figure en el Anexo B (4), o (2) haya sido autorizado posteriormente con arreglo a la sección 4.2 del presente DPA.
1.3«Datos de la cuenta de la empresa» se refiere a los datos personales relacionados con la relación de la empresa con el cliente, incluidos los nombres o la información de contacto de las personas autorizadas por el cliente para acceder a su cuenta, así como la información de facturación de las personas que el cliente haya asociado a su cuenta. Los datos de la cuenta de la empresa también incluyen cualquier dato que la empresa pueda necesitar recopilar con el fin de gestionar su relación con el cliente, verificar la identidad o según lo exijan las leyes y normativas aplicables.
1.4«Datos de uso de la Empresa» se refiere a los datos de uso del Servicio recopilados y tratados por la Empresa en relación con la prestación de los Servicios, incluidos, entre otros, los datos utilizados para identificar el origen y el destino de una comunicación, los registros de actividad y los datos utilizados para optimizar y mantener el rendimiento de los Servicios, así como para investigar y prevenir el uso indebido del sistema.
1.5Por «exportador de datos» se entiende el Cliente, salvo en el caso de las transferencias salientes contempladas en la sección 6.7, en las que la Empresa o la entidad representante correspondiente es el exportador de datos.
1.6«Importador de datos» se refiere a la Empresa, salvo en el caso de las transferencias al exterior contempladas en la sección 6.7, en las que el Cliente es el importador de datos.
1.7Por «Leyes de protección de datos» se entiende cualquier ley y normativa aplicable en cualquier jurisdicción pertinente en relación con el uso o el tratamiento de datos personales, incluyendo: (i) la Ley de Privacidad del Consumidor de California («CCPA»), (ii) el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) («RGPD de la UE») y el RGPD de la UE, en la medida en que forma parte de la legislación de Inglaterra y Gales en virtud del artículo 3 de la Ley de la Unión Europea (Retirada) de 2018 (el «RGPD del Reino Unido») (en conjunto, colectivamente, el «RGPD»), (iii) la Ley Federal Suiza de Protección de Datos de 25 de septiembre de 2020 (la «FADP»); (iv) la Ley de Protección de Datos del Reino Unido de 2018; (v) el Reglamento de 2003 sobre Privacidad y Comunicaciones Electrónicas (Directiva CE); (vi) la Ley de Protección de Datos Personales de Singapur de 2012 (la «PDPA»); y (vii) el Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas sobre inteligencia artificial (la «Ley de IA de la UE»), en la medida en que se aplique al tratamiento de datos personales, incluso cuando la Empresa actúe como representante autorizado del Cliente en virtud del artículo 22 o del artículo 54 de la Ley de IA de la UE; en cada caso, en su versión actualizada, modificada o sustituida periódicamente. Los términos «interesado», «datos personales», «violación de la seguridad de los datos personales», «tratamiento», «encargado del tratamiento», «responsable del tratamiento» y «autoridad de control» tendrán el significado que se les atribuye en el RGPD.
1.8Por «Comunicaciones del responsable de la protección de datos» se entiende las solicitudes, reclamaciones y otras comunicaciones, así como cualquier dato personal que contengan, que las personas físicas o las autoridades de control envíen a la Empresa en su calidad de responsable de la protección de datos del Cliente.
1.9«Cláusulas contractuales tipo de la UE» se refiere a las cláusulas contractuales tipo aprobadas por la Comisión Europea en la Decisión 2021/914 de la Comisión, de 4 de junio de 2021, para las transferencias de datos personales a países que la Comisión Europea no haya reconocido de otro modo como países que ofrecen un nivel adecuado de protección de los datos personales (en su versión modificada y actualizada periódicamente), tal y como se modifican en el apartado 6.2 del presente Acuerdo de Tratamiento de Datos.
1.10«Transferencia fuera del EEE» se refiere a la transferencia de datos personales —tratados de conformidad con el RGPD— desde el exportador de datos al importador de datos (o a sus instalaciones) fuera del Espacio Económico Europeo (el «EEE»), y dicha transferencia no se rige por una decisión de adecuación adoptada por la Comisión Europea de conformidad con las disposiciones pertinentes del RGPD.
1.11«Transferencia desde el Reino Unido» significa la transferencia de datos personales regulada por el capítulo V del RGPD del Reino Unido, que se tratan de conformidad con el RGPD del Reino Unido y la Ley de Protección de Datos de 2018, desde el exportador de datos al importador de datos (o a sus instalaciones) fuera del Reino Unido (el «Reino Unido»), y dicha transferencia no se rige por una decisión de adecuación adoptada por el Secretario de Estado de conformidad con las disposiciones pertinentes del RGPD del Reino Unido y la Ley de Protección de Datos de 2018.
1.12«Transferencia saliente» se refiere a una transferencia de datos personales desde la Empresa o una entidad representante al Cliente, incluidas las comunicaciones de los representantes, las comunicaciones del delegado de protección de datos y los datos personales contenidos en los entregables, informes, asesoramientos u otros materiales facilitados al Cliente en el marco de cualquier servicio.
1.13Por «comunicaciones de los representantes» se entienden las solicitudes, reclamaciones y otras comunicaciones, así como los datos personales que contengan, que las personas físicas o las autoridades de control envíen a una entidad representante en relación con el cliente.
1.14«Entidad representante» se refiere, en caso de que el Cliente haya activado el servicio de representación correspondiente, a: (i) Instant EU GDPR Representative Limited (Irlanda), como representante del Cliente en virtud del artículo 27 del RGPD de la UE; (ii) GDPRLocal Ltd, como representante del Cliente en virtud del artículo 27 del RGPD del Reino Unido; y (iii) ALTRION Sagl (Suiza), como representante del Cliente en virtud del artículo 14 de la FADP. Instant EU GDPR Representative Limited y ALTRION Sagl son entidades asociadas independientes y no son filiales de la Empresa.
1.15El término «Servicios» tendrá el significado que se le atribuye en el Contrato.
1.16Por «cláusulas contractuales tipo» se entiende las SCC de la UE y las SCC del Reino Unido.
1.17«Cláusulas contractuales tipo del Reino Unido» se refiere a las cláusulas contractuales tipo de la UE, modificadas por el anexo del Reino Unido.
1.18«Anexo del Reino Unido» se refiere al Anexo sobre transferencia internacional de datos a las Cláusulas Contractuales Típicas de la UE, emitido por el Comisionado de Información en virtud del artículo 119A de la Ley de Protección de Datos de 2018 (versión B1.0), tal y como figura en el Anexo D.
2.1Las partes reconocen y acuerdan que, en lo que respecta al tratamiento de datos personales, el Cliente podrá actuar como responsable del tratamiento o como encargado del tratamiento y, salvo que se indique expresamente lo contrario en el presente DPA o en el Contrato, la Empresa actuará como encargado del tratamiento. El Cliente, en el uso que haga de los Servicios, tratará en todo momento los datos personales y proporcionará instrucciones para su tratamiento, de conformidad con la legislación en materia de protección de datos. El Cliente se asegurará de que el tratamiento de los Datos Personales de conformidad con sus instrucciones no dé lugar a que la Empresa incumpla las Leyes de Protección de Datos. El Cliente es el único responsable de la exactitud, calidad y legalidad de (i) los Datos Personales facilitados a la Empresa por el Cliente o en su nombre, (ii) los medios por los que el Cliente haya obtenido dichos Datos Personales, y (iii) las instrucciones que facilite a la Empresa en relación con el tratamiento de dichos Datos Personales. El Cliente no facilitará ni pondrá a disposición de la Empresa ningún Dato Personal que infrinja el Contrato o que sea inadecuado, por cualquier otro motivo, para la naturaleza de los Servicios, y eximirá a la Empresa de toda responsabilidad por las reclamaciones y pérdidas relacionadas con ello.
2.2La Empresa no tratará los datos personales (i) para fines distintos de los establecidos en el Contrato y/o en el Anexo A, (ii) de forma incompatible con los términos y condiciones establecidos en el presente Acuerdo de Tratamiento de Datos (DPA) o en cualquier otra instrucción documentada facilitada por el Cliente, incluso en lo que respecta a las transferencias de datos personales a un tercer país o a una organización internacional, salvo que así lo exija la legislación de la UE o de un Estado miembro, o la legislación del Reino Unido o de Suiza, a la que esté sujeta la Empresa; en tal caso, la Empresa informará al Cliente de dicho requisito legal antes del tratamiento, salvo que dicha legislación prohíba dicha información por motivos importantes de interés público, o (iii) infringiendo las Leyes de Protección de Datos. Por la presente, el Cliente da instrucciones a la Empresa para que trate los Datos Personales de conformidad con lo anterior y como parte de cualquier tratamiento iniciado por el Cliente en su uso de los Servicios. El objeto, la naturaleza, la finalidad y la duración de este tratamiento, así como los tipos de datos personales recopilados y las categorías de interesados, se describen en el Anexo A del presente DPA.
2.3Una vez finalizados los Servicios, a elección del Cliente, la Empresa devolverá o eliminará los Datos Personales del Cliente, salvo que la legislación aplicable exija o autorice el almacenamiento posterior de dichos Datos Personales. Si la devolución o la destrucción resultaran inviables o estuvieran prohibidas por ley, norma o reglamento, la Empresa adoptará medidas para impedir cualquier tratamiento posterior de dichos datos personales (salvo en la medida en que sea necesario para su alojamiento continuado o para el tratamiento exigido por ley, norma o reglamento) y seguirá protegiendo adecuadamente los datos personales que permanezcan en su posesión, custodia o control. Si el Cliente y la Empresa han suscrito las Cláusulas Contractuales Típicas descritas en la sección 6 (Transferencias de datos personales), las partes acuerdan que la certificación de supresión de los datos personales descrita en la cláusula 8.1(d) y la cláusula 8.5 de las Cláusulas Contractuales Típicas de la UE (según proceda) será facilitada por la Empresa al Cliente únicamente a petición de este. Las comunicaciones con el representante y con el delegado de protección de datos (DPO) se conservan en el portal de la Empresa únicamente con el fin de recibirlas y reenviarlas al Cliente. Seis (6) meses después de que se cierre una solicitud, la Empresa notificará al Cliente a través del portal que los archivos relacionados van a ser eliminados, de modo que el Cliente pueda descargar las copias que necesite, y a continuación los eliminará del portal. Para todos los demás Servicios, la presente sección 2.3 se aplica al finalizar cada contrato.
2.4 CCPA.Salvo en lo que respecta a los Datos de la Cuenta de la Empresa y a los Datos de Uso de la Empresa, las partes reconocen y acuerdan que la Empresa es un proveedor de servicios a efectos de la CCPA (en la medida en que sea aplicable) y que recibe información personal del Cliente con el fin de prestar los Servicios de conformidad con el Contrato, lo que constituye un fin comercial. La Empresa no venderá ninguna información personal. La Empresa no conservará, utilizará ni divulgará ninguna información personal facilitada por el Cliente en virtud del Contrato, salvo en la medida en que sea necesario para el fin específico de prestar los Servicios al Cliente de conformidad con el Contrato, o según se establezca en el Contrato o lo permita la CCPA. Los términos «información personal», «proveedor de servicios», «venta» y «vender» se definen en el artículo 1798.140 de la CCPA. La Empresa certifica que comprende las restricciones de la sección 2.4.
2.5 Servicios del delegado de protección de datos.Cuando la Empresa actúe como delegado de protección de datos del Cliente con arreglo al artículo 37 del RGPD, tratará los datos personales en calidad de encargado del tratamiento del Cliente en virtud del presente Acuerdo de Tratamiento de Datos. El Cliente se asegurará de que la Empresa no reciba ninguna instrucción relativa al ejercicio de las funciones establecidas en el artículo 39 del RGPD (artículo 38, apartado 3, del RGPD). Esto no afecta a las instrucciones del Cliente previstas en la sección 2.2 sobre el tratamiento de datos personales. La Empresa está sujeta a la obligación de secreto o confidencialidad en relación con el desempeño de dichas funciones, de conformidad con la legislación aplicable (artículo 38, apartado 5, del RGPD). Ninguna disposición del presente DPA limita la cooperación de la Empresa con las autoridades de control y los interesados, ni su función como punto de contacto para estos (artículo 38, apartado 4, y artículo 39, apartado 1, letras d) y e), del RGPD).
3.1La Empresa se asegurará de que cualquier persona a la que autorice para tratar Datos Personales se haya comprometido a proteger dichos datos de conformidad con las obligaciones de confidencialidad de la Empresa establecidas en el Acuerdo. El Cliente acepta que la Empresa pueda revelar Datos Personales a sus empleados, contratistas, asesores profesionales y auditores, quienes están sujetos a obligaciones de confidencialidad, así como a los Subencargados del Tratamiento autorizados de conformidad con la sección 4, en cada caso únicamente en la medida en que sea razonablemente necesario en relación con el cumplimiento de sus obligaciones en virtud del presente DPA, del Contrato o de la prestación de Servicios al Cliente.
4.1El Cliente reconoce y acepta que la Empresa podrá (1) recurrir a sus filiales, así como a los subencargados del tratamiento autorizados que figuran en la Lista (definida más adelante), para que accedan y traten Datos Personales en relación con los Servicios y (2) recurrir ocasionalmente a terceros adicionales con el fin de prestar los Servicios, incluido, entre otros, el tratamiento de Datos Personales. Mediante el presente Acuerdo de Tratamiento de Datos (DPA), el Cliente otorga a la Empresa una autorización general por escrito para que contrate a subencargados del tratamiento según sea necesario para la prestación de los Servicios.
4.2En el Anexo B(4) figura una lista de los subencargados del tratamiento autorizados actuales de la Empresa (la «Lista»). La Empresa podrá actualizar dicha Lista periódicamente. La Empresa proporcionará un mecanismo para notificar periódicamente al Cliente los nuevos subencargados de tratamiento autorizados. Al menos quince (15) días antes de permitir que cualquier tercero, distinto de los subencargados de tratamiento autorizados existentes, acceda o participe en el tratamiento de datos personales, la Empresa añadirá a dicho tercero a la Lista y notificará a los suscriptores, incluido el Cliente, a través de las notificaciones. El Cliente podrá oponerse a dicha contratación informando a la Empresa por escrito en un plazo de quince (15) días a partir de la recepción de la notificación. Cualquier objeción de este tipo deberá presentarse por escrito y basarse en motivos razonables relacionados con la protección de datos. El Cliente reconoce que determinados subencargados del tratamiento son esenciales para la prestación de los Servicios, y que oponerse al uso de un subencargado del tratamiento puede impedir que la Empresa ofrezca los Servicios al Cliente.
4.3Si el Cliente se opone de forma razonable a una contratación de conformidad con la sección 4.2, y la Empresa no puede ofrecer una alternativa comercialmente razonable en un plazo razonable, el Cliente podrá interrumpir el uso del Servicio afectado mediante notificación por escrito a la Empresa. La interrupción no eximirá al Cliente del pago de las tarifas adeudadas a la Empresa en virtud del Contrato.
4.4Si el Cliente no se opone a la contratación de un tercero de conformidad con la sección 4.2 en un plazo de quince (15) días a partir de la notificación por parte de la Empresa, dicho tercero se considerará un subencargado del tratamiento autorizado a efectos del presente Acuerdo de Protección de Datos.
4.5La Empresa celebrará un acuerdo por escrito con el subencargado de tratamiento autorizado en el que se le impondrán las mismas obligaciones en materia de protección de datos que las impuestas a la Empresa en virtud del presente Acuerdo de Tratamiento de Datos (DPA) en lo que respecta a la protección de los datos personales. En caso de que un subencargado de tratamiento autorizado incumpla sus obligaciones en materia de protección de datos en virtud de dicho acuerdo escrito con la Empresa, esta seguirá siendo responsable ante el Cliente del cumplimiento de las obligaciones del subencargado de tratamiento autorizado en virtud de dicho acuerdo.
4.6Si el Cliente y la Empresa han suscrito las Cláusulas Contractuales Típicas descritas en la sección 6 (Transferencias de datos personales), (i) las autorizaciones anteriores constituirán el consentimiento previo por escrito del Cliente para que la Empresa subcontrate el tratamiento de los datos personales, en caso de que dicho consentimiento sea necesario en virtud de las Cláusulas Contractuales Típicas, y (ii) las partes acuerdan que la Empresa podrá eliminar previamente de las copias de los acuerdos con los subencargados autorizados —que debe facilitar al Cliente de conformidad con la cláusula 9(c) de las CCP de la UE— cualquier información comercial o información no relacionada con las Cláusulas Contractuales Típicas o su equivalente, y que la Empresa facilitará dichas copias únicamente a petición del Cliente.
4.7 Herramientas de IA.Los empleados de la Empresa podrán utilizar las herramientas de IA enumeradas en el Anexo B(4) para leer, resumir y redactar material para los Servicios. Una persona revisa cada resultado antes de su uso; ninguna herramienta de IA envía nada ni realiza ninguna acción sin la confirmación humana; y los Datos Personales del Cliente no se utilizan para entrenar modelos de IA. El Cliente podrá, mediante notificación por escrito, exigir que sus datos personales no se traten utilizando herramientas de IA, en cuyo caso la Empresa gestionará el material sin ellas a partir de los cinco (5) días hábiles siguientes a la notificación.
5.1Teniendo en cuenta el estado actual de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo —de diferente probabilidad y gravedad— para los derechos y libertades de las personas físicas, la Empresa mantendrá medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado al riesgo que entraña el tratamiento de los datos personales. El Anexo C recoge información adicional sobre las medidas de seguridad técnicas y organizativas de la Empresa.
6.1Las partes acuerdan que la Empresa podrá transferir los Datos Personales tratados en virtud del presente Acuerdo de Tratamiento de Datos (DPA) fuera del EEE, el Reino Unido o Suiza, en la medida en que sea necesario para prestar los Servicios. El Cliente reconoce que las operaciones principales de tratamiento de la Empresa tienen lugar en el Reino Unido, y que la transferencia de los Datos Personales del Cliente al Reino Unido es necesaria para la prestación de los Servicios al Cliente. Si la Empresa transfiere Datos Personales protegidos en virtud del presente DPA a una jurisdicción que no esté cubierta por una decisión de adecuación con arreglo a las Leyes de Protección de Datos, la Empresa se asegurará de que se hayan implementado las garantías adecuadas para la transferencia de Datos Personales de conformidad con las Leyes de Protección de Datos. Las transferencias a subencargados de tratamiento autorizados en dichas jurisdicciones se realizan al amparo de las Cláusulas Contractuales Típicas de la UE (Módulo Tres) o, en el caso de las transferencias desde el Reino Unido, de las Cláusulas Contractuales Típicas del Reino Unido, respaldadas por una evaluación de impacto de la transferencia. La ubicación de cada subencargado de tratamiento autorizado y el mecanismo de transferencia utilizado se detallan en el Anexo B(4). La empresa mantiene evaluaciones de impacto de la transferencia para estas transferencias y facilitará un resumen previa solicitud.
6.2 Transferencias fuera del EEE.Las partes acuerdan que las transferencias fuera del EEE se realizarán de conformidad con las Cláusulas Contractuales Típicas de la UE, que se consideran celebradas (e incorporadas al presente Acuerdo de Protección de Datos mediante esta referencia) y formalizadas de la siguiente manera:
6.2.1El Módulo Uno (de responsable a responsable) de las Cláusulas Contractuales Típicas de la UE se aplica cuando la Empresa trata datos personales en calidad de responsable del tratamiento, de conformidad con el artículo 9 del presente Acuerdo de Protección de Datos.
6.2.2El Módulo Dos (Del responsable al encargado del tratamiento) de las Cláusulas Contractuales Típicas de la UE se aplica cuando el Cliente es el responsable del tratamiento y la Empresa trata datos personales para el Cliente en calidad de encargado del tratamiento, de conformidad con la sección 2 del presente Acuerdo de Tratamiento de Datos.
6.2.3El módulo tres (del encargado del tratamiento al subencargado del tratamiento) de las Cláusulas Contractuales Típicas de la UE se aplica cuando el cliente es el encargado del tratamiento y la empresa trata datos personales por cuenta del cliente en calidad de subencargado del tratamiento.
6.3Para cada módulo, cuando proceda, se aplicará lo siguiente:
6.3.1La cláusula opcional de acoplamiento prevista en la cláusula 7 no es de aplicación.
6.3.2En la cláusula 9, se aplica la opción 2 (autorización general por escrito), y el plazo mínimo para la notificación previa de los cambios en los subencargados del tratamiento será el establecido en la sección 4.2 del presente acuerdo de tratamiento de datos;
6.3.3En la cláusula 13: cuando el Cliente esté establecido en un Estado miembro de la UE, se aplicará la primera opción; cuando el Cliente no esté establecido en un Estado miembro de la UE y haya designado a Instant EU GDPR Representative Limited como su representante con arreglo al artículo 27, apartado 1, del RGPD de la UE, se aplicará la segunda opción y la autoridad de control competente será la Comisión de Protección de Datos (Irlanda); y en cualquier otro caso, se aplicará la tercera opción;
6.3.4En la cláusula 17 (Opción 1), las Cláusulas Contractuales Tipo de la UE se regirán por la legislación de Irlanda.
6.3.5En la cláusula 18, letra b), las controversias se resolverán ante los tribunales de Irlanda;
6.3.6El Anexo B del presente Acuerdo de Protección de Datos (DPA) contiene la información exigida en los anexos I y III de las Cláusulas Contractuales Típicas de la UE;
6.3.7El anexo C del presente acuerdo de tratamiento de datos (DPA) contiene la información exigida en el anexo II de las Cláusulas Contractuales Típicas de la UE; y
6.3.8Al formalizar el presente Acuerdo de Protección de Datos (DPA), se considerará que las partes han firmado las Cláusulas Contractuales Típicas de la UE (SCC) incorporadas al presente, incluidos sus anexos.
6.4 Transferencias fuera del Reino Unido.Las partes acuerdan que las transferencias fuera del Reino Unido se realizarán de conformidad con las Cláusulas Contractuales Típicas del Reino Unido (SCC), que se consideran celebradas e incorporadas al presente Acuerdo de Protección de Datos (DPA) por referencia, y modificadas y completadas de conformidad con el Anexo del Reino Unido, que se incorpora al presente documento como Anexo D del presente DPA.
6.5 Transferencias desde Suiza.Las partes acuerdan que las transferencias desde Suiza se realicen de conformidad con las Cláusulas Contractuales Típicas de la UE, con las siguientes modificaciones:
6.5.1Los términos «Reglamento General de Protección de Datos» o «Reglamento (UE) 2016/679», tal y como se utilizan en las cláusulas contractuales tipo de la UE, se interpretarán de manera que incluyan la FADP en lo que respecta a las transferencias de datos sujetas a dicha ley.
6.5.2Se modifica la cláusula 13 de las Cláusulas Contractuales Típicas de la UE para establecer que el Comisionado Federal de Protección de Datos e Información («FDPIC») de Suiza tendrá competencia sobre las transferencias de datos reguladas por la FADP, y que la autoridad de control competente de la UE tendrá competencia sobre las transferencias de datos reguladas por el RGPD. Sin perjuicio de lo anterior, se cumplirán todos los demás requisitos de la cláusula 13.
6.5.3El término «Estado miembro de la UE», tal y como se utiliza en las Cláusulas Contractuales Típicas de la UE, no se interpretará de tal manera que impida a los interesados residentes en Suiza ejercer sus derechos en su lugar de residencia habitual, de conformidad con la cláusula 18, letra c), de las Cláusulas Contractuales Típicas de la UE.
6.6 Medidas complementarias.En lo que respecta a cualquier transferencia fuera del EEE o fuera del Reino Unido, se aplicarán las siguientes medidas complementarias:
6.6.1A fecha de este Acuerdo de Protección de Datos, el Importador de Datos no ha recibido ninguna solicitud legal formal por parte de ningún servicio o agencia de inteligencia o seguridad gubernamental del país al que se exportan los Datos Personales, para acceder a (o obtener copias de) los Datos Personales del Cliente («Solicitudes de organismos gubernamentales»);
6.6.2Si, tras la fecha del presente DPA, la Empresa recibe alguna solicitud de un organismo público, la Empresa, en su calidad de importador de datos, intentará remitir a las fuerzas del orden o al organismo público para que soliciten dichos datos directamente al Cliente. Como parte de este esfuerzo, la Empresa podrá facilitar a la autoridad pública la información de contacto básica del Cliente. Si se viera obligada a revelar los Datos Personales del Cliente a una autoridad policial o pública, la Empresa notificará al Cliente con una antelación razonable dicha exigencia y cooperará para que el Cliente pueda solicitar una orden de protección u otra medida correctiva adecuada, salvo que la Empresa tenga prohibido legalmente hacerlo. La Empresa no revelará voluntariamente Datos Personales a ninguna autoridad policial o pública. El exportador de datos y el importador de datos deberán (tan pronto como sea razonablemente posible) debatir y determinar si deben suspenderse todas o algunas de las transferencias de datos personales en virtud del presente DPA a la luz de dichas solicitudes de organismos gubernamentales; y
6.6.3El exportador de datos y el importador de datos se reunirán cuando sea necesario para evaluar si:
(i) la protección que ofrecen las leyes del país del importador de datos a los interesados cuyos datos personales se transfieren sea suficiente para garantizar una protección, en términos generales, equivalente a la que se ofrece en el EEE o en el Reino Unido, según sea el caso;
(ii) sean razonablemente necesarias medidas adicionales para que la transferencia se ajuste a las leyes de protección de datos; y
(iii) sigue siendo adecuado que los datos personales se transfieran al importador de datos correspondiente, teniendo en cuenta toda la información pertinente de que disponen las partes, así como las orientaciones facilitadas por las autoridades de control.
6.6.4Si (i) cualquiera de los medios para legitimar las transferencias de datos personales fuera del EEE, del Reino Unido o de Suiza establecidos en el presente DPA dejara de ser válido, o (ii) alguna autoridad de control exige que se suspendan las transferencias de datos personales realizadas con arreglo a dichos medios, el importador de datos podrá, mediante notificación al exportador de datos y con efecto a partir de la fecha indicada en dicha notificación, modificar o establecer medidas alternativas con respecto a dichas transferencias, tal y como exigen las leyes de protección de datos.
6.7 Transferencias al exterior.Cuando el Cliente se encuentre en un país que no esté amparado por una decisión de adecuación en virtud de las Leyes de Protección de Datos, se aplicará lo siguiente a las transferencias al exterior:
6.7.1En el caso de las transferencias al exterior, la Empresa o la entidad representante correspondiente es el exportador de datos que actúa como encargado del tratamiento, y el Cliente es el importador de datos que actúa como responsable del tratamiento.
6.7.2Cuando el Cliente no esté sujeto al RGPD de la UE ni al RGPD del Reino Unido en relación con el tratamiento en cuestión, las transferencias al exterior realizadas por Instant EU GDPR Representative Limited se llevarán a cabo con arreglo a las Cláusulas Contractuales Típicas de la UE (SCC), Módulo Cuatro (del encargado al responsable del tratamiento), siendo de aplicación la legislación y los tribunales de Irlanda, de conformidad con las cláusulas 17 y 18. Cuando los datos personales hayan sido recibidos por la empresa o por una entidad representante del cliente, las partes se acogen a la excepción prevista en la sección III de las Cláusulas Contractuales Típicas de la UE para el Módulo Cuatro. Cuando los datos procedan de Europa, las partes cumplirán íntegramente lo dispuesto en la sección III, incluida una evaluación de impacto de la transferencia.
6.7.3Cuando el Cliente esté sujeto al RGPD de la UE o al RGPD del Reino Unido en virtud del artículo 3, apartado 2 —que se aplica a todos los Clientes de los servicios de representación—, el Cliente quedará directamente vinculado por el RGPD en lo que respecta a este tratamiento, y la Comisión Europea ha declarado que las Cláusulas Contractuales Típicas (SCC) de 2021 no están diseñadas para importadores que se encuentren en esta situación (Pregunta y respuesta n.º 24 de la Comisión). En consecuencia: [OPCIÓN A: las partes acuerdan que las cláusulas del Módulo Cuatro constituyan garantías contractuales vinculantes, además de las obligaciones directas del Cliente en virtud del RGPD, respaldadas por una evaluación de impacto de la transferencia, y las sustituirán por cualquier cláusula contractual tipo que la Comisión Europea o el Comisionado de Información adopten para este supuesto en un plazo de sesenta (60) días a partir de su adopción; la Empresa no garantiza que estas cláusulas constituyan un mecanismo de transferencia aprobado para este supuesto.] [OPCIÓN B: Las transferencias al exterior se basan en [la(s) excepción(es) del artículo 49, apartado 1, del RGPD que se especificarán], como transferencias ocasionales necesarias para que el Cliente pueda gestionar las comunicaciones en cuestión, con las cláusulas del Módulo Cuatro como garantías contractuales.
6.7.4Las transferencias al exterior realizadas por la empresa Ltd, ya sea en calidad de representante en el Reino Unido, de delegado de protección de datos o en el marco de la prestación de servicios de consultoría, proyectos, formación o gobernanza de la inteligencia artificial, se llevan a cabo con arreglo a las Cláusulas Contractuales Típicas del Reino Unido (SCC), Módulo Cuatro, tal y como figuran en el Anexo D.
6.7.5Las transferencias realizadas por ALTRION Sagl se llevan a cabo con arreglo a las Cláusulas Contractuales Típicas de la UE (SCC), Módulo IV, modificadas conforme a lo dispuesto en la sección 6.4.
6.7.6La información exigida por el anexo I de las Cláusulas Contractuales Típicas de la UE para estas transferencias se recoge en el anexo B(5), y las medidas del anexo C se aplican a la Sociedad y a las entidades representativas.
6.7.7Cada entidad representante se adhiere a las cláusulas contractuales tipo previstas en la presente sección 6.7 mediante la firma del presente acuerdo de tratamiento de datos (DPA), y la aceptación de este DPA por parte del cliente equivale a su firma en calidad de importador de datos.
6.7.8Los datos personales que el Cliente envíe a la Empresa o a una entidad representante desde fuera del EEE, el Reino Unido y Suiza no constituyen una transferencia restringida con arreglo al RGPD o a la FADP, y las secciones 6.2 a 6.5 se les aplicarán únicamente en la medida en que lo exijan las leyes de protección de datos.
7.1La Empresa, en la medida en que lo permita la ley, notificará al Cliente, tan pronto como reciba la solicitud y, en cualquier caso, en un plazo máximo de tres (3) días hábiles, cualquier solicitud presentada por un interesado para ejercer sus derechos de: acceso, rectificación, supresión, portabilidad de los datos, restricción o cese del tratamiento, retirada del consentimiento para el tratamiento y/u oposición a ser objeto de un tratamiento que constituya una toma de decisiones automatizada (dichas solicitudes, individual y colectivamente, «Solicitudes de los interesados»). Si la Empresa recibe una Solicitud de un interesado en relación con los datos del Cliente, la Empresa remitirá dicha solicitud al Cliente y este será responsable de responder a la misma, salvo que se acuerde lo contrario en el Anexo de Servicios aplicable. El Cliente es el único responsable de garantizar que las Solicitudes de los interesados aprobadas relativas a la supresión, la limitación o la cesación del tratamiento, o la retirada del consentimiento para el tratamiento de cualquier dato personal, se comuniquen a la Empresa y, si procede, de garantizar que se mantenga un registro del consentimiento para el tratamiento con respecto a cada interesado, salvo que se acuerde lo contrario en el Anexo de servicios aplicable.
7.2La Empresa, a petición del Cliente y teniendo en cuenta la naturaleza del tratamiento aplicable a cualquier solicitud de un interesado, aplicará las medidas técnicas y organizativas adecuadas para ayudar al Cliente a cumplir con su obligación de responder a dicha solicitud del interesado y/o a demostrar dicho cumplimiento, siempre que sea posible, siempre que: (i) el Cliente no pueda responder por sí mismo sin la asistencia de la Empresa y (ii) la Empresa pueda hacerlo de conformidad con todas las leyes, normas y reglamentos aplicables. El Cliente será responsable, en la medida en que lo permita la ley, de los costes y gastos derivados de dicha asistencia prestada por la Empresa. Cuando el Cliente haya activado un servicio de representante o de delegado de protección de datos, la recepción y el reenvío de las «Comunicaciones del representante» o las «Comunicaciones del delegado de protección de datos» formarán parte de dicho servicio y no serán facturables en virtud de la presente sección 7.2. La asistencia prestada en el marco de servicios de consultoría, de proyectos o de formación se facturará según lo establecido en el Anexo de Servicios aplicable y en la Lista de Tarifas.
8.1La Empresa, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, prestará al Cliente la cooperación y asistencia razonables que sean necesarias para que este cumpla con sus obligaciones en virtud del RGPD de realizar una evaluación de impacto relativa a la protección de datos y/o de demostrar dicho cumplimiento, siempre que el Cliente no tenga acceso de otro modo a la información pertinente. El Cliente será responsable, en la medida en que lo permita la ley, de los costes y gastos derivados de dicha asistencia prestada por la Empresa.
8.2La Empresa, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, prestará al Cliente una cooperación y asistencia razonables en lo que respecta a la cooperación y/o consulta previa del Cliente con cualquier autoridad de control, cuando sea necesario y cuando así lo exija el RGPD. El Cliente será responsable, en la medida en que lo permita la ley, de los costes y gastos derivados de dicha asistencia prestada por la Empresa, salvo que se acuerde lo contrario en el Anexo de Servicios aplicable.
8.3La Empresa mantendrá registros suficientes para demostrar el cumplimiento de las obligaciones que le incumben en virtud del presente DPA y conservará dichos registros durante un período de un (1) año tras la rescisión del Acuerdo. El Cliente tendrá derecho, previa notificación razonable a la Empresa con una antelación mínima de treinta (30) días hábiles, a revisar, auditar y copiar dichos registros en las oficinas de la Empresa durante el horario laboral habitual.
8.4Previa solicitud por escrito del Cliente, con una periodicidad razonable y sujeta a controles de confidencialidad razonables, la Empresa deberá: (i) poner a disposición del Cliente, para su revisión, copias de las certificaciones o informes que demuestren el cumplimiento por parte de la Empresa de las normas vigentes en materia de seguridad de los datos aplicables al tratamiento de los Datos Personales del Cliente; o (ii) si la presentación de informes o certificaciones con arreglo al punto (i) no resultara razonablemente suficiente a efectos de las Leyes de Protección de Datos, permitirá que un representante independiente del Cliente, que sea un tercero, lleve a cabo una auditoría o inspección de la infraestructura y los procedimientos de seguridad de datos de la Empresa que sea suficiente para demostrar el cumplimiento por parte de la Empresa de sus obligaciones en virtud de las Leyes de Protección de Datos, siempre que (a) el Cliente notifique por escrito y con antelación razonable dicha solicitud de auditoría y dicha inspección no perturbe de forma irrazonable la actividad comercial de la Empresa; (b) dicha auditoría solo se realice durante el horario laboral y no se lleve a cabo más de una vez por año natural; y (c) dicha auditoría se limite a los datos relevantes para el Cliente. El Cliente será responsable de los costes de dichas auditorías o inspecciones, incluido, entre otros, el reembolso a la Empresa del tiempo dedicado a las auditorías in situ. Si el Cliente y la Empresa han suscrito las Cláusulas Contractuales Típicas descritas en la sección 6 (Transferencias de datos personales), las partes acuerdan que las auditorías descritas en la cláusula 8.9 de las Cláusulas Contractuales Típicas de la UE se llevarán a cabo de conformidad con la presente sección 8.4.
8.5La Empresa deberá notificar al Cliente de forma inmediata y, en cualquier caso, a más tardar 72 horas después de tener conocimiento de ello, si, en opinión de la Empresa, una instrucción incumple la legislación en materia de protección de datos.
8.6En caso de que se produzca una violación de la seguridad de los datos personales, la Empresa deberá, sin demora injustificada y, en cualquier caso, a más tardar 48 horas después de tener conocimiento de la misma, informar al Cliente de dicha violación y adoptar las medidas que, a su entera discreción, considere necesarias y razonables para subsanarla (en la medida en que dicha subsanación esté dentro del control razonable de la Empresa).
8.7En caso de que se produzca una violación de la seguridad de los datos personales, la Empresa, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, prestará al Cliente la cooperación y la asistencia razonables necesarias para que este pueda cumplir con las obligaciones que le incumben en virtud del RGPD en lo que respecta a la notificación, sin demora injustificada, (i) a la autoridad de control competente y (ii) a los interesados afectados por dicha violación de la seguridad de los datos personales.
8.8Cuando una violación de datos personales se deba a las acciones u omisiones del Cliente, la Empresa deberá notificárselo al Cliente con arreglo a la sección 8.6, pero cualquier medida correctiva prevista en la sección 8.6 y la asistencia prevista en la sección 8.7 correrán a cargo del Cliente. La obligación de la Empresa de notificar o responder a una violación de datos personales con arreglo a los apartados 8.6 y 8.7 no se interpretará como un reconocimiento por parte de la Empresa de culpa o responsabilidad alguna con respecto a dicha violación de datos personales.
Las partes reconocen y acuerdan que, en lo que respecta a los Datos de la Cuenta de la Empresa y a los Datos de Uso de la Empresa, la Empresa es un responsable del tratamiento independiente, y no un responsable conjunto con el Cliente. La Empresa tratará los Datos de la Cuenta de la Empresa y los Datos de Uso de la Empresa en calidad de responsable del tratamiento (i) para gestionar la relación con el Cliente; (ii) para llevar a cabo las operaciones comerciales principales de la Empresa, tales como la contabilidad, las auditorías, la preparación y presentación de declaraciones fiscales y el cumplimiento normativo; (iii) para supervisar, investigar, prevenir y detectar fraudes, incidentes de seguridad y otros usos indebidos de los Servicios, así como para evitar daños al Cliente; (iv) con fines de verificación de identidad; (v) para cumplir con las obligaciones legales o reglamentarias aplicables al tratamiento y la conservación de los Datos Personales a las que está sujeta la Empresa; y (vi) en la medida en que lo permitan las Leyes de Protección de Datos y de conformidad con el presente DPA y el Acuerdo. La Empresa también podrá tratar los Datos de Uso de la Empresa en calidad de responsable del tratamiento para prestar, optimizar y mantener los Servicios, en la medida en que lo permitan las Leyes de Protección de Datos. Cualquier tratamiento realizado por la Empresa en calidad de responsable del tratamiento se llevará a cabo de conformidad con la política de privacidad de la Empresa establecida enhttps://gdprlocal.com/terms/privacy-policy/
En caso de conflicto o inconsistencia, el orden de prelación será el siguiente: (1) las Cláusulas Contractuales Típicas (incluido, para las transferencias fuera del Reino Unido, el Anexo del Reino Unido), en los asuntos que regulen expresamente; (2) cualquier Registro de Activación del Servicio u otra modificación por escrito acordada con el Cliente, pero solo en la medida en que se refiera expresamente a una disposición del presente DPA y la modifique; (3) el presente DPA; y (4) el Contrato, en el orden de prelación establecido en el mismo. La política de privacidad de la Empresa se aplica únicamente al tratamiento de datos que la Empresa realiza en calidad de responsable del tratamiento con arreglo a la sección 9 y no prevalece sobre ninguno de los elementos anteriores. Cualquier reclamación presentada en relación con el presente DPA estará sujeta a las exclusiones y limitaciones de responsabilidad establecidas en el Contrato, salvo en la medida en que dichas exclusiones o limitaciones restrinjan la responsabilidad de cualquiera de las partes frente a los interesados, o no estén permitidas de otro modo, en virtud de las Cláusulas Contractuales Tipo o de la legislación en materia de protección de datos.
El presente Acuerdo de Tratamiento de Datos se incorpora al Contrato y forma parte integrante del mismo. Este DPA se considerará formalizado tras la aceptación o la firma del Contrato por parte del Cliente, entrará en vigor en la misma fecha que el Contrato y permanecerá en pleno vigor y efecto durante la vigencia del Contrato, así como durante el plazo adicional que sea necesario para que las Partes cumplan con sus respectivas obligaciones tras la rescisión o la expiración del Contrato, incluyendo lo relativo a la supresión o la devolución de los datos personales. El presente DPA se identifica mediante el número de versión y la fecha de entrada en vigor que figuran en su encabezamiento. La Empresa notificará al Cliente con al menos quince (15) días de antelación cualquier modificación del presente DPA.
Naturaleza y finalidad del tratamiento:La Empresa tratará los datos personales del Cliente en la medida en que sea necesario para prestar los Servicios previstos en el Contrato, con las finalidades especificadas en el Contrato y en el presente DPA, y de conformidad con las instrucciones del Cliente tal y como se establecen en el presente DPA. La naturaleza del tratamiento incluye, entre otros:
Finalidades por servicio:
Duración del tratamiento:La Empresa tratará los datos personales del Cliente durante el tiempo que sea necesario (i) para prestar los Servicios al Cliente en virtud del Contrato; o (ii) según lo dispuesto en la legislación o normativa aplicable. Los datos de la cuenta de la Empresa y los datos de uso de la Empresa se tratarán y almacenarán según lo establecido en la política de privacidad de la Empresa. Las comunicaciones con los representantes y las comunicaciones con el delegado de protección de datos se conservarán según lo establecido en la sección 2.3.
Categorías de interesados:empleados, consultores, contratistas y/o agentes del Cliente; personas que presenten solicitudes relativas a los derechos de los interesadosante una entidad representante o ante la Empresa en su calidad de delegado de protección de datos del Cliente; personal de las autoridades de control que se ponga en contacto con una entidad representante o con la Empresa en relación con el Cliente; y personas cuyos datos personales figuren en registros, documentos o sistemas que el Cliente ponga a disposición para los Servicios.
Categorías de datos personales:El cliente puede facilitar datos personales a los Servicios, cuyas categorías dependerán del uso que el cliente haga de los mismos —uso que el cliente determina y controla a su entera discreción— y que pueden incluir, entre otros, nombres, apellidos, número de teléfono, dirección de correo electrónico profesional, información de contacto, dirección, funciones y cargos, información financiera o cualquier otra información facilitada por las personas que presenten solicitudes en ejercicio de los derechos de los interesados, el contenido de las comunicaciones de los representantes y de los delegados de protección de datos, incluido el material de verificación de identidad y las referencias de casos de las autoridades de control; los datos personales contenidos en los registros de tratamiento, las evaluaciones de impacto relativas a la protección de datos, los registros de violaciones de seguridad, los expedientes de solicitudes de los interesados, los contratos y otros documentos que el Cliente facilite para su revisión; y los nombres y datos de contacto de los asistentes a la formación. Además, los datos de la cuenta de la empresa y los datos de uso de la empresa se recopilarán, tratarán y almacenarán de conformidad con el presente Acuerdo de Tratamiento de Datos (DPA).
Datos sensibles o categorías especiales de datos:No está prevista ninguna transferencia habitual de datos sensibles. No obstante, si se nos encarga actuar en nombre del cliente a través de nuestros servicios, es posible que tengamos que transferir los datos sensibles correspondientes, o que una persona los incluya de forma inesperada en una comunicación para ejercer sus derechos como interesado.
Frecuencia de la transferencia:Continua mientras duren los Servicios. Las comunicaciones representativas y las comunicaciones del responsable de la protección de datos (DPO) se transfieren de forma puntual, a medida que se reciben; el resto de datos personales se transfieren según sea necesario para cada encargo.
A continuación se incluye la información exigida en los anexos I y III de las Cláusulas Contractuales Típicas de la UE, así como en la tabla 1, el anexo 1A y el anexo 1B del Apéndice del Reino Unido.
Exportador(es) de datos:
Nombre: Según se establece en el Acuerdo.
Nombre comercial (si es diferente): Según se establece en el Acuerdo.
Dirección: Según se establece en el Acuerdo.
Número de registro oficial (si lo hubiera) (número de la empresa o identificador similar): Según se establece en el Acuerdo.
Nombre, cargo y datos de contacto de la persona de contacto: Según se establece en el Acuerdo.
Función (responsable del tratamiento/encargado del tratamiento): Responsable del tratamiento o encargado del tratamiento, según corresponda con arreglo a la sección 6.2
Importador(es) de datos:
Nombre: GDPRLocal Ltd
Nombre comercial (si es diferente): GDPRLocal
Dirección: 1st Floor Front Suite, 27-29 North Street, Brighton, Inglaterra, BN1 1EB
Número de registro oficial (si lo hay) (número de la empresa o identificador similar): 12969035 (Inglaterra y Gales)
Nombre, cargo y datos de contacto de la persona de contacto: [email protected]; Delegado de Protección de Datos: Lejla Robeli
Función (responsable del tratamiento/encargado del tratamiento): Encargado del tratamiento (responsable del tratamiento de los datos de la cuenta de la empresa y de los datos de uso de la empresa según la sección 9)
En el caso de las transferencias al exterior contempladas en el apartado 6.7, la empresa o la entidad representante correspondiente es el exportador de datos, y el cliente es el importador de datos: véase el anexo B(5).
| Los interesados | Tal y como se describe en el Anexo A del DPA |
| Categorías de datos personales | Tal y como se describe en el Anexo A del DPA |
| Datos personales de categorías especiales (si procede) | Tal y como se describe en el Anexo A del DPA |
| Naturaleza del tratamiento | Tal y como se describe en el Anexo A del DPA |
| Finalidades del tratamiento | Tal y como se describe en el Anexo A del DPA |
| Duración del tratamiento y del almacenamiento (o los criterios para determinar dicho plazo) | Tal y como se describe en el Anexo A del DPA |
| Frecuencia de la transferencia | Tal y como se describe en el Anexo A del DPA |
| Destinatarios de los datos personales transferidos al importador de datos | Incluido en el Anexo B(4) del DPA |
La autoridad de control competente se determina de conformidad con la cláusula 13 de las Cláusulas Contractuales Típicas de la UE (SCC), tal y como se completan en la sección 6.2. Cuando el Cliente no esté establecido en el EEE y haya designado a Instant EU GDPR Representative Limited como su representante, dicha autoridad será la Comisión de Protección de Datos (Irlanda). Para las transferencias sujetas a la FADP, será la FDPIC. La autoridad de control a efectos del Anexo del Reino Unido será la Oficina del Comisionado de Información del Reino Unido.
| Sistema/Aplicación | Objetivo |
|---|---|
| Microsoft | Correo electrónico, productividad, colaboración |
| Azure | Proveedor de servicios en la nube |
| Correo electrónico, gestión de documentos, almacenamiento, herramientas de colaboración, videoconferencias | |
| Chargify | Facturación y gestión de suscripciones |
| Calendly | Programación de reuniones y citas |
| Docusign | Firma electrónica y gestión de contratos |
| HubSpot | Gestión de las relaciones con los clientes |
| Zoom | Organización de reuniones virtuales y sesiones de formación |
| GDPRLocal DOOEL | Operaciones empresariales internas, entre las que se incluyen la recepción, el registro y el reenvío de comunicaciones de los representantes y de los responsables de la protección de datos, así como la prestación de servicios relacionados con los responsables de la protección de datos, de consultoría y de proyectos. Ubicación: Macedonia del Norte. Mecanismo de transferencia: Cláusulas contractuales tipo de la UE (Módulo Tres) y del Reino Unido, con una evaluación de impacto de la transferencia. |
| Atlassian (JIRA, Confluence) | Gestión de la documentación técnica y de productos |
| Anthropic (Claude) | Asistente de IA utilizado por el personal de la empresa para leer, resumir y redactar documentos y correspondencia; cada resultado es revisado por una persona antes de su uso. Ubicación: Estados Unidos. Mecanismo de transferencia: las Cláusulas Contractuales Típicas de la UE y el Anexo del Reino Unido incluido en el Anexo de Tratamiento de Datos de Anthropic. El contenido de los clientes no se utiliza para entrenar los modelos. |
| Composio, S.A. | Servicio de integración que conecta el asistente de IA con Google Workspace de la empresa (Gmail, Calendar, Drive) para recuperar información y guardar borradores. Ubicación: Estados Unidos. Mecanismo de transferencia: Cláusulas contractuales tipo de la UE y el anexo del Reino Unido. |
| Instant EU GDPR Representative Limited (entidad asociada, no filial) | Representante de la UE con arreglo al artículo 27 del RGPD de la UE, cuando esté designado. . Ubicación: Irlanda. |
| ALTRION Sagl (entidad colaboradora, no filial) | Representante suizo con arreglo al artículo 14 de la FADP, en caso de que se active. Ubicación: Suiza. |
Exportadores de datos:GDPRLocal Ltd (delegado de protección de datos, servicios de consultoría, gestión de proyectos, formación y gobernanza de la IA, y servicios de representación en el Reino Unido) y las entidades representativas (servicios de representación en la UE y Suiza). Función: encargado del tratamiento.
Importador de datos:El cliente, tal y como se establece en el Acuerdo. Función: Responsable del tratamiento.
Afectados:personas que se ponen en contacto con una entidad representante o con la empresa en su calidad de delegado de protección de datos del cliente; personal de las autoridades de control; personas cuyos datos personales figuran en los documentos, informes o asesoramientos facilitados al cliente.
Categorías de datos personales:datos de identificación y de contacto; el contenido de la solicitud, la reclamación o la correspondencia; la documentación de verificación de identidad facilitada por el interesado; los números de referencia de los expedientes de la autoridad de control; los datos personales contenidos en los documentos, informes o asesoramientos facilitados al cliente.
Datos de categorías especiales:no se recogen de forma intencionada. Cualquier dato de categorías especiales que una persona facilite de forma voluntaria se transmite tal y como se recibe, sin que se le aplique ningún otro tipo de tratamiento.
Frecuencia:de forma puntual, a medida que se reciben las comunicaciones.
Naturaleza y finalidad:recepción, registro y reenvío seguro de comunicaciones al cliente, así como la devolución de los resultados del trabajo, con el fin de desempeñar la función de representación (artículo 27 del RGPD de la UE o del RGPD del Reino Unido, o artículo 14 de la FADP), la función de delegado de protección de datos (artículos 37 a 39 del RGPD), o prestar servicios de consultoría, gestión de proyectos, formación y gobernanza de la inteligencia artificial.
Conservación:tal y como se establece en el apartado 2.3.
Autoridad de control competente:no aplicable al Módulo Cuatro.
El importador de datos ha implantado y mantendrá las medidas técnicas y organizativas adecuadas destinadas a proteger los datos personales contra la destrucción, la pérdida, la alteración, la divulgación no autorizada o el acceso no autorizado a los mismos, así como a preservar la confidencialidad, la integridad y la disponibilidad de los datos personales tratados por cuenta del cliente.
Entre estas medidas se incluyen:
Los datos personales se almacenan en una base de datos cifrada de Microsoft SQL Server alojada en un centro de datos de Microsoft Azure situado en Londres, Reino Unido.
El acceso a los datos personales solo se permite a través de las plataformas internas de la empresa. El acceso está denegado por defecto y solo se concede al personal autorizado en función de la necesidad de conocer la información, incluidos los equipos pertinentes cuando sea necesario. La empresa aplica controles de autenticación basados en roles y en usuarios para restringir el acceso de acuerdo con las responsabilidades del puesto. El personal de GDPRLocal DOOEL en Macedonia del Norte accede a los datos personales de forma remota, sujeto a los mismos controles.
Se aplican controles de acceso lógicos adecuados para garantizar que el acceso a los datos personales se limite de acuerdo con la estructura organizativa y las responsabilidades funcionales de la empresa. La empresa utiliza permisos basados en funciones para asignar diferentes niveles de acceso a los empleados en función de sus funciones.
Se exige la autenticación multifactorial a todos los usuarios administrativos que accedan al portal de la empresa.
Los datos personales se cifran tanto durante su transmisión como cuando están almacenados. Además, todos los ordenadores utilizados con fines empresariales están protegidos mediante discos duros cifrados.
La empresa ha establecido controles de acceso físico adecuados en todas sus instalaciones para proteger sus activos de datos. Los centros de datos de Microsoft Azure que utiliza la empresa están sujetos a estrictas medidas de seguridad física. Se puede consultar más información sobre la seguridad física de Azure en la documentación publicada por Microsoft.
La empresa celebra acuerdos de tratamiento de datos con sus subencargados del tratamiento autorizados, en los que se les imponen las mismas obligaciones en materia de protección de datos que las establecidas en el presente acuerdo de tratamiento de datos.
La empresa ha adoptado medidas para garantizar la rendición de cuentas, entre las que se incluyen la implantación de políticas de protección de datos y seguridad de la información en toda la empresa, procedimientos para el registro y la notificación de violaciones de datos personales, y la asignación formal de funciones y responsabilidades en materia de seguridad de la información y privacidad de los datos. La empresa también lleva a cabo evaluaciones periódicas de los proveedores para comprobar el cumplimiento de sus normas de privacidad y seguridad.
La empresa cuenta con un programa de seguridad que incluye medidas de protección administrativas, organizativas, técnicas y físicas, diseñadas de forma razonable para proteger los Servicios y la confidencialidad, integridad y disponibilidad de los datos personales.
La empresa realiza copias de seguridad periódicas de los datos. La restauración de las copias de seguridad se comprueba periódicamente, de conformidad con las políticas de seguridad de la información y gestión de datos de la empresa.
Anexo sobre la transferencia internacional de datos a las cláusulas contractuales tipo de la Comisión Europea
Tabla 1: Partes
| Las Partes | Exportador | Importador |
|---|---|---|
| Fecha de inicio | El presente anexo relativo al Reino Unido entrará en vigor en la misma fecha que el DPA. | |
| Datos de las partes | Cliente | GDPRLocal Ltd |
| Persona de contacto clave | Véase el Anexo B del presente Acuerdo de Aplazamiento de la Actuación Penal (DPA) | Véase el Anexo B del presente Acuerdo de Aplazamiento de la Actuación Penal (DPA) |
Tabla 2: SCC, módulos y cláusulas seleccionados
| Cláusulas contractuales tipo de la UE | La versión de las Cláusulas Contractuales Típicas de la UE (SCC) aprobadas a la que se adjunta el presente Anexo del Reino Unido, tal y como se define en la Ley de Protección de Datos (DPA) y se completa mediante los apartados 6.2 y 6.3 de la DPA (Módulos 1 a 3) y el apartado 6.7 de la DPA (Módulo 4). |
Tabla 3: Información del apéndice
Por «información del anexo» se entiende la información que debe facilitarse para los módulos seleccionados, tal y como se establece en el anexo de las Cláusulas Contractuales Típicas de la UE aprobadas (excepto las Partes), y que, a efectos de la presente Adenda del Reino Unido, se recoge en:
| a) Anexo 1A: Lista de Partes | b) Según la tabla 1 anterior |
| c) Anexo 1B: Descripción de la transferencia | d) Véase el Anexo B del presente Acuerdo de No Delincuencia (DPA) |
| e) Anexo II: Medidas técnicas y organizativas, incluidas las medidas técnicas y organizativas destinadas a garantizar la seguridad de los datos: | f) Véase el Anexo C del presente Acuerdo de Protección de Datos (DPA) |
| g) Anexo III: Lista de subencargados del tratamiento (solo módulos 2 y 3): | h) Véase el Anexo B del presente Acuerdo de Protección de Datos (DPA) |
Tabla 4: Finalización de este anexo del Reino Unido cuando se modifique el anexo aprobado del Reino Unido
| Finalización de este anexo del Reino Unido cuando se modifique el anexo aprobado del Reino Unido | ☒ Importador ☐ Exportador ☒ Ninguna de las partes |
Al formalizar este anexo para el Reino Unido:
1.Cada una de las partes se compromete a acatar los términos y condiciones establecidos en el presente Anexo del Reino Unido, a cambio de que la otra parte se comprometa igualmente a acatar dicho Anexo.
2.Aunque el anexo 1A y la cláusula 7 de las CCT de la UE aprobadas exigen la firma de las partes, a efectos de realizar transferencias desde el Reino Unido, las partes podrán suscribir el presente anexo del Reino Unido de cualquier forma que lo haga jurídicamente vinculante para ellas y permita a los interesados hacer valer sus derechos tal y como se establecen en el presente anexo del Reino Unido. La celebración de este Anexo del Reino Unido tendrá el mismo efecto que la firma de las CCT de la UE aprobadas y de cualquier parte de las mismas.
Interpretación de este anexo del Reino Unido
3.Cuando en el presente Anexo del Reino Unido se utilicen términos definidos en las Cláusulas Contractuales Típicas de la UE aprobadas, dichos términos tendrán el mismo significado que en dichas Cláusulas. Además, los siguientes términos tendrán los significados que se indican a continuación:
| Anexo sobre el Reino Unido | significa que el presente Anexo sobre transferencia internacional de datos incorpora las Cláusulas Contractuales Típicas de la UE, adjuntas al Acuerdo de Protección de Datos como Anexo D. |
| Cláusulas contractuales tipo de la UE | se refiere a la(s) versión(es) de las Cláusulas Contractuales Típicas de la UE aprobadas a las que se adjunta el presente Anexo del Reino Unido, tal y como se recoge en la Tabla 2, incluida la información del apéndice |
| Información del apéndice | será el que se indica en la tabla 3 |
| Medidas de protección adecuadas | se refiere al nivel de protección de los datos personales y de los derechos de los interesados que exigen las leyes de protección de datos del Reino Unido cuando se realiza una transferencia fuera del Reino Unido amparándose en las cláusulas tipo de protección de datos previstas en el artículo 46, apartado 2, letra d), del RGPD del Reino Unido. |
| Anexo aprobado para el Reino Unido | se refiere al modelo de anexo publicado por la ICO y presentado ante el Parlamento, de conformidad con el artículo 119A de la Ley de Protección de Datos de 2018, el 2 de febrero de 2022, que podrá ser revisado con arreglo al artículo 18 del anexo del Reino Unido. |
| Cláusulas contractuales tipo aprobadas por la UE | se refiere a las cláusulas contractuales tipo aprobadas por la Comisión Europea en la Decisión 2021/914 de la Comisión, de 4 de junio de 2021, para las transferencias de datos personales a países que la Comisión Europea no haya reconocido de otro modo como países que ofrecen un nivel adecuado de protección de los datos personales (en su versión modificada y actualizada periódicamente). |
| ICO | se refiere al Comisionado de Información del Reino Unido. |
| Traspaso desde el Reino Unido | tendrá la misma definición que la establecida en la DPA. |
| Reino Unido | se refiere al Reino Unido de Gran Bretaña e Irlanda del Norte |
| Legislación británica en materia de protección de datos | se refiere a todas las leyes relativas a la protección de datos, el tratamiento de datos personales, la privacidad y/o las comunicaciones electrónicas vigentes en cada momento en el Reino Unido, incluidas el RGPD del Reino Unido y la Ley de Protección de Datos de 2018. |
| RGPD del Reino Unido | tendrá la definición establecida en la Ley de Protección de Datos. |
4.El Anexo del Reino Unido deberá interpretarse siempre de manera coherente con la legislación británica en materia de protección de datos y de tal forma que cumpla con la obligación de las Partes de proporcionar las garantías adecuadas.
5.Si las disposiciones incluidas en el Anexo del Reino Unido modifican las CCT aprobadas de la UE de cualquier forma que no esté permitida en virtud de dichas CCT aprobadas de la UE o del Anexo aprobado del Reino Unido, dichas modificaciones no se incorporarán al Anexo del Reino Unido y se sustituirán por la disposición equivalente de las CCT aprobadas de la UE.
6.En caso de que exista alguna inconsistencia o conflicto entre la legislación británica en materia de protección de datos y el Anexo del Reino Unido, prevalecerá la legislación británica en materia de protección de datos.
7.Si el significado del Anexo del Reino Unido no resulta claro o tiene más de un significado, se aplicará el que más se ajuste a la legislación británica en materia de protección de datos.
8.Cualquier referencia a la legislación (o a disposiciones específicas de la misma) implica que dicha legislación (o disposición específica) puede sufrir modificaciones con el tiempo. Esto incluye los casos en los que dicha legislación (o disposición específica) haya sido consolidada, promulgada de nuevo y/o sustituida tras la firma del Anexo del Reino Unido.
Jerarquía
9.Aunque la cláusula 5 de las CCT de la UE aprobadas establece que estas prevalecen sobre todos los acuerdos relacionados entre las partes, las partes acuerdan que, en el caso de las transferencias desde el Reino Unido, prevalecerá la jerarquía establecida en la sección 10 que figura a continuación.
10.En caso de que exista alguna inconsistencia o conflicto entre el Anexo aprobado del Reino Unido y las Cláusulas Contractuales Típicas de la UE (según corresponda), el Anexo aprobado del Reino Unido prevalecerá sobre las Cláusulas Contractuales Típicas de la UE, salvo cuando (y en la medida en que) las cláusulas inconsistentes o contradictorias de las Cláusulas Contractuales Típicas de la UE ofrezcan una mayor protección a los interesados, en cuyo caso dichas cláusulas prevalecerán sobre el Anexo aprobado del Reino Unido.
11.En caso de que el presente Anexo del Reino Unido incorpore las Cláusulas Contractuales Típicas de la UE (SCC) que se hayan suscrito para proteger las transferencias fuera de la UE sujetas al RGPD, las partes reconocen que ninguna disposición del Anexo del Reino Unido afecta a dichas SCC de la UE.
Incorporación y modificaciones de las cláusulas contractuales tipo de la UE:
12.El presente anexo del Reino Unido incorpora las cláusulas contractuales tipo de la UE, que se modifican en la medida necesaria para que:
13.A menos que las partes hayan acordado modificaciones alternativas que cumplan los requisitos de la sección 12 del presente anexo para el Reino Unido, se aplicarán las disposiciones de la sección 15 del presente anexo para el Reino Unido.
14.No se podrán introducir modificaciones en las cláusulas contractuales estándar de la UE aprobadas, salvo aquellas necesarias para cumplir los requisitos de la sección 12 del presente anexo del Reino Unido.
15.Se introducen las siguientes modificaciones en las Cláusulas Contractuales Típicas de la UE (a efectos de la sección 12 del presente Anexo del Reino Unido):
Modificaciones al anexo del Reino Unido
16.Las partes podrán acordar modificar las cláusulas 17 y/o 18 de las Cláusulas Contractuales Típicas de la UE para remitirse a la legislación y/o a los tribunales de Escocia o Irlanda del Norte.
17.Si las partes desean modificar el formato de la información incluida en la Parte 1: Tablas del Anexo aprobado del Reino Unido, podrán hacerlo acordando dicha modificación por escrito, siempre que dicha modificación no reduzca las salvaguardias adecuadas.
18.De vez en cuando, la ICO podrá publicar un anexo revisado aprobado para el Reino Unido que:
El «Anexo aprobado para el Reino Unido» revisado especificará la fecha de entrada en vigor de los cambios introducidos en dicho anexo y si las partes deben revisar dicho anexo, incluida la información del apéndice. Este «Anexo para el Reino Unido» quedará automáticamente modificado según lo establecido en el «Anexo aprobado para el Reino Unido» revisado a partir de la fecha de entrada en vigor especificada.
19.Si la ICO emite un anexo revisado aprobado para el Reino Unido con arreglo al artículo 18 del presente anexo para el Reino Unido, y si, como consecuencia directa de los cambios introducidos en dicho anexo, una de las partes sufre un aumento sustancial, desproporcionado y demostrable en:
y, en cualquiera de los dos casos, siempre que haya adoptado previamente medidas razonables para reducir dichos costes o riesgos de modo que no resulten sustanciales ni desproporcionados, dicha parte podrá rescindir el presente Anexo del Reino Unido al término de un plazo de preaviso razonable, notificándolo por escrito a la otra parte con antelación a la fecha de entrada en vigor del Anexo del Reino Unido revisado y aprobado.
20.Las partes no necesitan el consentimiento de ningún tercero para introducir modificaciones en el presente Anexo del Reino Unido, pero cualquier modificación deberá realizarse de conformidad con sus términos.