EcuaHosting

Este Anexo de Procesamiento de Datos (“APD”), fechado el 19 de Enero de 2024 (la “Fecha de Entrada en Vigor”), forma parte del contrato general y la relación bajo los Términos de Servicio (y cualquier otro acuerdo que rija nuestros Servicios) entre usted (“Cliente”) y ecuaHosting (“Compañía”). Los términos con mayúscula no definidos en este APD tendrán el significado que se les da en el Acuerdo.

Definiciones

• Afiliado: Una entidad que controla, es controlada por o está bajo el control común de otra entidad.
• Acuerdo: El contrato principal entre el Cliente y ecuaHosting.
• Control: Cuando una entidad tiene una participación del 50% o más en la propiedad o en los derechos de voto de otra entidad.
• Controlador: La entidad que decide para qué y cómo se procesan los Datos Personales.
• Datos del Cliente: Los Datos Personales que ecuaHosting procesa en nombre del Cliente cuando proporciona los Servicios.
• Leyes de Protección de Datos Aplicables: Las leyes de protección de datos que se aplican al procesamiento de Datos Personales bajo el Acuerdo, como el RGPD.
• RGPD: El Reglamento General de Protección de Datos de la Unión Europea.
• Cláusulas Modelo: Son las cláusulas estándar aprobadas por la Comisión Europea para transferir Datos Personales entre países, con el fin de proteger esos datos.
• Datos Personales: Información sobre una persona que puede ser identificada, como su nombre, dirección, datos de contacto, etc.
• Violación de Datos Personales: Un evento en el que los Datos Personales se pierden, se alteran, o se divulgan sin autorización.
• Procesamiento: Cualquier acción realizada sobre los Datos Personales, como recolectarlos, almacenarlos, usarlos, compartirlos, etc.
• Procesador: Una entidad que procesa Datos Personales por cuenta de un Controlador.
• Servicios: Los productos o servicios que ecuaHosting proporciona al Cliente según el Acuerdo.
• Subprocesador: Un tercero contratado por ecuaHosting para ayudar con el procesamiento de los Datos Personales.

Este lenguaje simplificado mantiene el sentido original pero con términos más fáciles de comprender.

1.Alcance de este APD

Este DPA se aplica solo en los casos en que la Compañía procese los Datos del Cliente que están sujetos a las Leyes de Protección de Datos Aplicables, en nombre del Cliente, durante la prestación de los Servicios al Cliente según el Acuerdo.

2. Roles y Alcance del Procesamiento

Rol de las partes.

Entre la Compañía y el Cliente, el Cliente es el Responsable de los Datos del Cliente, y la Compañía procesará los Datos del Cliente solo como un Encargado de Tratamiento actuando en nombre del Cliente. En la medida en que la RGPD sea aplicable al procesamiento de los Datos del Cliente bajo el Acuerdo, las partes acuerdan que el Cliente es una “empresa” y la Compañía es un “proveedor de servicios”, según lo definen esos términos en la RGPD .

Procesamiento de los Datos del Cliente por parte del Cliente.

El Cliente acepta que (i) cumplirá con sus respectivas obligaciones bajo las Leyes de Protección de Datos Aplicables con respecto al procesamiento de los Datos del Cliente y cualquier instrucción de procesamiento que emita a la Compañía; y (ii) ha proporcionado aviso y obtenido (o obtendrá) todos los consentimientos y derechos necesarios bajo las Leyes de Protección de Datos Aplicables para que la Compañía procese los Datos del Cliente según el Acuerdo y este RGPD.

Procesamiento de los Datos del Cliente por parte de la Compañía.

La Compañía procesará los Datos del Cliente solo para los fines descritos en este RGPD y solo de acuerdo con las instrucciones legales documentadas del Cliente. Las partes acuerdan que este APD y el Acuerdo establecen las instrucciones completas y finales del Cliente a la Compañía con respecto al procesamiento de los Datos del Cliente, y el procesamiento fuera del alcance de estas instrucciones (si lo hubiera) requerirá un acuerdo previo por escrito entre el Cliente y la Compañía.

Detalles del Procesamiento.

Los detalles del procesamiento bajo el Acuerdo se establecen en el Anexo A.

Excepciones.

No obstante cualquier disposición en contrario en el Acuerdo (incluido este APD), el Cliente reconoce que la Compañía tiene derecho a usar y divulgar datos relacionados con la operación, el soporte y/o el uso de los Servicios para fines comerciales legítimos, como facturación, gestión de cuentas, soporte técnico, desarrollo y mejora de productos, y ventas y marketing. En la medida en que cualquier dato utilizado exclusivamente para fines comerciales de la Compañía se considere Datos Personales bajo las Leyes de Protección de Datos Aplicables, la Compañía es el Responsable de dichos datos y, en consecuencia, garantiza que procesará dichos datos de acuerdo con la Política de Privacidad de la Compañía y las Leyes de Protección de Datos.

3. Subprocesamiento

Subprocesadores Autorizados.

El Cliente acepta que la Compañía pueda contratar Subprocesadores para procesar los Datos del Cliente en nombre del Cliente. Los Subprocesadores actualmente contratados por la Compañía y autorizados por el Cliente se pueden consultar en la pestaña “Perfil y Privacidad” del Panel de Control de ecuaHosting.

Obligaciones de los Subprocesadores.

La Compañía: (i) celebrará un acuerdo por escrito con el Subprocesador imponiendo términos de protección de datos que requieran que el Subprocesador proteja los Datos del Cliente según el estándar requerido por las Leyes de Protección de Datos Aplicables; y (ii) seguirá siendo responsable de su cumplimiento con las obligaciones de este APD y por cualquier acto u omisión del Subprocesador que cause que la Compañía incumpla cualquiera de sus obligaciones bajo este APD.

Cambios en los Subprocesadores.

La Compañía deberá notificar cualquier actualización de sus Subprocesadores al Cliente mediante la actualización de la Lista de Subprocesadores con un aviso anticipado de cinco (5) días antes de utilizar un nuevo Subprocesador para proporcionar los Servicios. La Lista de Subprocesadores reflejará siempre la fecha de “última actualización”. El Cliente podrá recibir notificaciones por correo electrónico de los cambios en la Lista de Subprocesadores. Si el Cliente no aprueba un nuevo Subprocesador después de recibir la notificación de dicha adición, y el Cliente envía un aviso por escrito a la Compañía que incluya una explicación de por qué no aprueba al nuevo Subprocesador dentro del período de cinco (5) días antes de que la Compañía utilice el nuevo Subprocesador para proporcionar los Servicios, el Cliente podrá terminar los Servicios afectados mediante un aviso por escrito a la Compañía.

4. Seguridad

Actualizaciones de las Medidas de Seguridad.

El Cliente es responsable de revisar la información proporcionada por la Compañía relacionada con la seguridad de los datos y de tomar una determinación independiente sobre si los Servicios cumplen con los requisitos del Cliente y las obligaciones legales bajo las Leyes de Protección de Datos Aplicables. Las medidas técnicas y organizativas mínimas de la Compañía diseñadas para proteger los Datos del Cliente están establecidas en el Anexo B (las “Medidas de Seguridad de la Información”). El Cliente reconoce que las Medidas de Seguridad de la Información están sujetas a avances y desarrollos técnicos y que la Compañía podrá actualizar o modificar las Medidas de Seguridad de la Información de vez en cuando, siempre que dichas actualizaciones y modificaciones no resulten en la degradación de la seguridad general de los Servicios adquiridos por el Cliente.

Personal.

La Compañía se asegurará de que cualquier persona autorizada por la Compañía para Procesar los Datos del Cliente (incluidos su personal, agentes y Subprocesadores autorizados) esté bajo una obligación apropiada de confidencialidad (ya sea una obligación contractual o estatutaria). Además, la Compañía tomará medidas para garantizar que cualquier persona autorizada por la Compañía para tener acceso a los Datos del Cliente no procese dichos datos, salvo por instrucciones del Cliente, a menos que esa persona esté obligada a Procesar dichos datos por las Leyes de Protección de Datos Aplicables.

Responsabilidades del Cliente.

No obstante lo anterior, el Cliente acepta que, salvo lo dispuesto en este APD, es responsable de su uso seguro de los Servicios.

Respuesta a Violación de Datos Personales.

Al tener conocimiento de una Violación de Datos Personales, la Compañía notificará al Cliente sin demora indebida y proporcionará información oportuna relacionada con la Violación de Datos Personales conforme se conozca o según lo solicite razonablemente el Cliente. La Compañía tomará rápidamente las medidas razonables para mitigar, y cuando sea posible, para remediar los efectos de cualquier Violación de Datos Personales.

5. Transferencias Internacionales

Ubicaciones de los Centros de Datos.

La Compañía podrá transferir y procesar los Datos del Cliente en cualquier lugar del mundo donde la Compañía, sus Afiliadas o sus Subprocesadores mantengan operaciones de procesamiento. La Compañía proporcionará en todo momento un nivel adecuado de protección para los Datos del Cliente procesados, de acuerdo con los requisitos de las Leyes de Protección de Datos Aplicables.

Cláusulas Modelo.

En la medida en que la Compañía procese cualquier Dato del Cliente protegido por el RGPD , las partes reconocen que la Compañía deberá considerarse como proveedora de una protección adecuada (en el sentido de la Ley de Protección de Datos Aplicable) para dichos Datos del Cliente mediante el cumplimiento de las Cláusulas Modelo. La Compañía acepta que es un “importador de datos” y el Cliente es el “exportador de datos” bajo las Cláusulas Modelo. El Anexo III de las Cláusulas Modelo solo se aplicará respecto a la transferencia de los Datos del Cliente protegidos por las Leyes de Protección de Datos del Reino Unido bajo el Acuerdo y/o que originen desde el Reino Unido.

6. Devolución o Eliminación de Datos

Tras la terminación o expiración del Acuerdo, la Compañía deberá, según la elección del Cliente y previa solicitud autenticada, devolver o, en la medida en que sea técnicamente posible, eliminar todos los Datos del Cliente que tenga en su posesión o control. No obstante lo anterior, la Compañía podrá retener los Datos del Cliente o archivar los Datos del Cliente en sus sistemas de respaldo cuando la Compañía esté obligada por la ley aplicable, por obligación contractual o regulatoria, o cuando la Compañía tenga intereses comerciales legítimos que requieran la retención de algunos o todos los Datos del Cliente. La Compañía deberá aislar y proteger de manera segura dichos Datos del Cliente de cualquier procesamiento adicional, salvo en la medida en que lo exijan la ley aplicable, obligaciones contractuales o regulatorias.

7. Cooperación

Los Servicios pueden proporcionar al Cliente una serie de controles que este puede utilizar para recuperar, corregir, eliminar o restringir los Datos del Cliente, los cuales el Cliente podrá usar para asistirlo en relación con sus obligaciones bajo las Leyes de Protección de Datos Aplicables, incluidas sus obligaciones respecto a responder a solicitudes de los interesados o autoridades de protección de datos aplicables. En la medida en que el Cliente no pueda acceder de manera independiente a los Datos del Cliente relevantes dentro de los Servicios, la Compañía deberá (a expensas del Cliente) proporcionar cooperación razonable para ayudar al Cliente a responder a cualquier solicitud de individuos o autoridades de protección de datos aplicables relacionada con el procesamiento de Datos Personales bajo el Acuerdo. En caso de que dicha solicitud sea realizada directamente a la Compañía, esta no responderá a dicha comunicación directamente sin la autorización previa del Cliente, a menos que esté legalmente obligada a hacerlo. Si la Compañía está obligada a responder a tal solicitud, notificará al Cliente de manera inmediata y le proporcionará una copia de la solicitud, a menos que esté legalmente prohibida de hacerlo.

La Compañía no divulgará los Datos del Cliente a ningún gobierno ni a un tercero, salvo que sea necesario divulgar dicha información con una orden válida y vinculante de una agencia de aplicación de la ley. Si se ve obligada a divulgar los Datos del Cliente a una agencia de la ley, la Compañía dará un aviso razonable al Cliente sobre la demanda para permitirle al Cliente buscar una orden de protección u otro remedio apropiado, a menos que esté legalmente prohibida de hacerlo.

En la medida en que la Compañía esté obligada bajo las Leyes de Protección de Datos Aplicables, esta deberá (a expensas del Cliente) proporcionar la información razonablemente solicitada sobre los Servicios para permitir que el Cliente realice evaluaciones de impacto sobre la protección de datos o consultas previas con las autoridades de protección de datos según lo exija la ley.

8. General

Cualquier reclamación presentada bajo o en relación con este ADP estará sujeta a los términos generales de la Compañía (incluidos los Términos de Servicio) según se actualicen en la página web Legal, incluidos, entre otros, las exclusiones y limitaciones establecidas en el Acuerdo. Cualquier reclamación contra la Compañía o sus Afiliadas bajo este ADP deberá presentarse únicamente contra la entidad que sea parte en el Acuerdo. En ningún caso, ninguna de las partes limitará su responsabilidad respecto a los derechos de protección de datos de cualquier individuo bajo este DPA o de otra manera. El Cliente además acepta que cualquier penalización regulatoria que la Compañía incurra en relación con los Datos del Cliente que surjan como resultado de, o en conexión con, el incumplimiento por parte del Cliente de sus obligaciones bajo este ADP o cualquier Ley de Protección de Datos Aplicable contará como responsabilidad de la Compañía bajo el Acuerdo y reducirá dicha responsabilidad de la Compañía como si fuera una responsabilidad hacia el Cliente bajo el Acuerdo.

Nadie que no sea parte de este ADP , sus sucesores y cesionarios permitidos, tendrá derecho a hacer cumplir alguno de sus términos. Este ADP se regirá e interpretará de acuerdo con las disposiciones de ley aplicable y jurisdicción en el Acuerdo, salvo que las Leyes de Protección de Datos Aplicables dispongan lo contrario.

Las partes acuerdan que este ADP reemplaza cualquier ADP existente (incluidas las Cláusulas Modelo, según corresponda) que las partes hayan celebrado previamente en relación con los Servicios.

Este ADP y las Cláusulas Modelo terminarán simultáneamente y de manera automática con la terminación o vencimiento del Acuerdo; sin embargo, las disposiciones que exijan la destrucción segura de Datos Personales y la retención de Datos Personales para cumplir con requisitos legales, contractuales o regulatorios sobrevivirán a la terminación o vencimiento del ADP por el tiempo mínimo necesario para cumplir con las respectivas obligaciones bajo esas disposiciones.

Excepto por los cambios realizados por este ADP , el Acuerdo permanece sin cambios y en pleno vigor y efecto. Si existe algún conflicto entre este ADP y el Acuerdo, este ADP prevalecerá en la medida de dicho conflicto.

Los Anexos de este ADP se incorporan en este ADP por referencia. Si existe algún conflicto entre este ADP y cualquier Anexo de este ADP , este ADP prevalecerá en la medida de dicho conflicto. No obstante lo anterior, si existe algún conflicto entre este ADP y las Cláusulas Modelo, las Cláusulas Modelo prevalecerán en la medida de dicho conflicto.

Las disposiciones de este ADP son divisibles. Si alguna frase, cláusula o disposición es inválida o inaplicable en su totalidad o en parte, dicha invalidez o inaplicabilidad solo afectará a esa frase, cláusula o disposición, y el resto de este ADP permanecerá en pleno vigor y efecto.