Anexo sobre procesamiento de datos

Naumard LTD. (»YouHodler.com») y la contraparte que acepta estos términos (»Cliente») han celebrado un acuerdo de suscripción empresarial, unas condiciones de uso de YouHodler.com, un acuerdo de suscripción de autoservicio u otro acuerdo escrito o electrónico para determinados servicios de optimización, seguridad u otros servicios de propiedad de Internet (en conjunto, los»Servicio») proporcionado por YouHodler.com (el»Acuerdo principal»). Este apéndice sobre el procesamiento de datos, forma parte del Acuerdo Principal.

Este Anexo sobre el procesamiento de datos entrará en vigor y sustituirá a cualquier término aplicable anteriormente en relación con su objeto (incluida cualquier enmienda, acuerdo o anexo sobre el procesamiento de datos relacionado con el Servicio), a partir de la fecha en que el Cliente haya hecho clic para aceptar o las partes hayan acordado de otro modo este Anexo sobre el procesamiento de datos (»Fecha de entrada en vigor de la DPA»).

Si acepta este Anexo de procesamiento de datos en nombre del Cliente, garantiza que: (a) tiene plena autoridad legal para vincular al Cliente a este Anexo de procesamiento de datos; (b) ha leído y entendido este Anexo de procesamiento de datos; y (c) acepta, en nombre del Cliente, este Anexo de procesamiento de datos. Si no tiene la autoridad legal para vincular al Cliente, no acepte este Anexo de procesamiento de datos.

Términos de procesamiento de datos

En relación con el Servicio, las partes anticipan que YouHodler.com puede procesar fuera del Espacio Económico Europeo (» EEE ») y el Reino Unido, ciertos datos personales respecto de los cuales el Cliente o cualquier miembro del Grupo de clientes puede ser un controlador o procesador de datos, según corresponda, en virtud de las leyes de protección de datos de la UE aplicables.

Las partes han acordado celebrar este DPA para garantizar que se establezcan las salvaguardias adecuadas con respecto a la protección de dichos datos personales, tal como lo exigen las leyes de protección de datos de la UE. En consecuencia, YouHodler.com se compromete a cumplir con las siguientes disposiciones con respecto a cualquier dato personal enviado por o para el Cliente a YouHodler.com o recopilado y procesado por o para el Cliente que utilice el Servicio.

1. Definiciones

1.1 En esta DPA se utilizan las siguientes definiciones:

• «País adecuado» significa un país o territorio que, según las leyes de protección de datos de la UE, reconoce que brinda una protección adecuada para los datos personales;
• «Afiliado» significa, con respecto a una parte, cualquier entidad corporativa que, directa o indirectamente, controle, esté controlada o esté bajo el control común de dicha parte (pero solo mientras exista dicho control);
• «Grupo YouHodler.com» se refiere a YouHodler.com y a cualquiera de sus afiliados;
• «Grupo de clientes» se refiere al Cliente y a cualquiera de sus Filiales establecidas o que operen en el EEE o el Reino Unido;
• «Leyes de protección de datos de la UE» se refiere a todas las leyes y reglamentos de la Unión Europea, el Espacio Económico Europeo, sus estados miembros y el Reino Unido aplicables al procesamiento de datos personales en virtud del Acuerdo principal, incluido (cuando corresponda) el GDPR;
• «RGPD» se refiere al Reglamento general de protección de datos (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos);
• «Datos personales» significa todos los datos que se definen como ' datos personales» en virtud de las leyes de protección de datos de la UE y a las que se aplican las leyes de protección de datos de la UE y que el Cliente proporciona a YouHodler.com, y YouHodler.com accede, almacena o procesa de otro modo como procesador de datos como parte de la prestación del Servicio al Cliente; y
• «procesamiento», «controlador de datos», «sujeto de datos», «autoridad supervisora» y «procesador de datos» tendrán los significados que se les atribuyen en las leyes de protección de datos de la UE.
• Una entidad «Controles» otra entidad si: (a) posee la mayoría de los derechos de voto; (b) es miembro o accionista de la misma y tiene derecho a destituir a la mayoría de su consejo de administración u órgano de gestión equivalente; (c) es miembro o accionista de la misma y controla, por sí sola o en virtud de un acuerdo con otros accionistas o miembros, la mayoría de los derechos de voto de la misma; o (d) tiene derecho a ejercer una influencia dominante sobre ella de conformidad con sus documentos constitucionales o de conformidad con un contrato; y dos entidades se consideran en «Control común» si uno controla al otro (directa o indirectamente) o ambos están controlados (directa o indirectamente) por la misma entidad.

2. Estatuto de las partes

El tipo de datos personales procesados de conformidad con esta DPA y el tema, la duración, la naturaleza y el propósito del procesamiento, y las categorías de interesados, se describen en el anexo 1.

• En relación con los datos personales, cada una de las partes garantiza que cumplirá (y se asegurará de que cualquier miembro de su personal cumpla y haga todos los esfuerzos razonables desde el punto de vista comercial para garantizar que sus subprocesadores cumplan) con las leyes de protección de datos de la UE. Entre las partes, el Cliente será el único responsable de la precisión, la calidad y la legalidad de los datos personales y de los medios por los que el cliente adquirió los datos personales.
• Con respecto a los derechos y obligaciones de las partes en virtud de esta DPA con respecto a los Datos personales, las partes reconocen y aceptan que el Cliente es el controlador o procesador de datos y que YouHodler.com es un procesador o subprocesador de datos, según corresponda, y, en consecuencia, YouHodler.com acepta que procesará todos los Datos personales de acuerdo con sus obligaciones en virtud de esta DPA.
• Si el Cliente es un procesador de datos, el Cliente garantiza a YouHodler.com que las instrucciones y acciones del Cliente con respecto a los Datos personales, incluida la designación de YouHodler.com como otro procesador y la conclusión de las cláusulas contractuales estándar (anexo 2), han sido autorizadas por el controlador correspondiente.
• Dónde y en qué medida YouHodler.com procesa los datos que se definen como 'datos personales» en virtud de las leyes de protección de datos de la UE como responsable del tratamiento de datos, tal como se establece en la Política de privacidad de YouHodler.com, YouHodler.com cumplirá con las leyes de protección de datos de la UE aplicables con respecto a ese procesamiento
• Cada parte designará a una persona dentro de su organización autorizada para responder de vez en cuando a las consultas relacionadas con los datos personales y cada parte tramitará dichas consultas con prontitud.

3. Obligaciones de YouHodler.com

Con respecto a todos los datos personales, YouHodler.com garantiza que:

1. solo procesará los Datos personales para proporcionar el Servicio y actuará únicamente de acuerdo con: (i) este DPA, (ii) las instrucciones escritas del Cliente tal como se representan en el Acuerdo principal y este DPA, y (iii) según lo exijan las leyes aplicables;
2. al tener conocimiento, informe al Cliente si, en opinión de YouHodler.com, alguna instrucción proporcionada por el Cliente en virtud de la cláusula 3.1 (a) infringe el GDPR;
3. implementar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado a los riesgos que presenta el procesamiento de los datos personales, en particular la protección contra la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilegal a los datos personales. Dichas medidas incluyen, sin carácter limitativo, las medidas de seguridad establecidas en el anexo 3;
4. tomar medidas razonables para garantizar que solo el personal autorizado tenga acceso a dichos datos personales y que cualquier persona a la que autorice a tener acceso a los datos personales tenga obligaciones de confidencialidad;
5. sin demora indebida después de tener conocimiento, notifique al Cliente cualquier violación de la seguridad que conduzca a la destrucción, pérdida, alteración o divulgación no autorizada o acceso no autorizado a los Datos personales transmitidos, almacenados o procesados de otro modo por YouHodler.com, sus subprocesadores o cualquier otro tercero identificado o no identificado (a»Violación de seguridad »);
6. proporcionar sin demora al Cliente una cooperación y asistencia razonables con respecto a una violación de seguridad y toda la información razonable en poder de YouHodler.com sobre dicha violación de seguridad en la medida en que afecte al Cliente, incluida la siguiente, en la medida en que se conozca en ese momento:
   • la posible causa y las consecuencias de la violación de seguridad para los interesados;
   • las categorías de datos personales involucradas;
   • un resumen de las posibles consecuencias para los interesados pertinentes;
   • un resumen de los destinatarios no autorizados de los datos personales; y
   • las medidas tomadas por YouHodler.com para mitigar cualquier daño;
7. no hacer ningún anuncio público sobre una violación de seguridad (a»Aviso de incumplimiento«) sin el consentimiento previo por escrito del Cliente, a menos que lo exija la ley aplicable;
8. notifique inmediatamente al Cliente si recibe una solicitud de un sujeto de datos para acceder, rectificar o borrar los datos personales de esa persona, o si un sujeto de datos se opone al procesamiento de dichos datos personales o presenta una solicitud de portabilidad de datos con respecto a dichos datos personales (cada uno de ellos un»Solicitud del sujeto de datos«). YouHodler.com no responderá a una solicitud de un interesado sin el consentimiento previo por escrito del Cliente, excepto para confirmar que dicha solicitud se refiere al Cliente, lo que el Cliente acepta por la presente. En la medida en que el Cliente no pueda atender una solicitud del interesado, YouHodler.com prestará asistencia razonable al Cliente para facilitar dicha solicitud del interesado en la medida de lo posible y de conformidad con la legislación aplicable. El cliente cubrirá todos los costes en los que incurra YouHodler.com en relación con la prestación de dicha asistencia;
9. salvo en la medida en que sea necesario para cumplir con la ley aplicable, tras la rescisión o el vencimiento del Acuerdo principal o la finalización del Servicio, YouHodler.com eliminará todos los datos personales (incluidas las copias de los mismos) procesados de conformidad con esta DPA;
10. teniendo en cuenta la naturaleza del procesamiento y la información disponible en YouHodler.com, brinde al Cliente la asistencia que este solicite razonablemente en relación con las obligaciones de YouHodler.com en virtud de las leyes de protección de datos de la UE con respecto a:
    • evaluaciones de impacto en la protección de datos (tal como se define dicho término en el GDPR);
    • notificaciones a la autoridad supervisora en virtud de las leyes de protección de datos de la UE y/o comunicaciones a los interesados por parte del Cliente en respuesta a cualquier violación de seguridad; y
    • siempre que el Cliente cubra todos los costos incurridos por YouHodler.com en relación con la prestación de dicha asistencia.

4. Subprocesamiento

1. El Cliente otorga una autorización general: (a) a YouHodler.com para designar a otros miembros del Grupo YouHodler.com como subprocesadores, y (b) a YouHodler.com y a otros miembros del Grupo YouHodler.com para designar a operadores de centros de datos externos y a proveedores subcontratados de marketing, negocios, ingeniería y atención al cliente como subprocesadores para respaldar el desempeño del Servicio.
2. YouHodler.com mantendrá una lista de subprocesadores en el sitio web YouHodler.com y añadirá los nombres de los subprocesadores nuevos y de reemplazo a la lista antes de que comiencen a subprocesar los datos personales. Si el Cliente tiene alguna objeción razonable a cualquier subprocesador nuevo o de reemplazo, notificará dichas objeciones a YouHodler.com por escrito en un plazo de diez (10) días a partir de la notificación y las partes tratarán de resolver el asunto de buena fe. Si YouHodler.com es razonablemente capaz de prestar el Servicio al Cliente de conformidad con el Acuerdo principal sin utilizar el subprocesador y decide hacerlo a su entera discreción, el Cliente no tendrá más derechos en virtud de esta cláusula 4.2 con respecto al uso propuesto del subprocesador. Si YouHodler.com exige el uso del subprocesador a su entera discreción y no puede convencer al Cliente sobre la idoneidad del subprocesador o de la documentación y las protecciones vigentes entre YouHodler.com y el subprocesador en un plazo de noventa (90) días a partir de la notificación de las objeciones por parte del Cliente, el Cliente podrá, dentro de los treinta (30) días siguientes al final del período de noventa (90) días mencionado anteriormente, rescindir el formulario de pedido y/o la inserción aplicables dentro de los treinta (30) días siguientes al final del período de noventa (90) días mencionado anteriormente Pedidos con al menos treinta (30) días de antelación por escrito, únicamente con respecto a los servicios a a lo que se refiere el procesamiento de datos personales por parte del nuevo subprocesador propuesto. Si el Cliente no se opone oportunamente a un subprocesador nuevo o de reemplazo de conformidad con esta cláusula 4.2, se considerará que el Cliente ha dado su consentimiento al subprocesador y ha renunciado a su derecho a oponerse. YouHodler.com puede utilizar un subprocesador nuevo o de reemplazo mientras esté en curso el procedimiento de objeción establecido en esta cláusula 4.2.
3. YouHodler.com se asegurará de que cualquier subprocesador al que contrate para proporcionar un aspecto del Servicio en su nombre en relación con esta DPA lo haga únicamente sobre la base de un contrato escrito que imponga a dicho subprocesador condiciones sustancialmente no menos protectoras de los datos personales que las impuestas a YouHodler.com en esta DPA (la» Términos relevantes «). YouHodler.com procurará que dicho subprocesador cumpla las Condiciones relevantes y será responsable ante el Cliente por cualquier incumplimiento por parte de dicha persona de cualquiera de las Condiciones relevantes.

5. Auditoría y registros

• YouHodler.com, de conformidad con las leyes de protección de datos de la UE, pondrá a disposición del Cliente la información que posea o controle YouHodler.com y que el Cliente pueda solicitar razonablemente con el fin de demostrar que YouHodler.com cumple con las obligaciones de los procesadores de datos en virtud de la Ley de Protección de Datos de la UE en relación con el procesamiento de datos personales.
• El Cliente puede ejercer su derecho de auditoría en virtud de las leyes de protección de datos de la UE en relación con los datos personales, a través de YouHodler.com, proporcionando:
  • un informe de auditoría que no tenga más de dieciocho (18) meses, preparado por un auditor externo independiente que demuestre que las medidas técnicas y organizativas de YouHodler.com son suficientes y están de acuerdo con un estándar de auditoría industrial aceptado; y
  • información adicional en posesión o control de YouHodler.com a una autoridad supervisora de la UE cuando solicite o requiera información adicional en relación con el procesamiento de datos personales llevado a cabo por YouHodler.com en virtud de esta DPA.

6. Transferencias de datos

1. En la medida en que el procesamiento de datos personales por parte de YouHodler.com se lleve a cabo en cualquier país fuera del EEE (excepto si se encuentra en un país adecuado), las partes acuerdan que las cláusulas contractuales estándar aprobadas por las autoridades de la UE en virtud de las leyes de protección de datos de la UE y establecidas en el anexo 2 se aplicarán con respecto a ese procesamiento, y YouHodler.com cumplirá con las obligaciones del «importador de datos» en las cláusulas contractuales estándar y el Cliente cumplirá con las obligaciones del «importador de datos» en las cláusulas contractuales estándar y el Cliente cumplirá con las obligaciones de el «exportador de datos».
2. El Cliente reconoce y acepta que la prestación del Servicio en virtud del Acuerdo principal puede requerir el procesamiento de datos personales por parte de subprocesadores en países fuera del EEE.
3. Si, en cumplimiento de esta DPA, YouHodler.com transfiere datos personales a un subprocesador ubicado fuera del EEE (sin perjuicio de la cláusula 4), YouHodler.com se asegurará, antes de dicha transferencia, de que existe un mecanismo legal para lograr la adecuación con respecto a ese procesamiento, como:
   • el requisito de que YouHodler.com ejecute o procure que el subprocesador ejecute en beneficio del Cliente las cláusulas contractuales estándar aprobadas por las autoridades de la UE en virtud de las leyes de protección de datos de la UE y establecidas en el anexo 2;
   • el requisito de que el subprocesador esté certificado en la UE-EE. UU. Marco de protección de la privacidad; o
   • la existencia de cualquier otra salvaguarda aprobada específicamente para las transferencias de datos (tal como se reconoce en las leyes de protección de datos de la UE) y/o una conclusión de adecuación de la Comisión Europea.
4. Las siguientes condiciones se aplicarán a las cláusulas contractuales estándar que figuran en el anexo 2:
   • El Cliente puede ejercer su derecho de auditoría en virtud de la cláusula 5.1 (f) de las cláusulas contractuales estándar tal como se establece en la cláusula 5.2 de esta DPA y con sujeción a los requisitos de la misma; y
   • YouHodler.com puede designar subprocesadores según lo establecido y sujeto a los requisitos de las cláusulas 4 y 6.3 de esta DPA.

7. General

1. Este DPA se entiende sin perjuicio de los derechos y obligaciones de las partes en virtud del Acuerdo Principal, que seguirá teniendo pleno vigor y efecto. En caso de conflicto entre los términos de este DPA y los términos del Acuerdo principal, prevalecerán los términos de este DPA en la medida en que el tema se refiera al procesamiento de datos personales.
2. La responsabilidad de YouHodler.com en virtud de esta DPA o en relación con ella (incluidas las cláusulas contractuales estándar establecidas en el anexo 2) está sujeta a las limitaciones de responsabilidad contenidas en el Acuerdo principal.
3. Esta DPA no confiere ningún derecho de beneficiario a terceros, está destinada únicamente a beneficiar a las partes del presente documento y a sus respectivos sucesores y cesionarios autorizados, y no beneficia a ninguna otra persona ni puede hacer cumplir ninguna de las disposiciones del presente documento.
4. Este DPA y cualquier acción relacionada con el mismo se regirán e interpretarán de acuerdo con las leyes del estado de California, sin dar efecto a ningún conflicto de principios legales. Las partes aceptan la jurisdicción personal y la competencia de los tribunales de San Francisco, California.
5. Este DPA es el acuerdo final, completo y exclusivo de las partes con respecto al tema del presente documento y reemplaza y fusiona todas las discusiones y acuerdos anteriores entre las partes con respecto a dicho tema. Salvo en lo que respecta a las declaraciones realizadas de manera fraudulenta, ninguna otra declaración o condición se aplicará ni formará parte de esta DPA. Ninguna modificación, enmienda o renuncia a ningún derecho en virtud del DPA entrará en vigor a menos que se haga por escrito y esté firmada por un firmante autorizado de cada una de las partes. Este DPA puede ejecutarse en contrapartes, cada una de las cuales se considerará original, pero todas juntas constituirán un mismo acuerdo. Cada una de las personas que firmen el presente documento declara y garantiza que está debidamente autorizada y tiene capacidad legal para ejecutar y entregar este DPA. Cada una de las partes declara y garantiza a la otra que la ejecución y entrega de este DPA, así como el cumplimiento de sus obligaciones en virtud del presente documento, han sido debidamente autorizados y que este DPA es un acuerdo válido y legalmente vinculante para cada una de las partes, exigible de conformidad con sus términos.

Anexo 1

Detalles de los datos personales y las actividades de procesamiento

1. Los datos personales comprenden: en relación con los visitantes de las propiedades en línea del Cliente, datos de identificación, datos de vida profesional, datos de vida personal, datos de conexión o datos de localización (incluidas las direcciones IP). El Cliente, sus visitantes en línea y/u otros socios también pueden subir contenido a las propiedades en línea del Cliente, que puede incluir datos personales y categorías especiales de datos, cuyo alcance es determinado y controlado por el Cliente a su entera discreción. Estas categorías especiales de datos incluyen, pero no se limitan a, información que revele los orígenes raciales o étnicos, las opiniones políticas, las creencias religiosas o filosóficas, la afiliación a sindicatos y el procesamiento de datos relacionados con la salud o la vida sexual de una persona.
2. La duración del procesamiento será: hasta (i) el vencimiento o la rescisión del Acuerdo principal, o (ii) la fecha en la que el procesamiento ya no sea necesario para que cualquiera de las partes cumpla con sus obligaciones en virtud del Acuerdo principal (en la medida en que corresponda);
3. El procesamiento comprenderá: el procesamiento necesario para proporcionar el Servicio al Cliente, de conformidad con el Acuerdo principal;
4. El (los) propósito (s) del procesamiento es/son: necesarios para la prestación del Servicio;
5. Los datos personales pueden referirse a los siguientes interesados:
   • Clientes potenciales, clientes, revendedores, referencias, socios comerciales y proveedores del Cliente (que son personas físicas);
   • Empleados o personas de contacto de los posibles clientes, clientes, revendedores, referentes, subprocesadores, socios comerciales y vendedores del Cliente (que son personas físicas);
   • Empleados, agentes, asesores y trabajadores independientes del Cliente (que son personas físicas); y/o
   • Personas físicas autorizadas por el Cliente para utilizar el Servicio.

Anexo 2

Cláusulas modelo de la UE de 2010 extraídas del anexo 2010/87/UE: cláusulas contractuales tipo de la UE para la transferencia de datos personales a procesadores de datos establecidos en terceros países que no garantizan un nivel adecuado de protección de datos

Introducción

Ambas partes han convenido en las siguientes cláusulas contractuales (las» Clausulas «) con el fin de establecer las garantías adecuadas con respecto a la protección de la privacidad y los derechos y libertades fundamentales de las personas para la transferencia por parte del exportador de datos al importador de datos de los datos personales especificados en el apéndice 1.

Términos acordados

1. Definiciones

A los efectos de las Cláusulas:

1. «datos personales», «categorías especiales de datos», «proceso/procesamiento», «controlador», «procesador», «sujeto de datos» y «autoridad supervisora»» tendrá el mismo significado que en las Leyes de protección de datos de la UE 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, sobre la protección de las personas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos;
2. la «exportador de datos» se refiere a la entidad que transfiere los datos personales;
3. la «importador de datos» se refiere al procesador que acepta recibir del exportador de datos datos personales destinados a ser procesados en su nombre después de la transferencia de acuerdo con sus instrucciones y los términos de las Cláusulas y que no está sujeto al sistema de un tercer país que garantice una protección adecuada en el sentido del artículo 25 (1) de la Ley de Protección de Datos de la UE 95/46/CE;
4. la «subprocesador» significa cualquier procesador contratado por el importador de datos o por cualquier otro subprocesador del importador de datos que acepte recibir del importador de datos o de cualquier otro subprocesador del importador de datos datos personales destinados exclusivamente a las actividades de procesamiento que se llevarán a cabo en nombre del exportador de datos después de la transferencia de acuerdo con sus instrucciones, los términos de las Cláusulas y los términos del subcontrato escrito;
5. la «ley de protección de datos aplicable» significa la legislación que protege los derechos y libertades fundamentales de las personas y, en particular, su derecho a la privacidad con respecto al procesamiento de datos personales aplicable a un controlador de datos en el Estado miembro en el que esté establecido el exportador de datos; y
6. «medidas de seguridad técnicas y organizativas» se refiere a las medidas destinadas a proteger los datos personales contra la destrucción accidental o ilegal o la pérdida accidental, la alteración, la divulgación o el acceso no autorizados, en particular cuando el procesamiento implica la transmisión de datos a través de una red, y contra cualquier otra forma ilegal de procesamiento.

2. Detalles de la transferencia

Los detalles de la transferencia y, en particular, las categorías especiales de datos personales, cuando proceda, se especifican en el Apéndice 1, que forma parte integral de las Cláusulas.

3. Cláusula de tercero beneficiario

1. El interesado puede hacer valer contra el exportador de datos esta Cláusula, la Cláusula 4.1 (b) a (i), la Cláusula 5 (a) a (e) y (g) a (j), la Cláusula 6 (1) y (2), la Cláusula 7, la Cláusula 8 (2) y las Cláusulas 9 a 12 en calidad de tercero beneficiario.
2. El interesado puede hacer valer contra el importador de datos la presente cláusula, las cláusulas 5 (a) a (e) y (g), la cláusula 6, la cláusula 7, la cláusula 8 (2) y las cláusulas 9 a 12, en los casos en que el exportador de datos haya desaparecido de hecho o haya dejado de existir legalmente, a menos que una entidad sucesora haya asumido todas las obligaciones legales del exportador de datos por contrato o por ministerio de la ley, como resultado de lo cual asume los derechos y las obligaciones del exportador de datos, en cuyo caso el interesado puede hacerlas cumplir contra dicha entidad.
3. El interesado puede hacer cumplir contra el subprocesador la presente cláusula, las cláusulas 5 (a) a (e) y (g), la cláusula 6, la cláusula 7, la cláusula 8 (2) y las cláusulas 9 a 12, en los casos en que tanto el exportador de datos como el importador de datos hayan desaparecido de hecho o hayan dejado de existir legalmente o se hayan declarado insolventes, a menos que una entidad sucesora haya asumido todas las obligaciones legales del exportador de datos por contrato o de pleno derecho como como resultado de lo cual asume los derechos y obligaciones del exportador de datos, en cuyo caso el interesado puede hacerlos valer contra dicha entidad. Dicha responsabilidad del subprocesador frente a terceros se limitará a sus propias operaciones de procesamiento en virtud de las Cláusulas.
4. Las partes no se oponen a que un interesado sea representado por una asociación u otro organismo si el interesado así lo desea expresamente y si lo permite la legislación nacional.

4. Obligaciones del exportador de datos

El exportador de datos acepta y garantiza:

1. que el procesamiento, incluida la propia transferencia, de los datos personales se ha llevado a cabo y se seguirá realizando de conformidad con las disposiciones pertinentes de la ley de protección de datos aplicable (y, en su caso, se ha notificado a las autoridades pertinentes del Estado miembro en el que está establecido el exportador de datos) y no infringe las disposiciones pertinentes de ese Estado;
2. que ha dado instrucciones y, durante toda la duración de los servicios de procesamiento de datos personales, dará instrucciones al importador de datos para que procese los datos personales transferidos únicamente en nombre del exportador de datos y de conformidad con la ley de protección de datos aplicable y las Cláusulas;
3. que el importador de datos ofrecerá garantías suficientes con respecto a las medidas de seguridad técnicas y organizativas especificadas en el apéndice 2 del presente contrato;
4. que, tras evaluar los requisitos de la ley de protección de datos aplicable, las medidas de seguridad son adecuadas para proteger los datos personales contra la destrucción accidental o ilegal o la pérdida accidental, la alteración, la divulgación o el acceso no autorizados, en particular cuando el procesamiento implica la transmisión de datos a través de una red, y contra cualquier otra forma ilegal de procesamiento, y que estas medidas garantizan un nivel de seguridad adecuado a los riesgos que presenta el procesamiento y a la naturaleza de los datos que deben protegerse, teniendo en cuenta el estado de el arte y el costo de su implementación;
5. que garantizará el cumplimiento de las medidas de seguridad;
6. que, si la transferencia involucra categorías especiales de datos, se ha informado o se le informará al interesado antes o tan pronto como sea posible después de la transferencia de que sus datos podrían transmitirse a un tercer país que no brinde la protección adecuada en el sentido de las Leyes de Protección de Datos de la UE 95/46/CE;
7. enviar cualquier notificación recibida del importador de datos o de cualquier subprocesador de conformidad con la cláusula 5 (b) y la cláusula 8 (3) a la autoridad supervisora de protección de datos si el exportador de datos decide continuar con la transferencia o levantar la suspensión;
8. poner a disposición de los interesados que lo soliciten una copia de las Cláusulas, con la excepción del Apéndice 2, y una descripción resumida de las medidas de seguridad, así como una copia de cualquier contrato de servicios de subprocesamiento que deba celebrarse de conformidad con las Cláusulas, a menos que las Cláusulas o el contrato contengan información comercial, en cuyo caso podrá eliminar dicha información comercial;
9. que, en caso de subprocesamiento, la actividad de procesamiento la lleve a cabo de conformidad con la Cláusula 11 un subprocesador que proporcione al menos el mismo nivel de protección de los datos personales y los derechos del interesado que el del importador de datos en virtud de las Cláusulas; y
10. que garantizará el cumplimiento de la Cláusula 4 (a) a (i).

5. Obligaciones del importador de datos

El importador de datos acepta y garantiza:

1. procesar los datos personales únicamente en nombre del exportador de datos y de conformidad con sus instrucciones y las Cláusulas; si no puede garantizar dicho cumplimiento por cualquier motivo, se compromete a informar sin demora al exportador de datos de su incapacidad de cumplir, en cuyo caso el exportador de datos tiene derecho a suspender la transferencia de datos y/o rescindir el contrato;
2. que no tiene motivos para creer que la legislación que le es aplicable le impida cumplir las instrucciones recibidas del exportador de datos y sus obligaciones en virtud del contrato y que, en caso de que se produzca un cambio en esta legislación que pueda tener un efecto adverso sustancial en las garantías y obligaciones previstas en las Cláusulas, notificará sin demora el cambio al exportador de datos tan pronto como tenga conocimiento, en cuyo caso el exportador de datos tendrá derecho a suspender la transferencia de datos y/o rescindir el contrato;
3. que ha implementado las medidas de seguridad técnicas y organizativas especificadas en el apéndice 2 antes de procesar los datos personales transferidos;
4. que notificará sin demora al exportador de datos acerca de:
   • cualquier solicitud legalmente vinculante de divulgación de datos personales por parte de una autoridad policial, a menos que se prohíba lo contrario, como la prohibición penal de preservar la confidencialidad de una investigación policial;
   • cualquier acceso accidental o no autorizado; y
   • cualquier solicitud recibida directamente de los interesados sin responder a esa solicitud, a menos que se haya autorizado de otro modo a hacerlo;
5. tramitar de manera rápida y adecuada todas las consultas del exportador de datos relacionadas con el procesamiento de los datos personales objeto de la transferencia y cumplir con las recomendaciones de la autoridad supervisora con respecto al procesamiento de los datos transferidos;
6. a solicitud del exportador de datos para que someta sus instalaciones de procesamiento de datos a una auditoría de las actividades de procesamiento cubiertas por las Cláusulas, que será llevada a cabo por el exportador de datos o por un organismo de inspección compuesto por miembros independientes y que posea las calificaciones profesionales requeridas sujeto a un deber de confidencialidad, seleccionado por el exportador de datos, cuando proceda, de acuerdo con la autoridad supervisora;
7. poner a disposición del interesado, previa solicitud, una copia de las cláusulas o de cualquier contrato de subprocesamiento existente, a menos que las cláusulas o el contrato contengan información comercial, en cuyo caso podrá eliminar dicha información comercial, con la excepción del apéndice 2, que se sustituirá por una descripción resumida de las medidas de seguridad en los casos en que el interesado no pueda obtener una copia del exportador de datos;
8. que, en caso de subprocesamiento, ha informado previamente al exportador de datos y ha obtenido su consentimiento previo por escrito;
9. que los servicios de procesamiento por parte del subprocesador se llevarán a cabo de conformidad con la Cláusula 11;
10. enviar sin demora una copia de cualquier acuerdo de subprocesador que celebre en virtud de las Cláusulas al exportador de datos.

6. Responsabilidad

1. Las partes acuerdan que cualquier sujeto de datos que haya sufrido daños como resultado del incumplimiento de las obligaciones mencionadas en la Cláusula 3 o en la Cláusula 11 por parte de cualquier parte o subprocesador tiene derecho a recibir una compensación del exportador de datos por los daños sufridos.
2. Si un interesado no puede presentar una reclamación de indemnización de conformidad con el párrafo 1 contra el exportador de datos, como consecuencia del incumplimiento por parte del importador de datos o su subprocesador de cualquiera de sus obligaciones a las que se hace referencia en la cláusula 3 o en la cláusula 11, porque el exportador de datos ha desaparecido de hecho o ha dejado de existir legalmente o se ha declarado insolvente, el importador de datos acepta que el interesado pueda presentar una reclamación contra el importador de datos como si se tratara de el exportador de datos, a menos que alguna entidad sucesora haya asumido todas las obligaciones legales de los datos exportador por contrato o por aplicación de la ley, en cuyo caso el interesado puede hacer valer sus derechos contra dicha entidad. El importador de datos no puede basarse en el incumplimiento de sus obligaciones por parte de un subprocesador para eludir sus propias responsabilidades.
3. ‍ Si un interesado no puede presentar una reclamación contra el exportador de datos o el importador de datos a que se refieren los párrafos 1 y 2, como consecuencia del incumplimiento por parte del subprocesador de cualquiera de sus obligaciones a las que se hace referencia en la cláusula 3 o en la cláusula 11 porque tanto el exportador de datos como el importador de datos han desaparecido de hecho o han dejado de existir legalmente o se han declarado insolventes, el subprocesador acepta que el interesado pueda presentar una reclamación contra el subprocesador procesador con respecto a sus propias operaciones de procesamiento en virtud de las Cláusulas como si fuera el exportador de datos o el importador de datos, a menos que una entidad sucesora haya asumido todas las obligaciones legales del exportador o importador de datos por contrato o por aplicación de la ley, en cuyo caso el interesado puede hacer valer sus derechos contra dicha entidad. La responsabilidad del subprocesador se limitará a sus propias operaciones de procesamiento en virtud de las Cláusulas.

7. Mediación y jurisdicción

1. El importador de datos acepta que si el interesado invoca en su contra los derechos de terceros beneficiarios y/o reclama una indemnización por los daños y perjuicios en virtud de las Cláusulas, el importador de datos aceptará la decisión del interesado:
   • remitir la controversia a una mediación, por parte de una persona independiente o, en su caso, de la autoridad supervisora;
   • remitir la controversia a los tribunales del Estado miembro en el que esté establecido el exportador de datos.
2. Las partes acuerdan que la elección realizada por el interesado no perjudicará sus derechos sustantivos o procesales a interponer recursos de conformidad con otras disposiciones de la legislación nacional o internacional.

8. Cooperación con las autoridades supervisoras

1. El exportador de datos se compromete a depositar una copia de este contrato ante la autoridad supervisora si así lo solicita o si dicho depósito es obligatorio en virtud de la ley de protección de datos aplicable.
2. Las partes acuerdan que la autoridad supervisora tiene derecho a realizar una auditoría del importador de datos y de cualquier subprocesador, que tenga el mismo alcance y esté sujeta a las mismas condiciones que se aplicarían a una auditoría del exportador de datos en virtud de la ley de protección de datos aplicable.
3. El importador de datos informará sin demora al exportador de datos sobre la existencia de legislación aplicable a él o a cualquier subprocesador que impida la realización de una auditoría del importador de datos o de cualquier subprocesador, de conformidad con el párrafo 2. En tal caso, el exportador de datos tendrá derecho a tomar las medidas previstas en la cláusula 5 (b).

9. Ley aplicable

Las cláusulas se regirán por las leyes del Estado miembro en el que esté establecido el exportador de datos.

10. Variación del contrato

Las partes se comprometen a no variar ni modificar las Cláusulas. Esto no impide que las partes añadan cláusulas sobre cuestiones relacionadas con la empresa cuando sea necesario, siempre que no contradigan la Cláusula.

11. Subprocesamiento

1. El importador de datos no subcontratará ninguna de sus operaciones de procesamiento realizadas en nombre del exportador de datos en virtud de las Cláusulas sin el consentimiento previo por escrito del exportador de datos. Cuando el importador de datos subcontrate sus obligaciones en virtud de las Cláusulas, con el consentimiento del exportador de datos, lo hará únicamente mediante un acuerdo por escrito con el subprocesador que imponga al subprocesador las mismas obligaciones que las que se imponen al importador de datos en virtud de las Cláusulas. Si el subprocesador no cumple con sus obligaciones de protección de datos en virtud de dicho acuerdo escrito, el importador de datos seguirá siendo plenamente responsable ante el exportador de datos por el cumplimiento de las obligaciones del subprocesador en virtud de dicho acuerdo.
2. El contrato previo por escrito entre el importador de datos y el subprocesador también incluirá una cláusula de tercero beneficiario, tal como se establece en la cláusula 3, para los casos en que el interesado no pueda presentar la reclamación de compensación a la que se refiere el párrafo 1 de la cláusula 6 contra el exportador de datos o el importador de datos porque han desaparecido de hecho, han dejado de existir legalmente o se han declarado insolventes y ninguna entidad sucesora ha asumido todas las obligaciones legales del exportador de datos o importador de datos. porteador por contrato o por aplicación de la ley. Dicha responsabilidad del subprocesador frente a terceros se limitará a sus propias operaciones de procesamiento en virtud de las Cláusulas.
3. Las disposiciones relativas a los aspectos de protección de datos para el subprocesamiento del contrato a que se refiere el apartado 1 se regirán por la legislación del Estado miembro en el que esté establecido el exportador de datos.
4. El exportador de datos mantendrá una lista de los acuerdos de subprocesamiento celebrados en virtud de las Cláusulas y notificados por el importador de datos de conformidad con la Cláusula 5.1 (j), que se actualizará al menos una vez al año. La lista estará a disposición de la autoridad supervisora de protección de datos del exportador de datos.

12. Obligación tras la finalización de los servicios de procesamiento de datos personales

1. Las partes acuerdan que, una vez finalizada la prestación de los servicios de procesamiento de datos, el importador de datos y el subprocesador devolverán, a elección del exportador de datos, todos los datos personales transferidos y sus copias al exportador de datos o destruirán todos los datos personales y certificarán al exportador de datos que lo ha hecho, a menos que la legislación impuesta al importador de datos le impida devolver o destruir la totalidad o parte de los datos personales transferidos. En ese caso, el importador de datos garantiza que garantizará la confidencialidad de los datos personales transferidos y que ya no procesará activamente los datos personales transferidos.
2. El importador de datos y el subprocesador garantizan que, a solicitud del exportador de datos y/o de la autoridad supervisora, someterán sus instalaciones de procesamiento de datos a una auditoría de las medidas mencionadas en el párrafo 1.

Apéndice 1

a las cláusulas contractuales estándar

Este Apéndice forma parte de las Cláusulas y las partes deben cumplimentarlo y firmarlo.

Los Estados miembros podrán completar o especificar, de acuerdo con sus procedimientos nacionales, cualquier información adicional necesaria que deba figurar en este apéndice.

Exportador de datos

El exportador de datos es (especifique brevemente sus actividades relacionadas con la transferencia):

La contraparte acepta estos términos y todas las filiales de dicha entidad establecidas en el EEE que hayan adquirido servicios de YouHodler.com o sus filiales.

Importador de datos

El importador de datos es (especifique brevemente las actividades relacionadas con la transferencia):

YouHodler.com, que procesa los datos personales siguiendo las instrucciones del exportador de datos de acuerdo con los términos del acuerdo entre el exportador de datos y YouHodler.com.

Sujetos de datos

Los datos personales transferidos se refieren a las siguientes categorías de sujetos de datos (especifíquese):

El exportador de datos puede enviar datos personales a YouHodler.com y sus filiales, cuyo alcance es determinado y controlado por el exportador de datos a su entera discreción, y que pueden incluir, entre otros, datos personales relacionados con las siguientes categorías de sujetos de datos:

• Clientes potenciales, clientes, revendedores, remitentes, socios comerciales y proveedores del exportador de datos (que son personas físicas);
• Empleados o personas de contacto de los posibles clientes, clientes, revendedores, referentes, subcontratistas, socios comerciales y vendedores del exportador de datos (que son personas físicas);
• Empleados, agentes, asesores y trabajadores independientes del exportador de datos (que son personas físicas); y/o
• Personas físicas autorizadas por el exportador de datos para utilizar los servicios proporcionados por Naumard LTD al exportador de datos.

Categorías de datos

Los datos personales transferidos se refieren a las siguientes categorías de datos (especifíquese):

El exportador de datos puede enviar datos personales a Naumard LTD y sus filiales, cuyo alcance es determinado y controlado por el exportador de datos a su entera discreción, y que pueden incluir, entre otros, las siguientes categorías de datos personales:

• Nombres, cargos, cargo, empleador, información de contacto (correo electrónico, teléfono, fax, dirección física, etc.), datos de identificación, datos de vida profesional, datos de vida personal, datos de conexión o datos de localización (incluidas las direcciones IP).

Categorías especiales de datos (si procede)

Los datos personales transferidos se refieren a las siguientes categorías especiales de datos (especifíquese):

El exportador de datos puede enviar categorías especiales de datos a YouHodler.com y sus filiales, cuyo alcance es determinado y controlado por el exportador de datos a su entera discreción. Estas categorías especiales de datos incluyen, pero no se limitan a, los datos personales con información que revela el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la afiliación a sindicatos y el procesamiento de datos relacionados con la salud o la vida sexual de una persona.

Operaciones de procesamiento

Los datos personales transferidos estarán sujetos a las siguientes actividades básicas de procesamiento (especifique):

El objetivo del procesamiento de datos personales por parte de YouHodler.com es proporcionar el Servicio, de conformidad con el Acuerdo principal.

Apéndice 2

a las cláusulas contractuales estándar

Este Apéndice forma parte de las Cláusulas y las partes deben cumplimentarlo y firmarlo.

Descripción de las medidas de seguridad técnicas y organizativas implementadas por el importador de datos de conformidad con las cláusulas 4 (d) y 5 (c) (o el documento/legislación adjunto):

Véase el anexo 3 de la DPA.

Apéndice 3

Medidas de seguridad

1. El importador/subprocesador de datos ha implementado y mantendrá un programa de seguridad de acuerdo con los estándares de la industria.
2. Más específicamente, el programa de seguridad del importador/subprocesador de datos incluirá:

Control de acceso a las áreas de procesamiento

El importador/subprocesador de datos implementa las medidas adecuadas para evitar que personas no autorizadas accedan al equipo de procesamiento de datos (es decir, teléfonos, servidores de bases de datos y aplicaciones y hardware relacionado) donde se procesan o utilizan los datos personales, lo que incluye:

• establecer áreas de seguridad;
• protección y restricción de las rutas de acceso;
• establecer autorizaciones de acceso para empleados y terceros, incluida la documentación respectiva;
• todos los accesos al centro de datos donde se alojan los datos personales se registran, supervisan y rastrean; y
• el centro de datos donde se alojan los datos personales está protegido por un sistema de alarma de seguridad y otras medidas de seguridad apropiadas.

Control de acceso a los sistemas de procesamiento de datos

El importador/subprocesador de datos implementa las medidas adecuadas para evitar que personas no autorizadas utilicen sus sistemas de procesamiento de datos, que incluyen:

• uso de tecnologías de cifrado adecuadas;
• identificación del terminal y/o del usuario del terminal ante el importador/subprocesador de datos y los sistemas de procesamiento;
• bloqueo temporal automático del terminal de usuario si se deja inactivo; se requieren una identificación y una contraseña para volver a abrir;
• bloqueo temporal automático de la identificación de usuario cuando se introducen varias contraseñas erróneas, archivo de registro de eventos, monitoreo de intentos de robo (alertas); y
• todo el acceso al contenido de los datos se registra, monitorea y rastrea.

Control de acceso para usar áreas específicas de los sistemas de procesamiento de datos

El importador/subprocesador de datos se compromete a que las personas con derecho a usar su sistema de procesamiento de datos solo puedan acceder a los datos dentro del alcance y en la medida en que lo permita su respectivo permiso de acceso (autorización) y a que los datos personales no se puedan leer, copiar, modificar o eliminar sin autorización. Esto se logrará mediante diversas medidas, entre las que se incluyen:

• políticas y formación de los empleados con respecto a los derechos de acceso de cada empleado a los datos personales;
• asignación de terminales individuales y/o usuarios de terminales y características de identificación exclusivas para funciones específicas;
• capacidad de supervisión con respecto a las personas que eliminan, añaden o modifican los datos personales;
• la divulgación de datos solo a las personas autorizadas, incluida la asignación de funciones y derechos de acceso diferenciados;
• el uso de tecnologías de cifrado adecuadas; y
• control de archivos, destrucción controlada y documentada de datos.

Control de disponibilidad

El importador/subprocesador de datos implementa las medidas adecuadas para garantizar que los datos personales estén protegidos contra la destrucción o pérdida accidental, que incluyen:

• redundancia de infraestructura; y
• la copia de seguridad se almacena en un sitio alternativo y está disponible para su restauración en caso de fallo del sistema principal.

Control de transmisión

El importador/subprocesador de datos implementa las medidas adecuadas para evitar que partes no autorizadas lean, copien, alteren o eliminen los datos personales durante la transmisión de los mismos o durante el transporte de los medios de datos. Esto se logra mediante varias medidas, entre las que se incluyen:

• uso de tecnologías adecuadas de firewall, VPN y cifrado para proteger las pasarelas y tuberías a través de las cuales viajan los datos;
• ciertos datos altamente confidenciales de los empleados (por ejemplo, información de identificación personal, como números de identificación nacional, números de tarjetas de crédito o débito) también están cifrados en el sistema; y
• proporcionar alertas al usuario en caso de que la transferencia de datos esté incompleta (verificación de principio a fin); y
• en la medida de lo posible, todas las transmisiones de datos se registran, supervisan y rastrean.

Control de entrada

El importador/subprocesador de datos implementa medidas de control de entrada adecuadas, que incluyen:

• una política de autorización para la entrada, lectura, modificación y eliminación de datos;
• autenticación del personal autorizado;
• medidas de protección para la entrada de datos en la memoria, así como para la lectura, modificación y eliminación de los datos almacenados;
• utilización de credenciales o códigos de autenticación únicos (contraseñas);
• disponer que las entradas a las instalaciones de procesamiento de datos (las salas que albergan el hardware informático y el equipo relacionado) se mantengan cerradas;
• cierre automático de sesión de las identificaciones de usuario que no se hayan utilizado durante un período de tiempo considerable; y
• prueba acreditativa de la autorización de entrada establecida en la organización del importador/subprocesador de datos; y
• registro electrónico de las entradas.

Separación del procesamiento para diferentes propósitos

El importador/subprocesador de datos implementa las medidas adecuadas para garantizar que los datos recopilados para diferentes propósitos se puedan procesar por separado, que incluyen:

• el acceso a los datos se separa mediante la seguridad de la aplicación para los usuarios correspondientes;
• los módulos de la base de datos del importador/subprocesador de datos separan los datos que se utilizan para qué fin, es decir, por funcionalidad y función;
• a nivel de base de datos, los datos se almacenan en diferentes tablas normalizadas, separadas por módulo, por cliente controlador o función que admiten; y
• las interfaces, los procesos por lotes y los informes están diseñados únicamente para fines y funciones específicos, por lo que los datos recopilados para fines específicos se procesan por separado.

Documentación

El importador/subprocesador de datos conservará la documentación de las medidas técnicas y organizativas en caso de auditorías y para la conservación de las pruebas. El importador o subprocesador de datos tomará las medidas razonables para garantizar que sus empleados y otras personas del lugar de trabajo en cuestión conozcan y cumplan las medidas técnicas y organizativas establecidas en el presente apéndice 2.

Monitorización

El importador/subprocesador de datos implementará las medidas adecuadas para supervisar las restricciones de acceso a los administradores de sistemas del importador/subprocesador de datos y garantizar que actúan de acuerdo con las instrucciones recibidas. Esto se logra mediante diversas medidas, entre las que se incluyen:

• nombramiento individual de administradores de sistemas;
• la adopción de medidas adecuadas para registrar los registros de acceso de los administradores del sistema a la infraestructura y mantenerlos seguros, precisos y sin modificaciones durante al menos seis meses;
• auditorías anuales de la actividad de los administradores del sistema para evaluar el cumplimiento de las tareas asignadas, las instrucciones recibidas por el importador/subprocesador de datos y las leyes aplicables;
• mantener una lista actualizada con los detalles de identificación de los administradores del sistema (por ejemplo, nombre, apellidos, función o área organizativa) y las tareas asignadas y proporcionarla rápidamente al exportador de datos si lo solicita.

Naumard LTD., Anexo sobre procesamiento de datos, versión 1.0