Anexo De Protección De Datos

Este Anexo de Protección de Datos (en adelante, el “Anexo”) se celebra entre Novarise R&D Ltd. (en adelante, “Novarise”) y el Cliente que acepta los términos de este Anexo (en adelante, el “Cliente”).

Este Anexo entrará en vigor a partir de la Fecha de Entrada en Vigor del Anexo (según se define a continuación) y reemplazará cualquier anexo de protección de datos aplicable previamente.

Al aceptar este Anexo en nombre del Cliente/Afiliado, usted afirma y garantiza lo siguiente:

1. Ha leído y comprendido este Anexo.
2. Posee plena autoridad legal para obligarse a sí mismo o a la entidad relevante a estos Términos.
3. Usted, en nombre de la parte que representa, acepta los términos establecidos en este Anexo.

Si carece de la autoridad legal para vincular al Cliente, le rogamos que se abstenga de proceder con la acción de “Firmar/Aceptar/Optar por la Opción”.

1. Introducción

Este Anexo delinea los términos que rigen el procesamiento de los Datos Personales del Cliente por parte de Novarise, según lo establecido en el Acuerdo de Política de Privacidad ejecutado entre Novarise y el Cliente.

2. Definiciones

Términos Definidos por el Reglamento General de Protección de Datos (RGPD):

1. “Fecha de Entrada en Vigor del Anexo” se refiere a la fecha en que el Cliente hizo clic para aceptar u optar por este Anexo.
2. “País Adecuado” designa un país que la Comisión Europea considera adecuado según el Artículo 25(6) de la Directiva 95/46/CE o el Artículo 45 del RGPD.
3. “Sujeto de Datos” se refiere al individuo identificable que es el sujeto de Datos Personales.
4. “Datos Personales” abarca cualquier información dentro de los Datos del Cliente que se refiere a una persona natural identificada o identificable. Una persona identificable es alguien que puede ser identificado directa o indirectamente, en particular a través de un número de identificación o factores específicos relacionados con su identidad física, fisiológica, mental, económica, cultural o social.
5. “Procesamiento” se define según la Ley de Protección de Datos de la UE aplicable, y los términos “proceso,” “procesos” y “procesado” se interpretarán en consecuencia.
6. “Controlador de Datos” designa a la parte responsable de determinar los fines y métodos de procesamiento de Datos Personales.
7. “Procesador de Datos” significa la parte que procesa Datos Personales en nombre de o bajo la instrucción del Controlador de Datos.
8. “Mecanismo de Transferencia de Datos” representa una solución alternativa para la exportación legal de Datos del Cliente (según lo reconocido por la Ley de Protección de Datos de la UE) desde el EEE.
9. “Leyes de Protección de Datos” para una parte comprenden todas las regulaciones de privacidad, protección de datos, relacionadas con la seguridad de la información y otras aplicables a esa parte, incluyendo, cuando corresponda, la Ley de Protección de Datos de la UE.
10. “Autoridad de Protección de Datos” denota el organismo competente en la jurisdicción responsable de hacer cumplir la Ley de Protección de Datos aplicable.
11. “AEE” se refiere al Área Económica Europea, Reino Unido y Suiza.
12. “Ley de Protección de Datos de la UE” incluye:
    • a. Antes del 25 de mayo de 2018, la Directiva de la Unión Europea 95/46/CE; y b. A partir del 25 de mayo de 2018, el Reglamento de la Unión Europea 2016/679 (“RGPD”).
13. Las referencias a “instrucciones por escrito” y términos relacionados comprenden las instrucciones del Controlador de Datos para el Procesamiento de Datos del Cliente, incluyendo:
    • a. Los términos del Acuerdo y este Anexo, b. El Procesamiento facilitado por el Controlador de Datos a través del Servicio, y c. Otras instrucciones por escrito razonables del Controlador de Datos, en consonancia con los términos del Acuerdo.
14. “Contratos Modelo” se refiere a las Cláusulas Contractuales Estándar para Procesadores aprobadas por la Comisión Europea bajo la Decisión 2010/87/UE en la forma accesible en el Espacio de Trabajo de Novarise.
15. “Incidente de Seguridad” denota cualquier violación de seguridad confirmada no autorizada o ilegal que conduzca a la destrucción, pérdida, alteración, divulgación no autorizada o acceso a Datos Personales bajo el control del Procesador de Datos.
16. “Subprocesador” se refiere a cualquier Tercero contratado por el Procesador de Datos o sus afiliados para procesar Datos del Cliente de acuerdo con el Acuerdo o este Anexo.
17. “Terceros” abarca cualquier persona natural o jurídica, autoridad pública, agencia o cualquier otra entidad aparte del Sujeto de Datos, Controlador de Datos, Procesador de Datos, Subprocesadores o individuos autorizados por el Controlador de Datos o el Procesador de Datos para procesar datos directamente bajo su autoridad.

Otros términos en mayúsculas no definidos aquí tienen los significados especificados en el Acuerdo.

Términos definidos por Novarise con respecto al RGPD:

1. “Sujetos de Datos” se definen para abarcar a las personas sobre las cuales se proporcionan datos a Novarise a través de los Servicios por parte del Cliente (o bajo la dirección del Cliente).
2. “Detalles del Objeto del Procesamiento” se refiere al objeto del procesamiento de datos gobernado por este Anexo, que son los Datos del Cliente.
3. “Duración del Procesamiento” significa la duración del procesamiento de datos gobernado por este Anexo. Se extiende desde el inicio del Acuerdo hasta la terminación del Acuerdo, junto con el período desde la expiración del Acuerdo hasta la eliminación de todos los Datos del Cliente por parte de Novarise, siguiendo los términos de este Anexo.
4. “Naturaleza y Propósito del Procesamiento” describe el propósito del Procesamiento dentro del alcance de este Anexo. Este propósito implica proporcionar el Servicio al Cliente y cumplir con las obligaciones de Novarise bajo el Acuerdo (incluyendo este Anexo), o según lo acordado mutuamente por las partes.
5. “Categorías de Datos” incluyen datos relacionados con individuos proporcionados a Novarise durante el registro del Cliente, inicio de sesión, uso de productos, interacción con el sitio web y participación en anuncios.
6. “Medidas de Seguridad” son las medidas que Novarise se compromete a implementar. Estas medidas son salvaguardias técnicas y organizativas comercialmente razonables destinadas a prevenir el acceso no autorizado, uso, alteración o divulgación del Servicio o Datos del Cliente.

3. Terminación:

1. Este Anexo es un componente integral del Acuerdo. Excepto como se establece explícitamente en este Anexo, el Acuerdo permanece sin cambios y completamente efectivo. En casos de conflicto entre este Anexo y el Acuerdo, este Anexo prevalecerá en relación con el Procesamiento de Datos Personales del Cliente.
2. Todas las acciones bajo este Anexo, incluyendo, pero no limitándose al Procesamiento de Datos del Cliente, están sujetas a las limitaciones de responsabilidad aplicables especificadas en el Acuerdo.
3. Este Anexo estará sujeto a la ley aplicable y a las disposiciones de jurisdicción establecidas en el Acuerdo, a menos que las Leyes de Protección de Datos aplicables dispongan lo contrario.
4. Este Anexo y los Contratos Modelo terminarán automáticamente con la expiración o terminación del Acuerdo.

4. Alcance y aplicabilidad de este anexo:

1. Esta regulación se aplica al procesamiento de datos personales relacionados con las actividades del establecimiento de un Controlador o un Procesador en la UE.
2. Este Anexo es aplicable en la medida en que Novarise procesa Datos del Cliente originados en el EEE o de otra manera sujetos a la Ley de Protección de Datos de la UE en nombre del Cliente mientras proporciona el Servicio según el Acuerdo.

5. Rol y alcance del procesamiento:

1. En este Anexo, el Cliente asume el papel de Controlador de Datos, mientras que Novarise actúa como Procesador de Datos. Tanto el Cliente como Novarise están obligados a cumplir con las Leyes de Protección de Datos pertinentes en el cumplimiento de sus responsabilidades según lo establecido en este Anexo.
2. Los derechos de propiedad sobre los Datos del Cliente, según se establece en el Acuerdo, permanecen en manos del Cliente. A menos que el Cliente lo autorice explícitamente por escrito o lo disponga el Cliente, Novarise no tiene derechos directos o indirectos para vender, alquilar, arrendar, fusionar, mostrar, modificar, ejecutar, transferir o revelar los Datos del Cliente o cualquier obra derivada de los mismos. Novarise llevará a cabo sus acciones estrictamente de acuerdo con las instrucciones del Cliente con respecto al Procesamiento de Datos del Cliente, excepto según lo restrinjan las Leyes de Protección de Datos aplicables.
3. Cualquier instrucción adicional que se aparte del alcance del Acuerdo requerirá el consentimiento previo por escrito de ambas partes, incluyendo el acuerdo sobre cualquier tarifa adicional que deba pagar el Cliente.
4. No obstante lo anterior, el Cliente reconoce que Novarise tiene derecho a utilizar Datos Anónimos Agregados, como se describe en la Sección 4.4 del Acuerdo.
5. Novarise está prohibido de divulgar Datos del Cliente a ningún Tercero, excepto de acuerdo con las directrices del Cliente o cuando esté obligado a hacerlo por obligaciones legales. Antes de cualquier divulgación obligatoria de este tipo, Novarise tiene la obligación de informar al Cliente por escrito, en la medida permitida por las Leyes de Protección de Datos.
6. Se aclara que este Anexo no impide que Novarise transmita Datos del Cliente (incluyendo Datos Personales) según las instrucciones del Cliente a través del Servicio.

6. Subprocesamiento:

1. Las obligaciones de Novarise, según se establece en este Anexo, se extienden a sus empleados, agentes y Subprocesadores que puedan acceder a Datos Personales.
2. El Cliente otorga a Novarise la autorización para contratar Subprocesadores (incluyendo proveedores de infraestructura en la nube) para el Procesamiento de Datos Personales, bajo la condición de que Novarise:
   • Establezca un acuerdo por escrito con cada Subprocesador que imponga obligaciones de protección de datos similares a las establecidas en este Anexo; y
   • Permanezca responsable de cumplir con las obligaciones especificadas en este Anexo, así como por cualquier acción u omisión del Subprocesador que resulte en la violación de sus obligaciones por parte de Novarise.
3. La información sobre Subprocesadores, incluyendo sus roles y ubicaciones, está disponible bajo solicitud y puede ser actualizada periódicamente por Novarise, de acuerdo con este Anexo.

7. Seguridad

1. Novarise está obligado a establecer y mantener medidas de seguridad técnicas y organizativas adecuadas, de acuerdo con los estándares de seguridad de Novarise, para proteger los Datos Personales contra Incidentes de Seguridad y mantener su confidencialidad y seguridad.
2. El Cliente es responsable de revisar la información relacionada con la seguridad de datos proporcionada por Novarise. El Cliente debe evaluar de manera independiente si el Servicio cumple con sus requisitos y obligaciones legales bajo las Leyes de Protección de Datos. El Cliente reconoce que las Medidas de Seguridad pueden evolucionar con los avances tecnológicos, y Novarise puede actualizarlas o modificarlas, siempre que tales actualizaciones no comprometan la seguridad general del Servicio.
3. Novarise se asegurará de que cualquier persona autorizada por el Cliente para procesar Datos Personales (incluyendo personal, agentes y Subprocesadores) esté sujeta a una obligación contractual o estatutaria de confidencialidad apropiada.

8. Transferencia de datos:

1. Sujeto al cumplimiento de esta Sección 8, Novarise puede almacenar y procesar Datos del Cliente a nivel mundial, en ubicaciones donde Novarise, sus afiliados o Subprocesadores realicen operaciones de procesamiento de datos.
2. En los casos en que Novarise procese Datos Personales protegidos por el RGPD y/o originados en el EEE en un país fuera del EEE no designado como País Adecuado, las partes ejecutarán los Contratos Modelo.
3. Las partes reconocen a Novarise como el “importador de datos” y al Cliente como el “exportador de datos” bajo los Contratos Modelo (a pesar de la posible ubicación del Cliente fuera del EEE).
4. En caso de que Novarise opte por un Mecanismo de Transferencia Alternativo, la solución de exportación de datos establecida en la Sección8.B no se aplicará. En tales casos, el Mecanismo de Transferencia Alternativo prevalecerá, pero solo en la medida en que abarque los territorios a los que se transfieren los Datos Personales.

9. Cumplimiento regulatorio:

1. A solicitud y gasto del Cliente, Novarise asistirá razonablemente al Cliente según sea necesario para cumplir con sus obligaciones ante las autoridades regulatorias, incluyendo las Autoridades de Protección de Datos.
2. Novarise proporcionará asistencia razonable al Cliente (a expensas del Cliente) para abordar las solicitudes de individuos relacionadas con sus derechos de acceso, rectificación, borrado, restricción, portabilidad y oposición de datos. Si dichas solicitudes se dirigen a Novarise, Novarise no responderá de manera independiente sin la autorización previa del Cliente, excepto cuando lo exijan las Leyes de Protección de Datos.

10. Revisiones del procesamiento de datos:

1. A solicitud del Cliente, Novarise proporcionará respuestas por escrito a todas las consultas razonables relacionadas con el Procesamiento de Datos Personales bajo este Anexo. Estas respuestas pueden incluir respuestas a cuestionarios de seguridad y auditoría, pero solo en la medida necesaria para verificar el cumplimiento de Novarise con este Anexo.
2. Novarise proporcionará esta información dentro de los treinta (30) días siguientes a la solicitud escrita del Cliente, a menos que las autoridades reguladoras del Cliente exijan un período de notificación más corto.
3. Excepto cuando lo requieran explícitamente las Leyes de Protección de Datos, las revisiones bajo esta Sección 10:
   • Se llevarán a cabo no más frecuentemente que una vez al año durante las horas hábiles estándar de Novarise, sin interrupción de las operaciones comerciales regulares.
   • Cumplirán con las limitaciones razonables de confidencialidad y seguridad de Novarise.
   • Se llevarán a cabo a expensas del Cliente.
   • No se extenderán a ninguna información, sistemas o instalaciones relacionadas con otros clientes de Novarise o proveedores de infraestructura de terceros.
4. Cualquier dato compartido por Novarise bajo esta Sección 10 se considerará Información Confidencial de Novarise, según se define en el Acuerdo.

11. Devolución o eliminación de datos:

1. Dentro de los noventa (90) días siguientes a una solicitud del Cliente tras la terminación o expiración del Acuerdo, Novarise eliminará o devolverá, según la elección del Cliente, todos los Datos Personales de los sistemas de Novarise. Después de un período razonable después de la eliminación, a solicitud del Cliente, Novarise proporcionará una confirmación por escrito del cumplimiento de sus obligaciones de eliminación o destrucción de datos.
2. Sin embargo, el Cliente reconoce que Novarise puede estar obligado a retener Datos del Cliente según lo requieran las Leyes de Protección de Datos. Dichos datos retenidos seguirán estando sujetos a las disposiciones de este Anexo.

12. Seguridad adicional:

1. Al confirmar un Incidente de Seguridad, Novarise notificará rápidamente al Cliente, de acuerdo con las Medidas de Seguridad. Sin embargo, Novarise no está obligado a proporcionar dicha notificación si las Leyes de Protección de Datos lo prohíben, y Novarise puede retrasar dicha notificación según lo exijan las autoridades policiales y/o en vista de la necesidad de Novarise de investigar o abordar el problema antes de notificarlo.
2. Cada notificación de un Incidente de Seguridad incluirá:
   • La medida en que se ha utilizado, accedido, adquirido o divulgado Datos Personales durante el incidente, o se cree razonablemente que se ha hecho.
   • Una descripción del incidente, incluyendo su fecha y la fecha de descubrimiento, si se conoce.
   • El alcance conocido del incidente.
3. Una descripción de la respuesta de Novarise al incidente, incluyendo medidas de mitigación para reducir el daño.

Novarise tomará medidas razonables para mitigar los efectos adversos del Incidente de Seguridad y prevenir un acceso no autorizado o una divulgación adicional.

13. Cambios a los subprocesadores

Cuando se involucre a cualquier nuevo Subprocesador, Novarise informará al Cliente al menos una semana antes de que el nuevo Subprocesador procese cualquier Datos del Cliente, ya sea enviando un correo electrónico o mediante una notificación en la aplicación.

14. Cooperación adicional:

1. Cuando y donde lo exijan las Leyes de Protección de Datos, Novarise proporcionará a las Autoridades de Protección de Datos relevantes información relacionada con el Procesamiento de Datos Personales de Novarise. Novarise acuerda además que mantendrá dichos registros requeridos y, cuando sea necesario, los renovará durante el plazo de este Anexo. Cualquier cambio en el estado de Novarise al respecto será notificado al Cliente de inmediato, ya sea por correo electrónico o mediante notificaciones en la aplicación.
2. En la medida en que Novarise esté obligado por las Leyes de Protección de Datos, Novarise proporcionará (a expensas del Cliente) información razonablemente solicitada relacionada con el Servicio o consultas previas con las Autoridades de Protección de Datos para permitir al Cliente llevar a cabo evaluaciones de impacto en la protección de datos. Novarise