Acuerdo de procesamiento de datos

Este Acuerdo de Procesamiento de Datos («DPA«) está incorporado y forma parte de los Términos de Servicio de Adapty (como se define a continuación) celebrados entre el Cliente y Adapty que rigen el uso del Cliente y la provisión de Servicios por parte de Adapty.

El Cliente y Adapty se denominarán en adelante conjuntamente como las «Partes» e individualmente como la «Parte«. Los detalles de las Partes se establecen en el Anexo 1.

En caso de conflicto o inconsistencia con los términos de los Términos de Servicio de Adapty, este DPA tendrá precedencia sobre otros términos en los Términos de Servicio de Adapty en la medida de dicho conflicto o inconsistencia.

Los términos en mayúscula que no estén definidos de otra manera en este documento tendrán el significado que se les otorga en los Términos de Servicio de Adapty.

FONDO
El DPA, incluidos todos los Anexos, especifica las obligaciones de protección de datos de las Partes con respecto a los Datos Personales Procesados por Adapty en nombre del Cliente según se describe en el Anexo 1 de este DPA de acuerdo con la Ley de Privacidad Aplicable.

1.1. Términos de Servicio de Adapty significa los términos de servicio disponibles en https://adapty.io/terms/ o cualquier otro acuerdo escrito o electrónico entre el Cliente y Adapty.

1.2. Ley de Privacidad Aplicable significa todas las leyes, estatutos, regulaciones, ordenanzas, códigos, reglas, directrices, órdenes o cualquier otro derecho legal emitido por cualquier organismo gubernamental que rija la recolección, uso, transferencia y divulgación de Datos Personales.

1.3. Controlador de Datos significa la persona física o entidad que determina los fines y medios del Tratamiento de Datos Personales o que de otro modo está a cargo de tomar decisiones sobre el tratamiento de Datos Personales.

1.4. Procesador de Datos significa una persona natural o jurídica, o cualquier otro organismo que Procese Datos Personales en nombre del Controlador.

1.5. Solicitud de Sujeto de Datos tendrá el significado dado en la cláusula 3.2 de este DPA.

1.6. Sujeto de Datos significa la persona identificada o identificable, ya sea directa o indirectamente, a la que se refieren los Datos Personales.

1.7. GDPR significa el Reglamento del Parlamento Europeo y del Consejo de la UE No. 2016/679 sobre la protección de las personas físicas en relación con el Tratamiento de Datos Personales y sobre la libre circulación de dichos datos, y derogando la Directiva 95/46/CE.

1.8. UK GDPR significa la versión de la ley de la UE retenida del Reglamento General de Protección de Datos ((UE) 2016/679) (UE GDPR) tal como forma parte de la ley de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud de la sección 3 de la Ley de la Unión Europea (Retiro) de 2018 y conforme se enmienda por el Anexo 1 de las Regulaciones de Protección de Datos, Privacidad y Comunicaciones Electrónicas (Enmiendas, etc.) (Salida de la UE) de 2019 (SI 2019/419).

1.9. Datos Personales significa cualquier información que se refiera a una persona física identificada o identificable y que esté regulada por la Ley de Privacidad Aplicable proporcionada por el Cliente para el Tratamiento, incluyendo información sobre un individuo identificado o identificable.

1.10 Violación de Datos Personales tendrá el significado dado en la cláusula 6.1 de este DPA.

1.11. Tratamiento, procesos, y proceso significa cualquier actividad que involucre el uso de Datos Personales o según puede definir el Tratamiento, procesos o proceso la Ley de Privacidad Aplicable. Incluye cualquier operación o conjunto de operaciones que se realizan sobre datos personales o sobre conjuntos de datos personales, ya sea por medios automatizados o no, tales como recolección, grabación, organización, estructuración, almacenamiento, adaptación o modificación, recuperación, consulta, uso, divulgación por transmisión, difusión o de otro modo haciéndolos disponibles, alineación o combinación, restricción, borrado o destrucción. El Tratamiento también incluye la transferencia de Datos Personales a terceros.

1.12. Cláusulas Contractuales Estándar (SCC) significa las cláusulas contractuales estándar aprobadas por la Comisión Europea (actualizadas, enmendadas, reemplazadas o sustituidas de vez en cuando por la Comisión Europea). Si la Comisión Europea reemplaza las Cláusulas Contractuales Estándar con cláusulas contractuales estándar enmendadas o nuevas, entonces, en la medida en que la autoridad de supervisión correspondiente apruebe el uso de tales cláusulas contractuales estándar enmendadas o nuevas, las referencias aquí a «Cláusulas Contractuales Estándar» se leerán como referidas a tales cláusulas contractuales estándar enmendadas o nuevas.

1.13. Subprocesador significa un procesador de datos de terceros comprometido por Adapty, que tiene o potencialmente tendrá acceso a, o procesa Datos Personales.

1.14. Aviso de Cambio de Subprocesador tendrá el significado dado en la cláusula 4.1 de este DPA.

2.1. Roles de las partes. Las partes reconocen y acuerdan que respecto al tratamiento de datos personales, el Cliente es el Responsable y Adapty es el Encargado.

2.2. Detalles del tratamiento de datos. El objeto, la duración, la naturaleza y el propósito(s) del tratamiento de datos personales, así como el tipo de datos personales y las categorías de Sujetos de Datos se especifican en Anexo 1.

2.3. Alcance del tratamiento. Adapty se abstendrá de tratar datos personales que excedan el alcance establecido en las instrucciones documentadas razonables y habituales del Cliente, según lo indicado en los Términos de Servicio de Adapty o en este DPA, a menos que dicho tratamiento sea requerido por leyes aplicables a las que Adapty esté sujeto.

2.4. Instrucciones del cliente. Las instrucciones del Cliente para el tratamiento de datos personales deberán cumplir con la Ley de Privacidad Aplicable. El Cliente será el único responsable de la precisión, calidad y legalidad de los datos personales y de los medios por los cuales el Cliente adquirió los datos personales. Sin limitación, el Cliente será el único responsable de asegurar que tiene una base legal adecuada y el derecho para permitir el tratamiento de datos personales de acuerdo con los términos de los Términos de Servicio de Adapty y este DPA. El Cliente reconoce y acepta específicamente que su uso de los Servicios no violará los derechos de ningún Sujeto de Datos.

2.5. Base legal del tratamiento. El Cliente reconoce y acepta que los Servicios de Adapty dependen y se basan en una base legal demostrada, que deberá ser obtenida por el Cliente y en la que Adapty confía. El Cliente declara que dicha base legal existe.

2.6. Privacidad de los niños. Al tratar datos personales de niños (como se describe en la Ley de Privacidad Aplicable), el Cliente está obligado a cumplir con los requisitos adicionales establecidos por las políticas de la plataforma, regulaciones y la Ley de Privacidad Aplicable diseñadas para proteger a los niños. Algunas de estas leyes están específicamente enfocadas en los niños (como COPPA), mientras que otras son más amplias pero incluyen protecciones específicas para los niños (como GDPR y leyes regionales similares).

3.1. Respuestas a las Solicitudes de los Sujetos de Datos. El Cliente será el único responsable del cumplimiento con cualquier obligación estatutaria relacionada con solicitudes para ejercer los derechos de los Sujetos de Datos bajo la Ley de Privacidad Aplicable. Las Partes acuerdan y reconocen que Adapty no tiene la capacidad de responder a las Solicitudes de los Sujetos de Datos.

3.2. Solicitudes del Sujeto de Datos. Adapty notificará, en la medida legalmente permitida, al Cliente de manera rápida si recibe alguna solicitud de un Sujeto de Datos para ejercer los derechos del Sujeto de Datos bajo la Ley de Privacidad Aplicable (cada una, una “Solicitud de Sujeto de Datos”).
La cooperación en la implementación de los derechos del Sujeto de Datos. Adapty proporcionará asistencia razonable y oportuna (incluyendo medidas técnicas y organizativas apropiadas) al Cliente para permitir que el Cliente responda a los Datos.

3.3. Solicitud del Sujeto. Si el Cliente solicita a Adapty que asista para responder a cualquier solicitud, entonces Adapty hará, en la medida de lo posible, esfuerzos comercialmente razonables para ayudar al Cliente a responder a dicha solicitud, en la medida en que Adapty esté legalmente permitido hacerlo y se requiera la respuesta a dicha solicitud bajo la Ley de Privacidad Aplicable.

3.4. Costos. En la medida legalmente permitida, el Cliente será responsable de cualquier costo que surja de la provisión de dicha asistencia por parte de Adapty, incluidos cualquier tarifa asociada con la provisión de funcionalidades adicionales. En tales casos, Adapty te notificará de estos costos por adelantado.

4.1. Designación del Subprocesador. El Cliente autoriza a Adapty a designar Subprocesadores de acuerdo con esta sección y cualquier restricción en el DPA. El Cliente reconoce y acepta que Adapty puede contratar Subprocesadores sin el consentimiento previo del Cliente. Como condición para permitir que un Subprocesador de terceros procese Datos Personales, Adapty firmará un acuerdo por escrito con cada Subprocesador que contenga obligaciones de protección de datos que proporcionen al menos el mismo nivel de protección para los Datos Personales que los que se encuentran en este DPA. Adapty notificará al Cliente por escrito sobre cualquier cambio previsto relacionado con la adición o reemplazo de Subprocesadores antes de dichos cambios de Subprocesadores (el “Notificación de Cambio de Subprocesador”). El Cliente podrá objetar dichos cambios del Subprocesador conforme a la cláusula 4.2 de este DPA.

4.2. Lista actual de Subprocesadores. La lista actual de Subprocesadores que Adapty contrata para el Procesamiento se proporciona en el Anexo 3 de este DPA. Dentro de los diez (10) días posteriores a cualquier cambio relacionado con la adición o reemplazo de un Subprocesador, Adapty actualizará la lista de Subprocesadores en este DPA.

4.3. Responsabilidad. Con respecto a cada Subprocesador, Adapty deberá: (i) tomar medidas razonables para garantizar que el Subprocesador esté comprometido a proporcionar el nivel de protección para los Datos Personales requerido por el DPA y (ii) seguir siendo plenamente responsable ante el Cliente por el cumplimiento de las obligaciones de protección de datos del Subprocesador en caso de que este falle en cumplir tales obligaciones.

4.4. Derecho de objeción para Subprocesadores. El Cliente puede objetar razonablemente a Adapty sobre cualquier cambio previsto relacionado con la adición o reemplazo de un Subprocesador (por ejemplo, si compartir datos personales con el Subprocesador puede violar las Leyes de Protección de Datos Aplicables o debilitar las protecciones para dichos datos personales) notificando a Adapty de inmediato por escrito dentro de los diez (10) días posteriores a la recepción de la notificación de cambio de Subprocesador. Tal notificación del Cliente deberá explicar los motivos razonables de la objeción.
Si el Cliente notifica a Adapty sobre tal objeción, las Partes discutirán el tema de buena fe con miras a alcanzar una resolución comercial razonable. Si tales objeciones no pueden resolverse dentro de los quince (15) días, dado que el Procesamiento no puede continuar adecuadamente sin la participación de tal Subprocesador, Adapty tiene el derecho a rechazar el procesamiento adicional bajo este DPA y dar por terminado los Términos de Servicio de Adapty sin responsabilidad por dicha terminación.

5.1. Transferencia desde la UE. En la medida en que el procesamiento de los Datos Personales esté protegido por el GDPR, las Partes acuerdan que dicha transferencia está sujeta a las SCC, que se incorporan en este DPA por referencia y representan una parte integral del mismo. Las opciones y Anexos de las SCC se consideran completados según el Apéndice 4 de este DPA.

5.2. Transferencias desde Suiza. En la medida en que el procesamiento de los Datos Personales esté protegido por la Ley Federal de Suiza del 19 de junio de 1992 sobre Protección de Datos (“FADP”), las Partes acuerdan que dicha transferencia está sujeta a las SCC con las adaptaciones necesarias para que las SCC cumplan con la legislación suiza y, por lo tanto, sean adecuadas para garantizar un nivel adecuado de protección para las transferencias de datos desde Suiza a un tercer país de acuerdo con el Artículo 6, párrafo 2, letra a de la FADP. La lista de adaptaciones se proporciona en la cláusula 4.3 de la transferencia de datos personales a un país con un nivel inadecuado de protección de datos basada en cláusulas contractuales estándar reconocidas por fecha y contratos modelo fechados el 27 de agosto de 2021 por el Comisionado Federal de Protección de Datos e Información (disponible en https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). La Opción 2 del Caso 2 se aplicará.

5.3. Transferencias desde el Reino Unido. En la medida en que el procesamiento de los Datos Personales esté protegido por el GDPR del Reino Unido, las Partes acuerdan que dicha transferencia está sujeta al anexo de transferencia de datos internacional a las cláusulas contractuales estándar de la Comisión Europea para transferencias internacionales de datos disponibles en https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, según lo adoptado, enmendado o actualizado por la Oficina del Comisionado de Información del Reino Unido, el Parlamento o el Secretario de Estado.

6.1. Medidas técnicas y organizativas. Adapty implementará y mantendrá medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad, confidencialidad e integridad de los Datos Personales, incluyendo, según sea apropiado y aplicable, las medidas referidas en el Artículo 32 del GDPR, tal como se establece en el Anexo 2 de este DPA para proteger los Datos Personales contra:

1. destrucción accidental o ilícita, y
2. pérdida, alteración, divulgación no autorizada de, o acceso a Datos Personales (cada uno referido como la “Violación de Datos Personales”).

6.2. Control de cumplimiento. Adapty monitorea regularmente el cumplimiento de las medidas proporcionadas en el Anexo 2 de este DPA.6.3. Asistencia para garantizar el cumplimiento. Teniendo en cuenta la naturaleza del Procesamiento y los Datos Personales disponibles para Adapty, Adapty asiste al Cliente en asegurar el cumplimiento de las obligaciones conforme a los Artículos 32 a 36 del GDPR.

7.1. Notificación de violación de datos personales. Si Adapty se entera de una violación de datos personales, Adapty deberá, en la medida en que lo permita la ley, notificar al Cliente sin demora indebida por correo electrónico tan pronto como Adapty o cualquier Subprocesador tome conocimiento de una violación de datos personales que afecte a los datos personales del Cliente, y deberá proporcionar información razonable (en la medida de lo razonablemente en posesión y/o control de Adapty).

7.2. Cooperación. Adapty proporcionará cooperación teniendo en cuenta la naturaleza del Procesamiento y la información disponible para Adapty para ayudar al Cliente a cumplir con cualquier obligación de informar a los Sujetos de Datos o a las autoridades de protección de datos sobre la violación de datos personales bajo la Ley de Privacidad Aplicable. Adapty además tomará las medidas y acciones razonablemente necesarias para remediar o mitigar los efectos de la violación de datos personales y mantendrá al Cliente informado de todos los desarrollos materiales relacionados con la violación de datos personales.

8.1. Derecho del Cliente a realizar una auditoría. Adapty pone a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este DPA y permite y contribuye a las auditorías, incluidas las inspecciones, que realiza el Cliente o un auditor designado por el Cliente, en relación con el cumplimiento de las obligaciones bajo este DPA.

8.2. Cooperación de Adapty en la realización de auditorías. Adapty pondrá a disposición del Cliente toda la información, sistemas y personal razonablemente necesarios para que el Cliente o sus auditores de terceros lleven a cabo dicha auditoría, siempre que el Cliente:

8.2.1. dé un aviso con cuarenta y cinco (45) días de anticipación de las auditorías; y

8.2.2. realice su auditoría durante el horario laboral normal; y

8.2.3. tome todas las medidas razonables para evitar interrupciones innecesarias en las operaciones de Adapty. Tal auditoría deberá limitarse estrictamente al ámbito de la información relacionada con el Procesamiento de los Datos Personales.

8.3. Parámetros de la auditoría. Las Partes acordarán mutuamente el alcance, la temporalidad y la duración de la auditoría o inspección.

8.4. Confidencialidad. Todas las auditorías bajo este DPA estarán sujetas a las obligaciones de confidencialidad. El Cliente compartirá el informe completo de la auditoría con Adapty y no lo compartirá con ningún tercero excepto sus contadores y asesores legales que estén sujetos a la confidencialidad. El Cliente no utilizará dicho informe de auditoría para ningún otro propósito que no sea evaluar el cumplimiento de Adapty con este DPA.

8.5. Costos. El Cliente asumirá los costos de dicha auditoría a menos que las Partes acuerden lo contrario.

8.6. Frecuencia de auditoría. El Cliente no ejercerá su derecho de auditoría más de una vez en un período de doce (12) meses calendario, excepto:

8.6.1. si y cuando sea requerido por instrucción de una autoridad competente de protección de datos; o

8.6.2. si es necesario debido a una Violación de Datos Personales sufrida por Adapty y (o) Subprocesadores.

9.1. Adapty tomará todas las medidas razonables para garantizar la fiabilidad de cualquier personal autorizado para Procesar Datos Personales y asegurarse de que dicho personal esté sujeto a obligaciones apropiadas de confidencialidad y actúe en todo momento en cumplimiento de la Ley de Privacidad Aplicable.

10.1. Al (i) la terminación de este DPA, o (ii) a solicitud escrita del Cliente, o (iii) cuando Adapty ya no sea requerido para Procesar Datos Personales para cumplir con sus obligaciones bajo los Términos de Servicio de Adapty y este DPA, o (iv) la negativa de Adapty a Procesar bajo la cláusula 4.4 de este DPA, Adapty deberá, a discreción del Cliente, eliminar, destruir o devolver todos los Datos Personales al Cliente y destruir o devolver cualquier copia existente, excepto en la medida en que Adapty esté obligado bajo la Ley de Privacidad Aplicable a mantener una copia de los Datos Personales durante un período de tiempo especificado. Al expirar dicho período de retención, Adapty deberá eliminar o destruir inmediatamente todos los Datos Personales restantes.

10.2. En el caso de que los Datos Personales hayan sido procesados por algún Sub-procesador, Adapty deberá asegurarse de que en los casos especificados, dichos Sub-procesadores también devuelvan, eliminen o destruyan todos los Datos Personales que poseen, de acuerdo con los términos establecidos en esta sección.

11.1. “Información Personal”, “Consumidor” y otros términos en mayúsculas en esta sección 11 tendrán los significados estipulados en la Ley de Privacidad del Consumidor de California de 2018, Cal. Civ. Code §§ 1798.100 et. Seq, según enmendada de vez en cuando (“CCPA”).

11.2. Por la presente se acuerda que cualquier intercambio de Datos Personales entre las Partes se realiza exclusivamente con el fin de cumplir un Propósito Comercial y Adapty no recibe ni procesa ningún Dato Personal como contraprestación por los Servicios.

11.3. Por lo tanto, el Cliente es el único responsable de su cumplimiento con el CCPA respecto a su uso de los Servicios. Es responsabilidad y obligación exclusiva del Cliente determinar si el intercambio o la transferencia de Datos Personales de los Sujetos de Datos durante el transcurso de los Servicios constituye una Venta de Datos Personales.

11.4. Adapty no retendrá, utilizará ni divulgará Datos Personales para un propósito comercial diferente al de proporcionar los Servicios especificados en los Términos de Servicio de Adapty.

12.1. Este DPA será efectivo a partir de la fecha efectiva de los Términos del Servicio de Adapty. Este DPA permanecerá en vigor y efecto mientras los Términos del Servicio de Adapty permanezcan en vigor.

13.1. Si alguna disposición de este DPA es o se vuelve, ya sea en su totalidad o en parte, nula, ineficaz o inaplicable, entonces la validez, efectividad e inaplicabilidad de las otras disposiciones de este DPA permanecerán sin efecto.

13.2. Cualquier disposición que sea inválida, ineficaz o inaplicable será considerada, en la medida permitida por la ley, reemplazada por una disposición válida, efectiva y aplicable que refleje más de cerca la intención económica y el propósito de la disposición inválida, ineficaz o inaplicable respecto a su materia, escala, tiempo, lugar y ámbito de aplicación.

13.3. La regla mencionada anteriormente se aplicará mutatis mutandis para llenar cualquier vacío que se pueda encontrar en este DPA.

14.1. Las partes declaran explícitamente que este DPA (incluyendo los Anexos mencionados en este documento) y los documentos mencionados en este documento constituyen el acuerdo completo entre las partes y sustituyen cualquier borrador, acuerdo, compromiso, entendimiento, condición y arreglos anteriores, sin perjuicio de cualquier orden de precedencia en conflicto, de cualquier naturaleza entre las partes, ya sea por escrito o no, en relación con el objeto de este DPA.

15.1. El DPA se regirá por la ley según lo estipulado en los Términos de Servicio de Adapty.

15.2. Las Partes se someten a la elección de la jurisdicción estipulada en el Acuerdo con respecto a cualquier disputa o reclamación sin embargo que surja bajo este DPA, incluidas las disputas sobre su existencia, validez o terminación o las consecuencias de su nulidad.

16.1. En caso de conflicto o ambigüedad entre:

16.1.1. cualquier disposición del DPA y cualquier disposición de los Términos de Servicio de Adapty, prevalecerán las disposiciones del DPA;

16.1.2. cualquier disposición de este Acuerdo y cualquier SCC ejecutado, prevalecerán las disposiciones del SCC ejecutado.

3. El Anexo IA a las SCCs se considerará completado de la siguiente manera:

• el Exportador de Datos es el Cliente y los datos del Exportador son los mismos que se establecen en el Anexo 1 (Parte A) del DPA.
  Actividades relevantes para los datos transferidos bajo SCC: transferencia de Datos Personales al Importador de Datos para permitir que el Importador de Datos proporcione Servicios bajo los Términos de Servicio de Adapty.
• el Importador de Datos es Adapty y los datos de Adapty son los mismos que se establecen en el Anexo 1 (Parte A) del DPA.
  Actividades relevantes para los datos transferidos bajo SCC: recepción de Datos Personales del Exportador de Datos para proporcionar Servicios bajo los Términos de Servicio de Adapty.

4. El Anexo IB a las SCCs será el mismo que el Anexo 1 del DPA y además se incluyen los siguientes detalles para completar el Anexo IB: la frecuencia de la transferencia es continua.

5. El Anexo IC se completa de la siguiente manera: La Autoridad de Supervisión de la República de Irlanda.

6. El Anexo II a las SCCs será el mismo que el Anexo 2 del DPA.

7. El Anexo III a las SCCs será el mismo que el Anexo 3 del DPA.