Acuerdo de Tratamiento de Datos

El presente Acuerdo de Tratamiento de Datos («DPA») forma parte de los Términos del Servicio de Adapty (según se definen más adelante) suscritos entre el Cliente y Adapty, que rigen el uso y la prestación de los servicios de Adapty por parte del Cliente.

En lo sucesivo, el Cliente y Adapty se denominarán conjuntamente las «Partes» e, individualmente, una «Parte». Los datos de las Partes figuran en el Anexo 1.

En caso de conflicto o incoherencia con lo dispuesto en los Términos del Servicio de Adapty, el presente DPA prevalecerá sobre las demás disposiciones de los Términos del Servicio de Adapty en la medida de dicho conflicto o incoherencia.

Los términos en mayúscula que no se definan de otro modo en el presente documento tendrán el significado que se les atribuye en los Términos del Servicio de Adapty.

El presente DPA, incluidos todos sus Anexos, establece las obligaciones de las Partes en materia de protección de datos respecto de los Datos Personales tratados por Adapty por cuenta del Cliente, según se describe en el Anexo 1 del presente DPA y de conformidad con la Legislación de Privacidad Aplicable.

1.1. Términos del Servicio de Adapty significa los términos del servicio disponibles en https://adapty.io/terms/ u otro acuerdo escrito o electrónico entre el Cliente y Adapty.

1.2. Legislación de privacidad aplicable significa todas las leyes, normas, reglamentos, ordenanzas, códigos, reglas, directrices, órdenes o cualquier otra obligación legal dictada por una autoridad pública que regule la recogida, el uso, la transferencia y la comunicación de Datos Personales.

1.3. Responsable del Tratamiento significa la persona física u organización que determina los fines y los medios del tratamiento de los Datos Personales o que, de otro modo, es responsable de adoptar las decisiones relativas al tratamiento de los Datos Personales.

1.4. Encargado del Tratamiento significa la persona física o jurídica u otro organismo que trata Datos Personales por cuenta del Responsable del Tratamiento.

1.5. Solicitud del Interesado tendrá el significado establecido en el apartado 3.2 del presente DPA.

1.6. Interesado significa la persona física identificada o identificable, directa o indirectamente, a la que se refieren los Datos Personales.

1.7. RGPD significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE.

1.8. RGPD del Reino Unido significa la versión conservada del Reglamento General de Protección de Datos de la UE ((UE) 2016/679) (RGPD de la UE) tal como forma parte del Derecho de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud del artículo 3 de la European Union (Withdrawal) Act 2018 y en su versión modificada por el anexo 1 de las Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419).

1.9. Datos personales significa cualquier información relativa a una persona física identificada o identificable que esté sujeta a la Legislación de Privacidad Aplicable y que el Cliente facilite para su tratamiento, incluida la información relativa a una persona identificada o identificable.

1.10. Violación de la Seguridad de los Datos Personales tendrá el significado de toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales, o la comunicación o el acceso no autorizados a dichos datos.

1.11. Tratamiento, trata y un tratamiento significan cualquier actividad que implique el uso de Datos Personales o lo que establezca la Legislación de Privacidad Aplicable en relación con el tratamiento, los tratamientos o un tratamiento. Esto incluye cualquier operación o conjunto de operaciones realizadas sobre Datos Personales o sobre conjuntos de Datos Personales, ya sea por procedimientos automatizados o no, como la recogida, el registro, la organización, la estructuración, la conservación, la adaptación o modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de habilitación de acceso, el cotejo o la interconexión, la limitación, la supresión o la destrucción. El Tratamiento incluye asimismo la transferencia de Datos Personales a terceros.

1.12. Cláusulas Contractuales Tipo (CCT) significa las cláusulas contractuales tipo aprobadas por la Comisión Europea (según sean actualizadas, modificadas, sustituidas o derogadas por la Comisión Europea a lo largo del tiempo). Si la Comisión Europea sustituye las Cláusulas Contractuales Tipo por cláusulas contractuales tipo modificadas o nuevas, en la medida en que la autoridad de control competente apruebe el uso de dichas cláusulas modificadas o nuevas, las referencias del presente documento a las «Cláusulas Contractuales Tipo» se entenderán hechas a dichas cláusulas contractuales tipo modificadas o nuevas.

1.13. Subencargado del Tratamiento significa el encargado del tratamiento tercero contratado por Adapty que tenga o pueda llegar a tener acceso a Datos Personales, o que los trate.

1.14. Aviso de Cambio de Subencargado tendrá el significado establecido en la cláusula 4.1 del presente DPA.

2.1. Funciones de las Partes. Las Partes reconocen y acuerdan que, respecto del tratamiento de datos personales, el Cliente es el responsable del tratamiento y Adapty es el encargado del tratamiento.

2.2. Detalles del tratamiento de datos. El objeto, la duración, la naturaleza y la(s) finalidad(es) del tratamiento de Datos Personales, así como el tipo de Datos Personales y las categorías de interesados, se especifican en el Anexo 1.

2.3. Alcance del tratamiento. Adapty se abstendrá de tratar los Datos Personales más allá de las indicaciones razonables y habituales establecidas por el Cliente, según se especifica en los Términos del Servicio de Adapty o en el presente DPA, salvo que dicho tratamiento venga exigido por la legislación aplicable a la que Adapty esté sujeta.

2.4. Instrucciones del Cliente. Las instrucciones del Cliente para el tratamiento de Datos Personales deberán cumplir la normativa de privacidad aplicable. El Cliente es el único responsable de la exactitud, la calidad y la licitud de los Datos Personales, así como de los medios por los que el Cliente los obtiene. Sin carácter limitativo, el Cliente será el único responsable de garantizar que existe una base jurídica adecuada y el derecho a tratar los Datos Personales conforme a lo dispuesto en los Términos del Servicio de Adapty y en el presente DPA. El Cliente reconoce y acepta expresamente que su uso de los Servicios no vulnerará los derechos de ningún interesado.

2.5. Base jurídica del tratamiento. El Cliente reconoce y acepta que los Servicios de Adapty dependen y se basan en una base jurídica acreditada, que el Cliente debe obtener y en la que Adapty confía. El Cliente declara que dicha base jurídica existe.

2.6. Privacidad de los menores. Cuando trate datos personales de menores (según se describen en la legislación de privacidad aplicable), el Cliente está obligado a cumplir los requisitos adicionales establecidos por las políticas de las plataformas, los reglamentos y la legislación de privacidad aplicable dirigidos a proteger a los menores. Algunas de estas normas se dirigen específicamente a los menores (como la COPPA), mientras que otras son más amplias pero incluyen protecciones especiales para ellos (como el RGPD y normas regionales similares).

3.1. Respuestas a las solicitudes de los interesados. El Cliente es el único responsable del cumplimiento de las obligaciones legales relativas a las solicitudes de ejercicio de los derechos de los interesados conforme a la legislación de privacidad aplicable. Las partes acuerdan y reconocen que Adapty no está en condiciones de responder a las solicitudes de los interesados.

3.2. Solicitudes de los interesados.

Responsabilidad del Cliente y gestión de las Solicitudes de los Interesados. El Cliente seguirá siendo el único responsable del cumplimiento de las obligaciones legales relativas a las Solicitudes de los Interesados conforme a la Legislación de Privacidad Aplicable. El Cliente autoriza a Adapty, actuando únicamente conforme a las instrucciones documentadas del Cliente y en calidad de Encargado del Tratamiento del Cliente, a tramitar y hacer efectivas de forma automática las solicitudes de baja y las oposiciones al marketing directo recibidas directamente de los Destinatarios a través de los mecanismos de baja puestos a disposición en los Mensajes, incluso mediante la incorporación del Destinatario correspondiente a la lista de supresión del Cliente.

Salvo por lo expresamente establecido en la presente cláusula, Adapty no responderá de forma sustantiva a las Solicitudes de los Interesados por cuenta del Cliente y, en la medida en que la ley lo permita, remitirá al Interesado al Cliente y/o se lo notificará al Cliente conforme a la presente cláusula.

3.3. Solicitud del interesado. Si el Cliente solicita la asistencia de Adapty para responder a una solicitud, Adapty, en la medida de lo posible, empleará esfuerzos comercialmente razonables para ayudar al Cliente a responder a dicha solicitud, siempre que Adapty tenga derecho legal a hacerlo y que la respuesta a dicha solicitud venga exigida por la legislación de privacidad aplicable.

3.4. Costes. En la medida en que la ley lo permita, el Cliente asumirá los costes derivados de la prestación de dicha asistencia por parte de Adapty, incluidas las tarifas asociadas a la provisión de funcionalidades adicionales. En tales casos, Adapty comunicará previamente al Cliente dichos costes.

4.1. Designación de subencargados. El Cliente autoriza a Adapty a designar subencargados del tratamiento conforme a la presente sección y a las limitaciones previstas en el DPA. El Cliente reconoce y acepta que Adapty puede contratar subencargados sin el consentimiento previo del Cliente. Constituye condición para permitir que un subencargado tercero trate datos personales que Adapty celebre un contrato escrito con cada subencargado que contenga compromisos de protección de datos que garanticen, como mínimo, el mismo nivel de protección de los datos personales que el previsto en el presente DPA. Adapty notificará por escrito al Cliente cualquier cambio propuesto relativo a la incorporación o sustitución de subencargados con anterioridad a dichos cambios (en lo sucesivo, el «Aviso de Cambio de Subencargado»). El Cliente podrá oponerse a dichos cambios de subencargado conforme a la sección 4.2 del presente DPA.

4.2. Lista actual de Subencargados. La lista actual de Subencargados contratados por Adapty para el tratamiento figura en el Anexo 3 del presente DPA. Adapty actualizará la lista de Subencargados del presente DPA en un plazo de treinta (30) días desde cualquier cambio que implique la incorporación o la sustitución de un Subencargado.

4.3. Responsabilidad. Respecto de cada subencargado, Adapty deberá: (i) adoptar medidas razonables para garantizar que el subencargado quede obligado a asegurar el nivel de protección de los datos personales exigido por el DPA y (ii) seguir siendo plenamente responsable frente al Cliente del cumplimiento por parte del subencargado de sus obligaciones de protección de datos en caso de que este incumpla dichas obligaciones.

4.4. Derecho de oposición a los Subencargados. El Cliente podrá oponerse de forma razonable a cualquier cambio propuesto que implique la incorporación o la sustitución de un Subencargado (por ejemplo, si la comunicación de Datos Personales a un Subencargado pudiera infringir la normativa de protección de datos aplicable o debilitar la protección de dichos Datos Personales), notificándolo a Adapty sin demora y por escrito en un plazo de treinta (30) días desde la recepción del aviso de cambio de Subencargado. Dicha notificación del Cliente deberá exponer los motivos razonables de la oposición.
Si el Cliente notifica a Adapty tal oposición, las partes negociarán la cuestión de buena fe con el fin de alcanzar una solución comercialmente razonable. Si dichas objeciones no pueden resolverse en un plazo de quince (15) días porque el tratamiento no puede continuar adecuadamente sin la intervención de dicho Subencargado, Adapty tendrá derecho a rechazar la continuación del tratamiento conforme al presente DPA y a resolver los Términos del Servicio de Adapty sin responsabilidad alguna por dicha resolución.

5.1. Transferencias desde la UE. En la medida en que el tratamiento de Datos Personales esté protegido por el RGPD, las Partes acuerdan por el presente que dichas transferencias se rigen por las CCT, que se incorporan al presente DPA por referencia y forman parte integrante del mismo. Se considerará que las opciones y los apéndices de las CCT se han cumplimentado con arreglo al Anexo 4 del presente DPA.

5.2. Transferencias desde Suiza. En la medida en que el tratamiento de Datos Personales esté protegido por la Ley Federal suiza de Protección de Datos de 19 de junio de 1992 («FADP»), las Partes acuerdan que dichas transferencias quedarán sujetas a las CCT con las adaptaciones necesarias para que estas cumplan el Derecho suizo y resulten así idóneas para garantizar un nivel adecuado de protección en la transferencia de datos desde Suiza a un tercer país conforme al artículo 6, apartado 2, letra a, de la FADP. La lista de adaptaciones figura en el punto 4.3. para las transferencias de datos personales a un país con un nivel inadecuado de protección de datos sobre la base de las cláusulas contractuales tipo y los contratos modelo de 27 de agosto de 2021 del Comisionado Federal de Protección de Datos y Transparencia (disponibles en https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). Será de aplicación el ejemplo 2 del caso 2.

5.3. Transferencias desde el Reino Unido. En la medida en que el tratamiento de Datos Personales esté protegido por el RGPD del Reino Unido, las Partes acuerdan que dicha transferencia queda sujeta al Addendum internacional a las cláusulas contractuales tipo de la Comisión Europea para transferencias internacionales de datos, disponible en https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, tal como sea adoptado, modificado o actualizado por la Information Commissioner’s Office del Reino Unido, el Parlamento o el Secretario de Estado.

6.1. Medidas técnicas y organizativas Adapty implantará y mantendrá medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad, confidencialidad e integridad de los Datos Personales, incluidas, cuando resulten pertinentes y aplicables, las medidas previstas en el artículo 32 del RGPD, según se establece en el Anexo 2 del presente DPA, con el fin de proteger los Datos Personales frente a:

1. la destrucción accidental o ilícita, y
2. la pérdida, la alteración, la comunicación no autorizada de Datos Personales o el acceso a los mismos (cada uno de ellos, una «Violación de la Seguridad de los Datos Personales»).

6.2. Supervisión del cumplimiento. Adapty supervisa periódicamente el cumplimiento de las medidas establecidas en el Anexo 2 del presente DPA.

6.3. Asistencia para garantizar el cumplimiento. Teniendo en cuenta la naturaleza del Tratamiento y los Datos Personales de que dispone Adapty, Adapty asiste al Cliente en el cumplimiento de las obligaciones previstas en los artículos 32-36 del RGPD.

7.1. Notificación de violaciones de la seguridad de los datos personales. Si Adapty tiene conocimiento de una violación de la seguridad de los datos personales, Adapty, en la medida en que la ley lo permita, se lo notificará al Cliente sin dilación indebida por correo electrónico después de que Adapty o cualquier Subencargado tenga conocimiento de la violación que afecte a los datos personales del Cliente, y facilitará información razonable (en la medida en que esté razonablemente en conocimiento y/o bajo control de Adapty).

7.2. Cooperación. Adapty cooperará, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone Adapty, para ayudar al Cliente a cumplir las obligaciones de informar a los interesados o a las autoridades de protección de datos de una violación de la seguridad de los datos personales conforme a la Legislación de Privacidad Aplicable. Adapty adoptará asimismo las medidas y actuaciones razonablemente necesarias para eliminar o mitigar las consecuencias de la violación de la seguridad de los datos personales y mantendrá informado al Cliente de todas las novedades relevantes relacionadas con dicha violación.

8.1. Derecho del Cliente a realizar auditorías. Adapty pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente DPA y facilitará la realización de auditorías, incluidas inspecciones, por parte del Cliente o de otro auditor autorizado por el Cliente, en relación con el cumplimiento de las obligaciones derivadas del presente DPA.

8.2. Cooperación de Adapty en la realización de la auditoría. Adapty facilitará al Cliente toda la información, los sistemas y el personal razonablemente necesarios para que el Cliente o sus auditores externos lleven a cabo dicha auditoría, siempre que el Cliente:

8.2.1. lo notifique con cuarenta y cinco (45) días de antelación a la auditoría; y

8.2.2. realice la auditoría en horario laboral habitual; y

8.2.3. adopte todas las medidas razonables para evitar perturbaciones innecesarias en las operaciones de Adapty. Dichas auditorías deberán limitarse estrictamente a la información relativa al tratamiento de datos personales.

8.3. Parámetros de la auditoría. Las partes determinan de mutuo acuerdo el alcance, el calendario y la duración de la auditoría o inspección.

8.4. Confidencialidad. Todas las auditorías previstas en el presente DPA están sujetas a obligaciones de confidencialidad. El Cliente deberá compartir el informe de auditoría completo con Adapty y no podrá compartirlo con terceros distintos de sus asesores contables y jurídicos, que estarán obligados a mantener la confidencialidad. El Cliente no podrá utilizar dicho informe de auditoría para una finalidad distinta de evaluar el cumplimiento del presente DPA por parte de Adapty.

8.5. Costes. El Cliente asumirá los costes de dicha auditoría, salvo que las Partes acuerden otra cosa.

8.6. Frecuencia de las auditorías. El Cliente no podrá ejercer sus derechos de auditoría más de una vez cada doce (12) meses naturales, salvo en los siguientes casos:

8.6.1. cuando así lo exija una autoridad de protección de datos competente; o

8.6.2. cuando sea necesario en relación con una violación de la seguridad de los datos personales sufrida por Adapty y/o por los Subencargados.

9.1. Adapty adoptará todas las medidas razonables para garantizar la fiabilidad del personal autorizado a tratar datos personales y velará por que dicho personal esté sujeto a obligaciones de confidencialidad adecuadas y actúe en todo momento conforme a la legislación aplicable en materia de protección de datos.

10.1 Tras (i) la resolución del presente DPA, (ii) la solicitud escrita del Cliente, (iii) el momento en que Adapty ya no necesite tratar Datos Personales para cumplir sus obligaciones conforme a los Términos del Servicio de Adapty y al presente DPA, o (iv) la renuncia de Adapty al tratamiento conforme a la sección 4.4 del presente DPA, Adapty, a elección del Cliente, suprimirá, destruirá o devolverá al Cliente todos los Datos Personales y destruirá o devolverá las copias existentes, salvo que la Legislación de Privacidad Aplicable exija a Adapty conservar una copia de los Datos Personales durante un periodo de conservación determinado. Al expirar dicho periodo de conservación, Adapty suprimirá o destruirá sin demora todos los Datos Personales restantes.

En el caso de los perfiles de Destinatarios de Adapty Mail, la supresión se realiza desidentificando de forma irreversible los Datos Personales del perfil y marcando el perfil como suprimido. El registro resultante no puede ser utilizado razonablemente por Adapty, por sí solo o en combinación con otra información de la que disponga Adapty, para identificar o reidentificar al Destinatario correspondiente.

Las copias de seguridad se conservan y se sobrescriben conforme al ciclo estándar de rotación de copias de seguridad de Adapty.

10.2. En caso de que los Datos Personales hayan sido tratados por Contratistas, Adapty velará por que, en tales supuestos, dichos Contratistas también devuelvan, supriman o destruyan todos los Datos Personales que obren en su poder, conforme a las condiciones establecidas en la presente cláusula.

11.1. «Información Personal», «Consumidor» y los demás términos en mayúscula de la presente sección 11 tendrán el significado que se les atribuye en la Ley de Privacidad del Consumidor de California de 2018 (California Consumer Privacy Act), Cal. Civ. Code §§ 1798.100 y ss., en su versión modificada en cada momento («CCPA»).

11.2. Por la presente se acuerda que todo intercambio de datos personales entre las Partes se realiza únicamente con la finalidad de cumplir un propósito empresarial y que Adapty no recibe ni trata datos personales como contraprestación por los Servicios.

11.3. Por consiguiente, el Cliente es el único responsable del cumplimiento de la CCPA en relación con su uso de los Servicios. El Cliente es el único responsable y responde de garantizar que el intercambio o la transferencia de datos personales de los Interesados durante la prestación de los Servicios no constituya una Venta de Datos Personales.

11.4. Adapty no almacenará, utilizará ni transferirá datos personales con fines comerciales distintos de la prestación de los Servicios especificados en los Términos del Servicio de Adapty.

12.1. El presente DPA entra en vigor en la fecha especificada en los Términos del Servicio de Adapty. El presente DPA permanecerá en vigor mientras lo estén los Términos del Servicio de Adapty.

13.1. Si alguna disposición del presente DPA es o resulta ser inválida, ineficaz o inexigible, total o parcialmente, la validez, la eficacia y la exigibilidad de las demás disposiciones del presente DPA no se verán afectadas.

13.2. Toda disposición inválida, ineficaz o inexigible se considerará sustituida, en la medida en que la ley lo permita, por aquella disposición válida, eficaz y exigible que refleje del modo más aproximado la intención y la finalidad económicas de la disposición inválida, ineficaz o inexigible en cuanto a su objeto, tiempo, lugar y ámbito de aplicación.

13.3. La regla anterior se aplicará mutatis mutandis para colmar las lagunas que puedan advertirse en el presente DPA.

14.1. Las Partes declaran expresamente que el presente DPA (incluidos los anexos a los que se remite) y los documentos a los que se hace referencia en él constituyen el acuerdo íntegro entre las Partes y sustituyen a cualesquiera borradores, acuerdos, compromisos, entendimientos, condiciones y arreglos anteriores, con independencia de cualquier orden de prelación contradictorio, de cualquier naturaleza entre las Partes, consten o no por escrito, en relación con el objeto del presente DPA.

15.1. El DPA se rige por la ley conforme a lo establecido en los Términos del Servicio de Adapty.

15.2. Las Partes se someten por el presente a la jurisdicción elegida en el DPA respecto de cualesquiera controversias o reclamaciones que se deriven de cualquier modo del presente DPA, incluidas las controversias relativas a su existencia, validez o terminación, y a las consecuencias de su nulidad.

16.1. En caso de conflicto o incertidumbre entre:

16.1.1 cualquier disposición del DPA y cualquier disposición de los Términos del Servicio de Adapty, prevalecerán las disposiciones del DPA;

16.1.2. cualquier disposición del presente DPA y cualesquiera CCT firmadas, prevalecerán las disposiciones de las CCT firmadas.

3. El Anexo I.A de las CCT se considerará cumplimentado del siguiente modo:

• El exportador de datos es el Cliente, y los datos del exportador de datos son los mismos que se especifican en el Apéndice 1 (Parte A) del DPA.
  Actividades relativas a los datos transferidos en virtud de las CCT: la transferencia de Datos Personales del exportador de datos al importador de datos con el fin de permitir que el importador de datos trate dichos Datos Personales por cuenta del exportador de datos y preste los Servicios conforme a los Términos del Servicio de Adapty.
• El importador de datos es Adapty y los datos de Adapty son los mismos que los especificados en el Anexo 1 (Parte A) del DPA.
  Las actividades relativas a los datos transferidos en virtud de las CCT son: la recepción de Datos Personales del Exportador de Datos con el fin de prestar los Servicios conforme a los Términos del Servicio de Adapty.

4. El Apéndice IB de las CCT será el mismo que el Anexo 1 del DPA y, además, se incluye la siguiente información para completar el Apéndice IB: la frecuencia de la transmisión es continua.

5. El Anexo I.C se cumplimenta del siguiente modo: la autoridad de control de la República de Irlanda.

6. El Anexo II de las CCT será el mismo que el Anexo 2 del DPA.

7. El Anexo III de las CCT será el mismo que el Anexo 3 del DPA.