El presente Acuerdo de tratamiento de datos («DPA») forma parte de los Términos de servicio de Adapty (según se definen más adelante) entre el Cliente y Adapty, que regulan el uso y la prestación de los servicios de Adapty por parte del Cliente.
El Cliente y Adapty se denominarán en lo sucesivo, conjuntamente, las «Partes» e, individualmente, una «Parte». Los datos de las Partes se recogen en el Apéndice 1.
En caso de conflicto o incoherencia con las condiciones de los Términos de servicio de Adapty, el presente DPA prevalecerá sobre las demás condiciones de los Términos de servicio de Adapty en la medida de dicho conflicto o incoherencia.
Los términos escritos con mayúscula inicial que no se definan de otro modo en el presente documento tendrán el significado que se les atribuye en los Términos de servicio de Adapty.
El presente DPA, incluidos todos sus Apéndices, establece las obligaciones de las Partes en materia de protección de datos con respecto a los Datos Personales tratados por Adapty por cuenta del Cliente, según se describe en el Apéndice 1 del presente DPA, de conformidad con la Legislación de Privacidad Aplicable.
1. Definiciones
1.1. Términos de servicio de Adapty significa los términos de servicio disponibles en https://adapty.io/terms/ o cualquier otro acuerdo escrito o electrónico entre el Cliente y Adapty.
1.2. Legislación de Privacidad Aplicable significa todas las leyes, disposiciones legales, reglamentos, ordenanzas, códigos, normas, directrices, órdenes o cualquier otra obligación legal emanada de cualquier autoridad pública que regule la recogida, el uso, la transferencia y la comunicación de Datos Personales.
1.3. Responsable del Tratamiento significa la persona física u organización que determina los fines y medios del tratamiento de Datos Personales o que, de otro modo, es responsable de adoptar las decisiones relativas al tratamiento de Datos Personales.
1.4. Encargado del Tratamiento significa la persona física o jurídica u otro organismo que trata Datos Personales por cuenta del Responsable.
1.5. Solicitud del Interesado tendrá el significado establecido en el apartado 3.2 del presente DPA.
1.6. Interesado significa la persona física identificada o identificable, directa o indirectamente, a la que se refieren los Datos Personales.
1.7. GDPR significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
1.8. UK GDPR significa la versión conservada del Reglamento General de Protección de Datos de la UE ((UE) 2016/679) (EU GDPR), tal como forma parte del Derecho de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud del artículo 3 de la European Union (Withdrawal) Act 2018 y en su versión modificada por el anexo 1 de las Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419).
1.9. Datos Personales significa toda información sobre una persona física identificada o identificable que esté regulada por la Legislación de Privacidad Aplicable facilitada por el Cliente para su tratamiento, incluida la información relativa a una persona identificada o identificable.
1.10. Violación de la Seguridad de los Datos Personales tendrá el significado de toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales, o la comunicación o el acceso no autorizados a dichos datos.
1.11. Tratamiento, tratar y un tratamiento significan cualquier actividad que implique el uso de Datos Personales o según lo que establezca la Legislación de Privacidad Aplicable en relación con el tratamiento, tratar o un tratamiento. Esto incluye cualquier operación o conjunto de operaciones realizadas sobre Datos Personales o conjuntos de Datos Personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. El tratamiento también incluye la transferencia de Datos Personales a terceros.
1.12. Cláusulas Contractuales Tipo (CCT) significa las cláusulas contractuales tipo aprobadas por la Comisión Europea (en su versión actualizada, modificada, sustituida o derogada por la Comisión Europea en cada momento). Si la Comisión Europea sustituye las Cláusulas Contractuales Tipo por cláusulas contractuales tipo modificadas o nuevas, en la medida en que la autoridad de control competente apruebe el uso de dichas cláusulas contractuales tipo modificadas o nuevas, las referencias en el presente documento a las «Cláusulas Contractuales Tipo» se entenderán hechas a dichas cláusulas contractuales tipo modificadas o nuevas.
1.13. Subencargado significa un tercero encargado del tratamiento contratado por Adapty al que se ha concedido acceso a Datos Personales o que puede llegar a tenerlo, o que trata Datos Personales.
1.14. Notificación de Cambio de Subencargados tendrá el significado establecido en la cláusula 4.1 del presente DPA.
2. Tratamiento de datos personales
2.1. Funciones de las Partes
Las Partes reconocen y aceptan que, en lo que respecta al tratamiento de datos personales, el Cliente es el responsable del tratamiento y Adapty es el encargado del tratamiento.
2.2. Detalles del tratamiento de datos
El objeto, la duración, la naturaleza y la finalidad o finalidades del tratamiento de datos personales, así como el tipo de datos personales y las categorías de interesados, se especifican en el Anexo 1.
2.3. Alcance del tratamiento
Adapty se abstendrá de tratar datos personales más allá de las indicaciones razonables y habituales establecidas por el Cliente, según se especifica en los Términos de servicio de Adapty o en el presente DPA, salvo que dicho tratamiento venga exigido por la legislación aplicable a la que esté sujeta Adapty.
2.4. Instrucciones del Cliente
Las instrucciones del Cliente para el tratamiento de datos personales deberán cumplir la legislación de privacidad aplicable. El Cliente es el único responsable de la exactitud, la calidad y la licitud de los datos personales, así como de los métodos por los que el Cliente obtiene los datos personales. Sin carácter limitativo, el Cliente será el único responsable de garantizar que existe una base jurídica adecuada y el derecho a tratar datos personales de conformidad con las condiciones de los Términos de servicio de Adapty y del presente DPA. El Cliente reconoce y acepta expresamente que su uso de los Servicios no vulnerará los derechos de ningún interesado.
2.5. Base jurídica del tratamiento
El Cliente reconoce y acepta que los Servicios de Adapty dependen de una base jurídica acreditada y se fundamentan en ella, que el Cliente debe obtener y en la que Adapty se basa. El Cliente declara que dicha base jurídica existe.
2.6. Privacidad de los menores
Cuando trate datos personales de menores (según se describen en la legislación de privacidad aplicable), el Cliente está obligado a cumplir los requisitos adicionales establecidos por las políticas de las plataformas, los reglamentos y la legislación de privacidad aplicable destinados a proteger a los menores. Algunas de estas leyes se dirigen específicamente a los menores (como la COPPA), mientras que otras tienen un alcance más amplio pero incluyen protecciones especiales para los menores (como el GDPR y leyes regionales similares).
3. Solicitudes de los Interesados
3.1. Respuesta a las Solicitudes de los Interesados
El Cliente es el único responsable de cumplir cualesquiera obligaciones legales relativas a las solicitudes de ejercicio de los derechos de los interesados en virtud de la legislación de privacidad aplicable. Las partes acuerdan y reconocen que Adapty no puede responder a las solicitudes de los interesados.
3.2. Solicitudes de los Interesados
Responsabilidad del Cliente y gestión de las Solicitudes de los Interesados. El Cliente seguirá siendo el único responsable del cumplimiento de cualesquiera obligaciones legales relativas a las Solicitudes de los Interesados en virtud de la Legislación de Privacidad Aplicable. El Cliente autoriza a Adapty, actuando exclusivamente conforme a las instrucciones documentadas del Cliente y en calidad de Encargado del Cliente, a tramitar automáticamente y hacer efectivas las solicitudes de baja y las oposiciones al marketing directo recibidas directamente de los Destinatarios a través de los mecanismos de baja disponibles en los Mensajes, incluida la adición del Destinatario correspondiente a la lista de exclusión del Cliente.
Salvo lo expresamente establecido en la presente cláusula, Adapty no responderá en cuanto al fondo a las Solicitudes de los Interesados en nombre del Cliente y, en la medida en que la ley lo permita, remitirá al Interesado al Cliente y/o se lo notificará al Cliente de conformidad con la presente cláusula.
3.3. Solicitud del interesado
Si el Cliente solicita la asistencia de Adapty para responder a una solicitud, Adapty, en la medida de lo posible, realizará esfuerzos comercialmente razonables para ayudar al Cliente a responder a dicha solicitud, en la medida en que Adapty tenga derecho legal a hacerlo y la respuesta a dicha solicitud venga exigida por la legislación de privacidad aplicable.
3.4. Costes
En la medida en que la ley lo permita, el Cliente será responsable de cualesquiera costes en que se incurra como consecuencia de la prestación de dicha asistencia por parte de Adapty, incluidas las tarifas asociadas a la provisión de funcionalidades adicionales. En tales casos, Adapty notificará previamente al Cliente dichos costes.
4. Subcontratación del tratamiento
4.1. Designación de Subencargados
El Cliente autoriza a Adapty a designar subencargados de conformidad con la presente sección y con cualesquiera limitaciones previstas en el DPA. El Cliente reconoce y acepta que Adapty podrá contratar subencargados sin el consentimiento previo del Cliente. Para permitir que un subencargado tercero trate datos personales, será condición que Adapty celebre con cada subencargado un acuerdo por escrito que contenga compromisos de protección de datos que garanticen al menos el mismo nivel de protección de los datos personales que el presente DPA. Adapty notificará por escrito al Cliente cualquier cambio previsto relativo a la incorporación o sustitución de subencargados antes de que se produzcan dichos cambios de subencargados (en lo sucesivo, la «Notificación de Cambio de Subencargados»). El Cliente podrá oponerse a dichos cambios de subencargados de conformidad con la sección 4.2 del presente DPA.
4.2. Lista actual de Subencargados
La lista actual de subencargados contratados por Adapty para el tratamiento figura en el Anexo 3 del presente DPA. Adapty actualizará la lista de subencargados del presente DPA en un plazo de treinta (30) días desde cualquier cambio que implique la incorporación o sustitución de un subencargado.
4.3. Responsabilidad
Con respecto a cada subencargado, Adapty: (i) adoptará medidas razonables para garantizar que el subencargado esté obligado a asegurar el nivel de protección de los datos personales exigido por el DPA, y (ii) seguirá siendo plenamente responsable ante el Cliente del cumplimiento por parte del subencargado de sus obligaciones de protección de datos en caso de que el subencargado incumpla dichas obligaciones.
4.4. Derecho de oposición a los Subencargados
El Cliente podrá oponerse de forma razonable a cualquier cambio previsto que implique la incorporación o sustitución de un subencargado (por ejemplo, si la comunicación de datos personales a un subencargado pudiera infringir la legislación de protección de datos aplicable o debilitar la protección de dichos datos personales), notificándolo a Adapty sin demora y por escrito en un plazo de treinta (30) días desde la recepción de la notificación del cambio de subencargado. Dicha notificación del Cliente deberá exponer los motivos razonables de la oposición.
Si el Cliente notifica a Adapty dicha oposición, las partes negociarán la cuestión de buena fe con el fin de alcanzar una solución comercialmente razonable. Si dichas oposiciones no pueden resolverse en un plazo de quince (15) días debido a que el tratamiento no puede continuar adecuadamente sin la intervención de dicho subencargado, Adapty tendrá derecho a negarse a continuar con el tratamiento conforme al presente DPA y a resolver los Términos de servicio de Adapty sin incurrir en responsabilidad por dicha resolución.
5. Transferencia internacional de datos personales
5.1. Transferencias desde la UE
En la medida en que el tratamiento de Datos Personales esté protegido por el GDPR, las Partes acuerdan por la presente que dichas transferencias están sujetas a las CCT, que se incorporan al presente DPA por remisión y forman parte integrante del mismo. Las opciones y los apéndices de las CCT se considerarán cumplimentados conforme al Anexo 4 del presente DPA.
5.2. Transferencias desde Suiza
En la medida en que el tratamiento de Datos Personales esté protegido por la Ley Federal suiza de Protección de Datos, de 19 de junio de 1992 («FADP»), las Partes acuerdan por la presente que dichas transferencias estarán sujetas a las CCT con las adaptaciones necesarias para que las CCT se ajusten al Derecho suizo y resulten así idóneas para garantizar un nivel de protección adecuado en la transferencia de datos desde Suiza a un tercer país, de conformidad con el artículo 6, apartado 2, letra a, de la FADP. En el punto 4.3. figura una lista de adaptaciones para las transferencias de datos personales a un país con un nivel inadecuado de protección de datos sobre la base de las cláusulas contractuales tipo y los contratos modelo de 27 de agosto de 2021 del Comisionado Federal de Protección de Datos y de Información (disponible en https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). Será de aplicación el Ejemplo 2 del Caso 2.
5.3. Transferencias desde el Reino Unido
En la medida en que el tratamiento de Datos Personales esté protegido por el UK GDPR, las Partes acuerdan por la presente que dicha transferencia está sujeta a la Adenda Internacional a las cláusulas contractuales tipo de la Comisión Europea para las transferencias internacionales de datos, disponible en https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, en su versión adoptada, modificada o actualizada por la Oficina del Comisionado de Información del Reino Unido, el Parlamento o el Secretario de Estado.
6. Medidas técnicas y organizativas
6.1. Medidas técnicas y organizativas
Adapty aplicará y mantendrá medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad, confidencialidad e integridad de los Datos Personales, incluidas, cuando proceda y resulten aplicables, las medidas previstas en el artículo 32 del GDPR, según se establece en el Anexo 2 del presente DPA, a fin de proteger los Datos Personales frente a:
- la destrucción accidental o ilícita, y
- la pérdida, alteración, comunicación no autorizada o acceso no autorizado a los Datos Personales (cada uno de ellos, una «Violación de la Seguridad de los Datos Personales»).
6.2. Supervisión del cumplimiento
Adapty supervisa periódicamente el cumplimiento de las medidas establecidas en el Anexo 2 del presente DPA.
6.3. Asistencia para garantizar el cumplimiento
Teniendo en cuenta la naturaleza del Tratamiento y los Datos Personales de que dispone Adapty, Adapty asiste al Cliente para garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del GDPR.
7. Violación de la Seguridad de los Datos Personales
7.1. Notificación de una Violación de la Seguridad de los Datos Personales
Si Adapty tiene conocimiento de una violación de la seguridad de los datos personales, Adapty, en la medida en que la ley lo permita, la notificará al Cliente por correo electrónico sin dilación indebida una vez que Adapty o cualquier Subencargado tenga conocimiento de la violación de la seguridad de los datos personales que afecte a datos personales del Cliente, y le facilitará información razonable (en la medida en que esté razonablemente dentro del conocimiento y/o bajo el control de Adapty).
7.2. Cooperación
Adapty cooperará, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga Adapty, para ayudar al Cliente a cumplir cualesquiera obligaciones de informar a los interesados o a las autoridades de protección de datos de una violación de la seguridad de los datos personales de conformidad con la Legislación de Privacidad Aplicable. Adapty adoptará asimismo todas las medidas y actuaciones razonablemente necesarias para eliminar o mitigar las consecuencias de una violación de la seguridad de los datos personales y mantendrá informado al Cliente de toda novedad significativa relacionada con la violación de la seguridad de los datos personales.
8. Auditoría
8.1. Derecho del Cliente a realizar auditorías
Adapty pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente DPA y facilitará las auditorías, incluidas las inspecciones, realizadas por el Cliente o por otro auditor autorizado por el Cliente en relación con el cumplimiento de las obligaciones derivadas del presente DPA.
8.2. Cooperación de Adapty en la realización de una auditoría
Adapty pondrá a disposición del Cliente toda la información, los sistemas y el personal razonablemente necesarios para que el Cliente o sus auditores externos realicen dicha auditoría, siempre que el Cliente:
8.2.1. lo notifique con cuarenta y cinco (45) días de antelación a la auditoría; y
8.2.2. realice la auditoría en horario laboral habitual; y
8.2.3. adopte todas las medidas razonables para evitar perturbaciones innecesarias de las operaciones de Adapty. Dichas auditorías deberán limitarse estrictamente a la información relacionada con el tratamiento de datos personales.
8.3. Parámetros de la auditoría
Las partes fijarán de mutuo acuerdo el alcance, el calendario y la duración de la auditoría o inspección.
8.4. Confidencialidad
Todas las auditorías previstas en el presente DPA están sujetas a obligaciones de confidencialidad. El Cliente deberá compartir el informe de auditoría completo con Adapty y no podrá compartirlo con terceros distintos de sus contables y asesores jurídicos, que están obligados a guardar confidencialidad. El Cliente no podrá utilizar dicho informe de auditoría para ningún fin distinto de la evaluación del cumplimiento del presente DPA por parte de Adapty.
8.5. Costes
El Cliente asumirá los costes de dicha auditoría, salvo que las Partes acuerden otra cosa.
8.6. Frecuencia de las auditorías
El Cliente no podrá ejercer sus derechos de auditoría más de una vez en cualquier período de doce (12) meses naturales, salvo en los siguientes casos:
8.6.1. si y cuando así lo exija una autoridad de protección de datos competente; o
8.6.2. si resulta necesario en relación con una violación de la seguridad de los datos personales sufrida por Adapty y/o los Subencargados.
9. Confidencialidad
9.1. Adapty adoptará todas las medidas razonables para garantizar la fiabilidad de todo el personal autorizado para tratar datos personales y garantizará que dicho personal esté sujeto a las obligaciones de confidencialidad apropiadas y actúe en todo momento de conformidad con la legislación de protección de datos aplicable.
10. Supresión o devolución de la información personal
10.1 Tras (i) la resolución del presente DPA, o (ii) la solicitud por escrito del Cliente, o (iii) el momento en que Adapty deje de necesitar tratar Datos Personales para cumplir sus obligaciones en virtud de los Términos de servicio de Adapty y del presente DPA, o (iv) la renuncia de Adapty al tratamiento de conformidad con la sección 4.4 del presente DPA, Adapty, a elección del Cliente, suprimirá, destruirá o devolverá al Cliente todos los Datos Personales y destruirá o devolverá todas las copias existentes, salvo que la Legislación de Privacidad Aplicable exija a Adapty conservar una copia de los Datos Personales durante un plazo de conservación determinado. Al vencimiento de dicho plazo de conservación, Adapty suprimirá o destruirá sin demora todos los Datos Personales restantes.
En el caso de los perfiles de Destinatarios de Adapty Mail, la supresión se lleva a cabo desidentificando de forma irreversible los Datos Personales del perfil y marcando el perfil como suprimido. El registro resultante no puede ser utilizado razonablemente por Adapty, por sí solo o en combinación con otra información de que disponga Adapty, para identificar o volver a identificar al Destinatario correspondiente.
Las copias de seguridad se conservan y se sobrescriben de conformidad con el ciclo estándar de rotación de copias de seguridad de Adapty.
10.2. En caso de que los Datos Personales hayan sido tratados por cualesquiera Contratistas, Adapty garantizará que, en tales casos, dichos Contratistas también devuelvan, supriman o destruyan todos los Datos Personales que obren en su poder de conformidad con las condiciones establecidas en la presente sección.
11. Derechos de privacidad de los consumidores de California
11.1. «Información Personal», «Consumidor» y los demás términos escritos con mayúscula inicial en la presente sección 11 tendrán el significado que se les atribuye en la Ley de Privacidad del Consumidor de California de 2018, Cal. Civ. Code §§ 1798.100 et seq., en su versión modificada en cada momento («CCPA»).
11.2. Se acuerda por la presente que todo intercambio de datos personales entre las Partes se realiza exclusivamente con el fin de cumplir una finalidad empresarial, y que Adapty no recibe ni trata datos personales como contraprestación por los Servicios.
11.3. Por consiguiente, el Cliente es el único responsable del cumplimiento de la CCPA en relación con su uso de los Servicios. El Cliente es el único responsable de garantizar que el intercambio o la transferencia de datos personales de los Interesados durante la prestación de los Servicios no constituya una Venta de Datos Personales, y responderá de ello.
11.4. Adapty no conservará, utilizará ni transferirá datos personales con fines comerciales distintos de la prestación de los Servicios especificados en los Términos de servicio de Adapty.
12. Vigencia
12.1. El presente DPA surte efecto a partir de la fecha especificada en los Términos de servicio de Adapty. El presente DPA permanecerá en vigor mientras los Términos de servicio de Adapty sigan en vigor.
13. Divisibilidad
13.1. Si alguna disposición del presente DPA es o se declara inválida, ineficaz o inaplicable, total o parcialmente, la validez, eficacia y aplicabilidad de las demás disposiciones del presente DPA no se verán afectadas.
13.2. Toda disposición inválida, ineficaz o inaplicable se considerará sustituida, en la medida en que la ley lo permita, por la disposición válida, eficaz y aplicable que refleje con mayor fidelidad la intención y la finalidad económicas de la disposición inválida, ineficaz o inaplicable en cuanto a su objeto, tiempo, lugar y ámbito de aplicación.
13.3. La citada regla se aplicará, mutatis mutandis, para colmar las lagunas que puedan observarse en el presente DPA.
14. Acuerdo íntegro
14.1. Las Partes declaran expresamente que el presente DPA (incluidos los anexos a los que en él se hace referencia) y los documentos a los que en él se hace referencia constituyen el acuerdo íntegro entre las Partes y sustituyen a todos los borradores, acuerdos, compromisos, entendimientos, condiciones y pactos anteriores, con independencia de cualquier orden de prelación contrario, de cualquier tipo entre las Partes, consten o no por escrito, en relación con el objeto del presente DPA.
15. Legislación aplicable y jurisdicción
15.1. El DPA se rige por la legislación que se determine conforme a las condiciones establecidas en los Términos de servicio de Adapty.
15.2. Las Partes se someten por la presente a la jurisdicción elegida en el DPA respecto de cualesquiera controversias o reclamaciones que se deriven, del modo que sea, del presente DPA, incluidas las controversias relativas a su existencia, validez o resolución, y a las consecuencias de su invalidez.
16. Disposiciones varias
16.1. En caso de conflicto o incertidumbre entre:
16.1.1 cualquier disposición del DPA y cualquier disposición de los Términos de servicio de Adapty, prevalecerán las disposiciones del DPA;
16.1.2. cualquier disposición del presente DPA y cualesquiera CCT firmadas, prevalecerán las disposiciones de las CCT firmadas.
Anexo 1. Parámetros del tratamiento de datos
Parte A. Lista de las Partes
Responsable del Tratamiento
| Nombre | La identidad del Cliente especificada en el Contrato, durante el registro o en un Formulario de Pedido independiente |
|---|---|
| Dirección | La dirección del Cliente especificada en el Contrato, durante el registro o en un Formulario de Pedido independiente |
| Número de registro oficial | El número de registro del Cliente especificado en el Contrato o en un Formulario de Pedido independiente |
| Nombre, cargo y datos de contacto de la persona de contacto | El representante del Cliente especificado en el Contrato o en un Formulario de Pedido independiente |
| Función | Responsable del Tratamiento |
Encargado del Tratamiento
| Nombre | Adapty Tech Inc. |
|---|---|
| Dirección | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| Nombre, cargo y datos de contacto de la persona de contacto | Kirill Potekhin, Director Técnico, [email protected] |
| Función | Encargado del Tratamiento |
Parte B. Descripción del tratamiento
| Categorías de interesados | Usuarios finales de la aplicación o aplicaciones móviles del Cliente; visitantes y usuarios de los sitios web, embudos web y demás activos digitales del Cliente, así como suscriptores captados a través de ellos; y otras personas físicas cuyos datos de contacto el Cliente facilite lícitamente a Adapty con el fin de enviar Mensajes a través de Adapty Mail. |
|---|---|
| Categorías de datos personales transferidos | Las categorías de datos personales tratados por el Encargado en el curso de la prestación de los Servicios pueden incluir las siguientes, en función de la configuración y las instrucciones del Cliente: |
| i. Información técnica | Esta categoría incluye datos técnicos relacionados con el dispositivo que utiliza el Usuario Final para acceder a los servicios digitales del Cliente, como juegos o aplicaciones móviles. Dicha información puede incluir, por ejemplo, la dirección IP, el modelo del dispositivo, el sistema operativo y la configuración de idioma. |
| ii. Identificadores | Esta categoría incluye diversos identificadores asociados al dispositivo del Usuario Final o a la instancia de la aplicación. Dichos identificadores pueden incluir, por ejemplo, el identificador de Apple para anunciantes (IDFA), el identificador para proveedores (IDFV), el ID de publicidad de Google y otros identificadores similares. |
| iii. Datos de uso | Esta categoría se refiere a la información sobre cómo interactúan los Usuarios Finales con los servicios del Cliente. Incluye, entre otros, los eventos dentro de la aplicación; las acciones del Usuario Final, como los clics en los anuncios del Cliente; las visualizaciones (impresiones) de los anuncios del Cliente; las marcas de tiempo de descarga e instalación de la aplicación; los inicios de la aplicación; las compras dentro de la aplicación, incluidos la hora y el importe de la compra; y cualesquiera eventos o datos de interacción adicionales que el Cliente decida registrar y analizar en función de las características de sus servicios. |
| iv. Información de contacto | Esta categoría incluye datos personales que identifican directamente a un Usuario Final concreto o se refieren a él y que son necesarios para la comunicación o para funcionalidades específicas del usuario. Dichos datos pueden incluir, por ejemplo, la dirección de correo electrónico, el nombre, los apellidos y otra información que el Cliente transmita intencionadamente al Encargado. |
| v. Datos de correo electrónico y mensajería | Dirección de correo electrónico; nombre; datos del remitente y del destinatario; contenido de los mensajes; metadatos de los mensajes; estado de la suscripción y del consentimiento; información sobre bajas, quejas, rebotes y exclusiones; datos de entrega, apertura, clics e interacción; y otros atributos que el Cliente facilite para la segmentación, la personalización y la entrega de los Mensajes. |
| Transferencia de datos sensibles (en su caso) y restricciones o garantías aplicadas que tengan plenamente en cuenta la naturaleza de los datos y los riesgos que entrañan, como, por ejemplo, una limitación estricta de la finalidad, restricciones de acceso (incluido el acceso únicamente para los empleados que hayan recibido formación especializada), el mantenimiento de un registro de acceso a los datos, restricciones para las transferencias ulteriores o medidas de seguridad adicionales | No aplicable |
| Naturaleza del tratamiento (alcance del tratamiento) | Recepción, recogida, registro, organización, conservación, extracción, consulta, utilización, segmentación, personalización, exclusión, limitación, supresión y, conforme a las instrucciones documentadas del Cliente, transmisión de Mensajes y metadatos relacionados a los Destinatarios. |
| Finalidad o finalidades del tratamiento de datos | Los Datos Personales solo podrán tratarse para las siguientes finalidades: la prestación de los Servicios de conformidad con el Contrato. El Encargado no venderá los Datos Personales del Cliente. |
| Período durante el cual se tratarán los Datos Personales o, cuando ello no sea posible, criterios utilizados para determinar dicho período | Los Datos Personales se tratarán durante la vigencia de los Términos de servicio de Adapty y, posteriormente, únicamente durante el período necesario para completar la devolución o supresión de conformidad con la cláusula 10 del presente DPA, cumplir la Legislación de Privacidad Aplicable, completar los ciclos de conservación de copias de seguridad aplicables o conservar información anonimizada que no identifique a un Interesado ni permita razonablemente volver a identificarlo. |
Anexo 2. Medidas técnicas y organizativas, incluidas las medidas técnicas y organizativas para garantizar la seguridad de los datos
| Medidas de | Medida adoptada (S/N) | En caso afirmativo, facilite detalles específicos |
|---|---|---|
| Seudonimización y cifrado de datos personales | S | Los Datos Personales se cifran durante la transmisión. |
| Garantía de la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento de datos | S | Todos los datos se almacenan y tratan en una red interna cerrada protegida por un cortafuegos. Los datos se replican de forma continua en varios centros de datos. Se mantienen copias de seguridad incrementales. |
| Garantía de la capacidad de restablecer la disponibilidad y el acceso a los datos personales en un plazo razonable en caso de incidente físico o técnico | S | Los datos se replican de forma continua en varios centros de datos. Se mantienen copias de seguridad incrementales. |
| Procesos de verificación, evaluación y valoración periódicas de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento | S | Todo el código desplegado en producción se revisa. Las pruebas automatizadas, incluidas las pruebas de seguridad, forman parte del proceso de despliegue. El software de terceros se actualiza periódicamente a la última versión estable, incluidos, entre otros, sistemas operativos, bases de datos, cachés, IDE y servicios de orquestación. |
| Identificación y autorización del Cliente | S | La autorización del Cliente se realiza mediante una dirección de correo electrónico y una contraseña. Todas las contraseñas se almacenan cifradas con una sal aleatoria. |
| Protección de los datos durante la transmisión | S | Todos los datos se transmiten cifrados mediante certificados SSL/TLS. |
| Protección de los datos durante el almacenamiento | S | Todos los datos se almacenan y tratan en una red interna cerrada protegida por un cortafuegos. |
| Garantía de la seguridad física de los lugares en los que se tratan datos personales | S | Para el almacenamiento y el tratamiento de los datos se utilizan centros de datos Tier 1. |
| Registro de eventos | S | Se utiliza un sistema de registro distribuido que almacena los datos detrás del cortafuegos. |
| Configuración del sistema, incluida la configuración por defecto | S | La configuración del sistema, incluida la configuración por defecto, se revisa y se supervisa de forma continua. Se modifican los puertos y las contraseñas por defecto. |
| Gestión y gobernanza de TI y seguridad de TI | S | El Encargado aplica diversas medidas de seguridad de la infraestructura para proteger la información del Cliente frente al acceso no autorizado, la pérdida, la alteración, los virus, los troyanos y otros códigos maliciosos similares. Estas medidas incluyen: • La actualización periódica de los sistemas operativos, el hardware y el software de terceros para corregir vulnerabilidades de seguridad. • El uso de cortafuegos y sistemas de prevención de intrusiones (IPS) para restringir el acceso a los servidores y protegerlos. • La protección de las comunicaciones de acceso remoto mediante autenticación multifactor. • La realización de copias de seguridad de los datos del Cliente según un calendario rotativo diario. |
| Certificación/garantía de procesos y productos | S | Sí. Adapty mantiene una atestación SOC 2 Type II que abarca la eficacia operativa de sus controles de seguridad, disponibilidad y confidencialidad. El informe SOC 2 Type II vigente está a disposición de los Clientes y de los Clientes potenciales, previa solicitud, en virtud de un acuerdo de confidencialidad. |
| Garantía de la minimización de datos | S | La recogida de datos se limita a la información personal necesaria para prestar los Servicios. La información personal no se utiliza para fines no especificados en el Acuerdo de tratamiento de datos y en el Contrato, y se conserva únicamente durante el tiempo necesario para cumplir dichos fines. |
| Garantía de la calidad de los datos | S | El Cliente puede solicitar la modificación o supresión de los datos de los Usuarios Finales. |
| Limitación del almacenamiento de datos | S | Los Datos Personales se conservan de conformidad con las condiciones contractuales acordadas con el Cliente y según lo exigido por la legislación aplicable. |
| Garantía de la responsabilidad proactiva | S | Los Datos Personales están asociados lógicamente a un Cliente concreto y no se comparten entre clientes no relacionados. Los eventos y los registros de auditoría relativos al acceso a la plataforma y a los sistemas se registran, se supervisan y se revisan periódicamente. |
| Garantía de la portabilidad y la supresión de los datos | S | El Encargado facilita la portabilidad y la supresión de los datos previa solicitud por escrito del Cliente, con sujeción a las condiciones del Contrato y a la legislación aplicable. |
Anexo 3. Lista de Subencargados
El Cliente ha otorgado su autorización para recurrir a los siguientes encargados adicionales:
| Nombre | Dirección | Descripción del tratamiento |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | Infraestructura de alojamiento en la nube e infraestructura de entrega de correo electrónico, incluidas la transmisión de Mensajes de correo electrónico y el tratamiento de metadatos relacionados con la entrega. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Infraestructura de alojamiento en la nube |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Infraestructura de entrega de contenidos y almacenamiento en caché |
Anexo 4. Condiciones de las CCT
Las condiciones de las Cláusulas Contractuales Tipo de la UE que figuran en el anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (las «CCT de la UE»), se incorporarán por remisión al Acuerdo de tratamiento de datos del siguiente modo:
1. Módulo aplicable
El módulo aplicable a la transferencia de los Datos Personales del Responsable del Tratamiento originarios de la UE en virtud del Contrato es el Módulo 2: «De responsable a encargado».
2. Opciones seleccionadas
Se seleccionan las siguientes opciones en los casos en que la Decisión de Ejecución (UE) 2021/914 de la Comisión permite elegir entre varias opciones en las CCT de la UE:
| Disposición de las CCT | Opción seleccionada / especificación |
|---|---|
| Punto 7: Cláusula de incorporación | No se aplicará la cláusula de incorporación opcional. |
| Punto 9: Recurso a subencargados | Opción 2. El plazo será de 30 días hábiles. |
| Punto 11: Vías de recurso / Indemnización | No se aplicará la disposición opcional. |
| Cláusula 17: Derecho aplicable | Opción 1. El Derecho de Irlanda. |
| Sección 18: Elección del foro y jurisdicción | Los órganos jurisdiccionales de Irlanda. |
3. El Apéndice IA de las CCT se considerará cumplimentado del siguiente modo:
- El exportador de datos es el Cliente, y los datos del exportador de datos son los especificados en el Apéndice 1 (Parte A) del DPA.
Las actividades relacionadas con los datos transferidos en virtud de las CCT: la transferencia de Datos Personales por el exportador de datos al importador de datos para permitir que el importador de datos trate dichos Datos Personales por cuenta del exportador de datos y preste los Servicios de conformidad con los Términos de servicio de Adapty. - El importador de datos es Adapty, y los datos de Adapty son los especificados en el Apéndice 1 (Parte A) del DPA.
Las actividades relacionadas con los datos transferidos en virtud de las CCT son: la recepción de Datos Personales del Exportador de Datos con el fin de prestar los Servicios de conformidad con los Términos de servicio de Adapty.
4. El Apéndice IB de las CCT coincidirá con el Anexo 1 del DPA y, además, se incluye la siguiente información para completar el Apéndice IB: la frecuencia de la transmisión es continua.
5. El Apéndice IC se cumplimenta del siguiente modo: Autoridad de Control de la República de Irlanda.
6. El Apéndice II de las CCT coincidirá con el Apéndice 2 del DPA.
7. El Apéndice III de las CCT coincidirá con el Apéndice 3 del DPA.
Última actualización:
