Anexo de Stellar Cyber ​​Data Protection

Este Anexo de Protección de Datos, incluyendo todos sus apéndices («APD»), forma parte del acuerdo, que comprende el Acuerdo de Usuario Final y el Pedido correspondiente, entre Stellar Cyber ​​Inc. («Stellar Cyber») y el Cliente (el «Acuerdo»). Las Partes acuerdan que este APD establece sus obligaciones con respecto al procesamiento y la seguridad de los Datos del Cliente en relación con el uso que este haga de los Entregables.

1. VISIÓN DE CONJUNTO

Este Acuerdo de Protección de Datos (APD) se aplica únicamente al tratamiento de los Datos del Cliente en entornos controlados por Stellar Cyber ​​(incluidos los subcontratistas de Stellar Cyber), lo que incluye los Datos del Cliente enviados a Stellar Cyber ​​por los Entregables, pero no incluye los datos que permanecen en las instalaciones del Cliente ni en entornos operativos de terceros seleccionados por el Cliente. Este APD entrará en vigor en la Fecha de Entrada en Vigor del Acuerdo y sustituirá cualquier término aplicable anteriormente al tratamiento y la seguridad de los Datos del Cliente. Los términos en mayúscula utilizados pero no definidos en este APD tendrán el significado que se les atribuye en el Acuerdo.

2. DEFINICIONES

2.1. “Ley de protección de datos aplicable” significa , en lo que respecta al procesamiento de los Datos del Cliente (incluidos los datos personales contenidos en ellos), cualquier ley o reglamento nacional, federal, de la Unión Europea, estatal, provincial o de otro tipo en materia de privacidad, protección de datos o seguridad de datos.

2.2. “Datos del Cliente” significa , para los fines de este DPA y sin perjuicio de cualquier definición de “Datos del Cliente” en el Acuerdo, los datos ingeridos desde los puntos finales del Cliente, o proporcionados de otro modo, por o en nombre del Cliente a Stellar Cyber ​​a través del uso que el Cliente haga de los Entregables, excluyendo los Datos del Sistema.

2.3. “Datos Personales del Cliente” significa los datos personales contenidos en los Datos del Cliente, incluidas las categorías especiales de datos personales o datos sensibles definidos en la Ley de Protección de Datos Aplicable.

2.4. «RGPD de la UE» significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE.

2.5. “Violación de seguridad” significa una violación de la seguridad de Stellar Cyber ​​que conlleva la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilícito a los Datos del Cliente.

2.6. “Subprocesador” significa un tercero autorizado como otro procesador en virtud del presente DPA para procesar los Datos del Cliente con el fin de proporcionar los Entregables.

2.7 “Datos del sistema” significa datos técnicos, operativos, de diagnóstico, de uso, de telemetría, de rendimiento, de configuración, de inteligencia sobre amenazas y datos similares generados por o relacionados con la operación, el rendimiento, la seguridad o el uso de los Entregables, pero excluyendo los Datos Personales del Cliente.

2.8. Los términos “datos personales”, “interesado”, “responsable del tratamiento” y “encargado del tratamiento”, tal como se utilizan en este Acuerdo de Protección de Datos, tienen los significados que les otorga la Ley de Protección de Datos aplicable o, a falta de dicha ley o significado, el RGPD de la UE.

3. CUMPLIMIENTO LEGAL Y TÉRMINOS ESPECÍFICOS DE LA JURISDICCIÓN

3.1. Funciones de las Partes. Stellar Cyber ​​es un procesador y el Cliente es un controlador o procesador, según corresponda, de los Datos del Cliente.

3.2. Cumplimiento de la Ley. Cada Parte cumplirá con sus obligaciones relacionadas con el procesamiento de Datos del Cliente de conformidad con la Ley de Protección de Datos Aplicable.

3.3. Condiciones específicas de la jurisdicción. En la medida en que el tratamiento de los Datos del Cliente esté sujeto a una Ley de Protección de Datos aplicable descrita en el Anexo 3 (Leyes de Protección de Datos específicas de la jurisdicción), se aplicarán también las condiciones correspondientes del Anexo 3. En caso de conflicto entre las condiciones generales de este Acuerdo de Protección de Datos y el Anexo 3, prevalecerá este último.

4. PROCESAMIENTO DE DATOS DEL CLIENTE

4.1. Resumen del tratamiento. El objeto y los detalles del tratamiento de los datos del cliente se describen en el Anexo 1 (Detalles del tratamiento de los datos del cliente).

4.2. Obligación de Stellar Cyber. Stellar Cyber ​​deberá: (a) no procesar los Datos del Cliente salvo para proporcionar los Entregables de conformidad con el Acuerdo (incluido lo establecido en este DPA y lo descrito en el Apéndice 1 de este DPA) y la ley aplicable (el “Propósito Permitido”); y (b) notificar inmediatamente al Cliente si, en opinión de Stellar Cyber, la Ley de Protección de Datos Aplicable prohíbe a Stellar Cyber ​​cumplir con el Propósito Permitido o Stellar Cyber ​​no puede cumplir con el Propósito Permitido por cualquier otro motivo.

4.3. Instrucciones y Obligaciones del Cliente. El Cliente por la presente: (a) instruye a Stellar Cyber ​​para que procese los Datos del Cliente para el Propósito Permitido; (b) garantiza y declara que está y seguirá estando en todo momento pertinente debidamente y efectivamente autorizado para dar la instrucción aquí establecida en nombre de cada controlador pertinente de los Datos del Cliente; y (c) garantiza y declara que el controlador pertinente de los Datos del Cliente ha proporcionado todos los avisos y obtenido todos los consentimientos requeridos por la Ley de Protección de Datos Aplicable para proporcionar los Datos del Cliente a Stellar Cyber ​​en virtud del Acuerdo.

5. SEGURIDAD

5.1. Medidas de seguridad. Stellar Cyber ​​implementará y mantendrá las medidas técnicas y organizativas establecidas en el Anexo 2 (Medidas de seguridad) (las “Medidas de seguridad”). Stellar Cyber ​​podrá actualizar las Medidas de seguridad periódicamente, siempre que dichas actualizaciones no reduzcan la seguridad de los Entregables ni las obligaciones de Stellar Cyber ​​en virtud del presente Acuerdo.

5.2. Responsabilidades de seguridad del Cliente. Sin perjuicio de las obligaciones de Stellar Cyber ​​en virtud de la Sección 5.1 (Medidas de seguridad) y en otras partes del Acuerdo, el Cliente es responsable de su uso de los Entregables, incluyendo: (a) utilizar los Entregables para garantizar un nivel de seguridad apropiado al riesgo para los Datos del Cliente; (b) proteger las credenciales de autenticación, los sistemas y los dispositivos que el Cliente utiliza para acceder a los Entregables; y (c) realizar copias de seguridad de sus Datos del Cliente según corresponda.

5.3. Evaluación de seguridad del cliente. El cliente acepta que los entregables y las medidas de seguridad implementadas y mantenidas por Stellar Cyber ​​proporcionan un nivel de seguridad adecuado al riesgo para los datos del cliente.

5.4. Confidencialidad. Stellar Cyber ​​garantizará que su personal involucrado en el procesamiento de Datos del Cliente (a) procesará dichos datos únicamente siguiendo las instrucciones del Cliente o según lo estipulado en este Acuerdo de Protección de Datos, y (b) estará obligado a mantener la confidencialidad y seguridad de dichos datos incluso después de que finalice su relación laboral. Stellar Cyber ​​proporcionará capacitación y sensibilización periódicas y obligatorias sobre privacidad y seguridad de datos a sus empleados, de conformidad con la Ley de Protección de Datos aplicable y los estándares de la industria.

5.5. Violaciones de seguridad.

5.5.1. Notificación. Stellar Cyber ​​notificará al Cliente de inmediato y en cualquier caso dentro de las 72 horas siguientes a tener conocimiento de una Violación de Seguridad, y tomará de inmediato medidas razonables para minimizar el daño y proteger los Datos del Cliente.

5.5.2. Detalles de la notificación. La notificación de Stellar Cyber ​​sobre una brecha de seguridad describirá: (a) la naturaleza de la brecha de seguridad, incluidos los recursos del Cliente afectados; (b) las medidas que Stellar Cyber ​​ha tomado o planea tomar para abordar la brecha de seguridad y mitigar su riesgo potencial; (c) las medidas que Stellar Cyber ​​recomienda que el Cliente tome para abordar la brecha de seguridad; y (d) los datos de contacto para obtener más información. Si no es posible proporcionar toda la información simultáneamente, la notificación inicial de Stellar Cyber ​​contendrá la información disponible en ese momento y se proporcionará información adicional sin demora indebida a medida que esté disponible.

5.5.3. No hay reconocimiento de culpa ni responsabilidad. La notificación o respuesta de Stellar Cyber ​​a una violación de seguridad conforme a esta Sección no se interpretará como un reconocimiento por parte de Stellar Cyber ​​de culpa o responsabilidad alguna con respecto a la violación de seguridad.

6. SUBPROCESAMIENTO

6.1. Consentimiento específico. El Cliente autoriza expresamente a Stellar Cyber ​​a contratar como subencargados del tratamiento a las entidades que figuran en la lista del presente Acuerdo de Protección de Datos (DPA) vigente a partir de la fecha de entrada en vigor de dicho Acuerdo, según lo establecido en la Sección 6.2 (Detalles del subencargado). Asimismo, y sin perjuicio de lo dispuesto en la Sección 6.3 (Contratación de nuevos subencargados), el Cliente autoriza, en general, la contratación como subencargados del tratamiento de cualquier otro tercero (en adelante, «Nuevo subencargado») de conformidad con la Sección 6.3.

6.2. Detalles del subprocesador. La información sobre los subprocesadores, incluidas sus funciones y ubicaciones, se establece en el Anexo 6.3 (la “Lista de subprocesadores”), cuya versión actual se mantiene en https://stellarcyber.ai/dpa/subprocessors (que Stellar Cyber ​​podrá actualizar periódicamente de conformidad con este DPA).

6.3. Contratación de nuevos subprocesadores. Cuando se contrate a un nuevo subprocesador mientras este DPA esté vigente, Stellar Cyber ​​deberá notificar al Cliente por escrito con al menos treinta (30) días de anticipación sobre la contratación de dicho nuevo subprocesador, incluyendo detalles del procesamiento que llevará a cabo. Stellar Cyber ​​podrá proporcionar dicha notificación actualizando la Lista de subprocesadores y haciendo que la notificación esté disponible a través de un mecanismo mediante el cual el Cliente pueda suscribirse para recibir notificaciones de dichas actualizaciones, en cuyo caso el período de treinta (30) días comenzará a contar desde la fecha en que se publique la actualización y se haga disponible la notificación. Si, dentro de los treinta (30) días siguientes a la recepción de dicha notificación, el Cliente notifica a Stellar Cyber ​​por escrito cualquier objeción al nombramiento propuesto, y además proporciona justificaciones comercialmente razonables para dichas objeciones basadas en la incapacidad de ese nuevo subprocesador para salvaguardar adecuadamente los Datos del Cliente, entonces: (a) Stellar Cyber ​​trabajará de buena fe con el Cliente para abordar las objeciones del Cliente con respecto al nuevo subprocesador; y (b) cuando las inquietudes del Cliente no puedan resolverse dentro de los treinta (30) días a partir de la recepción por parte de Stellar Cyber ​​de la notificación del Cliente, no obstante lo dispuesto en el Acuerdo, el Cliente podrá, mediante notificación escrita a Stellar Cyber ​​con efecto inmediato, rescindir el/los Pedido(s) únicamente con respecto a aquellos aspectos que Stellar Cyber ​​no pueda proporcionar sin el uso del Nuevo Subprocesador.

6.4. Requisitos de debida diligencia del subprocesador. Con respecto a cada subprocesador, Stellar Cyber ​​deberá: (a) antes de que el subprocesador procese por primera vez los datos del cliente, llevar a cabo una debida diligencia adecuada para garantizar que el subprocesador sea capaz de cumplir las obligaciones subcontratadas de conformidad con el Acuerdo (incluido este DPA); (b) reevaluar periódicamente al subprocesador para garantizar que siga siendo capaz de cumplir las obligaciones subcontratadas de conformidad con el Acuerdo (incluido este DPA); (c) garantizar que el procesamiento de los datos del cliente por parte del subprocesador se rija por un contrato escrito que incluya términos no menos protectores de los datos del cliente que los establecidos en este DPA, incluyendo que las obligaciones de protección de datos aplicables en este DPA se impongan al subprocesador; y (d) seguir siendo plenamente responsable de todas las obligaciones subcontratadas, y de todos los actos y omisiones del subprocesador.

7. COOPERACIÓN

7.1. Derechos individuales. Teniendo en cuenta la naturaleza del tratamiento, Stellar Cyber ​​prestará asistencia al Cliente mediante la implementación de medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de las obligaciones del Cliente, según lo entienda razonablemente el Cliente, de responder a las solicitudes para ejercer los derechos de las personas en virtud de la Ley de Protección de Datos aplicable.

7.2. Solicitudes individuales. Stellar Cyber ​​deberá: (a) notificar de inmediato al Cliente si Stellar Cyber ​​recibe una solicitud de un individuo conforme a la Ley de Protección de Datos Aplicable con respecto a los Datos del Cliente en la medida en que Stellar Cyber ​​reconozca que la solicitud se relaciona con el Cliente; y (b) garantizar que Stellar Cyber ​​no responda a esa solicitud excepto en las instrucciones documentadas del Cliente o según lo exija la ley aplicable, en cuyo caso Stellar Cyber ​​deberá, en la medida permitida por la ley aplicable, informar al Cliente de ese requisito legal antes de que Stellar Cyber ​​responda a la solicitud.

7.3. Evaluaciones de impacto y consultas. En la medida en que Stellar Cyber ​​esté obligada por la Ley de Protección de Datos aplicable, Stellar Cyber ​​deberá (teniendo en cuenta la naturaleza del procesamiento y la información disponible para Stellar Cyber) brindar asistencia razonable al Cliente con cualquier evaluación de impacto o consulta con los reguladores de protección de datos, proporcionando información de conformidad con la Sección 7.4 (Auditorías y registros).

7.4. Auditorías y Registros. Stellar Cyber ​​pondrá a disposición del Cliente, previa solicitud, la información necesaria para demostrar el cumplimiento de la Ley de Protección de Datos Aplicable y del presente DPA de conformidad con los siguientes procedimientos: (a) Stellar Cyber ​​proporcionará al Cliente las certificaciones más recientes y/o los informes de auditoría resumidos que Stellar Cyber ​​haya obtenido para probar, evaluar y valorar periódicamente la eficacia de las Medidas de Seguridad; (b) Stellar Cyber ​​cooperará razonablemente con el Cliente proporcionando información adicional disponible sobre las Medidas de Seguridad para ayudar al Cliente a comprender mejor las Medidas de Seguridad; y (c) si el Cliente requiere información adicional para cumplir con sus propias obligaciones de auditoría o las de otro responsable del tratamiento, o con una solicitud de una autoridad de control competente, el Cliente informará a Stellar Cyber ​​y las Partes discutirán de buena fe el contenido y la entrega de la información requerida.

8. UBICACIONES DE PROCESAMIENTO DE DATOS

8.1. Ubicación de alojamiento de datos. Stellar Cyber ​​solo alojará los datos del Cliente en reposo en las regiones ofrecidas por Stellar Cyber ​​y seleccionadas por el Cliente en un Pedido o según lo configurado por el Cliente a través de los Entregables (la “Ubicación de alojamiento”).

8.2. Lugar de procesamiento de datos. Teniendo en cuenta las salvaguardas establecidas en este Acuerdo de Protección de Datos, los Datos del Cliente podrán ser procesados ​​en los Estados Unidos o en cualquier otro país en el que operen Stellar Cyber ​​o sus subprocesadores.

9. ELIMINACIÓN DE DATOS

9.1. Eliminación al finalizar el contrato. Stellar Cyber ​​eliminará de inmediato y en cualquier caso dentro de los noventa (90) días siguientes a la fecha de cese de la prestación de cualquier Entregable que implique el procesamiento de Datos del Cliente (la “Fecha de Cese”), todas las copias de los Datos del Cliente, a menos que la ley aplicable exija su almacenamiento.

9.2. Certificación de eliminación. Stellar Cyber ​​proporcionará al Cliente una certificación por escrito de que ha cumplido con esta Sección dentro de los diez (10) días siguientes a la recepción de la solicitud por escrito del Cliente para recibir dicha certificación.

10. TÉRMINOS GENERALES

10.1. Interpretación. Con respecto al objeto del presente DPA, en caso de inconsistencias entre las disposiciones del presente DPA y cualquier otro acuerdo entre las Partes, incluido el Acuerdo y, salvo que se acuerde explícitamente lo contrario por escrito y firmado en nombre de las Partes, los acuerdos celebrados o que se pretendan celebrar después de la fecha del presente DPA, prevalecerán las disposiciones del presente DPA.

10.2. Responsabilidad. Cualquier responsabilidad asociada con el incumplimiento de este DPA estará sujeta a las disposiciones de limitación de responsabilidad establecidas en el Acuerdo.

10.3. Disposiciones inválidas o inaplicables. Si alguna disposición de este Acuerdo de Protección de Datos (APD) resultara inválida o inaplicable, el resto del APD seguirá siendo válido y vigente. La disposición inválida o inaplicable se modificará según sea necesario para garantizar su validez y aplicabilidad, preservando al mismo tiempo las intenciones de las Partes en la medida de lo posible, o, si esto no fuera posible, se interpretará como si la parte inválida o inaplicable nunca hubiera estado incluida en el mismo.

EN FE DE LO CUAL, las Partes del presente documento han hecho que este Anexo de Protección de Datos Cibernéticos Stellar sea ejecutado por sus funcionarios o representantes debidamente autorizados a partir de la Fecha de Entrada en Vigor del Acuerdo.

APÉNDICE 1:

DETALLES DEL TRATAMIENTO DE LOS DATOS DEL CLIENTE

Tema y duración del procesamiento

Stellar Cyber ​​procesará los Datos del Cliente, incluyendo cualquier dato personal que contengan, exclusivamente para proporcionar los Entregables conforme al Acuerdo, incluyendo cualquier período de retención contratado por el Cliente para Entregables específicos. El procesamiento se extenderá hasta la expiración o rescisión del Acuerdo, tras lo cual Stellar Cyber ​​eliminará los Datos del Cliente de acuerdo con la Sección 9 (Eliminación de Datos).

Naturaleza y finalidad del tratamiento

Stellar Cyber ​​procesará los datos del cliente únicamente para el propósito permitido.

Categorías de datos

La naturaleza específica de los datos del cliente procesados ​​por Stellar Cyber ​​depende de los entregables que el cliente adquiere, pero en términos generales se relaciona con las siguientes categorías de datos:

• Cualquier dato de registro y datos no estructurados de las aplicaciones obtenidos a través de las API proporcionadas a Stellar Cyber ​​por el Cliente para la consecución de los Entregables.
• Datos del punto final y de sus registros (por ejemplo, nombre del dispositivo, información del sistema operativo, nombre de usuario, dirección IP, nombre de los procesos, nombre de las aplicaciones, registros y eventos).
• Datos de red y uso de la red (por ejemplo, tupla de 5 elementos en paquetes IP que incluye direcciones IP, URL, información del certificado, nombre de usuario, dirección de correo electrónico y tamaño del paquete).
• Datos del archivo (por ejemplo, nombre del archivo, hash del archivo, tipo de archivo, tamaño del archivo)
• Datos del usuario (por ejemplo, nombre de usuario, dirección de correo electrónico)

Categorías especiales de datos

Los entregables no están diseñados para procesar categorías especiales de datos personales, y estas categorías no son necesarias para entregarlos al Cliente. No obstante lo anterior, cuando el Cliente controla los datos enviados a Stellar Cyber, o en contrataciones de servicios específicos (por ejemplo, investigaciones forenses que requieren el análisis de los datos subyacentes), Stellar Cyber ​​puede procesar categorías especiales de datos personales en nombre del Cliente. La naturaleza y el alcance de cualquier categoría especial de datos personales sensibles transferidos pueden no conocerse hasta después de que se haya realizado el procesamiento, pero pueden incluir datos personales que revelen el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos relativos a la salud o datos relativos a la vida sexual u orientación sexual de una persona física.

Sujetos de datos

Los interesados ​​incluyen a las personas sobre las que Stellar Cyber ​​recibe datos a través de los Entregables por parte del Cliente (o bajo su dirección), y pueden incluir a los empleados, agentes, asesores, contratistas y consultores del Cliente; las personas de contacto, clientes, clientes potenciales y socios comerciales de los socios de canal y proveedores del Cliente; y cualquier otro usuario autorizado de los puntos finales del Cliente en los que estén instalados los Entregables o de los propios Entregables.

Stellar Cyber ​​mantiene un programa de seguridad de la información diseñado para proteger la confidencialidad, la integridad y la disponibilidad de los datos de los clientes (el “Programa de Seguridad de la Información de Stellar Cyber”). Este programa se implementa en toda la organización y está diseñado para garantizar el cumplimiento de Stellar Cyber ​​con la legislación aplicable en materia de protección de datos. A partir de la fecha de entrada en vigor, Stellar Cyber ​​implementará y mantendrá las medidas de seguridad descritas en este Anexo 2, que incluyen, entre otras, las siguientes medidas para garantizar la confidencialidad, la integridad y la disponibilidad continuas de los datos y para prevenir el acceso, el uso, la modificación o la divulgación no autorizados de los mismos:

Los términos de cada módulo de este Anexo 3 se aplican únicamente cuando la ley correspondiente regula el tratamiento de los datos del cliente.

MÓDULO 1: DERECHO EUROPEO DE PROTECCIÓN DE DATOS

1. DEFINICIONES ADICIONALES

1.1. «País adecuado» significa : (a) para los datos procesados ​​sujetos al RGPD de la UE: cualquier país dentro del EEE, o un país o territorio que sea objeto de una decisión de adecuación de la Comisión Europea en virtud del artículo 45(1) del RGPD de la UE; (b) para los datos procesados ​​sujetos al RGPD del Reino Unido: el Reino Unido o un país o territorio que sea objeto de reglamentos de adecuación en virtud del artículo 45(1) del RGPD del Reino Unido y la Sección 17A de la Ley de Protección de Datos de 2018; y/o (c) para los datos procesados ​​sujetos a la FDPA suiza: Suiza o un país o territorio que (i) esté incluido en la lista de estados cuya legislación garantiza un nivel adecuado de protección publicada por el Comisionado Federal Suizo de Protección de Datos e Información, o (ii) sea objeto de una decisión de adecuación del Consejo Federal Suizo en virtud de la FDPA suiza.

1.2. «Mecanismo de transferencia alternativo» significa un mecanismo, distinto de las CCT, que permite la transferencia lícita de datos personales a un tercer país de conformidad con la legislación europea de protección de datos (por ejemplo, el Marco de privacidad de datos UE-EE. UU., incluida la extensión del Reino Unido al Marco de privacidad de datos UE-EE. UU. y el Marco de privacidad de datos Suiza-EE. UU., o cualquier otro marco reconocido como que garantiza que las entidades participantes proporcionan un nivel adecuado de protección).

1.3. «Legislación europea de protección de datos» significa , según corresponda: (a) el RGPD de la UE; (b) el RGPD del Reino Unido; o (c) la FDPA suiza.

1.4. «Derecho Europeo» significa , según corresponda: (a) el derecho de la UE o de un Estado miembro de la UE (si el RGPD de la UE se aplica al tratamiento de los Datos del Cliente); (b) el derecho del Reino Unido o de una parte del Reino Unido (si el RGPD del Reino Unido se aplica al tratamiento de los Datos del Cliente); o (c) el derecho de Suiza (si la FDPA suiza se aplica al tratamiento de los Datos del Cliente).

1.5. “Transferencia restringida” significa la transferencia o el procesamiento de Datos Personales del Cliente a o en un país que no sea un País Adecuado.

1.6. “SCC” significa los SCC (controlador-a-procesador) o los SCC (a-procesador-a-procesador), según corresponda.

1.7. «Cláusulas Contractuales Tipo (del responsable del tratamiento al encargado del tratamiento)» se refiere a las cláusulas contractuales tipo de la UE que operan en virtud del Módulo Dos (del responsable del tratamiento al encargado del tratamiento), tal como se establece en el Apéndice 4 del presente Acuerdo de Protección de Datos.

1.8. “Cláusulas Contractuales Tipo (de Procesador a Procesador)” significa las Cláusulas Contractuales Tipo de la UE que operan bajo el Módulo Tres (de Procesador a Procesador), tal como se establece en el Apéndice 4 del presente Acuerdo de Protección de Datos.

1.9. «Ley Federal de Protección de Datos de Suiza» significa la Ley Federal de Protección de Datos revisada del 25 de septiembre de 2020 (Suiza), en su versión modificada o sustituida.

1.10. «RGPD del Reino Unido» significa el RGPD de la UE en su forma modificada e incorporada al derecho británico en virtud de la Ley de la Unión Europea (Retirada) de 2018 del Reino Unido, y la legislación secundaria aplicable dictada en virtud de la misma.

1.11. «UK IDTA» significa el Anexo de Transferencia Internacional de Datos a las Cláusulas Contractuales Estándar de la Comisión Europea emitido por el Comisionado de Información del Reino Unido, tal como se establece en el Apéndice 5 de este DPA.

2. NOTIFICACIÓN DE CUMPLIMIENTO

Sin perjuicio de las obligaciones de Stellar Cyber ​​en virtud de la Sección 4.3 (Instrucciones y Obligaciones del Cliente) del Acuerdo de Protección de Datos ni de cualesquiera otros derechos u obligaciones de cualquiera de las Partes en virtud del presente Acuerdo, Stellar Cyber ​​notificará inmediatamente al Cliente si, y en la medida en que dicha notificación no esté prohibida por la legislación europea, en opinión de Stellar Cyber: (a) la legislación europea prohíbe a Stellar Cyber ​​cumplir con una instrucción; (b) una instrucción no cumple con la legislación europea de protección de datos; o (c) Stellar Cyber ​​no puede cumplir con una instrucción por cualquier otro motivo. Si el Cliente es un encargado del tratamiento, remitirá inmediatamente al responsable del tratamiento correspondiente cualquier notificación proporcionada por Stellar Cyber ​​en virtud de esta Sección.

3. TRANSFERENCIAS DE DATOS

3.1. Transferencias Restringidas; Mecanismo Principal. Cuando el tratamiento de los Datos Personales del Cliente constituya una Transferencia Restringida, Stellar Cyber ​​recurrirá, en primera instancia, a un Mecanismo de Transferencia Alternativo para fundamentar legalmente dicha Transferencia Restringida, siempre que Stellar Cyber ​​haya adoptado dicho mecanismo y este sea válido y aplicable a la misma. Stellar Cyber ​​proporcionará al Cliente, previa solicitud, información sobre el Mecanismo de Transferencia Alternativo en el que se basa.

3.2. Cláusulas contractuales tipo como mecanismo de reserva. Si no existe, ni se ha adoptado o adoptado ningún mecanismo de transferencia alternativo válido para una transferencia restringida —incluso si un mecanismo de transferencia alternativo en el que Stellar Cyber ​​se basó se invalida, se suspende o deja de proporcionar una base legal para la transferencia restringida—, las cláusulas contractuales tipo se aplicarán (según si el Cliente es responsable del tratamiento o encargado del tratamiento) con respecto a dicha transferencia restringida entre Stellar Cyber ​​y el Cliente. Cuando el RGPD del Reino Unido se aplique a una transferencia restringida, las cláusulas contractuales tipo se complementarán y modificarán según la Ley de Transferencias Digitales e Informáticas del Reino Unido que figura en el Anexo 5. Cuando la Ley de Protección de Datos Federales de Suiza se aplique a una transferencia restringida, las cláusulas contractuales tipo se complementarán con las modificaciones suizas que figuran al final del Anexo 4.

3.3. Información sobre transferencias restringidas. Stellar Cyber ​​proporcionará al Cliente información relevante sobre una transferencia restringida, tal como se describe en la Sección 7.4 (Auditorías y registros) del DPA.

3.4. Auditoría de las SCC. Si las SCC se aplican como se describe en la Sección 3.2 de este Módulo 1, Stellar Cyber ​​permitirá al Cliente, o a un auditor independiente designado por el Cliente, realizar auditorías como se describe en esas SCC y, durante una auditoría, poner a disposición toda la información requerida por esas SCC, de conformidad con la Sección 7.4 (Auditorías y Registros) del DPA.

3.5. No modificación de las CCT. Nada de lo dispuesto en el Acuerdo (incluido este Anexo 3) tiene por objeto modificar o contradecir las CCT ni menoscabar los derechos o libertades fundamentales de los interesados ​​en virtud de la legislación europea de protección de datos.

3.6. Precedencia de las CSC. En la medida en que sean aplicables las CSC y exista algún conflicto o inconsistencia entre las CSC y el resto del Acuerdo, incluido este Apéndice, prevalecerán las CSC.

MÓDULO 2: LEYES ESTATALES DE PROTECCIÓN DE DATOS DE EE. UU.

1. DEFINICIONES ADICIONALES

1.1. “CCPA” significa la Ley de Privacidad del Consumidor de California de 2018, enmendada, incluyendo la enmendada por la Ley de Derechos de Privacidad de California de 2020, junto con todos los reglamentos de implementación.

1.2. “CPA” significa la Ley de Privacidad de Colorado, Colo. Rev. Stat. §§ 6-1-1301 y siguientes, y todos los reglamentos de implementación.

1.3. “CTDPA” significa la Ley de Privacidad de Datos de Connecticut y todas las reglamentaciones de implementación.

1.4. “UCPA” significa la Ley de Privacidad del Consumidor de Utah, Código Anotado de Utah §§ 13-61-101 y siguientes, y todos los reglamentos de implementación.

1.5. “VCDPA” significa la Ley de Protección de Datos del Consumidor de Virginia, Va. Code Ann. §§ 59.1-575 y siguientes, y todos los reglamentos de implementación.

1.6. “Ley de protección de datos de EE. UU.” significa , según corresponda, la CCPA, la CPA, la CTDPA, la UCPA, la VCDPA y todas las demás leyes y reglamentos relacionados con la protección de datos, el procesamiento de datos personales, la privacidad y/o las comunicaciones electrónicas vigentes en cada momento en los Estados Unidos.

2. PROHIBICIONES

Sin perjuicio de las obligaciones de Stellar Cyber ​​en virtud de la Sección 4.3 (Instrucciones y Obligaciones del Cliente) del DPA, con respecto al procesamiento de Datos del Cliente de conformidad con la CCPA, Stellar Cyber ​​no hará, a menos que esté permitido de otro modo por la Ley de Protección de Datos de EE. UU.: (a) vender o compartir Datos del Cliente; (b) retener, usar o divulgar Datos del Cliente para ningún propósito que no sea el especificado en el Acuerdo y el DPA; (c) retener, usar o divulgar Datos del Cliente para ningún propósito comercial que no sea el propósito comercial especificado en el Acuerdo y el DPA, incluyendo la prestación de servicios a un negocio diferente; (d) retener, usar o divulgar Datos del Cliente fuera de la relación comercial directa entre Stellar Cyber ​​y el Cliente; o (e) combinar o actualizar Datos del Cliente con cualquier otra información personal que Stellar Cyber ​​reciba de o en nombre de un tercero o recopile de sus propias interacciones con el consumidor. Stellar Cyber ​​certifica que comprende las restricciones de esta Sección 2 y las cumplirá.

3. NOTIFICACIÓN DE CUMPLIMIENTO

Sin perjuicio de las obligaciones de Stellar Cyber ​​en virtud de la Sección 4.3 (Instrucciones y Obligaciones del Cliente) del DPA, o de cualquier otro derecho u obligación de cualquiera de las Partes en virtud del Acuerdo, Stellar Cyber ​​notificará al Cliente si, en opinión de Stellar Cyber, Stellar Cyber ​​no puede cumplir con sus obligaciones en virtud de la Ley de Protección de Datos de EE. UU., a menos que dicha notificación esté prohibida por la ley aplicable.

4. DATOS ANONIMIZADOS

Si los Datos del Cliente contienen datos anonimizados, Stellar Cyber ​​(a) tomará medidas razonables para garantizar que la información no pueda asociarse con un consumidor; (b) se comprometerá públicamente a procesar los datos anonimizados únicamente en forma anonimizada y no intentará reidentificar la información; y (c) obligará contractualmente a cualquier destinatario de datos anonimizados a cumplir con los requisitos anteriores y la Ley de Protección de Datos de EE. UU.

5. SOLUCIÓN PARA EL CLIENTE

Stellar Cyber ​​otorga al Cliente el derecho, previa notificación razonable, de tomar las medidas razonables y apropiadas para detener y remediar cualquier uso no autorizado de los Datos del Cliente.

Las Partes acuerdan que las cláusulas contractuales estándar anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (las “Cláusulas Contractuales Estándar de la UE aprobadas”) se incorporan íntegramente al presente Acuerdo de Protección de Datos mediante esta referencia, con: el Módulo Dos (de responsable del tratamiento a encargado del tratamiento) aplicable cuando el Cliente sea responsable del tratamiento de los Datos Personales del Cliente y el Módulo Tres (de encargado del tratamiento a encargado del tratamiento) aplicable cuando el Cliente sea encargado del tratamiento de los Datos Personales del Cliente; la cláusula de acoplamiento opcional de la Cláusula 7 incluida; en la Cláusula 9(a), la Opción 2 (autorización general por escrito) seleccionada con un plazo mínimo de preaviso de treinta (30) días; el texto opcional de la Cláusula 11(a) no incluido; en la Cláusula 17, la legislación de los Países Bajos seleccionada; en la Cláusula 18(b), los tribunales de los Países Bajos seleccionados; y los Anexos considerados completos con la información establecida en los Anexos del presente Apéndice 4. El texto que figura a continuación se proporciona únicamente para comodidad de las Partes; En caso de conflicto o inconsistencia entre el texto que figura a continuación y las Cláusulas Contractuales Tipo (CCT) de la UE aprobadas, cumplimentadas de conformidad con este párrafo, prevalecerán las CCT de la UE aprobadas.

SECCIÓN I

Cláusula 1

Propósito y alcance

Las presentes cláusulas contractuales tipo tienen por objeto garantizar el cumplimiento de los requisitos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y sobre la libre circulación de dichos datos (Reglamento General de Protección de Datos) para la transferencia de datos personales a un tercer país.

Las Partes: (i) la(s) persona(s) física(s) o jurídica(s), autoridad(es) pública(s), agencia(s) u otro(s) organismo(s) (“entidad(es)”) que transfieren los datos personales, según se enumeran en el Anexo IA (cada “exportador de datos”), y (ii) la(s) entidad(es) en un tercer país que recibe(n) los datos personales del exportador de datos, directa o indirectamente a través de otra entidad también Parte de estas Cláusulas, según se enumeran en el Anexo IA (cada “importador de datos”) han acordado estas cláusulas contractuales estándar (“Cláusulas”).

Estas Cláusulas se aplican con respecto a la transferencia de datos personales como se especifica en el Anexo IB

El Apéndice a estas Cláusulas que contiene los Anexos a los que se hace referencia en ellas forma parte integrante de estas Cláusulas.

Cláusula 2

Efecto e invariabilidad de las Cláusulas

Estas Cláusulas establecen salvaguardias apropiadas, incluidos derechos exigibles de los interesados ​​y recursos legales efectivos, de conformidad con el artículo 46(1) y el artículo 46(2)(c) del Reglamento (UE) 2016/679 y, con respecto a las transferencias de datos de responsables del tratamiento a encargados del tratamiento y/o de encargados del tratamiento a encargados del tratamiento, cláusulas contractuales tipo de conformidad con el artículo 28(7) del Reglamento (UE) 2016/679, siempre que no se modifiquen, salvo para seleccionar el/los Módulo(s) apropiado(s) o para añadir o actualizar información en el Anexo. Esto no impide que las Partes incluyan las cláusulas contractuales tipo establecidas en estas Cláusulas en un contrato más amplio y/o añadan otras cláusulas o salvaguardias adicionales, siempre que no contradigan, directa o indirectamente, estas Cláusulas ni menoscaben los derechos o libertades fundamentales de los interesados.

Las presentes Cláusulas se entienden sin perjuicio de las obligaciones a las que está sujeto el exportador de datos en virtud del Reglamento (UE) 2016/679.

Cláusula 3

Terceros beneficiarios

Los interesados ​​pueden invocar y hacer cumplir estas Cláusulas, como beneficiarios terceros, contra el exportador de datos y/o el importador de datos, con las siguientes excepciones: (i) Cláusula 1, Cláusula 2, Cláusula 3, Cláusula 6, Cláusula 7; (ii) Cláusula 8 — Módulo Uno: Cláusula 8.5(e) y Cláusula 8.9(b); Módulo Dos: Cláusula 8.1(b), 8.9(a), (c), (d) y (e); Módulo Tres: Cláusula 8.1(a), (c) y (d) y Cláusula 8.9(a), (c), (d), (e), (f) y (g); Módulo Cuatro: Cláusula 8.1(b) y Cláusula 8.3(b); (iii) Cláusula 9 — Módulo Dos: Cláusula 9(a), (c), (d) y (e); Módulo Tres: Cláusula 9(a), (c), (d) y (e); (iv) Cláusula 12 — Módulo uno: Cláusula 12(a) y (d); Módulos dos y tres: Cláusula 12(a), (d) y (f); (v) Cláusula 13; (vi) Cláusula 15.1(c), (d) y (e); (vii) Cláusula 16(e); (viii) Cláusula 18 — Módulos uno, dos y tres: Cláusula 18(a) y (b); Módulo cuatro: Cláusula 18.

El párrafo (a) se entiende sin perjuicio de los derechos de los interesados ​​en virtud del Reglamento (UE) 2016/679.

Cláusula 4

Interpretación

Cuando estas Cláusulas utilicen términos definidos en el Reglamento (UE) 2016/679, dichos términos tendrán el mismo significado que en dicho Reglamento.

Las presentes Cláusulas se leerán e interpretarán a la luz de lo dispuesto en el Reglamento (UE) 2016/679.

Estas Cláusulas no se interpretarán de manera que entren en conflicto con los derechos y obligaciones previstos en el Reglamento (UE) 2016/679.

Cláusula 5

Jerarquía

En caso de contradicción entre estas Cláusulas y las disposiciones de los acuerdos relacionados entre las Partes, existentes en el momento en que se acuerden estas Cláusulas o se celebren posteriormente, estas Cláusulas prevalecerán.

Cláusula 6

Descripción de la(s) transferencia(s)

Los detalles de la(s) transferencia(s) y, en particular, las categorías de datos personales que se transfieren y los fines para los que se transfieren, se especifican en el Anexo IB.

Cláusula 7 — Opcional

Cláusula de acoplamiento

Una entidad que no sea Parte de estas Cláusulas podrá, con el acuerdo de las Partes, adherirse a estas Cláusulas en cualquier momento, ya sea como exportador de datos o como importador de datos, completando el Apéndice y firmando el Anexo IA

Una vez que haya completado el Apéndice y firmado el Anexo IA, la entidad adherente se convertirá en Parte de estas Cláusulas y tendrá los derechos y obligaciones de un exportador o importador de datos de acuerdo con su designación en el Anexo IA.

La entidad adherente no tendrá derechos u obligaciones derivados de estas Cláusulas desde el período anterior a convertirse en Parte.

SECCIÓN II — OBLIGACIONES DE LAS PARTES

Cláusula 8

Salvaguardias de protección de datos

El exportador de datos garantiza que ha realizado esfuerzos razonables para determinar que el importador de datos puede, mediante la implementación de medidas técnicas y organizativas apropiadas, cumplir con sus obligaciones en virtud de estas Cláusulas.

MÓDULO UNO: Transferencia de controlador a controlador

8.1 Limitación de la finalidad

El importador de datos procesará los datos personales únicamente para el propósito específico de la transferencia, según lo establecido en el Anexo IB. Solo podrá procesar los datos personales para otro propósito: (i) cuando haya obtenido el consentimiento previo del interesado; (ii) cuando sea necesario para el establecimiento, ejercicio o defensa de reclamaciones legales en el contexto de procedimientos administrativos, reglamentarios o judiciales específicos; o (iii) cuando sea necesario para proteger los intereses vitales del interesado o de otra persona física.

8.2 Transparencia

Para que los interesados ​​puedan ejercer eficazmente sus derechos conforme a la cláusula 10, el importador de datos les informará, ya sea directamente o a través del exportador de datos, de su identidad y datos de contacto; de las categorías de datos personales tratados; del derecho a obtener una copia de estas cláusulas; y, cuando tenga previsto transferir los datos personales, del destinatario o categorías de destinatarios, la finalidad de dicha transferencia y el fundamento jurídico de la misma, de conformidad con la cláusula 8.7. Esta obligación no se aplica cuando el interesado ya dispone de la información o cuando facilitarla resulte imposible o suponga un esfuerzo desproporcionado, en cuyo caso el importador de datos deberá, en la medida de lo posible, hacerla pública. Previa solicitud, las Partes facilitarán gratuitamente una copia de estas cláusulas al interesado, con las debidas modificaciones para proteger secretos comerciales u otra información confidencial. Lo dispuesto en estos párrafos no menoscaba las obligaciones del exportador de datos en virtud de los artículos 13 y 14 del Reglamento (UE) 2016/679.

8.3 Precisión y minimización de datos

Cada Parte garantizará que los datos personales sean exactos y, cuando sea necesario, se mantengan actualizados, y adoptará todas las medidas razonables para asegurar que los datos inexactos se eliminen o rectifiquen sin demora. Si una Parte tiene conocimiento de que los datos personales que ha transferido o recibido son inexactos o están desactualizados, informará a la otra Parte sin demora indebida. El importador de datos garantizará que los datos personales sean adecuados, pertinentes y limitados a lo necesario en relación con la(s) finalidad(es) del tratamiento.

8.4 Limitación de almacenamiento

El importador de datos deberá conservar los datos personales solo durante el tiempo necesario para los fines para los que se procesan, y deberá adoptar las medidas técnicas u organizativas adecuadas para garantizar el cumplimiento de esta obligación, incluyendo la eliminación o anonimización de los datos y todas las copias de seguridad al final del período de conservación.

8.5 Seguridad del procesamiento

El importador de datos y, durante la transmisión, también el exportador de datos, implementarán medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales, incluida la protección contra una violación de datos personales, teniendo debidamente en cuenta el estado de la técnica, los costos de implementación y la naturaleza, alcance, contexto y finalidad(es) del tratamiento y los riesgos involucrados. Las Partes han acordado las medidas establecidas en el Anexo II, y el importador de datos realizará controles periódicos para garantizar que continúen proporcionando un nivel de seguridad apropiado. El importador de datos garantizará que las personas autorizadas a tratar los datos personales estén sujetas a confidencialidad. En caso de una violación de datos personales, el importador de datos adoptará las medidas apropiadas para abordarla y, cuando sea probable que resulte en un riesgo para los derechos y libertades de las personas físicas, notificará sin demora indebida tanto al exportador de datos como a la autoridad de control competente de conformidad con la Cláusula 13, con la información requerida por las Cláusulas; cuando sea probable que resulte en un alto riesgo, también notificará a los interesados ​​afectados, a menos que se hayan aplicado medidas de mitigación. El importador de datos documentará todos los hechos relevantes relacionados con la violación.

8.6 Datos sensibles

Cuando la transferencia implique datos sensibles, el importador de datos deberá aplicar restricciones específicas y/o medidas de seguridad adicionales adaptadas a la naturaleza específica de los datos y a los riesgos que conllevan.

8.7 Traslados posteriores

El importador de datos no divulgará los datos personales a un tercero ubicado fuera de la Unión Europea a menos que dicho tercero esté o acepte estar sujeto a estas Cláusulas, conforme al Módulo correspondiente, o a menos que se cumpla alguna de las condiciones establecidas en la Cláusula 8.7(i)–(vi) de las Cláusulas Contractuales Tipo (CCT) aprobadas por la UE (incluida la transferencia a un país adecuado, las garantías apropiadas conforme a los Artículos 46 o 47, un instrumento vinculante que garantice una protección equivalente, la necesidad para la formulación de reclamaciones legales, la protección de intereses vitales o el consentimiento explícito del interesado). Cualquier transferencia posterior está sujeta al cumplimiento por parte del importador de datos de todas las demás garantías establecidas en estas Cláusulas, en particular la limitación de la finalidad.

8.8 Tratamiento bajo la autoridad del importador de datos

El importador de datos se asegurará de que cualquier persona que actúe bajo su autoridad, incluido un procesador, procese los datos únicamente siguiendo sus instrucciones.

8.9 Documentación y cumplimiento

Cada Parte deberá poder demostrar el cumplimiento de sus obligaciones conforme a estas Cláusulas. En particular, el importador de datos deberá conservar la documentación adecuada de las actividades de tratamiento realizadas bajo su responsabilidad y deberá ponerla a disposición de la autoridad de control competente cuando esta lo solicite.

MÓDULO DOS: Transferencia del controlador al procesador

Instrucciones 8.1

El importador de datos solo procesará los datos personales siguiendo las instrucciones documentadas del exportador de datos. El exportador de datos podrá impartir dichas instrucciones durante la vigencia del contrato. El importador de datos deberá informar inmediatamente al exportador de datos si no puede seguir dichas instrucciones.

8.2 Limitación de la finalidad

El importador de datos procesará los datos personales solo para los fines específicos de la transferencia, como se establece en el Anexo IB, a menos que reciba instrucciones adicionales del exportador de datos.

8.3 Transparencia

Previa solicitud, el exportador de datos facilitará al interesado una copia de estas Cláusulas, incluido el Anexo cumplimentado por las Partes, de forma gratuita, con las debidas modificaciones. Esta Cláusula se entiende sin perjuicio de las obligaciones del exportador de datos en virtud de los artículos 13 y 14 del Reglamento (UE) 2016/679.

8.4 Precisión

Si el importador de datos detecta que los datos personales recibidos son inexactos o están desactualizados, deberá informar al exportador de datos sin demora injustificada. En tal caso, el importador de datos cooperará con el exportador para eliminar o rectificar los datos.

8.5 Duración del procesamiento y eliminación o devolución de datos

El tratamiento de datos por parte del importador se realizará únicamente durante el plazo especificado en el Anexo IB. Tras la finalización de la prestación de los servicios de tratamiento, el importador, a elección del exportador, eliminará todos los datos personales tratados en nombre del exportador y certificará que lo ha hecho, o bien devolverá dichos datos personales y eliminará las copias existentes. Hasta que los datos sean eliminados o devueltos, el importador seguirá garantizando el cumplimiento de estas Cláusulas. En caso de que la legislación local prohíba la devolución o eliminación, el importador garantiza que seguirá garantizando el cumplimiento y que solo tratará los datos en la medida y durante el tiempo que exija dicha legislación.

8.6 Seguridad del procesamiento

El importador de datos y, durante la transmisión, también el exportador de datos, deberán implementar medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos, teniendo debidamente en cuenta el estado de la técnica, los costes y la naturaleza, el alcance, el contexto y la finalidad del tratamiento, así como los riesgos que conlleva. El importador de datos deberá, como mínimo, implementar las medidas especificadas en el Anexo II y realizar controles periódicos. Solo concederá acceso a los datos personales a los miembros de su personal en la medida estrictamente necesaria y garantizará que estén sujetos a la confidencialidad. En caso de una violación de la seguridad de los datos personales, el importador de datos adoptará las medidas apropiadas para abordarla y notificará al exportador de datos sin dilación indebida una vez que tenga conocimiento de ella, con la información requerida por las Cláusulas; cuando no toda la información esté disponible de inmediato, podrá facilitarse por fases sin dilación adicional indebida. El importador de datos cooperará con el exportador de datos y le prestará asistencia para el cumplimiento de sus obligaciones en virtud del Reglamento (UE) 2016/679, en particular para notificar a la autoridad de control competente y a los interesados ​​afectados.

8.7 Datos sensibles

Cuando la transferencia implique datos sensibles, el importador de datos deberá aplicar las restricciones específicas y/o las salvaguardias adicionales descritas en el Anexo IB.

8.8 Traslados posteriores

El importador de datos solo podrá divulgar los datos personales a un tercero siguiendo instrucciones documentadas del exportador de datos. Además, los datos solo podrán divulgarse a un tercero ubicado fuera de la Unión Europea si dicho tercero está sujeto o acepta estar sujeto a estas Cláusulas, conforme al Módulo correspondiente, o si se cumple alguna de las condiciones establecidas en la Cláusula 8.8(i)–(iv) (adecuación, garantías apropiadas conforme a los Artículos 46 o 47, necesidad para la formulación de reclamaciones legales o protección de intereses vitales). Cualquier transferencia posterior está sujeta al cumplimiento por parte del importador de datos de todas las demás garantías previstas en estas Cláusulas, en particular la limitación de la finalidad.

8.9 Documentación y cumplimiento

El importador de datos deberá atender con prontitud y de forma adecuada las consultas del exportador de datos relativas al tratamiento de datos conforme a estas Cláusulas. Las Partes deberán poder demostrar el cumplimiento de estas Cláusulas, y el importador de datos deberá conservar la documentación pertinente. El importador de datos pondrá a disposición del exportador de datos toda la información necesaria para demostrar el cumplimiento y permitirá y colaborará en auditorías, a intervalos razonables o cuando existan indicios de incumplimiento; el exportador de datos podrá realizar la auditoría por sí mismo o encargar a un auditor independiente, y podrá tener en cuenta las certificaciones pertinentes que posea el importador de datos. Las Partes pondrán los resultados de la auditoría a disposición de la autoridad de control competente cuando esta lo solicite.

MÓDULO TRES: Transferir procesador a procesador

Instrucciones 8.1

El exportador de datos ha informado al importador de datos que actúa como encargado del tratamiento siguiendo las instrucciones de su(s) responsable(s) del tratamiento, las cuales deberá facilitar al importador antes del procesamiento. El importador de datos procesará los datos personales únicamente siguiendo las instrucciones documentadas del responsable del tratamiento, comunicadas por el exportador de datos, así como cualquier otra instrucción documentada del exportador que no entre en conflicto con las instrucciones del responsable del tratamiento. El importador de datos deberá informar inmediatamente al exportador de datos si no puede seguir dichas instrucciones. El exportador de datos garantiza que ha impuesto al importador de datos las mismas obligaciones de protección de datos que las establecidas en el contrato u otro acto jurídico celebrado entre el responsable del tratamiento y el exportador de datos.

8.2 Limitación de la finalidad

El importador de datos procesará los datos personales únicamente para el propósito o propósitos específicos de la transferencia, tal como se establece en el Anexo IB, a menos que reciba instrucciones adicionales del responsable del tratamiento (comunicadas por el exportador de datos) o del exportador de datos.

8.3 – 8.4 Transparencia y precisión

Previa solicitud, el exportador de datos facilitará gratuitamente al interesado una copia de estas Cláusulas, con las debidas modificaciones. Si el importador de datos detecta que los datos personales son inexactos o están desactualizados, deberá informar al exportador de datos sin demora indebida y cooperar para rectificar o eliminar dichos datos.

8.5 Duración del procesamiento y eliminación o devolución de datos

El tratamiento de datos se realizará únicamente durante el plazo especificado en el Anexo IB. Tras la finalización de la prestación de los servicios de tratamiento, el importador de datos, a elección del exportador de datos, eliminará o devolverá todos los datos personales tratados en nombre del responsable del tratamiento y eliminará las copias existentes, y seguirá garantizando el cumplimiento de estas Cláusulas hasta que los datos sean eliminados o devueltos. En caso de que la legislación local prohíba la devolución o eliminación, el importador de datos garantiza que seguirá garantizando el cumplimiento y que solo tratará los datos en la medida y durante el tiempo que exija dicha legislación.

8.6 Seguridad del procesamiento

Las Partes implementarán medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos, teniendo debidamente en cuenta el estado de la técnica, los costos, la naturaleza, el alcance, el contexto y la finalidad del tratamiento, así como los riesgos que conlleva. El importador de datos implementará, como mínimo, las medidas del Anexo II, otorgará acceso al personal solo cuando sea estrictamente necesario, garantizará la confidencialidad y, en caso de una violación de datos personales, adoptará las medidas apropiadas y notificará al exportador de datos (y, cuando proceda y sea factible, al responsable del tratamiento) sin demora indebida, proporcionándole la información requerida por las Cláusulas. El importador de datos cooperará con el exportador de datos y le prestará asistencia para que el responsable del tratamiento pueda notificar a la autoridad de control competente y a los interesados ​​afectados.

8.7 – 8.8 Datos sensibles y transferencias posteriores

Cuando la transferencia involucre datos sensibles, el importador de datos deberá aplicar las restricciones específicas y/o las salvaguardias adicionales establecidas en el Anexo IB. El importador de datos solo podrá divulgar los datos personales a un tercero siguiendo instrucciones documentadas del responsable del tratamiento, comunicadas por el exportador de datos, y solo a un tercero fuera de la Unión Europea cuando dicho tercero esté o acepte estar sujeto a estas Cláusulas, conforme al Módulo correspondiente, o cuando se apliquen la adecuación, las salvaguardias apropiadas según los Artículos 46 o 47, la necesidad para reclamaciones legales o la protección de intereses vitales. Cualquier transferencia posterior está sujeta al cumplimiento de todas las demás salvaguardias establecidas en estas Cláusulas, en particular la limitación de la finalidad.

8.9 Documentación y cumplimiento

El importador de datos deberá atender con prontitud y de forma adecuada las consultas del exportador de datos o del responsable del tratamiento, conservar la documentación pertinente, facilitar al exportador de datos toda la información necesaria para demostrar el cumplimiento (quien la facilitará al responsable del tratamiento), y permitir y colaborar en las auditorías realizadas por el exportador de datos (incluso por orden del responsable del tratamiento) a intervalos razonables o cuando existan indicios de incumplimiento. El exportador de datos podrá realizar la auditoría por sí mismo o encargar a un auditor independiente. Las Partes pondrán los resultados de la auditoría a disposición de la autoridad de control competente cuando esta lo solicite.

MÓDULO CUATRO: Transferencia del procesador al controlador

Instrucciones 8.1

El exportador de datos solo procesará los datos personales siguiendo las instrucciones documentadas del importador de datos, quien actúa como responsable del tratamiento, e informará inmediatamente al importador de datos si no puede seguir dichas instrucciones, incluso si infringen el Reglamento (UE) 2016/679 u otra legislación de protección de datos de la Unión o de un Estado miembro. El importador de datos se abstendrá de cualquier acción que impida al exportador de datos cumplir con sus obligaciones en virtud del Reglamento (UE) 2016/679. Una vez finalizada la prestación de los servicios de procesamiento, el exportador de datos, a elección del importador de datos, eliminará o devolverá todos los datos personales procesados ​​en su nombre y eliminará las copias existentes.

8.2 – 8.3 Seguridad del tratamiento y confidencialidad

Las Partes implementarán medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos, incluso durante la transmisión. El exportador de datos asistirá al importador de datos para garantizar la seguridad adecuada y, en caso de una violación de datos personales que afecte a los datos que procesa, notificará al importador de datos sin demora indebida y le ayudará a resolverla. El exportador de datos garantizará que las personas autorizadas para procesar los datos personales estén sujetas a la confidencialidad.

Cláusula 9

Uso de subprocesadores

MÓDULO DOS y MÓDULO TRES

OPCIÓN 2: AUTORIZACIÓN GENERAL POR ESCRITO. El importador de datos cuenta con la autorización general del exportador de datos (Módulo Dos) o del responsable del tratamiento (Módulo Tres) para la contratación de subencargados del tratamiento de una lista acordada. El importador de datos deberá informar específicamente al exportador de datos (o, en el caso del Módulo Tres, al responsable del tratamiento, y deberá informar al exportador de datos) por escrito de cualquier cambio previsto en dicha lista mediante la adición o sustitución de subencargados del tratamiento con al menos treinta (30) días de antelación, dando así tiempo suficiente para presentar objeciones antes de la contratación de los subencargados del tratamiento, y deberá proporcionar la información necesaria para permitir el ejercicio del derecho de oposición. La lista de subencargados del tratamiento autorizados figura en el Anexo III, que las Partes deberán mantener actualizada.

Cuando el importador de datos contrate a un subencargado del tratamiento, deberá hacerlo mediante un contrato escrito que establezca, en esencia, las mismas obligaciones de protección de datos que las que le vinculan conforme a estas Cláusulas, incluidos los derechos de terceros beneficiarios para los interesados. Al cumplir con esta Cláusula, el importador de datos cumple con sus obligaciones conforme a la Cláusula 8.8. El importador de datos deberá garantizar que el subencargado del tratamiento cumpla con las obligaciones a las que está sujeto.

El importador de datos deberá proporcionar, a solicitud del exportador de datos (o, para el Módulo Tres, del exportador de datos o del responsable del tratamiento), una copia del acuerdo de subencargado del tratamiento y cualquier modificación posterior, con las debidas modificaciones.

El importador de datos seguirá siendo plenamente responsable ante el exportador de datos del cumplimiento de las obligaciones del subencargado del tratamiento y deberá notificar al exportador de datos cualquier incumplimiento por parte del subencargado del tratamiento de sus obligaciones.

El importador de datos deberá acordar con el subencargado del tratamiento una cláusula de beneficiario tercero, en virtud de la cual, si el importador de datos desaparece de hecho, deja de existir legalmente o se declara insolvente, el exportador de datos tendrá derecho a rescindir el contrato con el subencargado del tratamiento e instruirle para que elimine o devuelva los datos personales. Este requisito podrá cumplirse si el subencargado del tratamiento acepta estas cláusulas en el módulo correspondiente, de conformidad con la cláusula 7.

Cláusula 10

Derechos del interesado

MÓDULO DOS: Transferencia del controlador al procesador

El importador de datos deberá notificar de inmediato al exportador de datos cualquier solicitud que haya recibido de un interesado, y no deberá responder a dicha solicitud a menos que esté autorizado a hacerlo por el exportador de datos.

El importador de datos prestará asistencia al exportador de datos para que este cumpla con sus obligaciones de responder a las solicitudes de los interesados ​​en virtud del Reglamento (UE) 2016/679. Las Partes establecerán en el Anexo II las medidas técnicas y organizativas adecuadas para la prestación de dicha asistencia, así como el alcance y la extensión de la misma.

Para cumplir con sus obligaciones, el importador de datos deberá acatar las instrucciones del exportador de datos.

MÓDULO TRES: Transferir procesador a procesador

El importador de datos deberá notificar de inmediato al exportador de datos y, en su caso, al responsable del tratamiento, cualquier solicitud recibida de un interesado, sin responder a menos que esté autorizado a hacerlo por el responsable del tratamiento.

El importador de datos prestará asistencia, cuando proceda y en colaboración con el exportador de datos, al responsable del tratamiento para el cumplimiento de sus obligaciones de responder a las solicitudes de los interesados. Las Partes establecerán en el Anexo II las medidas apropiadas y el alcance y la extensión de la asistencia requerida.

Para cumplir con sus obligaciones, el importador de datos deberá acatar las instrucciones del responsable del tratamiento, tal como se las haya comunicado el exportador de datos.

Cláusula 11

Compensación

El importador de datos informará a los interesados, de forma transparente y accesible, mediante notificación individual o en su sitio web, de un punto de contacto autorizado para tramitar reclamaciones, y las atenderá con prontitud. En caso de controversia entre un interesado y una Parte en relación con el cumplimiento de estas Cláusulas, dicha Parte hará todo lo posible por resolver la cuestión de forma amistosa y oportuna, y las Partes se mantendrán informadas y cooperarán entre sí. Cuando un interesado invoque un derecho de beneficiario de terceros, el importador de datos aceptará la decisión del interesado de presentar una reclamación ante la autoridad de control competente o de someter la controversia a los tribunales competentes en el sentido de la Cláusula 18. El interesado podrá estar representado por una entidad, organización o asociación sin ánimo de lucro en virtud del artículo 80, apartado 1, del Reglamento (UE) 2016/679.

Cláusula 12

Civil

MÓDULO DOS y MÓDULO TRES

Cada Parte será responsable frente a la(s) otra(s) Parte(s) por cualquier daño que cause a la(s) otra(s) Parte(s) por cualquier incumplimiento de estas Cláusulas.

El importador de datos será responsable ante el sujeto de datos, y el sujeto de datos tendrá derecho a recibir una compensación, por cualquier daño material o inmaterial que el importador de datos o su subprocesador cause al sujeto de datos al violar los derechos del tercero beneficiario. bajo estas Cláusulas.

No obstante lo anterior, el exportador de datos será responsable ante el interesado por cualquier daño material o inmaterial que el exportador de datos o el importador de datos (o su subencargado del tratamiento) causen al infringir los derechos del beneficiario tercero, sin perjuicio de la responsabilidad del exportador de datos (y, cuando sea un encargado del tratamiento que actúe en nombre de un responsable del tratamiento, del responsable del tratamiento) en virtud del Reglamento (UE) 2016/679.

Cuando el exportador de datos sea considerado responsable de los daños causados ​​por el importador de datos (o su subencargado del tratamiento), tendrá derecho a reclamar al importador de datos la parte correspondiente de la indemnización. Si hay más de una parte responsable, todas las partes responsables serán solidariamente responsables, con derecho a contribución entre ellas. El importador de datos no podrá invocar la conducta de un subencargado del tratamiento para eludir su propia responsabilidad.

Cláusula 13

Supervisión

La autoridad supervisora ​​competente se identifica en el Anexo IC. El importador de datos acepta someterse a la jurisdicción de la autoridad supervisora ​​competente y cooperar con ella en cualquier procedimiento destinado a garantizar el cumplimiento de estas Cláusulas, incluyendo responder a consultas, someterse a auditorías y cumplir con las medidas adoptadas por la autoridad, y deberá proporcionar una confirmación por escrito de que se han tomado las medidas necesarias.

SECCIÓN III — LEYES LOCALES Y OBLIGACIONES EN CASO DE ACCESO POR PARTE DE LAS AUTORIDADES PÚBLICAS

Cláusula 14

Leyes y prácticas locales que afectan el cumplimiento de las Cláusulas

Las Partes garantizan que no tienen motivos para creer que las leyes y prácticas del tercer país de destino aplicables al tratamiento de los datos personales por parte del importador de datos, incluidos los requisitos de divulgación de datos personales o las medidas que autorizan el acceso de las autoridades públicas, impiden al importador de datos cumplir con sus obligaciones en virtud de estas Cláusulas. Al proporcionar esta garantía, las Partes han tenido debidamente en cuenta, en particular: las circunstancias específicas de la transferencia; las leyes y prácticas del tercer país de destino pertinentes a la luz de dichas circunstancias, y las limitaciones y salvaguardias aplicables; y cualesquiera salvaguardias contractuales, técnicas u organizativas pertinentes establecidas para complementar las salvaguardias en virtud de estas Cláusulas. El importador de datos garantiza que ha hecho todo lo posible para proporcionar al exportador de datos la información pertinente y que seguirá cooperando. Las Partes acuerdan documentar la evaluación y ponerla a disposición de la autoridad de control competente cuando esta lo solicite. El importador de datos se compromete a notificar al exportador de datos con prontitud si tiene motivos para creer que está o ha pasado a estar sujeto a leyes o prácticas que no se ajustan a estos requisitos; Tras dicha notificación, o cuando el exportador de datos tenga motivos para creer que el importador de datos ya no puede cumplir con sus obligaciones, el exportador de datos deberá identificar rápidamente las medidas adecuadas y, si no se pueden garantizar las salvaguardias adecuadas (o si así lo ordena la autoridad de control competente), deberá suspender la transferencia y podrá rescindir el contrato en lo que respecta al tratamiento de datos personales con arreglo a estas Cláusulas.

Cláusula 15

Obligaciones del importador de datos en caso de acceso por parte de las autoridades públicas

15.1 Notificación

El importador de datos se compromete a notificar de inmediato al exportador de datos y, cuando sea posible, al interesado, si recibe una solicitud legalmente vinculante de una autoridad pública para la divulgación de datos personales transferidos conforme a estas Cláusulas, o si tiene conocimiento de cualquier acceso directo por parte de autoridades públicas, incluida la información especificada en las Cláusulas. Si se le prohíbe notificar, el importador de datos se compromete a hacer todo lo posible para obtener una exención de dicha prohibición y a documentar dichas gestiones. Cuando sea admisible, el importador de datos proporcionará al exportador de datos, a intervalos regulares, información relevante sobre las solicitudes recibidas, y conservará dicha información durante la vigencia del contrato y la pondrá a disposición de la autoridad de control competente que la solicite.

15.2 Revisión de la legalidad y minimización de datos

El importador de datos se compromete a revisar la legalidad de cualquier solicitud de divulgación, a impugnarla si considera, con fundamentos razonables, que es ilícita, y a interponer recursos, solicitando medidas cautelares y absteniéndose de divulgar los datos personales solicitados hasta que esté obligado a hacerlo conforme a las normas procesales aplicables. El importador de datos se compromete a documentar su análisis jurídico y cualquier impugnación y, en la medida en que sea admisible, a ponerla a disposición del exportador de datos y de la autoridad de control competente. El importador de datos se compromete a proporcionar la información mínima admisible al responder a una solicitud, basándose en una interpretación razonable de la misma.

SECCIÓN IV — DISPOSICIONES FINALES

Cláusula 16

Incumplimiento de las Cláusulas y resolución

El importador de datos deberá informar de inmediato al exportador de datos si no puede cumplir con estas Cláusulas. Si el importador de datos incumple o no puede cumplir, el exportador de datos suspenderá la transferencia hasta que se garantice nuevamente el cumplimiento o se rescinda el contrato. El exportador de datos podrá rescindir el contrato, en lo que respecta al tratamiento de datos personales según estas Cláusulas, cuando: (i) haya suspendido la transferencia y el cumplimiento no se restablezca en un plazo razonable y, en cualquier caso, dentro del plazo de un mes desde la suspensión; (ii) el importador de datos incurra en un incumplimiento sustancial o reiterado; o (iii) el importador de datos incumpla una decisión vinculante de un tribunal competente o una autoridad de control. Los datos personales transferidos antes de la rescisión deberán, a elección del exportador de datos, ser devueltos o eliminados en su totalidad, incluidas las copias, y el importador de datos deberá certificar la eliminación. Cualquiera de las partes podrá revocar su acuerdo de vinculación cuando la Comisión Europea adopte una decisión de adecuación que abarque la transferencia o cuando el Reglamento (UE) 2016/679 pase a formar parte del marco jurídico del país al que se transfieren los datos.

Cláusula 17

Ley

Estas cláusulas se rigen por la legislación de un Estado miembro de la UE, siempre que dicha legislación contemple los derechos de terceros beneficiarios. Las partes acuerdan que se aplicará la legislación de los Países Bajos.

Cláusula 18

Elección de foro y jurisdicción

Cualquier controversia derivada de estas Cláusulas se resolverá ante los tribunales de un Estado miembro de la UE, y las Partes acuerdan que dichos tribunales serán los de los Países Bajos. El interesado también podrá interponer una demanda contra el exportador y/o importador de datos ante los tribunales del Estado miembro en el que tenga su residencia habitual. Las Partes acuerdan someterse a la jurisdicción de dichos tribunales.

APÉNDICE DE LAS CLÁUSULAS CONTRACTUALES ESTÁNDAR

ANEXO IA — LISTA DE PARTES

Exportador de datos: Cliente, según se identifica en el Acuerdo. Importador de datos: Stellar Cyber ​​Inc., según se identifica en el Acuerdo.

ANEXO IB — DESCRIPCIÓN DE LA TRANSFERENCIA

Categorías de interesados: todos los empleados, agentes, asesores, subcontratistas o personas de contacto del exportador de datos, socios de canal, clientes, clientes potenciales, socios comerciales y proveedores del Cliente, y cualquier otro usuario de los puntos finales del Cliente en los que estén instalados los Entregables, u otros usuarios autorizados de los Entregables.

Categorías de datos personales transferidos:

Datos de la empresa cliente; cargos, correos electrónicos, números de teléfono y nombres de los representantes del cliente; información de facturación; información comercial; y otros datos o información que el cliente decida proporcionar a Stellar Cyber ​​mediante los entregables o cualquier otro medio.

Datos de usuario y de punto final: ID de agente, nombre del punto final, ID de usuario de Active Directory, nombre de usuario, aplicaciones instaladas (hora de instalación, tamaño, editor y versión), nombre de usuario SMTP y datos de configuración relacionados con la integración de Active Directory.

Ruta completa del archivo (solo incluirá datos personales si el nombre del archivo, tal como lo especifica el Cliente, incluye datos personales).

Datos de red (dirección IP de red interna, dirección IP pública, dirección MAC).

Archivos reconstruidos: archivos reconstruidos a través de la red.

Configuración del sistema recibida desde la consola de administración (nombres de usuario, correos electrónicos y números de teléfono).

Información sobre amenazas (ruta del archivo, firma de detección de intrusiones, que puede incluir nombres de usuario, direcciones IP y nombres de archivo).

Monitoreo de red en vivo (URL, encabezados de URL, marcas de tiempo).

Cuando el Cliente activa una funcionalidad de los Entregables que permite al Cliente o a sus administradores recuperar, recopilar o transmitir archivos a Stellar Cyber ​​para su análisis.

Datos sensibles transferidos: ver Apéndice 1 (Detalles del procesamiento de datos del cliente), “Categorías especiales de datos”. Frecuencia de la transferencia: continua durante la vigencia del Acuerdo. Finalidad(es) de la transferencia de datos y procesamiento posterior: Stellar Cyber ​​se compromete a proporcionar los Entregables al Cliente, lo que implica el procesamiento de datos personales según sea necesario para entregar los Entregables y cumplir con el Acuerdo y este DPA. Período de retención: la duración del procesamiento será hasta la expiración o terminación del Acuerdo, después de lo cual los Datos del Cliente se eliminan de acuerdo con la Sección 9 (Eliminación de datos). Para transferencias a subencargados del tratamiento: Stellar Cyber ​​utiliza subencargados del tratamiento para dar soporte a su entorno de infraestructura, telecomunicaciones y redes, y almacenamiento de datos y entrega de contenido; los subencargados del tratamiento procesan los datos personales para las finalidades y la vigencia del acuerdo de servicios de Stellar Cyber ​​o documento de pedido correspondiente. Ver la lista de subencargados del tratamiento en el Anexo III.

Frecuencia de transferencia: continua durante la vigencia del Acuerdo.

ANEXO IC — AUTORIDAD SUPERVISORA COMPETENTE

Para asuntos relacionados con transferencias de datos de conformidad con el Reglamento (UE) 2016/679: la Autoriteit Persoonsgegevens de los Países Bajos (https://www.autoriteitpersoonsgegevens.nl/en).

ANEXO II — MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Las medidas técnicas y organizativas implementadas por el importador de datos son las que se detallan en el Anexo 2 (Medidas de seguridad) del presente Acuerdo de Protección de Datos. Para las transferencias a subencargados del tratamiento, Stellar Cyber ​​exige a estos que cumplan con medidas técnicas y organizativas sustancialmente equivalentes a las adoptadas por Stellar Cyber.

ANEXO III — LISTA DE SUBPROCESADORES

El responsable del tratamiento ha autorizado el uso de los subprocesadores que se encuentran y actualizan en la sección 6.3, cuya versión actual se mantiene en https://stellarcyber.ai/dpa/subprocessors (y que Stellar Cyber ​​podrá actualizar periódicamente de conformidad con este DPA).

SUPLEMENTO SUIZO

Los siguientes términos complementan las Cláusulas Contractuales Estándar solo si y en la medida en que las Cláusulas Contractuales Estándar se aplican con respecto a las transferencias de datos sujetas a la Ley Federal de Protección de Datos de 25 de septiembre de 2020 (Suiza): el término “Estado miembro” se interpretará de manera que permita a un interesado en Suiza ejercer sus derechos en virtud de las Cláusulas en su lugar de residencia habitual (Suiza) de conformidad con la Cláusula 18(c) de estas Cláusulas.

APÉNDICE 5:

ANEXO DE TRANSFERENCIA INTERNACIONAL DE DATOS DEL REINO UNIDO

Este Anexo ha sido emitido por el Comisionado de Información para las Partes que realizan Transferencias Restringidas. El Comisionado de Información considera que proporciona Salvaguardias Apropiadas para Transferencias Restringidas cuando se celebra como un contrato legalmente vinculante.

Parte 1: Tablas

Tabla 1 (Partes): El exportador (quien envía la transferencia restringida) y el importador (quien recibe la transferencia restringida) y sus datos son los especificados en el Acuerdo. Fecha de inicio: la fecha de entrada en vigor del Acuerdo.

Tabla 2 (Cláusulas contractuales tipo, módulos y cláusulas seleccionadas): La versión de las cláusulas contractuales tipo de la UE aprobadas a la que se adjunta este Anexo, incluida la información del Apéndice, es la versión que figura en el Apéndice 4 de este Acuerdo de Protección de Datos.

Tabla 3 (Información del Apéndice): «Información del Apéndice» significa la información que debe proporcionarse para los módulos seleccionados, tal como se establece en el Apéndice de las Cláusulas Contractuales Tipo de la UE aprobadas (excepto las Partes), y que para este Anexo se establece en los Anexos de las Cláusulas Contractuales Tipo en el Apéndice 4 de este Acuerdo de Protección de Datos.

Tabla 4 (Finalización de este Anexo cuando cambie el Anexo Aprobado): Tanto el Importador como el Exportador pueden finalizar este Anexo según lo establecido en la Sección 19 de las Cláusulas Obligatorias.

Parte 2: Cláusulas Obligatorias

Cada Parte se compromete a cumplir con los términos y condiciones establecidos en este Anexo, a cambio de que la otra Parte también se comprometa a cumplir con el mismo. Si bien el Anexo 1.A. y la Cláusula 7 de las Cláusulas Contractuales Tipo (CCT) aprobadas por la UE requieren la firma de las Partes, para la realización de Transferencias Restringidas, las Partes podrán suscribir este Anexo de cualquier forma que lo haga jurídicamente vinculante para ellas y permita a los interesados ​​ejercer sus derechos conforme a lo establecido en este Anexo. La suscripción de este Anexo tendrá el mismo efecto que la firma de las CCT aprobadas por la UE y de cualquier parte de las mismas.

Interpretación de este Addendum

Cuando este Anexo utiliza términos que se definen en las Cláusulas Contractuales Tipo (CCT) aprobadas de la UE, esos términos tendrán el mismo significado que en las CCT aprobadas de la UE. Además: «Anexo» significa este Anexo de Transferencia Internacional de Datos, que incorpora las CCT del Anexo de la UE; «CCT del Anexo de la UE» significa la(s) versión(es) de las CCT aprobadas de la UE a las que se adjunta este Anexo, incluida la Información del Apéndice; «Salvaguardas apropiadas» significa el estándar de protección sobre los datos personales y los derechos de los interesados ​​requeridos por las Leyes de Protección de Datos del Reino Unido al realizar una Transferencia Restringida que se base en cláusulas estándar de protección de datos según el Artículo 46(2)(d) del RGPD del Reino Unido; «Anexo aprobado» significa el modelo de Anexo emitido por la ICO y presentado ante el Parlamento según el artículo 119A de la Ley de Protección de Datos de 2018 el 2 de febrero de 2022, según lo revisado según el Artículo 18; «Cláusulas Contractuales Tipo de la UE aprobadas» se refiere a las Cláusulas Contractuales Tipo establecidas en el Anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021; «ICO» se refiere al Comisionado de Información; «Transferencia restringida» se refiere a una transferencia cubierta por el Capítulo V del RGPD del Reino Unido; «Reino Unido» se refiere al Reino Unido de Gran Bretaña e Irlanda del Norte; «Leyes de protección de datos del Reino Unido» se refiere a todas las leyes relativas a la protección de datos, el tratamiento de datos personales, la privacidad y/o las comunicaciones electrónicas vigentes en cada momento en el Reino Unido, incluido el RGPD del Reino Unido y la Ley de Protección de Datos de 2018; y «RGPD del Reino Unido» tiene el significado que se le da en el artículo 3 de la Ley de Protección de Datos de 2018.

Este Anexo deberá interpretarse siempre de conformidad con la legislación británica de protección de datos y de manera que cumpla con las obligaciones de las Partes de proporcionar las salvaguardias adecuadas. Si alguna disposición de las Cláusulas Contractuales Tipo de la UE del Anexo modifica las Cláusulas Contractuales Tipo de la UE aprobadas de una forma no permitida por estas ni por el Anexo aprobado, dicha modificación no se incorporará y se sustituirá por la disposición equivalente de las Cláusulas Contractuales Tipo de la UE aprobadas. En caso de discrepancia o conflicto entre la legislación británica de protección de datos y este Anexo, prevalecerá la legislación británica de protección de datos; y, cuando el significado no sea claro, se aplicará el significado que más se ajuste a dicha legislación. Las referencias a la legislación se refieren a la legislación vigente, tal como pueda modificarse con el tiempo.

Si bien la cláusula 5 de las Cláusulas Contractuales Tipo (CCT) aprobadas de la UE establece que dichas CCT prevalecen sobre todos los acuerdos relacionados, las Partes acuerdan que, para las Transferencias Restringidas, prevalecerá la jerarquía establecida en la Sección 10 de las Cláusulas Obligatorias. En caso de discrepancia o conflicto entre el Anexo Aprobado y las CCT del Anexo de la UE, el Anexo Aprobado prevalecerá sobre las CCT del Anexo de la UE, salvo que las cláusulas contradictorias de las CCT del Anexo de la UE ofrezcan una mayor protección a los interesados, en cuyo caso dichas cláusulas prevalecerán sobre el Anexo Aprobado.

Incorporación y modificaciones de los SCC de la UE

Este Anexo incorpora las Cláusulas Contractuales Tipo de la UE del Anexo, que se modifican en la medida necesaria para que: (a) conjuntamente operen para las transferencias de datos realizadas por el exportador de datos al importador de datos, en la medida en que las Leyes de Protección de Datos del Reino Unido se apliquen al procesamiento de datos del exportador de datos, y proporcionen salvaguardias apropiadas para dichas transferencias; (b) las Secciones 9 a 11 de las Cláusulas Obligatorias prevalecen sobre la Cláusula 5 (Jerarquía) de las Cláusulas Contractuales Tipo de la UE del Anexo; y (c) este Anexo se rige por las leyes de Inglaterra y Gales y cualquier disputa que surja del mismo se resolverá ante los tribunales de Inglaterra y Gales, a menos que las leyes y/o los tribunales de Escocia o Irlanda del Norte hayan sido expresamente seleccionados por las Partes.

Se realizan las siguientes modificaciones al Anexo EU SCC: las referencias a las “Cláusulas” se refieren a este Anexo, que incorpora el Anexo EU SCC; en la Cláusula 2, se eliminan las palabras “y, con respecto a las transferencias de datos de responsables a encargados del tratamiento y/o de encargados del tratamiento a encargados del tratamiento, cláusulas contractuales estándar de conformidad con el artículo 28(7) del Reglamento (UE) 2016/679”; la Cláusula 6 se reemplaza por: “Los detalles de la(s) transferencia(s), y en particular las categorías de datos personales que se transfieren y la(s) finalidad(es) para la(s) que se transfieren, son los especificados en el Anexo IB cuando las Leyes de Protección de Datos del Reino Unido se aplican al tratamiento de datos del exportador al realizar dicha transferencia”; la Cláusula 8.7(i) del Módulo Uno y la Cláusula 8.8(i) de los Módulos Dos y Tres se reemplazan para referirse a un país que se beneficia de un reglamento de adecuación de conformidad con el artículo 17A del RGPD del Reino Unido; Las referencias al “Reglamento (UE) 2016/679” y “dicho Reglamento” se sustituyen por “Leyes de protección de datos del Reino Unido”, y las referencias a artículos específicos por el artículo o sección equivalente de las Leyes de protección de datos del Reino Unido; se eliminan las referencias al Reglamento (UE) 2018/1725; las referencias a la “Unión Europea”, “Unión”, “UE”, “Estado miembro de la UE”, “Estado miembro” y “UE o Estado miembro” se sustituyen por el “Reino Unido”; la referencia a la “Cláusula 12(c)(i)” en la Cláusula 10(b)(i) del Módulo Uno se sustituye por la “Cláusula 11(c)(i)”; no se utilizan la Cláusula 13(a) ni la Parte C del Anexo I; “autoridad de control competente” y “autoridad de control” se sustituyen por el “Comisionado de Información”; En la cláusula 16(e), el apartado (i) se sustituye por «el Secretario de Estado dicta reglamentos de conformidad con el artículo 17A de la Ley de Protección de Datos de 2018 que rigen la transferencia de datos personales a los que se aplican estas cláusulas»; la cláusula 17 se sustituye por «Estas cláusulas se rigen por las leyes de Inglaterra y Gales»; y la cláusula 18 se sustituye por «Cualquier controversia que surja de estas cláusulas se resolverá ante los tribunales de Inglaterra y Gales. Un interesado también podrá interponer acciones legales contra el exportador de datos y/o el importador de datos ante los tribunales de cualquier país del Reino Unido. Las partes acuerdan someterse a la jurisdicción de dichos tribunales». Las notas a pie de página de las Cláusulas Contractuales Tipo de la UE aprobadas no forman parte del Anexo, salvo las notas a pie de página 8, 9, 10 y 11.

Enmiendas a este Anexo

Las Partes podrán acordar modificar las Cláusulas 17 y/o 18 del Anexo EU SCC para que hagan referencia a las leyes y/o tribunales de Escocia o Irlanda del Norte, y podrán modificar el formato de la información en la Parte 1: Tablas mediante acuerdo escrito, siempre que la modificación no reduzca las Salvaguardias Adecuadas. De vez en cuando, la ICO podrá emitir un Anexo Aprobado revisado que introduzca cambios razonables y proporcionados y/o refleje cambios en las Leyes de Protección de Datos del Reino Unido; este Anexo se modificará automáticamente según lo establecido en el Anexo Aprobado revisado a partir de la fecha de entrada especificada. Si un Anexo Aprobado revisado provocara, como resultado directo, que una Parte seleccionada en la Tabla 4 incurriera en un aumento sustancial, desproporcionado y demostrable de sus costes directos y/o riesgos en virtud del Anexo (tras haber adoptado previamente medidas razonables para reducirlos), dicha Parte podrá rescindir este Anexo al final de un plazo de preaviso razonable mediante notificación escrita entregada antes de la fecha de entrada en vigor del Anexo Aprobado revisado. Las Partes no necesitan el consentimiento de ningún tercero para realizar cambios en este Anexo, pero cualquier cambio debe realizarse de conformidad con sus términos.

CALENDARIO