Acuerdo de procesamiento de datos de Rocket Software - Proveedores

Última actualización: 21 de octubre de 2024

Este acuerdo de procesamiento de datos (el “Acuerdo de Procesamiento de Datos” ) se celebra entre Rocket Software, Inc. y/o sus filiales ( “Rocket Software” ) y usted, proveedor de bienes o servicios de Rocket Software (el “Proveedor”), y entra en vigor a partir de la fecha de entrada en vigor (la “Fecha de Entrada en Vigor” ) del contrato de servicios del proveedor, contrato marco de servicios u otro contrato similar celebrado entre las partes (el “Acuerdo” ). Este Acuerdo de Procesamiento de Datos forma parte del Acuerdo y se incorpora a él.

I. Definiciones. Los términos en mayúsculas no definidos en este documento tendrán el significado que se les atribuye en el Acuerdo. Las siguientes definiciones se aplican a este Acuerdo de Procesamiento de Datos:

A. “Leyes de Protección de Datos Aplicables” significa todas las leyes y regulaciones aplicables al Procesamiento de Datos Personales bajo este Acuerdo de Procesamiento de Datos, en cada caso según se modifiquen ocasionalmente, incluyendo, sin limitación, las Leyes de Protección de Datos Europeas, la Ley de Privacidad del Consumidor de California modificada por la Ley de Derechos de Privacidad de California (en conjunto, “CCPA”), y la Ley General de Protección de Datos de Brasil, Lei Geral de Proteção de Dados.

B. “CCPA” significa la Ley de Privacidad del Consumidor de California (CCPA), según sus modificaciones.

C. “controlador”, “titular de los datos”, “datos personales”, “violación de datos personales”, “procesamiento”, “procesador” y “autoridad supervisora” tienen cada uno el significado que se les da en las Leyes de Protección de Datos Aplicables.

D. “Leyes Europeas de Protección de Datos” significa el Reglamento General de Protección de Datos 2016/679 de la UE (el “RGPD de la UE”), el RGPD de la UE en la forma en que se incorporó a la ley de Inglaterra y Gales, Escocia e Irlanda del Norte y la Ley de Protección de Datos del Reino Unido de 2018 (el “RGPD del Reino Unido” ), y la Ley Federal Suiza de Protección de Datos, y cualquier otra ley, estatuto, declaración, decreto, directiva, disposición legislativa, orden, ordenanza, reglamento, norma u otro instrumento vinculante aplicable que implemente cualquiera de los anteriores (en cada caso según sus modificaciones, consolidaciones, nuevas promulgaciones o reemplazos de vez en cuando).

E. “Servicios” significa los servicios y/o productos que el Proveedor proporcionará a Rocket Software en virtud del Acuerdo, incluyendo cualquier método requerido, usual, apropiado o aceptable para realizar actividades relacionadas con los Servicios, incluyendo (a) llevar a cabo los Servicios o el negocio del cual los Servicios son parte, (b) llevar a cabo cualquier beneficio, derecho y obligación relacionados con los Servicios, (c) mantener registros relacionados con los Servicios, y (d) cumplir con cualquier obligación legal o autorregulatoria relacionada con los Servicios.

F. “Subprocesador” significa un subcontratista externo contratado por o en nombre del Proveedor que procesará datos personales como parte del suministro de los Servicios.

G. “Cláusulas Contractuales Tipo” significa las Cláusulas Contractuales Tipo de la Comisión Europea para la transferencia de datos personales desde la Unión Europea a procesadores establecidos en terceros países de conformidad con el Reglamento (UE) 2016/679, tal como se establece en el Anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.

II. Naturaleza del Tratamiento, Obligaciones Generales, Subencargados del Tratamiento y Transferencias Transfronterizas

A. Naturaleza del procesamiento.

Las partes reconocen y acuerdan que, para los efectos de las Leyes de Protección de Datos Aplicables, Rocket Software es el controlador y el Proveedor es el procesador, en relación con el siguiente procesamiento: (i) alcance, naturaleza y propósito del procesamiento: procesamiento realizado por el Proveedor en la prestación de los Servicios; (ii) duración: por el Plazo; y (iii) tipos de datos personales y categorías de sujetos de datos: sujetos de datos cuyos datos personales son procesados ​​por el Proveedor en la prestación de los Servicios.

B. Obligaciones generales.

En la medida en que la información revelada por Rocket Software al Proveedor en relación con la prestación de los Servicios contenga datos personales, el Proveedor (actuando como procesador) deberá: (i) actuar únicamente según las instrucciones de Rocket Software establecidas en este Acuerdo de Procesamiento de Datos o el Acuerdo o según lo documentado de otro modo por Rocket Software, a menos que las Leyes de Protección de Datos Aplicables requieran lo contrario, en cuyo caso, el Proveedor deberá notificar a Rocket Software sobre dicho requisito legislativo antes de procesar dichos datos personales (a menos que el Proveedor tenga prohibido notificar a Rocket Software bajo las Leyes de Protección de Datos Aplicables); (ii) tan pronto como sea razonablemente posible (y en cualquier caso dentro de los dos (2) Días Hábiles) informar a Rocket Software si, en su opinión, una instrucción que recibe de ellos infringe las Leyes de Protección de Datos Aplicables; (iii) tomar medidas técnicas y organizativas apropiadas para proteger dichos datos personales contra la destrucción accidental o ilegal o la pérdida accidental, alteración, divulgación o acceso no autorizado, teniendo en cuenta el estado de la técnica, los costos de implementación y la naturaleza, el alcance, el contexto y los propósitos del procesamiento; (iv) garantizar que cualquier persona a la que el Proveedor revele dichos datos personales se haya comprometido a la confidencialidad o esté bajo una obligación legal apropiada de confidencialidad con respecto a dichos datos personales; (v) proporcionar una cooperación razonable según lo solicitado por Rocket Software para responder a cualquier solicitud de un titular de datos y para garantizar el cumplimiento de sus obligaciones bajo las Leyes de Protección de Datos Aplicables con respecto a la seguridad, notificaciones de infracciones (incluida la notificación a Rocket Software sin demora indebida y, en cualquier caso, dentro de las cuarenta y ocho (48) horas, tras tener conocimiento de la ocurrencia de una violación de datos personales), evaluaciones de impacto de protección de datos y consultas con autoridades supervisoras; (vi) tras la terminación o vencimiento de este Acuerdo de Protección de Datos por cualquier motivo, (a elección de Rocket Software) eliminar o devolver a Rocket Software todos esos datos personales, a menos que sea necesario que el Proveedor o sus Subprocesadores retengan ciertas copias de dichos datos personales para cumplir con las Leyes de Protección de Datos Aplicables, en cuyo caso deberá cumplir con sus políticas de respaldo y retención; y (vii) mediante notificación por escrito con treinta (30) días de anticipación de Rocket Software (no más de una vez por año calendario): (a) poner a disposición de Rocket Software toda la información razonablemente necesaria para demostrar el cumplimiento del Proveedor con este Acuerdo de Protección de Datos; y (b) permitir auditorías e inspecciones por parte de Rocket Software o su auditor designado.

C. Subprocesadores

Rocket Software consiente que el Proveedor contrate a un Subencargado del Tratamiento externo para el tratamiento de datos personales en nombre de Rocket Software en la medida necesaria para la prestación de los Servicios y de conformidad con el Acuerdo, siempre que: (i) el Proveedor informe a Rocket Software sobre cualquier nuevo Subencargado del Tratamiento contratado después de la fecha de este Acuerdo y obtenga su autorización por escrito para ello; y (ii) el subcontrato imponga al Subencargado del Tratamiento sustancialmente las mismas obligaciones a las que está sujeto el Proveedor en virtud de este Acuerdo de Tratamiento de Datos. El Proveedor proporcionará una lista de Subencargados del Tratamiento a Rocket Software a la dirección [email protected] si así se le solicita.

D. Transferencias transfronterizas de datos personales

Cuando el Proveedor transfiera datos personales a cualquier destinatario no cubierto por un marco reconocido por las Leyes de Protección de Datos Aplicables como proveedor de un nivel adecuado de protección de datos personales, el Proveedor deberá garantizar que dicha transferencia de datos personales cumpla con las Leyes de Protección de Datos Aplicables.

E. Transferencias transfronterizas de datos personales – UE

i. Con respecto a la transferencia de datos personales de Rocket Software al Proveedor, de conformidad con la Ley Europea de Protección de Datos, cuando dicha transferencia se produzca desde un país de la Unión Europea a un tercer país que no esté cubierto por un marco reconocido por la Ley de Protección de Datos Aplicable como proveedor de un nivel adecuado de protección de datos personales, las partes acuerdan cumplir con las cláusulas generales de este Acuerdo de Tratamiento de Datos, y el "Módulo Dos" (Transferencia del Responsable al Encargado) de las Cláusulas Contractuales Tipo se aplicará al tratamiento de dichos datos personales por parte del Proveedor, que se incorporan al presente documento por referencia.

ii. En cumplimiento de lo anterior, las partes acuerdan que, a los efectos de las Cláusulas Contractuales Tipo:

a. Rocket Software actuará y cumplirá con sus obligaciones como «exportador de datos», y el Proveedor actuará y cumplirá con sus obligaciones como «importador de datos».

b. Se aplicará la cláusula 7 (Cláusula de Atraque) de las Cláusulas Contractuales Estándar;

c. Se aplicará la Opción 1 de la Cláusula 9(a) (Uso de subencargados del tratamiento). La lista de subencargados del tratamiento que no hayan sido autorizados por el exportador de datos se notificará a [email protected] (donde se incluirán también las actualizaciones propuestas) y el plazo correspondiente será de 45 días.

d. la redacción opcional de la cláusula 11(a) (Reparación) de las cláusulas contractuales estándar no se aplicará;

e. a los efectos de la Cláusula 17 de las Cláusulas Contractuales Tipo, las Cláusulas Contractuales Tipo se regirán por las leyes de los Países Bajos; y

f. a los efectos de la cláusula 18(b) de las Cláusulas Contractuales Estándar, las partes acuerdan someterse a la jurisdicción de los tribunales de los Países Bajos.

iii. El Anexo I de las Cláusulas Contractuales Tipo se completará de la siguiente manera:

a. A los efectos de la Sección A (Lista de Partes) del Anexo I, la identidad y los datos de contacto de Rocket Software como exportador y responsable del tratamiento de datos, y del Proveedor como importador y encargado del tratamiento de datos, así como, en su caso, la información sobre sus respectivos responsables y/o representantes de protección de datos en la Unión Europea, son los establecidos en el Acuerdo o los que cada parte comunique a la otra.

b. La Sección B (Descripción de la Transferencia) del Anexo I se considera completa con la información establecida en la Cláusula II.A de este Acuerdo de Procesamiento de Datos, donde la frecuencia de la transferencia será de base continua y, sujeto a la Cláusula II.B(vi) de este Acuerdo de Procesamiento de Datos, los datos personales se conservarán durante el período de tiempo necesario para los fines del procesamiento.

c. A los efectos de la Sección C (Autoridad de control competente) del Anexo I, la autoridad de control competente identificada de conformidad con la Cláusula 13 son los Países Bajos.

iv. Las partes han acordado las medidas técnicas y organizativas proporcionadas por el Proveedor a Rocket Software a los efectos del Anexo II de las Cláusulas Contractuales Tipo.

v. El Anexo III de las Cláusulas Contractuales Estándar (Lista de Subprocesadores) se considera completo por la presente mediante referencia a la lista proporcionada por el Proveedor a Rocket Software según la Cláusula II.E(ii)(c) anterior, actualizada de conformidad con dicha cláusula.

F. Transferencias transfronterizas de datos personales – Resto del mundo

Con respecto a la transferencia de Datos Personales de Rocket Software al Proveedor según otras Leyes de Protección de Datos Aplicables:

i. Las partes acuerdan cumplir con los requisitos anteriores en la medida en que las cláusulas contractuales tipo sean necesarias para cumplir con las obligaciones legales relativas a las transferencias transfronterizas según la Legislación de Protección de Datos Aplicable. En tal caso, (i) las referencias en las Cláusulas Contractuales Tipo al RGPD se considerarán con el mismo significado que la referencia equivalente en la Legislación de Protección de Datos Aplicable; (ii) las referencias en las Cláusulas Contractuales Tipo a «Estado Miembro» o «Unión» se considerarán referidas a la jurisdicción pertinente donde estén vigentes las Legislación de Protección de Datos Aplicable; y (iii) cualquier otra obligación en las Cláusulas Contractuales Tipo determinada por el Estado Miembro en el que esté establecido el exportador de datos se considerará referida a una obligación en virtud de la Legislación de Protección de Datos Aplicable.

ii. Cuando el tratamiento de Datos Personales esté sujeto a la Ley de Protección de Datos Aplicable en el Reino Unido, se aplicará el Anexo B.1.0, emitido por la ICO del Reino Unido y presentado ante el Parlamento de conformidad con el artículo 119A de la Ley de Protección de Datos de 2018 el 2 de febrero de 2022 ( el «Anexo del Reino Unido» ), junto con las Cláusulas Contractuales Tipo. A efectos de la Parte 1 del Anexo del Reino Unido, las partes acuerdan que:

a. Tabla 1. La «fecha de inicio» será la fecha de entrada en vigor del Acuerdo. Las «Partes» son Rocket Software como exportador y el Proveedor como importador.

b. Tabla 2. Se aplica el Módulo Dos de las Cláusulas Contractuales Tipo.

c. Tabla 3. La “Información del Apéndice” es la información establecida en la Cláusula II.E(ii)-(iii) del presente Acuerdo de Procesamiento de Datos.

d. Tabla 4. La parte que puede finalizar el Anexo del Reino Unido de conformidad con la Sección 19 del Anexo del Reino Unido es Rocket Software.

ii. En la medida necesaria para cumplir con la Ley de Protección de Datos Aplicable, las partes acuerdan suscribir los documentos adicionales (incluidas las actualizaciones de los Anexos de las Cláusulas Contractuales Tipo) y aplicar las protecciones adicionales que sean necesarias para la transferencia y el almacenamiento de los datos personales transferidos de conformidad con las Cláusulas Contractuales Tipo, el Anexo del Reino Unido u otros requisitos equivalentes de la Ley de Protección de Datos Aplicable.

G. CCPA

En algunos casos, de conformidad con el Acuerdo, el Proveedor actuará como Empresa bajo la CCPA, y en otros, como Proveedor de Servicios bajo la CCPA. Los Datos Personales que Rocket Software divulgó al Proveedor se proporcionan a este para un Fin Comercial. El Proveedor no venderá ni compartirá los Datos Personales, según se definen en la CCPA, y la transferencia de los Datos Personales al Proveedor no se considerará una "venta" según la definición de la CCPA.

Cuando el Proveedor actúe como Proveedor de Servicios, no venderá Datos Personales ni retendrá, usará ni divulgará Datos Personales (a) para ningún otro propósito que no sea el propósito específico de proporcionar los Servicios; (b) fuera de la relación comercial directa entre Rocket Software y el Proveedor; o (c) combinará los Datos Personales recibidos de Rocket Software con Datos Personales que el Proveedor reciba de, o en nombre de, otra persona o empresa, excepto según lo permitan las Leyes de Protección de Datos Aplicables; o (d) según lo prohíba la CCPA.

III. General

Los términos y condiciones incluidos en este Acuerdo de Procesamiento de Datos sustituirán y reemplazarán cualquier acuerdo de protección de datos anterior o versiones anteriores de las Cláusulas Contractuales Tipo, así como los términos de privacidad o protección de datos incluidos en cualquier otro acuerdo entre las partes en relación con el objeto de este Acuerdo de Procesamiento de Datos. Rocket Software podrá modificar este Acuerdo de Procesamiento de Datos según sea necesario para cumplir con la Ley de Protección de Datos Aplicable o la decisión de una autoridad competente en virtud de dicha Ley, incluyendo en relación con (a) cambios en la estructura corporativa y (b) el lanzamiento de nuevas características, funciones, productos o servicios, o cambios en cualquiera de los Servicios existentes. Para evitar cualquier duda, Rocket Software podrá ceder libremente el Acuerdo y este Acuerdo de Procesamiento de Datos.