Condiciones de uso
Última actualización: enero de 2024
Las presentes condiciones de servicio recogen información importante sobre sus derechos y obligaciones en relación con el uso de nuestro servicio. Lea atentamente estas condiciones de servicio antes de empezar a utilizar el servicio, ya que definen la relación de Dexatel con usted mientras utiliza nuestros servicios.
Introducción
Las presentes condiciones de servicio («Condiciones de servicio») regulan el acceso y el uso de la solución de comunicaciones basada en la nube ( «Servicio») prestada por Dexatel OÜ, una sociedad constituida con arreglo a la legislación de Estonia, con número de registro 12829749 y domicilio social en Pärnu mnt 139e/2, Tallin 11317, Estonia ( «Dexatel»), a la que se puede acceder a través del sitio web www.dexatel.com ( «Sitio web»).
El término «Cliente» o «usted» se refiere a una persona que (i) haya completado el proceso de registro en el sitio web y, como parte de dicho proceso, haya aceptado estas Condiciones de servicio en el sitio web, o (ii) haya aceptado estas Condiciones de servicio de cualquier otra forma vinculante. Si está registrando la Cuenta del Cliente (tal y como se define en la Sección 2.2) en nombre de una persona jurídica, está aceptando estas Condiciones de servicio en nombre de dicha persona jurídica y declara y garantiza a Dexatel que tiene la autoridad para vincular a dicha persona jurídica a estas Condiciones de servicio. Si no dispone de dicha autoridad, no debe aceptar estas Condiciones de servicio ni utilizar el Servicio.
Al aceptar estas Condiciones de servicio o al comenzar a utilizar el Servicio, usted confirma que ha leído y comprendido estas Condiciones de servicio y acepta quedar vinculado por las mismas, por el Acuerdo de tratamiento de datos (que se adjunta como anexo a estas Condiciones de servicio) y por cualquier política a la que se haga referencia en el presente documento, los cuales forman parte integrante de las Condiciones de servicio. La aceptación de estas Condiciones de servicio constituirá un acuerdo legalmente vinculante («Acuerdo») entre el Cliente y Dexatel para el uso del Servicio.
En lo sucesivo, se hará referencia a Dexatel y al Cliente como las «Partes» y, por separado, como una «Parte».
Si tiene alguna pregunta o comentario sobre el sitio web o las condiciones del servicio, póngase en contacto con Dexatel en [email protected] .
USO DEL SERVICIO
Dexatel concede al Cliente y a los usuarios finales designados por este (por ejemplo, los empleados del Cliente) («Usuario final») acceso a través del Sitio web al Servicio, incluidos los SDK, las API, la documentación o el software correspondientes que se pongan a disposición en relación con el Servicio, tal y como se describa con mayor detalle en el Sitio web o se acuerde por escrito.
Para poder utilizar el Servicio, el Cliente deberá superar la verificación de la cuenta realizada por Dexatel, salvo que la cuenta del Cliente haya sido creada por Dexatel. Si el Cliente supera la verificación de la cuenta, Dexatel se lo notificará por correo electrónico y pondrá el Servicio a su disposición. En función de las características del Servicio y/o del proceso de incorporación del Cliente, el Cliente o Dexatel crearán un perfil de Cliente para poder utilizar el Servicio («Cuenta del Cliente») que contenga la información de identificación del Cliente y otros datos necesarios, a través del cual el Cliente podrá gestionar, crear y cerrar subcuentas para sus Usuarios finales. El Cliente podrá determinar que cada subcuenta tenga derechos diferentes dentro del Servicio.
El Cliente y sus Usuarios finales pueden utilizar el Servicio iniciando sesión en la Cuenta del Cliente o en las subcuentas correspondientes. El Cliente es plenamente responsable de gestionar y administrar el uso de las subcuentas vinculadas a su Cuenta, así como de las acciones de sus Usuarios finales y de cualquier otra persona que acceda al Servicio utilizando la Cuenta o las subcuentas del Cliente.
El Cliente y los Usuarios finales son responsables de mantener la confidencialidad de su nombre de usuario, contraseña y cualquier otra credencial necesaria para acceder al Servicio. El Cliente deberá notificar inmediatamente a Dexatel si sospecha que la seguridad de su Cuenta o de cualquier subcuenta se ha visto comprometida. Dexatel no se hace responsable en caso de que los datos del Cliente o de los Usuarios finales sean objeto de una violación de seguridad debida a la actividad o inactividad por parte del Cliente.
El Cliente deberá asegurarse de disponer del equipo, los dispositivos y los medios necesarios (incluida una conexión a Internet estable) para acceder al Servicio, corriendo con los gastos correspondientes. Dexatel no está obligada a proporcionar al Cliente ningún hardware o software necesario para utilizar el Servicio. El Cliente tiene derecho a solicitar información a Dexatel para familiarizarse con los requisitos técnicos y de otro tipo necesarios para el correcto uso del Servicio.
En lo que respecta a la información (incluidos todos los textos, imágenes, documentos, datos personales y demás contenidos) que el Cliente o el Usuario final adquiera, posea, introduzca, registre, almacene, modifique, divulgue, ponga a disposición, transmita, utilice, elimine o procese de cualquier otra forma a través del Servicio, el Cliente declara y garantiza a Dexatel que él mismo o, en su caso, el Usuario final correspondiente, tiene derecho a adquirir, poseer y procesar dicha información. El Cliente será el único responsable de la propiedad de dicha información y de la adquisición, posesión y tratamiento de dicha información en el marco de, a través de, en relación con o por medio de la Cuenta del Cliente.
Durante la vigencia de las presentes Condiciones de servicio entre el Cliente y Dexatel, el Cliente podrá solicitar a Dexatel la prestación o el desarrollo de servicios y funciones adicionales que no se especifiquen en las presentes Condiciones de servicio. Dichos servicios o funciones, así como la remuneración y otros detalles, serán acordados de mutuo acuerdo por las Partes en un contrato independiente, en un formato reproducible por escrito o como anexo a las presentes Condiciones de servicio.
CUENTA DE PRUEBA
Si el Cliente se registra para una prueba gratuita, deberá superar la verificación de cuenta realizada por Dexatel. Si el Cliente supera la verificación de cuenta, Dexatel se lo notificará por correo electrónico y pondrá el Servicio a su disposición de forma gratuita y a título de prueba, con el fin de que el Cliente pueda evaluar internamente la idoneidad del Servicio («Prueba»). Al acceder al Servicio, el Cliente acepta quedar vinculado por las presentes Condiciones de servicio. Es posible que se proporcionen condiciones de servicio adicionales para la Prueba durante el proceso de registro de la misma. Dichas condiciones adicionales se incorporan a las presentes Condiciones de servicio por referencia y son legalmente vinculantes.
El periodo de prueba se extenderá hasta el final del periodo de prueba gratuito para el que el Cliente se haya registrado con el fin de utilizar el Servicio. Cualquiera de las partes podrá rescindir el periodo de prueba en cualquier momento sin necesidad de notificarlo a la otra parte. En caso de que Dexatel rescinda el uso del periodo de prueba por parte del Cliente, así como el acceso a las funciones disponibles en relación con el mismo, Dexatel no asumirá responsabilidad alguna ni obligación adicional de ningún tipo frente al Cliente ni a ninguna otra parte.
USO PREVISTO Y PROHIBIDO DEL SERVICIO
El Servicio está destinado al uso de soluciones de mensajería de texto omnicanal mediante el uso de las funciones del Servicio tal y como se describen en el sitio web. No está permitido utilizar el Servicio para ningún otro fin.
El Cliente deberá utilizar el Servicio de conformidad con la legislación aplicable, incluida cualquier normativa vigente en materia de protección de datos, así como con lo establecido en las presentes Condiciones de servicio. El Cliente es el único responsable de todos los contenidos y datos publicados, así como de toda la actividad que se desarrolle en su Cuenta, incluidas las subcuentas de los Usuarios finales (en conjunto,el «Contenido de la Cuenta»).
Para poder utilizar el Servicio, el Cliente deberá cumplir los siguientes criterios y declarar y garantizar que:
no registre la cuenta del cliente mediante «bots» u otros métodos automatizados;
tiene al menos 18 años;
facilite la información correcta (incluido el nombre completo, una dirección de correo electrónico válida, el documento de identidad o pasaporte, si procede, y cualquier otro dato que se le solicite) para completar el proceso de registro o de pago;
tiene capacidad jurídica y está autorizado para aceptar estas Condiciones de servicio;
no tenga suspendido el uso del Servicio ni se le haya prohibido de ningún otro modo tener una cuenta de cliente;
solo tiene una cuenta de cliente en un momento dado;
tiene derecho a enviar Contenido de la cuenta, siempre que dicho contenido no sea confidencial y no infrinja ninguna legislación, restricción contractual ni otros derechos de terceros (incluidos, entre otros, los derechos de propiedad intelectual).
Sin excluir ni limitar ninguna de las obligaciones legales del Cliente, este no podrá, ni permitirá que ningún Usuario final:
utilizar el Servicio o su contenido con fines ilegales, obscenos o inmorales, incluido el acoso o la intimidación de otras personas;
incitar a otros a cometer o participar en actos ilícitos;
facilitar información falsa o engañosa;
recoger o rastrear datos personales de otras personas sin fundamento jurídico;
utilizar números de teléfono o listas de contactos obtenidos de forma ilícita;
utilizar listas de números de teléfono o contactos de terceros, compradas o alquiladas, a menos que el Cliente o el Usuario final pueda demostrar que todas las personas incluidas en la lista han dado su consentimiento expreso para recibir mensajes del tipo que el Cliente o el Usuario final les va a enviar;
recopilar números de teléfono o contactos de Internet mediante escaneo u otros métodos similares;
subir, publicar, alojar o transmitir correos electrónicos, SMS (servicio de mensajes cortos), mensajes de spam o cualquier otro contenido no solicitado o no autorizado (incluido aquel que carezca del consentimiento expreso requerido y de un mecanismo claro de baja), incluido el Contenido de la Cuenta (por ejemplo, publicidad no solicitada y no autorizada, promociones, correo basura, cartas en cadena, esquemas piramidales y otros sistemas similares, o cualquier otra forma de captación de clientes) que: (i) incumpla la legislación aplicable en materia de privacidad y comunicaciones electrónicas y la Política Antispam de Dexatel, disponible aquí: https://dexatel.com/anti-spam-policy/; o que sea (ii) ilegal, inmoral, que incite al odio, perjudicial, amenazante, falso, abusivo, ofensivo, calumnioso, difamatorio, pornográfico, indecente, obsceno, insultante, despectivo, intimidatorio, discriminatorio, fraudulento, engañoso, violento o de cualquier otro modo inapropiado para un público general amplio;
acosar, maltratar, insultar, causar daño, difamar, calumniar, menospreciar, intimidar o discriminar por motivos de género, orientación sexual, religión, origen étnico, raza, edad, nacionalidad o discapacidad;
infringir o vulnerar los derechos de propiedad intelectual de Dexatel o los derechos de propiedad intelectual de terceros;
reproducir, duplicar, copiar, vender, revender, explotar, modificar, traducir, crear obras derivadas, desmontar o descompilar, realizar ingeniería inversa o intentar de cualquier otra forma obtener cualquier parte del sitio web o del servicio (incluidos el código fuente y los scripts);
eliminar, modificar, ocultar u ocultar cualquier aviso de derechos de autor, marca comercial u otro aviso de derechos de propiedad que esté integrado en el Servicio, aparezca en él o se refiera de cualquier otra forma al mismo;
crear o intentar crear cualquier producto, servicio o sitio web que sea sustancialmente similar al Servicio o al Sitio web, o dar a entender falsamente que está asociado al Servicio, al Sitio web o a cualquier otro servicio prestado por Dexatel;
modificar, adaptar, piratear u obtener cualquier otro tipo de acceso no autorizado al Servicio;
subir o transmitir gusanos, virus, troyanos, bombas lógicas o cualquier código o material malicioso (incluido cualquier contenido que se utilice o pueda utilizarse de cualquier forma que afecte al funcionamiento o a la operatividad del Servicio, del Sitio web, de otros sitios web o de Internet);
utilizar cualquier dispositivo, software o rutina para interferir o intentar interferir en el correcto funcionamiento, la infraestructura o las funciones de seguridad, lo que incluye imponer una carga irrazonable o desproporcionadamente elevada al Servicio, al Sitio web, a otros sitios web o a Internet;
utilizar tecnología u otros medios para interferir en el acceso a contenidos no autorizados, incluyendo el phishing, el pharming o el pretexting, así como el uso de arañas, rastreadores o scrapers;
tratar datos personales, incluido el envío de mensajes, sin una base jurídica válida o infringiendo la política de la empresa Viber, WhatsApp u otros proveedores similares.
Dexatel se reserva el derecho a revisar el Contenido de la Cuenta para evitar comportamientos prohibidos según lo establecido en el Acuerdo. Cualquier contenido que entre en conflicto con las disposiciones del Acuerdo, incluida la presente sección, podrá ser eliminado, desactivado o destruido por Dexatel a su entera discreción, sin previo aviso ni notificación. Dexatel no se hace responsable de las consecuencias que pueda sufrir el Cliente como consecuencia de la eliminación de contenido en virtud de la presente sección.
TARIFAS Y PAGOS
Dexatel presta el Servicio de forma gratuita durante el periodo de prueba. Una vez finalizado el periodo de prueba, el Cliente se compromete a abonar a Dexatel las tarifas correspondientes al Servicio solicitado por el Cliente, tal y como se describe en https://dexatel.com/pricing/, en el sitio web, en la API o según lo acordado en un formato reproducible por escrito. Para evitar dudas, los mensajes SMS se cobran según el principio de «facturación por envío» y «tarifa por SMS». Excepto en el caso de los SMS con el estado de envío «NO ACEPTADO», cualquier mensaje SMS, independientemente de su estado de envío, está sujeto a un cargo.
En caso de que el Cliente desee disfrutar de funciones y servicios adicionales, tal y como se especifican en el sitio web o se acuerde por escrito, deberá abonar una tarifa adicional por dichos complementos mientras estos estén activos.
Todas las tarifas por el uso de los Servicios se facturan en la moneda elegida por el Cliente durante el proceso de registro o en su cuenta, y no incluyen el IVA ni ningún otro impuesto. El IVA y otros impuestos se añadirán a las tarifas en caso de que así lo exija la legislación aplicable. El Cliente está obligado a abonar todo el IVA y los demás impuestos que se añadan a las tarifas, de acuerdo con las facturas emitidas por Dexatel.
El Cliente indemnizará y eximirá de responsabilidad a Dexatel por todos los impuestos (incluidos intereses y sanciones) relacionados con todos los importes a cobrar del Cliente que este estuviera obligado a retener o deducir en virtud de la legislación aplicable. El importe a pagar se incrementará en la medida necesaria para que, tras efectuar todas las deducciones o retenciones obligatorias, Dexatel reciba y conserve un importe equivalente al que habría recibido de no haberse exigido dicha deducción o retención.
Todas las tarifas no incluyen las tasas ni los recargos aplicables de los proveedores de servicios de comunicaciones o de telecomunicaciones (por ejemplo, los operadores). El Cliente deberá abonar todos los recargos de comunicaciones asociados al uso que haga de los Servicios. Los recargos de comunicaciones aparecerán como una partida separada en la factura. El Cliente abonará todos los costes, multas o sanciones que se impongan a Dexatel por parte de un organismo gubernamental o regulador o de un proveedor de telecomunicaciones como consecuencia del uso de los Servicios por parte del Cliente o de los Usuarios finales.
El Cliente puede optar por pagar las tarifas por adelantado con tarjeta de crédito (por ejemplo, recargando su cuenta) o recibir facturas. Cada factura se emite antes del tercer día hábil de cada mes y se envía a la dirección de correo electrónico indicada en la cuenta del Cliente. El pago de cada factura debe efectuarse en un plazo de siete (7) días naturales a partir de la fecha de emisión, salvo que se especifique lo contrario en la propia factura o en un documento escrito.
Dexatel se reserva el derecho a modificar sus precios en cualquier momento, previa notificación con una antelación razonable, siempre que dichos cambios se publiquen en el sitio web, en la cuenta del cliente o se envíen al cliente por correo electrónico.
El Cliente deberá notificar a Dexatel por escrito, de forma que quede constancia, en un plazo de quince (15) días naturales a partir de la fecha en que Dexatel le haya facturado cualquier importe que el Cliente desee impugnar. En caso de que el Cliente impugne algún importe, deberá actuar de forma razonable y de buena fe, y cooperar diligentemente con Dexatel para resolver la controversia. Dexatel no cobrará al Cliente ninguna penalización por demora ni suspenderá la prestación de los Servicios por los cargos impagados que sean objeto de disputa, a menos que el Cliente no coopere diligentemente con Dexatel o que Dexatel determine que la disputa no es razonable o no se ha presentado de buena fe.
En caso de retraso en el cumplimiento de una obligación pecuniaria derivada de las Condiciones del servicio, Dexatel tendrá derecho a exigir al Cliente el pago de una penalización por demora equivalente al 0,1 % del importe pendiente por cada día natural de retraso, desde el momento en que se produzca el retraso hasta el pago íntegro de la deuda.
Ninguna de las obligaciones de pago es susceptible de cancelación, y las tasas, los impuestos y los recargos por comunicación no son reembolsables, salvo que así se estipule en las Condiciones del servicio o en un documento escrito.
El saldo de la cuenta del cliente caducará en un plazo de seis (6) meses a partir de la fecha en que el cliente no haya utilizado los servicios acordados entre Dexatel y el cliente durante seis (6) meses. A efectos de claridad, una vez transcurrido el plazo mencionado, los fondos depositados en la cuenta del cliente no serán reembolsables.
Dexatel se reserva el derecho a suspender o rescindir el Servicio prestado al Cliente de conformidad con la sección 15. En tal caso, Dexatel no realizará ningún reembolso.
ASISTENCIA TÉCNICA Y MANTENIMIENTO
El Cliente reconoce que Dexatel no está obligada a prestar ningún tipo de asistencia en relación con el Servicio, incluida la asistencia al usuario final, la formación o el asesoramiento. Salvo que se acuerde lo contrario y si el Cliente solicita dicha asistencia, esta se prestará como servicios adicionales de conformidad con la sección 2.7. Dexatel tiene derecho, de buena fe y a su entera discreción, a proporcionar al Cliente asistencia gratuita limitada.
El Cliente deberá notificar a Dexatel cualquier fallo técnico relacionado con el Servicio, y Dexatel deberá subsanar, en un plazo razonable, los fallos derivados del Servicio.
Dexatel se reserva el derecho a realizar los trabajos de mantenimiento programados y extraordinarios que sean necesarios para la prestación del Servicio. Dexatel informará al Cliente de los trabajos de mantenimiento programados con la mayor antelación posible. Dexatel se reserva el derecho a realizar trabajos de mantenimiento extraordinarios relacionados con la garantía de la fiabilidad y la seguridad del Servicio sin previo aviso. Durante cualquier trabajo de mantenimiento, la disponibilidad del Servicio puede verse limitada. Si es posible, Dexatel notificará al Cliente el alcance de cualquier restricción de uso. La suspensión del Servicio por los motivos expuestos en esta sección no exime al Cliente de la obligación de pagar las tarifas aplicables.
PROPIEDAD INTELECTUAL
El Cliente reconoce que todas las marcas comerciales y los derechos de propiedad intelectual sobre cualquier material, dato o información, incluido todo el software (en código fuente o código objeto) y la documentación relacionada con los mismos, que Dexatel haya facilitado al Cliente en relación con la prestación del Servicio, son propiedad y seguirán siendo propiedad de Dexatel y/o de sus licenciantes. Sin perjuicio de lo anterior, y con sujeción a las presentes Condiciones de servicio, Dexatel concede al Cliente una licencia mundial, no exclusiva, intransferible, no sublicenciable y revocable para acceder y utilizar el Servicio y las funciones solicitadas por el Cliente. El Servicio solo podrá ser utilizado internamente por el Cliente (y, en su caso, por sus Usuarios Finales designados) para los fines previstos tal y como se describen en las presentes Condiciones de Servicio, y durante el plazo de vigencia de las mismas, las presentes Condiciones de Servicio permanecerán en vigor entre las Partes.
Ni el Cliente ni sus Usuarios Finales tienen derecho a alquilar, arrendar, prestar, vender, redistribuir, conceder sublicencias, copiar, realizar ingeniería inversa, descompilar, desensamblar, traducir, modificar, distribuir copias, poner a disposición, adaptar o crear obras derivadas basadas en el software del Servicio o en la propiedad intelectual relacionada con el mismo, salvo que Dexatel lo autorice por escrito.
El Cliente está obligado a garantizar que los Usuarios finales cumplan las restricciones y condiciones establecidas en las presentes Condiciones de servicio. El Cliente reconoce que Dexatel tiene derecho a aplicar acuerdos de licencia de usuario final independientes a los Usuarios finales en cualquier momento y que dichos términos deben ser aceptados por los Usuarios finales. El Cliente está obligado a colaborar con Dexatel en la medida de sus posibilidades para recabar las aceptaciones pertinentes. En caso de incumplimiento o desacuerdo con la aceptación mencionada, Dexatel tiene derecho a prohibir o restringir el acceso del Usuario final al Servicio.
En caso de que el Cliente encargue a Dexatel cualquier trabajo adicional relacionado con la localización (por ejemplo, traducción), personalización (por ejemplo, con los logotipos y la marca del Cliente) o adaptación del Servicio, el Cliente concede a Dexatel una licencia gratuita a nivel mundial, no exclusiva, transferible y sublicenciable (únicamente a los contratistas de Dexatel para la realización de los trabajos) para utilizar cualquier material y aportación del Cliente que sea necesario para la realización de los trabajos y la prestación del Servicio mientras las Condiciones del Servicio permanezcan en vigor. El Cliente reconoce que los derechos de propiedad intelectual de cualquier trabajo encargado pertenecen a Dexatel y que Dexatel tiene pleno derecho, entre otros, a utilizar, licenciar, vender y distribuir dichos trabajos en su propio beneficio.
En relación con todo el Contenido de la Cuenta, incluidos los contenidos y datos, que se introduzca o se ponga a disposición a través del Servicio, el Cliente concede a Dexatel, de forma gratuita, un derecho de uso y explotación transferible, sublicenciable, no exclusivo, irrevocable y de ámbito mundial, por el plazo máximo permitido por la legislación aplicable y sin limitación alguna en cuanto al contenido, para utilizar el Contenido de la Cuenta con cualquier fin, incluidos, entre otros, los siguientes:
la prestación del Servicio;
llevar a cabo investigaciones y desarrollar nuevos productos y funciones;
realizar análisis predictivos y extraer conclusiones;
mejorar y seguir desarrollando el Servicio; y
en forma anonimizada o anonimizada y agregada, transfiriendo y/o poniendo a disposición de terceros el Contenido de la Cuenta, incluso para uso comercial («Derecho de uso y explotación»).
El derecho de uso y explotación abarca, a los efectos previstos en la sección 7.5, el derecho a modificar, editar y traducir, así como a almacenar y reproducir el Contenido de la cuenta. Al introducir o poner a disposición el Contenido de la cuenta a través del Servicio, el Cliente garantiza que dicho Contenido se ajusta a las presentes Condiciones de servicio, no vulnera los derechos de terceros y que el Cliente está facultado para conceder estos derechos de uso y explotación.
Dexatel desea mejorar continuamente el Servicio, por lo que agradece cualquier sugerencia u otra comunicación. Desde el momento en que se formulan dichas sugerencias y comunicaciones, el autor y/o titular de los derechos de autor de las mismas cede de forma incondicional e irrevocable todos los derechos sobre cualquier objeto de propiedad intelectual a Dexatel. Si los derechos no pueden pertenecer a Dexatel en virtud de la legislación y esta los atribuye al autor (por ejemplo, los derechos morales del autor), el autor y/o el titular de la licencia de dichos derechos concede a Dexatel una licencia mundial, exclusiva, transferible y sublicenciable para utilizar, explotar y ejercer los objetos de propiedad intelectual de acuerdo con las necesidades y deseos de Dexatel. La licencia es válida durante el plazo máximo permitido por la legislación aplicable. El autor, el titular de los derechos de autor o el licenciatario (según corresponda) reconoce que la cesión y la concesión de la licencia de dichos derechos a Dexatel es gratuita.
REFERENCIAS
El Cliente concede a Dexatel, de forma gratuita, una licencia mundial, no exclusiva, transferible y sublicenciable (únicamente a los contratistas de Dexatel para los fines aquí estipulados) para utilizar el logotipo del Cliente y los testimonios del Cliente (y de sus usuarios finales) en el sitio web y en otros materiales de marketing (incluidos correos electrónicos a clientes, anuncios, folletos, etc.) con fines de marketing de Dexatel. La licencia será válida hasta la expiración de los derechos respectivos en virtud de la legislación aplicable. El Cliente garantiza que tiene todos los derechos para conceder dicha licencia en el presente documento.
CONTENIDO DE TERCEROS Y ENLACES
Ciertos contenidos y funciones disponibles a través del Servicio y el Sitio web pueden incluir información procedente de terceros. Dichos contenidos, datos, información o publicaciones puestos a disposición a través del Servicio y el Sitio web son facilitados por Dexatel «tal cual» y «según disponibilidad» para la comodidad y el conocimiento del Cliente, y deben utilizarse únicamente con fines informativos. Dexatel no tiene control alguno sobre el contenido o la información de los recursos de terceros. Dexatel renuncia a cualquier garantía o declaración, ya sea expresa o implícita, de que dicha información sea precisa o completa.
Los enlaces de terceros que aparecen en el Servicio y en el Sitio web pueden dirigir al Cliente a sitios web de terceros que no están afiliados a Dexatel. Dexatel no se hace responsable de examinar ni evaluar el contenido o la exactitud de dichos sitios web, y Dexatel no garantiza ni asumirá responsabilidad alguna por los materiales o sitios web de terceros, ni por cualquier otro material, producto o servicio de terceros. Dexatel no se hace responsable de ningún perjuicio o daño relacionado con la compra o el uso de bienes, servicios, recursos, contenidos o cualquier otra transacción realizada en relación con sitios web de terceros.
CONFIDENCIALIDAD
Las Partes se comprometen, tanto durante la vigencia del Acuerdo como tras su rescisión, a mantener la confidencialidad de la información de la otra parte. Por «Información Confidencial» se entenderá toda la información y los datos, incluyendo, sin limitación, todos los secretos comerciales, tales como: información financiera relacionada con el negocio (incluida la información sobre productos/servicios y precios, previsiones, detalles de proyectos específicos), información comercial (incluida la información sobre los análisis, proveedores, prestadores de servicios, clientes potenciales y existentes, socios comerciales y contratistas de la otra Parte, así como los datos personales relacionados) e información técnica (incluida la información sobre objetos de propiedad intelectual, derechos de autor, sistemas informáticos, código fuente y software e información relacionada), relacionada con una Parte, que dicha Parte haya revelado o recibido de la otra Parte, directa o indirectamente, de forma oral, por escrito o en cualquier otro formato, antes o después de la celebración del Acuerdo, en relación con la ejecución del mismo, y que no sea de dominio público y respecto a la cual se pueda presumir razonablemente que la contraparte tiene interés en mantener su confidencialidad. Entre otras cosas, la información confidencial de Dexatel incluirá el proceso de prestación del Servicio (incluidos los manuales, materiales de apoyo, etc.).
Las Partes se comprometen a garantizar que:
utilizarán la información confidencial exclusivamente en relación con el cumplimiento de las obligaciones que les incumben en virtud del Acuerdo. El uso de la información confidencial para cualquier otro fin solo podrá tener lugar con el consentimiento previo por escrito de la otra Parte;
mantendrán la confidencialidad de la información confidencial y no la revelarán a terceros ni al público de ninguna manera sin el consentimiento previo por escrito de la otra Parte;
Adoptarán todas las medidas de precaución razonables para evitar que, como consecuencia de sus acciones u omisiones, se produzca la divulgación a terceros o al público de información confidencial.
Una de las partes podrá revelar información confidencial a instituciones gubernamentales estatales y locales si la obligación de revelar dicha información se deriva de la legislación aplicable. Entre otras cosas, Dexatel tiene derecho a revelar y remitir el contenido de la cuenta y los datos del usuario final a las autoridades de investigación y supervisión.
Si una de las Partes se viera obligada por la legislación aplicable a revelar Información Confidencial, deberá, siempre que sea posible, notificar por escrito a la otra Parte, con una antelación razonable antes de la revelación de dicha información, la obligación de divulgación pública correspondiente y el alcance de la información sujeta a divulgación, y se comprometerá a revelar la información pertinente siempre en la medida mínima necesaria y, si es posible, de forma generalizada, con la indicación «Confidencial».
A los efectos del presente Acuerdo, el término «tercero» no incluye, ni la prohibición de divulgación de la Información Confidencial se aplica a: (a) los empleados de una de las Partes y otras personas relacionadas con la ejecución del Acuerdo, siempre que la Información Confidencial se les revele únicamente en la medida necesaria para que puedan cumplir con el Acuerdo y siempre que la Parte se asegure de que dichas personas mantengan la confidencialidad de la Información Confidencial; y (b) los auditores, asesores jurídicos y bancos de las Partes sujetos al deber de confidencialidad.
Las Partes se comprometen a notificarse mutuamente sin demora si se comunica, o pudiera comunicarse, información confidencial a una persona que no tenga derecho a recibirla. Las disposiciones de la presente cláusula no limitarán en modo alguno la responsabilidad por incumplimiento del Acuerdo.
PROTECCIÓN DE DATOS
Ambas Partes deberán cumplir con toda la legislación o normativa aplicable en materia de protección de datos en lo que respecta al tratamiento, la recogida, el uso y la divulgación de datos personales. Cada una de las Partes deberá disponer de la base jurídica necesaria (en su caso, los consentimientos) para facilitar a la otra Parte los datos personales que sean necesarios para el cumplimiento de sus obligaciones en virtud del presente contrato.
Durante la vigencia de las Condiciones del servicio y posteriormente de forma indefinida, Dexatel no tratará ni realizará ningún otro acto en relación con los datos personales de ningún modo, incluido cualquier tratamiento efectivo o intento de tratamiento de los mismos, salvo con el único fin de prestar el Servicio y de conformidad con: (i) los términos y condiciones expresos de las Condiciones del servicio y del Acuerdo de tratamiento de datos; y (ii) la legislación aplicable.
Las Partes prevén que, a efectos de la prestación del Servicio, Dexatel actuará como encargado del tratamiento de datos y el Cliente como responsable del tratamiento, tal y como se especifica con mayor detalle en el Acuerdo de tratamiento de datos, que se incorpora como anexo a las Condiciones del servicio.
AVISOS LEGALES
El Cliente reconoce que todos los servicios, funciones, herramientas y desarrollos puestos a su disposición en virtud del presente Contrato, incluido el Servicio, se facilitan «tal cual» y «según disponibilidad». Salvo que se indique expresamente lo contrario en el presente documento, y en la medida en que lo permita la legislación aplicable, Dexatel excluye toda garantía, expresa o implícita, de comerciabilidad, idoneidad para un fin determinado, durabilidad, disponibilidad, puntualidad, exactitud, fiabilidad o integridad, o de no infracción.
Además, Dexatel excluye cualquier garantía relacionada con los proveedores de telecomunicaciones. El Cliente reconoce que las redes de Internet y de los proveedores de telecomunicaciones son intrínsecamente inseguras y que Dexatel no asumirá responsabilidad alguna por cualquier modificación, interceptación o pérdida de datos que se produzca durante su transmisión a través de Internet o de la red de un proveedor de telecomunicaciones.
Entre otras cosas, Dexatel no ofrece ninguna garantía ni se responsabiliza de:
que el Servicio y el Sitio web se han diseñado para satisfacer los requisitos individuales, las necesidades empresariales o profesionales del Cliente (salvo que se acuerde lo contrario por escrito);
que el Servicio y el Sitio web, o cualquier parte de los mismos, funcionen sin interrupciones, estén libres de errores, sean seguros, no contengan virus ni otros componentes dañinos, o sean accesibles desde todos los dispositivos y navegadores;
que se corregirán los defectos del Servicio y del sitio web;
que los resultados relativos al uso del Servicio y del Sitio web sean exactos o fiables;
que seguirá ofreciendo soporte para alguna función concreta o manteniendo la compatibilidad con versiones anteriores de cualquier software o dispositivo de terceros;
en relación con cualquier sitio web o recurso de terceros.
RESPONSABILIDAD, LIMITACIONES E INDEMNIZACIÓN
Dexatel no se hace responsable de ningún daño indirecto, inmaterial, incidental, especial, punitivo o consecuente, ni de ninguna pérdida de beneficios, ingresos, oportunidades, datos o uso de datos, ni de los gastos legales o cualquier otro gasto en que incurra el Cliente. Dexatel solo será responsable del incumplimiento de las Condiciones de servicio si dicho incumplimiento es intencionado o se debe a una negligencia grave o a cualquier otra acción que no pueda excluirse o limitarse en virtud de la legislación aplicable (por ejemplo, en caso de muerte o lesiones personales). En este caso, el Cliente tiene derecho a exigir el cumplimiento de las Condiciones de servicio (a menos que la legislación excluya la exigencia de dicho cumplimiento). En la medida en que lo permita la legislación aplicable, la responsabilidad de Dexatel se limita únicamente a los daños materiales directos, por un importe máximo equivalente a las tarifas adeudadas durante el periodo de doce (12) meses anterior al hecho que dio lugar a la reclamación.
En ningún caso Dexatel se hace responsable de los daños causados por acontecimientos que no se hayan originado o producido en el Servicio y que no hayan sido provocados por Dexatel o por terceros que no actúen en nombre de Dexatel, por ejemplo, la pérdida de datos provocada por piratería informática, ataques DDoS, daños causados por registros policiales o de otras autoridades, o cualquier otro acontecimiento similar que pueda tener un efecto negativo en la cuenta del cliente y/o en los datos. Esto incluye situaciones en las que las autoridades confisquen legalmente servidores u otros equipos que puedan contener dichos datos.
Dexatel no se hace responsable de ningún incumplimiento causado por las acciones u omisiones de terceros, incluidos los proveedores de telecomunicaciones o los operadores de redes móviles. Dexatel hará todo lo comercialmente razonable para transmitir los mensajes al proveedor de telecomunicaciones o al operador de red móvil correspondiente lo antes posible; sin embargo, la entrega final de todos los mensajes a los destinatarios designados es responsabilidad de dicho proveedor u operador. Dexatel no acepta responsabilidad alguna si la entrega final no se lleva a cabo debido a una acción, omisión o cualquier otro fallo del proveedor de telecomunicaciones o del operador de red móvil correspondiente.
Dexatel no se hace responsable del Contenido de la cuenta, incluido aquel que sea incompleto, inexacto o inapropiado, facilitado por el Cliente o sus Usuarios finales. Dexatel no tiene control alguno sobre la forma en que el Cliente o sus Usuarios finales utilizan el servicio, incluido el Contenido de la cuenta, ya que no modera ni revisa dicho contenido ni su origen, salvo para detectar comportamientos prohibidos, tal y como se establece en la sección 4 anterior.
Dexatel no se hace responsable de ninguna actividad para la que el Cliente utilice el Servicio ni de ninguna otra circunstancia derivada del Cliente, como, por ejemplo, las instrucciones del Cliente, la información introducida y las subcuentas de los Usuarios finales gestionadas. Dexatel no se hace responsable de ninguna decisión tomada por el Cliente o sus Usuarios finales basada en la información introducida o mostrada en el Servicio, incluidas las previsiones o estadísticas. El Cliente es consciente de que cualquier decisión tomada por él y sus Usuarios finales basándose en el Servicio o en las interpretaciones de la información realizadas por dichas personas es atribuible a ellos, y el Cliente asume toda la responsabilidad al respecto. Dexatel no se hace responsable del uso que el Cliente haga de cualquier información obtenida del Servicio.
Dexatel no se hace responsable de ningún retraso o incumplimiento causado por: (a) casos de fuerza mayor o desastres naturales (incluidos huracanes y terremotos); (b) enfermedades, epidemias o pandemias; (c) atentados terroristas, guerras civiles, disturbios o revueltas, conflictos armados, sanciones o embargos; (d) contaminación nuclear, química o biológica; (e) derrumbe de edificios, incendios, explosiones o accidentes; (f) huelgas laborales o sindicales; (g) interrupción, pérdida o mal funcionamiento de un servicio público, de transporte o de telecomunicaciones; (h) cualquier orden de un gobierno o autoridad pública, incluyendo una cuarentena, restricción de viajes u otra prohibición; o (i) cualquier otra circunstancia que escape al control razonable de Dexatel, sea previsible o no. En caso de fuerza mayor, Dexatel quedará eximida del cumplimiento íntegro de la obligación contractual hasta que el evento haya pasado o ya no impida el cumplimiento.
El Cliente será responsable de todos los daños causados a Dexatel por el propio Cliente, sus empleados, los miembros del consejo de administración, los usuarios finales o las partes contratantes. El Cliente será responsable, entre otras cosas, de los daños causados al Servicio, a la infraestructura del Servicio y a los bienes de terceros. El Cliente deberá informar a Dexatel lo antes posible en caso de que se produzcan daños y deberá indemnizar por los mismos.
En caso de incumplimiento de las obligaciones establecidas en el presente Contrato, Dexatel tendrá derecho a reclamar al Cliente una penalización contractual por un importe máximo equivalente al doble de la cuota de doce (12) meses pagada inmediatamente antes de cada incumplimiento, en un plazo de treinta (30) días naturales a partir de la recepción de la correspondiente solicitud de Dexatel. Si los daños superan el importe de la penalización contractual, Dexatel tendrá derecho a exigir una indemnización por daños y perjuicios por la cantidad que exceda dicha penalización.
En caso de que el Cliente trate datos personales, incluido el envío de mensajes, sin una base jurídica válida o infringiendo la política de la empresa Viber, WhatsApp u otros proveedores similares, el Cliente deberá pagar a Dexatel una indemnización contractual por un importe de 5.000 euros.
El Cliente indemnizará, defenderá y eximirá de responsabilidad a Dexatel, a sus empleados, directivos y agentes, así como a sus empresas vinculadas, a cargo del Cliente, frente a cualquier acción, reclamación o procedimiento interpuesto por terceros contra Dexatel, incluyendo la responsabilidad, las pérdidas, los daños, los costes y los gastos —incluidos los honorarios legales razonables— que se deriven o estén relacionados con, entre otros: (i) el incumplimiento por parte del Cliente de cualquiera de los términos y condiciones del Contrato; (ii) el Contenido de la Cuenta que el Cliente envíe al Servicio; (iii) el ejercicio de los Derechos de Uso y Explotación; (iv) cualquier actividad en la que el Cliente participe en Dexatel o a través de este. Esta medida correctiva de Dexatel se sumará a, y no excluirá, otras medidas correctivas previstas por la legislación.
MODIFICACIONES DEL ACUERDO
Dexatel se reserva el derecho unilateral de modificar el Contrato, notificando al Cliente los cambios por correo electrónico al menos treinta (30) días naturales antes de que las modificaciones entren en vigor. Si el Cliente no está de acuerdo con las modificaciones del Contrato, podrá rescindirlo de conformidad con la cláusula 15.
Dexatel se reserva el derecho a modificar el Contrato con los siguientes tipos de cambios sin necesidad de notificarlo previamente al Cliente:
si la modificación del contrato solo resulta ventajosa para el cliente;
si la modificación del Acuerdo se refiere exclusivamente a nuevos servicios, funcionalidades o componentes del servicio, y no da lugar a ningún cambio en la relación contractual existente con el Cliente;
si la modificación es necesaria para armonizar el Contrato con los requisitos legales aplicables, en particular en caso de que se produzca un cambio en la situación jurídica aplicable o si Dexatel se ve obligada a cumplir una sentencia judicial o una resolución administrativa vinculante, y siempre que la modificación no tenga efectos perjudiciales significativos para el Cliente.
Si Dexatel hace uso del derecho mencionado anteriormente, modificará al mismo tiempo la fecha de entrada en vigor de las Condiciones de servicio anteriores.
Las condiciones del presente Acuerdo que las Partes acuerden mutuamente se estipularán en un acuerdo independiente, en un formato que pueda reproducirse por escrito o como anexo a las presentes Condiciones de servicio.
VIGENCIA, SUSPENSIÓN Y RESOLUCIÓN
El presente Contrato entrará en vigor en la fecha en que: (i) el Cliente haya aceptado el presente Contrato en el sitio web y haya completado el proceso de registro; (ii) una de las Partes haya dado su última aprobación a un acuerdo independiente celebrado de conformidad con la cláusula 14.4; o (iii) las Partes hayan aceptado el Contrato de cualquier otra forma vinculante. El Contrato permanecerá en vigor hasta que cualquiera de las Partes lo rescinda.
Dexatel podrá suspender o interrumpir el funcionamiento de la cuenta del Cliente y de las subcuentas de sus usuarios finales, en cualquier momento, ya sea total o parcialmente, incluyendo, entre otros:
si fuera necesario para realizar trabajos de reparación o mantenimiento de conformidad con el apartado 6.2 u otras medidas similares;
si el Cliente no abona los honorarios conforme a lo dispuesto en el artículo 5 tras haber sido notificado de dicho incumplimiento;
si las acciones u omisiones del Cliente relacionadas con el uso del Servicio interfieren o impiden el funcionamiento normal del Servicio, o causan, o puedan causar, perjuicios, daños u otros efectos perjudiciales para el Servicio, Dexatel u otros usuarios del Servicio;
si hay motivos para sospechar que las credenciales del Cliente han sido reveladas indebidamente a un tercero no autorizado y que el Servicio se está utilizando con dichas credenciales;
si el uso que el Cliente hace del Servicio incumple las Condiciones del servicio y no ha subsanado dicho incumplimiento sin demora tras haber sido notificado al respecto por Dexatel.
La suspensión del acceso del Cliente al Servicio no exime al Cliente de la obligación de abonar las tarifas. Dexatel no se hace responsable de las consecuencias que pueda sufrir el Cliente como consecuencia de la suspensión del acceso prevista en la presente sección.
Cualquiera de las partes podrá rescindir las presentes Condiciones de servicio en cualquier momento y sin necesidad de justificación, previa notificación a la otra parte con treinta (30) días naturales de antelación. Dicha notificación deberá enviarse al Cliente a la dirección indicada en su cuenta y a Dexatel a la dirección de correo electrónico [email protected].
Dexatel se reserva el derecho a rescindir las Condiciones del servicio con efecto inmediato mediante notificación al Cliente, en caso de que este haya incumplido de forma sustancial dichas Condiciones. Se considerará que el Cliente ha incumplido de forma sustancial las Condiciones del servicio en los siguientes casos (entre otros): (i) el Cliente realiza cualquier acto prohibido descrito en la Sección 4, (ii) el Cliente no ha abonado las tarifas de acuerdo con la Sección 5 a pesar del recordatorio de pago y de la concesión de un plazo adicional de al menos siete (7) días naturales, (iii) en opinión de Dexatel, las acciones u omisiones del Cliente o de sus Usuarios Finales ponen en peligro la seguridad, la integridad, el funcionamiento o la usabilidad del Servicio o del Sitio Web. Si Dexatel rescinde la Cuenta del Cliente por incumplimiento de las Condiciones del Servicio, el Cliente no podrá volver a registrarse.
Cualquiera de las partes tendrá derecho a rescindir las Condiciones de servicio con efecto inmediato mediante notificación a la otra parte en caso de que se inicien procedimientos de quiebra, insolvencia, administración judicial u otros procedimientos similares en relación con la otra parte, o si esta informa a la otra parte o a cualquier tercero de su insolvencia permanente o temporal.
La rescisión de las Condiciones del servicio conlleva la rescisión automática del Acuerdo de tratamiento de datos, de la cuenta del Cliente y de cualquier subcuenta concedida a los usuarios finales, así como la pérdida y renuncia a todo el contenido de la cuenta incluido en la aplicación. El Contenido de la Cuenta no podrá recuperarse una vez que se hayan eliminado la Cuenta del Cliente y sus subcuentas. En caso de que el Cliente haya provocado la rescisión extraordinaria, Dexatel no será responsable de ningún daño (incluida la pérdida de beneficios) que se produzca como consecuencia de las acciones descritas en la frase anterior.
Tras la rescisión de las Condiciones del Servicio, todos los derechos y obligaciones quedarán inmediatamente extinguidos, incluidas las licencias concedidas al Cliente en virtud de las Condiciones del Servicio, y el Cliente deberá eliminar toda la documentación relacionada con el Servicio. Dexatel devolverá o eliminará todos los materiales relacionados con la prestación del Servicio al Cliente de conformidad con el Acuerdo de Tratamiento de Datos, salvo que se estipule lo contrario por escrito. La obligación anterior no se aplica a los datos personales anonimizados, las estadísticas de uso, los parámetros técnicos y los análisis basados en el Contenido de la Cuenta, otras aportaciones del Cliente e Información Confidencial.
Las obligaciones y responsabilidades de las Partes contraídas antes de la suspensión o la rescisión seguirán vigentes tras la rescisión de las Condiciones del servicio a todos los efectos (por ejemplo, la obligación de abonar todas las tarifas devengadas y adeudadas).
GENERAL
El hecho de que cualquiera de las Partes no ejerza algún derecho o no haga valer alguna disposición del Acuerdo, o de que se produzca un retraso en dicho ejercicio o en dicha aplicación, no constituirá una renuncia a dicho derecho o disposición, ni a ninguna otra disposición.
En caso de que se determine que alguna de las disposiciones de las presentes Condiciones de servicio es ilegal, nula o inaplicable, dicha disposición seguirá siendo aplicable en la medida en que lo permita la legislación aplicable, y la parte inaplicable se considerará separada de las presentes Condiciones de servicio; dicha determinación no afectará a la validez y aplicabilidad de las demás disposiciones.
Los títulos de las secciones de estas Condiciones de servicio tienen únicamente fines de referencia y no afectan a la interpretación de las condiciones subyacentes.
En caso de conflicto o contradicción entre los siguientes documentos, el orden de prelación será el siguiente: (1) el Acuerdo de tratamiento de datos, (2) las condiciones establecidas en el cuerpo de las Condiciones del servicio, (3) la Política antispam, (4) cualquier otra condición incorporada por referencia en el presente documento o en cualquier otro anexo o documento adjunto al mismo.
Las presentes Condiciones de servicio, el Acuerdo de tratamiento de datos y cualquier política o norma operativa publicada por Dexatel en el sitio web o en relación con los Servicios constituyen el acuerdo íntegro y el entendimiento entre el Cliente y Dexatel, y rigen el uso de los Servicios por parte del Cliente, sustituyendo cualquier acuerdo, comunicación o propuesta anterior, ya sea oral o escrita, entre Dexatel y el Cliente (incluidas, entre otras, cualquier versión anterior de las Condiciones de servicio).
En caso de discrepancia, prevalecerá la versión en inglés de las Condiciones del servicio.
El Cliente no tendrá derecho a transferir, ni siquiera mediante una cesión de empresa, ni a ceder los derechos y obligaciones derivados del Contrato, ya sea total o parcialmente, a un tercero sin el consentimiento previo por escrito de Dexatel.
Dexatel tendrá derecho a ceder las Condiciones del servicio y todos los derechos y obligaciones que en ellas se recogen a otra empresa propiedad de Dexatel o de la sociedad matriz de Dexatel, o a un tercero al que se transfieran las funciones comerciales relacionadas con los Servicios.
LEY APLICABLE Y CONTROVERSIAS
Las presentes Condiciones de servicio se regirán e interpretarán de conformidad con la legislación de la República de Estonia. Cualquier disputa, controversia o reclamación que surja de o en relación con las presentes Condiciones de servicio, o con su incumplimiento, rescisión o invalidez, se resolverá mediante negociaciones amistosas; en caso de que estas fracasen, todas las disputas se someterán a la resolución del Tribunal del Condado de Harju, en la República de Estonia.
AVISOS
Todas las notificaciones y demás comunicaciones se considerarán debidamente entregadas si se entregan en persona; cuando se confirme electrónicamente su recepción, si se envían por correo electrónico; y en el momento de su recepción, si se envían por correo certificado o registrado con acuse de recibo. Las notificaciones al Cliente deberán enviarse a la dirección de correo electrónico u otra dirección que figure en la cuenta del Cliente. Las notificaciones a Dexatel deberán enviarse a la dirección de correo electrónico [email protected] o a la dirección Pärnu mnt 139e/2, Tallin 11317, Estonia; a la atención de: Departamento Jurídico.
Cada de las partes deberá informar inmediatamente a la otra parte de cualquier cambio en su persona de contacto, dirección o correo electrónico, y deberá hacerlo de la forma establecida en el presente documento.
Anexo 1
Acuerdo de tratamiento de datos
Introducción
El presente acuerdo de tratamiento de datos («DPA») constituye un anexo y forma parte integrante de las Condiciones de servicio, y regula el tratamiento de datos personales llevado a cabo por Dexatel OÜ en calidad de encargado del tratamiento («Encargado») por cuenta del Cliente, que actúa como responsable del tratamiento («Responsable»), en el marco de la prestación del Servicio con arreglo a las Condiciones de servicio, junto con sus anexos y cualquier política a la que se haga referencia en las Condiciones de servicio (si procede) (en conjunto, el «Acuerdo»).
Las Partes reconocen que el presente Acuerdo de Tratamiento de Datos y las actividades de tratamiento de datos personales realizadas en virtud del Acuerdo se rigen por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo («RGPD»), así como por otros actos legislativos pertinentes o directrices de las autoridades de control que regulan el tratamiento de datos personales en la República de Estonia (en conjunto con el RGPD, la «Legislación»).
Todos y cada uno de los términos, salvo que se definan específicamente en el presente documento, se utilizan con el significado que les atribuye el RGPD o el Acuerdo.
En los casos no previstos en el presente DPA, se aplicará el Acuerdo. En caso de conflicto o ambigüedad entre el Acuerdo y el presente DPA, prevalecerá este último.
Tratamiento de datos personales
El encargado del tratamiento tratará los datos personales únicamente de conformidad con las instrucciones documentadas del responsable del tratamiento, incluidas las instrucciones facilitadas por este en el contrato, el acuerdo de tratamiento de datos y sus anexos, salvo que la legislación a la que esté sujeto el encargado del tratamiento le obligue a actuar de otro modo. En tal caso, el encargado del tratamiento informará al responsable del tratamiento de dicho requisito legal antes de proceder al tratamiento, salvo que la legislación lo prohíba por motivos importantes de interés público.
El Encargado del tratamiento tratará los datos personales de conformidad con el Contrato, el Acuerdo de tratamiento de datos y sus anexos, únicamente para los fines específicos del tratamiento y durante el plazo especificado en el anexo 1 (Anexo 1: descripción del tratamiento).
Derechos y obligaciones del responsable del tratamiento
Derechos y obligaciones del responsable del tratamiento:
garantizar que todas las instrucciones relativas al tratamiento de los datos personales en virtud del Acuerdo, del presente DPA o de cualquier otro acuerdo o estipulación, cumplan con el RGPD y la Legislación, y que dichas instrucciones no den lugar en modo alguno a que el Encargado del tratamiento incumpla la Legislación;
cumplir con la legislación, lo que incluye garantizar la exactitud, la calidad y la licitud de los datos personales tratados por el encargado del tratamiento, así como informar a los interesados de las operaciones de tratamiento realizadas por el encargado del tratamiento.
notificar al encargado del tratamiento antes de celebrar el contrato si el responsable del tratamiento exige que el encargado adopte procedimientos, normas, medidas de seguridad o disposiciones similares.
Derechos y obligaciones del encargado del tratamiento
Las Partes acuerdan por la presente que el Encargado del tratamiento deberá:
tratar los datos personales por cuenta del responsable del tratamiento, basándonos en las instrucciones documentadas (por ejemplo, recibidas por correo electrónico o cualquier otra forma documentada) que el responsable del tratamiento nos haya facilitado, y que se actualicen periódicamente, de conformidad con la legislación;
notificar al responsable del tratamiento sin demora injustificada si, en opinión del encargado del tratamiento, las instrucciones impartidas por el responsable del tratamiento con arreglo a la sección 2.1 del presente acuerdo de tratamiento de datos infringen el RGPD o la legislación;
garantizar que todos sus empleados, subcontratistas, miembros del consejo de administración u otras personas a las que el encargado del tratamiento haya facilitado acceso a los datos personales estén sujetos a una obligación de confidencialidad o a una obligación legal de confidencialidad adecuada, y que sean conscientes de sus deberes y obligaciones en relación con el tratamiento de datos personales;
contratar a subencargados del tratamiento únicamente de conformidad con el artículo 6 del DPA;
no transferir datos personales fuera de la Unión Europea o del Espacio Económico Europeo («UE/EEE»), salvo en caso de que dicha transferencia se ajuste a lo dispuesto en el artículo 7 de la Ley de Protección de Datos;
adoptar las medidas necesarias de conformidad con el artículo 32 del RGPD y la legislación aplicable, incluida la aplicación de las medidas técnicas y organizativas adecuadas, tal y como se especifica en el anexo 3 ( Anexo 3: medidas técnicas y organizativas), con el fin de garantizar un nivel de seguridad adecuado al riesgo asociado al tratamiento de los datos personales y evitar su alteración, pérdida o tratamiento no autorizado, así como el acceso no autorizado a los mismos. El Encargado del tratamiento tiene derecho a modificar y actualizar, de vez en cuando y según lo considere necesario, todas y cada una de las medidas técnicas y organizativas aplicadas en el momento de la celebración del presente DPA;
no se comunicará con los interesados ni atenderá las solicitudes de estos de forma directa e independiente. El encargado del tratamiento remitirá al responsable del tratamiento cualquier solicitud recibida de los interesados para el ejercicio de cualquiera de sus derechos tan pronto como sea razonablemente posible tras la recepción de dicha solicitud;
prestar asistencia al responsable del tratamiento mediante las medidas técnicas y organizativas adecuadas, en la medida de lo posible, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el capítulo III del RGPD;
apoyar al responsable del tratamiento para garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, en la medida en que sea razonable, adecuado y no suponga una carga excesiva, teniendo en cuenta la naturaleza del tratamiento de datos personales y la información de que dispone el encargado del tratamiento;
poner a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones derivadas del Acuerdo de tratamiento de datos y de la legislación, y colaborar en las auditorías realizadas de conformidad con el artículo Error! Referencia sin encontrar.;
notificará al Responsable del tratamiento por escrito sin demora injustificada, y a más tardar en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecten a los datos tratados por el Encargado del tratamiento en virtud del presente Acuerdo de Tratamiento de Datos. Dicha notificación deberá incluir, como mínimo, una descripción de la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros de datos afectados (tal y como exige el artículo 33, apartado 3, del RGPD). A efectos de claridad, una violación de datos personales como tal no implicará automáticamente el incumplimiento por parte del Encargado del tratamiento del presente DPA, del Acuerdo y de la Legislación, siempre que el Encargado del tratamiento haya aplicado debidamente los procedimientos necesarios definidos en el presente DPA, el Acuerdo y la Legislación;
eliminar los datos personales o devolverlos al responsable del tratamiento, de conformidad con el artículo 8 de la Ley de Protección de Datos.
El Encargado del tratamiento tendrá derecho a facturar al Responsable del tratamiento los costes adicionales y la remuneración, además de los honorarios previstos en el Acuerdo, por el cumplimiento de sus obligaciones en virtud de los apartados 4.1.8, 4.1.9 y 4.1.10 del DPA, en caso de que el Encargado considere que los costes derivados del cumplimiento de sus obligaciones son excesivos e irrazonables (por ejemplo, debido al carácter repetitivo de las solicitudes, al volumen de datos que deben tratarse o a la necesidad de compilar conjuntos de datos estructurados sistemáticamente de acuerdo con las instrucciones del Responsable, lo que requiere un trabajo adicional). El Encargado del tratamiento notificará al Responsable del tratamiento dichos costes con antelación y antes de emitir las facturas correspondientes. Las facturas serán emitidas y abonadas por el Responsable del tratamiento, de conformidad con las normas de facturación acordadas en el Acuerdo.
El encargado del tratamiento reconoce que, de conformidad con el artículo 28, apartado 10, del RGPD, se le considerará un responsable del tratamiento independiente si excede las instrucciones del responsable del tratamiento y del acuerdo y, por lo tanto, determina por sí mismo los fines y los medios del tratamiento.
Derechos de auditoría
A petición razonable del responsable del tratamiento, el encargado del tratamiento le facilitará toda la información necesaria (que podrá ser censurada para eliminar la información comercial confidencial que no sea pertinente para los requisitos del presente acuerdo de tratamiento de datos) para demostrar el cumplimiento de las obligaciones establecidas en el acuerdo, en un plazo de treinta (30) días naturales a partir de la recepción de dicha solicitud.
Cuando, a juicio razonable del responsable del tratamiento, dicha información no sea suficiente para cumplir las obligaciones del artículo 28 del RGPD, el responsable del tratamiento podrá, previa notificación por escrito al encargado del tratamiento con sesenta (60) días naturales de antelación y por motivos razonables, llevar a cabo una auditoría a cargo de un auditor externo independiente designado por el responsable del tratamiento. Los gastos derivados de la realización de la auditoría correrán a cargo de cada una de las partes.
Cualquier auditoría se limitará exclusivamente a confirmar el cumplimiento por parte del Encargado del tratamiento de sus obligaciones en materia de protección de datos en virtud del presente Acuerdo de tratamiento de datos, y excluirá toda la información, los datos y los contenidos relacionados con: (i) cualquier otro cliente, agente o socio del Encargado del tratamiento; (ii) cualquier información contable o financiera interna del Encargado del tratamiento; (iii) cualquier secreto comercial; (iv) cualquier dato al que se acceda por cualquier motivo distinto del cumplimiento de buena fe de los derechos del Responsable del tratamiento en virtud del presente DPA.
La notificación presentada de conformidad con la sección 5.2 deberá incluir una propuesta de plan de auditoría. Si parte del alcance de la auditoría solicitada ya ha sido objeto de un informe de auditoría elaborado por un auditor externo cualificado en los últimos doce (12) meses, el encargado del tratamiento tendrá derecho a facilitar dicho informe al responsable del tratamiento en lugar de la auditoría propuesta.
Toda auditoría se llevará a cabo durante el horario laboral habitual del Encargado del tratamiento y su realización no deberá interrumpir la actividad comercial de este. Además, con el fin de minimizar las perturbaciones operativas, el Encargado del tratamiento podrá combinar la auditoría con otras realizadas en nombre de otros clientes o distribuidores.
Cualquier auditoría deberá llevarse a cabo de manera que no perturbe, retrase ni interfiera en el desarrollo de la actividad del Encargado del tratamiento, y de conformidad con las políticas internas de este. El Responsable del tratamiento se asegurará de que todos los participantes en la auditoría estén sujetos a una obligación de confidencialidad por escrito, al menos en la misma medida que la prevista en el Acuerdo. A menos que lo prohíba la Legislación, el Responsable del tratamiento deberá proporcionar una copia del informe de auditoría al Encargado del tratamiento, y este tendrá derecho a utilizar el informe en otras relaciones con clientes, por ejemplo, tal y como se indica en la sección 5.4 anterior.
Recurso a subencargados del tratamiento
El encargado del tratamiento está autorizado a recurrir a subencargados del tratamiento para la prestación del servicio, previa autorización del responsable del tratamiento (autorización general por escrito de conformidad con el artículo 28, apartado 2, del RGPD) que se concede por la presente. El responsable del tratamiento reconoce y acepta que el encargado del tratamiento ha recurrido a los subencargados del tratamiento identificados en el anexo 2 ( Anexo 2: subencargados del tratamiento).
En caso de que el encargado del tratamiento desee contratar a un nuevo subencargado del tratamiento o sustituir a un subencargado actual por uno nuevo, estará obligado a informar de ello al responsable del tratamiento. Siempre que existan motivos razonables, el Responsable del tratamiento podrá oponerse, en un formato reproducible por escrito, a cualquier adición, cambio o sustitución de este tipo en un plazo de treinta (30) días a partir de la fecha en que el Encargado del tratamiento le haya informado. Si el Responsable del tratamiento no se opone durante dicho plazo, la adición, el cambio o la sustitución se considerarán aceptados.
En caso de que el Responsable del tratamiento haya ejercido, de conformidad con la sección 6.2 anterior, su derecho a oponerse a la incorporación o sustitución de un subencargado del tratamiento y el Encargado del tratamiento no esté de acuerdo, por motivos razonables, con dichas objeciones, ambas Partes tendrán derecho a rescindir el Contrato, junto con el Acuerdo de tratamiento de datos (DPA), mediante notificación a la otra Parte con treinta (30) días naturales de antelación. Hasta la rescisión del Acuerdo, el Encargado del tratamiento tendrá derecho a utilizar los subencargados del tratamiento respecto a los cuales el Responsable del tratamiento haya formulado sus objeciones, para el cumplimiento del Acuerdo y del DPA. La rescisión del Acuerdo y del DPA no excluye la aplicación de cualquier recurso legal por ambas Partes en virtud de la legislación aplicable y del Acuerdo.
En caso de que el Encargado del tratamiento contrate o sustituya a un subencargado del tratamiento actual, deberá hacerlo mediante un acuerdo por escrito que contenga obligaciones equivalentes a las establecidas en el presente Acuerdo de tratamiento de datos y seguirá siendo plenamente responsable ante el Responsable del tratamiento del cumplimiento de las obligaciones de cada subencargado del tratamiento.
Transferencias de datos fuera de la UE/EEE
El responsable del tratamiento autoriza al encargado del tratamiento a transferir los datos personales fuera de la UE/EEE, incluida la contratación de subencargados del tratamiento, siempre que el encargado del tratamiento transfiera los datos personales a países respecto a los cuales la Comisión Europea haya adoptado una decisión de adecuación o siempre que el encargado del tratamiento aplique otras garantías adecuadas establecidas en el capítulo V del RGPD (por ejemplo, las cláusulas contractuales tipo adoptadas por la Comisión Europea).
El responsable del tratamiento tiene derecho a solicitar al responsable del tratamiento información sobre los países a los que se transfieren los datos personales y sobre la existencia o ausencia de una decisión de adecuación de la Comisión Europea, o una referencia a las garantías adecuadas.
En caso de que alguna de las medidas mencionadas en la sección 7.1 anterior deje de ser suficiente para cumplir los requisitos de la legislación aplicable al tratamiento de datos personales en virtud del DPA con el fin de legalizar la transferencia de datos personales fuera de la UE/EEE, el Encargado del tratamiento hará todo lo posible por implementar un mecanismo de transferencia alternativo que cumpla los requisitos de la Legislación aplicable al tratamiento de datos personales en virtud del presente DPA con el fin de legalizar la transferencia de datos personales fuera de la UE/EEE, o bien cesará dicha transferencia.
Supresión o devolución de datos personales
Una vez recibida la solicitud por escrito del responsable del tratamiento, el encargado del tratamiento deberá suprimir o devolver todos los datos personales tratados para la prestación del Servicio de conformidad con el Contrato (así como cualquier copia existente de los mismos), salvo que la legislación exija el almacenamiento de dichos datos personales.
En caso de que el responsable del tratamiento no presente una solicitud por escrito para la supresión o la devolución de los datos personales, el encargado del tratamiento suprimirá de forma definitiva todos los datos personales pertinentes en un plazo de seis (6) meses a partir de la finalización de la prestación del servicio al responsable del tratamiento, salvo que se acuerde lo contrario por escrito. Lo anterior no puede considerarse una obligación del Encargado de tratamiento de conservar dichos datos personales durante un período de seis (6) meses, y el Encargado de tratamiento tiene derecho a suprimir dichos datos antes. El Responsable de tratamiento toma nota de que, tras el período estipulado en el presente documento, dichos datos personales se suprimirán de forma permanente. La obligación anterior no se aplica a los datos personales anonimizados, las estadísticas de uso, los parámetros técnicos y los análisis.
El responsable del tratamiento reconoce que la supresión de los datos personales tras la rescisión del contrato y del presente acuerdo de tratamiento de datos no excluye el derecho del encargado del tratamiento a conservar dichos datos en sus sistemas de copia de seguridad. El encargado del tratamiento se asegurará de que se apliquen las medidas de seguridad pertinentes, de que los datos personales queden inutilizables en los sistemas de copia de seguridad y de que, posteriormente, se supriman lo antes posible, es decir, en el siguiente ciclo de supresión o destrucción del encargado del tratamiento.
El responsable del tratamiento reconoce que el encargado del tratamiento tiene derecho a conservar todas las instrucciones y demás documentación relacionada con el tratamiento de datos personales.
General
El presente acuerdo de protección de datos entrará en vigor en el momento de la firma del contrato por las partes y será válido hasta la rescisión del mismo.
La rescisión del DPA se llevará a cabo de conformidad con el Acuerdo. La rescisión del DPA conlleva la rescisión automática del Acuerdo y viceversa. La rescisión del presente DPA no exime a las Partes del cumplimiento de las obligaciones que les incumben en virtud de la Legislación.
La obligación de confidencialidad establecida en el apartado 4.1.3 se aplicará de forma indefinida, incluso tras la rescisión del acuerdo de tratamiento de datos.
El presente Acuerdo de Tratamiento de Datos se rige por la legislación de la República de Estonia. Las Partes acuerdan que cualquier controversia que surja del presente Acuerdo de Tratamiento de Datos se resolverá según lo estipulado en el Acuerdo.
El Encargado del tratamiento tendrá derecho a modificar unilateralmente el presente Acuerdo de tratamiento de datos (DPA) mediante notificación previa al Responsable del tratamiento con catorce (14) días naturales de antelación, en caso de que sea necesario para cumplir con la Legislación o con cualquier modificación de la misma. Si el Responsable del tratamiento se niega a aceptar dichas modificaciones, el Encargado del tratamiento tendrá derecho a rescindir de forma inmediata y extraordinaria el Contrato y el presente DPA con el fin de cumplir con la Legislación. Si fuera necesario para cumplir con la Legislación, en el período comprendido entre la emisión de la notificación de rescisión y hasta la finalización de la rescisión del Acuerdo, las modificaciones que dan lugar a la rescisión se aplicarán íntegramente.
El Encargado del tratamiento tiene el derecho unilateral de modificar el Acuerdo de tratamiento de datos, notificando al Responsable del tratamiento los cambios por correo electrónico al menos treinta (30) días naturales antes de que las modificaciones entren en vigor. Si el Responsable del tratamiento no está de acuerdo con las modificaciones del Acuerdo de tratamiento de datos, podrá rescindirlo de conformidad con el Contrato.
Anexo 1 del DPA
Detalles sobre el tratamiento de datos
Objeto del tratamiento
El Encargado del tratamiento tratará los datos personales en la medida en que sea necesario para prestar el Servicio de conformidad con el Contrato.
Naturaleza del tratamiento
El encargado del tratamiento podrá llevar a cabo las siguientes actividades de tratamiento: recepción de datos, lo que incluye la recogida, el acceso, la recuperación, el registro y la introducción de datos; utilización de datos, lo que incluye el análisis y la elaboración de perfiles en el marco de la prestación del servicio; devolución de datos al responsable del tratamiento; y supresión de datos, lo que incluye la destrucción y la eliminación.
Categorías de interesados
El encargado del tratamiento podrá tratar datos personales de las siguientes categorías de interesados: los empleados del responsable del tratamiento, los clientes del responsable del tratamiento y los usuarios finales de los clientes (incluidos, entre otros, los destinatarios de mensajes SMS).
Tipos de datos personales
El encargado del tratamiento podrá tratar los siguientes tipos de datos personales: nombre, nombre de usuario, dirección de correo electrónico y número de teléfono. El encargado del tratamiento no trata datos personales sensibles.
Duración del tratamiento
El encargado del tratamiento tratará los datos personales mientras sea necesario para la prestación del servicio.
Anexo 2 del DPA
Subencargados del tratamiento
El Encargado del tratamiento recurre a determinados subencargados del tratamiento para que le ayuden a prestar el Servicio a sus clientes, tal y como se describe en las Condiciones del servicio.
Un subencargado del tratamiento es un tercero contratado por el encargado del tratamiento que tiene acceso, o que podría tener acceso, a los datos introducidos en el Servicio por el responsable del tratamiento (incluidos los datos personales).
Con el fin de facilitar la prestación del Servicio, el Encargado del tratamiento recurre a los siguientes subencargados del tratamiento: operadores de telefonía móvil (por ejemplo, Vodafone, Telefónica, Telia), aplicaciones de mensajería (WhatsApp, Viber, Google RSC) y Amazon Web Services.
Anexo 3 del DPA
Medidas técnicas y organizativas
El encargado del tratamiento ha aplicado, como mínimo, las siguientes medidas técnicas y organizativas:
Confidencialidad (Artículo 32, apartado 1, letra b), del RGPD)
Control de acceso físico
- Perímetros de seguridad delimitados con medidas de seguridad;
- Equipos de vigilancia técnica (sistema de alarma, videovigilancia, detectores de movimiento);
- Sistema de control de acceso y su mantenimiento periódico (servicio de conserjería, sistema de cerraduras, tarjetas de acceso electrónicas, sistema de transpondedores);
- Es obligatorio que los visitantes se registren en recepción; los visitantes deben ir acompañados de un empleado;
- Registro automático del sistema electrónico de control de accesos;
- Se ha establecido, documentado y revisado la política de seguridad de la información.
Control electrónico de acceso para cada usuario;
- Contraseña segura (el controlador del sistema aplica reglas complejas para las contraseñas; por ejemplo, al menos 10 caracteres, al menos una letra mayúscula y otra minúscula, y al menos un número); cambio automático de contraseña cada tres meses;
- Contraseñas temporales facilitadas a los usuarios de forma segura;
- Concesión de derechos de acceso de acuerdo con los principios de «necesidad de conocer» y «privilegio mínimo» (los derechos más limitados posibles), basándose en perfiles de usuario y funciones relacionados con las tareas;
- Asignación y uso restringidos y controlados de los derechos de acceso privilegiado;
- Procedimientos establecidos para asignar, modificar y revocar los derechos de acceso y las identificaciones de usuario, sin demoras indebidas, para todos los tipos de usuarios y en todos los sistemas y servicios;
- Procedimientos establecidos para notificar y revocar las credenciales de acceso (contraseñas) que hayan sido objeto de una filtración;
- Software antivirus;
- Cortafuegos;
- Sistemas de detección de intrusiones;
- Uso de una VPN para el acceso remoto;
- Bloqueo automático del escritorio;
- Autenticación de dos factores en el funcionamiento de los centros de datos y para los sistemas críticos;
- Gestión de parches de seguridad;
- Acceso cifrado mediante SSH;
- Cifrado SSL certificado;
- Cifrado de soportes de datos;
- Almacenamiento seguro de soportes de datos;
- Destrucción adecuada de los soportes de datos;
- Uso de trituradoras de documentos y proveedores de servicios de gestión de residuos certificados;
- Se ha establecido, documentado y revisado la política de seguridad de la información.
Control de acceso electrónico
- Identificación única para cada usuario;
- Contraseña segura (el controlador del sistema aplica reglas complejas para las contraseñas; por ejemplo, al menos 10 caracteres, al menos una letra mayúscula y otra minúscula, y al menos un número); cambio automático de contraseña cada tres meses;
- Contraseñas temporales facilitadas a los usuarios de forma segura;
- Concesión de derechos de acceso de acuerdo con los principios de «necesidad de conocer» y «privilegio mínimo» (los derechos más limitados posibles), basándose en perfiles de usuario y funciones relacionados con las tareas;
- Asignación y uso restringidos y controlados de los derechos de acceso privilegiado;
- Procedimientos establecidos para asignar, modificar y revocar los derechos de acceso y las identificaciones de usuario, sin demoras indebidas, para todos los tipos de usuarios y en todos los sistemas y servicios;
- Procedimientos establecidos para notificar y revocar las credenciales de acceso (contraseñas) que hayan sido objeto de una filtración;
- Software antivirus;
- Cortafuegos;
- Sistemas de detección de intrusiones;
- Uso de una VPN para el acceso remoto;
- Bloqueo automático del escritorio;
- Autenticación de dos factores en el funcionamiento de los centros de datos y para los sistemas críticos;
- Gestión de parches de seguridad;
- Acceso cifrado mediante SSH;
- Cifrado SSL certificado;
- Cifrado de soportes de datos;
- Almacenamiento seguro de soportes de datos;
- Destrucción adecuada de los soportes de datos;
- Uso de trituradoras de documentos y proveedores de servicios de gestión de residuos certificados;
- Se ha establecido, documentado y revisado la política de seguridad de la información.
Control de separación
- Separación física de los sistemas, las bases de datos y los soportes de datos;
- Sistemas de clientes separados lógicamente de tal manera que los datos se recopilan o generan exclusivamente para un único cliente, sin acceder inadvertidamente a los datos de otro cliente;
- Separación física de los entornos de desarrollo, pruebas y producción;
- No se utilizarán datos no anonimizados en el entorno de desarrollo;
- Segmentación de VLAN;
- Determinación de los derechos sobre bases de datos;
- Se ha establecido, documentado y revisado la política de seguridad de la información;
- Se ha establecido, documentado y revisado la política de protección de datos.
Seudonimización
- En caso de seudonimización: separación de los datos de asignación y almacenamiento en un sistema independiente (cifrado);
- Instrucción interna para anonimizar o seudonimizar los datos personales en la medida de lo posible en caso de divulgación o incluso una vez transcurrido el plazo de conservación legal;
- Se ha establecido, documentado y revisado la política de seguridad de la información;
- Se ha establecido, documentado y revisado la política de protección de datos.
Integridad (Artículo 32, apartado 1, letra b), del RGPD)
Control de la introducción de datos
- Medidas establecidas para impedir el acceso no autorizado a la aplicación, el programa o el código fuente, y garantizar que dicho acceso se limite exclusivamente al personal autorizado;
- Registro técnico de la introducción, modificación y eliminación de datos;
- Trazabilidad de la introducción, modificación y eliminación de datos mediante nombres de usuario individuales;
- Se ha establecido, documentado y revisado la política de seguridad de la información.
Control de la transferencia de datos
- Protocolos de transferencia estandarizados y de última generación a través de conexiones cifradas (TLS, SSL, SFTP, HTTPS);
- Seguridad de la capa de transporte para garantizar la seguridad de las comunicaciones y las transferencias a través de la conexión de red;
- Uso de una VPN;
- Se ha establecido, documentado y revisado la política de seguridad de la información;
- Se ha establecido, documentado y revisado la política de protección de datos.
Disponibilidad y resiliencia (Artículo 32, apartado 1, letra b), del RGPD)
Control de disponibilidad
- Se ha llevado a cabo un seguimiento y una planificación de las necesidades de capacidad en todos los componentes de la infraestructura;
- Supervisión y optimización del rendimiento del sistema en todos los componentes de la infraestructura;
- Sistemas de detección (sistema de detección de incendios, control de la temperatura y la humedad de la sala de servidores, videovigilancia de la sala de servidores, aviso de alarma en caso de acceso no autorizado a la sala de servidores);
- Se ha establecido el concepto de copia de seguridad;
- Las copias de seguridad están cifradas;
- El acceso a las copias de seguridad está restringido exclusivamente al personal autorizado;
- Existencia de un plan de recuperación ante desastres que incluya todos los procedimientos y la información de apoyo necesarios para la reanudación de las actividades;
- Se ha establecido, documentado y revisado la política de seguridad de la información.
Rápida recuperación
- Supervisión y generación de informes de copias de seguridad;
- Posibilidad de restauración;
- Concepto de copia de seguridad según el nivel de criticidad y las especificaciones del cliente;
- Concepto de recuperación;
- Capacidad para replicar datos automáticamente con el fin de protegerse contra fallos inesperados del hardware;
- Comprobación periódica de los resultados de la recuperación de datos;
- Existencia de un plan de emergencia;
- Se ha establecido, documentado y revisado la política de seguridad de la información.
Procedimientos para la realización periódica de pruebas, análisis y evaluaciones (Artículo 32, apartado 1, letra d), y artículo 25 del RGPD)
Gestión de la protección de datos
- Documentación centralizada de todas las normas de protección de datos con acceso para los empleados;
- Como mínimo, una revisión anual con vistas a la mejora continua;
- Puntos de control de protección de datos aplicados de forma sistemática en la evaluación de riesgos asistida por herramientas;
- Formación periódica sobre protección de datos, confidencialidad y secreto de datos;
- Se ha llevado a cabo la evaluación de impacto relativa a la protección de datos, tal y como se exige;
- Se han establecido los procedimientos relativos a las obligaciones de información previstas en los artículos 13 y 14 del RGPD;
- Existe un procedimiento formalizado para atender las solicitudes de información presentadas por los interesados;
- Los riesgos relacionados con la protección de datos se han identificado como parte de la gestión de riesgos corporativos.
Gestión de la respuesta ante incidentes
- Supervisión de la continuidad del servicio;
- Uso de un cortafuegos, un filtro antispam y un antivirus, así como su actualización periódica;
- Plan documentado de respuesta ante incidentes de seguridad o violaciones de datos;
- Como mínimo, realizar pruebas anuales del plan de incidentes de seguridad y violaciones de datos;
- Sistema de alerta establecido para supervisar las violaciones de la privacidad y notificar al cliente en caso de que un incidente de privacidad pueda haber afectado a sus datos;
- Se ha establecido, documentado y revisado la política de seguridad de la información;
- Se ha establecido, documentado y revisado la política de protección de datos.
Protección de datos desde el diseño y de forma predeterminada
- No se recopilan más datos personales de los necesarios para la finalidad correspondiente;
- Como mínimo, revisiones anuales para la mejora continua;
- Configuraciones predeterminadas que respetan la privacidad en el software estándar y personalizado;
- Se ha establecido, documentado y revisado la política de protección de datos.
Control de pedidos
- Una selección cuidadosa del contratista teniendo en cuenta los aspectos de la diligencia debida (especialmente en lo que respecta a la protección y la seguridad de los datos);
- Celebración del acuerdo de tratamiento de datos con una redacción inequívoca;
- Instrucciones de trabajo por escrito dirigidas al contratista;
- Obligación de los empleados del contratista de mantener la confidencialidad de los datos;
- Normativa sobre el recurso a subcontratistas secundarios;
- Garantizar la destrucción de los datos tras la finalización del contrato;
- Seguimiento periódico del cumplimiento del acuerdo de tratamiento de datos.
Anexo 4 del DPA
Cláusulas contractuales tipo
Sección I
Legislación y obligaciones locales en caso de acceso por parte de las autoridades públicas
Artículo 1
Objeto y ámbito de aplicación
a.El objetivo de estas cláusulas contractuales tipo es garantizar el cumplimiento de los requisitos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos) en lo que se refiere a la transferencia de datos personales a un tercer país.
- las personas físicas o jurídicas, las autoridades públicas, los organismos u otros organismos (en lo sucesivo, «las entidades») que transfieran los datos personales, tal y como se enumeran en el anexo I.A. (en lo sucesivo, cada uno de ellos, «el exportador de datos»), y
- Las entidades de un tercer país que reciban los datos personales del exportador de datos, ya sea directamente o indirectamente a través de otra entidad que también sea parte de las presentes cláusulas, tal y como se enumeran en el anexo I.A. (en lo sucesivo, cada una de ellas, el «importador de datos»), han aceptado las presentes cláusulas contractuales tipo (en lo sucesivo, las «Cláusulas»).
c.Las presentes cláusulas se aplican a la transferencia de datos personales tal y como se especifica en el anexo I.B.
d.El apéndice de las presentes cláusulas, que contiene los anexos a los que se hace referencia en las mismas, forma parte integrante de las presentes cláusulas.
Cláusula 2
Vigencia e invariabilidad de las cláusulas
a.Las presentes cláusulas establecen las garantías adecuadas, incluidos los derechos exigibles de los interesados y las vías de recurso efectivas, de conformidad con el artículo 46, apartado 1, y el artículo 46 , apartado 2, letra c), del Reglamento (UE) 2016/679 y, en lo que respecta a las transferencias de datos de los responsables del tratamiento a los encargados del tratamiento y/o de un encargado del tratamiento a otro, las cláusulas contractuales tipo de conformidad con el artículo 28, apartado 7, del Reglamento (UE) 2016/679, siempre que no se modifiquen, salvo para seleccionar el módulo o módulos adecuados o para añadir o actualizar información en el apéndice. Esto no impide que las Partes incluyan las cláusulas contractuales tipo establecidas en las presentes Cláusulas en un contrato más amplio y/o añadan otras cláusulas o garantías adicionales, siempre que no contradigan, directa o indirectamente, las presentes Cláusulas ni menoscaben los derechos o libertades fundamentales de los interesados.
b.Las presentes cláusulas se entienden sin perjuicio de las obligaciones a las que está sujeto el exportador de datos en virtud del Reglamento (UE) 2016/679.
Cláusula 3
Terceros beneficiarios
- Cláusula 1, Cláusula 2, Cláusula 3, Cláusula 6, Cláusula 7;
- Cláusula 8 - Módulo uno: Cláusula 8.5 (e) y Cláusula 8.9(b); Módulo dos: Cláusula 8.1(b), 8.9(a), (c), (d) y (e); Módulo tres: Cláusula 8.1(a), (c) y (d) y Cláusula 8.9(a), (c), (d), (e), (f) y (g); Módulo cuatro: Cláusula 8.1(b) y Cláusula 8.3(b);
- Cláusula 9 - Módulo dos: Cláusula 9, letras a), c), d) y e); Módulo tres: Cláusula 9, letras a), c), d) y e);
- Cláusula 12 - Módulo uno: cláusula 12, letras a) y d); módulos dos y tres: cláusula 12, letras a), d) y f);
- Cláusula 13;
- Apartados c), d) y e) del artículo 15.1;
- Cláusula 16, letra e);
- Cláusula 18: Módulos uno, dos y tres: apartados a) y b) de la cláusula 18; Módulo cuatro: cláusula 18.
b.El apartado a) se entiende sin perjuicio de los derechos de los interesados en virtud del Reglamento (UE) 2016/679.
Artículo 4
Interpretación
a.Cuando en las presentes cláusulas se utilicen términos definidos en el Reglamento (UE) 2016/679, dichos términos tendrán el mismo significado que en dicho Reglamento.
b.Las presentes cláusulas se leerán e interpretarán a la luz de lo dispuesto en el Reglamento (UE) 2016/679.
c.Las presentes cláusulas no se interpretarán de manera que entren en conflicto con los derechos y obligaciones previstos en el Reglamento (UE) 2016/679.
Artículo 5
Jerarquía
En caso de contradicción entre las presentes cláusulas y las disposiciones de los acuerdos relacionados entre las partes, existentes en el momento de la firma de las presentes cláusulas o celebrados posteriormente, prevalecerán las presentes cláusulas.
Artículo 6
Descripción de la(s) transferencia(s)
Los detalles de la(s) transferencia(s), y en particular las categorías de datos personales que se transfieren y la(s) finalidad(es) para la(s) que se transfieren, se especifican en el anexo I.B.
Artículo 7
Cláusula de acoplamiento
La cláusula de acoplamiento opcional no será de aplicación.
Sección II
Obligaciones de las partes
Artículo 8
Medidas de protección de datos
El exportador de datos garantiza que ha hecho todo lo posible por determinar que el importador de datos está en condiciones, mediante la aplicación de las medidas técnicas y organizativas adecuadas, de cumplir las obligaciones que le incumben en virtud de las presentes cláusulas.
8.1 Instrucciones
(a)El exportador de datos tratará los datos personales únicamente siguiendo las instrucciones documentadas del importador de datos que actúe como responsable del tratamiento.
b)El exportador de datos informará inmediatamente al importador de datos si no puede seguir dichas instrucciones, incluso si estas infringen el Reglamento (UE) 2016/679 u otra legislación de la Unión o de los Estados miembros en materia de protección de datos.
c)El importador de datos se abstendrá de cualquier acción que impida al exportador de datos cumplir sus obligaciones en virtud del Reglamento (UE) 2016/679, incluso en el contexto del subcontratista o en lo que respecta a la cooperación con las autoridades de control competentes.
(d)Una vez finalizada la prestación de los servicios de tratamiento, el exportador de datos, a elección del importador de datos, deberá suprimir todos los datos personales tratados por cuenta del importador de datos y certificar a este que lo ha hecho, o bien devolver al importador de datos todos los datos personales tratados por su cuenta y suprimir las copias existentes.
8.2 Seguridaddel tratamiento
(a)Las Partes aplicarán las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos, incluso durante su transmisión, y la protección contra una violación de la seguridad que dé lugar a la destrucción, pérdida, alteración, divulgación o acceso no autorizados, ya sea de forma accidental o ilícita (en lo sucesivo, «violación de datos personales»). Al evaluar el nivel adecuado de seguridad, tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza de los datos personales, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos que este entraña para los interesados, y, en particular, considerarán la posibilidad de recurrir al cifrado o a la seudonimización, incluso durante la transmisión, cuando el fin del tratamiento pueda alcanzarse de esa manera.
(b)El exportador de datos prestará asistencia al importador de datos para garantizar la seguridad adecuada de los datos de conformidad con el apartado (a). En caso de que se produzca una violación de la seguridad de los datos personales tratados por el exportador de datos en virtud de las presentes cláusulas, el exportador de datos lo notificará al importador de datos sin demora injustificada tras tener conocimiento de ello y prestará asistencia al importador de datos para hacer frente a dicha violación.
c)El exportador de datos deberá garantizar que las personas autorizadas a tratar los datos personales se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.
8.3 Documentacióny cumplimiento
(a)Las Partes deberán poder demostrar el cumplimiento de las presentes cláusulas.
b)El exportador de datos pondrá a disposición del importador de datos toda la información necesaria para demostrar el cumplimiento de sus obligaciones en virtud de las presentes cláusulas y permitirá y colaborará en las auditorías.
Cláusula 9
Recurso a subencargados del tratamiento
Este espacio se ha dejado en blanco a propósito.
Artículo 10
Derechos de los interesados
Las Partes se prestarán asistencia mutua para responder a las consultas y solicitudes formuladas por los interesados con arreglo a la legislación local aplicable al importador de datos o, en el caso del tratamiento de datos por parte del exportador de datos en la UE, con arreglo al Reglamento (UE) 2016/679
Artículo 11
Reparación
El importador de datos deberá informar a los interesados, en un formato transparente y fácilmente accesible, mediante notificación individual o a través de su sitio web, de un punto de contacto autorizado para tramitar las reclamaciones. Deberá tramitar sin demora cualquier reclamación que reciba de un interesado.
Artículo 12
Responsabilidad
(a)Cada Parte será responsable ante la otra u otras Partes por cualquier daño que cause a la otra u otras Partes por el incumplimiento de las presentes cláusulas
(b)Cada Parte será responsable ante el interesado, y este tendrá derecho a recibir una indemnización, por cualquier daño material o moral que la Parte le cause al infringir los derechos de terceros beneficiarios previstos en las presentes cláusulas. Esto se entiende sin perjuicio de la responsabilidad del exportador de datos en virtud del Reglamento (UE) 2016/679.
(c)Cuando más de una Parte sea responsable de cualquier perjuicio causado al interesado como consecuencia del incumplimiento de las presentes Cláusulas, todas las Partes responsables serán responsables solidariamente y el interesado tendrá derecho a interponer una demanda judicial contra cualquiera de dichas Partes.
(d)Las Partes acuerdan que, si una de ellas es considerada responsable en virtud del apartado (c), tendrá derecho a reclamar a la otra u otras Partes la parte de la indemnización correspondiente a su responsabilidad por los daños.
e)El importador de datos no podrá invocar la conducta de un encargado del tratamiento o de un subencargado del tratamiento para eludir su propia responsabilidad.
Artículo 13
Supervisión
Este espacio se ha dejado en blanco a propósito.
Sección III
Legislación y obligaciones locales en caso de acceso por parte de las autoridades públicas
Artículo 14
Legislación y prácticas locales que afectan al cumplimiento de las cláusulas
Este espacio se ha dejado en blanco a propósito.
Artículo 15
Obligaciones del importador de datos en caso de acceso por parte de las autoridades públicas
Este espacio se ha dejado en blanco a propósito.
SECCIÓN IV
Disposiciones finales
Artículo 16
Incumplimiento de las cláusulas y rescisión
(a)El importador de datos informará sin demora al exportador de datos si, por cualquier motivo, no puede cumplir estas cláusulas.
b)En caso de que el importador de datos incumpla las presentes cláusulas o no pueda cumplirlas, el exportador de datos suspenderá la transferencia de datos personales al importador de datos hasta que se garantice de nuevo el cumplimiento o se rescinda el contrato. Esto se entiende sin perjuicio de lo dispuesto en la cláusula 14, letra f).
- el exportador de datos haya suspendido la transferencia de datos personales al importador de datos con arreglo a la letra b) y no se restablezca el cumplimiento de las presentes cláusulas en un plazo razonable y, en cualquier caso, en el plazo de un mes a partir de la suspensión;
- el importador de datos incumpla de manera grave o reiterada las presentes cláusulas; o
- el importador de datos incumpla una resolución vinculante de un tribunal competente o de una autoridad de control en relación con las obligaciones que le incumben en virtud de las presentes cláusulas.
(d)Los datos personales recogidos por el exportador de datos en la UE que hayan sido transferidos antes de la rescisión del contrato de conformidad con el apartado (c) se suprimirán inmediatamente en su totalidad, incluidas todas las copias de los mismos. El importador de datos certificará la supresión de los datos al exportador de datos. Hasta que los datos sean suprimidos o devueltos, el importador de datos seguirá garantizando el cumplimiento de las presentes Cláusulas. En caso de que la legislación local aplicable al importador de datos prohíba la devolución o supresión de los datos personales transferidos, el importador de datos garantiza que seguirá asegurando el cumplimiento de las presentes Cláusulas y que solo tratará los datos en la medida y durante el tiempo que exija dicha legislación local.
e)Cualquiera de las Partes podrá revocar su aceptación de quedar vinculada por las presentes Cláusulas cuando (i) la Comisión Europea adopte una decisión con arreglo al artículo 45, apartado 3, del Reglamento (UE) 2016/679 que abarque la transferencia de datos personales a la que se aplican las presentes Cláusulas, o (ii) el Reglamento (UE) 2016/679 pase a formar parte del marco jurídico del país al que se transfieren los datos personales. Esto se entiende sin perjuicio de otras obligaciones aplicables al tratamiento en cuestión en virtud del Reglamento (UE) 2016/679.
Artículo 17
Legislación aplicable
Las presentes cláusulas se regirán por la legislación de un país que reconozca los derechos de terceros beneficiarios. Las partes acuerdan que dicha legislación será la de la República de Estonia.
Artículo 18
Elección del foro y la jurisdicción
Cualquier controversia que surja de las presentes cláusulas será resuelta por los tribunales de la República de Estonia.
Apéndice de cláusulas contractuales tipo
Anexo I
A. Lista de partes
Exportador de datos:
Nombre y datos de contacto: Dexatel OÜ; los datos de contacto se indican en las Condiciones del servicio
Firma y fecha: al suscribir el Acuerdo, se considera que el exportador de datos ha firmado las presentes cláusulas contractuales tipo de la UE incorporadas al mismo, incluidos sus anexos, a partir de la fecha de entrada en vigor de las Condiciones del servicio.
Función: encargado del tratamiento
Importador de datos:
Nombre y datos de contacto: Cliente; datos de contacto indicados en la cuenta del cliente
Firma y fecha: al suscribir el Acuerdo, se considera que el exportador de datos ha firmado las presentes cláusulas contractuales tipo de la UE incorporadas al mismo, incluidos sus anexos, a partir de la fecha de entrada en vigor de las Condiciones del servicio.
Cargo: interventor
B. Descripción de la transferencia
Categorías de interesados cuyos datos personales se transfieren: los empleados del responsable del tratamiento, los clientes del responsable del tratamiento y los usuarios finales de los clientes (incluidos, entre otros, los destinatarios de SMS);
Categorías de datos personales transferidos: nombre, nombre de usuario, dirección de correo electrónico, número de teléfono;
Datos sensibles transferidos: no se transfieren datos personales sensibles;
La frecuencia de la transferencia: de forma continua durante la vigencia del Acuerdo;
Naturaleza y finalidades del tratamiento: prestar el Servicio de conformidad con el Contrato:
El plazo durante el cual se conservarán los datos personales o, si ello no fuera posible, los criterios utilizados para determinar dicho plazo: mientras sea necesario para la prestación del Servicio;
En el caso de las transferencias a (sub)encargados del tratamiento, especifique también el objeto, la naturaleza y la duración del tratamiento: el exportador de datos recurre a subencargados del tratamiento, que se enumeran en el anexo 2 del DPA, para prestar el Servicio de conformidad con el Acuerdo, siempre que sea necesario para la prestación del Servicio.