Legal - Nitro PDF y Sign - Anexo de Procesamiento de Datos

Adenda de Procesamiento de Datos de la UK GDPR

Nitro Pro

ESTA ADENDA DE PROCESAMIENTO DE DATOS SE APLICA SI USTED SE HA REGISTRADO PARA LOS SERVICIOS DE NITRO COMO UN CLIENTE EMPRESARIAL BAJO LOS TÉRMINOS DE SERVICIO DE NITRO Y LA UK GDPR SE APLICA AL PROCESAMIENTO DE DATOS PERSONALES EN EL CONTEXTO DEL ACUERDO. EN CASO DE QUE USTED SE HAYA REGISTRADO COMO UN INDIVIDUO, POR FAVOR VISITE LA POLÍTICA DE PRIVACIDAD DE NITRO PARA MÁS INFORMACIÓN SOBRE CÓMO NITRO PROCESA SUS DATOS PERSONALES.

1. Alcance; Roles de las Partes

Nitro recibirá y procesará Datos Personales en beneficio y en nombre del Cliente al proporcionar el Servicio, de acuerdo con las instrucciones y el propósito definidos por el Cliente en los Detalles del Procesamiento de Datos. Mediante este Anexo de Procesamiento de Datos, las Partes desean establecer sus acuerdos específicos con respecto al procesamiento de Datos Personales dentro del marco del Acuerdo.

Por defecto, Nitro actuará como Procesador y el Cliente actuará como Controlador en relación con los Servicios proporcionados por Nitro al Cliente conforme a los Términos de Servicio de Nitro. Este Anexo de Procesamiento de Datos sustituye y reemplaza todos los acuerdos anteriores realizados (si los hubiera) en relación con el procesamiento de Datos Personales y la protección de datos entre las Partes en relación con los Servicios ofrecidos por Nitro.

Este Anexo de Procesamiento de Datos complementa y forma parte de los Términos de Servicio, y juntos, los Términos de Servicio y este Anexo de Procesamiento de Datos constituyen un único acuerdo legal entre las Partes. En caso de discrepancias o contradicciones entre esta Adenda de Procesamiento de Datos y los Términos de Servicio, la Adenda de Procesamiento de Datos prevalecerá.

2. Definiciones

“Anexo” se refiere a cualquier anexo de la presente Adenda de Procesamiento de Datos;

“Controlador” se refiere al Cliente tal como se identifica en los Términos de Servicio y el Formulario de Pedido aplicable;

“Detalles del Procesamiento de Datos” significa el Anexo 1 de la presente Adenda de Procesamiento de Datos que incluye más detalles sobre las instrucciones del Cliente sobre el procesamiento de Datos Personales, como el propósito, objeto y naturaleza del procesamiento y el tipo de Datos Personales que se están procesando;

“UK GDPR” significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo del 27 de abril de 2016 sobre la protección de las personas físicas en lo que respecta al procesamiento de datos personales y sobre la libre circulación de estos datos, y que deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos);

“Datos Personales” significa datos personales como se define según UK GDPR que Nitro procesa para beneficio y en nombre del Cliente al proporcionar los Servicios de acuerdo con las instrucciones y el propósito definidos por el Cliente en los Detalles del Procesamiento de Datos;

“Procesador” se refiere a Nitro Software Inc., proveedor de los Servicios al Cliente y tal como se identifica en los Términos de Servicio;

“Lista de Sub-procesadores” se refiere a la lista de Sub-procesadores publicada en línea por Nitro, que incluye los Sub-procesadores comprometidos por Nitro para la provisión de los Servicios y el cumplimiento de la obligación de Nitro bajo el Acuerdo en general. Nitro puede actualizar la Lista de Sub-procesadores de vez en cuando de acuerdo con el proceso establecido en esta Adenda de Procesamiento de Datos;

“Sub-procesador” significa cualquier procesador de terceros comprometido por Nitro para el procesamiento de Datos Personales relacionados con la provisión de los Servicios al Cliente;

“UK GDPR” significa el GDPR de la UE tal como se transpone en la legislación doméstica del Reino Unido en virtud de la sección 3 de la Ley de Retiro de la Unión Europea de 2018 y según enmendada por las Regulaciones de Protección de Datos, Privacidad y Comunicaciones Electrónicas (Enmiendas, etc.) (Salida de la UE) de 2019 (según enmendadas);

“UK Datos Personales” significa Datos Personales a los que se aplica el UK GDPR;

“Cláusulas Contractuales Tipo del Reino Unido” significa la Adenda de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea emitidas por el Comisionado de Información en virtud de la Sección 119A(1) de la Ley de Protección de Datos de 2018, en la forma y manera establecidas en el Anexo 2 de esta Adenda de Procesamiento de Datos.

Todos los demás términos y definiciones escritos con letras mayúsculas y que no están definidos expresamente en esta Adenda de Procesamiento de Datos, se definen como se establece en la legislación de protección de datos aplicable o en los Términos de Servicio de Nitro.

3. Objeto de esta Adenda de Procesamiento de Datos

3.1 Esta Adenda de Procesamiento de Datos determina las condiciones del procesamiento por Nitro de los Datos Personales comunicados por o a iniciativa del Cliente en el contexto del Acuerdo. La naturaleza y el propósito del procesamiento, una lista y el tipo de Datos Personales así como las categorías de los Sujetos de Datos se enumeran en los Detalles del Procesamiento de Datos (Anexo 1).

3.2 El procesamiento tendrá lugar exclusivamente en beneficio del Cliente y para el propósito definido por el Cliente en los Detalles del Procesamiento de Datos. Nitro informará de inmediato al Cliente si, en su opinión, una instrucción infringe la legislación de protección de datos aplicable. Nitro solo procesará los Datos Personales de acuerdo con las instrucciones documentadas del Cliente y no utilizará estos Datos Personales para su propio propósito, a menos que esté explícitamente permitido en los Términos de Servicio. Si Nitro está legalmente obligado a proceder con cualquier procesamiento de Datos Personales, Nitro informará al Cliente de tal obligación, a menos que esto violara las normas obligatorias aplicables.

4. Duración

4.1 Esta Adenda de Procesamiento de Datos es aplicable a todo procesamiento de Datos Personales ejecutado en el contexto de la provisión de los Servicios al Cliente por parte de Nitro y se aplica mientras Nitro procese Datos Personales en nombre del Cliente en el contexto del Acuerdo. Esta Adenda de Procesamiento de Datos complementa los Términos de Servicio de Nitro y tiene como objetivo asegurar el cumplimiento de las partes con los requisitos impuestos por las leyes y regulaciones de protección de datos aplicables para el uso de los Servicios por parte del Cliente.

4.2 Esta Adenda de Procesamiento de Datos finaliza automáticamente al finalizar el Acuerdo (o en el momento en que se interrumpe el procesamiento por parte de Nitro). Las disposiciones de esta Adenda de Procesamiento de Datos que estén expresamente o implícitamente (dadas su naturaleza) destinadas a tener efecto después de la terminación de la Adenda de Procesamiento de Datos perdurarán hasta el fin del Acuerdo con respecto a los Datos Personales comunicados por o a iniciativa del Cliente en el contexto del Acuerdo.

5. Medidas Técnicas y Organizativas

5.1 Nitro ofrece garantías adecuadas en relación con la implementación de medidas técnicas y organizativas apropiadas (“TOMs”) para asegurar un procesamiento seguro de los datos personales y así garantizar la protección de los derechos de los Sujetos de Datos. Las TOMs implementadas por Nitro se establecen en los Detalles del Procesamiento de Datos. Los TOM pueden ser actualizados por Nitro de vez en cuando; sin embargo, Nitro se asegurará de no degradar la seguridad general que ha implementado en el momento de la ejecución del Anexo de Procesamiento de Datos. El Cliente reconoce que las TOMs son adecuadas para el procesamiento de sus Datos Personales en el momento de firmar o aceptar esta Adenda de Procesamiento de Datos.

5.2 Nitro tomará todas las medidas técnicas y organizativas apropiadas como se refiere en el artículo 32 del UK GDPR para asegurar un nivel adecuado de seguridad apropiado al riesgo.

5.3 Si el Cliente proporciona Datos Personales sensibles como se refiere en los artículos 9 y 10 del UK GDPR a Nitro en el contexto del Acuerdo, el Cliente notificará a Nitro de tal hecho por escrito a través de privacy@gonitro.com.

5.4 En caso de que el Cliente solicite medidas técnicas y organizativas específicas que deben ser implementadas por Nitro (que Nitro no ha implementado por defecto), el Cliente reembolsará a Nitro por la implementación de tales medidas adicionales de acuerdo con la Sección 14 “Costos” de esta Adenda de Procesamiento de Datos.

5.5 La adhesión de Nitro a un código de conducta aprobado como se refiere en el artículo 40 del UK GDPR, o a un mecanismo de certificación aprobado como se refiere en el artículo 42 del UK GDPR puede usarse como elemento de prueba de garantías suficientes como se refiere en el UK GDPR.

6. Retención

6.1 Nitro no mantendrá los Datos Personales más allá de lo necesario para el procesamiento de dichos Datos Personales en el contexto del Acuerdo. El Cliente no instruirá a Nitro a almacenar ningún Dato Personal por más tiempo del necesario. El período de retención aplicable (según lo definido por el Cliente) se establece en los Detalles del Procesamiento de Datos.

6.2 A elección del Cliente, Nitro eliminará o devolverá todos los Datos Personales al Cliente después del fin de la provisión de Servicios y eliminará las copias existentes a menos que la ley aplicable requiera el almacenamiento de los Datos Personales. El Cliente reconoce que los Servicios pueden incluir funcionalidades de descarga a disposición del Cliente para habilitar que el Cliente descargue sus datos. En la medida en que tales funcionalidades estén disponibles, el Cliente deberá utilizar tales funcionalidades para extraer o eliminar sus datos.

7. Confidencialidad

7.1 Las partes han acordado una cláusula de confidencialidad en los Términos de Servicio que se aplica al procesamiento de Datos Personales en el contexto del Acuerdo.

7.2 Nitro reconoce y acepta que solo aquellos empleados, contratistas o agentes de Nitro que están involucrados en el procesamiento de Datos Personales pueden ser informados sobre los Datos Personales y solo en la medida que sea razonablemente necesario para la ejecución del Acuerdo. Nitro garantiza que las personas autorizadas para procesar los Datos Personales están comprometidas con la confidencialidad por contrato o están bajo una obligación estatutaria de confidencialidad.

8. Derechos de los Sujetos de Datos

8.1 Teniendo en cuenta la naturaleza del procesamiento, Nitro hará todos los esfuerzos razonables, tomando las medidas técnicas y organizativas apropiadas, para ayudar al Cliente en el cumplimiento de su obligación de responder a las solicitudes de los Sujetos de Datos.

8.2 Por toda la asistencia proporcionada por Nitro en el contexto del tratamiento de tales solicitudes de los Sujetos de Datos, el Cliente reembolsará a Nitro de acuerdo con la Sección 14 “Costos” de esta Adenda de Procesamiento de Datos. Dicha retribución por parte del Cliente no se aplicará (i) en caso de que el Sujeto de Datos invoque sus derechos debido a una Violación de Datos Personales probadamente atribuible a Nitro o (ii) en caso de que tal asistencia por parte de Nitro no supere las cuatro (4) horas de trabajo durante la vigencia del Acuerdo.

9. Deber de Notificar

9.1 Al tener conocimiento de una Violación de Datos Personales, Nitro notificará al Cliente sin demoras indebidas contactando a la persona de contacto indicada en el Acuerdo o en el Formulario de Pedido relevante (o alternativamente a través de la Dirección de Correo Electrónico de Notificación del Cliente o (si aplica) cualquier otra dirección de correo electrónico que el Cliente haya compartido en el portal de administración como contacto de privacidad). La persona de contacto de Nitro para cualquier asunto relacionado con la protección de datos puede ser contactada por correo electrónico: privacy@gonitro.com.

9.2 A solicitud del Cliente, Nitro informará al Cliente sobre cualquier nuevo desarrollo con respecto a cualquier Violación de Datos Personales y de las medidas tomadas para limitar sus consecuencias y prevenir la repetición de tal Violación de Datos Personales. Es responsabilidad del Cliente informar cualquier Violación de Datos Personales a la Autoridad de Supervisión o a los Sujetos de Datos, según se requiera.

10. Sub-procesamiento

10.1 El Cliente autoriza expresamente a Nitro a comprometer Sub-procesadores para el procesamiento de Datos Personales para el cumplimiento del Acuerdo y para facilitar la provisión de los Servicios en general. En este sentido, el Cliente otorga una autorización general por escrito a Nitro para decidir con qué Subprocesador(es) Nitro colabora para el cumplimiento de sus obligaciones bajo el Acuerdo. Nitro publica una Lista de Sub-procesadores referida a los Sub-procesadores comprometidos por Nitro.

10.2 Nitro informará al Cliente de cualquier cambio previsto respecto a la adición o reemplazo de Sub-procesadores contactando a la persona de contacto indicada en el Acuerdo o en el Formulario de Pedido relevante (o a través de la Dirección de Correo Electrónico de Notificación del Cliente o (si aplica) cualquier otra dirección de correo electrónico que el Cliente haya compartido en el portal de administración como contacto de privacidad). El Cliente tendrá el derecho de oponerse a la adición o reemplazo al dirigirse a Nitro por escrito. Las partes en tal caso discutirán la adición, reemplazo o alternativa de buena fe y tan pronto como sea razonablemente posible después de la notificación escrita de objeción del Cliente.

10.3 Cuando Nitro comprometa a un Sub-procesador para llevar a cabo actividades de procesamiento específicas, las mismas u obligaciones similares de protección de datos que se establecen en esta Adenda de Procesamiento de Datos serán impuestas a ese Sub-procesador mediante un acuerdo escrito, proporcionando en particular garantías suficientes para implementar medidas técnicas y organizativas apropiadas (y cumpliendo con las medidas técnicas y organizativas relevantes). Cuando un Sub-procesador no cumpla con sus obligaciones de protección de datos, Nitro será plenamente responsable ante el Cliente por el desempeño de tales obligaciones del Sub-procesador.

11. Transferencias Internacionales de Datos

11.1 El Cliente reconoce que Nitro está establecido en los Estados Unidos de América, y por lo tanto autoriza transferencias internacionales de datos personales con el propósito de proporcionar los Servicios. Tal transferencia internacional de datos se considera una instrucción del Cliente.

11.2 Si, en cualquier momento durante la vigencia de esta Adenda de Procesamiento de Datos, (i) Nitro está certificado bajo la Extensión del Reino Unido al marco de datos UE-EE. UU. Marco de Privacidad de Datos (también conocido como el ‘puente de datos’ Reino Unido-EE.UU.) (“Marco”); y (ii) ese Marco constituye una decisión válida de adecuación a los efectos del artículo 45 de la UK GDPR, entonces las Partes reconocen que no se requieren garantías adecuadas respecto a las transferencias entre el Cliente y Nitro.

11.3 Cuando las condiciones establecidas en la Sección 11.2 no se apliquen, las Partes ingresarán en las Cláusulas Contractuales Tipo del Reino Unido en la forma y manera establecidas en el Anexo 2 de esta Adenda de Procesamiento de Datos, tales Cláusulas Contractuales Tipo del Reino Unido siendo incorporadas y formando parte de esta Adenda de Procesamiento de Datos.

11.4 El Cliente reconoce que los Sub-procesadores autorizados bajo la cláusula 10 también pueden procesar Datos Personales en terceros países. El Cliente permite tales transferencias, sujeto a que Nitro tome todas las medidas necesarias para asegurar que tales transferencias cumplan con las disposiciones del Capítulo V del UK GDPR y otras leyes de protección de datos aplicables.

11.5 En caso de que la transferencia de Datos Personales a un tercer país o a una organización internacional sea obligatoria bajo la ley aplicable a la que Nitro esté sujeto, Nitro podrá realizar dicha transferencia y deberá informar al Cliente de ese requerimiento legal antes de dicho Procesamiento, a menos que dicha ley prohíba dicha información por motivos de interés público importante.

12. Evaluación de Impacto de Protección de Datos y Consulta Previa

12.1 Si el Cliente realiza una Evaluación de Impacto de Protección de Datos (“DPIA”) (artículo 35 de la UK GDPR) o una consulta previa (artículo 36 de la UK GDPR) vinculada al procesamiento de Datos Personales en el contexto del cumplimiento del Acuerdo, Nitro asistirá razonablemente al Cliente proporcionando asistencia a solicitud escrita del Cliente. El Cliente reembolsará a Nitro por la asistencia proporcionada conforme a la Sección 14 "Costos" de este Anexo de Procesamiento de Datos. Dicha retribución de costos no se aplicará en caso de que (i) la asistencia solicitada por Nitro sea menor a cuatro (4) horas de trabajo durante la vigencia del Acuerdo, o (ii) la DPIA o la consulta previa sea provocada por una Violación de Datos Personales probada atribuible a Nitro.

13. Derecho de Auditoría

13.1 El Cliente tiene el derecho de realizar auditorías respecto al cumplimiento por parte de Nitro con sus obligaciones bajo esta Adenda de Procesamiento de Datos y la legislación de protección de datos aplicable. Nitro hará esfuerzos razonables para cooperar con dichas auditorías y para poner a disposición toda la información necesaria para demostrar su cumplimiento con su obligación. El Cliente deberá notificar a Nitro sobre dicha auditoría al menos un (1) mes antes de la fecha en que se realizará la auditoría, mediante un aviso escrito a Nitro a través de privacy@gonitro.com.

13.2 En caso de que se esté realizando una auditoría, todas las partes involucradas deberán firmar primero un acuerdo específico de no divulgación emitido por Nitro respecto a dicha auditoría y los resultados de la auditoría antes de comenzar la auditoría. Al realizar cualquiera de estas auditorías, se deben tener en cuenta las obligaciones de confidencialidad de las Partes respecto a terceros. Tanto las Partes como sus auditores deben mantener en secreto la información recopilada en relación con una auditoría y utilizarla exclusivamente para verificar su cumplimiento con este Anexo de Procesamiento de Datos y las leyes y regulaciones aplicables en materia de protección de datos. El Cliente tiene la opción de realizar la auditoría por sí mismo o de asignar a un auditor independiente, sin embargo, dicho auditor independiente debe firmar adecuadamente el acuerdo de no divulgación mencionado en esta Sección.

13.3 Ambas Partes y donde sea aplicable sus representantes, cooperarán razonablemente, a solicitud, con la Autoridad de Supervisión en el desempeño de sus tareas.

13.4 El Cliente reembolsará a Nitro por la asistencia proporcionada por Nitro en relación con la(s) auditoría(s) de acuerdo con la Sección 14 “Costos” de esta Adenda de Procesamiento de Datos. Entiéndase, dicha retribución no se aplicará en caso de que (i) la auditoría sea resultado de una Violación de Datos Personales probada atribuible a Nitro o, (ii) en caso de que la asistencia de Nitro no supere las cuatro (4) horas de trabajo durante la vigencia del Acuerdo.

14. Costos

14.1 La asistencia que se realice bajo esta Adenda de Procesamiento de Datos por la cual Nitro puede cobrar al Cliente, se cobrará sobre la base de las horas trabajadas y las tarifas estándar aplicables de Nitro (USD 295/hora impuestos excluidos). Nitro facturará estas cantidades mensualmente, pero también tiene el derecho de solicitar una tarifa de retención por adelantado.

14.2 El pago por parte del Cliente a Nitro por la asistencia y los servicios profesionales proporcionados por Nitro bajo esta Adenda de Procesamiento de Datos se realizará de acuerdo con las disposiciones de los Términos de Servicio.

15. Responsabilidad

15.1 Sujeto a la máxima extensión permitida bajo la ley aplicable, las disposiciones de los Términos de Servicio sobre limitación de responsabilidad también se aplican a esta Adenda de Procesamiento de Datos y a los daños derivados de la misma. Varios

16.1 Las disposiciones de los Términos de Servicio sobre cambios, acuerdo total, divisibilidad, ley aplicable y tribunales competentes son aplicables a esta Adenda de Procesamiento de Datos. En caso de discrepancias o contradicciones entre esta Adenda de Procesamiento de Datos y las Cláusulas Contractuales Tipo del Reino Unido, si aplica, prevalecerán las Cláusulas Contractuales Tipo del Reino Unido.

Anexo 1 - Detalles del Procesamiento de Datos

A. LISTA DE PARTES

1. EXPORTADOR(ES) DE DATOS
Nombre: Cliente, tal como se identifica en el Acuerdo y el Formulario de Pedido relevante.

Dirección: La dirección del exportador de datos se establece en el Acuerdo y el Formulario de Pedido relevante.

Nombre de la persona de contacto, puesto y datos de contacto: Los datos de contacto de la persona de contacto para el exportador de datos se establecen. en el Acuerdo, el Formulario de Pedido correspondiente (y si corresponde, el portal de administración del Cliente).

Actividades relevantes para los datos transferidos: Las actividades que son relevantes para los datos transferidos bajo estas Cláusulas Contractuales Estándar del Reino Unido se describen a continuación en la Sección B "Descripción del procesamiento/transferencia".

Firma y fecha: Al firmar o aceptar el Formulario de Pedido correspondiente, se considerará que el exportador de datos ha firmado este Anexo I.

Rol (responsable/procesador): Responsable

2. IMPORTADOR(ES) DE DATOS
Nombre: Nitro Software Inc.

Dirección: 447 Sutter St, STE 405 #1015, San Francisco, CA 94108, Estados Unidos.

Nombre de la persona de contacto, posición y detalles de contacto: privacy@gonitro.com, 447 Sutter St, STE 405 #1015, San Francisco, CA 94108, Estados Unidos.

Actividades relevantes para los datos transferidos: Las actividades que son relevantes para los datos transferidos bajo estas Cláusulas Contractuales Estándar del Reino Unido se describen a continuación en la Sección B "Descripción del procesamiento/transferencia".

Firma y fecha: Al firmar o aceptar el Formulario de Pedido correspondiente, se considerará que el importador de datos ha firmado este Anexo I.

Rol (responsable/procesador): Procesador

B. DESCRIPCIÓN DEL PROCESAMIENTO/TRANSFERENCIA

1. EL ASUNTO DEL PROCESAMIENTO DE LOS DATOS PERSONALES

El asunto es determinado por el Cliente según lo establecido en el Acuerdo y el Formulario de Pedido correspondiente.

2. LA NATURALEZA Y EL PROPÓSITO DEL PROCESAMIENTO DE DATOS PERSONALES

La naturaleza y el propósito del procesamiento son determinados por el Cliente según lo establecido en el Acuerdo y el Formulario de Pedido correspondiente.

Por defecto, dicho procesamiento tendrá como propósito poner a disposición los Servicios, incluyendo todas sus características y funcionalidades, al Cliente y sus Usuarios y, en términos más generales, permitir que Nitro cumpla con sus obligaciones contractuales bajo el Acuerdo. Tal propósito puede ser poner a disposición los Servicios en la Nube (por ejemplo, pero sin limitación, poner a disposición el portal en la nube del cliente, servicios de firma electrónica, servicios de análisis, etc.) así como la provisión de Soporte.

La naturaleza del procesamiento incluirá, entre otras instrucciones dadas por el Cliente en el Acuerdo y el Formulario de Pedido correspondiente, el procesamiento, recopilación, almacenamiento, comunicación y transferencia de Datos Personales.

3. DATOS PERSONALES PROCESADOS

Dependiendo de las funcionalidades utilizadas dentro de los Servicios (p. ej., portal de administración, servicios de firma electrónica, servicios de análisis, etc.) y el contenido de los Datos del Cliente subidos por el Cliente y sus Usuarios a los Servicios, Nitro procesa diferentes tipos de Datos Personales.

En general, los Datos Personales procesados por Nitro incluyen sin limitación:

Detalles de identificación (por ejemplo, detalles de Usuario y uso)
Datos de documentos (por ejemplo, Datos Personales incluidos en documentos PDF procesados)

Una descripción detallada del tipo de Datos Personales que se procesan al utilizar los Servicios está disponible a través del Centro de Confianza de Nitro: Procesamiento de Datos Personales

4. DATOS SENSIBLES
El exportador de datos podría incluir Datos Personales sensibles en los datos personales de acuerdo con la Sección 5,3 de este Anexo de Procesamiento de Datos. Datos sensibles transferidos (si corresponde) y restricciones o salvaguardias aplicadas que consideren plenamente la naturaleza de los datos y los riesgos involucrados, tales como, por ejemplo, limitaciones estrictas de propósito, restricciones de acceso (incluyendo acceso solo para el personal que ha seguido una capacitación especializada), mantener un registro de acceso a los datos, restricciones para transferencias posteriores o medidas de seguridad adicionales: se hace referencia a los TOMs como se enumeran o hacen referencia en los Detalles de Procesamiento de Datos a continuación.

5. CATEGORÍA DE SUJETOS DE DATOS

Las siguientes categorías de Sujetos de Datos están por defecto en el alcance:

Todos los Usuarios que tienen acceso a los Servicios (lo que incluye usuarios administradores, usuarios generales o usuarios invitados como signatarios).
Todos los Sujetos de Datos incluidos en los Datos del Cliente subidos a los Servicios por el Cliente o sus Usuarios.

El Cliente confirma que esos Sujetos de Datos serán por defecto considerados una de las siguientes categorías:

Personal del Cliente
Clientes del Cliente
Prospectos del Cliente
Proveedores del Cliente

6. SUB-PROCESADORES

Nitro emplea Sub-procesadores para asegurar que todas las funcionalidades estén disponibles dentro de los Servicios. Qué Sub-procesadores son aplicables depende del uso de los Servicios y las funcionalidades y configuraciones solicitadas por el Cliente. Una lista detallada de los Sub-procesadores involucrados por Nitro (incluyendo el procedimiento que aplicamos al involucrar nuevos Sub-procesadores) está disponible a través de nuestro Centro de Confianza: Sub-Procesadores y Subcontratistas

7. MEDIDAS TÉCNICAS Y ORGANIZATIVAS (TOMs)

Nitro implementa medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al utilizar los Servicios. Estamos actualizando continuamente tales medidas. Una descripción detallada de las medidas tomadas está disponible a través de nuestro Centro de Confianza en nuestra sección de Seguridad: Seguridad de la Información y en nuestra Política de Seguridad de la Información. Nuestro Centro de Confianza también lista las certificaciones que posee Nitro en la sección de Cumplimiento: Cumplimiento.

8. PERÍODO DE RETENCIÓN

Nitro no almacenará Datos Personales más allá de lo necesario para la provisión de los Servicios. Dependiendo de los Servicios y de las funcionalidades que usted esté utilizando como Cliente, los períodos de retención aplicables pueden diferir. Cada Cliente puede solicitar a Nitro que configure períodos de retención específicos en su entorno (en la medida en que esto sea técnicamente factible).

En caso de que no se hayan configurado períodos de retención específicos, los Datos Personales por defecto serán almacenados por Nitro hasta que sean eliminados por el Cliente o hasta la terminación del Acuerdo entre Nitro y el Cliente (más un máximo de 30 días), lo que ocurra primero. Una descripción detallada de los períodos de retención está disponible a través de nuestro Centro de Confianza: Procesamiento de Datos Personales

9. FRECUENCIA DE TRANSFERENCIAS INTERNACIONALES

De manera continua, según sea necesario para proporcionar los Servicios al Cliente.

Anexo 2 - Cláusulas Contractuales Estándar del Reino Unido

Anexo de Transferencia Internacional de Datos a las Cláusulas Contractuales Estándar de la Comisión de la UE

VERSIÓN B1.0, en vigencia el 21 de marzo de 2022

Este Anexo ha sido emitido por el Comisionado de Información para las Partes que realizan Transferencias Restringidas. El Comisionado de Información considera que proporciona Salvaguardias Apropiadas para las Transferencias Restringidas cuando se celebra como un contrato legalmente vinculante.

Parte 1: Tablas

Tabla 1: Partes

Fecha de inicio	La fecha del Anexo de Procesamiento de Datos
Las Partes	Exportador (quien envía la Transferencia Restringida) Cliente	Importador (quien recibe la Transferencia Restringida) Nitro
Detalles de las Partes	Nombre legal completo: Cliente, según se identifica en el Acuerdo y el Formulario de Pedido correspondiente. Nombre comercial (si es diferente): Dirección principal (si es una dirección registrada de la empresa): La dirección del exportador de datos está establecida en el Acuerdo y el Formulario de Pedido correspondiente. Número de registro oficial (si lo hay) (número de empresa o identificador similar): Según se identifica en el Acuerdo y el Formulario de Pedido correspondiente, o de otro modo N/A	Nombre legal completo: Nitro Software Inc. Nombre comercial (si es diferente): Dirección principal (si es una dirección registrada de la empresa): 447 Sutter St, STE 405 #1015, San Francisco, CA 94108, Estados Unidos. Número de registro oficial (si lo hay) (número de empresa o identificador similar): N/A
Contacto clave	Nombre completo (opcional): El nombre completo de la persona de contacto para el exportador de datos está establecido en el Acuerdo y el Formulario de Pedido correspondiente. Título del trabajo: El título del trabajo de la persona de contacto para el exportador de datos está establecido en el Acuerdo y el Formulario de Pedido correspondiente. Detalles de contacto, incluido el correo electrónico: Los detalles de contacto de la persona de contacto para el exportador de datos están establecidos en el Acuerdo y el Formulario de Pedido correspondiente.	privacy@gonitro.com Nitro Software Inc. 447 Sutter St, STE 405 #1015, San Francisco, CA 94108, Estados Unidos.
Firma (si se requiere para los propósitos de la Sección 2)	No se requiere - este Anexo 2 forma parte de e incorporado en el Anexo de Procesamiento de Datos.	No se requiere - este Anexo 2 forma parte de e incorporado en el Anexo de Procesamiento de Datos.

Tabla 2: SCC seleccionadas, Módulos y Cláusulas seleccionadas

Anexo SCCs de la UE		La versión de las SCCs de la UE aprobadas a las que se adjunta este Anexo, detallada a continuación, incluyendo la Información del Anexo: 26. Fecha: 27. Referencia (si la hay): 28. Otro identificador (si lo hay): 29. O las SCCs de la UE aprobadas, incluyendo la Información del Anexo y con solo los siguientes módulos, cláusulas o disposiciones opcionales de las SCCs de la UE aprobadas puestas en vigor para los propósitos de este Anexo:
Módulo	Módulo en operación	Cláusula 7 (Cláusula de Acoplamiento)	Cláusula 11 (Opción)	Cláusula 9a (Autorización Previa de la Autorización General)	Cláusula 9a (Período de Tiempo)	¿Se combinan los datos personales recibidos del Importador con los datos personales recabados por el Exportador?
1
2	X	N/A	N/A	Autorización General	30 días	No
3
4

Tabla 3: Información del Anexo

“Información del Anexo” significa la información que debe ser proporcionada para los módulos seleccionados según se establece en el Anexo de las SCCs de la UE aprobadas (excepto las Partes), y que para este Anexo se establece en:

Anexo 1A: Lista de Partes: Vea la Tabla 1 arriba.

Anexo 1B: Descripción de la Transferencia: Vea el Anexo 1 de este Anexo de Procesamiento de Datos.

Anexo II: Medidas técnicas y organizativas, incluidas medidas técnicas y organizativas para garantizar la seguridad de los datos: Vea la cláusula 5 de este Anexo de Procesamiento de Datos.

Anexo III: Lista de Sub-procesadores (Módulos 2 y 3 solamente): Vea la cláusula 10.1 de este Anexo de Procesamiento de Datos.

Tabla 4: Terminando este Anexo cuando cambien los Anexos Aprobados

Terminando este Anexo cuando cambien los Anexos Aprobados

Qué Partes pueden terminar este Anexo como se establece en la Sección 19:
Importador
Exportador
ninguna Parte

Parte 2: Cláusulas Obligatorias

Celebrando este Anexo

Cada Parte acuerda estar sujeta a los términos y condiciones establecidos en este Anexo, a cambio de que la otra Parte también acepte estar sujeta a este Anexo.
Aunque el Anexo 1A y la Cláusula 7 de las SCCs de la UE aprobadas requieren firma por las Partes, para el propósito de realizar Transferencias Restringidas, las Partes pueden celebrar este Anexo de cualquier manera que las vincule legalmente a las Partes y permita a los sujetos de datos hacer valer sus derechos como se establece en este Anexo. Celebrar este Anexo tendrá el mismo efecto que firmar las SCCs de la UE aprobadas y cualquier parte de las SCCs de la UE aprobadas.

Interpretación de este Anexo

3. Cuando este Anexo utiliza términos que están definidos en las SCCs de la UE aprobadas, esos términos tendrán el mismo significado que en las SCCs de la UE aprobadas. Además, los siguientes términos tienen los siguientes significados:

Anexo	Este Anexo de Transferencia Internacional de Datos que se compone de este Anexo incorporando las SCCs de la UE aprobadas.
Información del Anexo SCCs de la UE Aprobadas	Las versiones de las SCCs de la UE aprobadas a las que se adjunta este Anexo, como se establece en la Tabla 2, incluyendo la Información del Anexo. Como se establece en la Tabla 3.
Salvaguardias Apropiadas	El estándar de protección sobre los datos personales y de los derechos de los sujetos de datos, que es requerido por las Leyes de Protección de Datos del Reino Unido al realizar una Transferencia Restringida basándose en cláusulas estándar de protección de datos bajo el Artículo 46(2)(d) del RGPD del Reino Unido.
Anexo Aprobado	El Anexo modelo emitido por el ICO y presentado ante el Parlamento de acuerdo con la s119A de la Ley de Protección de Datos de 2018 el 2 de febrero de 2022, según se revise bajo la Sección 18.
SCCs de la UE Aprobadas	Las Cláusulas Contractuales Estándar establecidas en el Anexo de la Decisión de Ejecución de la Comisión (UE) 2021/914 del 4 de junio de 2021.
ICO	El Comisionado de Información.
Transferencia Restringida	Una transferencia que está cubierta por el Capítulo V del RGPD del Reino Unido.
Reino Unido	El Reino Unido de Gran Bretaña e Irlanda del Norte.
Leyes de Protección de Datos del Reino Unido	Todas las leyes relacionadas con la protección de datos, el procesamiento de datos personales, la privacidad y/o las comunicaciones electrónicas en vigor de vez en cuando en el Reino Unido, incluyendo el RGPD del Reino Unido y la Ley de Protección de Datos de 2018.
RGPD del Reino Unido	Según se define en la sección 3 de la Ley de Protección de Datos de 2018.

4. Este Anexo debe interpretarse siempre de manera consistente con las Leyes de Protección de Datos del Reino Unido y de manera que cumpla con la obligación de las Partes de proporcionar Salvaguardias Apropiadas.
5. Si las disposiciones incluidas en las SCCs de la UE Aprobadas modifican las SCCs Aprobadas de cualquier manera que no esté permitida bajo las SCCs de la UE Aprobadas o el Anexo Aprobado, tales enmiendas no se incorporarán en este Anexo y la disposición equivalente de las SCCs de la UE Aprobadas tomará su lugar.
6. Si hay alguna inconsistencia o conflicto entre las Leyes de Protección de Datos del Reino Unido y este Anexo, se aplican las Leyes de Protección de Datos del Reino Unido.
7. Si no está claro el significado de este Anexo o hay más de un significado, se aplica el significado que más se acerca a las Leyes de Protección de Datos del Reino Unido.
8. Cualquier referencia a la legislación (o disposiciones específicas de la legislación) significa esa legislación (o disposición específica) tal como puede cambiar con el tiempo. Esto incluye donde esa legislación (o disposición específica) ha sido consolidada, reencarnada y/o reemplazada después de que se haya celebrado este Anexo.

Jerarquía
9. Aunque la Cláusula 5 de las SCCs de la UE Aprobadas establece que las SCCs de la UE Aprobadas prevalecen sobre todos los acuerdos relacionados entre las Partes, las Partes acuerdan que, para las Transferencias Restringidas, la jerarquía en la Sección 10 prevalecerá.
10. Donde hay cualquier inconsistencia o conflicto entre el Anexo Aprobado y las SCCs de la UE Aprobadas (según corresponde), el Anexo Aprobado anula las SCCs de la UE Aprobadas, excepto donde (y en la medida en que) los términos inconsistentes o conflictivos de las SCCs de la UE Aprobadas proporcionan mayor protección para los sujetos de datos, en cuyo caso esos términos anularán el Anexo Aprobado.
11. Cuando este Anexo incorpora las SCCs de la UE Aprobadas que se han celebrado para proteger transferencias sujetas al Reglamento General de Protección de Datos (UE) 2016/679, entonces las Partes reconocen que nada en este Anexo impacta esas SCCs de la UE Aprobadas.

Incorporación de y cambios en las SCCs de la UE
12. Este Anexo incorpora los Anexos de las SCC de la UE que se modifican en la medida necesaria para que:

juntos operen para transferencias de datos realizadas por el exportador de datos al importador de datos, en la medida en que las leyes de protección de datos del Reino Unido se apliquen al procesamiento del exportador de datos al realizar dicha transferencia de datos, y proporcionen salvaguardias adecuadas para esas transferencias de datos;
las Secciones 9 a 11 anulen la Cláusula 5 (Jerarquía) de los Anexos de las SCC de la UE; y
este Anexo (incluyendo los Anexos de las SCC de la UE incorporados en él) está (1) regido por las leyes de Inglaterra y Gales y (2) cualquier disputa que surja de él será resuelta por los tribunales de Inglaterra y Gales, en cada caso a menos que las leyes y/o tribunales de Escocia o Irlanda del Norte hayan sido expresamente seleccionados por las Partes.

13. A menos que las Partes hayan acordado enmiendas alternativas que cumplan con los requisitos de la Sección 12, se aplicarán las disposiciones de la Sección 15.
14. No se pueden hacer enmiendas a las SCC de la UE aprobadas, excepto para cumplir con los requisitos de la Sección 12.
15. Las siguientes enmiendas a los Anexos de las SCC de la UE (para el propósito de la Sección 12) se realizan:

Las referencias a las “Cláusulas” significan este Anexo, incorporando los Anexos de las SCC de la UE;
En la Cláusula 2, se eliminan las palabras:
“y, con respecto a las transferencias de datos de controladores a procesadores y/o de procesadores a procesadores, cláusulas contractuales estándar de conformidad con el Artículo 28(7) del Reglamento (UE) 2016/679”;
La Cláusula 6 (Descripción de la(s) transferencia(s)) se reemplaza por:
“Los detalles de la(s) transferencia(s) y en particular las categorías de datos personales que se transfieren y el/los propósito(s) para el/los que se transfieren son los especificados en el Anexo I.B donde las leyes de protección de datos del Reino Unido se aplican al procesamiento del exportador de datos al realizar dicha transferencia.”;
La Cláusula 8.7(i) del Módulo 1 se reemplaza por:
“es a un país que se beneficia de regulaciones de adecuación de conformidad con la Sección 17A del RGPD del Reino Unido que cubre la transferencia en curso”;
La Cláusula 8.8(i) de los Módulos 2 y 3 se reemplaza por:
“la transferencia en curso es a un país que se beneficia de regulaciones de adecuación de conformidad con la Sección 17A del RGPD del Reino Unido que cubre la transferencia en curso;”
Las referencias a “Reglamento (UE) 2016/679”, “Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y sobre la libre circulación de tales datos (Reglamento General de Protección de Datos)” y “ese Reglamento” se reemplazan por “Leyes de Protección de Datos del Reino Unido”. Las referencias a artículos específicos del “Reglamento (UE) 2016/679” se reemplazan por el artículo o sección equivalente de las Leyes de Protección de Datos del Reino Unido;
Las referencias al Reglamento (UE) 2018/1725 se eliminan;
Las referencias a la “Unión Europea”, “Unión”, “UE”, “Estado miembro de la UE”, “Estado miembro” y “UE o Estado miembro” se reemplazan por “Reino Unido”;
La referencia a “Cláusula 12(c)(i)” en la Cláusula 10(b)(i) del Módulo uno, se reemplaza por “Cláusula 11(c)(i)”;
La Cláusula 13(a) y la Parte C del Anexo I no se utilizan;
La “autoridad de supervisión competente” y “autoridad de supervisión” se reemplazan por el “Comisionado de Información”;
En la Cláusula 16(e), la subsección (i) se reemplaza por:
“el Secretario de Estado emite regulaciones de conformidad con la Sección 17A de la Ley de Protección de Datos de 2018 que cubre la transferencia de datos personales a los que se aplican estas cláusulas;”;
La Cláusula 17 se reemplaza por:
“Estas Cláusulas están regidas por las leyes de Inglaterra y Gales.”;
La Cláusula 18 se reemplaza por:
“Cualquier disputa que surja de estas Cláusulas será resuelta por los tribunales de Inglaterra y Gales. Un interesado también puede iniciar acciones legales contra el exportador de datos y/o el importador de datos ante los tribunales de cualquier país en el Reino Unido. Las Partes acuerdan someterse a la jurisdicción de dichos tribunales.”; y
Las notas al pie de las SCC de la UE aprobadas no forman parte del Anexo, excepto por las notas al pie 8, 9, 10 y 11.

Enmiendas a este Anexo

Las Partes pueden acordar cambiar las Cláusulas 17 y/o 18 de los Anexos de las SCC de la UE para referirse a las leyes y/o tribunales de Escocia o Irlanda del Norte.
Si las Partes desean cambiar el formato de la información incluida en la Parte 1: Tablas del Anexo Aprobado, pueden hacerlo acordando el cambio por escrito, siempre que el cambio no reduzca las Salvaguardias Adecuadas.
De vez en cuando, la ICO puede emitir un Anexo Aprobado revisado que:
1. realice cambios razonables y proporcionales al Anexo Aprobado, incluyendo la corrección de errores en el Anexo Aprobado; y/o
2. refleje cambios en las Leyes de Protección de Datos del Reino Unido;
El Anexo Aprobado revisado especificará la fecha de inicio a partir de la cual los cambios al Anexo Aprobado son efectivos y si las Partes deben revisar este Anexo incluyendo la Información del Apéndice. Este Anexo se modifica automáticamente según lo establecido en el Anexo Aprobado revisado a partir de la fecha de inicio especificada.
Si la ICO emite un Anexo Aprobado revisado bajo la Sección 18, si alguna Parte seleccionada en la Tabla 4 “Terminando el Anexo cuando el Anexo Aprobado cambia”, como resultado directo de los cambios en el Anexo Aprobado, tendrá un aumento sustancial, desproporcionado y demostrable en:
1. sus costos directos para cumplir con sus obligaciones bajo el Anexo; y/o
2. su riesgo bajo el Anexo,

y en ambos casos ha tomado primero medidas razonables para reducir esos costos o riesgos de manera que no sea sustancial y desproporcionada, entonces esa Parte puede finalizar este Anexo al final de un período de aviso razonable, proporcionando un aviso escrito por ese período a la otra Parte antes de la fecha de inicio del Anexo Aprobado revisado.

Las Partes no necesitan el consentimiento de ningún tercero para realizar cambios en este Anexo, pero cualquier cambio debe hacerse de conformidad con sus términos.

Descargar una copia →

Términos y Políticas