Acuerdo de procesamiento de datos para MSP

Este Acuerdo de procesamiento de datos ("Acuerdo") forma parte del Acuerdo de proveedor de servicios gestionados (el "Acuerdo principal") entre Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Suiza, número de identificación de empresa CHE-354.686.492 (denominado el "Procesador"), y el MSP identificado en el Acuerdo principal (denominado la "Empresa", y que debe entenderse como el proveedor de servicios gestionados que utiliza los Servicios para aprovisionar, facturar y dar soporte a sus propios Clientes gestionados, independientemente de su forma jurídica).

Este Acuerdo regula los requisitos específicos de las Leyes de Protección de Datos en la medida en que el uso de los Servicios por parte de la Empresa, incluido el aprovisionamiento de los Servicios a los Clientes gestionados por parte de la Empresa, implique el Procesamiento de Datos Personales sujetos a las Leyes de Protección de Datos.

El término de este Acuerdo seguirá el término del Acuerdo Principal. Los términos no definidos en este documento tendrán el significado establecido en el Acuerdo Principal.

CONSIDERANDO QUE:

A) La Empresa actúa como Controlador de datos o, cuando un Cliente gestionado instruye por sí mismo el Procesamiento de sus propios Datos Personales, como Procesador de datos en nombre de ese Cliente gestionado (en cualquier caso, el "Controlador").

B) La Empresa desea subcontratar ciertos Servicios, que implican el Procesamiento de Datos Personales, a Proton AG, que actúa como Procesador de Datos (el "Procesador").

C) Las Partes buscan implementar un acuerdo de procesamiento de datos que cumpla con los requisitos del marco legal actual en relación con el procesamiento de datos, incluido el Reglamento (UE) 2016/679 (el "GDPR") y la Ley Federal Suiza de Protección de Datos ("FADP"), y otras Leyes de Protección de Datos aplicables.

D) Las Partes desean establecer sus respectivos derechos y obligaciones.

SE ACUERDA LO SIGUIENTE:

1. Definiciones, roles y alcance

1.1 Definiciones. A menos que se defina lo contrario en este documento, los términos en mayúscula tienen el significado otorgado en el Acuerdo Principal o, cuando no se definan allí, el siguiente significado:

• "Datos Personales de la Empresa" significa cualquier Dato Personal relacionado con la Empresa, los Clientes gestionados de la Empresa o sus respectivos clientes o empleados, Procesado en conexión con el Acuerdo Principal.
• "Procesador Contratado" significa un Subprocesador.
• "Leyes de Protección de Datos" significa el GDPR, la FADP y, en la medida en que corresponda, las leyes de protección de datos o de privacidad de cualquier otro país.
• "Transferencia de Datos" significa (i) una transferencia de Datos Personales de la Empresa desde la Empresa hacia el Procesador o un Procesador Contratado, o (ii) una transferencia posterior de Datos Personales de la Empresa desde el Procesador hacia un Subprocesador, o entre dos establecimientos de un Subprocesador.
• "Cliente gestionado" tiene el significado otorgado en el Acuerdo Principal: una entidad de usuario final a la que la Empresa aprovisiona y entrega los Servicios como parte de la propia oferta de servicios gestionados de la Empresa.
• “Subprocesador” significa cualquier persona designada por el Procesador o en su nombre para Procesar Datos Personales en conexión con el Acuerdo.
• Los términos "Comisión", "Controlador", "Sujeto de datos", "Estado miembro", "Datos personales", "Vulneración de datos personales", "Procesamiento" y "Autoridad de supervisión" tienen el mismo significado que en el GDPR u otra Ley de Protección de Datos aplicable.

1.2 Roles de las Partes. Entre Proton y la Empresa, la Empresa es el Controlador (o, según corresponda, el Procesador que actúa bajo las instrucciones de un Cliente gestionado) y Proton es el Procesador, con respecto a todos los Datos Personales de la Empresa Procesados en virtud del Acuerdo Principal, incluidos los Datos Personales de los Clientes gestionados y sus respectivos usuarios finales, o relacionados con ellos. Este Acuerdo es el acuerdo de procesamiento de datos completo y exclusivo entre Proton y cualquier parte en la cadena de Clientes gestionados. Proton no tiene ninguna relación contractual directa, de Controlador-Procesador o de Procesador-Subprocesador con ningún Cliente gestionado, y ningún Cliente gestionado es parte ni tercero beneficiario de este Acuerdo. La Empresa es la única responsable de sus acuerdos y obligaciones con sus Clientes gestionados, incluidos los términos de protección de datos que la Empresa deba asumir ante ellos en virtud de la ley o contrato aplicable.

1.3 Responsabilidad descendente de la Empresa. La Empresa celebrará un acuerdo por escrito con cada Cliente gestionado que imponga obligaciones de protección de datos a la Empresa que no protejan menos los Datos Personales de ese Cliente gestionado que las obligaciones que Proton tiene con la Empresa en virtud de este Acuerdo, en la medida en que sea aplicable a la naturaleza de los Servicios que la Empresa proporciona a ese Cliente gestionado. Las obligaciones de Proton en virtud de este Acuerdo corresponden únicamente a la Empresa; la Empresa sigue siendo la única responsable ante sus Clientes gestionados por el Procesamiento de sus Datos Personales, incluidos los actos u omisiones de Proton, entre la Empresa y sus Clientes gestionados.

2. Procesamiento de Datos Personales de la Empresa

El Procesador deberá:

• cumplir con todas las Leyes de Protección de Datos aplicables en el Procesamiento de Datos Personales de la Empresa; y
• no Procesar Datos Personales de la Empresa salvo siguiendo las instrucciones documentadas de la Empresa, tal como se establece a continuación.

La Empresa instruye al Procesador a Procesar los Datos Personales de la Empresa para:

• proporcionar los Servicios y el soporte técnico relacionado a la Empresa y, a través de la Empresa, a los Clientes gestionados;
• cumplir con obligaciones legales o resolver disputas;
• realizar cualquier tarea interna destinada a optimizar la seguridad, privacidad, confidencialidad y funcionalidad de los Servicios; y
• realizar informes internos, informes financieros y otras tareas internas similares.

3. Personal del Procesador

El Procesador tomará medidas razonables para garantizar la confiabilidad de cualquier empleado, agente o contratista de cualquier Procesador Contratado que pueda tener acceso a los Datos Personales de la Empresa, asegurando en cada caso que el acceso esté estrictamente limitado a aquellas personas que necesiten conocer o acceder a los Datos Personales de la Empresa pertinentes, según sea estrictamente necesario para los fines del Acuerdo Principal o para cumplir con las Leyes de Protección de Datos, y asegurando que todas esas personas estén sujetas a compromisos de confidencialidad u obligaciones profesionales o legales de confidencialidad.

4. Seguridad

De conformidad con el Artículo 32(1) del GDPR, el Procesador implementará las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costos de implementación y la naturaleza, el alcance, el contexto y los fines del Procesamiento. Estas medidas están diseñadas para proteger los derechos y libertades de las personas físicas, considerando los riesgos de diversa probabilidad y gravedad, incluido el riesgo de una Vulneración de datos personales. La Empresa implementará las medidas técnicas y organizativas adecuadas para su propio Procesamiento de Datos Personales de la Empresa, incluida su administración de cuentas de Clientes gestionados mediante Licencias de Administrador de MSP, y garantizará que el acceso a dichas cuentas esté limitado al personal de la Empresa que lo necesite, protegido por controles de autenticación adecuados y revocado oportunamente cuando ya no sea necesario.

5. Subprocesamiento

Sujeto a este Acuerdo, la Empresa otorga autorización general al Procesador para contratar Subprocesadores y para divulgar o transferirles Datos Personales de la Empresa. La Empresa reconoce y aprueba la lista de Subprocesadores descrita en la Política de privacidad del Procesador, entendiendo que esta lista puede ser actualizada por el Procesador periódicamente, en cuyo caso se informará a la Empresa de acuerdo con el proceso de notificación de la Política de privacidad. La Empresa autoriza además al Procesador a divulgar y transferir Datos Personales a cualquier empresa dentro de su grupo corporativo. El Procesador garantizará que los Subprocesadores estén sujetos a un acuerdo con el Procesador no menos restrictivo y protector que este Acuerdo con respecto a la protección de los Datos Personales de la Empresa, en la medida en que sea aplicable a la naturaleza de los servicios prestados por ese Subprocesador. Para evitar cualquier duda, la Empresa no es un Subprocesador de Proton y esta Sección no se aplica a la contratación propia de ningún Cliente gestionado o tercero por parte de la Empresa.

6. Derechos de los Sujetos de Datos

Teniendo en cuenta la naturaleza del Procesamiento, el Procesador asistirá razonablemente a la Empresa en el cumplimiento de las obligaciones de la Empresa de responder a solicitudes para ejercer los derechos del Sujeto de datos según las Leyes de Protección de Datos, incluidas las solicitudes que la Empresa reciba de un Cliente gestionado, o en su nombre, o de los propios usuarios finales de ese Cliente gestionado.

El Procesador deberá:

• notificar de inmediato a la Empresa si recibe una solicitud de un Sujeto de Datos según cualquier Ley de Protección de Datos en relación con los Datos Personales de la Empresa; y

• garantizar que no responderá a esa solicitud excepto siguiendo las instrucciones documentadas de la Empresa o según lo exija la ley aplicable, en cuyo caso el Procesador informará a la Empresa sobre ese requisito legal antes de responder, en la medida en que la ley lo permita.

La Empresa es la única responsable de responder a cualquier solicitud del Sujeto de datos relacionada con los Datos Personales de ese Cliente gestionado, así como de coordinar con cualquier Cliente gestionado al respecto; el Procesador no tiene la obligación de identificar a ningún Cliente gestionado ni comunicarse con él directamente.

7. Vulneración de Datos Personales

El Procesador gestionará cualquier Vulneración de datos personales de conformidad con las Leyes de Protección de Datos aplicables y sus procedimientos internos para Vulneraciones de datos personales. En caso de producirse una Vulneración de datos personales que afecte a los Datos Personales de la Empresa, el Procesador notificará a la Empresa sin demora, proporcionando información suficiente para permitir que la Empresa cumpla con sus propias obligaciones en virtud de las Leyes de Protección de Datos, lo que incluye, según corresponda, informar a los Clientes gestionados y a los Sujetos de datos afectados. El Procesador cooperará con la Empresa y tomará medidas comerciales razonables según lo indique la Empresa para ayudar en la investigación, mitigación y corrección de cada una de dichas Vulneraciones de datos personales. Cada Parte asumirá los costos de investigación, corrección, mitigación y otros costos relacionados en la medida en que dicha Parte haya causado una Vulneración de datos personales. Cada Parte asumirá los costos de las multas, sanciones, daños y perjuicios u otros montos relacionados impuestos por una autoridad reguladora competente en la medida en que surjan del propio incumplimiento de esa Parte respecto de sus obligaciones en virtud de este Acuerdo. La Empresa es la única responsable de las notificaciones de vulneración a sus Clientes gestionados y a sus Sujetos de datos, así como del momento y contenido de dichas notificaciones.

8. Evaluación de Impacto en la Protección de Datos y Consulta Previa

El Procesador proporcionará asistencia razonable a la Empresa con las evaluaciones de impacto de protección de datos y consultas previas con las autoridades de supervisión que la Empresa considere razonablemente requeridas por el Artículo 35 o 36 del GDPR o disposiciones equivalentes de cualquier otra Ley de Protección de Datos, en cada caso únicamente en relación con el Procesamiento de Datos Personales de la Empresa por parte de los Procesadores Contratados y teniendo en cuenta la naturaleza del Procesamiento y la información disponible para estos.

9. Eliminación o devolución de los Datos Personales de la Empresa

Al cesar cualquier Servicio que involucre el Procesamiento de Datos Personales de la Empresa, el Procesador eliminará todos los Datos Personales de la Empresa en la medida permitida por la ley aplicable y de conformidad con los Términos y Condiciones y la Política de privacidad del Procesador. Si la Empresa requiere una copia de los Datos Personales de la Empresa, debe solicitarla antes de su eliminación; las solicitudes realizadas después de la eliminación ya no podrán ser consideradas. Al rescindir el Acuerdo Principal, la Empresa sigue siendo la única responsable de gestionar la eliminación, devolución o transición de los Datos Personales de cualquier Cliente gestionado entre la Empresa y ese Cliente gestionado, de conformidad con la Sección 5.4 del Acuerdo Principal (Asistencia para la transición).

10. Derechos de auditoría

Sujeto a esta Sección 10, el Procesador pondrá a disposición de la Empresa, previa solicitud, toda la información necesaria para demostrar el cumplimiento de este Acuerdo, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por la Empresa o por un auditor designado por la Empresa, en relación con el Procesamiento de Datos Personales de la Empresa por parte de los Procesadores Contratados. La Empresa no ejercerá sus derechos de auditoría en virtud de esta Sección más de una vez por año calendario, excepto tras una Vulneración de datos personales o una instrucción de una autoridad regulatoria. La Empresa notificará al Procesador por escrito con al menos sesenta (60) días de anticipación sobre su intención de realizar una auditoría. La auditoría se llevará a cabo durante el horario de atención del Procesador, no interrumpirá las operaciones del Procesador y garantizará la protección de los Datos Personales de la Empresa, del Procesador y de otros Sujetos de datos. Las Partes acordarán mutuamente y por adelantado la fecha, el alcance, la duración y los controles de seguridad y confidencialidad aplicables a la auditoría; el Procesador podrá exigir un acuerdo de no divulgación antes de la auditoría. Los derechos de información y auditoría en virtud de esta Sección surgen únicamente en la medida en que este Acuerdo no otorgue a la Empresa información y derechos de auditoría que cumplan con los requisitos pertinentes de la Ley de Protección de Datos. Cuando un Cliente gestionado solicite información sobre el Procesamiento de Proton como parte de las obligaciones de debida diligencia de la Empresa hacia ese Cliente gestionado, la Empresa puede basarse en esta Sección para obtener la información necesaria del Procesador y transmitirla, pero el Cliente gestionado en sí no tiene un derecho de auditoría independiente frente al Procesador.

11. Transferencia de Datos

En la medida de lo posible, el Procesador solo transferirá o autorizará la transferencia de Datos Personales de la Empresa a países dentro de Suiza, la UE o países sujetos a una decisión de adecuación, según lo dispuesto en el Artículo 45 del GDPR y el Artículo 16 de la FADP suiza. Si los Datos Personales de la Empresa Procesados en virtud de este Acuerdo se transfieren desde Suiza, la UE o un país sujeto a una decisión de adecuación a un país fuera de ese ámbito, las Partes garantizarán que los Datos Personales estén adecuadamente protegidos, basándose, a menos que se acuerde lo contrario, en cláusulas contractuales tipo aprobadas y vigentes en Suiza, la UE o el Reino Unido, u otros mecanismos de transferencia previstos por las Leyes de Protección de Datos. El Procesador estará autorizado a realizar dichas transferencias a Subprocesadores siempre que se implementen las garantías adecuadas teniendo en cuenta la naturaleza de la transferencia.

12. Términos Generales

12.1 Cumplimiento de las leyes aplicables. El Procesador procesará los Datos Personales de la Empresa de conformidad con este Acuerdo y las Leyes de Protección de Datos aplicables a su rol en virtud de este Acuerdo. El Procesador no es responsable de cumplir con las Leyes de Protección de Datos aplicables exclusivamente a la Empresa, o a cualquier Cliente gestionado, en virtud de sus respectivos negocios o industrias.

12.2 Confidencialidad. Cada Parte mantendrá la confidencialidad de cualquier información que reciba sobre la otra Parte en conexión con este Acuerdo, y no la utilizará ni divulgará sin el consentimiento previo por escrito de la otra Parte, excepto en la medida en que (a) la divulgación sea requerida por ley, o (b) la información ya sea de dominio público sin que medie culpa de las Partes.

12.3 Notificaciones. Las notificaciones en virtud de este Acuerdo se realizarán de conformidad con las disposiciones de notificación del Acuerdo Principal. Las notificaciones al Procesador relativas a asuntos de protección de datos se enviarán adicionalmente con copia a legal@proton.ch

12.4 Responsabilidad. La responsabilidad de cada Parte derivada de este Acuerdo o en conexión con él está sujeta a las disposiciones sobre limitación de responsabilidad del Acuerdo Principal y tiene un límite máximo de conformidad con las mismas, incluido cualquier límite específico establecido en el mismo para vulneraciones de las obligaciones de confidencialidad y protección de datos. Nada de lo dispuesto en este Acuerdo limita la responsabilidad de ninguna de las Partes por multas o sanciones impuestas directamente a ella por una autoridad de supervisión competente que surjan del propio incumplimiento de esa Parte respecto de las Leyes de Protección de Datos aplicables. La Empresa reconoce que, al ser la única parte que actúa como Controlador frente a sus Clientes gestionados, la Empresa asume la responsabilidad exclusiva de cualquier obligación en la que incurra ante un Cliente gestionado que exceda lo que la Empresa pueda recuperar del Procesador según el límite de responsabilidad del Acuerdo Principal.

12.5 Ley aplicable y jurisdicción. Este Acuerdo se rige por las leyes de Suiza, sin tener en cuenta las disposiciones sobre conflicto de leyes de ninguna otra jurisdicción, y las disputas derivadas de este Acuerdo o en conexión con él están sujetas a la jurisdicción exclusiva de los tribunales de Ginebra, Suiza.

12.6 Orden de prelación. En caso de discrepancia entre este Acuerdo y el Acuerdo Principal con respecto al Procesamiento de Datos Personales, prevalecerá este Acuerdo, de conformidad con la Sección 10.1 del Acuerdo Principal. En caso de discrepancia entre la versión en inglés de este Acuerdo y cualquier versión traducida, prevalecerá la versión en inglés.