Anexo de tratamiento de datos

El presente Anexo de tratamiento de datos («DPA») se incorpora al Contrato celebrado entre UAB Ocoya («Ocoya») y la entidad cliente que es parte del Contrato en calidad de Miembro («Cliente»), y está sujeto a sus términos y condiciones. Todos los términos en mayúscula que no se definan en este DPA tendrán el significado que se les atribuye en el Contrato. Para evitar dudas, todas las referencias al «Contrato» incluirán este DPA (incluidas las CCT (cuando proceda), tal como se definen en el presente documento).

1. Definiciones

«Afiliada» significa una entidad que, directa o indirectamente, Controla a una entidad, está Controlada por ella o se encuentra bajo Control común con ella.

«Contrato» significa nuestras Condiciones del servicio, u otro acuerdo escrito o electrónico, que rigen la prestación del Servicio al Cliente, en su versión actualizada en cada momento.

«Control» significa una participación en la propiedad, en los derechos de voto o similar que represente el cincuenta por ciento (50%) o más del total de las participaciones en circulación en ese momento de la entidad en cuestión. El término «Controlada» se interpretará en consecuencia.

«Datos del Cliente» significa cualquier dato personal que tratemos por cuenta del Cliente a través del Servicio, tal como se describe más detalladamente en este DPA.

«Legislación de Protección de Datos» significa todas las leyes y normativas de protección de datos aplicables al tratamiento de los Datos del Cliente por una de las partes en virtud del Contrato, incluidas, cuando proceda, la Legislación Europea de Protección de Datos y la Legislación No Europea de Protección de Datos.

«Legislación Europea de Protección de Datos» significa todas las leyes y normativas de protección de datos aplicables en Europa, incluidos (i) el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos) («RGPD»); (ii) la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas; (iii) las normas nacionales aplicables de transposición o desarrollo de (i) y (ii); (iv) el RGPD tal como forma parte del Derecho del Reino Unido en virtud del artículo 3 de la Ley de la Unión Europea (Retirada) de 2018 del Reino Unido y la Ley de Protección de Datos de 2018 del Reino Unido (conjuntamente, la «Legislación de Protección de Datos del Reino Unido»); y (v) la Ley Federal suiza de Protección de Datos de 19 de junio de 1992 y su Ordenanza («LPD suiza»).

«Europa» significa, a efectos de este DPA, el Espacio Económico Europeo y sus Estados miembros («EEE»), Suiza y el Reino Unido («Reino Unido»).

«Legislación No Europea de Protección de Datos» significa la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act, «CCPA»); la Ley canadiense de Protección de la Información Personal y los Documentos Electrónicos (Personal Information Protection and Electronic Documents Act, «PIPEDA»); la Ley General de Protección de Datos de Brasil («LGPD»), Ley Federal n.º 13,709/2018; y la Ley de Privacidad de 1988 (Cth) de Australia, en su versión modificada («Legislación Australiana de Privacidad»).

«CCT» significa (i) las cláusulas contractuales tipo entre responsables y encargados del tratamiento adoptadas por la Comisión Europea en su Decisión de Ejecución (UE) 2021/91 de 4 de junio de 2021; o (ii) las cláusulas contractuales tipo entre encargados del tratamiento adoptadas por la Comisión Europea en su Decisión de Ejecución (UE) 2021/91 de 4 de junio de 2021; según corresponda de conformidad con la Sección 6.3.

«Incidente de Seguridad» significa toda violación de la seguridad no autorizada o ilícita que ocasione la destrucción, pérdida o alteración accidental o ilícita de los Datos del Cliente, o la comunicación o el acceso no autorizados a dichos datos, en sistemas gestionados o controlados de otro modo por Ocoya.

«Datos Sensibles» significa (a) el número de la seguridad social, número de identificación fiscal, número de pasaporte, número de permiso de conducir o identificador similar (o cualquier parte de ellos); (b) el número de tarjeta de crédito o débito (salvo los dígitos truncados (los cuatro últimos) de una tarjeta de crédito o débito); (c) información laboral, financiera, crediticia, genética, biométrica o relativa a la salud; (d) la afiliación racial, étnica, política o religiosa, la afiliación sindical, información sobre la vida sexual o la orientación sexual, o los antecedentes penales; (e) las contraseñas de cuentas; o (f) cualquier otra información incluida en la definición de «categorías especiales de datos» con arreglo a la Legislación de Protección de Datos aplicable.

«Subencargado» significa cualquier encargado del tratamiento contratado por Ocoya o sus Afiliadas para ayudar a cumplir sus obligaciones relativas a la prestación del Servicio de conformidad con el Contrato o con este DPA. Los Subencargados pueden incluir a terceros o a Afiliadas de Ocoya, pero excluirán a los empleados, contratistas o consultores de Ocoya.

«Adenda del Reino Unido» significa la Adenda de Transferencia Internacional de Datos (International Data Transfer Addendum, versión B1.0) emitida por la Information Commisioners Office en virtud del artículo 119(A) de la Ley de Protección de Datos de 2018 del Reino Unido, en su versión actualizada o modificada en cada momento.

Los términos «datos personales», «responsable del tratamiento», «interesado», «encargado del tratamiento» y «tratamiento» tendrán el significado que se les atribuye en la Legislación de Protección de Datos aplicable o, si no se definen en ella, en el RGPD, y los términos «tratar», «trata» y «tratados», en relación con cualesquiera Datos del Cliente, se interpretarán en consecuencia.

2. Funciones y responsabilidades

Funciones de las partes — Cuando la Legislación Europea de Protección de Datos o la LGPD se apliquen al tratamiento de los Datos del Cliente por cualquiera de las partes, las partes reconocen y acuerdan que, en relación con el tratamiento de los Datos del Cliente, Ocoya es un encargado del tratamiento que actúa por cuenta del Cliente (ya sea este un responsable o un encargado del tratamiento). Para evitar dudas, este DPA no se aplicará a los supuestos en que Ocoya sea el responsable del tratamiento (tal como se define en la Legislación Europea de Protección de Datos), salvo que se disponga otra cosa en el Anexo C (Condiciones específicas por jurisdicción) de este DPA.

Limitación de la finalidad — Ocoya tratará los Datos del Cliente, tal como se describen más detalladamente en el Anexo A (Detalles del tratamiento de datos) de este DPA, únicamente de conformidad con las instrucciones lícitas documentadas del Cliente establecidas en este DPA, en la medida necesaria para cumplir la legislación aplicable, o según se acuerde de otro modo por escrito («Fines Permitidos»). Las partes acuerdan que el Contrato, incluido este DPA, junto con la configuración o el uso por parte del Cliente de cualesquiera ajustes, funciones u opciones del Servicio (que el Cliente pueda modificar en cada momento), constituyen las instrucciones completas y definitivas del Cliente a Ocoya en relación con el tratamiento de los Datos del Cliente (incluso a efectos de las CCT), y cualquier tratamiento fuera del ámbito de dichas instrucciones (en su caso) requerirá el acuerdo previo por escrito entre las partes.

Datos prohibidos — El Cliente no proporcionará (ni hará que se proporcionen) Datos Sensibles a Ocoya para su tratamiento en virtud del Contrato, y Ocoya no tendrá responsabilidad alguna respecto de los Datos Sensibles, ya sea en relación con un Incidente de Seguridad o de otro modo. Para evitar dudas, este DPA no se aplicará a los Datos Sensibles.

Cumplimiento por parte del Cliente — El Cliente declara y garantiza que (i) ha cumplido, y seguirá cumpliendo, toda la legislación aplicable, incluida la Legislación de Protección de Datos, en lo que respecta a su tratamiento de los Datos del Cliente y a cualesquiera instrucciones de tratamiento que imparta a Ocoya; y (ii) ha facilitado, y seguirá facilitando, toda la información y ha obtenido, y seguirá obteniendo, todos los consentimientos y derechos necesarios con arreglo a la Legislación de Protección de Datos para que Ocoya trate los Datos del Cliente para los fines descritos en el Contrato. El Cliente será el único responsable de la exactitud, la calidad y la licitud de los Datos del Cliente y de los medios por los que el Cliente obtuvo los Datos del Cliente. Sin perjuicio del carácter general de lo anterior, el Cliente acepta que será responsable de cumplir toda la legislación (incluida la Legislación de Protección de Datos) aplicable a cualesquiera Campañas (tal como se definen en el Contrato) u otros contenidos creados, enviados o gestionados a través del Servicio.

Licitud de las instrucciones del Cliente — El Cliente garantizará que el tratamiento de los Datos del Cliente por parte de Ocoya conforme a las instrucciones del Cliente no hará que Ocoya infrinja ninguna ley, normativa o norma aplicable, incluida, entre otras, la Legislación de Protección de Datos. Ocoya notificará sin demora y por escrito al Cliente, salvo que la Legislación Europea de Protección de Datos se lo prohíba, si tiene conocimiento o considera que alguna instrucción de tratamiento de datos del Cliente infringe la Legislación Europea de Protección de Datos. Cuando el Cliente actúe como encargado del tratamiento por cuenta de un responsable del tratamiento tercero (u otro intermediario respecto del responsable último), el Cliente garantiza que sus instrucciones de tratamiento, tal como se establecen en el Contrato y en este DPA, incluidas sus autorizaciones a Ocoya para la designación de Subencargados de conformidad con este DPA, han sido autorizadas por el responsable del tratamiento correspondiente. El Cliente actuará como único punto de contacto para Ocoya, y Ocoya no estará obligada a interactuar directamente (incluso para enviar notificaciones o solicitar autorizaciones) con ningún responsable del tratamiento tercero, salvo a través de la prestación ordinaria del Servicio en la medida exigida por el Contrato. El Cliente será responsable de remitir al responsable del tratamiento correspondiente, cuando proceda, cualesquiera notificaciones recibidas en virtud de este DPA.

3. Subencargo del tratamiento

Subencargados autorizados — El Cliente acepta que Ocoya podrá recurrir a Subencargados para tratar los Datos del Cliente por cuenta del Cliente. Los Subencargados actualmente contratados por Ocoya y autorizados por Ocoya notificará al Cliente si añade o elimina Subencargados con al menos 10 días de antelación a dichos cambios, si el Cliente opta por recibir dichas notificaciones.

Obligaciones de los Subencargados — Ocoya: (i) celebrará un contrato por escrito con cada Subencargado que contenga obligaciones de protección de datos que ofrezcan al menos el mismo nivel de protección de los Datos del Cliente que las de este DPA, en la medida en que sean aplicables a la naturaleza del servicio prestado por dicho Subencargado; y (ii) seguirá siendo responsable del cumplimiento por parte de dicho Subencargado de las obligaciones de este DPA y de cualesquiera actos u omisiones de dicho Subencargado que hagan que Ocoya incumpla cualquiera de sus obligaciones en virtud de este DPA. El Cliente reconoce y acepta que, cuando proceda, Ocoya cumple sus obligaciones en virtud de la Cláusula 9 de las Cláusulas de Responsable a Encargado de 2021 y de las Cláusulas de Encargado a Encargado de 2021 (según corresponda) mediante el cumplimiento de esta Sección 3, y que Ocoya puede verse impedida de divulgar al Cliente los contratos con Subencargados debido a restricciones de confidencialidad; no obstante, Ocoya, previa solicitud, realizará esfuerzos razonables para proporcionar al Cliente toda la información pertinente que razonablemente pueda en relación con los contratos con Subencargados.

4. Seguridad

Medidas de seguridad — Ocoya aplicará y mantendrá medidas de seguridad técnicas y organizativas adecuadas, diseñadas para proteger los Datos del Cliente frente a Incidentes de Seguridad y para preservar la seguridad y la confidencialidad de los Datos del Cliente de conformidad con las normas de seguridad de Ocoya descritas en el Anexo B («Medidas de Seguridad») de este DPA.

Confidencialidad del tratamiento — Ocoya garantizará que toda persona autorizada por Ocoya para tratar los Datos del Cliente (incluidos su personal, agentes y subcontratistas) esté sujeta a una obligación adecuada de confidencialidad (ya sea de naturaleza contractual o legal).

Actualizaciones de las medidas de seguridad — El Cliente es responsable de revisar la información que Ocoya pone a su disposición en relación con la seguridad de los datos y de determinar de forma independiente si el Servicio cumple los requisitos del Cliente y sus obligaciones legales con arreglo a la Legislación de Protección de Datos. El Cliente reconoce que las Medidas de Seguridad están sujetas al progreso y desarrollo técnicos y que Ocoya puede actualizar o modificar las Medidas de Seguridad en cada momento, siempre que dichas actualizaciones y modificaciones no supongan una degradación de la seguridad general del Servicio prestado al Cliente.

Respuesta ante Incidentes de Seguridad — Tras tener conocimiento de un Incidente de Seguridad, Ocoya: (i) lo notificará al Cliente sin dilación indebida y, cuando sea posible, en un plazo de 48 horas desde que haya tenido conocimiento de él; (ii) facilitará oportunamente información relativa al Incidente de Seguridad a medida que se conozca o según lo solicite razonablemente el Cliente; y (iii) adoptará sin demora medidas razonables para contener e investigar cualquier Incidente de Seguridad. La notificación o la respuesta de Ocoya a un Incidente de Seguridad en virtud de esta Sección 4.4 no se interpretará como un reconocimiento por parte de Ocoya de culpa o responsabilidad alguna respecto del Incidente de Seguridad.

Responsabilidades del Cliente — Sin perjuicio de lo anterior, el Cliente acepta que, salvo lo dispuesto en este DPA, el Cliente es responsable del uso seguro del Servicio, incluida la protección de las credenciales de autenticación de su cuenta, la protección de la seguridad de los Datos del Cliente durante su transmisión hacia y desde el Servicio, y la adopción de las medidas adecuadas para cifrar de forma segura o realizar copias de seguridad de cualesquiera Datos del Cliente cargados en el Servicio.

5. Informes de seguridad y auditorías

Derechos de auditoría — Ocoya pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de este DPA y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones por parte del Cliente, con el fin de evaluar el cumplimiento de este DPA. El Cliente reconoce y acepta que ejercerá sus derechos de auditoría en virtud de este DPA (incluida esta Sección 5.1 y, cuando proceda, las CCT) y cualesquiera derechos de auditoría otorgados por la Legislación de Protección de Datos, instruyendo a Ocoya para que cumpla las medidas de auditoría descritas en las secciones siguientes.

Informes de seguridad — El Cliente reconoce que Ocoya es auditada periódicamente conforme a las normas SSAE 16 y PCI por auditores terceros independientes y auditores internos, respectivamente. Previa solicitud por escrito, Ocoya facilitará al Cliente (con carácter confidencial) una copia resumida de su(s) informe(s) de auditoría más reciente(s) («Informe»), para que el Cliente pueda verificar el cumplimiento por parte de Ocoya de las normas de auditoría conforme a las cuales ha sido evaluada y de este DPA.

Diligencia debida en materia de seguridad — Además del Informe, Ocoya responderá a todas las solicitudes razonables de información formuladas por el Cliente para confirmar el cumplimiento de este DPA por parte de Ocoya, incluidas las respuestas a cuestionarios de seguridad de la información, de diligencia debida y de auditoría, poniendo a disposición información adicional sobre su programa de seguridad de la información previa solicitud por escrito del Cliente dirigida a support@ocoya.com, siempre que el Cliente no ejerza este derecho más de una vez por año natural.

6. Transferencias internacionales

Ubicación de los centros de datos — Con sujeción a la Sección siguiente, el Cliente reconoce que Ocoya puede transferir y tratar los Datos del Cliente a y en los Estados Unidos y en cualquier otro lugar del mundo en el que Ocoya, sus Afiliadas o sus Subencargados mantengan operaciones de tratamiento de datos. Ocoya garantizará en todo momento que dichas transferencias se realicen de conformidad con los requisitos de la Legislación de Protección de Datos y de este DPA.

Datos australianos. En la medida en que Ocoya sea destinataria de Datos del Cliente protegidos por la Legislación Australiana de Privacidad, las partes reconocen y acuerdan que Ocoya puede transferir dichos Datos del Cliente fuera de Australia según lo permitido por las condiciones acordadas por las partes y siempre que Ocoya cumpla este DPA y la Legislación Australiana de Privacidad.

Transferencias de datos del EEE. En la medida en que Ocoya sea destinataria de Datos del Cliente protegidos por el RGPD en un país situado fuera del EEE que no esté reconocido como garante de un nivel de protección adecuado de los datos personales (tal como se describe en la Legislación Europea de Protección de Datos aplicable), las partes acuerdan respetar y tratar dichos Datos del Cliente de conformidad con las CCT, que se incorporarán a este DPA y formarán parte integrante del mismo.

Transferencias de datos del Reino Unido. En lo que respecta a las transferencias a las que se aplique la Legislación de Protección de Datos del Reino Unido, se aplicarán las CCT, que se considerarán modificadas según lo especificado en la Adenda del Reino Unido. La Adenda del Reino Unido se considerará suscrita por las partes e incorporada a este DPA, formando parte integrante del mismo. Además: las Tablas 1 a 3 de la Parte 1 de la Adenda del Reino Unido se considerarán cumplimentadas con la información establecida en los Anexos I y II de las CCT correspondientes; y la Tabla 4 de la Parte 1 de la Adenda del Reino Unido se considerará cumplimentada seleccionando «ninguna de las partes».

Transferencias de datos de Suiza. En lo que respecta a las transferencias a las que se aplique la LPD suiza, se aplicarán las CCT de conformidad con la Sección 6.3 con las siguientes modificaciones: (i) las referencias al «Reglamento (UE) 2016/679» se interpretarán como referencias a la LPD suiza; (ii) las referencias a artículos específicos del «Reglamento (UE) 2016/679» se sustituirán por el artículo o la sección equivalente de la LPD suiza; (iii) las referencias a la «UE», la «Unión» y el «Derecho de los Estados miembros» se sustituirán por «Suiza»; (iv) se suprimirán la Cláusula 13(a) y la Parte C del Anexo Il; (v) las referencias a la «autoridad de control competente» y a los «órganos jurisdiccionales competentes» se sustituirán por «el Comisionado Federal suizo de Protección de Datos e Información» y «los órganos jurisdiccionales competentes de Suiza»; (vi) la Cláusula 17 se sustituirá para establecer que «Las Cláusulas se rigen por el Derecho de Suiza»; y (vii) la Cláusula 18 se sustituirá para establecer que «Cualquier controversia derivada de las presentes Cláusulas será resuelta por los órganos jurisdiccionales competentes de Suiza. Las partes acuerdan someterse a la jurisdicción de dichos órganos jurisdiccionales».

Cumplimiento de las CCT. Las partes acuerdan que, si Ocoya no puede garantizar el cumplimiento de las CCT, informará sin demora al Cliente de su imposibilidad de cumplirlas. Si el Cliente tiene la intención de suspender la transferencia de Datos Europeos y/o resolver las partes afectadas del Servicio, deberá notificarlo previamente a Ocoya y concederle un plazo razonable para subsanar dicho incumplimiento, durante el cual Ocoya y el Cliente cooperarán razonablemente para acordar qué garantías o medidas adicionales, en su caso, pueden ser razonablemente necesarias. El Cliente solo tendrá derecho a suspender la transferencia de datos y/o resolver las partes afectadas del Servicio por incumplimiento de las CCT si Ocoya no ha subsanado o no puede subsanar el incumplimiento en un plazo razonable.

Mecanismo de transferencia alternativo. En la medida en que Ocoya adopte un mecanismo lícito de transferencia de datos alternativo para la transferencia de Datos Europeos no descrito en este DPA («Mecanismo de Transferencia Alternativo»), el Mecanismo de Transferencia Alternativo se aplicará en lugar de los mecanismos de transferencia descritos en este DPA (pero solo en la medida en que dicho Mecanismo de Transferencia Alternativo cumpla la Legislación Europea de Protección de Datos aplicable y se extienda a los países a los que se transfieran los Datos Europeos). Además, si y en la medida en que un órgano jurisdiccional competente o una autoridad de control ordene (por cualquier motivo) que no pueden invocarse las medidas descritas en este DPA para transferir lícitamente Datos Europeos (en el sentido de la Legislación Europea de Protección de Datos aplicable), Ocoya podrá aplicar cualesquiera medidas o garantías adicionales que puedan ser razonablemente necesarias para permitir la transferencia lícita de Datos Europeos.

7. Devolución o supresión de los datos

Supresión o devolución a la terminación. A la terminación o expiración del Contrato, Ocoya (a elección del Cliente) suprimirá o devolverá al Cliente todos los Datos del Cliente (incluidas las copias) que se encuentren en su posesión o bajo su control, salvo que este requisito no se aplicará en la medida en que la legislación aplicable obligue a Ocoya a conservar la totalidad o parte de los Datos del Cliente, ni a los Datos del Cliente que haya archivado en sistemas de copia de seguridad, Datos del Cliente que Ocoya aislará de forma segura, protegerá de cualquier tratamiento ulterior y finalmente suprimirá de conformidad con las políticas de supresión de Ocoya, salvo en la medida exigida por la legislación aplicable. Las partes acuerdan que la certificación de supresión de los Datos del Cliente descrita en las Cláusulas 8.5 y 16(d) de las Cláusulas de Responsable a Encargado de 2021 y de las Cláusulas de Encargado a Encargado de 2021 (según corresponda) solo será facilitada por Ocoya al Cliente previa solicitud por escrito del Cliente.

8. Derechos de los interesados y cooperación

Solicitudes de los interesados — Como parte del Servicio, Ocoya proporciona al Cliente una serie de funciones de autoservicio que el Cliente puede utilizar para recuperar, rectificar, suprimir o limitar el uso de los Datos del Cliente, y que el Cliente puede utilizar como ayuda en relación con sus obligaciones (o las de su responsable del tratamiento tercero) en virtud de la Legislación de Protección de Datos respecto de la atención de las solicitudes de los interesados a través de la cuenta del Cliente sin coste adicional. Además, Ocoya, teniendo en cuenta la naturaleza del tratamiento, prestará al Cliente una asistencia adicional razonable, en la medida de lo posible, para permitir que el Cliente (o su responsable del tratamiento tercero) cumpla sus obligaciones de protección de datos en relación con los derechos de los interesados en virtud de la Legislación de Protección de Datos. En caso de que cualquiera de dichas solicitudes se dirija directamente a Ocoya, Ocoya no responderá directamente a dicha comunicación sin la autorización previa del Cliente, salvo cuando proceda (por ejemplo, para indicar al interesado que se ponga en contacto con el Cliente) o cuando sea legalmente obligatorio. Si Ocoya está obligada a responder a dicha solicitud, Ocoya, cuando el Cliente esté identificado o sea identificable a partir de la solicitud, lo notificará sin demora al Cliente y le facilitará una copia de la solicitud, salvo que la ley se lo prohíba. Para evitar dudas, nada de lo dispuesto en el Contrato (incluido este DPA) restringirá ni impedirá que Ocoya responda a cualesquiera solicitudes de interesados o de autoridades de protección de datos en relación con los datos personales respecto de los cuales Ocoya sea responsable del tratamiento.

Evaluación de impacto relativa a la protección de datos — En la medida exigida por la Legislación de Protección de Datos aplicable, Ocoya (teniendo en cuenta la naturaleza del tratamiento y la información de que disponga Ocoya) facilitará toda la información razonablemente solicitada sobre el Servicio para permitir que el Cliente lleve a cabo evaluaciones de impacto relativas a la protección de datos o consultas previas con las autoridades de protección de datos, según lo exigido por la Legislación de Protección de Datos. Ocoya cumplirá lo anterior: (i) cumpliendo la Sección 5 (Informes de seguridad y auditorías); (ii) facilitando la información contenida en el Contrato, incluido este DPA; y (iii) si los apartados (i) y (ii) anteriores resultan insuficientes para que el Cliente cumpla dichas obligaciones, previa solicitud, prestando asistencia razonable adicional (a cargo del Cliente).

9. Condiciones específicas por jurisdicción

En la medida en que Ocoya trate Datos del Cliente procedentes de una de las jurisdicciones enumeradas en el Anexo C y protegidos por la Legislación de Protección de Datos de dicha jurisdicción, se aplicarán, además de las condiciones de este DPA, las condiciones especificadas en el Anexo C respecto de la(s) jurisdicción(es) aplicable(s) («Condiciones Específicas por Jurisdicción»). En caso de conflicto o ambigüedad entre las Condiciones Específicas por Jurisdicción y cualesquiera otras condiciones de este DPA, prevalecerán las Condiciones Específicas por Jurisdicción aplicables, pero solo en la medida en que las Condiciones Específicas por Jurisdicción sean aplicables a Ocoya.

10. Limitación de responsabilidad

La responsabilidad de cada parte y de todas sus Afiliadas, considerada conjuntamente y en su totalidad, derivada de o relacionada con este DPA (incluidas las CCT) estará sujeta a las exclusiones y limitaciones de responsabilidad establecidas en el Contrato. Cualesquiera reclamaciones formuladas contra Ocoya o sus Afiliadas en virtud de o en relación con este DPA (incluidas, cuando proceda, las CCT) solo podrán ser interpuestas por la entidad Cliente que sea parte del Contrato. En ningún caso ninguna de las partes limitará su responsabilidad respecto de los derechos de protección de datos de cualquier persona física en virtud de este DPA o de otro modo.

11. Relación con el contrato

Este DPA permanecerá en vigor mientras Ocoya realice operaciones de tratamiento de los Datos del Cliente por cuenta del Cliente o hasta la terminación del Contrato (y todos los Datos del Cliente hayan sido devueltos o suprimidos de conformidad con la Sección 7.1 anterior). Las partes acuerdan que este DPA sustituirá a cualquier contrato de tratamiento de datos existente o documento similar que las partes puedan haber celebrado previamente en relación con el Servicio. En caso de conflicto o incoherencia entre este DPA y las Condiciones de Uso Estándar, prevalecerán las disposiciones de los siguientes documentos (por orden de prelación): (i) las CCT; después (ii) este DPA; y después (iii) las Condiciones de Uso Estándar. Salvo por los cambios introducidos por este DPA, el Contrato permanece inalterado y en pleno vigor y efecto. Nadie, salvo una parte de este DPA, sus sucesores y cesionarios autorizados, tendrá derecho a exigir el cumplimiento de cualquiera de sus condiciones. Este DPA se regirá e interpretará de conformidad con las disposiciones sobre legislación aplicable y jurisdicción del Contrato, salvo que la Legislación de Protección de Datos aplicable exija otra cosa.

12. Contacto

Si tiene alguna pregunta sobre estos Términos, póngase en contacto con nosotros en support@ocoya.com.

Anexo A — Detalles del tratamiento de datos

(a) Categorías de interesados: Las categorías de interesados cuyos datos personales se tratan incluyen (i) los Miembros (es decir, usuarios finales individuales con acceso a una cuenta de Ocoya) y (ii) los Contactos (es decir, los suscriptores del Miembro y otras personas físicas sobre las que un Miembro nos ha facilitado información o que han interactuado de otro modo con un Miembro a través del Servicio).

(b) Categorías de datos personales: El Cliente puede cargar, enviar o proporcionar de otro modo determinados datos personales al Servicio, cuyo alcance suele ser determinado y controlado por el Cliente a su exclusiva discreción, y que pueden incluir los siguientes tipos de datos personales:

• Miembros: datos de identificación y de contacto (nombre, dirección, cargo, datos de contacto, nombre de usuario); información financiera (datos de la tarjeta de crédito, datos de la cuenta, información de pago); datos laborales (empleador, puesto de trabajo, ubicación geográfica, área de responsabilidad).
• Contactos: datos de identificación y de contacto (nombre, fecha de nacimiento, sexo, información general, profesión u otra información demográfica, dirección, cargo, datos de contacto, incluida la dirección de correo electrónico); intereses o preferencias personales (incluidos el historial de compras, las preferencias de marketing y la información de perfiles de redes sociales disponible públicamente); información informática (direcciones IP, datos de uso, datos de cookies, datos de navegación en línea, datos de ubicación, datos del navegador); información financiera (datos de la tarjeta de crédito, datos de la cuenta, información de pago).

(c) Datos sensibles tratados (si procede): Ocoya no desea recopilar ni tratar, ni recopila ni trata intencionadamente, Datos Sensibles en relación con la prestación del Servicio.

(d) Frecuencia del tratamiento: continua y según lo determine el Cliente.

(e) Objeto y naturaleza del tratamiento: Ocoya presta un servicio de redes sociales, una plataforma de automatización y marketing y otros servicios relacionados, tal como se describe más detalladamente en el Contrato. El objeto del tratamiento de datos en virtud de este DPA son los Datos del Cliente. Los Datos del Cliente se tratarán de conformidad con el Contrato (incluido este DPA) y podrán ser objeto de las siguientes actividades de tratamiento: almacenamiento y otros tratamientos necesarios para prestar, mantener y mejorar el Servicio prestado al Cliente de conformidad con el Contrato; y/o comunicaciones de conformidad con el Contrato y/o según lo exija la legislación aplicable.

(f) Finalidad del tratamiento: Ocoya solo tratará los Datos del Cliente para los Fines Permitidos, que incluirán: (i) el tratamiento necesario para prestar el Servicio de conformidad con el Contrato; (ii) el tratamiento iniciado por el Cliente en su uso del Servicio; y (iii) el tratamiento para cumplir cualesquiera otras instrucciones razonables facilitadas por el Cliente (por ejemplo, por correo electrónico o mediante tickets de soporte) que sean coherentes con las condiciones del Contrato.

(g) Duración del tratamiento y plazo durante el cual se conservarán los datos personales: Ocoya tratará los Datos del Cliente según lo indicado en la Sección 7 (Devolución o supresión de los datos) de este DPA.

Anexo B — Condiciones específicas por jurisdicción

Europa

Oposición a los Subencargados. El Cliente podrá oponerse por escrito a la designación por parte de Ocoya de un nuevo Subencargado en un plazo de cinco (5) días naturales desde la recepción de la notificación de conformidad con la Sección 3.1 del DPA, siempre que dicha oposición se base en motivos razonables relacionados con la protección de datos. En tal caso, las partes debatirán dichas inquietudes de buena fe con el fin de alcanzar una solución comercialmente razonable. Si no puede alcanzarse dicha solución, Ocoya, a su exclusiva discreción, no designará a dicho Subencargado o permitirá al Cliente suspender o resolver el Servicio afectado de conformidad con las disposiciones sobre resolución del Contrato, sin responsabilidad para ninguna de las partes (pero sin perjuicio de las tarifas en que haya incurrido el Cliente antes de la suspensión o resolución).

Solicitudes de acceso a datos por parte de autoridades públicas. Como práctica general, Ocoya no proporciona voluntariamente a organismos o autoridades públicas (incluidas las fuerzas y cuerpos de seguridad) acceso a las cuentas de Ocoya (incluidos los Datos del Cliente) ni información sobre ellas. Si Ocoya recibe una solicitud obligatoria (ya sea mediante citación, orden judicial, orden de registro u otro procedimiento legal válido) de cualquier organismo o autoridad pública (incluidas las fuerzas y cuerpos de seguridad) para acceder a una cuenta de Ocoya (incluidos los Datos del Cliente) o recibir información sobre ella, perteneciente a un Cliente cuya información de contacto principal indique que el Cliente se encuentra en Europa, Ocoya: (i) examinará la legalidad de la solicitud; (ii) informará al organismo público de que Ocoya es un encargado del tratamiento de los datos; (iii) intentará redirigir al organismo para que solicite los datos directamente al Cliente; (iv) notificará la solicitud al Cliente mediante un correo electrónico enviado a la dirección de correo electrónico de contacto principal del Cliente, para permitir que el Cliente solicite una orden de protección u otra vía de recurso adecuada; y (v) facilitará la cantidad mínima de información permitida al responder al organismo o autoridad, sobre la base de una interpretación razonable de la solicitud. Como parte de este esfuerzo, Ocoya podrá facilitar al organismo la información de contacto principal y de facturación del Cliente. Ocoya no estará obligada a cumplir este apartado 2 si la ley se lo prohíbe, o si considera de forma razonable y de buena fe que es necesario un acceso urgente para evitar un riesgo inminente de daño grave a cualquier persona, a la seguridad pública o a los bienes de Ocoya, al Sitio de Ocoya o al Servicio; no obstante, cuando la ley prohíba a Ocoya notificar las solicitudes al Cliente, Ocoya hará todo lo posible por obtener una dispensa de dicha prohibición.

California

Salvo que se indique otra cosa, las definiciones de: «responsable del tratamiento» incluye «Empresa» (Business); «encargado del tratamiento» incluye «Proveedor de Servicios» (Service Provider); «interesado» incluye «Consumidor» (Consumer); «datos personales» incluye «Información Personal» (Personal Information); en cada caso, tal como se definen en la CCPA.

Únicamente a efectos de esta sección «California» del Anexo B, los «Fines Permitidos» incluirán el tratamiento de los Datos del Cliente solo para los fines descritos en este DPA y de conformidad con las instrucciones lícitas documentadas del Cliente establecidas en este DPA, en la medida necesaria para cumplir la legislación aplicable, según se acuerde de otro modo por escrito, incluido, entre otros, en el Contrato, o según se permita de otro modo a los «proveedores de servicios» en virtud de la CCPA.

Las obligaciones de Ocoya relativas a las solicitudes de los interesados, tal como se describen en la Sección 8 (Derechos de los interesados y cooperación) de este DPA, se extienden a las solicitudes de ejercicio de derechos en virtud de la CCPA.

Sin perjuicio de cualquier restricción de uso contenida en otras partes de este DPA, Ocoya tratará los Datos del Cliente para prestar el Servicio, para los Fines Permitidos y/o de conformidad con las instrucciones lícitas documentadas del Cliente, o según lo permita o exija de otro modo la legislación aplicable.

Sin perjuicio de cualquier restricción de uso contenida en otras partes de este Anexo B, Ocoya podrá desidentificar o agregar los Datos del Cliente como parte de la prestación del Servicio especificado en este DPA y en el Contrato.

Cuando los Subencargados traten la Información Personal de los contactos del Cliente, Ocoya adopta medidas para garantizar que dichos Subencargados sean Proveedores de Servicios en virtud de la CCPA con los que Ocoya haya celebrado un contrato por escrito que incluya condiciones sustancialmente similares a esta sección «California» del Anexo B, o que estén exentos de otro modo de la definición de «venta» de la CCPA. Ocoya lleva a cabo la diligencia debida adecuada respecto de sus Subencargados.

Canadá

Ocoya adopta medidas para garantizar que los Subencargados de Ocoya, tal como se describen en la Sección 3 (Subencargo del tratamiento) del DPA, sean terceros en virtud de la PIPEDA con los que Ocoya haya celebrado un contrato por escrito que incluya condiciones sustancialmente similares a este DPA. Ocoya lleva a cabo la diligencia debida adecuada respecto de sus Subencargados.

Ocoya aplicará medidas técnicas y organizativas según lo establecido en la Sección 4 (Seguridad) del DPA.