Acuerdo de tratamiento de datos

A efectos de este Acuerdo de tratamiento de datos ("DPA"):

• "Responsable" significa la persona física o jurídica que determina los fines y medios del Tratamiento de Datos personales.
• "Encargado" significa la persona física o jurídica que Trata Datos personales en nombre del Responsable.
• "Datos personales" significa cualquier información relativa a una persona física identificada o identificable.
• "Tratamiento" significa cualquier operación realizada sobre Datos personales, incluidas su recopilación, almacenamiento, uso, divulgación o eliminación.
• "Interesado" significa la persona física a la que se refieren los Datos personales.
• "Subencargado" significa cualquier tercero contratado por Chargezen para Tratar Datos personales.

Este DPA se aplica al Tratamiento de Datos personales por Chargezen (como Encargado) en nombre del Cliente (como Responsable) en relación con los Servicios prestados conforme a los Términos de servicio.

Chargezen Tratará Datos personales únicamente:

• Con la finalidad de prestar los Servicios
• Cuando sea necesario para cumplir la legislación aplicable
• Según otras instrucciones escritas del Cliente

El Cliente declara y garantiza que:

• Cuenta con todos los derechos y consentimientos necesarios para proporcionar Datos personales a Chargezen
• Cumplirá todas las leyes de protección de datos aplicables
• Sus instrucciones de Tratamiento no infringirán ninguna ley aplicable
• Es responsable de la exactitud, calidad y legalidad de los Datos personales

Chargezen se compromete a:

• Tratar Datos personales únicamente siguiendo instrucciones documentadas del Cliente
• Garantizar que el personal autorizado para Tratar Datos personales esté sujeto a obligaciones de confidencialidad
• Aplicar medidas de seguridad técnicas y organizativas apropiadas
• Ayudar al Cliente a responder a las solicitudes de los Interesados
• Ayudar al Cliente con las evaluaciones de impacto en la protección de datos y las consultas regulatorias
• Eliminar o devolver los Datos personales al terminar el acuerdo, a elección del Cliente
• Poner a disposición la información necesaria para demostrar el cumplimiento

Chargezen mantiene medidas de seguridad integrales, entre ellas:

• Cifrado: cifrado AES-256 en reposo y TLS 1.3 en tránsito
• Control de acceso: acceso basado en roles, MFA y compatibilidad con SSO
• Monitoreo: monitoreo de seguridad y detección de amenazas las 24 horas, los 7 días de la semana
• Infraestructura: proveedores de alojamiento certificados SOC 2 Tipo II
• Gestión de vulnerabilidades: pruebas de penetración y auditorías de seguridad periódicas
• Respuesta a incidentes: procedimientos documentados de respuesta a incidentes

El Cliente autoriza a Chargezen a contratar Subencargados para las actividades de Tratamiento. Chargezen:

• Mantendrá una lista actualizada de Subencargados (disponible a solicitud)
• Notificará al Cliente cualquier cambio previsto en los Subencargados
• Celebrará acuerdos escritos con los Subencargados que impongan obligaciones equivalentes de protección de datos
• Seguirá siendo responsable de los actos y omisiones de sus Subencargados

El Cliente podrá oponerse a un nuevo Subencargado dentro de los 30 días posteriores a la notificación. Si no se resuelve su objeción, el Cliente podrá terminar los Servicios afectados.

Chargezen podrá transferir Datos personales fuera del Espacio Económico Europeo (EEE) cumpliendo los requisitos del RGPD mediante:

• Cláusulas contractuales tipo (CCT): cláusulas modelo aprobadas por la UE para transferencias de datos
• Decisiones de adecuación: transferencias a países con protección adecuada
• Garantías adicionales: cifrado y controles de acceso como medidas complementarias

Para las transferencias a Estados Unidos, Chargezen aplica medidas técnicas adicionales para proteger frente al acceso gubernamental.

Chargezen ayudará al Cliente a cumplir sus obligaciones de responder a las solicitudes de los Interesados, incluidas las de:

• Acceso a los Datos personales
• Rectificación de datos inexactos
• Supresión ("derecho al olvido")
• Limitación del Tratamiento
• Portabilidad de los datos
• Oposición al Tratamiento

Chargezen notificará con prontitud al Cliente si recibe una solicitud de un Interesado.

En caso de una violación de Datos personales, Chargezen:

• Notificará al Cliente sin demora indebida (dentro de las 72 horas siguientes a tener conocimiento)
• Proporcionará información sobre la naturaleza de la violación, las categorías de datos afectados y las consecuencias probables
• Describirá las medidas adoptadas o propuestas para abordar la violación
• Cooperará con la investigación y las obligaciones de notificación del Cliente

El Cliente tiene derecho a auditar el cumplimiento de este DPA por parte de Chargezen. Las auditorías podrán realizarse:

• Por el Cliente o un auditor externo independiente (sujeto a confidencialidad)
• Con un aviso previo razonable (mínimo 30 días)
• No más de una vez al año (salvo que lo exija una autoridad regulatoria)
• A cargo del Cliente (salvo que la auditoría revele un incumplimiento sustancial)

Chargezen también proporcionará informes de auditoría (por ejemplo, SOC 2 Tipo II) a solicitud y bajo un acuerdo de confidencialidad.

Este DPA permanecerá vigente durante la duración del Acuerdo de servicios. Al terminar:

• Chargezen dejará de Tratar Datos personales (salvo que la ley lo exija)
• A elección del Cliente, Chargezen eliminará o devolverá todos los Datos personales dentro de 30 días
• Chargezen certificará la eliminación por escrito a solicitud

La responsabilidad derivada de este DPA está sujeta a las limitaciones del Acuerdo de servicios. Cada parte será responsable únicamente de los daños causados por un Tratamiento que infrinja:

• Este DPA
• Las leyes de protección de datos aplicables
• Las instrucciones lícitas del Cliente