1. Definiciones
A los efectos de este Acuerdo de procesamiento de datos:
- <strong>"Datos personales"</strong> significa cualquier información relativa a una persona física identificada o identificable, según lo definido en el artículo 4(1) del GDPR.
- <strong>"Tratamiento"</strong> significa cualquier operación realizada sobre Datos Personales, incluyendo la recopilación, el almacenamiento, el uso, la divulgación o la eliminación, según lo definido en el artículo 4(2) del GDPR.
- <strong>"Responsable del tratamiento"</strong> significa el cliente que determina los fines y medios del Tratamiento de Datos Personales.
- <strong>"Encargado"</strong> significa Morlivo, que trata Datos Personales en nombre del Responsable.
- <strong>"Subencargado"</strong> significa cualquier tercero contratado por el Encargado para tratar Datos Personales en nombre del Responsable.
- <strong>"Titular de los datos"</strong> significa una persona física identificada o identificable cuyos Datos Personales son objeto de Tratamiento.
2. Detalles del procesamiento
El Encargado solo tratará Datos personales conforme a instrucciones documentadas del Responsable, incluidas las relativas a transferencias de Datos personales a un tercer país, salvo que así le exija la legislación de la Unión o del Estado miembro a la que esté sujeto el Encargado.
El detalle del tratamiento es el siguiente:
- <strong>Objeto:</strong> Prestación de servicios de traducción, transcripción y procesamiento lingüístico.
- <strong>Duración:</strong> Durante la vigencia del contrato de servicio subyacente.
- <strong>Naturaleza y finalidad:</strong> Tratamiento del Contenido del Cliente para proporcionar traducciones, transcripciones y servicios lingüísticos relacionados.
- <strong>Categorías de interesados:</strong> Usuarios finales e individuos cuyos datos están contenidos en el Contenido del Cliente.
- <strong>Tipos de datos personales:</strong> Nombres, información de contacto y cualquier otro dato personal contenido en los materiales enviados para su tratamiento.
3. Medidas de seguridad
El Encargado implementará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el Artículo 32 del GDPR. Estas medidas incluyen:
- Cifrado de Datos Personales en reposo (AES-256) y en tránsito (TLS 1.2+).
- Capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia continua de los sistemas y servicios de procesamiento.
- Capacidad de restaurar la disponibilidad y el acceso a los Datos personales de manera oportuna en caso de un incidente físico o técnico.
- Probar, valorar y evaluar periódicamente la eficacia de las medidas técnicas y organizativas.
- Seudonimización de Datos Personales cuando sea técnicamente factible y apropiado.
- Controles de acceso estrictos basados en el principio de privilegio mínimo.
- Registro de auditoría integral y monitoreo del acceso a datos.
El Encargado garantizará que las personas autorizadas para procesar Datos personales se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.
4. Subprocesadores
El Responsable otorga una autorización general al Encargado para contratar Subencargados. El Encargado deberá mantener una lista actualizada de Subencargados y ponerla a disposición del Responsable previa solicitud. La lista actual de Subencargados se publica en nuestra página de Política de Privacidad.
El Encargado informará al Responsable de cualquier cambio previsto relacionado con la incorporación o sustitución de Subencargados, concediendo al Responsable una oportunidad razonable para oponerse a dichos cambios. Cuando el Encargado contrate a un Subencargado, impondrá a ese Subencargado, mediante contrato, las mismas obligaciones de protección de datos establecidas en este DPA.
El Encargado seguirá siendo plenamente responsable frente al Responsable por el cumplimiento de las obligaciones de cualquier Subencargado en virtud de este DPA.
5. Derechos del interesado
El Encargado asistirá al Responsable en el cumplimiento de su obligación de responder a las solicitudes de los Interesados que ejerzan sus derechos en virtud del Capítulo III del GDPR, incluyendo:
- Derecho de acceso (artículo 15).
- Derecho de rectificación (artículo 16).
- Derecho de supresión (artículo 17).
- Derecho a la limitación del tratamiento (artículo 18).
- Derecho a la portabilidad de los datos (artículo 20).
- Derecho de oposición (artículo 21).
Si el Encargado recibe una solicitud directamente de un Interesado, el Encargado remitirá la solicitud sin demora al Responsable y no deberá responder directamente al Interesado salvo que esté autorizado por el Responsable.
6. Transferencias Internacionales
El Encargado no transferirá Datos personales a un tercer país u organización internacional a menos que existan las garantías adecuadas exigidas por el Capítulo V del GDPR. Los mecanismos de transferencia aprobados incluyen:
- Cláusulas contractuales tipo (CEC) adoptadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914 de la Comisión).
- Decisiones de adecuación de conformidad con el artículo 45 de la GDPR.
- Normas Corporativas Vinculantes aprobadas por una autoridad de control competente.
Los clientes empresariales pueden configurar la residencia de datos para restringir el procesamiento y almacenamiento de Datos personales a regiones geográficas específicas (UE, EE. UU. o APAC), minimizando la necesidad de transferencias transfronterizas.
7. Notificación de infracción
El Encargado notificará al Responsable sin dilación indebida y, en cualquier caso, no más tarde de cuarenta y ocho (48) horas después de tener conocimiento de una violación de Datos personales, según la definición del Artículo 4(12) del GDPR.
La notificación incluirá:
- Una descripción de la naturaleza de la violación de los Datos personales, incluidas las categorías y el número aproximado de Sujetos de datos y registros afectados.
- El nombre y los datos de contacto del punto de contacto de protección de datos del Procesador.
- Una descripción de las probables consecuencias de la infracción.
- Una descripción de las medidas tomadas o propuestas para abordar la infracción, incluidas medidas para mitigar sus efectos adversos.
8. Auditorías e Inspecciones
El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Artículo 28 del GDPR. El Encargado permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor designado por el Responsable, con previo aviso razonable y con obligaciones de confidencialidad.
9. Plazo y eliminación de datos
Este DPA permanecerá en vigor durante la duración del contrato de servicio subyacente. Al finalizar el contrato de servicio, el Processor deberá, a elección del Controller, eliminar o devolver todos los Datos Personales y borrar las copias existentes, salvo que la ley de la Unión o del Estado miembro exija el almacenamiento de los Datos Personales. El Processor certificará por escrito que ha cumplido con esta obligación a petición del Controller.