Acuerdo de procesamiento de datos

1. Definiciones

A los efectos de este Acuerdo de Procesamiento de Datos ("DPA"), los siguientes términos tendrán los significados establecidos a continuación. Los términos en mayúsculas no definidos en este documento tendrán los significados atribuidos en los Términos de servicio.

• "Legislación de protección de datos aplicable" significa todas las leyes y regulaciones relativas al procesamiento de Datos personales que se aplican al cumplimiento de este DPA, incluyendo, entre otras, el Reglamento General de Protección de Datos (EU) 2016/679 ("RGPD"), el Reglamento General de Protección de Datos del Reino Unido ("RGPD del RU"), la Ley de Privacidad del Consumidor de California ("CCPA") y cualquier otra legislación nacional, estatal o regional de protección de datos aplicable, en cada caso según sea modificada, reemplazada o sustituida periódicamente.
• "Responsable del tratamiento" significa la persona física o jurídica, autoridad pública, agencia u otro organismo que, solo o conjuntamente con otros, determina los fines y medios del procesamiento de los Datos personales. A los efectos de este DPA, el Responsable del tratamiento es el Cliente.
• "Encargado del tratamiento" significa la persona física o jurídica, autoridad pública, agencia u otro organismo que procesa los Datos personales en nombre del Responsable del tratamiento. A los efectos de este DPA, el Encargado del tratamiento es VENTRYA LTD, a company incorporated in England and Wales under company number 16505638, with its registered office at 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom, trading as Mail.Land ("MailLand").
• "Interesado" significa una persona física identificada o identificable cuyos Datos personales se procesan en virtud de este DPA. Una persona física identificable es aquella que puede ser identificada, directa o indirectamente, por referencia a un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o más factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.
• "Datos personales" significa cualquier información relativa a un Interesado que sea procesada por MailLand en nombre del Cliente en relación con la prestación de los Servicios.
• "Procesamiento" significa cualquier operación o conjunto de operaciones realizadas sobre Datos personales, ya sea por medios automatizados o no, incluyendo, entre otras, la recopilación, el registro, la organización, la estructuración, el almacenamiento, la adaptación o alteración, la recuperación, la consulta, el uso, la divulgación mediante transmisión, difusión o cualquier otra forma de habilitación de acceso, la alineación o combinación, la restricción, el borrado o la destrucción.
• "Subencargado del tratamiento" significa cualquier tercero contratado por MailLand (o por cualquier Subencargado del tratamiento posterior) para procesar Datos personales en nombre del Cliente en relación con los Servicios.
• "Violación de datos" significa una violación de la seguridad que conduzca a la destrucción, perdida, alteración, divulgación no autorizada o acceso accidental o ilícito a los Datos personales transmitidos, almacenados o procesados de cualquier otra forma por MailLand o sus Subencargados del tratamiento en relación con la prestación de los Servicios.
• "Cláusulas contractuales tipo" ("CCT") significa las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas por la Comisión Europea en virtud de la Decisión (EU) 2021/914, según puedan ser modificadas, reemplazadas o sustituidas periódicamente.

2. Alcance y funciones

Este DPA se aplica al Procesamiento de Datos personales por parte de MailLand en nombre del Cliente en relación con la prestación de servicios de entrega de correo electrónico y servicios relacionados (los "Servicios") como se describe en los Términos de servicio. Este DPA complementa y forma parte integral de los Términos de servicio.

El Cliente actúa como Responsable del tratamiento, y MailLand actúa como Encargado del tratamiento, con respecto a los Datos personales procesados en virtud de este DPA. Cada parte cumplirá con sus respectivas obligaciones conforme a la Legislación de protección de datos aplicable.

En caso de conflicto o inconsistencia entre este DPA y los Términos de servicio, las disposiciones de este DPA prevalecerán con respecto a los asuntos relacionados con el Procesamiento de Datos personales.

3. Obligaciones del Cliente

El Cliente, como Responsable del tratamiento, declara, garantiza y se compromete a que:

1. El Cliente ha establecido y mantendrá una base legal válida para el Procesamiento de Datos personales de conformidad con la Legislación de protección de datos aplicable, incluyendo, entre otros, la obtención de todos los consentimientos necesarios o el establecimiento de otra base legal adecuada antes de enviar Datos personales a los Servicios.
2. Todos los Datos personales proporcionados a MailLand son precisos, completos y están actualizados, y el Cliente tomara medidas razonables para garantizar la precisión continua de dichos datos.
3. El Cliente ha proporcionado todos los avisos de privacidad y declaraciones requeridos a los Interesados de conformidad con la Legislación de protección de datos aplicable, incluyendo información sobre el uso de MailLand como Encargado del tratamiento para fines de entrega de correo electrónico.
4. El Cliente tiene plena autoridad para instruir a MailLand a procesar los Datos personales como se contempla en este DPA y los Términos de servicio.
5. El Cliente cumplirá con toda la Legislación de protección de datos aplicable en su uso de los Servicios y en cualquier instrucción de Procesamiento que emita a MailLand.
6. El Cliente no proporcionará, enviara ni pondrá a disposición de MailLand ningún dato sensible ni categorías especiales de Datos personales (como se definen en el Artículo 9 del RGPD) a menos que las partes hayan celebrado un acuerdo escrito separado que rija expresamente el Procesamiento de dichos datos.

4. Obligaciones de MailLand

Como Encargado del tratamiento, MailLand cumplirá con las siguientes obligaciones con respecto al Procesamiento de Datos personales en virtud de este DPA:

1. Procesamiento conforme a instrucciones. MailLand procesará los Datos personales únicamente conforme a las instrucciones documentadas del Cliente, incluyendo las descritas en los Términos de servicio y este DPA, a menos que el Procesamiento sea requerido por la legislación de la Unión Europea o de un Estado miembro a la que MailLand este sujeto, en cuyo caso MailLand informara al Cliente de dicho requisito legal antes del Procesamiento, a menos que dicha legislación prohiba tal notificación por motivos importantes de interés público.
2. Confidencialidad. MailLand garantizará que todo el personal autorizado para procesar Datos personales se haya comprometido con obligaciones de confidencialidad o este sujeto a una obligación legal de confidencialidad adecuada. El acceso a los Datos personales se limitará al personal que requiera dicho acceso para prestar los Servicios.
3. Medidas de seguridad. MailLand implementará y mantendrá las medidas de seguridad técnicas y organizativas adecuadas de conformidad con el Article 32 del RGPD, como se describe con más detalle en la Sección 5 de este DPA, para proteger los Datos personales contra el Procesamiento no autorizado o ilícito y contra la perdida, destrucción o daño accidentales.
4. Contratación de subencargados del tratamiento. MailLand no contratara a ningún Subencargado del tratamiento para procesar Datos personales sin la autorización general o especifica previa por escrito del Cliente, sujeto a las disposiciones de la Sección 8 de este DPA.
5. Derechos de los interesados. Teniendo en cuenta la naturaleza del Procesamiento, MailLand asistirá al Cliente mediante la implementación de medidas técnicas y organizativas adecuadas, en la medida de lo posible, para el cumplimiento de la obligación del Cliente de responder a las solicitudes de los Interesados que ejerciten sus derechos conforme a la Legislación de protección de datos aplicable (incluyendo los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición).
6. Evaluaciones de impacto en la protección de datos. MailLand proporcionará asistencia razonable al Cliente con las evaluaciones de impacto en la protección de datos y las consultas previas con las autoridades de control, cuando sea requerido conforme a los Artículos 35 y 36 del RGPD, teniendo en cuenta la naturaleza del Procesamiento y la información disponible para MailLand.
7. Eliminación o devolución de datos. Tras la terminación o expiración de los Servicios, MailLand, a instrucción escrita y elección del Cliente, eliminara o devolverá todos los Datos personales al Cliente dentro de los treinta (30) días, y eliminara las copias existentes a menos que la retención sea requerida por la legislación aplicable. Cuando la retención sea requerida por ley, MailLand limitará el Procesamiento de dichos datos retenidos únicamente al fin requerido por la ley.
8. Auditoría y cumplimiento. MailLand pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este DPA y conforme al Article 28 del RGPD, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Cliente o un auditor designado por el Cliente. Dichas auditorías estarán sujetas a un aviso previo razonable de al menos treinta (30) días, se realizaran durante el horario comercial normal y no interferirán de forma irrazonable con las operaciones comerciales de MailLand.
9. Notificación de infracción. MailLand informara inmediatamente al Cliente si, en opinión de MailLand, una instrucción emitida por el Cliente infringe la Legislación de protección de datos aplicable. MailLand puede suspender la ejecución de la instrucción correspondiente hasta que el Cliente confirme o modifique dicha instrucción.

5. Medidas de seguridad

MailLand implementa y mantiene las siguientes medidas de seguridad técnicas y organizativas para proteger los Datos personales de conformidad con el Article 32 del RGPD. Estas medidas están diseñadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del Procesamiento.

6. Notificación de violación de datos

En caso de una Violación de datos, MailLand cumplirá con las siguientes obligaciones de notificación y cooperación:

1. Notificación oportuna. MailLand notificará al Cliente de una Violación de datos sin dilación indebida, y en cualquier caso dentro de las setenta y dos (72) horas posteriores a tener conocimiento de la Violación de datos. Dicha notificación se dirigirá al contacto de seguridad designado del Cliente o, si no se ha designado ninguno, al contacto principal de la cuenta del Cliente.
2. Contenido de la notificación. La notificación incluirá, en la medida en que este razonablemente disponible en el momento de la notificación:
   • Una descripción de la naturaleza de la Violación de datos, incluyendo las categorías de Datos personales y el número aproximado de Interesados afectados;
   • El nombre y los datos de contacto del punto de contacto de MailLand del que se puede obtener más información;
   • Una descripción de las consecuencias probables de la Violación de datos;
   • Una descripción de las medidas tomadas o propuestas por MailLand para abordar la Violación de datos, incluyendo medidas para mitigar sus posibles efectos adversos.
3. Divulgación por fases. Cuando no sea posible proporcionar toda la información requerida dentro del periodo de setenta y dos (72) horas, MailLand proporcionará la información por fases sin más dilación indebida, a medida que dicha información este disponible.
4. Cooperación. MailLand cooperará con el Cliente y tomara todas las medidas comercialmente razonables para asistir en la investigación, mitigación y remediación de la Violación de datos.
5. Documentación. MailLand documentará todas las Violaciones de datos, incluyendo los hechos relativos a la Violación de datos, sus efectos y las acciones correctivas tomadas, y pondrá dicha documentación a disposición del Cliente y, previa solicitud, de las autoridades de control.

7. Transferencias internacionales de datos

Los Datos personales procesados en virtud de este DPA pueden ser transferidos a, y procesados en, países fuera del Espacio Económico Europeo ("EEE") y el Reino Unido ("RU"). MailLand garantizará que cualquier transferencia de este tipo se lleve a cabo de conformidad con la Legislación de protección de datos aplicable y este sujeta a las garantías adecuadas, de la siguiente manera:

8. Subencargados del tratamiento

El Cliente otorga por la presente una autorización general por escrito para que MailLand contrate Subencargados del tratamiento para procesar Datos personales en relación con la prestación de los Servicios, sujeto a las siguientes condiciones:

1. Lista de subencargados del tratamiento. MailLand mantendrá una lista actualizada de Subencargados del tratamiento, que se establece en el Anexo A a continuación.
2. Notificación previa. MailLand notificará al Cliente con al menos treinta (30) días de antelación cualquier adición o reemplazo previsto de un Subencargado del tratamiento. Dicha notificación incluirá la identidad del Subencargado del tratamiento propuesto, la naturaleza del Procesamiento a realizar y la ubicación del Procesamiento.
3. Derecho de objeción. El Cliente puede oponerse a la designación de un nuevo Subencargado del tratamiento proporcionando a MailLand una notificación escrita de dicha objeción dentro de los treinta (30) días posteriores a la recepción de la notificación. La objeción debe basarse en motivos razonables relacionados con la protección de datos. MailLand hará esfuerzos comercialmente razonables para abordar la objeción del Cliente. Si las partes no pueden resolver la objeción dentro de un plazo razonable, el Cliente puede cancelar los Servicios afectados sin penalización proporcionando una notificación escrita a MailLand.
4. Obligaciones contractuales. MailLand impondrá obligaciones de protección de datos a cada Subencargado del tratamiento mediante un contrato escrito que proporcione, como mínimo, el mismo nivel de protección de los Datos personales que el establecido en este DPA.
5. Responsabilidad. MailLand seguirá siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de cada Subencargado del tratamiento con respecto al Procesamiento de Datos personales.

9. Vigencia y terminación

Este DPA entrara en vigor en la fecha en que el Cliente acepte los Términos de servicio y permanecerá en vigor durante la duración del acuerdo de servicio entre el Cliente y MailLand.

10. Legislación aplicable

Este DPA se regirá e interpretará de conformidad con las leyes que rigen los Términos de servicio, específicamente las leyes de Inglaterra y Gales, y los tribunales de Inglaterra y Gales tendrán jurisdicción exclusiva sobre cualquier controversia derivada de este DPA o relacionada con él, conforme a la Sección 15 de los Términos de servicio.

Sin perjuicio de lo anterior, en la medida en que los asuntos que surjan en virtud de este DPA estén sujetos al RGPD, se aplicarán las leyes del Estado miembro de la UE en el que el Cliente este establecido con respecto a dichos asuntos. En la medida en que los asuntos que surjan en virtud de este DPA estén sujetos al RGPD del RU, se aplicarán las leyes de Inglaterra y Gales con respecto a dichos asuntos.

Cualquier disputa que surja de o en relación con este DPA se resolverá de conformidad con las disposiciones de resolución de disputas establecidas en los Términos de servicio.