1. Definiciones
A los efectos de este Acuerdo de Procesamiento de Datos:
- "Datos Personales" designa cualquier información relativa a una persona física identificada o identificable, según se define en el Artículo 4(1) del GDPR
- "Tratamiento" designa cualquier operación realizada sobre Datos Personales, incluyendo recopilación, almacenamiento, uso, divulgación o eliminación, según se define en el Artículo 4(2) del GDPR
- "Responsable del tratamiento" designa al cliente que determina los fines y medios del Tratamiento de Datos Personales
- "Encargado del tratamiento" designa a Morlivo, que trata Datos Personales en nombre del Responsable del tratamiento
- "Subencargado" designa a cualquier tercero contratado por el Encargado del tratamiento para tratar Datos Personales en nombre del Responsable del tratamiento
- "Interesado" designa a una persona física identificada o identificable cuyos Datos Personales son tratados
2. Detalles del Procesamiento
El Encargado del tratamiento tratará los Datos Personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, incluso en lo que respecta a las transferencias de Datos Personales a un tercer país, a menos que esté obligado a hacerlo por el Derecho de la Unión o de los Estados miembros al que esté sujeto el Encargado del tratamiento.
Los detalles del procesamiento son los siguientes:
- Objeto: Prestación de servicios de traducción, transcripción y procesamiento lingüístico
- Duración: Durante la vigencia del acuerdo de servicio subyacente
- Naturaleza y finalidad: Procesamiento del Contenido del Cliente para ofrecer traducciones, transcripciones y servicios lingüísticos relacionados
- Categorías de interesados: Usuarios finales e individuos cuyos datos están contenidos en el Contenido del Cliente
- Tipos de datos personales: Nombres, información de contacto y cualquier otro dato personal contenido en los materiales enviados para su procesamiento
3. Medidas de Seguridad
El Encargado del tratamiento implementará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el Artículo 32 del GDPR. Estas medidas incluyen:
- Cifrado de Datos Personales en reposo (AES-256) y en tránsito (TLS 1.2+)
- Capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia continuas de los sistemas y servicios de procesamiento
- Capacidad para restaurar la disponibilidad y el acceso a los Datos Personales de manera oportuna en caso de un incidente físico o técnico
- Pruebas, evaluaciones y valoraciones periódicas de la eficacia de las medidas técnicas y organizativas
- Seudonimización de Datos Personales cuando sea técnicamente viable y apropiado
- Controles de acceso estrictos basados en el principio de mínimo privilegio
- Registro de auditoría exhaustivo y monitoreo del acceso a datos
El Encargado del tratamiento se asegurará de que las personas autorizadas para tratar Datos Personales se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal apropiada de confidencialidad.
4. Subencargados
El Responsable del tratamiento proporciona autorización general al Encargado del tratamiento para contratar Subencargados. El Encargado del tratamiento mantendrá una lista actualizada de Subencargados y la pondrá a disposición del Responsable del tratamiento cuando se solicite. La lista actual de Subencargados se publica en nuestra página de Política de Privacidad.
El Encargado del tratamiento informará al Responsable del tratamiento sobre cualquier cambio previsto en relación con la adición o sustitución de Subencargados, dando al Responsable del tratamiento una oportunidad razonable para oponerse a dichos cambios. Cuando el Encargado del tratamiento contrate a un Subencargado, el Encargado del tratamiento impondrá a dicho Subencargado, mediante contrato, las mismas obligaciones de protección de datos establecidas en este DPA.
El Encargado del tratamiento seguirá siendo plenamente responsable ante el Responsable del tratamiento por el cumplimiento de las obligaciones de cualquier Subencargado en virtud de este DPA.
5. Derechos del Interesado
El Encargado del tratamiento asistirá al Responsable del tratamiento en el cumplimiento de su obligación de responder a las solicitudes de los Interesados que ejerzan sus derechos en virtud del Capítulo III del GDPR, incluyendo:
- Derecho de acceso (Artículo 15)
- Derecho de rectificación (Artículo 16)
- Derecho de supresión (Artículo 17)
- Derecho a la limitación del tratamiento (Artículo 18)
- Derecho a la portabilidad de los datos (Artículo 20)
- Derecho de oposición (Artículo 21)
Si el Encargado del tratamiento recibe una solicitud directamente de un Interesado, el Encargado del tratamiento reenviará la solicitud al Responsable del tratamiento sin demora y no responderá directamente al Interesado a menos que esté autorizado por el Responsable del tratamiento.
6. Transferencias Internacionales
El Encargado del tratamiento no transferirá Datos Personales a un tercer país u organización internacional a menos que existan las salvaguardas apropiadas según lo requerido por el Capítulo V del GDPR. Los mecanismos de transferencia aprobados incluyen:
- Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea (Decisión de Ejecución de la Comisión (UE) 2021/914)
- Decisiones de adecuación en virtud del Artículo 45 del GDPR
- Normas Corporativas Vinculantes aprobadas por una autoridad de supervisión competente
Los clientes empresariales pueden configurar ajustes de residencia de datos para restringir el procesamiento y almacenamiento de Datos Personales a regiones geográficas específicas (UE, EE. UU. o APAC), minimizando la necesidad de transferencias transfronterizas.
7. Notificación de Violación de Datos
El Encargado del tratamiento notificará al Responsable del tratamiento sin demora indebida y, en cualquier caso, a más tardar cuarenta y ocho (48) horas después de tener conocimiento de una violación de Datos Personales, según se define en el Artículo 4(12) del GDPR.
La notificación incluirá:
- Una descripción de la naturaleza de la violación de Datos Personales, incluyendo las categorías y el número aproximado de Interesados y registros afectados
- El nombre y los datos de contacto del punto de contacto de protección de datos del Encargado del tratamiento
- Una descripción de las posibles consecuencias de la violación
- Una descripción de las medidas adoptadas o propuestas para abordar la violación, incluidas las medidas para mitigar sus efectos adversos
8. Auditorías e Inspecciones
El Encargado del tratamiento pondrá a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Artículo 28 del GDPR. El Encargado del tratamiento permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Responsable del tratamiento o un auditor designado por el Responsable del tratamiento, con sujeción a un aviso previo razonable y obligaciones de confidencialidad.
9. Vigencia y Eliminación de Datos
Este DPA permanecerá vigente durante la duración del acuerdo de servicio subyacente. Al finalizar el acuerdo de servicio, el Encargado del tratamiento, a elección del Responsable del tratamiento, eliminará o devolverá todos los Datos Personales y eliminará las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija la conservación de los Datos Personales. El Encargado del tratamiento certificará por escrito que ha cumplido con esta obligación a solicitud del Responsable del tratamiento.