Traducción de cortesía. En caso de discrepancia, prevalece la versión en inglés.

Acuerdo de tratamiento de datos de Scholaxy

Versión 1.1 · Fecha de entrada en vigor: 4 de octubre de 2026 · La versión 1.1 añade a Hetzner Online GmbH como Subencargado del Tratamiento para las copias de seguridad externas cifradas (Anexo C).

El presente Acuerdo de Tratamiento de Datos («DPA») se celebra entre SVESHEDUTECH L.L.C-FZ, sociedad de responsabilidad limitada de la Zona Franca de Meydan, licencia comercial n.º 2314401.01, n.º de constitución 2314401, con domicilio social en Meydan Grandstand, piso 6, Meydan Road, Nad Al Sheba, Dubái, Emiratos Árabes Unidos, que opera bajo la marca Scholaxy (el «Proveedor»), y el cliente que ha aceptado los Términos del Servicio de Scholaxy (el «Cliente»). Forma parte del acuerdo entre ambos (el «Acuerdo»). Se aplica sin firma por separado cuando el Cliente acepta los Términos del Servicio, y rige el tratamiento de los Datos Personales del Cliente por parte del Proveedor.

1. Definiciones

1.1 Las expresiones con mayúscula inicial que no se definen en este DPA tienen el significado que se les atribuye en los Términos del Servicio de Scholaxy (los «Términos»).

1.2 «Legislación de Protección de Datos Aplicable» significa todas las leyes sobre protección de datos personales que se aplican al tratamiento de los Datos Personales del Cliente en virtud del Acuerdo. Cuando proceda, incluye el RGPD, el RGPD del Reino Unido y la Ley de Protección de Datos de 2018 del Reino Unido, la Ley Federal suiza de Protección de Datos («FADP») y otras leyes nacionales de protección de datos.

1.3 «RGPD» significa el Reglamento (UE) 2016/679. «RGPD del Reino Unido» significa el RGPD tal como forma parte del Derecho del Reino Unido. «Responsable del tratamiento», «encargado del tratamiento», «interesado», «datos personales», «violación de la seguridad de los datos personales», «tratamiento» y «autoridad de control» tienen el significado que les atribuye el RGPD.

1.4 «Datos Personales del Cliente» significa los datos personales incluidos en los Datos del Cliente que el Proveedor trata por cuenta del Cliente en virtud del Acuerdo, según se describe en el Anexo A.

1.5 «Transferencia Restringida» significa una transferencia de Datos Personales del Cliente, incluso mediante acceso remoto, desde el EEE, el Reino Unido o Suiza a un país o destinatario no amparado por una decisión de adecuación (o su equivalente) conforme a la Legislación de Protección de Datos Aplicable.

1.6 «CCT» significa las cláusulas contractuales tipo que figuran como anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, tal como se completan en el Anexo D.

1.7 «Adenda del Reino Unido» significa la Adenda de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea, emitida por el Comisionado de Información del Reino Unido (versión B1.0, en vigor desde el 21 de marzo de 2022), tal como se completa en el Anexo D.

1.8 «Subencargado del Tratamiento» significa cualquier tercero al que el Proveedor recurra para tratar Datos Personales del Cliente. Los empleados del Proveedor no son Subencargados del Tratamiento.

1.9 «Acceso de Soporte» significa el acceso del personal del Proveedor a la Instalación del Cliente conforme a la sección 7.

2. Ámbito y funciones

2.1 El Cliente es el responsable del tratamiento de los Datos Personales del Cliente, y el Proveedor es su encargado del tratamiento. Si el Cliente trata Datos Personales del Cliente como encargado del tratamiento por cuenta de sus propios clientes, el Cliente garantiza que su responsable del tratamiento ha autorizado las instrucciones del Cliente y la contratación del Proveedor como subencargado del tratamiento. El Cliente sigue siendo el único punto de contacto del Proveedor.

2.2 El Proveedor es responsable independiente del tratamiento de:

• los datos personales de los Representantes del Cliente tratados para la gestión de cuentas, la facturación, el soporte y la aceptación de documentos, según se describe en la Política de Privacidad; y

• los Datos de Uso, en la medida permitida por la sección 9.5 de los Términos.

2.3 El Anexo A establece el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados.

3. Instrucciones y responsabilidades del Cliente

3.1 El Proveedor trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, inclusive con respecto a las Transferencias Restringidas. La excepción es el caso en que el Derecho de la Unión o de los Estados miembros al que esté sujeto el Proveedor exija otro tratamiento. En tal caso, el Proveedor informa al Cliente antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

3.2 Las instrucciones documentadas del Cliente son:

• el Acuerdo;

• la configuración y el uso del Servicio por parte del Cliente, incluidos sus ajustes, las integraciones activadas, las Funciones de IA activadas y las autorizaciones de Acceso de Soporte; y

• cualquier otra instrucción escrita acordada por las partes.

Las instrucciones que excedan el ámbito del Acuerdo requieren la conformidad del Proveedor y pueden dar lugar a tarifas adicionales.

3.3 El Proveedor informará inmediatamente al Cliente si, en su opinión, una instrucción infringe la Legislación de Protección de Datos Aplicable. Podrá suspender el tratamiento afectado hasta que el Cliente confirme o modifique la instrucción.

3.4 El Cliente es responsable de:

• la licitud del tratamiento y de sus instrucciones, incluida la existencia de una base jurídica;

• facilitar a los interesados toda la información exigida, incluida la relativa al Proveedor, sus Subencargados del Tratamiento, las Funciones de IA y las Transferencias Restringidas;

• obtener y registrar cualquier consentimiento exigido, incluido el consentimiento de los padres o tutores de niños conforme al artículo 8 del RGPD, la COPPA y leyes similares;

• la exactitud de los Datos Personales del Cliente; y

• configurar el Servicio (ajustes de conservación, permisos de acceso e integraciones) de forma adecuada para sus fines.

3.5 La sección 10.5 de los Términos regula las categorías especiales de datos personales y los datos relativos a condenas penales.

4. Obligaciones del Proveedor

4.1 Confidencialidad. Las personas autorizadas para tratar los Datos Personales del Cliente están sujetas a obligaciones de confidencialidad adecuadas. Solo acceden a ellos en la medida necesaria para ejecutar el Acuerdo.

4.2 Seguridad. El Proveedor aplica las medidas técnicas y organizativas del Anexo B. Podrá actualizarlas, siempre que no se reduzca el nivel general de protección.

4.3 Asistencia. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Proveedor presta al Cliente una asistencia razonable en relación con sus obligaciones conforme a los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos y las consultas previas. El Proveedor podrá cobrar tarifas razonables por la asistencia que exceda de su documentación estándar.

4.4 Registros. El Proveedor lleva registros de los tratamientos efectuados por cuenta del Cliente, tal como exige el artículo 30(2) del RGPD.

5. Subencargados del Tratamiento

5.1 Autorización. El Cliente otorga una autorización general para que el Proveedor recurra a Subencargados del Tratamiento. Los Subencargados del Tratamiento actuales figuran en el Anexo C.

5.2 Condiciones. El Proveedor celebra un contrato por escrito con cada Subencargado del Tratamiento. El contrato impone obligaciones de protección de datos no menos protectoras que este DPA, en la medida en que sean aplicables a los servicios del Subencargado del Tratamiento. El Proveedor sigue siendo responsable ante el Cliente de sus Subencargados del Tratamiento.

5.3 Notificación. El Proveedor notifica al Cliente con al menos 30 días de antelación la incorporación o sustitución de un Subencargado del Tratamiento. La notificación se realiza por correo electrónico al Titular de la Cuenta y en el Panel.

5.4 Oposición. El Cliente podrá oponerse a un Subencargado del Tratamiento nuevo o sustituto, o a un nuevo país de acceso conforme a la sección 6.3, por motivos razonables y documentados de protección de datos, mediante escrito dirigido a privacy@scholaxy.com dentro del plazo de preaviso. Las partes debatirán la oposición de buena fe. El Proveedor podrá darle solución ofreciendo una alternativa razonable, lo que incluye no utilizar ese Subencargado del Tratamiento o país para los Datos Personales del Cliente, o permitir que el Cliente desactive la función afectada. Si no lo hace, el Cliente podrá dar por terminada la parte afectada del Servicio antes de que el cambio surta efecto y recibir un reembolso conforme a la sección 11.1(c) de la Política de Facturación.

5.5 Sustitución de emergencia. Si un Subencargado del Tratamiento debe ser sustituido con urgencia por motivos de seguridad o de continuidad, el Proveedor podrá dar un preaviso más breve. En tal caso, el derecho de oposición de la sección 5.4 se computa desde la fecha de la notificación.

5.6 Integraciones propias del Cliente. Algunos Servicios de Terceros se conectan con la propia cuenta del Cliente en el proveedor, por ejemplo, su propia cuenta de Stripe, Google o Twilio. Estos no son Subencargados del Tratamiento del Proveedor, y se rigen por el propio contrato del Cliente con el proveedor. Cuando el Proveedor recurre a un proveedor con la propia cuenta del Proveedor para prestar una función opcional, dicho proveedor es un Subencargado del Tratamiento. El Anexo C lo recoge como aplicable únicamente cuando la función está activada.

5.7 Contratistas individuales. Los contratistas individuales se consideran personal del Proveedor, sujetos a la confidencialidad y a las políticas del Proveedor. El Anexo D, Parte 4, enumera sus países de acceso.

6. Ubicación del tratamiento y transferencias internacionales

6.1 Alojamiento. Los Datos Personales del Cliente se almacenan y se tratan en la Instalación del Cliente, que Netcup GmbH aloja en Alemania. Las copias de seguridad se almacenan en Alemania: en los servidores de Netcup GmbH y, como copia externa cifrada, en Hetzner Online GmbH. Actualmente, el Proveedor no opera una segunda región de alojamiento.

6.2 Establecimiento del Proveedor. El Proveedor está establecido en los Emiratos Árabes Unidos. Los EAU no son objeto de una decisión de adecuación de la UE. Por lo tanto, poner los Datos Personales del Cliente a disposición del Proveedor, incluso mediante acceso remoto, constituye una Transferencia Restringida cuando el tratamiento del Cliente esté sujeto al RGPD, al RGPD del Reino Unido o a la FADP.

6.3 Acceso del personal. El personal de soporte y de ingeniería del Proveedor accede a los Datos Personales del Cliente de forma remota desde los Emiratos Árabes Unidos. El Anexo D, Parte 4, enumera los países desde los que puede accederse a los Datos Personales del Cliente. El Proveedor notificará al Cliente con al menos 30 días de antelación la incorporación de cualquier nuevo país de acceso, y el Cliente podrá oponerse conforme a la sección 5.4. El acceso está sujeto a las medidas del Anexo B y del Anexo D, Parte 4.

6.4 Subencargados del Tratamiento en terceros países. Las Transferencias Restringidas a Subencargados del Tratamiento se realizan con arreglo a las CCT (Módulo 3) o a otro mecanismo válido indicado en el Anexo C, como el Marco de Privacidad de Datos UE-EE. UU. cuando el Subencargado del Tratamiento esté certificado.

6.5 CCT. En la medida en que el tratamiento del Cliente esté sujeto al RGPD, al RGPD del Reino Unido o a la FADP, las CCT, la Adenda del Reino Unido y las adaptaciones suizas del Anexo D se incorporan a este DPA. Se aplican a las Transferencias Restringidas del Cliente al Proveedor. La aceptación de los Términos por parte del Cliente constituye la firma de las CCT por ambas partes.

6.6 Cambio de mecanismo. Si un mecanismo de transferencia se modifica, se sustituye o se invalida, las partes cooperarán de buena fe para establecer una alternativa válida. El Proveedor podrá actualizar el Anexo D mediante notificación.

7. Acceso de Soporte a la Instalación

7.1 El personal del Proveedor accede a la Instalación del Cliente con fines de soporte únicamente cuando un Usuario del Personal autorizado concede el acceso de forma expresa a través del Servicio. El acceso se concede para una solicitud de soporte concreta, durante un tiempo limitado, de 48 horas por defecto, y únicamente en la medida en que lo requiera la solicitud.

7.2 Cada sesión de Acceso de Soporte queda registrada. El registro recoge, como mínimo, el miembro del personal, la solicitud y la hora de inicio y de finalización. El registro es visible para el Cliente en su Instalación. Se notifica al Titular de la Cuenta cuando se concede el acceso.

7.3 El Cliente podrá revocar una autorización de Acceso de Soporte en cualquier momento.

7.4 El Proveedor solo podrá acceder a la Instalación sin autorización:

• cuando sea estrictamente necesario para prevenir un incidente de seguridad o una amenaza grave para el Servicio, o para responder a ellos;

• cuando lo exija la ley, con sujeción a la sección 12; o

• para operaciones automatizadas o de infraestructura (copias de seguridad, actualizaciones, migraciones, supervisión) en las que ningún miembro del personal vea Datos Personales del Cliente.

El acceso previsto en los dos primeros puntos se registra y se notifica al Cliente con prontitud, salvo que la ley prohíba la notificación.

8. Funciones de IA y traducción automática

8.1 Las Funciones de IA se ejecutan con la propia cuenta del Cliente en el proveedor de IA que este elija (Términos, sección 12.7). Cuando se utilizan, el Proveedor transmite los datos de entrada pertinentes a dicho proveedor por instrucción del Cliente y devuelve el resultado. Dicho proveedor es un Servicio de Terceros conforme a la sección 5.6, no un Subencargado del Tratamiento. Los datos de entrada incluyen las indicaciones, el historial de la conversación y el contenido del curso u otro contenido necesario para la respuesta. Pueden contener Datos Personales del Cliente, incluidos datos de Usuarios Finales que sean niños.

8.2 El Subencargado del Tratamiento de IA podrá traducir automáticamente los mensajes de soporte del Cliente para que el personal del Proveedor pueda leerlos y responderlos. Este DPA rige dicho tratamiento en la medida en que los mensajes contengan Datos Personales del Cliente.

8.3 El Proveedor no utiliza los Datos Personales del Cliente para entrenar modelos de IA. Para el Asistente de Soporte (sección 8.2), el Proveedor recurre a su Subencargado del Tratamiento de IA únicamente en condiciones que prohíben el entrenamiento con Datos Personales del Cliente y limitan la conservación de los datos de entrada y de los resultados al periodo fijado en dichas condiciones. En el caso de las Funciones de IA, estas cuestiones se rigen por las propias condiciones del Cliente con su proveedor de IA.

8.4 Las Funciones de IA solo están disponibles después de que el Cliente conecte su propia cuenta de proveedor de IA, y el Cliente puede desconectarla en cualquier momento. Cuando la ley lo exija, el Cliente es responsable de informar a los Usuarios Finales de que están interactuando con un sistema de IA.

9. Violaciones de la seguridad de los datos personales

9.1 El Proveedor notifica al Cliente toda violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente, sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de ella.

9.2 La notificación describe, en la medida en que se conozca en ese momento:

• la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados;

• sus posibles consecuencias;

• las medidas adoptadas o propuestas; y

• un punto de contacto.

La información que aún no esté disponible se facilita de manera gradual, sin dilación indebida.

9.3 El Proveedor adopta medidas razonables para contener y remediar la violación. Coopera con la investigación del Cliente y con las notificaciones del Cliente a las autoridades de control y a los interesados. Como responsable del tratamiento, el Cliente decide sobre dichas notificaciones y las realiza. El Proveedor no las realiza en nombre del Cliente, salvo que reciba instrucciones para ello o lo exija la ley.

9.4 Una notificación del Proveedor no constituye un reconocimiento de culpa ni de responsabilidad.

10. Solicitudes de los interesados

10.1 El Servicio dispone de funciones que permiten al Cliente acceder a los Datos Personales del Cliente, rectificarlos, exportarlos y suprimirlos. Cuando el Cliente no pueda atender una solicitud con dichas funciones, el Proveedor presta asistencia adicional razonable, teniendo en cuenta la naturaleza del tratamiento.

10.2 Si un interesado envía directamente al Proveedor una solicitud relativa a Datos Personales del Cliente, el Proveedor la remite al Cliente en un plazo de 5 días hábiles cuando pueda identificar al Cliente. El Proveedor no responde por sí mismo a la solicitud, salvo para remitir al interesado al Cliente, a menos que el Cliente indique otra cosa.

11. Auditorías e información

11.1 Previa solicitud, el Proveedor pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Esto incluye una descripción de sus medidas técnicas y organizativas, las respuestas a un cuestionario de seguridad razonable al año y cualquier certificación o informe de auditoría de que dispongan el Proveedor o su proveedor de alojamiento.

11.2 El Cliente podrá realizar una auditoría si dicha información es insuficiente, si una autoridad de control exige una auditoría o tras una violación de la seguridad de los datos personales. La auditoría podrá realizarla el Cliente o un auditor independiente que esté sujeto a confidencialidad y no sea competidor del Proveedor. Se aplican las siguientes condiciones:

• no más de una vez en cualquier periodo de 12 meses, salvo que lo exija una autoridad de control o la auditoría se realice tras una violación de la seguridad;

• con un preaviso de al menos 30 días;

• en horario laboral, sin perturbaciones irrazonables y, cuando sea posible, a distancia;

• la auditoría no abarca los datos de otros clientes ni las dependencias de los Subencargados del Tratamiento; los Subencargados del Tratamiento demuestran el cumplimiento mediante sus propias certificaciones e informes;

• el Cliente asume sus propios costos y los costos razonables del Proveedor.

11.3 Los resultados de la auditoría son Información Confidencial del Proveedor.

12. Solicitudes de autoridades públicas

12.1 El Proveedor puede recibir de una autoridad pública, incluida una autoridad de un tercer país, una solicitud jurídicamente vinculante de comunicación de Datos Personales del Cliente, o puede tener conocimiento de un acceso directo por parte de dicha autoridad. En tal caso, el Proveedor:

• notificará al Cliente con prontitud, salvo que la ley lo prohíba; si está prohibido, hará todo lo posible para obtener una dispensa;

• examinará la legalidad de la solicitud y la impugnará cuando existan motivos razonables para considerarla ilícita;

• comunicará únicamente los datos mínimos necesarios; y

• documentará la solicitud y su respuesta.

12.2 El Proveedor no ha creado puertas traseras ni mecanismos similares para acceder a los Datos Personales del Cliente, y ninguna ley le exige crearlos ni mantenerlos.

12.3 Previa solicitud, el Proveedor facilitará al Cliente información agregada sobre las solicitudes recibidas en los 12 meses anteriores.

13. Devolución y supresión

13.1 Durante la vigencia del Acuerdo, el Cliente puede exportar y suprimir los Datos Personales del Cliente mediante las funciones del Servicio.

13.2 Los Datos Personales del Cliente se conservan durante 90 días a partir de la fecha en que se bloquea la Instalación por haber finalizado la Prueba o el último Periodo de Suscripción de pago, o por haberse resuelto el Acuerdo (el «Periodo de Conservación»). Una suspensión durante un periodo de pago no inicia el Periodo de Conservación. El Cliente podrá exportar sus datos durante el Periodo de Conservación. Cuando este finaliza, el Proveedor suprime los Datos Personales del Cliente de los sistemas de producción. Las copias de seguridad que los contienen se rotan y se purgan en un plazo adicional de 30 días. El Proveedor podrá conservar los Datos Personales del Cliente durante más tiempo mientras esté pendiente una disputa sobre pagos, una reclamación legal o una investigación relativa a la Instalación, únicamente con ese fin.

13.3 El Cliente ejerce su elección conforme al artículo 28(3)(g) del RGPD exportando los datos durante el Periodo de Conservación. Si no los exporta, ha optado por la supresión. Si el Cliente da instrucciones por escrito al Proveedor para que suprima los Datos Personales del Cliente antes de que finalice el Periodo de Conservación, el Proveedor lo hace en un plazo de 30 días, y las copias de seguridad se purgan en un plazo adicional de 30 días.

13.4 Previa solicitud, el Proveedor facilita una confirmación escrita de la supresión (un certificado de supresión). En ella se identifican la Instalación, la fecha de supresión de los sistemas de producción y la fecha en la que, a más tardar, se purgaron las copias de seguridad.

13.5 El Proveedor podrá conservar los Datos Personales del Cliente cuando así lo exija el Derecho de la Unión o de los Estados miembros. En tal caso, sigue protegiendo los datos conforme a este DPA y solo los trata a efectos de dicha conservación.

14. Responsabilidad

14.1 La responsabilidad de cada parte en virtud de este DPA está sujeta a las exclusiones y limitaciones de los Términos, en la medida en que lo permita la Legislación de Protección de Datos Aplicable. Nada de lo dispuesto en este DPA limita los derechos de los interesados conforme a las CCT o al artículo 82 del RGPD.

15. Leyes de privacidad de los estados de EE. UU.

15.1 Esta sección se aplica cuando la Ley de Privacidad del Consumidor de California (en su versión modificada) u otra ley estatal similar de EE. UU. se aplique a los Datos Personales del Cliente. En tal caso, el Proveedor actúa como «proveedor de servicios» o «encargado del tratamiento». Salvo en la medida en que dichas leyes lo permitan, el Proveedor no:

• venderá ni compartirá Datos Personales del Cliente;

• los conservará, utilizará ni divulgará para ningún fin distinto de la prestación del Servicio, ni fuera de su relación comercial directa con el Cliente; ni

• los combinará con datos personales procedentes de otras fuentes.

El Proveedor notificará al Cliente si ya no puede cumplir estas obligaciones.

16. Duración y prelación

16.1 Este DPA permanece en vigor mientras el Proveedor trate Datos Personales del Cliente, incluso durante el Periodo de Conservación y el periodo de purga de las copias de seguridad.

16.2 En caso de conflicto, las CCT (tal como se completan en el Anexo D) prevalecen sobre este DPA, y este DPA prevalece sobre los Términos.

16.3 Este DPA podrá modificarse conforme a la sección 22 de los Términos. Los cambios exigidos por la Legislación de Protección de Datos Aplicable o por una autoridad de control podrán realizarse mediante notificación.

16.4 Este DPA se rige por la ley elegida en los Términos. Las CCT se rigen por la ley, y se someten al fuero, especificados en el Anexo D.

Anexo A: Descripción del tratamiento (Anexo I.B de las CCT)

Categorías de interesados

• Usuarios Finales del Cliente: estudiantes y futuros estudiantes, entre los que puede haber niños; padres y tutores; participantes en seminarios web; destinatarios de los correos electrónicos y mensajes del Cliente; visitantes del sitio web y de los formularios del Cliente; clientes potenciales y contactos del CRM del Cliente.

• Usuarios del Personal: empleados, profesores, contratistas y demás personal del Cliente que utilizan la Instalación.

• Otras personas cuyos datos personales el Cliente incluya en su contenido, como ponentes invitados.

Categorías de datos personales

• Datos de identificación y de contacto: nombre, dirección de correo electrónico, número de teléfono, nombre de usuario, foto de perfil, idioma, zona horaria.

• Datos de cuenta y de autenticación: hashes de las contraseñas, datos de autenticación en dos pasos, datos de sesión.

• Datos de aprendizaje: inscripciones, progreso, finalización, tareas y entregas, respuestas y resultados de exámenes, calificaciones, certificados, comentarios de los profesores.

• Comunicaciones: mensajes, chats, comentarios, correos electrónicos y SMS enviados a través del Servicio, notificaciones.

• Datos del CRM: origen del cliente potencial, etapa del embudo, notas, etiquetas, historial de comunicaciones.

• Datos de transacciones procedentes del propio proveedor de pagos del Cliente: pedidos, importes, fechas, estado del pago. Sin números completos de tarjeta.

• Datos de seminarios web: asistencia y mensajes de chat; cuando el Cliente activa la grabación, las imágenes y las voces de los participantes.

• Datos de las Funciones de IA: indicaciones, historial de conversaciones, resultados.

• Datos técnicos: direcciones IP, datos del dispositivo y del navegador, registros de actividad, identificadores de cookies establecidos por la Instalación.

• Cualquier otro dato personal que el Cliente decida subir.

Categorías especiales: no son necesarias para el Servicio; véase la sección 10.5 de los Términos.

Naturaleza del tratamiento: alojamiento y almacenamiento; organización y recuperación; presentación a usuarios autorizados; transmisión (correo electrónico, SMS cuando estén activados e integraciones que active el Cliente); tratamiento mediante Funciones de IA; traducción automática de mensajes de soporte; copia de seguridad y restauración; Acceso de Soporte; supresión.

Finalidad: prestación, protección, soporte y mantenimiento del Servicio para el Cliente en virtud del Acuerdo.

Frecuencia: continua durante la vigencia del Acuerdo.

Duración y conservación: la vigencia del Acuerdo, más el Periodo de Conservación de 90 días y el periodo de purga de las copias de seguridad de 30 días (sección 13).

Transferencias a Subencargados del Tratamiento: según lo establecido en el Anexo C, para los fines y durante los periodos allí indicados.

Anexo B: Medidas técnicas y organizativas (Anexo II de las CCT)

1. Aislamiento de inquilinos. Cada Cliente dispone de una Instalación independiente de inquilino único con su propia base de datos.

2. Cifrado. Cada Instalación tiene sus propias claves de cifrado. Todas las conexiones con el Servicio se cifran con TLS.

3. Autenticación del personal. La autenticación en dos pasos es obligatoria para todo el personal del Proveedor.

4. Control del Acceso de Soporte. El personal solo accede a una Instalación con la autorización expresa y limitada en el tiempo del Cliente para una solicitud concreta. Cada acceso queda registrado y es visible para el Cliente, y se notifica al Titular de la Cuenta (sección 7).

5. Registro de accesos. Los accesos a los sistemas de producción y a las Instalaciones quedan registrados.

6. Copias de seguridad. Las copias de seguridad se realizan varias veces al día y están cifradas. Se conserva una copia cifrada en una ubicación externa, en un segundo proveedor en Alemania (Hetzner Online GmbH), que no posee las claves de cifrado. Las restauraciones se prueban periódicamente.

7. Alojamiento. Netcup GmbH aloja las Instalaciones y el Panel en Alemania.

8. Las contraseñas de los usuarios se almacenan como hashes con sal. La limitación de frecuencia de solicitudes y el bloqueo protegen frente a ataques de fuerza bruta. La autenticación en dos pasos está disponible para los Usuarios del Personal del Cliente.

9. Los entornos de desarrollo y de producción están separados. No se utilizan Datos Personales del Cliente en desarrollo ni en pruebas.

10. El código se revisa y se prueba automáticamente antes del despliegue.

Anexo C: Subencargados del Tratamiento (Anexo III de las CCT)

Notas:

• Stripe trata datos de facturación de los Representantes del Cliente, respecto de los cuales el Proveedor es el responsable del tratamiento. Figura en la lista por transparencia. Stripe no procesa los pagos de los Usuarios Finales: los Usuarios Finales pagan al Cliente a través de la propia cuenta de pagos del Cliente.

• Google y Twilio figuran como condicionales. Si el Cliente conecta su propia cuenta, son Servicios de Terceros del Cliente, no Subencargados del Tratamiento (sección 5.6).

Anexo D: Transferencias internacionales

Parte 1: CCT de la UE

1. Módulos. El Módulo Dos (de responsable a encargado) se aplica cuando el Cliente es responsable del tratamiento. El Módulo Tres (de encargado a encargado) se aplica cuando el Cliente es encargado del tratamiento. Los Módulos Uno y Cuatro no se aplican.

2. Partes. El Cliente es el exportador de datos y el Proveedor es el importador de datos (Parte 5).

3. Cláusula 7 (cláusula de incorporación): se aplica.

4. Cláusula 9(a): Opción 2 (autorización general por escrito). El plazo de preaviso es de 30 días (sección 5.3).

5. Cláusula 11(a): no se aplica la redacción opcional relativa a la resolución independiente de litigios.

6. Cláusula 13(a): la autoridad de control competente es:

   • la del Estado miembro en el que esté establecido el exportador de datos; o

   • si el exportador no está establecido en la UE pero ha designado un representante con arreglo al artículo 27(1) del RGPD, la del Estado miembro en el que esté establecido el representante; o

   • en otro caso, la del Estado miembro en el que se encuentren los interesados.

7. Cláusula 17: Opción 1. Las CCT se rigen por el Derecho de Irlanda.

8. Cláusula 18(b): los órganos jurisdiccionales de Irlanda.

9. Remisiones. El Anexo I.A es la Parte 5 siguiente. El Anexo I.B es el Anexo A. El Anexo I.C es el indicado en el punto 6. El Anexo II es el Anexo B. El Anexo III es el Anexo C.

Parte 2: Adenda del Reino Unido. La Adenda del Reino Unido se aplica a las Transferencias Restringidas sujetas al RGPD del Reino Unido:

• Tabla 1: las partes indicadas en la Parte 5;

• Tabla 2: las CCT, con los módulos y cláusulas seleccionados en la Parte 1;

• Tabla 3: la Información del Apéndice según figura en los Anexos A, B y C y en la Parte 5;

• Tabla 4: ninguna de las partes podrá poner fin a la Adenda del Reino Unido con arreglo a su sección 19.

Parte 3: Suiza. En las transferencias sujetas a la FADP, las CCT se aplican con las siguientes adaptaciones:

• el Comisionado Federal de Protección de Datos y de Información es la autoridad de control competente para dichas transferencias;

• las referencias al RGPD se entienden hechas a la FADP; y

• el término «Estado miembro» no impide que los interesados en Suiza ejerciten acciones en el lugar en que tengan su residencia habitual.

Parte 4: Acceso desde terceros países y medidas complementarias

1. Países desde los que los Datos Personales del Cliente pueden ser objeto de acceso o de tratamiento

2. Evaluación de impacto de la transferencia. Antes de que comiencen las Transferencias Restringidas a un país de la lista, el Proveedor realizará y documentará una evaluación de impacto de la transferencia respecto de dicho país. Facilitará al Cliente un resumen previa solicitud.

3. Medidas complementarias, además de las del Anexo B:

• Los Datos Personales del Cliente permanecen almacenados en Alemania. El acceso desde terceros países es exclusivamente remoto, mediante conexiones cifradas y autenticadas con clave (SSH), y los datos no se copian en dispositivos locales.

• Solo tiene acceso el personal designado nominalmente, con 2FA obligatoria, según el principio de mínimo privilegio, y todos los accesos quedan registrados.

• El Acceso de Soporte a las Instalaciones solo se produce con la autorización del Cliente (sección 7).

• Se aplica la política sobre solicitudes de autoridades públicas de la sección 12.

4. Acceso desde estos países.