Este Anexo sobre el tratamiento de datos personales (este “Anexo”) es parte integrante de los TÉRMINOS Y CONDICIONES GENERALES PARA LA SUSCRIPCIÓN A LOS SERVICIOS SMU OS (los “T&C”), y aplicable a la Suscripción. Los términos capitalizados en este Anexo que no se encontraran definidos, tendrán el significado otorgado a estos en los T&C o en la Suscripción.

1. INTERPRETACIÓN
   1. Las siguientes palabras y frases con letra inicial en mayúscula tendrán los significados que se definen a continuación:

      Cláusulas Contractuales Tipo significa (a) respecto a una Transferencia Restringida sujeta a RGPD, las cláusulas contractuales tipo, establecidas por la Decisión de Ejecución (UE) 2021/914 de la comisión de 4 de junio de 2021 referida a la transferencia de datos a otros países de acuerdo a RGPD, o cualquier versión final posterior de las mismas de acuerdo a lo resuelto por la Comisión Europea, (“EU SCC”), (b) respecto a una Transferencia Restringida sujeto a UK GDPR, el Acuerdo de Transferencia Internacional de Datos adoptado por el Regulador (Information Commissioner) el 21 de marzo de 2022, y sus versiones posteriores emitidas por el Regulador, (“UK IDTA”), (c) respecto a una Transferencia Restringida sujeta a la Ley de Protección de Datos Personales de Argentina, las cláusulas contractuales tipo adoptadas por la Disposición E 60/2016 de la Dirección Nacional de Protección de Datos Personales, y sus versiones posteriores emitidas por el Regulador (“cláusulas contractuales tipo de Argentina”), y (d) respecto a cualquier otra Transferencia Restringida sujeta a alguna otra Legislación de protección de datos, como otras cláusulas contractuales tipo que sean requeridas (“Otras cláusulas de transferencia aplicables”).

      Datos Personales significa la información referida a un Titular del dato que sea tratada por el Encargado bajo instrucción del Cliente en el contexto de la prestación de los Servicios de tratamiento de datos personales.

      Encargado significa la Sociedad.

      Incidente de seguridad significa cualquier violación de seguridad respecto de Datos Personales que lleve a su destrucción, pérdida, alteración, divulgación no autorizada o acceso, ya sea de forma accidental o ilícita.

      Legislación de protección de datos significa las normas vigentes de protección y privacidad de datos personales aplicables y vinculantes para las Partes respecto al tratamiento de los datos personales, incluyendo, el Reglamento General de Protección de Datos 2016/679 (“RGPD”), la Ley de Protección de Datos de UK de 2018 y el Reglamento General de Protección de Datos de UK (“UK GDPR”) y la Ley de Privacidad de los Consumidores de California (“CCPA”), entre otros.

      Regulador significa cualquier organismo regulador responsable de garantizar el cumplimiento de la Legislación de protección de datos.

      Resguardos adecuados significa los mecanismos legalmente aplicables para las Transferencias de Datos Personales que eventualmente pudieran estar permitidos por la Legislación de protección de datos, incluyendo las Cláusulas Contractuales Tipo.

      Responsable significa el Cliente.

      Servicios de tratamiento de datos significa los servicios descritos en el Apéndice 1.

      Sub-Encargado significa cualquier tercero designado por el Encargado para tratar los Datos Personales.

      Transferencia posterior significa la Transferencia de un Destinatario internacional a otro Destinatario internacional.

      Transferencia Restringida significa una transferencia internacional de Datos a un país que no han sido declarados adecuados por el Regulador o que requieran de la implementación de algún tipo de mecanismo de transferencia a fin de cumplir con la Legislación de protección de datos.

   2. En este Anexo, las referencias a “Titular del dato", “Tratamiento”, “Delegado de protección de datos” y “Transferencia” tendrán el mismo significado que el estipulado en la Legislación de protección de datos.
2. OBLIGACIONES DEL RESPONSABLE
   1. El Responsable debe:
      Cumplir con toda la Legislación de protección de datos.

      Instruir al Encargado (y lo autorizará para que éste instruya a cada uno de sus Sub-Encargados aprobados previamente) para que realicen el tratamiento de los Datos Personales.

      Declara y garantiza que está, y estará en todo momento pertinente, debida y efectivamente autorizado para dar la instrucción establecida en la cláusula 2.1(b).

      Declara y garantiza que todos los Datos Personales provistos por el Responsable para el uso en relación con el Apéndice 1 de este Anexo, cumplen en todos los aspectos, incluyendo los términos de su recopilación, almacenamiento y tratamiento, con toda la Legislación de protección de datos.

      Realizar una evaluación sobre el impacto en la protección de Datos Personales de las operaciones de tratamiento que debe realizar el Encargado de acuerdo a lo exigido por la Legislación de protección de datos.

      Realizar las consultas previas requeridas de acuerdo a lo exigido por la Legislación de protección de datos.

      Informar al Encargado, a su leal saber y entender, si alguna divulgación de Datos Personales está restringida de alguna manera (incluyendo, sin carácter limitativo, cualquier restricción de divulgación adicional a los subcontratistas del Responsable y/o cualquier transferencia internacional de los Datos Personales permitida en virtud del presente Anexo).
3. OBLIGACIONES DEL ENCARGADO
   1. El Encargado debe:
      Realizar el tratamiento de los Datos Personales sólo en la medida y en la forma en que fuera necesario para la provisión de los Servicios de tratamiento de datos y de acuerdo con las instrucciones escritas por el Responsable.

      Llevar registros escritos de todas las actividades de tratamiento realizadas en nombre del Responsable como parte de los Servicios de tratamiento de datos, incluyendo:

      nombre y datos de contacto del Encargado y de cada Responsable, o cualquier Filial, en nombre del cual actúe el Encargado.

      si corresponde y estuviera debidamente autorizado por el Responsable en virtud del presente Anexo, las transferencias de Datos Personales a una organización internacional o a otro país, incluyendo la identificación de dicho país u organización internacional, y la documentación de los Resguardos adecuados.

      Cumplir con sus obligaciones como Encargado en virtud de la Legislación de protección de datos, incluyendo cuando sea necesario, la designación de un Delegado de protección de datos.

      Adoptar medidas técnicas y organizativas adecuadas, como mínimo equivalentes a las medidas técnicas y organizativas estipuladas en el Apéndice 2 del presente Anexo.

      Notificar al Responsable sin demora indebida si, según el entendimiento del Encargado, las instrucciones del Responsable violan la Legislación de protección de datos. El Encargado no se verá obligado a cumplir instrucciones del Responsable que entiende que puedan violar la Legislación, mientras lo haya notificado al Responsable, y dicha conducta no le generará obligación de indemnización al Responsable ni será considerada incumplimiento contractual. Toda notificación en este sentido se proporciona como tal y no deberá considerarse asesoramiento jurídico por parte del Encargado.

      Asegurar que sus empleados y contratistas que tengan acceso a los Datos Personales estén sujetos a obligaciones adecuadas de confidencialidad de dichos datos, las cuales deberán ser al menos igual de restrictivas que las contenidas aquí y en las leyes correspondientes. Asimismo, el acceso y el uso de los Datos Personales por parte de empleados y contratistas está permitido únicamente cuando fuese necesario para ejecutar los Servicios de tratamiento de datos.

      Cooperar y asistir al Responsable con el cumplimiento de sus obligaciones en virtud de la Legislación de protección de datos, teniendo en cuenta la naturaleza de los Servicios de tratamiento de datos y la información disponible para el Encargado, incluyendo:

      notificar al Responsable sin demora indebida, respecto de la recepción de cualquier solicitud realizada por un Titular del dato realizada con el fin de ejercer cualquiera de sus derechos conforme a la Legislación de protección de datos. Proporcionando, en la medida en que el Encargado disponga de ésta, información y asistencia suficientes y razonables para cumplir con dichas solicitudes;

      asistir con las obligaciones del Responsable referidas a informar Incidentes de seguridad a los Reguladores y a los Titulares del dato, cuando el Responsable lo solicita. El Encargado no realizará declaración, anuncio o comentario público en relación con cualquier Incidente de seguridad, sin la revisión previa y el consentimiento por escrito del Responsable; y

      contribuir con evaluaciones sobre el impacto de la protección de datos y, cuando corresponda, consultas previas con Reguladores.
   2. El Encargado deberá notificar al Responsable, sin demora indebida y en todo caso dentro de las 72 (setenta y dos) horas, respecto de cualquier Incidente de seguridad. No será necesaria la notificación en los casos en que no sea probable que dicho Incidente de Seguridad constituya un riesgo para los derechos y libertades de los individuos. El Encargado debe proporcionar toda la información relevante respecto a las circunstancias del Incidente, en la medida que la tenga, para que el Responsable pueda cumplir con sus obligaciones de informar al Regulador y notificar a Titulares afectados.
4. AUDITORÍA
   1. Luego de recibir una notificación razonable previa y por escrito de al menos 10 (diez) días hábiles, el Encargado deberá poner a disposición del Responsable (y deberá asegurarse de que así lo hagan todos sus Sub-Encargados) la información que fuera requerida para demostrar el cumplimiento por parte del Encargado con sus obligaciones en virtud de este Anexo y de la Legislación de protección de datos, así como permitir auditorías por parte del Responsable para tal fin, con un pedido razonable sujeto a un máximo de un pedido de auditoría cada 12 meses.
   2. El Encargado deberá proporcionar (o conseguir) acceso a todas las instalaciones, documentos, personal y registros pertinentes durante el horario laboral normal para cada una de las auditorías. Asimismo, deberá proporcionar y conseguir un nivel razonable de cooperación, acceso y asistencia adicional en relación con dicha auditoría.
   3. No será necesario que el Encargado brinde acceso a sus instalaciones o comparta información, para los propósitos relacionados con dicha auditoría:
      A cualquier persona, salvo cuando produzcan evidencia razonable de su identidad y autoridad;

      Fuera del horario laboral normal a dichas instalaciones; o

      A cualquier auditor que no acepte firmar cualquier acuerdo de confidencialidad que sea requerido por el Encargado o que sea competidor del Encargado.
   4. Los términos de este Anexo no serán interpretados, bajo ninguna circunstancia, como la obligación del Encargado de proveer o divulgar al Responsable y/o sus auditores cualquier información que: (a) no esté estrictamente relacionada con los Servicios de tratamiento de datos; (b) esté relacionada a cualquier cliente del Encargado que no sea el Responsable; (c) esté relacionada a los salarios o cualquier otra información referida a los empleados del Encargado o de las Filiales del Encargado; o (d) esté relacionada al costo de la ejecución de servicios que brinde el Encargado.
   5. El Responsable empleará todos los medios razonables para evitar daños, lesiones o perturbaciones (o bien para minimizarlos, en caso de que no pueda evitarlos) en instalaciones, equipos, personal y negocios del Encargado, en el transcurso de dicha auditoría.
   6. Los costos de la auditoría deberán ser soportados por el Responsable. Si como consecuencia del proceso de auditoría se identifican errores o incumplimientos, el Responsable deberá notificar al Encargado y otorgarle un plazo de 30 (treinta) días para subsanar el error o incumplimiento.
5. SUB-ENCARGADOS
   1. El Encargado está autorizado a subcontratar a otras compañías (Sub-Encargados) que asistan a la prestación de los servicios contratados entre las partes. Aquellos Sub-Encargados pueden ser contratados por el Encargado para el cumplimiento de cualquiera de sus obligaciones en virtud del acuerdo pertinente. El listado de Sub-Encargados se encuentra disponible en este link. El Encargado mantendrá el listado de Sub-Encargados actualizados.
   2. El Encargado garantizará que el acceso a los Datos Personales se limite a las personas autorizadas que necesiten acceder a ellos para suministrar los Servicios de tratamiento de datos.
   3. Antes de que cualquier Sub-Encargado realice actividades de tratamiento de Datos Personales, el Encargado deberá firmar un contrato vinculante por escrito con el Sub-Encargado que contenga un nivel sustancialmente similar de obligaciones que surgen de este Anexo. Asimismo, procurará que cada Sub-Encargado cumpla sus obligaciones en virtud del contrato celebrado con estos.
   4. El Encargado seguirá siendo plenamente responsable ante el Responsable en virtud del presente Anexo por todos los actos y omisiones de cada uno de los Sub-Encargados como si fueran propios.
6. TRANSFERENCIAS INTERNACIONALES
   1. El Encargado no transferirá (ni permitirá ninguna Transferencia posterior) ningún Dato Personal a otro país o una organización internacional sin el consentimiento del Responsable.
   2. Por medio de presente, el Responsable otorga su consentimiento para que Encargado transfiera Datos Personales para los Servicios de tratamiento de datos a cualquier receptor internacional, siempre que la Transferencia de Datos Personales por parte del Encargado a un destinatario internacional (incluyendo cualquier Transferencia posterior) cumpla con las siguientes condiciones:
      Se realice según los Resguardos adecuados, y sea conforme a lo establecido en Legislación de protección de datos y este Anexo; y

      Se realice conforme a un contrato escrito, que incluya obligaciones equivalentes a las que aplican al Encargado.
   3. El Encargado podrá transmitir los Datos Personales a sus Filiales, terceros contratados por el Encargado conforme a la Legislación de protección de datos y con relación al propósito del Contrato, y a otros Encargados del mismo Responsable (“Partes Autorizadas”), conforme a las instrucciones otorgadas por el Responsable. En este último caso, el Responsable deberá identificar de manera previa y por escrito la entidad que recibirá los datos, los datos que deben compartirse y las medidas de seguridad que aplican a fin de proceder con la comunicación.
   4. En caso de que el Encargado tenga una obligación legal de transferir Datos Personales de un país a otro, o a una organización internacional, deberá previamente informar al Responsable sobre dicho requisito legal, excepto cuando la normativa aplicable lo prohíba por razones de interés público significativas.
   5. En caso de que haya alguna Transferencia Restringida de Datos Personales, aplicarán los términos establecidos en el Apéndice 3.
7. ELIMINACIÓN DE LOS DATOS
   1. El Encargado eliminará (y se asegurará de que cada uno de sus Sub-Encargados así lo hagan), en la medida que así lo permita la tecnología, todos los Datos Personales en la forma que el Responsable razonablemente solicite al finalizar la prestación de los Servicios de tratamiento de Datos Personales, dentro de los 30 (treinta) días de haber recibido la solicitud del Responsable.
   2. Los requisitos de la cláusula 7.1 no aplicarán en la medida que el Encargado (o cualquiera de sus Sub-Encargados) deba, en virtud de alguna legislación, regulación, reglamentación, orden judicial u otras normas similares aplicables en cualquier jurisdicción pertinente, retener o continuar almacenando los Datos Personales tras la rescisión.
   3. Si así lo solicita el Responsable por escrito, el Encargado deberá proporcionar confirmación escrita del cumplimiento de la cláusula 7.1.