Anexo de Procesamiento de Datos

Los términos en mayúsculas tienen los significados que se les atribuyen en el GDPR. Los siguientes términos tienen los significados que se indican a continuación.

Este DPA se aplica al procesamiento de Datos Personales del Cliente realizados por upDevTeam LTD en nombre del Cliente en el curso de proporcionar el Servicio.

Las partes reconocen que, con respecto a dicho procesamiento, el Cliente es el Controlador y upDevTeam LTD es el Procesador.

upDevTeam LTD también procesa datos como Controlador en relación con sus propias operaciones comerciales (facturación de cuentas, anti-abuso, marketing). La Política de Privacidad describe ese procesamiento.

upDevTeam LTD deberá:

El Cliente autoriza a upDevTeam LTD a contratar los siguientes Subprocesadores:

Daremos al Cliente un aviso de al menos 30 días antes de agregar o reemplazar un Subprocesador publicando el cambio en godeskflow.com/dpa o enviando un correo electrónico al contacto de la cuenta. Si el Cliente objeta razonablemente por motivos de protección de datos, trabajaremos de buena fe para encontrar una solución; si no se puede llegar a un acuerdo, el Cliente puede rescindir el Servicio afectado por conveniencia.

Seguimos siendo responsables ante el Cliente por los actos y omisiones de nuestros Subprocesadores como si fueran nuestros.

Implementamos y mantenemos medidas técnicas y organizativas apropiadas al riesgo, incluyendo:

Los Datos Personales del Cliente están alojados en el EEE. Cuando la transferencia de los Datos Personales del Cliente fuera del EEE sea necesaria (por ejemplo, cuando esté involucrado un Subprocesador con sede en EE. UU.), las partes incorporan las Cláusulas Contractuales Estándar por referencia, con upDevTeam LTD actuando como 'exportador de datos' para esa transferencia y el Subprocesador como 'importador de datos'.

Cuando el Cliente esté establecido fuera del EEE y los datos personales fluyan de upDevTeam LTD al Cliente, las partes incorporan las SCC (Módulo 4) para la transferencia correspondiente.

Realizamos una evaluación de impacto de la transferencia para cada Subprocesador no perteneciente al EEE y aplicamos medidas suplementarias (cifrado, seudonimización) donde la evaluación las recomiende.

Si recibimos una solicitud de un sujeto de datos respecto a los Datos Personales del Cliente, no responderemos directamente excepto para confirmar la recepción y dirigir al sujeto de datos hacia el Cliente. Pasaremos la solicitud al Cliente sin demora indebida.

Proporcionaremos asistencia razonable al Cliente en la respuesta a solicitudes de acceso, rectificación, supresión, restricción, portabilidad y oposición, teniendo en cuenta la naturaleza del procesamiento y la información disponible para nosotros. En caso de que la solicitud sea excesiva o manifiestamente infundada, podremos cobrar una tarifa razonable.

Notificaremos al Cliente sin demora indebida y, en cualquier caso, dentro de las 72 horas de enterarnos de un incidente de datos personales que afecte a los Datos Personales del Cliente. La notificación incluirá la información requerida por el Artículo 33(3) del RGPD en la medida de lo conocido, con actualizaciones a medida que avance la investigación.

Cooperaremos con el Cliente para contener, investigar y documentar la brecha, y no haremos ninguna declaración pública al respecto sin el consentimiento previo del Cliente, salvo que sea requerido por la ley.

Proporcionamos al Cliente la información necesaria para demostrar el cumplimiento del Artículo 28 del RGPD a través de (a) este DPA, (b) el informe de seguridad disponible a solicitud, y (c) los informes de auditoría de terceros más recientes de Subprocesadores relevantes (por ejemplo, informes SOC 2).

Si el Cliente cree razonablemente que los materiales mencionados en la sección 10.1 son insuficientes, el Cliente puede, a su costo y con al menos 30 días de aviso por escrito, auditar nuestro cumplimiento con este DPA no más de una vez al año (excepto en caso de incumplimiento material), siempre que la auditoría (i) se realice durante el horario laboral normal, (ii) no interrumpa nuestras operaciones, (iii) sea realizada por un auditor independiente sujeto a obligaciones de confidencialidad adecuadas, y (iv) no incluya acceso a instalaciones o datos de otros clientes.

Los informes de auditoría son información confidencial de upDevTeam LTD y solo pueden ser compartidos con reguladores y asesores legales bajo confidencialidad.

Al finalizar el Servicio, nosotros, a elección del Cliente y dentro de los 30 días posteriores a la fecha de finalización, devolveremos todos los Datos Personales del Cliente en un formato electrónico estructurado o lo eliminaremos de forma segura, excepto en la medida en que la retención sea requerida por la ley de la UE o de un estado miembro.

Las copias de seguridad se eliminarán de acuerdo con nuestra retención estándar de copias de seguridad (actualmente 35 días). Las copias de seguridad permanecen protegidas por las medidas de seguridad en la sección 6 hasta que sean sobrescritas.

La responsabilidad que surja bajo este DPA está regida por la sección de limitación de responsabilidad de los Términos del Servicio.

Donde el Artículo 82 del RGPD asigna responsabilidad entre controladores conjuntos, procesadores y subprocesadores, las partes acuerdan seguir esa asignación estatutaria.

Este DPA entra en vigor en la fecha en que el Cliente acepta los Términos del Servicio y continúa mientras upDevTeam LTD procese Datos Personales del Cliente en nombre del Cliente, más cualquier período de supervivencia necesario para cumplir con las obligaciones bajo las secciones 9, 10 y 11.

Este DPA se rige por las leyes de la República de Chipre, salvo que, donde se apliquen las SCC, la ley aplicable identificada en las SCC prevalece para asuntos dentro del alcance de las SCC.

Las notificaciones bajo este DPA deben enviarse a info@godeskflow.com (asuntos de procesamiento de datos) y a info@godeskflow.com (asuntos de sujeto de datos y autoridad supervisora).