Acuerdo de tratamiento de datos

Definiciones

• “Leyes de Protección de Datos” son las leyes de protección de datos personales que aplican al tratamiento conforme a este Acuerdo, que pueden incluir el RGPD, el RGPD del Reino Unido, la Ley Federal suiza de Protección de Datos, las leyes estatales de privacidad de Estados Unidos, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México y la LGPD de Brasil.
• “RGPD” es el Reglamento (UE) 2016/679.
• “Datos Personales” son los datos personales incluidos en los Datos del Cliente.
• “Violación de Datos Personales” es una violación de la seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de Datos Personales, o su comunicación o acceso no autorizados.
• “Subencargado” es un tercero que aldo contrata para tratar Datos Personales.
• “Cláusulas Contractuales Tipo” o “CCT” son las cláusulas aprobadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/914.
• “Adenda del Reino Unido” es la Adenda de Transferencia Internacional de Datos a las CCT emitida por el Comisionado de Información del Reino Unido.

Papeles y alcance

El Cliente es el responsable de los Datos Personales y aldo es su encargado. Si el Cliente es a su vez encargado de un tercero, aldo actúa como su subencargado. El Anexo 1 describe el tratamiento.

Este Acuerdo no cubre los datos que aldo trata como responsable, como los datos de cuenta, de facturación, del sitio web y de marketing. El Aviso de privacidad cubre esos datos.

Instrucciones del Cliente

aldo trata los Datos Personales solo según las instrucciones documentadas del Cliente. Los Términos, este Acuerdo y el uso y la configuración del Servicio por parte del Cliente son sus instrucciones completas. aldo informará al Cliente si, en su opinión, una instrucción infringe las Leyes de Protección de Datos.

El Cliente es responsable de contar con una base legal para el tratamiento, de informar a las personas cuyos datos carga y de la exactitud de los Datos Personales.

Obligaciones de aldo

• Confidencialidad. aldo se asegura de que las personas que autoriza para tratar Datos Personales estén sujetas a obligaciones de confidencialidad.
• Seguridad. aldo aplica las medidas técnicas y organizativas que describe el Anexo 2.
• Uso de los datos. aldo no vende Datos Personales y no los usa, conserva ni divulga para ningún fin distinto de prestar el Servicio al Cliente. aldo no usa Datos Personales, ni permite que sus Subencargados los usen, para entrenar modelos de inteligencia artificial.

Subencargados

El Cliente autoriza a aldo a contratar Subencargados. El Anexo 3 enumera las categorías de Subencargados que usa aldo. La lista actual de Subencargados se puede solicitar a compliance@wearealdo.com.

aldo avisará con al menos 30 días de anticipación antes de agregar o sustituir un Subencargado, mediante un correo electrónico a los Dueños de la cuenta. El Cliente puede oponerse dentro de ese plazo por motivos razonables de protección de datos. Si aldo y el Cliente no logran resolver la objeción, el Cliente puede cancelar su suscripción conforme a los Términos.

aldo contrata a cada Subencargado mediante un contrato por escrito con obligaciones de protección de datos no menos protectoras que las de este Acuerdo, y sigue siendo responsable del desempeño de sus Subencargados.

Asistencia

• Solicitudes de las personas. Si aldo recibe una solicitud de una persona sobre Datos Personales, la remitirá al Cliente y no la responderá directamente, salvo para indicar a la persona que se dirija al Cliente. aldo ayudará de forma razonable al Cliente a responder, principalmente mediante las funciones del Servicio.
• Evaluaciones. aldo proporcionará información razonable para ayudar al Cliente a realizar evaluaciones de impacto relativas a la protección de datos y a consultar a las autoridades de control, cuando las Leyes de Protección de Datos lo exijan.

Violaciones de Datos Personales

aldo notificará al Cliente sin dilación indebida después de tener conocimiento de una Violación de Datos Personales. La notificación describirá, en la medida en que se conozcan, la naturaleza de la violación, los datos y las personas afectados, las consecuencias probables y las medidas adoptadas o propuestas. aldo tomará medidas razonables para contener la violación y reducir sus efectos.

Devolución y eliminación

Cuando terminen los Términos, el Cliente puede exportar los Datos del Cliente durante 60 días, como describen los Términos. Después de ese plazo, aldo elimina o anonimiza los Datos Personales en un plazo razonable, salvo que la ley le exija conservarlos. Las copias de respaldo se eliminan en su ciclo ordinario.

Auditorías

aldo pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, como la documentación de seguridad y los resultados de auditorías de terceros, si los hay. Si esa información no es suficiente, o si una autoridad de control lo exige, el Cliente puede realizar una auditoría una vez cada 12 meses. El Cliente debe avisar con al menos 30 días de anticipación, asumir sus costos, mantener la información como confidencial y evitar interrumpir las operaciones de aldo.

Transferencias internacionales

aldo aloja el Servicio en Estados Unidos. Cuando se transfieren Datos Personales desde el Espacio Económico Europeo, el Reino Unido o Suiza a un país sin decisión de adecuación, las partes acuerdan lo siguiente:

• Espacio Económico Europeo. Aplican las CCT, que se incorporan por referencia, en su Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado), según corresponda. Aplica la Cláusula 7. Conforme a la Cláusula 9, aplica la opción 2, con el plazo de aviso de la sección 5. No aplica la redacción opcional de la Cláusula 11. Conforme a las Cláusulas 17 y 18, aplican la ley y los tribunales de Irlanda. Los Anexos 1, 2 y 3 de este Acuerdo completan los Anexos I, II y III de las CCT.
• Reino Unido. Aplica la Adenda del Reino Unido, completada con la información de este Acuerdo. Cualquiera de las partes puede darla por terminada según lo permite su sección 19.
• Suiza. Aplican las CCT con las adaptaciones que exige la ley suiza, con el Comisionado Federal de Protección de Datos e Información como autoridad competente.

Si aldo adopta otro mecanismo de transferencia reconocido por las Leyes de Protección de Datos, como el Marco de Privacidad de Datos UE-EE. UU., puede apoyarse en él en su lugar.

Responsabilidad y orden de prelación

La responsabilidad de cada parte conforme a este Acuerdo está sujeta a los Términos. Si este Acuerdo contradice los Términos, prevalece este Acuerdo. Si las CCT contradicen este Acuerdo o los Términos, prevalecen las CCT.

Vigencia

Este Acuerdo aplica mientras aldo trate Datos Personales por cuenta del Cliente.

Anexo 1: Descripción del tratamiento

• Exportador de datos. El Cliente, como responsable. Contacto: los Dueños de la cuenta.
• Importador de datos. We Are Aldo Inc., como encargado. Contacto: compliance@wearealdo.com.
• Interesados. Los empleados, contratistas y Usuarios del Cliente; las personas nombradas en los Datos del Cliente, como los responsables de indicadores; y las personas cuyos datos provienen de herramientas que el Cliente conecta.
• Categorías de datos. Nombre, correo electrónico de trabajo, puesto, departamento, rol, permisos, fotografía de perfil e identificadores de inicio de sesión; comentarios y otro contenido de los Datos del Cliente; datos importados de herramientas conectadas; registros técnicos y de uso; grabaciones de reportes de problemas.
• Datos sensibles. No se prevé ninguno. El Cliente no debe cargar datos sensibles.
• Frecuencia. Continua, mientras el Cliente usa el Servicio.
• Naturaleza y finalidad. Alojar, almacenar, calcular y mostrar la estrategia y los indicadores del Cliente; sincronizar las herramientas conectadas; dar soporte; y ofrecer funciones que usan inteligencia artificial.
• Duración. La vigencia de los Términos, más el plazo de exportación y eliminación de la sección 8.

Anexo 2: Medidas de seguridad

aldo aplica medidas técnicas y organizativas apropiadas al riesgo, como exige el artículo 32 del RGPD. Estas incluyen medidas para proteger la confidencialidad, la integridad y la disponibilidad de los Datos Personales, el acceso a los Datos del Cliente controlado por roles y permisos, copias de respaldo y un proceso de respuesta a incidentes. aldo revisa estas medidas periódicamente y puede actualizarlas, siempre que no se reduzca el nivel general de protección.

Anexo 3: Subencargados

Categorías de Subencargados y su finalidad:

• Alojamiento e infraestructura en la nube. Alojar el Servicio en Estados Unidos.
• Base de datos y autenticación. Almacenar datos e iniciar la sesión de los Usuarios.
• Envío de correo. Enviar invitaciones, notificaciones y otros correos electrónicos.
• Inteligencia artificial. Ofrecer funciones que usan inteligencia artificial.
• Grabación de pantalla. Grabar reportes de problemas, solo mientras la persona mantiene activa la grabación.
• Analítica. Medir de forma agregada el uso del Servicio.