Los términos en mayúsculas utilizados pero no definidos en el presente APD tendrán el significado establecido en el Acuerdo.
- 1. DEFINICIONES
- 1.1 Por «Responsable del tratamiento » se entiende la entidad que, por sí sola, conjuntamente con otras o como Co-Delegado del tratamiento, determina los fines y medios del Tratamiento de la Información Personal.
- 1.2 «Procesador de datos » significa la entidad que procesa la información personal en nombre del controlador de datos.
- 1.3 Por «leyes de protección de datos » se entienden todas las leyes aplicables al tratamiento de la información personal.
- 1.4 «Sujeto de los datos» significa cualquier persona física sobre la que puedan tratarse datos personales en virtud de la presente DPA.
- 1.5 Por «Información Personal » o «Datos Personales» se entenderá los Datos Personales relativos a una persona física identificada o identificable que se faciliten a una Parte en virtud del Acuerdo.
- 1.6 «Proceso » o «Tratamiento» significa cualquier operación o conjunto de operaciones realizadas sobre Datos Personales o sobre conjuntos de Datos Personales, ya sea por medios automatizados o no, como la recogida, registro, organización, estructuración, almacenamiento, adaptación o alteración, recuperación, consulta, utilización, divulgación mediante transmisión, difusión o cualquier otra forma de puesta a disposición, alineación o combinación, restricción, borrado o destrucción de Datos Personales.
- 1.7Por «incidente de seguridad» se entenderá una violación de la seguridad de los Servicios que provoque la destrucción accidental o ilícita, la pérdida, la alteración, la divulgación no autorizada o el acceso no autorizado a Datos Personales transmitidos, almacenados o tratados de otro modo en virtud de la presente APD.
- 2. Relación entre las Partes. Las Partes reconocen que el Revendedor y Aryaka son cada uno un Controlador para efectos del Acuerdo.
Con el fin de cumplir con el Acuerdo, las Partes deben proporcionarse mutuamente Información Personal limitada, como información de contacto comercial.
Las Partes tratarán dicha Información Personal de conformidad con el Acuerdo y el presente APD o de otro modo según lo exijan las Leyes de Protección de Datos aplicables.
De vez en cuando, como se contempla en el Acuerdo, el Revendedor podrá proporcionar a Aryaka información sobre sus clientes con el fin de facilitar la prestación de servicios del Revendedor a dichos clientes.
En esos casos, Aryaka sólo tratará la información personal sobre los clientes del Revendedor siguiendo las instrucciones documentadas del Revendedor.
Cada una de las Partes será la única responsable de cumplir con sus obligaciones en virtud de las Leyes de Protección de Datos aplicables con respecto al Tratamiento de la Información Personal, incluyendo la provisión de cualquier notificación necesaria a, y la obtención de cualquier consentimiento necesario de, los Sujetos de Datos u otros individuos con respecto al Tratamiento de la Información Personal.
Para mayor claridad, Aryaka no retendrá, utilizará o divulgará Información Personal para ningún otro propósito que no sea la prestación de Servicios al Revendedor de conformidad con el Acuerdo, incluyendo, sin limitación, para cualquier propósito comercial que no sea la prestación de dichos Servicios al Revendedor, o según lo requieran las Leyes de Protección de Datos aplicables.
Sin perjuicio de lo anterior, en ningún caso Aryaka venderá o compartirá dicha Información Personal con terceros.
Aryaka certifica que entiende y cumplirá con las restricciones anteriores.
En caso de que Aryaka determine que ya no puede cumplir con sus obligaciones en virtud de las Leyes de Protección de Datos aplicables, informará de inmediato al Revendedor. - 3. Co-Controladores. Cuando las partes actúen como Co-Controladores de Datos, cada parte es un Controlador de Datos independiente y será responsable individualmente y por separado del cumplimiento de las obligaciones que le correspondan como Controlador de Datos en virtud de las Leyes de Protección de Datos.
Cuando actúe como Co-Controlador, cada parte determinará individualmente los fines y medios de su Tratamiento de Datos Personales. - 4. Confidencialidad. Las partes exigirán a su personal que proteja la confidencialidad de la Información Personal.
- 5. Seguridad. Ambas partes mantendrán salvaguardas administrativas, físicas y técnicas razonables diseñadas para proteger la seguridad, confidencialidad e integridad de los Datos Personales en o sobre la Red Aryaka contra pérdida, destrucción, alteración, acceso o divulgación no autorizados, incluyendo las medidas enumeradas en el Apéndice 2.
- 6. Incidente de seguridad. Si cualquiera de las partes experimenta un incidente de seguridad que comprometa los Datos Personales, la parte que experimente el incidente de seguridad lo notificará a la otra parte sin demora indebida y, en cualquier caso, en un plazo de cuarenta y ocho (48) horas, a menos que la ley prohíba lo contrario o una autoridad policial o de control lo ordene.
Teniendo en cuenta la naturaleza del tratamiento y la información disponible sobre el incidente de seguridad, la parte que experimente el incidente de seguridad proporcionará, a petición razonable de la otra parte, asistencia y cooperación razonables a la otra parte con respecto a cualquier notificación que dicha parte esté legalmente obligada a proporcionar a los Titulares de los Datos afectados o a los organismos reguladores con respecto a dicho Incidente de Seguridad.
Las partes se reservan el derecho a cobrar una tarifa razonable a la otra parte por dicha asistencia solicitada, en la medida en que lo permita la legislación aplicable. - 7. Solicitudes de los interesados. Dada la naturaleza del Acuerdo, las partes acuerdan que el Revendedor es la parte apropiada para responder a las Solicitudes de los Interesados.
Aryaka notificará de inmediato al Revendedor, a menos que lo prohíba la legislación aplicable, si Aryaka recibe:
(i) cualquier solicitud de un Sujeto de Datos con respecto a la Información Personal Procesada por Aryaka, incluyendo pero no limitado a solicitudes de exclusión voluntaria, solicitudes de acceso y/o rectificación, bloqueo, eliminación, solicitudes de portabilidad de datos, y todas las solicitudes similares, y no responderá a ninguna de dichas solicitudes a menos que el Revendedor lo autorice expresamente; o
(ii) cualquier reclamación relativa al Tratamiento por parte de Aryaka de Datos Personales, incluidas las alegaciones de que dicho Tratamiento infringe los derechos de un Titular de los Datos.
El Revendedor es responsable de responder a las solicitudes del Titular de los Datos.
A petición del Revendedor y teniendo en cuenta la naturaleza del tratamiento, Aryaka ayudará al Revendedor mediante las medidas técnicas y organizativas apropiadas, en la medida en que esto sea posible, para el cumplimiento de las obligaciones que el Revendedor pueda tener en virtud de las Leyes de Protección de Datos aplicables para responder a dichas solicitudes del Titular de los Datos.
Aryaka se reserva el derecho a cobrar una tarifa razonable al Revendedor por dicha asistencia solicitada, en la medida en que lo permita la legislación aplicable. - 8. Subprocesadores. Ambas partes acuerdan que la otra parte podrá revelar Información Personal a sus Procesadores y subcontratistas con el fin de prestar Servicios en virtud del Acuerdo («Subprocesadores»), siempre que ambas partes impongan a sus Subprocesadores obligaciones sustancialmente similares en materia de seguridad y confidencialidad de la Información Personal a las establecidas en el presente APD.
Previa solicitud, ambas partes (a) pondrán a disposición una lista de sus Subprocesadores y proporcionarán un mecanismo para recibir notificación de cualquier cambio en esta lista.
Ambas partes serán responsables de los actos u omisiones de cualquier Subprocesador en la misma medida que si los actos u omisiones fueran realizados por la entidad que contrató al Subprocesador. - 9. Ubicación de los datos. En relación con la ejecución del Acuerdo, cualquiera de las partes podrá transferir Datos Personales a diversas ubicaciones, que pueden incluir ubicaciones tanto dentro como fuera del Reino Unido («RU»), el Espacio Económico Europeo («EEE») o Suiza.
En la medida en que dicha transferencia implique una transferencia de Información Personal originada en el Reino Unido, EEE o Suiza a una ubicación en países fuera del Reino Unido, EEE o Suiza que no hayan recibido una decisión de adecuación vinculante, las Partes acuerdan que cuando las partes actúen como Co-Controladores, se aplicarán a dicha transferencia las Cláusulas Contractuales Tipo de la Unión Europea (Controlador a Controlador), adjuntas aquí en el Apéndice 1, y dicha transferencia se describe en el Anexo 1.
Cuando la relación entre las partes sea la de Responsable a Encargado del Tratamiento, se aplicarán a dicha transferencia las Cláusulas Contractuales Tipo de la Unión Europea (Responsable a Encargado del Tratamiento), adjuntas al presente en el Apéndice 2, y dicha transferencia se describe en el Anexo 1. - 10. Auditoría. A petición de cualquiera de las partes, la otra parte pondrá a su disposición hasta una vez al año (a) una copia de una evaluación de terceros, como un informe de Controles de Organización de Servicios 1, Tipo 2 o un informe comparable ( » Informe de Terceros » ) , si se ha obtenido dicho Informe de Terceros o (b) si la parte no ha obtenido un Informe de Terceros, proporcionará respuestas a cualquier pregunta por escrito que se presente razonablemente con el fin de verificar el cumplimiento de este Acuerdo ( «Respuestas Escritas») .
Dichos Informes de Terceros y Respuestas Escritas serán información confidencial de la parte que los presente y no podrán divulgarse sin el consentimiento previo por escrito de dicha parte, salvo que así lo exija la ley.
Si una parte responde a la solicitud de la otra parte proporcionando Respuestas Escritas en lugar de un Informe de Terceros, y la parte solicitante determina razonablemente tras la recepción de las Respuestas Escritas que se requiere una evaluación adicional por ley, la parte solicitante podrá solicitar, previo aviso con 30 días de antelación, llevar a cabo una revisión por cuenta propia, con un alcance que será acordado mutuamente por las partes, de las políticas pertinentes, procedimientos y documentación relacionada de los Servicios, en la medida en que dicha revisión no comprometa las obligaciones de confidencialidad a cualquiera de los otros Revendedores de Aryaka.
El Revendedor tendrá derecho a detener y tomar medidas razonables para remediar cualquier uso no autorizado de la información personal. - 11. Devolución o eliminación. Previa solicitud a la conclusión del Acuerdo, cualquiera de las partes eliminará sin demora los Datos Personales de sus sistemas, a menos que la legislación aplicable exija el almacenamiento de los Datos Personales.
Apéndice 1 Cláusulas Contractuales Tipo (2021) Controlador a Controlador incorporadas por referencia a esta DPA y accesibles aquí: www.aryaka.com/SCC2021-Controller-to-Controller/
ANEXOIA. LISTA DE LASPARTESExportador(es) de datos: El exportador de datos es: Revendedor, tal como se define en el Acuerdo [Identidad y datos de contacto del exportador o exportadores de datos y, en su caso, de su responsable de protección de datos y/o representante en la Unión Europea].
Nombre: Véase el formulario de pedido entre el revendedor y Aryaka
Dirección: Véase el formulario de pedido entre el revendedor y Aryaka
Nombre, cargo y datos de contacto de la persona de contacto: Véase el formulario de pedido entre el revendedor y Aryaka
Actividades relevantes para los datos transferidos bajo estas Cláusulas: Véase el Acuerdo entre el Revendedor y Aryaka
Función (controlador/procesador): Controlador
Importador(es) de datos: El importador de datos es: Aryaka. Identidad y datos de contacto del importador o importadores de datos, incluida cualquier persona de contacto responsable de la protección de datos
Nombre: Aryaka Networks, Inc.
Dirección: 1850 Gateway Drive, Suite 500, San Mateo, CA 94404 EE.UU.
Nombre, cargo y datos de contacto de la persona de contacto: Edward Frye, CISCO/IT, [email protected]
Actividades relevantes para los datos transferidos bajo estas Cláusulas: Véase el Acuerdo entre el Revendedor y Aryaka
Función (controlador/procesador): Controlador
B. DESCRIPCIÓN DE LA TRANSFERENCIA
Categorías de interesados cuyos datos personales se transfieren
Contactos comerciales en el distribuidor y en Aryaka.
Categorías de datos personales transferidosInformación de contacto comercial, como nombre, cargo, dirección de correo electrónico, números de teléfono, dirección física.
Los datos sensibles transferidos (si procede) y las restricciones o salvaguardias aplicadas que tengan plenamente en cuenta la naturaleza de los datos y los riesgos que entrañan, como por ejemplo una estricta limitación de la finalidad, restricciones de acceso (incluido el acceso sólo del personal que haya seguido una formación especializada), mantenimiento de un registro de acceso a los datos, restricciones para las transferencias ulteriores o medidas de seguridad adicionales.
Ninguno
La frecuencia de la transferencia (por ejemplo, si los datos se transfieren de forma puntual o continua).
Según sea necesario para prestar los Servicios previstos en el Acuerdo y mantener la relación comercial.
Naturaleza del tratamientoAryaka procesará la Información Personal según sea necesario para cumplir con la prestación de los Servicios de conformidad con el Acuerdo.
Finalidad(es) de la transferencia de datos y del tratamiento posterior
Transferencia a las oficinas comerciales de Aryaka situadas fuera del Reino Unido, EEE o Suiza.
Aryaka procesará la Información Personal según sea necesario para cumplir con la prestación de los Servicios de conformidad con el Acuerdo.
El período durante el cual se conservarán los datos personales o, si esto no fuera posible, los criterios utilizados para determinar dicho período
| Tipo | Número de años retenidos |
|---|---|
| Registros de ventas | 5 años |
| Facturas | 7 años |
| Libro Mayor | Permanente |
Para las transferencias a (sub)procesadores, especifique también el objeto, la naturaleza y la duración del procesamiento Los siguientes subprocesadores pueden ser desplegados para los siguientes servicios/en los siguientes lugares de procesamiento:
Salesforce:Uso:
Gestión de relaciones con los clientes Lugar de residencia de la instancia: Estados Unidos Accedido por el personal de Aryaka desde: Estados Unidos, India, Alemania, Reino Unido, Canadá, Australia, Japón, Países Bajos, Corea del Sur y Suiza. NetSuite:
Utilice: Contabilidad Lugar de residencia de la instancia: Estados Unidos Accedido por el personal de Aryaka desde: Estados Unidos e India
Zuora: Uso:
Facturación Lugar de residencia de la instancia: Estados Unidos Accedido por el personal de Aryaka desde: Estados Unidos e India
Marketo:Uso:
Marketing y mensajería Ubicación donde reside la instancia:
Estados Unidos Accedido por personal de Aryaka desde:
Estados Unidos, Reino Unido e India C. AUTORIDAD DESUPERVISIÓN COMPETENTEIdentifique la autoridad o autoridades de supervisión competentes de conformidad con la cláusula 13 La Oficina del Comisionado de Información del Reino Unido.
Apéndice 2 Cláusulas Contractuales Tipo (2021) Controlador a Controlador incorporadas por referencia a esta DPA y accesibles aquí: www.aryaka.com/SCC2021-Controller-to-Controller/
ANEXO I
A. LISTA DE LAS PARTES
Exportador(es) de datos: El exportador de datos es: Revendedor, tal y como se define en el Acuerdo [Identidad y datos de contacto del exportador o exportadores de datos y, en su caso, de su responsable de protección de datos y/o representante en la Unión Europea].
Nombre: Véase el formulario de pedido entre el revendedor y Aryaka
Dirección: Véase el formulario de pedido entre el revendedor y Aryaka
Nombre, cargo y datos de contacto de la persona de contacto: Véase el formulario de pedido entre el revendedor y Aryaka
Actividades relevantes para los datos transferidos bajo estas Cláusulas: Véase el Acuerdo entre el Revendedor y Aryaka
Función (controlador/procesador): Procesador
Importador(es) de datos: El importador de datos es: Aryaka. Identidad y datos de contacto del importador o importadores de datos, incluida cualquier persona de contacto responsable de la protección de datos
Nombre: Aryaka Networks, Inc.
Dirección: 1850 Gateway Drive, Suite 500, San Mateo, CA 94404 EE.UU.
Nombre, cargo y datos de contacto de la persona de contacto: Edward Frye, CISCO/IT, [email protected]
Actividades relevantes para los datos transferidos bajo estas Cláusulas: … Ver Acuerdo entre el Revendedor y Aryaka
Función (controlador/procesador): Procesador
B. DESCRIPCIÓN DE LA TRANSFERENCIA
Categorías de interesados cuyos datos personales se transfieren
Información del Cliente del Revendedor según sea necesario para prestar los Servicios, incluida la prestación de asistencia al cliente.
Categorías de datos personales transferidosInformación de contacto comercial, como nombre, cargo, dirección de correo electrónico, números de teléfono, dirección física.
Los datos sensibles transferidos (si procede) y las restricciones o salvaguardias aplicadas que tengan plenamente en cuenta la naturaleza de los datos y los riesgos que entrañan, como por ejemplo una estricta limitación de la finalidad, restricciones de acceso (incluido el acceso sólo del personal que haya seguido una formación especializada), mantenimiento de un registro de acceso a los datos, restricciones para las transferencias ulteriores o medidas de seguridad adicionales.
Ninguno
La frecuencia de la transferencia (por ejemplo, si los datos se transfieren de forma puntual o continua).
Según sea necesario para prestar los Servicios previstos en el Acuerdo y mantener la relación comercial.
Naturaleza del tratamientoAryaka procesará la Información Personal según sea necesario para cumplir con la prestación de los Servicios de conformidad con el Acuerdo.
Finalidad(es) de la transferencia de datos y del tratamiento posterior
Transferencia a las oficinas comerciales de Aryaka situadas fuera del Reino Unido, EEE o Suiza.
Aryaka procesará la Información Personal según sea necesario para cumplir con la prestación de los Servicios de conformidad con el Acuerdo.
El período durante el cual se conservarán los datos personales o, si esto no fuera posible, los criterios utilizados para determinar dicho período
| Tipo | Número de años retenidos |
|---|---|
| Registros de ventas | 5 años |
| Facturas | 7 años |
| Libro Mayor | Permanente |
Para las transferencias a (sub)procesadores, especifique también el objeto, la naturaleza y la duración del procesamiento Los siguientes subprocesadores pueden ser desplegados para los siguientes servicios/en los siguientes lugares de procesamiento:
Salesforce:Uso:
Gestión de relaciones con los clientes Lugar de residencia de la instancia: Estados Unidos Accedido por el personal de Aryaka desde: Estados Unidos, India, Alemania, Reino Unido, Canadá, Australia, Japón, Países Bajos, Corea del Sur y Suiza. NetSuite:
Utilice: Contabilidad Lugar de residencia de la instancia: Estados Unidos Accedido por el personal de Aryaka desde: Estados Unidos e India
Zuora: Uso:
Facturación Lugar de residencia de la instancia: Estados Unidos Accedido por el personal de Aryaka desde: Estados Unidos e India
Marketo:Uso:
Marketing y mensajería Ubicación donde reside la instancia:
Estados Unidos Accedido por personal de Aryaka desde:
Estados Unidos, Reino Unido e India C. AUTORIDAD DESUPERVISIÓN COMPETENTEIdentifique la autoridad o autoridades de supervisión competentes de conformidad con la cláusula 13 La Oficina del Comisionado de Información del Reino Unido.
Normas de seguridad
Descripción de las medidas de seguridad técnicas y organizativas aplicadas por el importador de datos de conformidad con las cláusulas 4(d) y 5(c) (o documento/legislación adjunta): Las partes mantienen diversas políticas, normas y procesos diseñados para asegurar la Información Personal y otros Datos Personales.
A continuación se describen algunas de las principales medidas de seguridad técnicas y organizativas aplicadas por ambas partes.
Controles de acceso físico
Medidas diseñadas para evitar que personas no autorizadas accedan físicamente a las ubicaciones físicas que albergan equipos de procesamiento de datos utilizados para procesar Datos Personales.
Controles técnicos de acceso
Medidas diseñadas para evitar que personas no autorizadas accedan a los sistemas de procesamiento de datos de la parte, incluyendo:
- Protección DDoS híbrida que integra detección y mitigación (en las instalaciones o en la nube) con prevención volumétrica de ataques DDoS basada en la nube, y soporte 24×7 del Equipo de Respuesta ante Emergencias (ERT); y
- Seguridad en el borde de la red que proporciona soluciones avanzadas de seguridad perimetral integradas en el dispositivo SD-WAN del distribuidor.
Controles de acceso a los datos
Medidas para restringir el acceso a su sistema de procesamiento de datos a las personas que necesitan dicho acceso dentro del ámbito y en la medida cubiertos por su respectivo permiso de acceso (autorización) y toma medidas para evitar que los Datos Personales sean leídos, copiados o modificados o eliminados sin autorización.
Controles de entrada
Medidas destinadas a impedir que los Datos Personales sean leídos, copiados, alterados o borrados por personas no autorizadas durante su transmisión.
Controles de trabajo
Medidas diseñadas para garantizar que los Datos Personales que se procesan se procesan únicamente de conformidad con el Acuerdo.
Controles de disponibilidad
Medidas diseñadas para proteger los Datos Personales contra la divulgación, la destrucción accidental o no autorizada o la pérdida.
