Fecha de entrada en vigor: 29 de julio de 2024

Traducido al español mediante IA el 12 de junio de 2025

Este Anexo de Procesamiento de Datos ("este APD") es un anexo al acuerdo de licencia ("Acuerdo") entre Smart Glazier Software (en adelante "SGS") y el licenciatario ("Cliente") para el uso de los servicios de software de SGS ("Servicios").

1. Definiciones

“Afiliado” significa cualquier entidad que directa o indirectamente controla, está controlada por, o está bajo control común con la entidad en cuestión. “Control”, a efectos de esta definición, significa la propiedad o control directo o indirecto de más del 50% de los intereses de voto de la entidad en cuestión.

“Acuerdo” significa el contrato de licencia firmado entre SGS y el Cliente que otorga al Cliente los derechos de uso de los Servicios.

“Afiliado Autorizado” significa cualquiera de los Afiliados del Cliente que:

• está autorizado a utilizar los Servicios bajo el Acuerdo entre el Cliente y SGS sin firmar su propio contrato de licencia con SGS, y

• califica como Responsable del Tratamiento de Datos Personales Procesados por SGS.

“Controlador” significa la entidad que determina los propósitos y medios del Procesamiento de Datos Personales, e incluye “negocio” según se define en la CCPA.

“Datos del Cliente” significa los datos que son introducidos en los Servicios por el Cliente o cualquier Usuario Final.

“Legislación Aplicable en Materia de Protección de Datos” significa todas las leyes y regulaciones aplicables al Procesamiento de Datos Personales bajo el Acuerdo, incluyendo, en la medida en que sea aplicable, las leyes y regulaciones de la Unión Europea, el Espacio Económico Europeo y sus estados miembros, el Reino Unido y los Estados Unidos, incluyendo:

• “GDPR” significa el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679.

• “UK GDPR” significa la Ley de Protección de Datos del Reino Unido de 2018.

• “Leyes de Protección de Datos de la UE” se refiere a la Directiva 95/46/EC de la UE, tal como se ha transpuesto a la legislación nacional de cada Estado miembro y como se ha modificado, reemplazado o superado con el tiempo, incluyendo por el RGPD y las leyes que implementan o complementan el RGPD.

• “CCPA” se refiere a la Ley de Privacidad del Consumidor de California, Código Civil de Cal. § 1798.100 y siguientes, y sus reglamentos y enmiendas asociadas, incluyendo, cuando entre en vigor, las enmiendas de la Ley de Derechos de Privacidad de California.

• “Leyes de Privacidad de EE. UU.” se refiere al conjunto de leyes de privacidad de otros estados de EE. UU.

“Sujeto de Datos” significa la persona identificada o identificable a la que se refieren los Datos Personales.

“Usuarios finales” significa los usuarios finales del Cliente, como empleados, contratistas u otros, incluyendo terceros, a quienes el Cliente otorga acceso a los Servicios.

“Datos Personales” significa cualquier información que sea Datos del Cliente y que se relacione con:

• una persona natural identificada o identificable; y/o

• una entidad legal identificada o identificable (donde dicha información está protegida de manera similar a los datos personales bajo la Ley Aplicable de Protección de Datos)

“Procesamiento” (incluyendo sus diversas formas) significa cualquier operación o conjunto de operaciones que se realiza sobre Datos Personales, incluyendo almacenar, recopilar, recuperar, utilizar, combinar, borrar y destruir datos personales, y puede involucrar operaciones automatizadas o manuales.

“Procesador” significa la entidad que procesa datos personales en nombre del Controlador e incluye un “proveedor de servicios” según se define en la CCPA.

“Violación de Seguridad” significa cualquier violación no autorizada de la seguridad que conduce a la destrucción accidental o ilegal, pérdida, alteración, divulgación no autorizada o acceso a, Datos Personales.

“Subprocesador” significa cualquier Procesador contratado por SGS.

2. Procesamiento de Datos Personales

Alcance

Este DPA se aplica donde y solo en la medida en que SGS procesa Datos Personales en el curso de proporcionar los Servicios al Cliente y estos Datos Personales están sujetos a la Ley de Protección de Datos Aplicable.

El cliente suscribe este DPA en nombre propio y en nombre y representación de las Afiliadas Autorizadas del Cliente.

Funciones de las Partes

Las partes reconocen y acuerdan que, en lo referente al Procesamiento de Datos Personales, el Cliente es ya sea un Controlador o Procesador de Datos Personales y SGS es un Procesador.

Procesamiento de datos personales del cliente

El cliente deberá asegurarse de que los Usuarios Finales en el uso de los Servicios:

• procesar Datos Personales de acuerdo con los requisitos de la Legislación Aplicable de Protección de Datos. Para evitar dudas, las instrucciones del Cliente para el Procesamiento de Datos Personales deberán cumplir con la Legislación Aplicable de Protección de Datos;

• tener la única responsabilidad sobre la precisión, calidad y legalidad de los Datos Personales y los medios por los cuales el Cliente adquiere los Datos Personales;

• han proporcionado los avisos adecuados y obtenido los consentimientos válidos de los Sujetos de Datos en relación con el Procesamiento (incluida la divulgación) de Datos Personales por parte del Cliente y, según corresponda, para las transferencias transfronterizas de dichos Datos Personales; y

• no deberá, por acción u omisión, hacer que SGS viole alguna Ley de Protección de Datos Aplicable, o avisos proporcionados a o consentimientos obtenidos de los Sujetos de Datos como resultado del Procesamiento de los Datos Personales.

• no revelará ninguna Categoría Especial de Datos Personales, según se define en la Legislación Aplicable de Protección de Datos, a SGS por ningún medio, incluido el ingreso a los Servicios.

Procesamiento de Datos Personales por parte de SGS

SGS tratará los Datos Personales como información confidencial y solo Procesará los Datos Personales:

• para cumplir con sus obligaciones con el Cliente bajo el Acuerdo y este DPA;

• en nombre del Cliente y de acuerdo con las instrucciones documentadas del Cliente; y

• en cumplimiento con la Legislación Aplicable de Protección de Datos.

Naturaleza de los Datos

SGS maneja Datos del Cliente que pueden estar sujetos a las siguientes actividades de procesamiento: (i) almacenamiento y otro procesamiento necesario para proporcionar, mantener y mejorar los Servicios brindados al Cliente; (ii) para proporcionar soporte técnico al Cliente; y (iii) divulgaciones según lo requerido por ley o como se establece en el Acuerdo.

Confidencialidad

SGS deberá asegurarse de que su personal, incluyendo empleados y contratistas, involucrados en el Procesamiento de Datos Personales estén bajo las obligaciones adecuadas de confidencialidad (ya sean contractuales o legales).

Duración del Procesamiento

SGS procesará los Datos Personales por la duración del Acuerdo, a menos que se acuerde lo contrario por escrito o según lo requiera el Acuerdo, este DPA o la Ley Aplicable de Protección de Datos.

3. Subprocesadores

Designación de Subprocesadores

El cliente reconoce y acepta que SGS puede contratar Subprocesadores de terceros en relación con la prestación de los Servicios.

Lista de Subprocesadores Actuales y Notificación de Nuevos Subprocesadores

Los subprocesadores actuales de SGS están listados en la Política de Privacidad de SGS, disponible en https://smartglazier.com/es/politica-de-privacidad/.

SGS deberá notificar al Cliente sobre un nuevo Subprocesador(es) donde sea comercialmente aplicable.

Derecho de objeción para nuevos subprocesadores

El cliente puede objetar el uso de un nuevo Subprocesador por parte de SGS notificando a SGS de manera pronta y por escrito dentro de los diez (10) días hábiles siguientes a la recepción del aviso de SGS de un nuevo Subprocesador, donde sea comercialmente aplicable.

En el caso de que el Cliente se oponga a un nuevo Subprocesador, SGS podrá, a su elección, utilizar esfuerzos razonables para poner a disposición del Cliente un cambio en los Servicios o recomendar un cambio comercialmente razonable en la configuración o uso de los Servicios por parte del Cliente para evitar el Procesamiento de Datos Personales por parte del nuevo Subprocesador sin sobrecargar al Cliente de manera irrazonable.

Si SGS no puede realizar dicho cambio dentro de los 30 días, entonces el Cliente podrá terminar inmediatamente por escrito a SGS el Acuerdo aplicable sin el período de aviso normalmente requerido por el Acuerdo, dicha opción debe tomarse dentro de los 60 días de la objeción del Cliente.

4. Seguridad

SGS mantendrá las medidas técnicas y organizativas apropiadas para proteger los Datos Personales contra Violaciones de Seguridad y para preservar la confidencialidad de los Datos Personales de acuerdo con la política de seguridad de SGS en https://smartglazier.com/es/politica-de-seguridad/.

5. Respuesta ante Brecha de Seguridad

Al tomar conocimiento de una Brecha de Seguridad, SGS notificará al Cliente sin demoras indebidas y proporcionará información oportuna relacionada con la Brecha de Seguridad a medida que se conozca o según sea razonablemente solicitado por el Cliente.

SGS utilizará esfuerzos razonables para identificar la causa de cualquier Violación de Seguridad y sin demoras indebidas tomará las medidas que SGS considere necesarias y razonables para remediar la causa de tal Incidente de Datos Personales en la medida en que la remediación esté dentro del control razonable de SGS.

Las obligaciones aquí presentes no aplicarán a incidentes causados por el Cliente, sus Afiliados Autorizados o los Usuarios Finales. La obligación de SGS de informar o responder a una Violación de Seguridad bajo esta Sección no debe interpretarse como un reconocimiento por parte de SGS de alguna falta o responsabilidad con respecto a la Violación de Seguridad.

6. Cooperación

SGS proporcionará asistencia razonable y oportuna al Cliente (a expensas del Cliente) para permitirle responder a:

(i) cualquier solicitud de un Sujeto de Datos para ejercer cualquiera de sus derechos bajo la Ley Aplicable de Protección de Datos; y

(ii) cualquier otra correspondencia, consulta o queja recibida de un Sujeto de Datos, regulador u otra tercera parte en relación con el procesamiento de Datos Personales. Si se realiza alguna de estas solicitudes, correspondencias, consultas o quejas directamente a SGS, SGS informará prontamente al Cliente, proporcionando todos los detalles.

En la medida en que SGS esté obligado bajo la Ley Aplicable de Protección de Datos, SGS deberá (a expensas del Cliente) proporcionar la información razonablemente solicitada sobre el procesamiento de Datos Personales por parte de SGS bajo el Acuerdo para permitir al Cliente realizar evaluaciones de impacto de protección de datos o consultas previas con las autoridades de protección de datos según lo requiera la ley.

7. Retención y eliminación de datos personales

Si el Cliente termina su contrato con los servicios de SGS, entonces, según el Acuerdo, los datos que hayan recopilado pueden ser retenidos de manera segura a menos que el Cliente solicite por escrito que sean destruidos.

Eliminación o devolución de Datos Personales de la Empresa

Si el Cliente solicita a SGS la eliminación de los datos, incluidos los Datos Personales, entonces SGS eliminará las versiones actuales de los Datos Personales según lo estipulado en el Acuerdo. Este requisito no se aplicará en la medida en que SGS esté obligado por ley aplicable a retener algunos o todos los Datos Personales, o a los Datos Personales que haya archivado en sistemas de respaldo, los cuales SGS mantendrá seguros.

8. Afiliados Autorizados

Relación Contractual

Cada Afiliado Autorizado acuerda estar sujeto a los términos de este DPA y, en la medida que sea aplicable, al Acuerdo. Además, todo acceso y uso de los Servicios por parte de los Afiliados Autorizados debe cumplir con los términos y condiciones del Acuerdo, y cualquier violación de los términos y condiciones del Acuerdo por parte de un Afiliado Autorizado se considerará una violación por parte del Cliente. Para evitar dudas, un Afiliado Autorizado no es y no se convierte en parte del Acuerdo por el hecho de que el Cliente entre en este DPA, y solo es parte del DPA.

Comunicación

El cliente seguirá siendo responsable de coordinar toda comunicación con SGS bajo este DPA y tendrá derecho a realizar y recibir cualquier comunicación en relación con este DPA en nombre de sus Afiliados Autorizados.

Derechos de Afiliados Autorizados

Cuando un Afiliado Autorizado se convierta en parte del DPA con SGS, tendrá derecho, en la medida en que lo requiera la Ley de Protección de Datos Aplicable aplicable, a ejercer los derechos y buscar remedios bajo este DPA, sujeto a lo siguiente:

Salvo donde la Ley de Protección de Datos Aplicable correspondiente requiera que el Afiliado Autorizado ejerza un derecho o busque un remedio bajo este DPA directamente por sí mismo, las partes acuerdan que

• solo el Cliente ejercerá tal derecho o buscará tal remedio en nombre del Afiliado Autorizado, y que

• El Cliente deberá ejercer dichos derechos bajo este DPA de manera conjunta para todos sus Afiliados Autorizados, no de forma separada para cada Afiliado Autorizado individualmente.

Las partes acuerdan que el Cliente deberá, cuando sea posible, combinar cualquier actividad que necesite realizar en nombre de sí mismo y/o diferentes Afiliados Autorizados para limitar cualquier impacto en SGS y sus Subprocesadores.

9. Limitación de Responsabilidad

En la medida permitida bajo la Ley Aplicable de Protección de Datos, la responsabilidad de cada parte y de todas sus Afiliadas que surja de o en relación con este DPA y todos los DPAs entre Afiliadas Autorizadas y SGS, ya sea por contrato, agravio o bajo cualquier otra teoría de responsabilidad, está sujeta a las limitaciones de responsabilidad establecidas en el Acuerdo, y dichas limitaciones se aplican a la responsabilidad agregada de esa parte y todas sus Afiliadas bajo el Acuerdo y todos los DPAs en conjunto.

Para evitar dudas, la responsabilidad total de SGS y sus Afiliadas por todas las reclamaciones del Cliente y todos sus Afiliados Autorizados que surjan de o estén relacionadas con el Acuerdo y cada DPA no se entenderá que se aplique de manera individual y solidaria al Cliente y/o a cualquier Afiliado Autorizado que sea parte contractual de dicho DPA.

10. Transferencias Internacionales de Datos

SGS almacena los datos de los clientes en servidores de alojamiento de SGS ubicados en el Reino Unido, Nueva Zelanda y los Estados Unidos de América (EE. UU.). Los datos de los clientes europeos no se colocarán innecesariamente en servidores de alojamiento de EE. UU.

Las instalaciones de respaldo y recuperación ante desastres son proporcionadas por Subprocesadores que se alinean con la "Decisión de Adecuación" de la Comisión Europea y, si es necesario, están inscritos en la Lista del Marco de Privacidad de Datos, por ejemplo, Google o Microsoft.

Cláusulas de Procesador a Procesador

A efectos de cualquier Cláusula de Procesador a Procesador dentro de la Ley de Protección de Datos Aplicable, el Cliente acepta que es improbable que SGS conozca la identidad de los Controlador(es) del Cliente, ya que SGS no tiene una relación directa con dichos Controlador(es). Por lo tanto, el Cliente cumplirá con todas y cada una de las obligaciones de SGS ante el/los Controlador(es) del Cliente bajo dichas Cláusulas de Procesador a Procesador.

11. Varios

El Acuerdo es el documento principal entre SGS y el Cliente. En caso de cualquier conflicto entre este DPA y el Acuerdo con respecto al Procesamiento de Datos Personales, entonces el DPA tiene prioridad, en todos los demás casos el Acuerdo tiene prioridad a menos que se indique específicamente lo contrario.

Este APD tiene prioridad sobre cualquier adenda de procesamiento de datos anterior. Los términos y condiciones de este APD pueden ser modificados por SGS sin la autorización del Cliente según SGS lo considere necesario, incluyendo para reflejar cambios en las Leyes Aplicables de Protección de Datos o su interpretación.

Este APD se regirá e interpretará de acuerdo con las disposiciones de ley aplicable y jurisdicción establecidas en el Acuerdo, a menos que la Legislación Aplicable de Protección de Datos requiera lo contrario.

En caso de que cualquier disposición de este DPA sea inválida o no aplicable, el resto permanecerá válido y en plena vigencia.