Anexo de Procesamiento de Datos
Este Anexo de Procesamiento de Datos (“Anexo”) se celebra entre el Cliente identificado en el Acuerdo y Blerify Inc., una corporación de Delaware (“Blerify”), y forma parte del Acuerdo entre las partes. Este Anexo regula el Procesamiento de los Datos Personales del Cliente por parte de Blerify en nombre del Cliente en el curso de la prestación de los Servicios, y tiene como finalidad asegurar que dicho Procesamiento se lleve a cabo de conformidad con las Leyes de Protección de Datos aplicables.
Este Anexo aplicará en la medida en que Blerify procese Datos Personales del Cliente en nombre del Cliente como Encargado del Tratamiento, Subencargado o Proveedor de Servicios conforme a la ley aplicable. En caso de conflicto entre los términos de este Anexo y el Acuerdo, los términos de este Anexo prevalecerán en la medida del conflicto en relación con asuntos de protección de datos.
1. Definiciones
Para los efectos de este Anexo de Procesamiento de Datos, los siguientes términos tendrán los significados establecidos a continuación. Los términos en mayúscula no definidos en este Anexo tendrán el significado que se les asigna en el Acuerdo.
1.1. “Acuerdo” significa el acuerdo principal de servicios, términos de servicio o cualquier otro acuerdo vinculante entre el Cliente y Blerify que rige la prestación de los Servicios.
1.2. “Datos Personales del Cliente” significa cualquier Dato Personal que sea Procesado por Blerify en nombre del Cliente en relación con los Servicios.
1.3. “Leyes de Protección de Datos” significa todas las leyes y regulaciones aplicables de protección de datos y privacidad a las que están sujetos los Datos Personales del Cliente, incluyendo, entre otras:
(i) el Reglamento General de Protección de Datos (UE) 2016/679 (“GDPR”);
(ii) las leyes de protección de datos aplicables de los Estados Unidos, incluyendo la Ley de Privacidad del Consumidor de California (“CCPA”) y leyes estatales similares;
(iii) la Ley 81 de 2019 de la República de Panamá; y
(iv) cualquier otra legislación aplicable que rija la protección de Datos Personales en cualquier jurisdicción relevante.
1.4. “Titular de los Datos” significa la persona natural identificada o identificable a la que se refieren los Datos Personales del Cliente.
1.5. “Datos Personales” significa cualquier información relacionada con una persona natural identificada o identificable, según se define en las Leyes de Protección de Datos aplicables.
1.6. “Procesamiento” significa cualquier operación o conjunto de operaciones realizadas sobre Datos Personales, ya sea por medios automatizados o no, tales como recopilación, registro, organización, estructuración, almacenamiento, adaptación, recuperación, consulta, uso, divulgación, difusión, alineación, restricción, eliminación o destrucción.
1.7. “Responsable” (también denominado “Responsable del Tratamiento” o “Parte Responsable”) significa la persona natural o jurídica que, sola o conjuntamente con otros, determina los fines y medios del Procesamiento de Datos Personales.
1.8. “Encargado” (también denominado “Encargado del Tratamiento” o “Gestor de Datos”) significa la persona natural o jurídica que procesa Datos Personales en nombre del Responsable.
1.9. “Subencargado” significa cualquier tercero (incluyendo una afiliada de Blerify) designado por o en nombre de Blerify para Procesar Datos Personales del Cliente en relación con la prestación de los Servicios.
1.10. “Transferencia Transfronteriza” significa la transferencia de Datos Personales a cualquier país o territorio fuera de la jurisdicción en la que los Datos Personales fueron originalmente recopilados, incluyendo transferencias a países que pueden no contar con un nivel adecuado de protección de datos según lo determinado por las Leyes de Protección de Datos aplicables.
1.11. “Servicios” significa los servicios y productos proporcionados por Blerify bajo el Acuerdo, incluyendo plataformas web, APIs, bibliotecas para desarrolladores y otra infraestructura digital que interactúa con wallets de identidad, credenciales verificables, Puntos de Verificación, notificaciones digitales, cupones u otros sistemas relacionados.
2. Roles de las Partes
2.1. Roles y Responsabilidades. Para los efectos de este Anexo y de las Leyes de Protección de Datos aplicables, el Cliente actúa como Responsable del Tratamiento (o término equivalente conforme a la ley aplicable), y Blerify actúa como Encargado del Tratamiento en relación con los Datos Personales del Cliente procesados a través de los Servicios. El Cliente es el único responsable de garantizar que su recopilación y uso de los Datos Personales del Cliente cumpla con las Leyes de Protección de Datos aplicables, incluyendo la determinación de los fines y medios de dicho Procesamiento.
2.2. Instrucciones del Cliente. Blerify procesará los Datos Personales del Cliente únicamente conforme a instrucciones documentadas del Cliente, incluyendo en lo relativo a transferencias transfronterizas, salvo que la ley aplicable requiera lo contrario. En tales casos, Blerify informará al Cliente del requisito legal antes del Procesamiento, a menos que dicha ley prohíba dicha notificación por razones importantes de interés público.
2.3. Obligaciones del Cliente. El Cliente deberá:
(a) asegurar que cuenta con una base legal válida para el Procesamiento de los Datos Personales del Cliente y que ha proporcionado todos los avisos necesarios u obtenido todos los consentimientos necesarios (cuando aplique);
(b) no instruir a Blerify a procesar Datos Personales del Cliente de manera que viole la ley aplicable;
(c) ser responsable de la exactitud, calidad y legalidad de los Datos Personales del Cliente y de los medios por los cuales fueron obtenidos; y
(d) asegurar que su uso de los Servicios cumple con todas las leyes y regulaciones aplicables.
3. Confidencialidad
3.1. Obligaciones de Confidencialidad. Blerify deberá asegurar que cualquier persona que autorice para Procesar Datos Personales del Cliente (incluyendo su personal, agentes y Subencargados) esté sujeta a una obligación adecuada de confidencialidad—ya sea contractual o legal—y esté debidamente capacitada en sus obligaciones de protección de datos.
3.2. No Divulgación No Autorizada. Blerify no divulgará Datos Personales del Cliente a ningún tercero excepto según lo permitido expresamente en este Anexo, el Acuerdo o cuando sea requerido por la ley aplicable. Si Blerify está obligada por ley, orden judicial o autoridad regulatoria a divulgar Datos Personales del Cliente, deberá (salvo prohibición legal) informar previamente al Cliente y cooperar razonablemente para permitir que el Cliente impugne o limite la divulgación.
3.3. Protección de Información Confidencial del Cliente. Además de sus obligaciones respecto a los Datos Personales del Cliente, Blerify tratará toda otra información confidencial del Cliente con el mismo grado de cuidado que utiliza para proteger su propia información confidencial, y en ningún caso con menos que un cuidado razonable.
4. Seguridad
4.1. Medidas Técnicas y Organizativas. Blerify deberá implementar y mantener medidas técnicas y organizativas apropiadas diseñadas para proteger los Datos Personales del Cliente contra el Procesamiento no autorizado o ilegal y contra la pérdida, destrucción o daño accidental, de conformidad con las Leyes de Protección de Datos aplicables. Estas medidas deberán incluir, como mínimo, controles de acceso, cifrado en reposo y en tránsito, evaluaciones periódicas de vulnerabilidades y prácticas seguras de desarrollo de software.
4.2. Responsabilidad del Cliente. El Cliente es responsable de determinar de manera independiente si los Servicios cumplen con sus obligaciones legales y regulatorias y sus políticas internas. El Cliente deberá implementar y mantener salvaguardas apropiadas para el uso de los Servicios, incluyendo asegurar una configuración segura, controles de acceso y una adecuada gestión de claves o credenciales por su parte.
4.3. No Evaluación de los Datos del Cliente. Blerify no accede ni monitorea el contenido de los Datos Personales del Cliente alojados o transmitidos a través de los Servicios, salvo que sea estrictamente necesario para proporcionar soporte o cumplir con la ley. Por lo tanto, Blerify no será responsable de determinar si dicho contenido está sujeto a obligaciones legales o regulatorias específicas (por ejemplo, HIPAA, FERPA, PCI DSS, etc.) que puedan aplicar al negocio del Cliente.
4.4. Certificaciones y Auditorías. Blerify puede mantener certificaciones o informes de terceros (por ejemplo, ISO/IEC 27001, SOC 2) como evidencia de sus prácticas de seguridad. A solicitud razonable, Blerify proporcionará al Cliente una copia de su informe de auditoría resumido más reciente o certificación relevante a los Servicios.
5. Subprocesamiento
5.1. Autorización para usar Subencargados. El Cliente autoriza a Blerify a contratar proveedores de servicios de terceros (“Subencargados”) para Procesar Datos Personales del Cliente en relación con la prestación de los Servicios. Los Subencargados pueden incluir, sin limitación, proveedores de infraestructura, alojamiento en la nube, analítica y soporte técnico.
5.2. Obligaciones de los Subencargados. Blerify deberá celebrar acuerdos por escrito con cada Subencargado que impongan obligaciones de protección de datos sustancialmente similares a las establecidas en este Anexo. Blerify seguirá siendo responsable del desempeño de sus Subencargados.
5.3. Lista de Subencargados y Actualizaciones. A solicitud por escrito, Blerify proporcionará al Cliente una lista actualizada de los Subencargados involucrados en el Procesamiento de los Datos Personales del Cliente. Blerify podrá actualizar esta lista de vez en cuando. En caso de un cambio material, Blerify notificará al Cliente con antelación razonable (por correo electrónico u otros medios) y le dará la oportunidad de objetar por motivos razonables de protección de datos.
5.4. Objeción a Nuevos Subencargados. Si el Cliente tiene una objeción razonable a un nuevo Subencargado basada en preocupaciones de protección de datos, y dichas preocupaciones no pueden resolverse mediante discusiones de buena fe entre las partes, el Cliente podrá terminar los Servicios aplicables únicamente respecto de aquellas funcionalidades materialmente afectadas por el cambio, mediante notificación por escrito a Blerify.
6. Transferencias Internacionales de Datos
6.1. Mecanismo de Transferencia de Datos. El Cliente reconoce y acepta que Blerify puede transferir y procesar Datos Personales del Cliente fuera del país en el que fueron recopilados, incluyendo a países que pueden no proporcionar un nivel equivalente de protección de datos conforme a las Leyes de Protección de Datos aplicables de la jurisdicción de origen. Blerify asegurará que todas dichas transferencias cumplan con las leyes aplicables y estén sujetas a salvaguardas apropiadas.
6.2. Salvaguardas para Transferencias Transfronterizas. Cuando sea requerido por las Leyes de Protección de Datos aplicables (incluyendo, cuando corresponda, el GDPR o la Ley 81 de 2019 de Panamá), Blerify implementará salvaguardas apropiadas para transferencias internacionales, que pueden incluir:
(a) la celebración de Cláusulas Contractuales Tipo o mecanismos contractuales equivalentes;
(b) transferencias a jurisdicciones reconocidas como que proporcionan un nivel adecuado de protección; o
(c) la utilización de cualquier otra base legal permitida bajo la ley aplicable.
6.3. Cumplimiento General. Blerify se compromete a asegurar que todas las transferencias internacionales de Datos Personales del Cliente se realicen de conformidad con los principios de legalidad, transparencia, limitación de la finalidad y minimización de datos, y con la debida consideración a la confidencialidad, integridad y disponibilidad de los datos.
7. Medidas de Seguridad
7.1. Medidas Técnicas y Organizativas. Blerify deberá implementar y mantener medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente contra el procesamiento no autorizado o ilegal y contra la pérdida, destrucción o daño accidental. Estas medidas deberán ser consistentes con las mejores prácticas de la industria y tener en cuenta el estado de la técnica, los costos de implementación, la naturaleza, alcance, contexto y fines del procesamiento, y los riesgos para los derechos y libertades de las personas.
7.2. Cifrado y Control de Acceso. Blerify aplica cifrado en reposo y en tránsito para todos los Datos Personales del Cliente alojados en su infraestructura, y asegura que el acceso a dichos datos esté restringido únicamente a personal autorizado, siguiendo el principio de privilegio mínimo.
7.3. Responsabilidades del Cliente. El Cliente es el único responsable de:
(a) determinar la idoneidad de los Servicios para sus necesidades de procesamiento de datos y obligaciones de cumplimiento;
(b) configurar los Servicios de manera segura, incluyendo la gestión de controles de acceso;
(c) implementar políticas apropiadas de respaldo, recuperación y retención dentro de su uso de los Servicios; y
(d) asegurar que sus propios usuarios y personal operen en cumplimiento con las Leyes de Protección de Datos aplicables.
7.4. Obligaciones de Confidencialidad. Blerify asegura que todo el personal autorizado para procesar Datos Personales del Cliente esté sujeto a obligaciones de confidencialidad y reciba capacitación adecuada en protección de datos y seguridad de la información.
7.5. Revisiones de Seguridad. A solicitud razonable, y sujeto a obligaciones razonables de confidencialidad, Blerify proporcionará al Cliente información relevante para demostrar el cumplimiento de esta Sección, que puede incluir certificaciones de seguridad, resúmenes de auditoría o documentación relevante.
8. Subprocesamiento
8.1. Autorización para usar Subencargados. El Cliente otorga por la presente a Blerify una autorización general por escrito para contratar Subencargados para el Procesamiento de Datos Personales del Cliente según sea necesario para proporcionar los Servicios.
8.2. Obligaciones de los Subencargados. Blerify deberá asegurar que cualquier Subencargado esté sujeto a un acuerdo por escrito que imponga obligaciones de protección de datos sustancialmente equivalentes a las establecidas en este Anexo, de conformidad con las Leyes de Protección de Datos aplicables.
8.3. Lista de Subencargados y Cambios. A solicitud por escrito del Cliente, Blerify proporcionará una lista actualizada de Subencargados. Blerify notificará al Cliente con antelación sobre cualquier incorporación o reemplazo, otorgando al Cliente la oportunidad de objetar dentro de treinta (30) días.
8.4. Subencargados Actuales. Sin limitar lo anterior, el Cliente reconoce y acepta que Blerify puede utilizar proveedores confiables de infraestructura y servicios de terceros, como servicios de computación en la nube y alojamiento de bases de datos, tales como Amazon Web Services (AWS), Google Cloud Platform (GCP), Firebase u otros similares.
9. Derechos de los Titulares de los Datos
En la medida requerida por las Leyes de Protección de Datos aplicables, el Encargado proporcionará asistencia razonable al Responsable, a costo del Responsable y previa solicitud por escrito, para permitirle cumplir con su obligación de responder a solicitudes de los Titulares de los Datos que ejerzan sus derechos, incluyendo acceso, rectificación, supresión, restricción, oposición, portabilidad y el derecho a no ser objeto de decisiones automatizadas.
El Encargado no responderá directamente a ninguna solicitud de un Titular de los Datos salvo instrucción escrita del Responsable o cuando lo exija la ley aplicable. Si el Encargado recibe una solicitud directamente, deberá notificar prontamente al Responsable y esperar instrucciones adicionales, salvo prohibición legal.
El Responsable es el único responsable de asegurar mecanismos adecuados y bases legales para cumplir con estas solicitudes.
10. Violación de Datos Personales
En caso de una Violación de Datos Personales, Blerify deberá:
(a) Notificar al Responsable sin demora indebida y en todo caso dentro de las 72 horas desde que tenga conocimiento;
(b) Proporcionar información relevante, incluyendo:
- naturaleza de la violación
- número de afectados
- consecuencias probables
- medidas adoptadas
(c) Asistir al Responsable en sus obligaciones legales de notificación;
(d) Mantener registros internos de las violaciones.
Blerify no será responsable por retrasos causados por información de contacto incorrecta del Cliente.
11. Términos Generales
11.1. La responsabilidad total acumulada de cada parte, incluyendo sus Afiliadas, que surja de o en conexión con este Anexo—ya sea en contrato, responsabilidad extracontractual o bajo cualquier otra teoría de responsabilidad—estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el/los Acuerdo(s). Cualquier referencia a la responsabilidad de una parte en dichas secciones incluirá a sus Afiliadas y aplicará a este Anexo en la máxima medida permitida por la ley aplicable, incluyendo las leyes de protección de datos.
11.2. Ninguna modificación, enmienda o renuncia de cualquier disposición de este Anexo será efectiva a menos que se realice por escrito y esté firmada por representantes debidamente autorizados de ambas partes.
11.3. Cualquier ambigüedad en la interpretación de este Anexo se resolverá de manera que permita a las partes cumplir con las leyes de protección de datos aplicables, incluyendo el GDPR, las regulaciones de protección de datos de los Estados Unidos, la Ley 81 de 2019 de Panamá y otras leyes relevantes según corresponda.
11.4. Este Anexo constituye el acuerdo completo entre las partes con respecto al objeto del mismo y sustituye cualquier entendimiento o acuerdo previo o contemporáneo, ya sea oral o escrito, relacionado con el procesamiento y protección de Datos Personales. Todos los demás términos del/los Acuerdo(s) que no sean expresamente modificados por este Anexo permanecerán en pleno vigor y efecto, incluyendo, sin limitación, disposiciones sobre ley aplicable, jurisdicción, resolución de disputas y limitación de responsabilidad, siempre que no contradigan requisitos obligatorios de las leyes de protección de datos aplicables.
11.5. Si alguna disposición de este Anexo es considerada inválida o inaplicable, las disposiciones restantes permanecerán en pleno vigor y efecto. La disposición inválida o inaplicable será reemplazada por una disposición válida que refleje lo mejor posible la intención de las partes y cumpla con la ley aplicable.
11.6. Si el Encargado determina que ya no puede cumplir con sus obligaciones bajo este Anexo o las leyes de protección de datos aplicables, deberá notificarlo prontamente al Responsable y cesar las actividades de Procesamiento relevantes o implementar medidas apropiadas para asegurar el cumplimiento, según lo acordado mutuamente.
11.7. Cualquier notificación requerida bajo este Anexo deberá proporcionarse de conformidad con las disposiciones de notificación del/los Acuerdo(s). Una copia de dicha notificación (solo para fines informativos) también deberá enviarse a: [email protected]
