Anexo de Procesamiento de Datos del Cliente

Este DPA es parte del Acuerdo Maestro en la Nube (“MCA”) o Términos de Servicio (“ToS”) de Magma para clientes seleccionados. Si tienes una Orden ejecutada que referencia nuestro MCA (o si tu contrato firmado o Términos de Servicio incorpora este DPA por referencia), este DPA se aplica en la medida en que procesemos Datos Personales en tu nombre. Al comprar o continuar usando los servicios empresariales de Magma, aceptas este DPA, que complementa nuestro MCA (o Términos aplicables).

SECCIÓN A – TÉRMINOS CLAVE

SECCIÓN B – TÉRMINOS LEGALES

1. Propósito y Alcance

1.1 Conformidad con la Ley de Protección de Datos. Este DPA tiene como objetivo asegurar el cumplimiento de cualquier ley o regulación aplicable de protección o privacidad de datos, incluyendo Reglamento de la UE 2016/679 (GDPR), UK GDPR, La Ley de Protección de Datos Federal Suiza (FADP), leyes de privacidad estatales de EE.UU. (por ejemplo, CCPA/CPRA, así como otros estados con requisitos sustancialmente similares), y cualquier ley equivalente o sucesora (colectivamente, “Leyes de Protección de Datos”).

1.2 Aplicabilidad. Este DPA solo se aplica en la medida en que Magma procese Datos Personales en nombre del Cliente bajo el Acuerdo Maestro en la Nube de Magma (“MCA”) o un acuerdo equivalente firmado que haga referencia a este DPA. Complementa el Acuerdo Base. En caso de conflicto, este DPA prevalece a menos que se indique lo contrario por escrito.

1.3 Garantías del Cliente. El Cliente es responsable de asegurar que tiene la base legal (por ejemplo, consentimiento, interés legítimo) para recopilar y procesar Datos Personales. El Cliente garantiza que ha proporcionado los avisos necesarios a los sujetos de datos (o “consumidores” bajo la ley de EE.UU.), ha obtenido cualquier consentimiento requerido, y no viola los derechos de terceros o la ley aplicable al proporcionar los datos a Magma.

2. Interpretación

2.1 Los términos como “Controlador,” “Procesador,” “Datos Personales,” “Procesamiento,” “Sub-procesador,” y “Sujeto de Datos” tienen los significados que se dan en el GDPR y definiciones análogas bajo otras Leyes de Protección de Datos.

2.2 Bajo leyes de privacidad estatales de EE.UU., como CCPA/CPRA, “Negocio,” “Proveedor de Servicios,” “Vender,” “Compartir,” “Consumidor,” y “Información Personal” tienen los significados de esos estatutos, en la medida en que tales leyes apliquen.

2.3 En caso de cualquier inconsistencia entre este DPA y los requisitos obligatorios de la Ley de Protección de Datos, estos últimos prevalecerán.

3. Descripción del Procesamiento

3.1 Detalles del Procesamiento. La naturaleza, categorías, duración y propósitos del procesamiento, y los tipos de Datos Personales, se establecen en Sección A (Términos Clave) y el Acuerdo Base.

3.2 Responsabilidad del Controlador. El Cliente debe asegurarse de que los Datos Personales sean relevantes, precisos y limitados a lo necesario para los propósitos previstos. Magma no será responsable de revisar la legalidad de los Datos Personales en sí mismos.

4. Obligaciones de las Partes

4.1 Instrucciones y Limitación de Propósitos

• Magma procesará los Datos Personales solamente de acuerdo con las instrucciones documentadas del Cliente, incluidas las de este DPA y el Acuerdo Base, a menos que sea requerido por la ley.

• Magma informará prontamente al Cliente si cree que una instrucción viola cualquier Ley de Protección de Datos.

4.2 Borrado o Devolución de Datos

• Al finalizar el Acuerdo Base o a petición del Cliente, Magma borrará o devolverá todos los Datos Personales y certificará dicho borrado, a menos que se requiera una retención adicional por ley.

• El Cliente debe exportar o recuperar datos antes del fin del Acuerdo Base si desea conservar una copia.

4.3 Seguridad del Procesamiento

• Magma implementa medidas técnicas y organizativas para proteger los Datos Personales, descritas en Sección C (TOMs) a continuación.

• En caso de una brecha de datos personales, Magma deberá notificar al Cliente sin demoras indebidas (y en cualquier caso dentro de las 72 horas de tomar conocimiento), proporcionando detalles conocidos para permitir que el Cliente cumpla con las obligaciones de notificación de la brecha.

• Magma asegura que el personal autorizado para procesar Datos Personales ha asumido compromisos de confidencialidad.

4.4 Documentación y Cumplimiento

• Las Partes deberán mantener registros necesarios para demostrar el cumplimiento con este DPA.

• Magma colaborará con las solicitudes razonables del Cliente para información que confirme el cumplimiento de Magma.

4.5 Uso de Sub-procesadores

• Autorización General: El Cliente autoriza a Magma a involucrar a Sub-procesadores listados en la Sección A o publicados en línea en la lista de Sub-procesadores de Magma.

• Cambios: Magma informará al Cliente al menos 15 días antes de agregar o reemplazar cualquier Sub-procesador, proporcionando al Cliente la oportunidad de oponerse por escrito (sin razón indebida).

• Responsabilidad: Magma sigue siendo totalmente responsable del desempeño de los Sub-procesadores de las obligaciones bajo este DPA.

• Los Sub-procesadores deben estar sujetos a términos al menos tan protectores como este DPA.

4.6 Transferencias Internacionales

• Magma (y sus Sub-procesadores) pueden procesar Datos Personales fuera de la UE/EEE/Suiza/Reino Unido, siempre que dicho procesamiento cumpla con la Ley de Protección de Datos.

• Si es requerido, las Cláusulas Contractuales Estándar, Marco de Privacidad de Datos u otro mecanismo de transferencia legal se aplicarán.

• En caso de que cualquier mecanismo de transferencia legal sea invalidado, las Partes cooperarán de buena fe para adoptar un mecanismo alternativo conforme.

5. Derechos de los Sujetos de Datos

5.1 Gestión de Solicitudes: Si Magma recibe una Solicitud de Sujeto de Datos (por ejemplo, acceso, rectificación, borrado, portabilidad) directamente, Magma la remitirá pronto al Cliente y esperará instrucciones (a menos que esté prohibido por ley).

5.2 Asistencia: Magma razonablemente asistirá al Cliente en el cumplimiento de solicitudes de sujetos de datos y otras obligaciones (por ejemplo, evaluaciones de impacto de protección de datos, notificaciones de brecha) en la medida en que Magma tenga la información o capacidades relevantes.

6. Notificación de Brechas de Datos Personales

• Magma informará al Cliente sin demoras indebidas (dentro de las 72 horas de tomar conocimiento) de una brecha de datos personales que involucre Datos Personales del Cliente, incluyendo detalles sobre la naturaleza de la brecha, categorías de datos afectados y medidas tomadas o propuestas.

• Magma cooperará con los esfuerzos del Cliente para notificar a las autoridades de supervisión o individuos impactados, como lo requiere la ley.

7. Informes de Seguridad e Inspecciones

7.1 Compartición de Información: A solicitud por escrito, Magma proporcionará copias de certificaciones o documentación relevante (por ejemplo, resúmenes de auditorías de terceros) suficiente para demostrar el cumplimiento con este DPA.

7.2 Auditorías:

• Después de una brecha de datos personales confirmada o si es requerido por una autoridad de protección de datos, el Cliente puede, a sus propias expensas, llevar a cabo una auditoría razonable de los sistemas o registros relevantes de Magma.

• El alcance, tiempo y duración de cualquier auditoría deben acordarse de antemano, con al menos 30 días de aviso.

• Las auditorías no deben interrumpir injustificadamente las operaciones de Magma y están sujetas a obligaciones de confidencialidad.

7.3 Esta Sección satisface cualquier obligación de auditoría bajo las Cláusulas Contractuales Estándar de la UE, Cláusula 8.9 o disposiciones equivalentes bajo otros marcos de transferencia de datos.

8. LEYES DE PRIVACIDAD ESTATALES DE EE.UU. (POR EJEMPLO, CCPA/CPRA)

8.1 Relación de Proveedor de Servicios: En la medida en que los Datos Personales del Cliente estén sujetos a la Ley de Privacidad del Consumidor de California (como enmendada por la Ley de Derechos de Privacidad de California, colectivamente “CCPA”), o cualquier ley estatal de privacidad análoga de EE.UU., Magma actúa como “Proveedor de Servicios” (o “Procesador” si esa ley usa terminología similar al RGPD), y el Cliente es el “Negocio.”

8.2 Sin Venta ni Compartición: Magma no Venderá ni Compartirá (como estos términos se definen en la ley de privacidad de EE.UU. aplicable) cualquier Dato Personal del Cliente ni de otro modo recopilará, retendrá, usará o divulgará dichos datos para ningún propósito que no sea para los propósitos comerciales específicos de prestar los Servicios bajo el Acuerdo Base o según lo requiera la ley. Magma no recibe ni procesa ningún Dato Personal del Cliente como “consideración valiosa.”

8.3 Solicitudes de Sujetos de Datos (CCPA): En la medida en que Magma asista en la respuesta a solicitudes de consumidores (por ejemplo, derecho a saber, eliminar, optar por no vender/compartir), Magma lo hará solo bajo las instrucciones del Cliente o según lo requiera la ley.

8.4 Certificación: Magma certifica que comprende y cumplirá con las restricciones y obligaciones bajo las leyes de privacidad aplicables de EE.UU. respecto a su rol como Proveedor de Servicios y no utilizará Datos Personales del Cliente para publicidad conductual cruzada contextual o para cualquier otro propósito fuera del alcance del Acuerdo Base y este DPA.

9. Terminación

• Este DPA finaliza en el momento posterior a (i) la terminación o expiración del Acuerdo Base; o (ii) la finalización del procesamiento de datos personales de Magma bajo las instrucciones del Cliente.

• Si Magma no puede cumplir con este DPA por alguna razón, lo informará prontamente al Cliente, y el Cliente puede suspender o terminar el procesamiento relevante o el Acuerdo Base si la brecha no puede ser remediada.

10. Responsabilidad e Indemnización

10.1 Limitaciones de Responsabilidad: Toda responsabilidad que surja de o esté relacionada con este DPA está sujeta a las limitaciones/exclusiones establecidas en el Acuerdo Base, a menos que sea mandado de otra manera por las Leyes de Protección de Datos (incluidas las leyes de privacidad estatales de EE.UU.).

10.2 Responsabilidad Directa: Donde la ley impone responsabilidad directa a un Procesador/Proveedor de Servicios (Magma), nada en este DPA restringe las responsabilidades o responsabilidad de Magma a los sujetos de datos/consumidores. Sin embargo, la responsabilidad contractual entre Magma y el Cliente continúa sujeta a las limitaciones del Acuerdo Base.

SECCIÓN C – MEDIDAS TÉCNICAS Y ORGANIZATIVAS (TOMs)

Magma implementa las siguientes medidas (entre otras) para asegurar un nivel de seguridad apropiado a los riesgos potenciales:

1. Gestión de Seguridad y Políticas

   • Una política de seguridad documentada que aborda roles, responsabilidades y procedimientos para el manejo de datos.

   • Proceso de gestión de cambios definido que rastrea modificaciones a los sistemas.

2. Controles de Acceso y Autenticación

   • Cuentas de usuario únicas, políticas estrictas de contraseñas (complejidad, rotación).

   • Principio de “necesidad de saber” para conceder o revocar accesos.

   • Transmisión cifrada de credenciales.

3. Registro y Monitoreo

   • Registro de sistema/aplicación que rastrea acceso de usuario y eventos clave.

   • Monitoreo para detectar acceso no autorizado o actividad inusual.

4. Seguridad de Servidores y Estaciones de Trabajo

   • Aplicación oportuna de parches de seguridad y actualizaciones de OS.

   • Protección usando firewalls y sistemas de detección/prevención de intrusiones.

   • Datos en tránsito cifrados con TLS/SSL o equivalente.

5. Copias de Seguridad y Continuidad de Negocio

   • Copias de seguridad de datos regulares almacenadas de forma segura; procedimientos para la restauración probados.

   • Plan de recuperación de desastres documentado para la continuidad del negocio.

6. Seguridad Física

   • Acceso restringido a centros de datos (por ejemplo, instalaciones cerradas, guardias de seguridad, sistemas de tarjetas de identificación).

   • Eliminación/borrado seguro de medios cuando sean retirados de servicio.

7. Respuesta a Incidentes

   • Un plan de manejo de incidentes con procedimientos de escalación.

   • Monitoreo y registro 24/7 para potenciales amenazas de seguridad.

8. Gestión de Dispositivos Móviles/Portátiles

   • Autorización requerida para cualquier dispositivo que acceda a Datos Personales.

   • Cifrado y capacidad de borrado remoto, si aplicable.

9. Desarrollo Seguro y Pruebas

   • Prácticas de codificación segura y pruebas (revisiones de código, escaneos de vulnerabilidades).

   • Evaluación regular de potenciales vulnerabilidades en la pila de aplicaciones.

SECCIÓN D – TRANSFERENCIAS DE DATOS Y CLÁUSULAS CONTRACTUALES ESTÁNDAR

• Donde las leyes de protección de datos de la UE/EEE, Suiza o Reino Unido se aplican a las transferencias de datos transfronterizas, las Partes confían en:

  • El Marco de Privacidad de Datos UE-EE.UU., o extensiones Suiza-EE.UU. / Reino Unido, donde Magma se auto-certifica,

  • y/o las Cláusulas Contractuales Estándar (SCCs) adoptadas por la Comisión Europea (incluyendo el Adendum del Reino Unido si es aplicable),

  • u otros mecanismos legales.

• Estos mecanismos se incorporan por referencia. Los apéndices en la Sección A y la Sección C sirven como Anexos a las SCCs cuando sea requerido.

SECCIÓN E – DISPOSICIONES FINALES

1. Jerarquía. Si hay un conflicto entre este DPA y cualquier otro acuerdo, este DPA prevalece en lo referente al procesamiento de Datos Personales a menos que se indique expresamente lo contrario.

2. Ley Aplicable. Este DPA se rige e interpreta de acuerdo con la misma ley y lugar establecidos en el Acuerdo Base, a menos que se requiera de otra manera por la Ley de Protección de Datos.

3. Acuerdo Completo. Este DPA, junto con el Acuerdo Base, constituye el acuerdo completo sobre el tema de procesamiento de datos en nombre del Cliente.

4. Cambios. Podemos actualizar este DPA de vez en cuando. Si las revisiones afectan materialmente los derechos del Cliente, notificaremos al Cliente con antelación conforme a las disposiciones de notificación del Acuerdo Base.