Modelo de
ACUERDO DE TRANSFERENCIA DE DATOS DE LA UE

Cláusulas contractuales tipo para la transferencia de datos personales a encargados del tratamiento establecidos en terceros países en virtud de la Directiva 95/46/CE

Esta traducción se ofrece únicamente a título informativo; en caso de discrepancia, prevalecerá la versión en inglés.

Entre:

<CLIENTE> [y las entidades de <CLIENTE> expresamente indicadas, en su caso] (cada una de ellas, un «exportador de datos»),

MinMax, Inc., (el «importador de datos», que tratará los datos),

cada una de ellas, una «parte», y conjuntamente, «las partes».

[alternativamente, si el Cliente tiene una sucursal en la UE que actúa como «exportador de datos» y una sucursal en EE. UU. que es cliente directo de MinMax y actúa como «importador de datos», y MinMax interviene únicamente como «subencargado del tratamiento» de los datos:]

<CLIENTE> [y las entidades de <CLIENTE> que figuran en el apéndice 5, en su caso] (cada una de ellas, un «exportador de datos»),

<CLIENTE> (el «importador de datos»),

MinMax, Inc., (el «subencargado del tratamiento», que tratará los datos),

cada una de ellas, una «parte», y conjuntamente, «las partes».

CONSIDERANDO que el exportador de datos y el importador de datos están celebrando o han celebrado un contrato marco de servicios y un Anexo de Privacidad y Seguridad de los Datos (conjuntamente, el «Contrato»);

CONSIDERANDO que, en virtud del Contrato, el exportador de datos y el importador de datos han acordado suscribir las presentes cláusulas contractuales (en lo sucesivo, las «Cláusulas») con los exportadores de datos a fin de cumplir los requisitos de protección de datos aplicables en la UE y en Suiza;

A efectos del artículo 26, apartado 2, de la Directiva 95/46/CE, en lo que respecta a los datos personales procedentes del Espacio Económico Europeo, y del artículo 6, apartado 2, letra a), de la Ley Federal suiza de Protección de Datos de 1992 (LPD), en lo que respecta a los datos personales procedentes de Suiza, para la transferencia de datos personales a encargados del tratamiento establecidos en terceros países que no garanticen un nivel adecuado de protección de datos,

LAS PARTES HAN ACORDADO las siguientes Cláusulas, con objeto de ofrecer garantías suficientes respecto de la protección de la vida privada y de los derechos y libertades fundamentales de las personas en la transferencia, por el exportador de datos al importador de datos, de los datos personales especificados en el apéndice 1.

Cláusula 1

Definiciones

A efectos de las presentes Cláusulas, se entenderá por:

(a) «Datos personales»: toda información sobre un interesado identificado o identificable, incluida, sin carácter limitativo, la información indicada en el apéndice 1. En el caso de los datos procedentes de Suiza, el término «datos personales» comprenderá también la información sobre personas jurídicas identificadas o identificables.
(b) «Categorías especiales de datos»: los datos personales que revelen la raza, la religión, el origen étnico, la afiliación sindical, la orientación sexual o la situación familiar del interesado.
(c) «Tratar/Tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos automatizados o no, incluidas, entre otras, la recogida, generación, utilización, consulta, registro, almacenamiento, alojamiento, conservación, procesamiento, edición, búsqueda, impresión, manipulación, visualización, revisión, reconstrucción, comunicación, rectificación, modificación, borrado, supresión, eliminación o cualquier otra forma de tratamiento de datos personales.
(d) «Interesado»: la persona física a la que se refieren determinados datos personales.
(e) «Autoridad de control»: la autoridad de protección de datos competente respecto del exportador de datos u otro organismo público que ejerza sobre este facultades de supervisión equivalentes;
(f) «Subencargado del tratamiento»: todo encargado del tratamiento contratado por el importador de datos o por cualquier otro subencargado del tratamiento de este que se comprometa a recibir del importador de datos, o de cualquier otro subencargado del tratamiento de este, datos personales destinados exclusivamente a actividades de tratamiento que se llevarán a cabo en nombre del exportador de datos tras la transferencia, de conformidad con las instrucciones de este, con las Cláusulas y con las condiciones del subcontrato escrito;
(g) «Legislación de protección de datos aplicable»: la legislación pertinente en materia de protección de datos o de privacidad (incluidas las normas de desarrollo y las modificaciones y actualizaciones de dicha legislación) aplicable al exportador de datos en el país o países en que esté establecido;
(h) «Medidas técnicas y organizativas de seguridad»: las medidas destinadas a proteger los datos personales contra su destrucción accidental o ilícita, su pérdida accidental, su alteración, su divulgación o el acceso no autorizados, especialmente cuando el tratamiento incluya la transmisión de datos por redes, así como contra cualquier otra forma ilícita de tratamiento, incluidas, sin carácter limitativo, las medidas especificadas en el apéndice 2.

Cláusula 2

Detalles de la transferencia

Los detalles de la transferencia y, en particular, las categorías especiales de datos personales, en su caso, se especifican en el apéndice 1, que forma parte integrante de las Cláusulas.

Cláusula 3

Cláusula de tercero beneficiario

(1) El interesado podrá exigir al exportador de datos, en su condición de tercero beneficiario, el cumplimiento de la presente cláusula, de las letras (b) a (i) de la cláusula 4, de las letras (a) a (e) y (g) a (j) de la cláusula 5, de los apartados (1) y (2) de la cláusula 6, de la cláusula 7, del apartado (2) de la cláusula 8 y de las cláusulas 9 a 12.
(2) El interesado podrá exigir al importador de datos el cumplimiento de la presente cláusula, de las letras (a) a (e) y (g) de la cláusula 5, de la cláusula 6, de la cláusula 7, del apartado (2) de la cláusula 8 y de las cláusulas 9 a 12 cuando el exportador de datos haya desaparecido de hecho o se haya extinguido jurídicamente, salvo que una entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de un contrato o por ministerio de la ley y, en consecuencia, se haya subrogado en los derechos y obligaciones de este, en cuyo caso el interesado podrá exigir su cumplimiento a dicha entidad.
(3) El interesado podrá exigir al subencargado del tratamiento el cumplimiento de la presente cláusula, de las letras (a) a (e) y (g) de la cláusula 5, de la cláusula 6, de la cláusula 7, del apartado (2) de la cláusula 8 y de las cláusulas 9 a 12 cuando tanto el exportador de datos como el importador de datos hayan desaparecido de hecho, se hayan extinguido jurídicamente o hayan devenido insolventes, salvo que una entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de un contrato o por ministerio de la ley y, en consecuencia, se haya subrogado en los derechos y obligaciones de este, en cuyo caso el interesado podrá exigir su cumplimiento a dicha entidad. Esta responsabilidad del subencargado del tratamiento frente a terceros se limitará a sus propias operaciones de tratamiento realizadas con arreglo a las Cláusulas.
(4) Las partes no se oponen a que el interesado esté representado por una asociación u otra entidad si así lo desea expresamente y lo permite la legislación nacional.

Cláusula 4

Obligaciones del exportador de datos

El exportador de datos acepta y garantiza:

(a) que el tratamiento de los datos personales, incluida la propia transferencia, se ha efectuado y seguirá efectuándose de conformidad con las disposiciones pertinentes de la legislación de protección de datos aplicable (y, en su caso, se ha notificado a las autoridades competentes del país en que esté establecido el exportador de datos) y no infringe las disposiciones pertinentes de dicho Estado;
(b) que ha dado instrucciones al importador de datos, y seguirá dándoselas durante toda la prestación de los servicios de tratamiento de datos personales, para que trate los datos personales transferidos exclusivamente en nombre del exportador de datos y de conformidad con la legislación de protección de datos aplicable y con las Cláusulas;
(c) que el importador de datos ofrecerá garantías suficientes respecto de las medidas técnicas y organizativas de seguridad especificadas en el apéndice 2 del presente contrato;
(d) que, tras evaluar los requisitos de la legislación de protección de datos aplicable, ha comprobado que las medidas de seguridad son adecuadas para proteger los datos personales contra su destrucción accidental o ilícita, su pérdida accidental, su alteración, su divulgación o el acceso no autorizados, especialmente cuando el tratamiento incluya la transmisión de datos por redes, así como contra cualquier otra forma ilícita de tratamiento, y que dichas medidas garantizan un nivel de seguridad adecuado a los riesgos que entraña el tratamiento y a la naturaleza de los datos que deben protegerse, habida cuenta del estado de la técnica y del coste de su aplicación;
(e) que velará por el cumplimiento de las medidas de seguridad;
(f) que, si la transferencia incluye categorías especiales de datos, se ha informado al interesado, o se le informará antes de la transferencia o lo antes posible después de ella, de que sus datos podrían transmitirse a un tercer país que no ofrece una protección adecuada en el sentido de la Directiva 95/46/CE (o, respecto de los datos recibidos de Suiza, en el sentido del artículo 6 de la LPD);
(g) que remitirá a la autoridad de control de la protección de datos cualquier notificación recibida del importador de datos o de cualquier subencargado del tratamiento con arreglo a la letra (b) de la cláusula 5 y al apartado (3) de la cláusula 8, si decide continuar la transferencia o levantar la suspensión;
(h) que pondrá a disposición de los interesados, previa solicitud, una copia de las Cláusulas, con excepción del apéndice 2, y una descripción sumaria de las medidas de seguridad, así como una copia de todo contrato de servicios de subtratamiento que deba celebrarse de conformidad con las Cláusulas, salvo que las Cláusulas o el contrato contengan información comercial, en cuyo caso podrá suprimir dicha información;
(i) que, en caso de subtratamiento, la actividad de tratamiento será llevada a cabo, de conformidad con la cláusula 11, por un subencargado del tratamiento que ofrezca como mínimo el mismo nivel de protección de los datos personales y de los derechos del interesado que el importador de datos con arreglo a las Cláusulas, y
(j) que velará por el cumplimiento de las letras (a) a (i) de la presente cláusula 4.

Cláusula 5

Obligaciones del importador de datos

El importador de datos acepta y garantiza:

(a) que tratará los datos personales exclusivamente en nombre del exportador de datos y de conformidad con sus instrucciones y con las Cláusulas; si, por cualquier motivo, no pudiera cumplirlas, se compromete a informar sin demora al exportador de datos de dicha imposibilidad, en cuyo caso este estará facultado para suspender la transferencia de datos, resolver el contrato o ambas cosas;
(b) que no tiene motivos para creer que la legislación que le es aplicable le impida cumplir las instrucciones recibidas del exportador de datos y las obligaciones que le incumben en virtud del contrato, y que, si se produjera un cambio en dicha legislación que pudiera afectar de forma sustancialmente negativa a las garantías y obligaciones previstas en las Cláusulas, lo notificará sin demora al exportador de datos en cuanto tenga conocimiento de ello, en cuyo caso este estará facultado para suspender la transferencia de datos, resolver el contrato o ambas cosas;
(c) que ha aplicado las medidas técnicas y organizativas de seguridad especificadas en el apéndice 2 antes de tratar los datos personales transferidos;
(d)
que notificará sin demora al exportador de datos:
1. (i) toda solicitud jurídicamente vinculante de comunicación de los datos personales formulada por una autoridad policial o judicial, salvo que exista una prohibición en sentido contrario, como la establecida en el Derecho penal para preservar el secreto de una investigación policial o judicial,
2. (ii) todo acceso accidental o no autorizado, y
3. (iii) toda solicitud recibida directamente de los interesados, sin responder a ella, salvo que se le haya autorizado a hacerlo;
(e) que tramitará con prontitud y en debida forma todas las consultas del exportador de datos relativas al tratamiento de los datos personales objeto de la transferencia y que se atendrá al dictamen de la autoridad de control en lo que respecta al tratamiento de los datos transferidos;
(f) que, a petición del exportador de datos, someterá sus instalaciones de tratamiento de datos a una auditoría de las actividades de tratamiento cubiertas por las Cláusulas, que será realizada por el exportador de datos o por un organismo de inspección integrado por miembros independientes que posean las cualificaciones profesionales necesarias y estén sujetos a un deber de confidencialidad, seleccionado por el exportador de datos, en su caso, de acuerdo con la autoridad de control;
(g) que pondrá a disposición del interesado, previa solicitud, una copia de las Cláusulas o de cualquier contrato de subtratamiento existente, salvo que las Cláusulas o el contrato contengan información comercial, en cuyo caso podrá suprimir dicha información, con excepción del apéndice 2, que se sustituirá por una descripción sumaria de las medidas de seguridad cuando el interesado no pueda obtener una copia del exportador de datos;
(h) que, en caso de subtratamiento, habrá informado previamente al exportador de datos y obtenido su consentimiento previo por escrito;
(i) que los servicios de tratamiento prestados por el subencargado del tratamiento se llevarán a cabo de conformidad con la cláusula 11;
(j) que enviará sin demora al exportador de datos una copia de todo contrato que celebre con un subencargado del tratamiento con arreglo a las Cláusulas.

Cláusula 6

Responsabilidad

(1) Las partes acuerdan que todo interesado que haya sufrido daños como consecuencia del incumplimiento, por cualquiera de las partes o por un subencargado del tratamiento, de las obligaciones mencionadas en la cláusula 3 o en la cláusula 11 tendrá derecho a obtener del exportador de datos una indemnización por los daños sufridos.
(2) Si un interesado no pudiera interponer contra el exportador de datos la reclamación de indemnización prevista en el apartado (a) por el incumplimiento, por parte del importador de datos o de su subencargado del tratamiento, de cualquiera de las obligaciones mencionadas en la cláusula 3 o en la cláusula 11, debido a que el exportador de datos ha desaparecido de hecho, se ha extinguido jurídicamente o ha devenido insolvente, el importador de datos acepta que el interesado pueda dirigir la reclamación contra él como si fuera el exportador de datos, salvo que una entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de un contrato o por ministerio de la ley, en cuyo caso el interesado podrá ejercer sus derechos frente a dicha entidad.
(3) El importador de datos no podrá invocar el incumplimiento por un subencargado del tratamiento de las obligaciones de este para eludir su propia responsabilidad.
(4) Si un interesado no pudiera interponer contra el exportador de datos o el importador de datos la reclamación prevista en los apartados (a) y (b) por el incumplimiento, por parte del subencargado del tratamiento, de cualquiera de las obligaciones mencionadas en la cláusula 3 o en la cláusula 11, debido a que tanto el exportador de datos como el importador de datos han desaparecido de hecho, se han extinguido jurídicamente o han devenido insolventes, el subencargado del tratamiento acepta que el interesado pueda dirigir contra él la reclamación, en lo que respecta a sus propias operaciones de tratamiento con arreglo a las Cláusulas, como si fuera el exportador de datos o el importador de datos, salvo que una entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos o del importador de datos en virtud de un contrato o por ministerio de la ley, en cuyo caso el interesado podrá ejercer sus derechos frente a dicha entidad. La responsabilidad del subencargado del tratamiento se limitará a sus propias operaciones de tratamiento con arreglo a las Cláusulas.

Cláusula 7

Mediación y jurisdicción

(1)
El importador de datos acepta que, si el interesado invoca frente a él derechos de tercero beneficiario o le reclama una indemnización por daños y perjuicios con arreglo a las Cláusulas, respetará la decisión del interesado de:
1. (a) someter el litigio a mediación por parte de una persona independiente o, en su caso, de la autoridad de control;
2. (b) someter el litigio a los tribunales del país en que esté establecido el exportador de datos.
(2) Las partes acuerdan que la opción elegida por el interesado no menoscabará sus derechos sustantivos o procesales a obtener reparación con arreglo a otras disposiciones del Derecho nacional o internacional.

Cláusula 8

Cooperación con las autoridades de control

(1) El exportador de datos se compromete a depositar una copia del presente contrato ante la autoridad de control si esta así lo solicita o si la legislación de protección de datos aplicable exige dicho depósito.
(2) Las partes acuerdan que la autoridad de control tiene derecho a auditar al importador de datos y a cualquier subencargado del tratamiento con el mismo alcance y en las mismas condiciones que se aplicarían a una auditoría del exportador de datos con arreglo a la legislación de protección de datos aplicable.
(3) El importador de datos informará sin demora al exportador de datos de la existencia de legislación aplicable a él o a cualquier subencargado del tratamiento que impida auditar al importador de datos o a cualquier subencargado del tratamiento con arreglo al apartado (b). En tal caso, el exportador de datos estará facultado para adoptar las medidas previstas en la letra (b) de la cláusula 5.

Cláusula 9

Legislación aplicable

Las Cláusulas se regirán por la legislación del país en que esté establecido el exportador de datos.

Cláusula 10

Modificación del contrato

Las partes se comprometen a no alterar ni modificar las Cláusulas. Ello no impide que las partes añadan, en caso necesario, cláusulas sobre cuestiones comerciales, siempre que no contradigan las Cláusulas.

Cláusula 11

Subtratamiento

(1) El importador de datos no subcontratará ninguna de las operaciones de tratamiento que realice en nombre del exportador de datos con arreglo a las Cláusulas sin el consentimiento previo por escrito del exportador de datos. Cuando, con el consentimiento del exportador de datos, el importador de datos subcontrate las obligaciones que le incumben con arreglo a las Cláusulas, solo podrá hacerlo mediante un contrato escrito con el subencargado del tratamiento que imponga a este las mismas obligaciones que las Cláusulas imponen al importador de datos. Si el subencargado del tratamiento incumple las obligaciones de protección de datos que le incumben en virtud de dicho contrato escrito, el importador de datos seguirá siendo plenamente responsable frente al exportador de datos del cumplimiento de las obligaciones del subencargado del tratamiento derivadas de dicho contrato.
(2) El contrato escrito previo entre el importador de datos y el subencargado del tratamiento preverá asimismo una cláusula de tercero beneficiario, en los términos de la cláusula 3, para los casos en que el interesado no pueda interponer contra el exportador de datos o el importador de datos la reclamación de indemnización a que se refiere el apartado (1) de la cláusula 6 por haber estos desaparecido de hecho, haberse extinguido jurídicamente o haber devenido insolventes, sin que ninguna entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos o del importador de datos en virtud de un contrato o por ministerio de la ley. Esta responsabilidad del subencargado del tratamiento frente a terceros se limitará a sus propias operaciones de tratamiento con arreglo a las Cláusulas.
(3) Las disposiciones relativas a los aspectos de protección de datos del subtratamiento previsto en el contrato a que se refiere el apartado (1) se regirán por la legislación del país en que esté establecido el exportador de datos.
(4) El exportador de datos llevará una lista de los contratos de subtratamiento celebrados con arreglo a las Cláusulas y notificados por el importador de datos de conformidad con la letra (j) de la cláusula 5, que se actualizará al menos una vez al año. La lista estará a disposición de la autoridad de control de la protección de datos del exportador de datos.

Cláusula 12

Obligaciones tras la finalización de los servicios de tratamiento de datos personales

(1) Las partes acuerdan que, al finalizar la prestación de los servicios de tratamiento de datos, el importador de datos y el subencargado del tratamiento, a elección del exportador de datos, le devolverán todos los datos personales transferidos y sus copias, o bien destruirán todos los datos personales y certificarán al exportador de datos que lo han hecho, salvo que la legislación aplicable al importador de datos le impida devolver o destruir la totalidad o parte de los datos personales transferidos. En tal caso, el importador de datos garantiza que preservará la confidencialidad de los datos personales transferidos y que no volverá a tratarlos activamente.
(2) El importador de datos y el subencargado del tratamiento garantizan que, a petición del exportador de datos o de la autoridad de control, o de ambos, someterán sus instalaciones de tratamiento de datos a una auditoría de las medidas mencionadas en el apartado (1).

APÉNDICE 1 DE LAS CLÁUSULAS CONTRACTUALES TIPO

El presente apéndice forma parte de las Cláusulas y debe ser cumplimentado y firmado por las partes.

Los Estados miembros y Suiza podrán completar o especificar, con arreglo a sus procedimientos nacionales, cualquier información adicional necesaria que deba figurar en el presente apéndice.

Exportador de datos

El exportador de datos es: <CLIENTE>

Importador de datos

El importador de datos es: <CLIENTE o MinMax, según corresponda>

[si procede:] Subencargado del tratamiento

El subencargado del tratamiento es: MinMax, Inc.

Interesados

Los datos personales transferidos se refieren a las siguientes categorías de interesados: empleados, clientes, proveedores y contratistas del Cliente

Categorías de datos personales

Los datos personales transferidos se refieren a las siguientes categorías de datos: nombre, datos de contacto (correo electrónico) y país de ubicación

Categorías especiales de datos personales

Los datos personales transferidos se refieren a las siguientes categorías especiales de datos (especifíquense): ninguna

Operaciones de tratamiento

Los datos personales transferidos se someterán a las siguientes actividades básicas de tratamiento: servicios y recursos para que las empresas creen, pongan en marcha, gestionen y administren programas de recompensas

Jurisdicción

Las partes acuerdan que el único fuero competente para todos y cada uno de los litigios derivados de las presentes Cláusulas Contractuales Tipo o relacionados con ellas será el de Londres (Reino Unido), salvo que la ley establezca un fuero exclusivo distinto.

APÉNDICE 2 DE LAS CLÁUSULAS CONTRACTUALES TIPO