ANEXO DE PRIVACIDAD Y SEGURIDAD DE LOS DATOS

Correspondiente a las
Condiciones del Servicio para Empresas

Esta traducción se ofrece únicamente a título informativo; en caso de discrepancia, prevalecerá la versión en inglés.

1. Alcance de los Datos Personales.

1.1 Interesados. Los interesados cuyos Datos Personales podrán ser objeto de Tratamiento son los empleados, los clientes y/o los Usuarios Finales del Cliente.
1.2 Categorías de datos. Los Datos Personales objeto de Tratamiento podrán incluir, respecto de los Usuarios Finales, el nombre, la dirección de correo electrónico o postal y la dirección IP. En el caso de las personas físicas que accedan a la cuenta del Cliente en MinMax, podrán incluirse, además de estos datos, el número de teléfono y el país en el que se encuentren.

2. Limitación del uso de los Datos Personales.

MinMax únicamente Tratará los Datos Personales del Cliente en la medida necesaria para prestar los Servicios solicitados y de conformidad con las instrucciones del Cliente. MinMax no Tratará los Datos Personales del Cliente para ninguna otra finalidad, salvo que el Cliente la autorice expresamente por escrito.

3. Cumplimiento de la legislación.

Al tratar los Datos Personales del Cliente, MinMax cumplirá todas las leyes aplicables de los Estados Unidos, así como las leyes, normas y reglamentos de los países afectados que resulten aplicables a las prestaciones de MinMax en virtud del Contrato, incluidos, entre otros, los aplicables al Tratamiento de Datos Personales (la «Legislación Aplicable»).

4. Información y consentimiento.

Las partes reconocen y acuerdan que MinMax no recaba ni recabará por sí misma Datos Personales en virtud del presente Contrato. Todos los Datos Personales recabados en virtud del presente Contrato son recabados por el Cliente. A efectos del presente Contrato, MinMax actúa exclusivamente como «encargado del tratamiento». En consecuencia, el Cliente declara y garantiza a MinMax que, respecto de los Datos Personales que facilite a MinMax en virtud del presente Contrato en relación con los Servicios de MinMax, (i) ha informado debidamente a cada persona física, en la forma exigida por la ley, de la recogida de sus datos y (ii) ha obtenido el consentimiento de dicha persona para el uso de sus Datos Personales.

5. Empleados de MinMax

5.1
MinMax adoptará todas las medidas razonables para garantizar la fiabilidad de sus empleados y demás personal con acceso a los Datos Personales, lo que incluye la realización de las comprobaciones de antecedentes y/o verificaciones oportunas. Antes de contratar a una persona, MinMax realizará las siguientes comprobaciones de antecedentes:
- Validación del número de la Seguridad Social estadounidense (SSN)
- Consulta de listas de personas y entidades sancionadas
- Historial de domicilios
- Registro nacional de delincuentes sexuales
- Búsqueda nacional de antecedentes penales
5.2
MinMax limitará el acceso a los Datos Personales del Cliente a los empleados que lo necesiten por razones profesionales y se asegurará de que dichos empleados:
1. 5.2.1 accedan a los Datos Personales mediante mecanismos de autenticación que permitan su identificación individual y procesos de inicio de sesión seguros;
2. 5.2.2 se hayan comprometido por escrito, mediante la firma de sus contratos de trabajo, a proteger la confidencialidad y la seguridad de toda la Información Confidencial de la Empresa, que, según acuerdan las partes, incluye los Datos Personales facilitados en virtud del presente Contrato; y
3. 5.2.3 hayan recibido una formación razonable sobre el tratamiento de los Datos Personales del Cliente y sobre la Legislación Aplicable que les permita cumplir lo dispuesto en el presente Anexo.

6. Subcontratistas y otros terceros

6.1 MinMax no subcontratará las obligaciones que le incumben en virtud del presente Anexo sin el consentimiento previo y por escrito del Cliente. Cuando el Cliente autorice a MinMax a recurrir a subcontratistas, MinMax lo hará de conformidad con la presente cláusula.
6.2
Si está autorizada a recurrir a subcontratistas, MinMax, al seleccionarlos y contratarlos:
1. 6.2.1 llevará a cabo la diligencia debida que corresponda respecto de cada subcontratista para asegurarse de que este es capaz de ofrecer a los Datos Personales del Cliente el nivel de protección exigido por el Contrato, incluido el presente Anexo, y, previa solicitud, acreditará ante el Cliente dicha diligencia debida;
2. 6.2.2 suscribirá con cada subcontratista un contrato por escrito cuyas disposiciones ofrezcan a los Datos Personales una protección no inferior a la que se deriva de los requisitos y obligaciones establecidos en el presente Anexo; y
3. 6.2.3 seguirá siendo responsable de todos los actos y/u omisiones del subcontratista.

7. Solicitudes de acceso y otras solicitudes

7.1 Salvo que la ley se lo prohíba, MinMax notificará al Cliente, tan pronto como sea razonablemente posible y, en todo caso, en un plazo de tres (3) días hábiles, la recepción de cualquier solicitud o reclamación relacionada con Datos Personales del Cliente. Sin perjuicio de lo dispuesto en la frase anterior, MinMax no responderá a ninguna solicitud de acceso a Datos Personales salvo que el Cliente la autorice expresamente y por escrito a hacerlo o que la Legislación Aplicable obligue a MinMax a responder directamente. Si la Legislación Aplicable impone a MinMax la obligación imperativa de responder directamente, MinMax informará de ello al Cliente en la notificación inicial y realizará esfuerzos comercialmente razonables para atender las peticiones razonables del Cliente al responder a dicha solicitud.
7.2 Salvo que esté legalmente obligada a ello, MinMax no comunicará Datos Personales a ningún tercero sin el consentimiento previo y por escrito del Cliente. Cuando la ley exija la comunicación o transferencia de Datos Personales, MinMax, siempre que sus asesores jurídicos no le indiquen que tiene prohibido hacerlo, lo notificará al Cliente y cooperará plenamente con él en cualquier actuación que este promueva para intervenir y dejar sin efecto o limitar dichos requerimientos, o para responder a una autoridad pública en relación con los Datos Personales que MinMax trate en virtud del presente Anexo. Si MinMax está legalmente obligada a atender un Requerimiento Gubernamental y la ley le permite hacerlo, MinMax, previa consulta con el Cliente, comunicará únicamente la cantidad mínima de Datos Personales necesaria para cumplir la ley o la resolución judicial.
7.3 MinMax rectificará y/o suprimirá Datos Personales siguiendo las instrucciones del Cliente; no obstante, MinMax tendrá derecho a conservar, y conservará en todo caso, los Datos Personales que sean necesarios para cumplir sus obligaciones regulatorias, conservar sus registros a efectos de auditoría financiera o atender requisitos legales similares.

8. Confidencialidad.

Todos los Datos Personales tendrán la consideración de datos confidenciales conforme a las cláusulas de confidencialidad del Contrato, además de lo dispuesto en el presente Anexo. En la medida en que MinMax siga conservando Datos Personales tras la terminación del Contrato o del presente Anexo, las obligaciones de MinMax derivadas del presente Anexo seguirán vigentes mientras conserve dichos Datos Personales.

9. Seguridad.

MinMax mantiene todas las medidas técnicas, físicas, administrativas y organizativas apropiadas para proteger los Datos Personales frente al robo, la adquisición, el acceso o el tratamiento no autorizados o ilícitos y frente a su pérdida, destrucción, alteración o daño accidentales, así como cualesquiera otros requisitos mínimos de seguridad establecidos en la Legislación Aplicable. MinMax garantiza que dichas medidas son adecuadas al tipo de datos y al perjuicio que podría derivarse de la adquisición, el acceso o el tratamiento no autorizados o ilícitos, o de la pérdida, destrucción, alteración o daño accidentales, de los Datos Personales.

9.1 MinMax desarrolla un programa formal de concienciación en materia de seguridad que forma a todos sus empleados y colaboradores externos sobre la importancia de la seguridad de la información y que, además, ofrece formación específica adicional en esta materia a determinados empleados y colaboradores externos de la Empresa en función de su puesto.
9.2 Todos los empleados reciben formación general de concienciación en materia de seguridad en el momento de su incorporación y, posteriormente, con periodicidad anual. Esta formación incluye la entrega y revisión de la Política de Seguridad de la Información de MinMax .Todos los asistentes deberán confirmar cada año que han revisado la Política de Seguridad de la Información. Quienes no asistan a la formación no estarán habilitados para trabajar con los recursos de la empresa ni para manejar información sensible de ningún tipo.
9.3 Datos públicos – Los datos electrónicos que MinMax comparte deliberadamente con el público en el curso normal de su actividad se clasifican como datos públicos. No requieren procedimientos especiales de manipulación ni de destrucción. Son ejemplos de datos públicos el contenido del sitio web, el material de marketing y las comunicaciones externas a través de las redes sociales.
9.4
Datos clasificados – Los datos electrónicos o documentos en papel que podrían causar perjuicios a MinMax si se hicieran públicos se clasifican como datos confidenciales. Son ejemplos de datos confidenciales la información financiera de la empresa, los correos electrónicos internos, las hojas de ruta de productos, los detalles de los contratos con socios, el inventario de productos y el código fuente propio.
MinMax solo concederá acceso a los datos confidenciales a los empleados que tengan una finalidad profesional legítima para acceder a ellos. Todos los empleados deben proteger los datos confidenciales de MinMax cumpliendo los requisitos de almacenamiento y eliminación descritos en el presente documento.
9.5
Información de identificación personal (PII) – La PII es una categoría especial de datos confidenciales que permite identificar a clientes o empleados concretos. Son ejemplos de PII los nombres, las direcciones postales, las direcciones de correo electrónico y, en el caso de nuestros Clientes, los números de teléfono y la información de pago incluida en la cuenta del Cliente.
MinMax adoptará medidas para reducir al mínimo la cantidad de PII que almacena y solo concederá acceso a ella a los empleados que tengan una finalidad legítima para acceder a esos datos. Todos los empleados deben proteger la PII de los Clientes cumpliendo los requisitos de almacenamiento y eliminación descritos en la Política de Seguridad de Tango Card.
9.6
Datos de titulares de tarjetas – Los datos de titulares de tarjetas son una categoría especial de datos confidenciales que incluye el número de cuenta principal (PAN) y los valores de verificación de la tarjeta (CVV2) asociados a las tarjetas de crédito de los Clientes. Los equipos informáticos y las redes en los que MinMax almacena datos de titulares de tarjetas quedan automáticamente comprendidos en el ámbito de aplicación de la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI-DSS).
MinMax (i) reduce al mínimo la cantidad de datos de titulares de tarjetas que almacena, (ii) nunca almacena los valores de verificación de las tarjetas tras la autorización y (iii) elimina la información de los titulares de tarjetas que ya no sea necesaria tras la autorización. Estos datos se protegen, además, con nuestros controles de seguridad de máximo nivel.
Todos los empleados de MinMax deben conocer los requisitos de almacenamiento, manipulación y destrucción aplicables a los datos de titulares de tarjetas.

10. Cifrado.

10.1 Salvo cuando se transmitan a través de una red segura, MinMax cifrará todos los registros y archivos que contengan Datos Personales durante su transmisión y almacenamiento, incluso cuando los Datos Personales circulen por redes públicas, se transmitan de forma inalámbrica, se transporten en un dispositivo de almacenamiento de datos, como un equipo informático, o se transmitan de cualquier otro modo fuera de los controles lógicos o físicos de la red de MinMax.
10.2 MinMax cifrará todos los registros y archivos que contengan Datos Personales almacenados en cualquier soporte portátil, incluidos, entre otros, equipos portátiles, dispositivos móviles y memorias USB. El Cliente reconoce y acepta que la citada obligación de MinMax está supeditada a que el Cliente no utilice en ningún caso el correo electrónico para transmitir Datos Personales a MinMax.
10.3 MinMax aplicará una tecnología de cifrado actual que haya sido adoptada por un organismo de normalización reconocido —como las Normas Federales de Procesamiento de la Información (FIPS) publicadas por el Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos— y que haga ininteligibles dichos datos sin las claves criptográficas necesarias para descifrarlos.

11. Auditorías

11.1 Derecho de auditoría. Con sujeción a lo dispuesto en el presente apartado, el Cliente podrá solicitar, con un preaviso mínimo de treinta (30) días, la realización de una auditoría de seguridad completa —incluidas, entre otras, pruebas de penetración o de vulnerabilidades de la red y los sistemas de MinMax, así como de los de cualquier Subcontratista— con el fin de identificar los puntos fuertes y débiles de las medidas de seguridad existentes y verificar el cumplimiento de las obligaciones de MinMax derivadas del presente Anexo, así como el cumplimiento general del presente Anexo por parte de MinMax. Toda auditoría de este tipo se realizará íntegramente a cargo del Cliente y no podrá perturbar las operaciones ordinarias de MinMax. Las conclusiones y/o los informes de dichas auditorías se compartirán íntegramente con MinMax al mismo tiempo que se entreguen al Cliente y tendrán también la consideración de Información Confidencial de MinMax. Para mayor claridad, MinMax podrá compartir dichas conclusiones o informes con el tercero que elija, pero el Cliente no podrá compartirlos con ningún otro tercero. En la medida en que MinMax encargue a un auditor externo una auditoría SSAE 16 (o conforme a cualquier norma que la sustituya) u otra auditoría de seguridad de cualquiera de sus operaciones, de su programa de seguridad de la información o de su plan de recuperación ante desastres/continuidad de negocio, MinMax podrá optar por compartir con el Cliente las conclusiones de dichas evaluaciones o revisiones de seguridad. Si MinMax encarga dicha auditoría a un auditor externo y opta por compartir sus conclusiones, el Cliente no tendrá un derecho independiente a auditar además a MinMax durante los doce meses siguientes, siempre que MinMax le confirme que ha revisado los resultados y adoptado, en su caso, las medidas oportunas.
11.2 Incidencias de seguridad. Si una auditoría pone de manifiesto el incumplimiento de cualquier requisito establecido en el Contrato o cualquier vulnerabilidad que pueda comprometer los Datos Personales, MinMax lo notificará por escrito al Cliente sin demora. En los diez (10) días hábiles siguientes, MinMax o el Subcontratista (según corresponda) subsanará dicha incidencia o presentará al Cliente un plan y un calendario de subsanación aceptables. MinMax o el Subcontratista (según corresponda) asumirá todos los costes razonables de las nuevas pruebas de control necesarias para verificar la subsanación de dicha incidencia.

12. Violación de la Seguridad de los Datos.

12.1
Si MinMax sufre una Violación de la Seguridad de los Datos (según se define en la cláusula 18 siguiente), lo notificará al Cliente con la mayor celeridad posible tras su descubrimiento. MinMax:
1. 12.1.1 investigará y subsanará los efectos de la Violación de la Seguridad de los Datos y, si el Cliente lo solicita expresamente por escrito y los asesores jurídicos de MinMax coinciden en que dicha notificación es obligatoria, notificará la Violación de la Seguridad de los Datos a los Interesados y/o a las autoridades reguladoras;
2. 12.1.2 ofrecerá al Cliente garantías, razonablemente satisfactorias para este, de que dicha Violación de la Seguridad de los Datos no volverá a producirse.
12.2 El Cliente tendrá derecho a participar en cualquier investigación de seguridad relacionada con la Violación de la Seguridad de los Datos. Siempre que la Violación de la Seguridad de los Datos sea claramente imputable a MinMax, MinMax asumirá los gastos y los daños directos sufridos por el Cliente (incluidas las multas impuestas por cualquier organismo regulador) asociados a la Violación de la Seguridad de los Datos, incluidos, entre otros, los costes: (1) de notificar la Violación de la Seguridad de los Datos a las personas afectadas y a los organismos reguladores estatales, federales y/o de jurisdicciones extranjeras; y (2) de subsanar la Violación de la Seguridad de los Datos.

13. Devolución de los Datos Personales.

A la terminación del Contrato o en un momento anterior, a petición del Cliente, o bien una vez prestados los Servicios solicitados, MinMax devolverá inmediatamente al Cliente y/o, a petición de este, destruirá de forma segura todos los Datos Personales del Cliente, ya sea en formato electrónico o en papel, que obren en su posesión, custodia o control o en la posesión, custodia o control de cualquier Subcontratista. Sin perjuicio de lo dispuesto en la frase siguiente, si el Cliente solicita la destrucción, MinMax le remitirá un certificado de destrucción por escrito en un plazo de sesenta (60) días naturales desde dicha solicitud (salvo que la Legislación Aplicable exija un plazo más breve). En caso de que la necesidad de MinMax de conservar datos suficientes para cumplir sus obligaciones regulatorias o a efectos de auditoría financiera le impida destruir la totalidad o parte de los Datos Personales, o dificulte considerablemente dicha destrucción, MinMax garantiza que asegurará la estricta confidencialidad de los Datos Personales conservados y que no Tratará ningún Dato Personal por cuenta o en nombre del Cliente tras la terminación del Contrato, entendiéndose que los Datos Personales así conservados seguirán sujetos a lo dispuesto en el presente Anexo.

14. Transferencias internacionales de datos

14.1 MinMax no Tratará ni transferirá Datos Personales fuera de las fronteras nacionales, ni permitirá que ningún Subcontratista los Trate o transfiera, sin el consentimiento previo y por escrito del Cliente.
14.2 A petición del Cliente, MinMax realizará esfuerzos comercialmente razonables para acordar con el Cliente, con carácter previo a cualquier transferencia o Tratamiento internacional de Datos Personales y en relación con ellos, acuerdos de transferencia de datos o cláusulas contractuales mutuamente aceptados, según lo previsto en el ACUERDO DE TRANSFERENCIA DE DATOS DE LA UE (las cláusulas contractuales tipo aprobadas por la UE para la transferencia internacional de Datos Personales) o, en su caso, las cláusulas contractuales exigidas por otros países para las transferencias internacionales de datos personales. Para mayor claridad, nada de lo dispuesto en el presente Anexo obliga a MinMax a aceptar las modificaciones de dichas cláusulas o acuerdos que pueda proponer el Cliente.

15. Indemnización y responsabilidad

15.1 Indemnización. MinMax indemnizará, defenderá y mantendrá indemnes al Cliente y/o a las Afiliadas del Cliente que corresponda frente a todos y cada uno de los daños reales y directos relacionados con una Violación de la Seguridad de los Datos.
15.2 Acciones y recursos. Las obligaciones de indemnización de MinMax previstas en la cláusula 15.1 se sumarán a cualesquiera obligaciones de indemnización o similares que MinMax pueda tener en virtud del Contrato, incluida, entre otras, la obligación de sufragar las medidas de subsanación prevista en la cláusula 12. Los derechos y acciones que asisten al Cliente en virtud del presente Anexo no estarán sujetos a ninguna limitación del ejercicio de acciones, cláusula de arbitraje ni otra disposición limitativa similar establecida en el Contrato. Sin perjuicio del carácter general de lo anterior: (i) la responsabilidad de MinMax por los daños directos y reales derivados del presente Anexo o relacionados de cualquier otro modo con la privacidad, la seguridad, la integridad o la confidencialidad de los Datos Personales no estará sujeta a limitación alguna, (ii) nada impedirá al Cliente ejercitar de inmediato cualesquiera derechos o acciones que le correspondan en virtud del presente Anexo o en relación con él, y (iii) MinMax responderá de todas las obligaciones de indemnización previstas en la cláusula 15.

16. Calidad de los datos.

Cuando los Datos Personales del Cliente obren en poder de MinMax, y en la medida exigida por la Legislación Aplicable, MinMax preservará la exactitud e integridad de los Datos Personales y, cuando así lo requieran los Servicios o lo indique de otro modo el Cliente, actualizará, modificará y rectificará los Datos Personales que sean inexactos o incompletos.

17. Terceros beneficiarios

17.1 Sin perjuicio de lo dispuesto en la cláusula 17.2, nada de lo dispuesto en el presente Anexo conferirá beneficios ni derechos a ninguna persona o entidad distinta de las partes del presente Anexo.
17.2 Siempre que el Cliente haya comunicado previamente por escrito a MinMax la identidad y los datos de contacto de sus Afiliadas, cuando los Servicios incluyan el Tratamiento, por MinMax o por cuenta de esta, de Datos Personales de Afiliadas del Cliente, cada una de dichas Afiliadas del Cliente podrá exigir a MinMax, en calidad de tercero beneficiario, el cumplimiento de lo dispuesto en el presente Anexo respecto de sus Datos Personales como si fuera parte del presente Anexo y del Contrato.

18. Definiciones

En el presente Anexo, los términos que figuran con inicial mayúscula tendrán el significado que se indica a continuación. Los términos con inicial mayúscula que no se definan a continuación ni en otra parte del presente Anexo tendrán el significado que se les atribuye en el Contrato:

«Afiliada» designa, en relación con una parte, cualquier entidad que (directa o indirectamente) controle a dicha parte, esté controlada por ella y/o se encuentre bajo control común con ella.

«Datos Personales» designa cualquier información facilitada a MinMax por el Cliente (o por una Afiliada del Cliente) relativa a una persona identificada o identificable; se considera identificable la persona cuya identidad pueda determinarse, directa o indirectamente (incluso en combinación con otra información), y cuyos datos MinMax requiera o solicite para prestar sus Servicios al Cliente o a las Afiliadas del Cliente. A efectos del presente Contrato, los Datos Personales solo comprenderán la información incluida en el concepto de datos personales, información personal y/o información de identificación personal definido en la Legislación Aplicable si, y solo si MinMax requiere y solicita dicha información para llevar a cabo el Tratamiento de los datos. Por consiguiente, y para mayor claridad, si el Cliente (o las Afiliadas del Cliente) facilitan a MinMax datos adicionales que puedan estar comprendidos en las definiciones de datos personales de la Legislación Aplicable, pero que MinMax no solicita ni requiere para prestar los Servicios, MinMax adoptará todas las medidas comercialmente razonables para proteger dicha información, pero esta información accesoria no estará sujeta (a) a las responsabilidades y obligaciones de indemnización establecidas en la cláusula 15 ni (b) a ninguna obligación de actualizar, rectificar o modificar dichos datos accesorios.

«Violación de la Seguridad de los Datos» designa cualquier acceso, adquisición o Tratamiento no autorizados y/o ilícitos, conocidos o presuntos, de Datos Personales, ya sea en formato electrónico o en papel, mientras se encuentren en posesión de MinMax.

«Tratar» designa cualquier operación o conjunto de operaciones realizadas sobre Datos Personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, bloqueo, devolución o destrucción; los términos «tratado» y «tratamiento» se interpretarán en consecuencia.

«Salvaguardas de Seguridad» designa las medidas administrativas, técnicas y físicas en materia de privacidad y seguridad, proporcionadas a los Datos Personales que MinMax Trate al prestar los Servicios y conformes con la legislación aplicable, destinadas a proteger los Datos Personales frente al robo, la pérdida y el acceso o tratamiento no autorizados, incluidas, entre otras, las concebidas para prevenir una Violación de la Seguridad de los Datos.

«Transferencia» designa el traslado de Datos Personales de una ubicación o persona a otra, ya sea por medios físicos o electrónicos, así como la concesión de acceso a Datos Personales de una ubicación o persona a otra, por medios físicos o electrónicos; los términos «transferido» y «transferir» se interpretarán en consecuencia.