Acuerdo de Tratamiento de Datos

1. Alcance y Propósito

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte del contrato entre UnifAPI, Inc. ("Encargado del Tratamiento") y el cliente ("Responsable del Tratamiento") para la prestación de servicios. Este DPA establece los términos en virtud de los cuales el Encargado del Tratamiento trata los datos personales en nombre del Responsable del Tratamiento.

2. Definiciones

• Datos Personales: Cualquier información relativa a una persona física identificada o identificable
• Tratamiento: Cualquier operación realizada sobre datos personales, incluida la recopilación, el almacenamiento, el uso y la eliminación
• Interesado: La persona a la que se refieren los datos personales
• Subencargado del Tratamiento: Un tercero contratado por el Encargado del Tratamiento para tratar datos personales

3. Obligaciones del Encargado del Tratamiento

El Encargado del Tratamiento deberá:

• Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable del Tratamiento
• Garantizar que las personas autorizadas para tratar datos personales estén sujetas a obligaciones de confidencialidad
• Implementar medidas de seguridad técnicas y organizativas adecuadas
• Ayudar al Responsable del Tratamiento a responder a las solicitudes de los interesados
• Eliminar o devolver todos los datos personales tras la finalización de los servicios
• Poner a disposición toda la información necesaria para demostrar el cumplimiento

4. Medidas de Seguridad

El Encargado del Tratamiento implementa las siguientes medidas de seguridad:

• Cifrado de los datos personales en tránsito y en reposo
• Pruebas y evaluación periódicas de las medidas de seguridad
• Controles de acceso y mecanismos de autenticación
• Procedimientos de detección y respuesta ante incidentes
• Copias de seguridad periódicas y capacidades de recuperación ante desastres
• Formación de concienciación sobre seguridad para los empleados

5. Subtratamiento

El Encargado del Tratamiento no contratará a un subencargado sin la autorización previa por escrito del Responsable del Tratamiento. Cuando se contrate a un subencargado:

• El Encargado del Tratamiento impondrá obligaciones equivalentes de protección de datos
• El Encargado del Tratamiento sigue siendo plenamente responsable del desempeño del subencargado
• Se informará al Responsable del Tratamiento de cualquier cambio previsto en los subencargados

6. Transferencias de Datos

Cualquier transferencia de datos personales a un país fuera del Espacio Económico Europeo estará sujeta a garantías adecuadas, entre ellas:

• Cláusulas contractuales estándar
• Normas corporativas vinculantes
• Decisiones de adecuación de las autoridades competentes

7. Notificación de Violaciones de Datos

El Encargado del Tratamiento notificará al Responsable del Tratamiento sin dilación indebida (y a más tardar dentro de las 48 horas) en cuanto tenga conocimiento de una violación de la seguridad de los datos personales. La notificación incluirá:

• La naturaleza de la violación
• Las categorías y el número aproximado de interesados afectados
• Las consecuencias probables de la violación
• Las medidas adoptadas o propuestas para abordar la violación

8. Derechos de Auditoría

El Responsable del Tratamiento tiene derecho a realizar auditorías e inspecciones para verificar el cumplimiento por parte del Encargado del Tratamiento de este DPA. El Encargado del Tratamiento cooperará plenamente y proporcionará acceso a todas las instalaciones, equipos y registros pertinentes.

9. Duración y Terminación

Este DPA permanecerá en vigor durante la duración del contrato de servicio. Tras su terminación, el Encargado del Tratamiento, a elección del Responsable del Tratamiento, eliminará o devolverá todos los datos personales y certificará que así lo ha hecho.

10. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones establecidas en el contrato de servicio principal. Nada de lo dispuesto en este DPA limita la responsabilidad de cualquiera de las partes por incumplimientos de la legislación de protección de datos.