El presente Acuerdo de Tratamiento de Datos («DPA») forma parte del acuerdo que regula el uso de la Plataforma y los Servicios de KWIGA, incluidos los Términos y condiciones de KWIGA (el «Acuerdo»), entre:
TUTERIA VCC, con domicilio social en 17A Vrabcha Street, Floor 1, Apt 3, 1000 Sofia, Bulgaria («KWIGA», «TUTERIA», «nosotros», «nos» o el «Encargado del tratamiento»),
y
la persona física, empresa, organización, escuela, Experto, creador de cursos u otra entidad que utiliza los Servicios de KWIGA y determina los fines y medios del tratamiento de datos personales a través de la Plataforma KWIGA (el «Cliente», «Usuario de la Plataforma» o «Responsable del tratamiento»).
El presente DPA se aplica cuando y en la medida en que TUTERIA VCC trate Datos Personales por cuenta del Cliente en relación con la prestación de los Servicios de KWIGA.
El presente DPA complementa el Acuerdo y deberá interpretarse junto con la Política de privacidad de KWIGA y otros documentos contractuales aplicables.
A efectos del presente DPA:
«Leyes Aplicables de Protección de Datos» se refiere a todas las leyes de protección de datos y privacidad aplicables al tratamiento de Datos Personales en virtud del presente DPA, incluido, cuando corresponda, el Reglamento (UE) 2016/679 («RGPD»).
«Responsable del tratamiento», «Encargado del tratamiento», «Interesado», «Datos Personales», «Tratamiento», «Violación de la seguridad de los Datos Personales» y «Autoridad de control» tienen los significados que se les atribuyen en el RGPD u otras Leyes Aplicables de Protección de Datos.
«Cliente» se refiere al Usuario de la Plataforma que utiliza los Servicios de KWIGA y determina los fines y medios del Tratamiento de los Datos del Servicio.
«Datos del Servicio» se refiere a los Datos Personales cargados en, recopilados a través de, generados dentro de o tratados de otro modo a través de la Plataforma KWIGA por el Cliente o en su nombre en relación con su uso de los Servicios.
Los Datos del Servicio pueden incluir Datos Personales tratados a través del CRM, LMS, cursos, programas educativos, funcionalidades de gestión de estudiantes y clientes, herramientas de comunicación, automatizaciones, evaluaciones y otras funciones de la Plataforma utilizadas por el Cliente.
«Subencargado del tratamiento» se refiere a un tercero contratado por KWIGA para Tratar los Datos del Servicio por cuenta del Cliente.
Cuando el Cliente determine los fines y medios del Tratamiento de los Datos del Servicio, el Cliente actúa como Responsable del tratamiento de dichos Datos Personales.
El Cliente es responsable de sus actividades de Tratamiento y del cumplimiento de las obligaciones aplicables a los Responsables del tratamiento en virtud de las Leyes Aplicables de Protección de Datos.
Cuando TUTERIA VCC Trata los Datos del Servicio por cuenta del Cliente y de conformidad con las instrucciones del Cliente, TUTERIA VCC actúa como Encargado del tratamiento.
TUTERIA VCC tratará dichos Datos del Servicio de conformidad con el presente DPA, el Acuerdo, las instrucciones documentadas del Cliente y las Leyes Aplicables de Protección de Datos..
Ciertas actividades de Tratamiento podrán ser realizadas por TUTERIA VCC para fines determinados de forma independiente por TUTERIA VCC.
Dichos fines pueden incluir, cuando corresponda:
la administración y operación de la Plataforma KWIGA;
la seguridad e integridad de la Plataforma;
la prevención del fraude y el abuso;
la detección e investigación de accesos no autorizados e incidentes de seguridad;
el cumplimiento de obligaciones legales o regulatorias;
la gestión de las propias relaciones contractuales de TUTERIA VCC;
el establecimiento, ejercicio o defensa de reclamaciones legales; y
otros fines descritos en la Política de Privacidad de KWIGA.
Cuando TUTERIA VCC determine de forma independiente los fines y medios de dicho Tratamiento, TUTERIA VCC actuará como Responsable independiente con respecto a dicho Tratamiento.
Dicho Tratamiento se rige por la Política de Privacidad de KWIGA y las Leyes Aplicables de Protección de Datos y no constituye un Tratamiento realizado por TUTERIA VCC como Encargado en virtud de este DPA.
El hecho de que el Cliente y TUTERIA VCC puedan Tratar determinada información relativa al mismo Interesado no significa, por sí solo, que las partes actúen como corresponsables del tratamiento.
La función de cada parte se determinará en función de los fines y medios de la actividad de Tratamiento pertinente.
El Cliente cumplirá las Leyes Aplicables de Protección de Datos en relación con la recopilación, el uso, la divulgación y otros Tratamientos de los Datos del Servicio.
El Cliente es responsable de garantizar que:
a. dispone de una base jurídica adecuada para el Tratamiento de los Datos del Servicio;
b. los Datos del Servicio se han recopilado lícitamente;
c. los Datos del Servicio se divulgan lícitamente o se ponen de otro modo a disposición de KWIGA para su Tratamiento;
d. los Interesados reciben los avisos de privacidad y la información exigidos por las Leyes Aplicables de Protección de Datos;
e. se ha obtenido válidamente cualquier consentimiento requerido para las actividades de Tratamiento del Cliente;
f. las instrucciones del Cliente a KWIGA cumplen con las Leyes Aplicables de Protección de Datos;
g. el Cliente trata únicamente los Datos Personales necesarios para sus fines legítimos y lícitos; y
h. se establecen períodos de conservación adecuados para los Datos del Servicio bajo el control del Cliente.
El Cliente no utilizará los Servicios para recopilar o Tratar Categorías Especiales de Datos Personales en el sentido del artículo 9 del RGPD, salvo que el Cliente haya establecido una base jurídica válida y, cuando sea necesario, una condición aplicable conforme al artículo 9 del RGPD para dicho Tratamiento.
Cuando el Cliente utilice cuestionarios, formularios, campos personalizados, contenido cargado u otras funciones de los Servicios para recopilar o Tratar dichos datos, el Cliente actuará como Responsable y será responsable de determinar la licitud, los fines y el alcance de dicho Tratamiento, de proporcionar toda la información requerida a los Interesados, de obtener el consentimiento explícito cuando se base en el consentimiento y de cumplir todos los demás requisitos aplicables de las Leyes Aplicables de Protección de Datos.
KWIGA Trata dichos Datos del Servicio en nombre del Cliente y de conformidad con las instrucciones documentadas del Cliente y este DPA.
El Cliente instruye a KWIGA para que Trate los Datos del Servicio según sea necesario para:
prestar los Servicios seleccionados y configurados por el Cliente;
alojar y mantener los Datos del Servicio;
proporcionar funcionalidades de CRM, LMS y otras funcionalidades de la Plataforma;
proporcionar acceso a cursos y otros productos;
administrar las funcionalidades seleccionadas por el Cliente;
proporcionar soporte técnico;
mantener y proteger los Servicios; y
ejecutar de otro modo el Contrato y las instrucciones documentadas del Cliente.
El uso y la configuración de la Plataforma KWIGA por parte del Cliente, incluidos los ajustes, las acciones y las funcionalidades activadas por el Cliente, así como la creación y publicación por parte del Cliente de páginas web, formularios, notificaciones y otros materiales mediante la Plataforma, podrán considerarse instrucciones documentadas a efectos del presente DPA.
El Cliente determina de forma independiente el contenido de su Política de Privacidad, avisos de privacidad, formularios y otros materiales proporcionados a los Interesados mediante la Plataforma, y es responsable de garantizar que dichos materiales cumplan con la Legislación Aplicable en materia de Protección de Datos y reflejen el tratamiento efectivo de los datos personales del Cliente. KWIGA no está obligada a revisar ni aprobar el contenido de dichos materiales.
Si KWIGA considera razonablemente que una instrucción del Cliente infringe las Leyes Aplicables de Protección de Datos, KWIGA informará al Cliente sin demora indebida.
KWIGA podrá suspender el Tratamiento pertinente en la medida razonablemente necesaria hasta que la instrucción sea modificada, aclarada o confirmada como lícita.
KWIGA tratará los Datos del Servicio únicamente conforme a las instrucciones documentadas del Cliente, salvo que el Tratamiento sea exigido por la legislación aplicable de la Unión o de los Estados miembros.
Cuando KWIGA esté obligado por ley a tratar los Datos del Servicio de forma distinta a las instrucciones del Cliente, KWIGA informará al Cliente de dicho requisito legal antes del Tratamiento, salvo que la ley prohíba dicha información por importantes motivos de interés público.
KWIGA garantizará que las personas autorizadas para tratar los Datos del Servicio:
traten dichos datos únicamente según sea necesario para el desempeño de sus funciones;
estén sujetas a obligaciones de confidencialidad adecuadas; y
reciban acceso únicamente cuando sea razonablemente necesario.
KWIGA implementará medidas técnicas y organizativas adecuadas diseñadas para proteger los Datos del Servicio de conformidad con la Sección 7 y el Apéndice B del presente DPA.
Teniendo en cuenta la naturaleza del Tratamiento y la información disponible para KWIGA, KWIGA proporcionará asistencia razonable al Cliente para cumplir sus obligaciones conforme a las Leyes Aplicables de Protección de Datos, incluidas las obligaciones relacionadas con:
solicitudes de los Titulares de los Datos;
seguridad del Tratamiento;
Violaciones de Datos Personales;
evaluaciones de impacto relativas a la protección de datos; y
consultas con las Autoridades de Control, cuando corresponda.
KWIGA mantendrá registros e información relativos a sus actividades de Tratamiento en la medida exigida por las Leyes Aplicables de Protección de Datos.
El Cliente, como Responsable del Tratamiento, es el principal responsable de responder a las solicitudes de los Titulares de los Datos relacionadas con los Datos del Servicio tratados por KWIGA en nombre del Cliente.
KWIGA proporciona al Cliente funcionalidades y/o mecanismos adecuados para acceder, gestionar y exportar los Datos del Servicio bajo el control del Cliente y, cuando la funcionalidad pertinente lo permita, para corregir o eliminar dichos Datos del Servicio, sujeto a los requisitos legales aplicables.
Teniendo en cuenta la naturaleza del Tratamiento, KWIGA proporcionará asistencia razonable al Cliente mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para el cumplimiento de las obligaciones del Cliente de responder a las solicitudes de los Titulares de los Datos.
Si KWIGA recibe una solicitud de un Titular de los Datos relacionada principalmente con Datos del Servicio respecto de los cuales el Cliente es el Responsable del Tratamiento, KWIGA podrá remitir al Titular de los Datos al Cliente y, cuando corresponda, informar al Cliente de la solicitud.
KWIGA no responderá de forma independiente a dicha solicitud en nombre del Cliente, salvo que:
el Cliente lo instruya;
esté permitido en virtud del Acuerdo; o
sea exigido por la legislación aplicable.
Al aceptar el presente DPA, el Cliente proporciona a KWIGA una instrucción documentada permanente para tratar y, cuando corresponda, eliminar o anonimizar los Datos del Servicio en respuesta a las solicitudes de supresión presentadas por los Interesados.
Cuando KWIGA reciba una solicitud de un Interesado relativa a los Datos del Servicio respecto de los cuales el Cliente actúe como Responsable del Tratamiento, KWIGA notificará dicha solicitud al Cliente y le ofrecerá la oportunidad de proporcionar instrucciones documentadas adicionales o contrarias a las instrucciones iniciales.
Si el Cliente no proporciona instrucciones documentadas contrarias a las instrucciones iniciales dentro de los catorce (14) días naturales siguientes a la fecha de la notificación de KWIGA, KWIGA estará autorizada e instruida para proceder a la eliminación o anonimización de los Datos del Servicio correspondientes, de conformidad con el presente DPA y la Legislación Aplicable en materia de Protección de Datos. El plazo de catorce (14) días naturales constituye un plazo contractual para que el Cliente proporcione instrucciones a KWIGA y no establece ni modifica ningún plazo legal aplicable al Cliente o a KWIGA en virtud de la Legislación Aplicable en materia de Protección de Datos, incluido el RGPD, la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act), en su versión modificada, o la Ley de Privacidad y Seguridad de Datos de Texas (Texas Data Privacy and Security Act).
KWIGA podrá proceder a dicha eliminación o anonimización salvo que el Cliente haya proporcionado instrucciones documentadas contrarias a las instrucciones iniciales dentro del plazo aplicable de catorce (14) días naturales. Los Datos Personales no serán eliminados ni anonimizados en la medida en que su conservación o tratamiento continuados sean exigidos por la Legislación Aplicable en materia de Protección de Datos o por el presente DPA.
El Cliente, como Responsable del Tratamiento, es responsable de determinar los períodos de conservación adecuados para los Datos del Servicio tratados con fines determinados por el Cliente, sujeto a los acuerdos de conservación y eliminación establecidos en el presente DPA y en el Acuerdo.
Pueden aplicarse diferentes períodos de conservación a los Datos del Servicio en función de la naturaleza y la finalidad de los datos correspondientes y de la funcionalidad mediante la cual dichos datos sean Tratados.
Tras la terminación o el vencimiento de la suscripción del Cliente, los Datos del Servicio relacionados con el Cliente correspondiente podrán conservarse durante un período de hasta noventa (90) días desde la fecha de finalización del período de suscripción del Cliente, con el fin de permitir la reactivación, la recuperación de datos y la finalización ordenada del uso de los Servicios.
Una vez transcurrido el período de 90 días anteriormente indicado, la cuenta y/o escuela correspondiente podrá ser desactivada, ocultada o quedar inaccesible de otro modo a través de la interfaz habitual de la Plataforma KWIGA, sin que ello implique la eliminación o modificación de los Datos del Servicio contenidos en ella.
Los Datos del Servicio correspondientes podrán conservarse durante un período adicional de hasta noventa (90) días con el fin de permitir su restauración, resolver cuestiones técnicas o contractuales y garantizar la finalización ordenada de la prestación de los Servicios.
Una vez transcurrido un período total de ciento ochenta (180) días desde la terminación o el vencimiento de la suscripción, los Datos del Servicio correspondientes serán eliminados de los sistemas activos de la Plataforma KWIGA de conformidad con los procedimientos aplicables de conservación y eliminación de datos.
El procedimiento anterior se aplicará con sujeción a las instrucciones documentadas del Responsable del Tratamiento correspondiente, al presente DPA y a las Leyes Aplicables de Protección de Datos. No se aplicará a los Datos Personales que TUTERIA VCC Trate de forma independiente y lícita en calidad de Responsable del Tratamiento independiente de conformidad con la Sección 5.7.
Los Datos del Servicio se conservan generalmente durante el uso por parte del Cliente de los Servicios KWIGA pertinentes y de conformidad con:
las instrucciones documentadas del Cliente;
el presente DPA;
el Acuerdo; y
Leyes de protección de datos aplicables.
Nada de lo dispuesto en esta Sección exime al Cliente de su responsabilidad como Responsable del tratamiento de determinar si determinados Datos del Servicio siguen siendo necesarios y deben continuar conservándose.
KWIGA proporciona al Cliente funcionalidades y/o mecanismos adecuados para acceder, gestionar y exportar los Datos del Servicio bajo el control del Cliente y, cuando la funcionalidad pertinente lo permita, eliminar dichos Datos del Servicio, con sujeción a los requisitos legales aplicables.
Cuando el Cliente elimine manualmente un contacto u otros Datos del Servicio a través de la Plataforma KWIGA, los datos correspondientes serán inicialmente objeto de una eliminación lógica (soft deletion) y podrán recuperarse durante un período de hasta treinta (30) días desde la fecha de eliminación. Transcurrido dicho período, los Datos Personales correspondientes serán eliminados de forma permanente de los sistemas activos de la Plataforma KWIGA, con sujeción a los requisitos legales aplicables y a la conservación de aquellos datos que el Encargado del Tratamiento tenga derecho u obligación legal de conservar.
Tras la terminación o el vencimiento de la suscripción del Cliente, los Datos del Servicio podrán conservarse de conformidad con los períodos y las condiciones establecidos en la Sección 5.2.
Durante los primeros noventa (90) días, podrá proporcionarse al Cliente una oportunidad razonable para recuperar o exportar los Datos del Servicio, con sujeción a la funcionalidad de los Servicios correspondientes.
Una vez transcurrido dicho período, la cuenta y/o escuela correspondiente podrá ser desactivada, ocultada o quedar inaccesible a través de la interfaz habitual de la Plataforma KWIGA. Los Datos del Servicio podrán conservarse durante un período adicional de hasta noventa (90) días de conformidad con la Sección 5.2.
Una vez transcurrido un período total de ciento ochenta (180) días desde la terminación o el vencimiento de la suscripción, los Datos del Servicio correspondientes serán eliminados de los sistemas activos de la Plataforma KWIGA de conformidad con los procedimientos de eliminación aplicables, el presente DPA, las instrucciones documentadas del Responsable del Tratamiento y las Leyes Aplicables de Protección de Datos.
Cuando los Datos del Servicio permanezcan temporalmente en sistemas de copia de seguridad, recuperación ante desastres o sistemas similares tras su eliminación de los sistemas activos, dichos datos seguirán sujetos a medidas de seguridad adecuadas y no se restaurarán ni utilizarán para el Tratamiento ordinario, salvo cuando sea necesario para la recuperación ante desastres, la seguridad, el cumplimiento legal u otros fines técnicos legítimos.
Dichas copias se eliminarán o sobrescribirán de conformidad con los procedimientos aplicables de conservación de copias de seguridad de KWIGA.
Cuando los Datos del Servicio sean eliminados manualmente por el Cliente y posteriormente eliminados de forma permanente de los sistemas activos, las copias de dichos datos podrán permanecer en los sistemas de copia de seguridad creados antes de la eliminación permanente durante un período adicional de hasta siete (7) días. Transcurrido dicho período, dichas copias serán eliminadas o sobrescritas de conformidad con los procedimientos aplicables de conservación de copias de seguridad.
Esta Sección se aplica a los Datos del Servicio tratados por TUTERIA VCC como Encargado del tratamiento.
No exige a TUTERIA VCC eliminar los Datos Personales que TUTERIA VCC trate de forma independiente y lícita en su calidad de Responsable del tratamiento.
Dichos datos podrán conservarse cuando sea necesario para los fines descritos en la Política de Privacidad y de conformidad con las Leyes de Protección de Datos Aplicables.
El Cliente otorga una autorización general para que KWIGA contrate Subencargados cuando sea razonablemente necesario para la prestación, el mantenimiento, el soporte, la operación o la seguridad de los Servicios de KWIGA.
Antes de permitir que un Subencargado trate Datos del Servicio, KWIGA garantizará que el Subencargado esté sujeto a obligaciones contractuales de protección de datos que proporcionen un nivel adecuado de protección para los Datos del Servicio y cumplan con los requisitos aplicables a los subencargados en virtud de las Leyes de Protección de Datos Aplicables.
KWIGA seguirá siendo responsable del cumplimiento de sus obligaciones de protección de datos por parte de sus Subencargados en la medida exigida por las Leyes de Protección de Datos Aplicables.
KWIGA pondrá a disposición de los Clientes información sobre los Subencargados pertinentes a través de un mecanismo adecuado.
Cuando lo exijan las Leyes de Protección de Datos Aplicables, KWIGA proporcionará un aviso razonable sobre los cambios materiales previstos relativos a la incorporación o sustitución de Subencargados.
El Cliente podrá plantear objeciones razonables relacionadas específicamente con preocupaciones de protección de datos derivadas del Subencargado propuesto.
Las partes actuarán de buena fe para abordar cualquier objeción razonable de este tipo.
Cuando un Cliente habilite o conecte de forma independiente una integración de terceros utilizando su propia cuenta, credenciales o claves de API, TUTERIA trata y transmite los Datos del Servicio a dicho tercero siguiendo las instrucciones documentadas del Cliente.
El Cliente es responsable de determinar si su uso de dicho servicio de terceros cumple con las Leyes de Protección de Datos Aplicables, incluido el establecimiento de los acuerdos contractuales y las salvaguardias para transferencias internacionales de datos exigidos con dicho tercero.
Teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del Tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas, KWIGA implementará y mantendrá medidas técnicas y organizativas adecuadas diseñadas para garantizar un nivel de seguridad apropiado al riesgo.
Dependiendo de la naturaleza y los riesgos del Tratamiento pertinente, dichas medidas pueden incluir:
a. mecanismos de control de acceso y autorización;
b. medidas diseñadas para mantener una separación y autorización adecuadas entre los entornos y los datos del Cliente;
c. medidas de autenticación y gestión de acceso;
d. registro y supervisión;
e. medidas diseñadas para detectar actividades sospechosas, abusos y accesos no autorizados;
f. controles de tráfico y solicitudes, incluidos controles de frecuencia cuando corresponda;
g. gestión de vulnerabilidades;
h. pruebas de seguridad;
i. procedimientos de detección y respuesta a incidentes;
j. medidas de copia de seguridad y recuperación;
k. controles relativos al acceso por parte de contratistas, proveedores de servicios y otras personas autorizadas;
l. procedimientos para la revisión de eventos e incidentes de seguridad; y
m. revisión y pruebas periódicas de los controles de seguridad técnicos y organizativos pertinentes.
Información adicional sobre las categorías de medidas técnicas y organizativas implementadas por KWIGA se establece en Apéndice B.
KWIGA puede actualizar sus medidas técnicas y organizativas periódicamente para reflejar:
avances tecnológicos;
riesgos identificados;
cambios en los Servicios;
resultados de revisiones de seguridad;
incidentes de seguridad; y
cambios en la legislación aplicable.
Dichos cambios no reducirán materialmente el nivel general de protección proporcionado a los Datos de Servicio.
KWIGA notificará al Cliente sin demora indebida tras tener conocimiento de una Violación de Datos Personales que afecte a los Datos de Servicio Tratados por KWIGA en nombre del Cliente.
En la medida en que la información pertinente esté razonablemente disponible para KWIGA, la notificación incluirá:
a. una descripción de la naturaleza de la Violación de Datos Personales;
b. las categorías de Datos Personales afectados;
c. las categorías de Interesados afectados;
d. el número aproximado de Interesados afectados, cuando se conozca;
e. el número aproximado de registros de Datos Personales afectados, cuando se conozca;
f. las posibles consecuencias de la Violación de Datos Personales, cuando razonablemente puedan determinarse;
g. las medidas adoptadas o propuestas para contener, investigar y subsanar la Violación de Datos Personales; y
h. datos de contacto u otro canal de contacto adecuado a través del cual pueda obtenerse más información.
Cuando no toda la información pertinente esté disponible en el momento de la notificación inicial, KWIGA podrá proporcionar inicialmente la información disponible y complementarla por fases a medida que avance la investigación.
KWIGA adoptará las medidas adecuadas para:
investigar el incidente;
identificar su naturaleza y alcance;
contener el incidente;
mitigar los efectos adversos razonablemente previsibles;
conservar las pruebas pertinentes;
subsanar las vulnerabilidades identificadas cuando corresponda; y
adoptar medidas razonables destinadas a reducir el riesgo de recurrencia.
Teniendo en cuenta la naturaleza del Tratamiento y la información disponible para KWIGA, KWIGA prestará asistencia razonable al Cliente para cumplir las obligaciones aplicables relativas a:
notificación a una Autoridad de Control;
comunicación con los Titulares de los Datos afectados;
evaluación de los riesgos para los derechos y libertades de las personas; y
documentación de la Violación de Datos Personales.
El Cliente seguirá siendo responsable, en su calidad de Responsable del Tratamiento, de determinar si una Violación de Datos Personales que afecte a los Datos del Servicio requiere:
notificación a una Autoridad de Control;
comunicación a los Titulares de los Datos afectados; o
cualquier otra medida exigida en virtud de las Leyes Aplicables de Protección de Datos.
Esto no afecta a ninguna obligación legal independiente de TUTERIA VCC relativa a los Datos Personales respecto de los cuales TUTERIA VCC actúe como Responsable del Tratamiento.
La notificación de una Violación de Datos Personales o la cooperación en relación con ella no constituirá, por sí sola, un reconocimiento de culpa o responsabilidad por ninguna de las partes.
Cuando los Datos del Servicio se Traten dentro del Espacio Económico Europeo («EEE»), dicho Tratamiento no constituirá una transferencia a un tercer país a efectos del Capítulo V del RGPD.
Cuando KWIGA o un Subencargado autorizado transfiera Datos del Servicio fuera del EEE a una jurisdicción que no haya sido reconocida como garante de un nivel adecuado de protección conforme a la legislación aplicable, KWIGA garantizará que se implemente un mecanismo de transferencia adecuado cuando sea necesario.
Dichos mecanismos pueden incluir:
una decisión de adecuación adoptada por la Comisión Europea;
Cláusulas Contractuales Tipo aprobadas por la Comisión Europea;
Normas Corporativas Vinculantes, cuando corresponda; o
otro mecanismo de transferencia lícito reconocido en virtud de las Leyes Aplicables de Protección de Datos.
Cuando lo exijan las Leyes Aplicables de Protección de Datos, KWIGA implementará medidas complementarias adecuadas para la transferencia pertinente y los riesgos asociados.
KWIGA proporcionará, previa solicitud del Cliente, información razonable sobre las garantías aplicables para las transferencias internacionales cuando así lo exijan las Leyes Aplicables de Protección de Datos.
KWIGA pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones de KWIGA como Encargado del Tratamiento en virtud de las Leyes Aplicables de Protección de Datos.
Previa solicitud escrita razonable, KWIGA proporcionará información pertinente sobre:
su Tratamiento de los Datos del Servicio;
las medidas técnicas y organizativas aplicables;
los Subencargados pertinentes; y
otras cuestiones razonablemente necesarias para que el Cliente evalúe el cumplimiento de KWIGA con este DPA.
Cuando la información puesta a disposición por KWIGA no sea razonablemente suficiente para demostrar el cumplimiento y se requiera una auditoría en virtud de las Leyes Aplicables de Protección de Datos, KWIGA permitirá y contribuirá a auditorías o inspecciones razonables relacionadas con el Tratamiento de los Datos del Servicio.
Salvo que una Autoridad de Control o las Leyes Aplicables de Protección de Datos exijan lo contrario, el Cliente deberá:
proporcionar un aviso previo razonable por escrito de una auditoría;
limitar la auditoría a cuestiones pertinentes para el Tratamiento en virtud de este DPA;
realizar la auditoría durante el horario comercial habitual cuando sea razonablemente posible;
evitar interrupciones innecesarias en las operaciones de KWIGA; y
garantizar que los auditores estén sujetos a obligaciones de confidencialidad adecuadas.
Una auditoría no otorgará al Cliente ni a su auditor el derecho a acceder a:
Datos Personales pertenecientes a otro Cliente;
información confidencial de otro Cliente;
información que comprometería la seguridad de los sistemas de KWIGA;
código fuente u otra propiedad intelectual protegida, salvo cuando lo exija específicamente la legislación aplicable; o
información no relacionada con las actividades de Tratamiento del Cliente.
Las partes cooperarán de buena fe con respecto a solicitudes razonables de auditoría por parte de Autoridades de Control competentes.
Teniendo en cuenta la naturaleza del Tratamiento y la información disponible para KWIGA, KWIGA proporcionará asistencia razonable al Cliente con las evaluaciones de impacto relativas a la protección de datos cuando el Cliente esté obligado a realizar dicha evaluación en virtud de las Leyes Aplicables de Protección de Datos.
Cuando lo exijan las Leyes Aplicables de Protección de Datos, KWIGA proporcionará asistencia razonable en relación con la consulta previa a una Autoridad de Control competente respecto del Tratamiento realizado a través de los Servicios.
Cada parte protegerá los Datos Personales y la información confidencial recibidos en relación con este DPA contra la divulgación no autorizada.
KWIGA garantizará que los contratistas, proveedores de servicios y otras personas autorizadas para Tratar Datos de Servicio estén sujetos a obligaciones de confidencialidad adecuadas o a un deber legal de confidencialidad aplicable.
El Cliente garantizará que las credenciales, los derechos de acceso y las funciones administrativas disponibles a través de la Plataforma KWIGA sean utilizados únicamente por personas debidamente autorizadas.
Cada parte mantendrá registros relacionados con sus actividades de Tratamiento en la medida exigida por las Leyes Aplicables de Protección de Datos.
Las partes cooperarán razonablemente entre sí cuando sea necesario para responder a solicitudes lícitas de las Autoridades de Control relacionadas con el Tratamiento regulado por este DPA.
Nada de lo dispuesto en este DPA exige a ninguna de las partes divulgar información cuando la divulgación esté prohibida por la legislación aplicable.
Cada parte será responsable de su propio cumplimiento de las Leyes Aplicables de Protección de Datos y de las obligaciones que le sean asignadas en virtud de este DPA.
La responsabilidad entre las partes que surja en virtud de este DPA o en relación con él estará sujeta a las limitaciones y exclusiones de responsabilidad contenidas en el Acuerdo, en la medida permitida por las Leyes Aplicables de Protección de Datos.
Nada de lo dispuesto en este DPA excluye o limita la responsabilidad cuando dicha exclusión o limitación esté prohibida por la legislación aplicable.
Este DPA entrará en vigor cuando el Cliente quede vinculado por el Acuerdo y KWIGA comience a Tratar Datos de Servicio en nombre del Cliente.
Este DPA permanecerá en vigor mientras KWIGA Trate Datos de Servicio en nombre del Cliente.
La terminación o expiración del Acuerdo no afectará a las disposiciones de este DPA que, por su naturaleza, estén destinadas a sobrevivir a la terminación, incluidas las disposiciones relativas a la confidencialidad, la eliminación o devolución de los Datos de Servicio, la responsabilidad y la legislación aplicable.
Este DPA forma parte del Acuerdo entre el Cliente y TUTERIA VCC que regula el uso de los Servicios de KWIGA.
En caso de conflicto entre este DPA y otra disposición del Acuerdo relativa al Tratamiento de Datos de Servicio por parte de TUTERIA VCC como Encargado del Tratamiento, este DPA prevalecerá respecto de la cuestión de protección de datos en conflicto.
La Política de privacidad de KWIGA regula las actividades de Tratamiento para las que TUTERIA VCC actúa como Responsable del Tratamiento.
Este DPA regula el Tratamiento de Datos de Servicio realizado por TUTERIA VCC en nombre del Cliente como Encargado del Tratamiento.
Este DPA se regirá por la legislación aplicable al Acuerdo entre el Cliente y TUTERIA VCC, sin perjuicio de las disposiciones imperativas de las Leyes Aplicables de Protección de Datos.
Nada de lo dispuesto en este DPA limita la aplicación del RGPD ni las facultades y la jurisdicción de una Autoridad de Control competente cuando dicha legislación o jurisdicción sea aplicable.
KWIGA podrá actualizar este DPA cuando sea razonablemente necesario para:
cumplir con los cambios en las Leyes Aplicables de Protección de Datos;
reflejar cambios en los Servicios de KWIGA;
actualizar las medidas técnicas u organizativas;
actualizar los acuerdos de Tratamiento; o
aclarar los derechos y obligaciones de las partes.
Cuando una modificación afecte sustancialmente al Tratamiento de los Datos de Servicio o a los derechos y obligaciones del Cliente en materia de protección de datos, KWIGA proporcionará un aviso razonable cuando así lo exija la legislación aplicable o el Contrato.
Las preguntas relativas a este DPA o al Tratamiento por parte de KWIGA de los Datos de Servicio en nombre de un Cliente pueden enviarse a:
TUTERIA VCC
Calle Vrabcha 17A, Piso 1, Apt. 3
1000 Sofía, Bulgaria
Correo electrónico: support@kwiga.com
Este Apéndice forma parte del Acuerdo de Tratamiento de Datos.
Tratamiento de los Datos de Servicio por parte de KWIGA según sea necesario para proporcionar, mantener, respaldar y proteger los Servicios de KWIGA seleccionados y configurados por el Cliente.
Durante el período de uso por parte del Cliente de los Servicios de KWIGA pertinentes. Tras la terminación o el vencimiento de la suscripción del Cliente, los Datos de Servicio específicos del Cliente podrán conservarse durante un máximo de noventa (90) días desde el final del período de suscripción del Cliente para permitir la reactivación, la recuperación de datos y la terminación ordenada de los Servicios.
Tras el vencimiento de este período, los Datos Personales contenidos en los Datos de Servicio específicos del Cliente, incluidos los datos de pedidos asociados, se anonimizarán de conformidad con la Sección 5 del DPA y los procedimientos de conservación aplicables de KWIGA. Tras noventa (90) días adicionales después de dicha anonimización, los datos correspondientes se eliminarán permanentemente de los sistemas activos de la Plataforma KWIGA de conformidad con los procedimientos aplicables de conservación y eliminación, salvo que la conservación continuada sea exigida por la legislación aplicable o esté permitida de otro modo en virtud del DPA. Cuando TUTERIA VCC trate Datos Personales en nombre del Cliente como Encargado del Tratamiento, este proceso de conservación y eliminación se aplicará con sujeción a las instrucciones documentadas del Cliente, al acuerdo de tratamiento de datos aplicable y a las Leyes Aplicables de Protección de Datos.
Los Datos Personales tratados por TUTERIA VCC en su calidad de Responsable del Tratamiento independiente están sujetos a los períodos de conservación aplicables a dicho Tratamiento.
Dependiendo de los Servicios seleccionados y configurados por el Cliente, el Tratamiento puede incluir:
recopilación;
registro;
organización;
estructuración;
almacenamiento;
alojamiento;
adaptación;
recuperación;
consulta;
uso;
transmisión;
puesta a disposición;
administración;
análisis según las instrucciones del Cliente;
restricción;
exportación;
eliminación;
anonimización; y
otro Tratamiento necesario para prestar los Servicios seleccionados.
Tratamiento de los Datos del Servicio para las finalidades determinadas por el Cliente, incluidas, según el uso que el Cliente haga de KWIGA:
gestión de estudiantes y clientes;
funcionalidad de CRM;
funcionalidad de LMS;
impartición y administración de cursos y programas educativos;
administración del acceso a productos digitales;
pruebas, cuestionarios y tareas;
seguimiento del progreso del curso;
certificados;
comunicación con estudiantes y clientes;
funcionalidad de correo electrónico y notificaciones;
automatizaciones;
administración de pedidos;
funcionalidad de integración;
atención al cliente;
informes y análisis seleccionados por el Cliente; y
otra funcionalidad habilitada o configurada por el Cliente.
Según el uso que el Cliente haga de los Servicios, los Interesados pueden incluir:
estudiantes;
alumnos;
clientes;
clientes potenciales;
suscriptores;
participantes del curso;
empleados y contratistas del Cliente;
instructores;
administradores;
asistentes;
representantes del Cliente; y
otras personas cuyos Datos Personales sean enviados a la Plataforma KWIGA o tratados a través de ella por el Cliente o en su nombre.
Según los Servicios utilizados por el Cliente, los Datos del Servicio pueden incluir:
Información de identidad y perfil
nombre;
segundo nombre;
apellido;
imagen de perfil;
identificadores de cuenta o perfil.
Información de contacto
dirección de correo electrónico;
número de teléfono;
otros datos de contacto proporcionados por el Cliente o el Titular de los Datos.
Información educativa y de aprendizaje
cursos y programas;
inscripción;
información de acceso;
progreso del curso;
finalización de lecciones;
respuestas de cuestionarios y pruebas;
resultados de pruebas;
puntuaciones;
tareas;
comentarios;
certificados;
logros;
puntos y estados.
Información de CRM y gestión de clientes
etiquetas;
grupos;
estado del cliente;
notas;
historial del cliente;
historial de comunicaciones;
campos personalizados configurados por el Cliente.
Información relacionada con pedidos y transacciones
identificadores de pedido;
productos;
importes;
monedas;
descuentos;
cupones;
estado del pago;
fechas de transacción;
información sobre reembolsos;
parámetros de cuotas o suscripciones;
otra información sobre pedidos procesada en nombre del Cliente.
KWIGA no exige que los Clientes introduzcan datos de seguridad de tarjetas de pago, como números completos de tarjeta o códigos CVC, en campos ordinarios de Datos del Servicio de CRM o LMS.
Comunicaciones
mensajes;
correos electrónicos;
comentarios;
información relacionada con la asistencia;
otras comunicaciones procesadas a través de la funcionalidad seleccionada por el Cliente.
Información técnica
En la medida en que se Procesen en nombre del Cliente:
dirección IP;
información de inicio de sesión/actividad;
información del dispositivo o navegador;
identificadores técnicos;
marcas de tiempo.
Los Servicios de KWIGA no exigen que el Cliente Procese Categorías Especiales de Datos Personales. Sin embargo, los Datos del Servicio pueden incluir Categorías Especiales de Datos Personales cuando el Cliente decida recopilar o Procesar de otro modo dichos datos a través de cuestionarios, formularios, campos personalizados, contenido cargado, comunicaciones u otras funciones configurables de los Servicios.
El Cliente determina el contenido y los fines de dicho Procesamiento y es responsable de establecer una base jurídica aplicable y, cuando sea necesario, una condición aplicable conforme al artículo 9 del RGPD.
El Procesamiento puede producirse de forma continua o periódica durante el uso por parte del Cliente de los Servicios pertinentes, según la funcionalidad seleccionada y las instrucciones del Cliente.
TUTERIA VCC implementa medidas técnicas y organizativas diseñadas para proporcionar un nivel de seguridad adecuado a los riesgos asociados con el Procesamiento de los Datos del Servicio.
Las medidas descritas a continuación representan categorías de medidas de seguridad y pueden adaptarse o complementarse periódicamente en función de la naturaleza del Procesamiento, los avances tecnológicos, los riesgos identificados y los cambios en los Servicios de KWIGA.
KWIGA implementa medidas diseñadas para restringir el acceso a los Datos Personales y a la funcionalidad de la Plataforma a usuarios, personas y sistemas autorizados.
Dichas medidas pueden incluir:
autenticación de usuarios;
gestión de funciones y permisos;
controles de autorización;
restricciones de acceso basadas en el contexto pertinente del usuario o del Cliente;
gestión y revisión de los derechos internos de acceso; y
medidas diseñadas para prevenir el acceso no autorizado entre entornos de Clientes.
KWIGA implementa controles técnicos diseñados para garantizar que el acceso a los datos de los Clientes se restrinja adecuadamente según el Cliente, la cuenta, la escuela, el proyecto u otro contexto de autorización aplicable.
Los controles de autorización se revisan y prueban según corresponda para la funcionalidad pertinente.
KWIGA utiliza mecanismos de registro y supervisión adecuados para el funcionamiento y la seguridad de los Servicios.
Estas medidas pueden incluir:
registro de aplicaciones y sistemas;
supervisión de eventos de seguridad;
detección de actividad sospechosa;
supervisión de errores;
supervisión del tráfico;
análisis de actividad inusual o potencialmente abusiva; y
mantenimiento de registros pertinentes de incidentes de seguridad.
KWIGA implementa medidas diseñadas para detectar, restringir y responder al abuso, al acceso no autorizado y al uso indebido automatizado de las funcionalidades de la Plataforma.
Dependiendo del servicio o punto de conexión pertinente, dichas medidas pueden incluir:
controles de solicitudes;
controles de frecuencia;
restricciones de acceso;
mecanismos de bloqueo automatizados o manuales;
detección de actividad sospechosa; y
controles adicionales de verificación o autorización.
KWIGA mantiene procesos para identificar, evaluar y subsanar vulnerabilidades de seguridad.
Dichas medidas pueden incluir:
revisiones de seguridad;
pruebas de controles de autorización;
pruebas automatizadas cuando corresponda;
subsanación de vulnerabilidades;
revisión de hallazgos de seguridad;
pruebas de regresión; y
verificación de medidas correctivas.
KWIGA mantiene procesos diseñados para detectar, escalar, investigar, contener y subsanar incidentes de seguridad y violaciones de datos personales.
Dichos procesos pueden incluir:
escalamiento de incidentes;
investigación técnica;
conservación y análisis de registros pertinentes;
medidas de contención;
subsanación;
evaluación de riesgos;
evaluación de notificación a autoridades regulatorias y al Cliente;
revisión posterior al incidente; y
implementación de acciones correctivas.
Las personas autorizadas para acceder a los Datos del Servicio están sujetas a obligaciones de confidencialidad adecuadas.
El acceso a los Datos Personales se proporciona en función de los requisitos operativos y se limita cuando sea razonablemente posible.
KWIGA mantiene procesos de copia de seguridad y recuperación adecuados para los Servicios y la infraestructura pertinentes.
Los datos de copia de seguridad están sujetos a controles adecuados de acceso y seguridad.
Los Datos Personales eliminados pueden permanecer temporalmente en los sistemas de copia de seguridad hasta que se eliminen o sobrescriban de conformidad con los procedimientos aplicables de retención de copias de seguridad.
KWIGA implementa medidas diseñadas para respaldar la disponibilidad y resiliencia de los Servicios adecuadas a la naturaleza y el riesgo del Tratamiento pertinente.
Las medidas técnicas y organizativas podrán revisarse y actualizarse en función de:
cambios en la Plataforma;
riesgos de seguridad identificados;
hallazgos de vulnerabilidades;
incidentes;
cambios en los requisitos legales aplicables; y
avances tecnológicos.
Las actualizaciones no reducirán sustancialmente el nivel general de protección proporcionado a los Datos de Servicio.