Anexo de Alojamiento y Subencargados

Este Anexo se incorpora al Acuerdo por referencia, forma parte de él y se rige por él, y tiene el mismo efecto contractual que si estuviera reproducido íntegramente en su texto. Cuando el Acuerdo o la Adenda de Tratamiento de Datos se refieran a los Subencargados contratados por el Proveedor, dicha referencia se entenderá hecha a este Anexo en su versión vigente en cada momento. En caso de contradicción, prevalecerá el Acuerdo (incluida la Adenda de Tratamiento de Datos), salvo en lo relativo a la identificación de las Regiones de Alojamiento, los proveedores de infraestructura, los Subencargados y los mecanismos de transferencia aplicados, materias que se rigen por este Anexo. Este Anexo no crea ningún recurso separado ni adicional, y toda responsabilidad derivada del mismo o relacionada con él queda sujeta a las limitaciones y exclusiones de la Cláusula 12 (Limitación de Responsabilidad) del Acuerdo y computa a efectos de las mismas.

Este Anexo se actualiza conforme a las disposiciones sobre Subencargados de la Adenda de Tratamiento de Datos que forma parte del Acuerdo (y, cuando proceda, del Anexo Complementario del RGPD). El Proveedor notificará con al menos treinta (30) días de antelación cualquier incorporación o sustitución prevista de un Subencargado, y el Licenciatario podrá oponerse por motivos razonables de protección de datos en el plazo de treinta (30) días, según lo previsto en dichas disposiciones.

Cada versión de este Anexo lleva un número de versión y una fecha de entrada en vigor. El historial de versiones de la Sección 8 recoge qué cambió y cuándo.

El Licenciatario selecciona una Región de Alojamiento en el Presupuesto correspondiente, salvo que el Acuerdo especifique la Región de Alojamiento, en cuyo caso se aplicará esta última. Los Datos del Licenciatario se almacenan y Tratan únicamente en la Región de Alojamiento aplicable. La Región de Alojamiento no puede modificarse una vez creada la cuenta.

El servicio de base de datos gestionada utilizado en la Región de Alojamiento de Alemania es OVHcloud Managed MongoDB, operado por OVHcloud. MongoDB, Inc. no tiene acceso a los Datos del Licenciatario y no es Subencargado respecto de dicho servicio.

3.1 Región de Alojamiento de Alemania

3.2 Región de Alojamiento de Estados Unidos

Referencias de las Cláusulas Contractuales Tipo de los Subencargados:

• Amazon Web Services: https://d1.awsstatic.com/legal/aws-dpa/processor-to-processor-sccs.pdf
• MongoDB: https://www.mongodb.com/legal/dpa

Los proveedores de infraestructura indicados en la Sección 2 recurren a sus propios subencargados para prestar sus servicios. Cada proveedor mantiene su propia lista de subencargados y sigue siendo responsable de ellos en virtud de su contrato con el Proveedor.

Los cambios que un proveedor de infraestructura realice en sus propios subencargados se rigen por el contrato entre el Proveedor y dicho proveedor de infraestructura. Cuando tal cambio afecte a la Región de Alojamiento seleccionada por el Licenciatario, el Proveedor lo notificará al Licenciatario conforme a las disposiciones sobre Subencargados de la Adenda de Tratamiento de Datos.

Los siguientes Subencargados intervienen en la relación administrativa y comercial con el Licenciatario y se aplican a todas las Regiones de Alojamiento. No tienen acceso a los Datos del Licenciatario.

Esta sección está pendiente de la confirmación del conjunto completo de encargados de los Datos de Cuenta.

El procesamiento de pagos solo se aplica cuando el Licenciatario paga con tarjeta. Cuando el Licenciatario paga mediante factura y transferencia bancaria, ningún Subencargado de pagos Trata Datos de Cuenta por cuenta del Proveedor.

Cuando el Licenciatario haya seleccionado la Región de Alojamiento de Alemania, el acceso a los Datos del Licenciatario queda restringido al personal autorizado del Proveedor y de sus Subencargados situado en el Espacio Económico Europeo, el Reino Unido o Suiza.

El Proveedor mantiene controles técnicos y organizativos para hacer cumplir esta restricción, entre ellos cuentas individuales nominativas, la prohibición de credenciales compartidas o genéricas, el registro de todos los accesos administrativos y la limitación del acceso a los entornos de producción al personal situado en las ubicaciones indicadas. Estos controles se imponen mediante la configuración de los sistemas y no únicamente mediante políticas.

Cuando el Licenciatario haya seleccionado la Región de Alojamiento de Estados Unidos, los Datos del Licenciatario se Tratan en Estados Unidos y se aplican los mecanismos de transferencia indicados en la Sección 3.2.

Los Datos de Cuenta se Tratan en los sistemas de gestión del Proveedor, que pueden estar situados fuera del Espacio Económico Europeo, en todas las Regiones de Alojamiento. Los Subencargados afectados se identifican en la Sección 5 junto con el mecanismo de transferencia aplicado.

Kendis Oy cuenta con la certificación ISO/IEC 27001. El certificado vigente está disponible previa solicitud, según lo previsto en la Cláusula 10 de la Adenda de Tratamiento de Datos (Auditoría y Cumplimiento).

Las certificaciones de los proveedores de infraestructura indicados en la Sección 2 son publicadas por dichos proveedores y están disponibles previa solicitud, según lo previsto en la Cláusula 10 de la Adenda de Tratamiento de Datos (Auditoría y Cumplimiento).