ANEXO DE PROTECCIÓN DE DATOS PARA SERVICIOS EN LA NUBE DE TRANSMIT SECURITY

Fecha de entrada en vigor: 18 de noviembre de 2024

Este Anexo sobre Protección de Datos (este “Anexo“) complementa y forma parte del Acuerdo de Transmit Security para Servicios en la Nube (“Acuerdo“) celebrado entre Usted y Transmit Security. Salvo que se modifiquen en este Anexo, los términos del Acuerdo permanecerán en pleno vigor y efecto y los términos definidos en el Acuerdo tendrán el mismo significado en este Anexo, a menos que se definan de forma diferente en este Anexo. En caso de conflicto entre el Acuerdo y este Anexo, prevalecerán los términos de este Anexo. Para evitar cualquier duda, este Anexo entrará en vigor en la fecha más próxima de las siguientes (según proceda): (i) la fecha de entrada en vigor del Acuerdo, o (ii) el inicio del procesamiento de los Datos Personales de los Usuarios Finales a través de los Servicios en la Nube, y permanecerá en vigor hasta la rescisión del Acuerdo; o el último procesamiento de los Datos Personales de los Usuarios Finales en virtud del Acuerdo y de este Anexo.

1. Definiciones. En este Anexo, las siguientes palabras y expresiones tienen los siguientes significados:
   
   1. “Controlador”, “Titular de los Datos”, “Violación de Datos Personales”, “Procesador”, “Autoridad Supervisora” y “procesamiento” tienen los significados que se dan a esos términos en el GDPR (y los términos relacionados, como “proceso”, “procesos” y “procesados” tendrán los significados correspondientes).
   2. “Leyes de Protección de Datos” significa todas las leyes y regulaciones relacionadas con la protección de datos y la privacidad aplicables a las partes y/o al procesamiento de Datos Personales Personalizados en virtud de este Anexo, incluido, sin limitación, el Reglamento General de Protección de Datos de la UE 2016/679 (“GDPR de la UE”), el GDPR de la UE en la forma en que se incorporó a las leyes del Reino Unido en virtud de la Ley de la Unión Europea (Retirada) de 2018 (“GDPR del Reino Unido”, junto con el GDPR de la UE, el “GDPR”), la Ley de Protección de Datos del Reino Unido de 2018, y cualquier legislación y regulaciones de implementación asociadas, en cada caso, según estén en vigor y sean aplicables, y según se modifiquen, complementen o reemplacen de vez en cuando. “Cláusulas Contractuales Tipo de la UE” se refiere al Anexo de la decisión de la Comisión Europea de 4 de junio de 2021 sobre Cláusulas Contractuales Tipo para la transferencia de datos personales a terceros países que no garanticen un nivel adecuado de protección de datos de conformidad con el GDPR.
   3. “Datos Personales del Usuario Final” significa los Datos del Usuario Final en la medida en que dichos datos consistan en Datos Personales;
   4. “Datos Personales del Usuario Final de la Red de Identidad” significa los Datos del Usuario Final de la Red de Identidad en la medida en que dichos datos consistan en Datos Personales.
   5. “Anexo del Reino Unido” significa el Anexo de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo, emitido por el Comisionado de Información del Reino Unido para las partes que realizan transferencias restringidas, que entró en vigor el 21 de marzo de 2022.
   6. “Sub-Procesador” significa otro Procesador contratado por Transmit Security mientras actúa como Procesador para llevar a cabo actividades de procesamiento con respecto a los Datos Personales del Usuario Final.

2. Transmit Security como Controlador.

   1. Transmit Security y el Cliente serán cada uno Controladores independientes en relación con cualquier Dato Personal del Usuario Final de la Red de Identidad que se procese para todos los fines, incluido, en el caso de Transmit Security, prestar servicios de autenticación al Usuario Final en relación con plataformas tecnológicas de terceros, siempre que Transmit Security siga siendo un Procesador en relación con cualquier uso de Datos Personales del Usuario Final de la Red de Identidad para prestar servicios de autenticación relacionados con el Usuario Final al Cliente. Cada una de las partes cumplirá las Leyes de Protección de Datos aplicables al tratamiento de los Datos Personales del Usuario Final de la Red de Identidad, lo que incluye:
      
      1. la aplicación y el mantenimiento, durante todo el período en que se procesen los Datos Personales del Usuario Final de la Red de Identidad, de medidas técnicas y organizativas que garanticen un nivel de seguridad adecuado a los riesgos que puedan producirse como resultado del procesamiento de los Datos Personales del Usuario Final de la Red de Identidad, incluida la protección frente a la Violación de Datos Personales; y
      2. notificar a los Usuarios Finales cómo se utilizarán los Datos Personales de los Usuarios Finales de la Red de Identidad y obtener los consentimientos necesarios de los Usuarios Finales.
   2. Cuando actúe como Controlador de los Datos Personales de los Usuarios Finales de la Red de Identidad, el Cliente también deberá:
      
      1. proporcionar asistencia razonable a Transmit Security si fuera necesario para: (A) el ejercicio de los Derechos de los Titulares de los Datos; (B) la notificación a los Titulares de los Datos; y (C) la notificación a los Titulares de los Datos y a las Autoridades Supervisoras de las Violaciones de Datos Personales; y
      2. notificar a Transmit Security sin demora indebida: (A) la recepción de una solicitud de un Titular de los Datos relativa a los Datos Personales del Usuario Final de la Red de Identidad; (B) la recepción de cualquier reclamación, queja o alegación relativa al procesamiento de los Datos Personales del Usuario Final de la Red de Identidad por parte de cualquier Autoridad Supervisora o tercero; y (C) el conocimiento de una Violación de Datos Personales que afecte a los Datos Personales del Usuario Final de la Red de Identidad.
   3. El Cliente autoriza a Transmit Security a copiar, anonimizar, crear trabajos derivados y procesar de cualquier otro modo los Datos Personales del Usuario Final, en su totalidad o en parte, con el fin de obtener datos estadísticos y de uso, así como datos relacionados con la funcionalidad de los productos y servicios de Transmit Security, y combinar o incorporar los Datos Personales del Usuario Final con o en otros datos e información similares disponibles, derivados u obtenidos de otros clientes, licenciatarios, usuarios u otras fuentes para mejorar los productos y servicios existentes de Transmit Security y desarrollar nuevos productos y servicios de Transmit Security. Transmit Security es un Controlador para dicho procesamiento y procesará los Datos Personales del Usuario Final de conformidad con las Leyes de Protección de Datos aplicables al procesamiento de dichos datos.

3. Transmit Security como Procesador.

   1. Aparte de lo establecido en la Sección 2, Transmit Security será un Procesador en relación con los Datos Personales del Usuario Final y se aplicará esta Sección 3.

   2. Mandato de Procesamiento e instrucciones del Controlador: Transmit Security llevará a cabo el procesamiento de los Datos Personales de los Usuarios Finales derivados de la prestación de los Servicios en la Nube contratados por el Cliente de conformidad con el Acuerdo, limitándose a realizar las actuaciones que sean necesarias para prestar al Cliente los Servicios en la Nube relativos al procesamiento de los Datos Personales de los Usuarios Finales y a cumplir, por lo demás, sus obligaciones y las instrucciones del Cliente de conformidad con este Anexo y sus Apéndices. En específico, Transmit Security se compromete a llevar a cabo el procesamiento de los Datos Personales del Usuario Final de conformidad con las instrucciones dadas en todo momento por el Cliente, así como con las disposiciones de las Leyes de Protección de Datos, incluso en lo que respecta a las transferencias de Datos Personales del Usuario Final a un tercer país o a una organización internacional, a menos que Transmit Security esté obligada a hacerlo en virtud de las Leyes de Protección de Datos del Reino Unido, del EEA o de la legislación de los Estados Miembros del EEA que le sean aplicables, en cuyo caso Transmit Security informará al Cliente de este requisito legal antes del procesamiento, a menos que la legislación aplicable se lo prohíba. Cuando Transmit Security considere que una instrucción podría dar lugar a una violación de cualquier Ley de Protección de Datos aplicable, Transmit Security lo notificará al Cliente.

   3. Detalles del Procesamiento. Los detalles de las actividades de procesamiento que llevará a cabo Transmit Security con respecto a los Servicios en la Nube se especifican en el Apéndice 1.

   4. Derechos de los Titulares de los Datos. Teniendo en cuenta la naturaleza del procesamiento, Transmit Security asistirá al Cliente, utilizando las medidas técnicas y organizativas adecuadas, en la medida en que sea posible, en el cumplimiento de las obligaciones del Cliente de responder a las solicitudes de los Titulares de los Datos en el ejercicio de sus derechos en virtud de las Leyes de Protección de Datos.

   5. Confidencialidad. Transmit Security se asegurará de que su personal encargado del procesamiento de los Datos Personales de los Usuarios Finales esté sujeto a un compromiso vinculante de confidencialidad.

   6. Violación de Datos Personales. Transmit Security deberá notificar al Cliente sin demora indebida cualquier Violación de Datos Personales que afecte a los Datos Personales del Usuario Final.

   7. Registro de actividades de procesamiento. Transmit Security mantendrá registros escritos actualizados de sus actividades de procesamiento llevadas a cabo en nombre del Cliente en virtud de esta Sección 3 y según lo exigido por las Leyes de Protección de Datos.

   8. Sub-Procesadores. El Cliente reconoce y acepta que Transmit Security podrá contratar a cualquiera de los Sub-Procesadores enumerados en el Apéndice 2 para prestar los Servicios en la Nube al Cliente, que Transmit Security podrá actualizar periódicamente. Si Transmit Security nombra a un nuevo Sub-Procesador no identificado en el Apéndice 2, Transmit Security notificará al Cliente dicho nombramiento en un plazo de 10 días hábiles antes de utilizar el nuevo Sub-Procesador para los Servicios en la Nube. Si el Cliente no presenta ninguna objeción en el plazo de dichos 10 días hábiles o si la objeción no está razonablemente fundada en la falta de garantías necesarias en relación con el cumplimiento de las Leyes de Protección de Datos por parte del Sub-Procesador, dicho Sub-Procesador se considerará aprobado por el Cliente.

      Transmit Security se asegurará de que, antes de permitir que cualquier Sub-Procesador procese Datos Personales del Usuario Final, dicho Sub-Procesador haya suscrito un acuerdo vinculante por escrito con Transmit Security que imponga obligaciones sustancialmente equivalentes y no menos protectoras que las obligaciones impuestas a Transmit Security en virtud del presente Anexo (en la medida aplicable a la naturaleza de los servicios prestados por dicho Sub-Procesador). En caso de que dicho Sub-Procesador incumpla sus obligaciones de protección de datos en relación con los Datos Personales del Usuario Final, Transmit Security seguirá siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de dicho Sub- Procesador.

   9. Asistencia. Transmit Security asistirá razonablemente al Cliente en garantizar el cumplimiento de las obligaciones del Cliente relacionadas con la seguridad del procesamiento, la notificación y la comunicación de una Violación de Datos Personales que afecte a los Datos Personales del Usuario Final, la realización de evaluaciones de impacto sobre la protección de datos por parte del Cliente y las consultas previas con la Autoridad Supervisora pertinente en relación con las evaluaciones de impacto sobre la protección de datos.

   10. Información. Transmit Security pondrá a disposición del Cliente, previa solicitud, la información necesaria para demostrar el cumplimiento de las obligaciones de Transmit Security establecidas en esta Sección 3.

   11. Auditorías. A petición razonable del Cliente (pero no más de una vez cada 12 meses), Transmit Security cooperará con las auditorías e inspecciones de su cumplimiento de los requisitos y obligaciones establecidos en este Anexo y/o en las Leyes de Protección de Datos en relación con los Datos Personales del Usuario Final. Dichas auditorías e inspecciones podrán ser llevadas a cabo por el Cliente o por cualquier tercero de confianza designado por el Cliente sujeto a obligaciones de confidencialidad. Las obligaciones de Transmit Security en virtud de esta sección de auditoría están sujetas a que el Cliente:

       1. Notifique a Transmit Security con una antelación razonable las auditorías y/o inspecciones requeridas por el Cliente;

       2. Garantice que toda la información obtenida o generada por el Cliente o sus representantes en relación con dichas auditorías y/o inspecciones se mantenga estrictamente confidencial (salvo para su divulgación a las Autoridades Supervisoras pertinentes o según lo exija la legislación aplicable); y

       3. Garantice que dichas auditorías y/o inspecciones se lleven a cabo durante el horario laboral normal, con una interrupción mínima de la actividad de Transmit Security y de la actividad de otros clientes de Transmit Security, en la medida en que sea razonablemente factible.

   12. Medidad Técnicas y Organizativas.

       1. Transmit Security implementará y mantendrá las medidas técnicas y organizativas apropiadas en relación con el procesamiento de los Datos Personales del Usuario Final para garantizar un nivel de seguridad adecuado para tratar y proteger los riesgos para los derechos y libertades de los Titulares de los Datos que puedan producirse como consecuencia del procesamiento de dichos Datos Personales del Usuario Final, y según se requiera para evitar la destrucción, pérdida, alteración o divulgación no autorizada, accidental o ilícita, de los Datos Personales Personalizados, o el acceso no autorizado a los mismos, y/o según se requiera de otro modo de conformidad con las Leyes de Protección de Datos, incluidas, entre otras cosas, las medidas establecidas en el Apéndice 3. En el cumplimiento de las anteriores obligaciones, Transmit Security tendrá en cuenta el estado de desarrollo tecnológico existente en cada momento y la naturaleza, el alcance, el contexto y los fines del procesamiento, así como los riesgos anteriormente mencionados.

       2. Transmit Security se asegurará de que todas las personas que actúen bajo su autoridad o en su nombre y que tengan acceso a los Datos Personales del Usuario Final, no procesen los Datos Personales del Usuario Final excepto según las instrucciones del Cliente y lo permitido en este Anexo.

   13. Transferencias Internacionales de Datos Personales del Reino Unido/EEA

       1. Cuando usted contrate con Transmit Security, Inc en virtud del Acuerdo, las partes reconocen que los Datos Personales del Usuario Final serán transferidos por Usted a Transmit Security en los Estados Unidos de América (EE. UU.), y que EE. UU. es un país no considerado adecuado para la transferencia de Datos Personales por la Comisión Europea (en relación con las transferencias sujetas al GDPR de la UE) o el gobierno del Reino Unido (en relación con las transferencias sujetas al GDPR del Reino Unido) (“País No Adecuado“). En la medida en que los Datos Personales del Usuario Final estén sujetos al GDPR, y no sean proporcionados directamente por los Usuarios Finales a Transmit Security, las partes acuerdan que dicha transferencia de datos se regirá por el Módulo Dos: Controlador a Procesador de las Cláusulas Contractuales Tipo de la UE, que por la presente se incorporan y forman parte de este Anexo en la forma establecida en el Apéndice 4, y las partes por la presente concluyen y acuerdan estar obligadas por dichas Cláusulas Contractuales Tipo de la UE. En la medida en que los Datos Personales del Usuario Final estén sujetos al GDPR del Reino Unido y tal como exige el GDPR del Reino Unido, las Cláusulas Contractuales Tipo de la UE se complementarán con el Anexo del Reino Unido, que figura en el Apéndice 6.

       2. En la medida en que los Datos Personales puestos a su disposición por Transmit Security estén sujetos al GDPR y Usted tenga su sede fuera del EEA o del Reino Unido, en un País No Adecuado, las partes acuerdan que cualquier transferencia de Datos Personales de Transmit Security a Usted se regirá por el Módulo Cuatro: Procesador a Controlador de las Cláusulas Contractuales Tipo de la UE que por la presente se incorporan y forman parte de este Anexo en la forma establecida en el Apéndice 5, y las partes por la presente concluyen y acuerdan estar obligadas por dichas Cláusulas Contractuales Tipo de la UE. En la medida en que los Datos Personales estén sujetos al GDPR del Reino Unido y tal como exige el GDPR del Reino Unido, las Cláusulas Contractuales Tipo de la UE se complementarán con el Anexo del Reino Unido, que figura en el Apéndice 6.

       3. Transmit Security no transferirá Datos Personales del Usuario Final a ninguna parte fuera del EEA y del Reino Unido en un País No Adecuado (incluyendo permitir el acceso a Datos Personales Personalizados desde cualquier parte en dichos países) sin el consentimiento previo por escrito del Cliente, a menos que la transferencia/acceso cumpla con las Leyes de Protección de Datos (incluyendo tener implementadas las garantías de transferencia apropiadas según corresponda).

   14. Devolución y Eliminación de Datos Personales. A petición del Cliente, Transmit Security devolverá o destruirá los Datos Personales del Usuario Final, salvo que la legislación del Reino Unido, del EEA o de un Estado Miembro del EEA exija su conservación (según corresponda).

   15. Obligaciones del Cliente. El Cliente se asegurará de que los Datos Personales del Usuario Final proporcionados a Transmit Security se obtengan y transfieran a Transmit Security en conformidad con las Leyes de Protección de Datos. Por el presente, el Cliente declara que es el único responsable de la exactitud, calidad y legitimidad de los Datos Personales del Usuario Final y de los medios a través de los cuales se han recopilado.

4. Acuerdo completo y modificaciones. El presente Anexo y sus Apéndices constituyen el acuerdo completo e íntegro entre las partes en relación con el objeto del mismo y sustituye a todos los acuerdos y contratos o negociaciones anteriores o contemporáneos en relación con el mismo.

   El presente Anexo sólo podrá modificarse mediante documento escrito firmado por ambas partes.

Apéndice 1 – Detalles del Procesamiento

Naturaleza y finalidad del procesamiento. Transmit Security procesará los Datos Personales del Usuario Final según sea necesario para prestar los Servicios en la Nube contratados por el Cliente en virtud del Acuerdo, y según las instrucciones adicionales del Cliente de conformidad con el Acuerdo, la Orden de Pedido y este Anexo.

Duración del procesamiento. Transmit Security procesará los Datos Personales del Usuario Final durante la duración del Acuerdo (o según acuerden las partes por escrito), y de conformidad con las obligaciones de conservación de Transmit Security en virtud de este Anexo y del Acuerdo, siempre que los Datos Personales del Usuario Final no se procesen durante más tiempo del necesario para el fin para el que se recopilaron o se están procesando (excepto cuando se aplique una excepción legal).

Categorías de Titular de los Datos. Usuarios Finales.

Tipos de Datos Personales. El Cliente puede solicitar el procesamiento de Datos Personales del Usuario Final para la prestación de los Servicios en la Nube, que pueden incluir, pero no limitado a, las siguientes categorías de Datos Personales.

Apéndice 2 – Sub-Procesadores & Sub-Contratistas

Dependiendo de (a) la ubicación geográfica de un Cliente o de sus Usuarios Finales, y (b) la naturaleza de los Servicios en la Nube prestados, como se indica a continuación, Transmit Security podrá también utilizar Subprocesadores para prestar los Servicios al Cliente.

* Plataforma Completa = FlexID, BindID, Mosaic

** Cloudflare dirige el tráfico a los centros de datos de todo el mundo más cercanos a la ubicación del usuario.

*** Veriff solo es relevante para los servicios de Verificación de Identidad de Mosaic.

Apéndice 3- Medidas Técnicas y de Seguridad

Apéndice 4- Cláusulas Contractuales Tipo de la UE (Controlador a Procesador)

SECCIÓN I

Cláusula 1

Finalidad y ámbito de aplicación

1. El objeto de las presentes cláusulas contractuales tipo es garantizar el cumplimiento de los requisitos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas naturales en lo que respecta al procesamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos) para la transferencia de Datos Personales Personalizados a un tercer país.
2. Las Partes:
   
   1. la(s) persona(s) natural(es) o jurídica(s), autoridad(es) pública(s), agencia(s) u otro(s) organismo(s) (en lo sucesivo, “entidad(es)”) que transfiere(n) los Datos Personales Personalizados, enumerados en el Anexo I.A. (cada uno en lo sucesivo “exportador de datos”), y
   2. la(s) entidad(es) de un tercer país que reciba(n) los Datos Personales Personalizados del exportador de datos, directa o indirectamente a través de otra entidad que también sea Parte de estas Cláusulas, tal y como se enumeran en el Anexo I.A. (cada uno en lo sucesivo “importador de datos”) haya(n) aceptado estas cláusulas contractuales tipo (en lo sucesivo, las “Cláusulas”)
3. Estas Cláusulas se aplican con respecto a la transferencia de Datos Personales Personalizados tal y como se especifica en el Anexo I.B.
4. El Apéndice de estas Cláusulas, que contiene los Anexos a los que se hace referencia en el mismo, forma parte integrante de estas Cláusulas.

Cláusula 2

Efecto e invariabilidad de las Cláusulas

1. Estas Cláusulas establecen garantías adecuadas, incluidos derechos exigibles de los titulares de los datos y recursos jurídicos efectivos, de conformidad con el Artículo 46(1) y el Artículo 46(2)(c) del Reglamento (UE) 2016/679 y, con respecto a las transferencias de datos de controladores a procesadores y/o procesadores a procesadores, cláusulas contractuales tipo de conformidad con el Artículo 28(7) del Reglamento (UE) 2016/679, siempre que no se modifiquen, salvo para seleccionar el Módulo o Módulos adecuados o para añadir o actualizar información en el Apéndice. Esto no impide a las Partes incluir las cláusulas contractuales tipo establecidas en las presentes Cláusulas en un contrato más amplio y/o añadir otras cláusulas o garantías adicionales, siempre que no contradigan, directa o indirectamente, éstas Cláusulas ni perjudiquen los derechos o libertades fundamentales de los titulares de los datos.
2. Estas Cláusulas se entienden sin perjuicio de las obligaciones a las que esté sujeto el exportador de datos en virtud del Reglamento (UE) 2016/679

Cláusula 3

Terceros beneficiarios

1. Los Titulares de los Datos podrán invocar y hacer valer las presentes Cláusulas, como terceros beneficiarios, frente al exportador y/o importador de datos, con las siguientes excepciones:
   
   1. Cláusula 1, Cláusula 2, Cláusula 3, Cláusula 6, Cláusula 7;
   2. Cláusula 8.1(b), 8.9(a), (c), (d) y (e);
   3. Cláusula 9(a), (c), (d) y (e);
   4. Cláusula 12(a), (d) y (f);
   5. Cláusula 13;
   6. Cláusula 15.1(c), (d) y (e);
   7. Cláusula 16(e);
   8. Cláusula 18(a) y (b)
2. La letra (a) se entiende sin perjuicio de los derechos de los titulares de los datos en virtud del Reglamento (UE) 2016/679

Cláusula 4

Interpretación

1. Cuando en las presentes Cláusulas se utilicen términos definidos en el Reglamento (UE) 2016/679, dichos términos tendrán el mismo significado que en dicho Reglamento.
2. Las presentes Cláusulas se leerán e interpretarán a la luz de lo dispuesto en el Reglamento (UE) 2016/679.
3. Las presentes Cláusulas no se interpretarán de forma contraria a los derechos y obligaciones previstos en el Reglamento (UE) 2016/679.

Cláusula 5

Jerarquía

En caso de contradicción entre estas Cláusulas y las disposiciones de los acuerdos relacionados entre las Partes, existentes en el momento de acordar estas Cláusulas o celebrados con posterioridad, prevalecerán estas Cláusulas.

Cláusula 6

Descripción de la(s) transferencia(s)

Los detalles de la(s) transferencia(s), y en particular las categorías de Datos Personales Personalizados que se transfieren y la(s) finalidad(es) para las que se transfieren, se especifican en el Anexo I. B.

Cláusula 7

Cláusula de adhesión

1. Una entidad que no sea Parte de las presentes Cláusulas podrá, con el acuerdo de las Partes, adherirse a las mismas en cualquier momento, ya sea como exportador de datos o como importador de datos, completando el Apéndice y firmando el Anexo I.A.
2. Una vez completado el Apéndice y firmado el Anexo I.A, la entidad adherente pasará a ser Parte en las presentes Cláusulas y tendrá los derechos y obligaciones de un exportador o importador de datos de conformidad con su designación en el Anexo I.A.
3. La entidad adherente no tendrá derechos ni obligaciones derivados de las presentes Cláusulas en el período anterior a su adhesion como Parte.

SECCIÓN II – OBLIGACIONES DE LAS PARTES

Cláusula 8

Garantías de protección de datos

El exportador de datos garantiza que ha realizado esfuerzos razonables para determinar que el importador de datos es capaz, mediante la aplicación de medidas técnicas y organizativas adecuadas, de cumplir las obligaciones que le incumben en virtud de las presentes Cláusulas.

1. Instrucciones

   1. El importador de datos procesará los Datos Personales Personalizados únicamente siguiendo instrucciones documentadas del exportador de datos. El exportador de datos podrá dar dichas instrucciones durante toda la vigencia del contrato.
   2. El importador de datos informará inmediatamente al exportador de datos en caso de que no pueda seguir dichas instrucciones.
2. Limitación de la finalidadEl importador de datos procesará los Datos Personales Personalizados únicamente para la finalidad o finalidades específicas de la transferencia, tal como se establece en el Anexo I. B, a menos que reciba instrucciones adicionales del exportador de datos.
3. TransparenciaPrevia solicitud, el exportador de datos pondrá gratuitamente a disposición del titular de los datos una copia de las presentes Cláusulas, incluido el Apéndice completado por las Partes. En la medida en que sea necesario para proteger secretos comerciales u otra información confidencial, incluidas las medidas descritas en el Anexo II y los Datos Personales Personalizados, el exportador de datos podrá suprimir parte del texto del Apéndice de las presentes Cláusulas antes de compartir una copia, pero facilitará un resumen significativo cuando, de otro modo, el titular de los datos no pudiera comprender su contenido o ejercer sus derechos. Previa solicitud, las Partes comunicarán al titular de los datos los motivos de las supresiones, en la medida de lo posible sin revelar la información suprimida. La presente cláusula se entiende sin perjuicio de las obligaciones del exportador de datos en virtud de los Artículos 13 y 14 del Reglamento (UE) 2016/679.
4. ExactitudSi el importador de datos tiene conocimiento de que los Datos Personales Personalizados que ha recibido son inexactos o han quedado obsoletos, informará de ello al exportador de datos sin demora injustificada. En este caso, el importador de datos cooperará con el exportador de datos para borrar o rectificar los datos.
5. Duración del procesamiento y eliminación o devolución de los datosEl procesamiento por parte del importador de datos sólo tendrá lugar durante el período especificado en el Anexo I. B. Una vez finalizada la prestación de los servicios de procesamiento, el importador de datos, a elección del exportador de datos, eliminará todos los Datos Personales Personalizados procesados por cuenta del exportador de datos y certificará al exportador de datos que así lo ha hecho, o devolverá al exportador de datos todos los Datos Personales Personalizados procesados por cuenta suya y eliminará las copias existentes. Hasta que los datos sean eliminados o devueltos, el importador de datos seguirá garantizando el cumplimiento de las presentes Cláusulas. En caso de que la legislación local aplicable al importador de datos prohíba la devolución o eliminación de los Datos Personales Personalizados, el importador de datos garantiza que seguirá velando por el cumplimiento de las presentes Cláusulas y que sólo los procesará en la medida y durante el tiempo que exija dicha legislación local. Todo ello sin perjuicio de lo dispuesto en la Cláusula 14, en particular el requisito de que el importador de datos, en virtud de la Cláusula 14(e), notifique al exportador de datos durante toda la vigencia del contrato si tiene motivos para creer que está o ha estado sujeto a leyes o prácticas que no se ajustan a los requisitos de la Cláusula 14(a).
6. Seguridad del procesamiento
   
   1. El importador de datos y, durante la transmisión, también el exportador de datos aplicarán las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos, incluida la protección contra una violación de la seguridad que provoque la destrucción, accidental o ilícita, la pérdida, la alteración, la difusión o el acceso no autorizados, de dichos datos (en lo sucesivo, “violación de los Datos Personales Personalizados”). Al evaluar el nivel adecuado de seguridad, las Partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y la finalidad o finalidades del procesamiento, así como los riesgos que entraña el procesamiento para los titulares de los datos. Las Partes considerarán, en particular, la posibilidad de recurrir al cifrado o a la seudonimización, incluso durante la transmisión, cuando la finalidad del procesamiento pueda cumplirse de ese modo. En caso de seudonimización, la información adicional para atribuir los Datos Personales Personalizados a un titular de los datos específico permanecerá, siempre que sea posible, bajo el control exclusivo del exportador de datos. En cumplimiento de sus obligaciones en virtud del presente apartado, el importador de datos aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el Anexo II. El importador de datos llevará a cabo controles periódicos para garantizar que dichas medidas siguen proporcionando un nivel de seguridad adecuado.
   2. El importador de datos concederá acceso a los Datos Personales Personalizados a los miembros de su personal únicamente en la medida estrictamente necesaria para la ejecución, gestión y supervisión del contrato. Se asegurará de que las personas autorizadas a procesar los Datos Personales Personalizados se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada
   3. En caso de violación de Datos Personales Personalizados relativos a Datos Personales Personalizados procesados por el importador de datos con arreglo a las presentes Cláusulas, el importador de datos adoptará las medidas adecuadas para hacer frente a la violación, incluidas medidas para mitigar sus efectos adversos. El importador de datos también notificará al exportador de datos sin demora injustificada tras haber tenido conocimiento de la violación. Dicha notificación contendrá los datos de un punto de contacto en el que pueda obtenerse más información, una descripción de la naturaleza de la violación (incluidas, cuando sea posible, las categorías y el número aproximado de titulares de los datos y registros de Datos Personales Personalizados afectados), sus consecuencias probables y las medidas adoptadas o propuestas para hacer frente a la violación, incluidas, cuando proceda, medidas para mitigar sus posibles efectos adversos. Cuando, y en la medida en que, no sea posible facilitar toda la información al mismo tiempo, la notificación inicial contendrá la información de que se disponga en ese momento y, posteriormente, a medida que se vaya disponiendo de ella, se facilitará información adicional sin dilaciones indebidas.
   4. El importador de datos cooperará con el exportador de datos y le prestará asistencia para que este pueda cumplir sus obligaciones en virtud del Reglamento (UE) 2016/679, en particular para notificar a la autoridad supervisora competente y a los titulares de los datos afectados, teniendo en cuenta la naturaleza del procesamiento y la información de que disponga el importador de datos.

7. Datos sensibles

   Cuando la transferencia implique Datos Personales Personalizados que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos destinados a identificar de manera unívoca a una persona natural, datos relativos a la salud o a la vida sexual u orientación sexual de una persona, o datos relativos a condenas e infracciones penales (en lo sucesivo, “datos sensibles”), el importador de datos aplicará las restricciones específicas y/o las garantías adicionales descritas en el Anexo I. B.

8. Transferencias ulterioresEl importador de datos sólo revelará los Datos Personales Personalizados a un tercero siguiendo instrucciones documentadas del exportador de datos. Además, los datos sólo podrán ser revelados a un tercero situado fuera de la Unión Europea (en el mismo país que el importador de datos o en otro tercer país, en lo sucesivo “transferencia ulterior”) si el tercero está o acepta estar vinculado por las presentes Cláusulas, o si:
   
   1. la transferencia ulterior es a un país que se beneficia de una decisión de adecuación de conformidad con el Artículo 45 del Reglamento (UE) 2016/679 que cubre la transferencia ulterior;
   2. el tercero de otro modo asegura las garantías adecuadas de conformidad con los Artículos 46 o 47 del Reglamento (UE) 2016/679 con respecto al procesamiento en cuestión;
   3. la transferencia ulterior es necesaria para la formulación, el ejercicio o la defensa de reclamaciones legales en el contexto de procedimientos administrativos, regulatorios o judiciales específicos; o
   4. la transferencia ulterior es necesaria para proteger los intereses vitales del titular de los datos o de otra persona natural.

   Toda transferencia ulterior estará sujeta al cumplimiento por parte del importador de datos de todas las demás salvaguardias previstas en las presentes Cláusulas, en particular la limitación de la finalidad.

9. Documentación y cumplimiento

   1. El importador de datos atenderá rápida y adecuadamente las consultas del exportador de datos relacionadas con el procesamiento previsto en las presentes Cláusulas.
   2. Las Partes deberán poder demostrar el cumplimiento de las presentes Cláusulas. En particular, el importador de datos conservará la documentación adecuada sobre las actividades de procesamiento realizadas por cuenta del exportador de datos.
   3. El importador de datos pondrá a disposición del exportador de datos toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en las presentes Cláusulas y, a petición del exportador de datos, permitirá y contribuirá a las auditorías de las actividades de procesamiento cubiertas por las presentes Cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir sobre una revisión o auditoría, el exportador de datos podrá tener en cuenta las certificaciones pertinentes que posea el importador de datos.
   4. El exportador de datos podrá optar por realizar la auditoría por sí mismo o encargarla a un auditor independiente. Las auditorías podrán incluir inspecciones en los locales o instalaciones físicas del importador de datos y, en su caso, se llevarán a cabo notificadas con una antelación razonable.
   5. Las Partes pondrán a disposición de la autoridad supervisora competente, previa solicitud, la información mencionada en las letras (b) y (c), incluidos los resultados de cualquier auditoría.

Cláusula 9

Uso de subprocesadores

1. El importador de datos cuenta con la autorización general del exportador de datos para la contratación de subprocesadores a partir de una lista acordada. El importador de datos informará específicamente por escrito al exportador de datos de cualquier cambio previsto en dicha lista mediante la adición o sustitución de subprocesadores con una antelación mínima de 10 días hábiles, dando así al exportador de datos tiempo suficiente para poder oponerse a dichos cambios antes de la contratación del subprocesadores. El importador de datos facilitará al exportador de datos la información necesaria para que éste pueda ejercer su derecho de oposición.
2. Cuando el importador de datos contrate a un subprocesador para llevar a cabo actividades específicas de procesamiento (en nombre del exportador de datos), lo hará mediante un contrato escrito que establezca, en esencia, las mismas obligaciones de protección de datos que las que vinculan al importador de datos en virtud de las presentes Cláusulas, incluso en términos de derechos de terceros beneficiarios para los titulares de los datos. Las Partes acuerdan que, mediante el cumplimiento de esta Cláusula, el importador de datos cumple sus obligaciones en virtud de la Cláusula 8.8. El importador de datos velará por que el subprocesador cumpla las obligaciones a las que está sujeto el importador de datos en virtud de las presentes Cláusulas.
3. El importador de datos facilitará al exportador de datos, a petición de éste, una copia de dicho acuerdo de subprocesador y de cualquier modificación posterior. En la medida en que sea necesario para proteger secretos comerciales u otra información confidencial, el importador de datos podrá editar el texto del acuerdo antes de compartir una copia.
4. El importador de datos seguirá siendo plenamente responsable ante el exportador de datos del cumplimiento de las obligaciones del subprocesador en virtud de su contrato con el importador de datos. El importador de datos notificará al exportador de datos cualquier incumplimiento por parte del subprocesador de las obligaciones derivadas de dicho contrato.
5. El importador de datos acordará con el subprocesador una cláusula de tercero beneficiario en virtud de la cual -en caso de que el importador de datos haya desaparecido de hecho, haya dejado de existir legalmente o se haya declarado insolvente- el exportador de datos tendrá derecho a terminar el contrato de subprocesador y a ordenar al subprocesador que borre o devuelva los Datos Personales Personalizados.

Cláusula 10

Derechos del Titular de los Datos

1. El importador de datos notificará sin demora al exportador de datos cualquier solicitud que haya recibido de un titular de los datos. No responderá por sí mismo a dicha solicitud a menos que el exportador de datos le haya autorizado a hacerlo.
2. El importador de datos asistirá al exportador de datos en el cumplimiento de sus obligaciones de responder a las solicitudes de los titulares de los datos para el ejercicio de sus derechos en virtud del Reglamento (UE) 2016/679. A este respecto, las Partes establecerán en el Anexo II las medidas técnicas y organizativas adecuadas, teniendo en cuenta la naturaleza del procesamiento, mediante las cuales se prestará la asistencia, así como el ámbito y el alcance de la asistencia requerida.
3. En el cumplimiento de sus obligaciones con arreglo a las letras (a) y (b), el importador de datos cumplirá con las instrucciones del exportador de datos.

Cláusula 11

Reparación

1. El importador de datos informará a los titulares de los datos en un formato transparente y fácilmente accesible, mediante notificación individual o en su sitio web, de un punto de contacto autorizado para tramitar las reclamaciones. Tratará sin demora las reclamaciones que reciba de un titular de los datos.
2. En caso de litigio entre un titular de los datos y una de las Partes en relación con el cumplimiento de las presentes Cláusulas, dicha Parte hará todo lo posible por resolver la cuestión de forma amistosa y en el plazo más breve posible. Las Partes se mantendrán mutuamente informadas de tales litigios y, en su caso, cooperarán para resolverlos.
3. Cuando el titular de los datos invoque un derecho de tercero beneficiario con arreglo a la Cláusula 3, el importador de datos aceptará la decisión del titular de los datos de:
   
   1. presentar una reclamación ante la autoridad supervisora del Estado Miembro de su residencia habitual o lugar de trabajo, o ante la autoridad supervisora competente con arreglo a la Cláusula 13;
   2. someter el litigio a los tribunales competentes en el sentido de la Cláusula 18.
4. Las Partes aceptan que el titular de los datos pueda estar representado por un organismo, organización o asociación sin ánimo de lucro en las condiciones establecidas en el Artículo 80(1) del Reglamento (UE) 2016/679.
5. El importador de datos acatará una decisión que sea vinculante con arreglo al derecho aplicable de la UE o de los Estados Miembros.
6. El importador de datos acepta que la elección realizada por el titular de los datos no perjudicará sus derechos sustantivos y procesales a interponer recursos de conformidad con la legislación applicable.

Cláusula 12

Responsabilidad

1. Cada una de las Partes será responsable ante la otra u otras Partes de los daños y perjuicios que cause a la otra u otras Partes por el incumplimiento de las presentes Cláusulas.
2. El importador de datos será responsable ante el titular de los datos, y el titular de los datos tendrá derecho a ser indemnizado, por cualquier daño material o inmaterial que el importador de datos o su subprocesador le cause por vulnerar los derechos de terceros beneficiarios previstos en las presentes Cláusulas.
3. No obstante lo dispuesto en la letra (b), el exportador de datos será responsable ante el titular de los datos, y el titular de los datos tendrá derecho a ser indemnizado, por cualquier daño material o moral que el exportador de datos o el importador de datos (o su subprocesador) cause al titular de los datos por vulnerar los derechos de terceros beneficiarios con arreglo a las presentes Cláusulas. Esto se entiende sin perjuicio de la responsabilidad del exportador de datos y, cuando el exportador de datos sea un procesador que actúe en nombre de un controlador, de la responsabilidad del controlador en virtud del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725, según corresponda.
4. Las Partes acuerdan que si el exportador de datos es considerado responsable en virtud de la letra (c) de los daños causados por el importador de datos (o su subprocesador), tendrá derecho a reclamar al importador de datos la parte de la indemnización correspondiente a la responsabilidad del importador de datos por los daños.
5. Cuando más de una Parte es responsable de cualquier daño causado al titular de los datos como consecuencia de un incumplimiento de las presentes Cláusulas, todas las Partes responsables serán solidariamente responsables y el titular de los datos tendrá derecho a interponer una acción judicial contra cualquiera de dichas Partes.
6. Las Partes acuerdan que si una Parte es considerada responsable en virtud de la letra (e), tendrá derecho a reclamar a la otra Parte o Partes la porción de la indemnización que corresponda a su responsabilidad por el daño.
7. El importador de datos no podrá invocar la conducta de un subprocesador para eludir su propia responsabilidad.

Cláusula 13

Supervisión

1. Cuando el exportador de datos esté establecido en un Estado Miembro de la UE: La autoridad supervisora responsable de garantizar el cumplimiento por parte del exportador de datos del Reglamento (UE) 2016/679 en lo que respecta a la transferencia de datos, tal como se indica en el Anexo I. C, actuará como autoridad supervisora competente.

   Cuando el exportador de datos no esté establecido en un Estado Miembro de la UE, pero entre en el ámbito territorial de aplicación del Reglamento (UE) 2016/679 de conformidad con su Artículo 3(2) y haya designado a un representante con arreglo al Artículo 27(1) del Reglamento (UE) 2016/679: La autoridad supervisora del Estado Miembro en el que esté establecido el representante en el sentido del Artículo 27(1) del Reglamento (UE) 2016/679, tal como se indica en el Anexo I.C, actuará como autoridad supervisora competente.

   Cuando el exportador de datos no esté establecido en un Estado Miembro de la UE, pero entre en el ámbito territorial de aplicación del Reglamento (UE) 2016/679 de conformidad con su Artículo 3(2), sin que, no obstante, deba designar a un representante con arreglo al Artículo 27(2) del Reglamento (UE) 2016/679: Actuará como autoridad supervisora competente la autoridad supervisora de uno de los Estados Miembros en los que se encuentren los titulares de los datos cuyos datos personales se transfieran en virtud de las presentes Cláusulas en relación con la oferta de bienes o servicios a los mismos, o cuyo comportamiento se controle, según se indica en el Anexo I.C.

2. El importador de datos acepta someterse a la jurisdicción de la autoridad supervisora competente y cooperar con ella en cualquier procedimiento destinado a garantizar el cumplimiento de las presentes Cláusulas. En particular, el importador de datos acepta responder a las investigaciones, someterse a auditorías y cumplir las medidas adoptadas por la autoridad supervisora, incluidas las medidas correctivas y compensatorias. Facilitará a la autoridad supervisora una confirmación por escrito de que se han adoptado las medidas necesarias.

SECCIÓN III – LEGISLACIÓN LOCAL Y OBLIGACIONES EN CASO DE ACCESO POR PARTE DE LAS AUTORIDADES PÚBLICAS

Cláusula 14

Leyes y prácticas locales que afectan al cumplimiento de la Cláusulas

1. Las Partes garantizan que no tienen motivos para creer que las leyes y prácticas del tercer país de destino aplicables al procesamiento de los Datos Personales Personalizados por parte del importador de datos, incluido cualquier requisito de revelar los Datos Personales Personalizados o medidas que autoricen el acceso por parte de las autoridades públicas, impidan al importador de datos cumplir sus obligaciones en virtud de las presentes Cláusulas. Esto se basa en el entendimiento de que las leyes y prácticas que respetan la esencia de los derechos y libertades fundamentales y no exceden lo que es necesario y proporcionado en una sociedad democrática para salvaguardar uno de los objetivos enumerados en el Artículo 23(1) del Reglamento (UE) 2016/679, no están en contradicción con estas Cláusulas.
2. Las Partes declaran que, al ofrecer la garantía de la letra (a), han tenido debidamente en cuenta, en particular, los siguientes elementos:
   
   1. las circunstancias específicas de la transferencia, incluida la longitud de la cadena de procesamiento, el número de agentes implicados y los canales de transmisión utilizados; las transferencias ulteriores previstas; el tipo de destinatario; la finalidad del procesamiento; las categorías y el formato de los Datos Personales Personalizados transferidos; el sector económico en el que se produce la transferencia; el lugar de almacenamiento de los datos transferidos;
   2. las leyes y prácticas del tercer país de destino -incluidas las que exigen la revelación de datos a las autoridades públicas o autorizan el acceso de dichas autoridades- pertinentes a la luz de las circunstancias específicas de la transferencia, y las limitaciones y salvaguardias aplicables;
   3. cualquiera de las garantías contractuales, técnicas u organizativas pertinentes establecidas para complementar las garantías previstas en las presentes Cláusulas, incluidas las medidas aplicadas durante la transmisión y el procesamiento de los Datos Personales Personalizados en el país de destino.
3. El importador de datos garantiza que, al llevar a cabo la evaluación prevista en la letra (b), ha hecho todo lo posible por facilitar al exportador de datos la información pertinente y acuerda que seguirá cooperando con el exportador de datos para garantizar el cumplimiento de las presentes Cláusulas.
4. Las Partes acuerdan documentar la evaluación a que se refiere la letra (b) y ponerla a disposición de la autoridad supervisora competente a petición de ésta.
5. El importador de datos se compromete a notificar sin demora al exportador de datos si, después de haber aceptado las presentes Cláusulas y durante la vigencia del Anexo, tiene motivos para creer que está o ha estado sujeto a leyes o prácticas que no se ajustan a los requisitos de la letra (a), incluso a raíz de un cambio en la legislación del tercer país o de una medida (como una solicitud de divulgación) que indique una aplicación de dicha legislación en la práctica que no se ajusta a los requisitos de la letra (a).
6. Tras una notificación con arreglo a la letra (e), o si el exportador de datos tiene motivos para creer que el importador de datos ya no puede cumplir las obligaciones que le incumben en virtud de las presentes Cláusulas, el exportador de datos determinará sin demora las medidas adecuadas (por ejemplo, medidas técnicas u organizativas para garantizar la seguridad y la confidencialidad) que deberán adoptar el exportador o el importador de datos para hacer frente a la situación. El exportador de datos suspenderá la transferencia de datos si considera que no pueden garantizarse las salvaguardias adecuadas para dicha transferencia, o si así se lo ordena la autoridad supervisora competente. En este caso, el exportador de datos tendrá derecho a rescindir el contrato, en la medida en que se refiera al procesamiento de Datos Personales Personalizados con arreglo a las presentes Cláusulas. Si el contrato implica a más de dos Partes, el exportador de datos podrá ejercer este derecho de rescisión únicamente con respecto a la Parte pertinente, a menos que las Partes hayan acordado otra cosa. Cuando se rescinda el contrato en virtud de la presente Cláusula, se aplicará la Cláusula 16(d) y (e)

Cláusula 15

Obligaciones del importador de datos en caso de acceso por parte de las autoridades públicas

1. 1. Notificación

      1. El importador de datos se compromete a notificar sin demora al exportador de datos y, cuando sea posible, al titular de los datos (en caso necesario, con la ayuda del exportador de datos) si:
         
         1. recibe una solicitud legalmente vinculante de una autoridad pública, incluidas las autoridades judiciales, en virtud de las leyes del país de destino para la divulgación de los datos transferidos de conformidad con estas Cláusulas; dicha notificación incluirá información sobre los Datos Personales Personalizados solicitados, la autoridad solicitante, la base legal de la solicitud y la respuesta proporcionada; o bien
         2. tenga conocimiento de cualquier acceso directo por parte de las autoridades públicas a los datos transferidos con arreglo a las presentes Cláusulas de conformidad con la legislación del país de destino; dicha notificación incluirá toda la información de que disponga el importador de datos.
      2. Si la legislación del país de destino prohíbe al importador de datos notificar al exportador de datos y/o al titular de los datos, el importador de datos acuerda hacer todo lo posible para obtener una dispensa de la prohibición, con vistas a comunicar toda la información posible, lo antes posible. El importador de datos acepta documentar sus mejores esfuerzos para poder demostrarlos a petición del exportador de datos.
      3. Cuando lo permita la legislación del país de destino, el importador de datos se compromete a facilitar al exportador de datos, a intervalos regulares durante la vigencia del contrato, toda la información pertinente posible sobre las solicitudes recibidas (en particular, número de solicitudes, tipo de datos solicitados, autoridad/es solicitante/s, si se han impugnado las solicitudes y el resultado de dichas impugnaciones, etc.)
      4. El importador de datos se compromete a conservar la información a que se refieren las letras (a) a la (c) mientras dure el contrato y a ponerla a disposición de la autoridad supervisora competente a petición de ésta.
      5. Las letras (a) a la (c) se entenderán sin perjuicio de la obligación del importador de datos, de conformidad con la Cláusula 14(e) y la Cláusula 16 de informar sin demora al exportador de datos cuando no pueda cumplir dichas Cláusulas.
   2. Revisión de la legalidad y minimización de datos
      
      1. El importador de datos se compromete a revisar la legalidad de la solicitud de divulgación, en particular si se ajusta a las facultades otorgadas a la autoridad pública requirente, y a impugnar la solicitud si, tras una cuidadosa evaluación, llega a la conclusión de que existen motivos razonables para considerar que la solicitud es ilegal con arreglo a la legislación del país de destino, a las obligaciones aplicables en virtud del derecho internacional y a los principios de cortesía internacional. El importador de datos deberá, en las mismas condiciones, hacer uso de las posibilidades de recurso. Cuando impugne una solicitud, el importador de datos solicitará medidas cautelares con vistas a suspender los efectos de la solicitud hasta que la autoridad judicial competente se haya pronunciado sobre el fondo de la misma. No revelará los Datos Personales Personalizados solicitados hasta que se le requiera para ello en virtud de las normas procesales aplicables. Estos requisitos se entienden sin perjuicio de las obligaciones del importador de datos en virtud de la Cláusula 14(e)
      2. El importador de datos se compromete a documentar su evaluación jurídica y cualquier impugnación de la solicitud de divulgación y, en la medida en que lo permita la legislación del país de destino, a poner la documentación a disposición del exportador de datos. También la pondrá a disposición de la autoridad supervisora competente a petición de ésta.
      3. El importador de datos se compromete a facilitar la cantidad mínima de información admisible al responder a una solicitud de divulgación, sobre la base de una interpretación razonable de la solicitud.

SECCIÓN IV – DISPOSICIONES FINALES

Cláusula 16

Incumplimiento de las Cláusulas y rescisión

1. El importador de datos informará sin demora al exportador de datos en caso de que, por cualquier motivo, no pueda cumplir las presentes Cláusulas.

2. En caso de que el importador de datos incumpla estas Cláusulas o no pueda cumplirlas, el exportador de datos suspenderá la transferencia de Datos Personales Personalizados al importador de datos hasta que se garantice de nuevo el cumplimiento o se rescinda el contrato. Todo ello sin perjuicio de lo dispuesto en la Cláusula 14(f).

3. El exportador de datos tendrá derecho a rescindir el contrato, en la medida en que se refiera al procesamiento de Datos Personales Personalizados con arreglo a las presentes Cláusulas, cuando:

   1. el exportador de datos haya suspendido la transferencia de Datos Personales Personalizados al importador de datos de conformidad con la letra (b) y no se restablezca el cumplimiento de las presentes Cláusulas en un plazo razonable y, en cualquier caso, en el plazo de un mes desde la suspension;

   2. el importador de datos incumple de forma sustancial o persistente las presentes Cláusulas; o

   3. el importador de datos incumpla una decisión vinculante de un tribunal competente o de una autoridad supervisora en relación con las obligaciones que le incumben en virtud de las presentes Cláusulas.

      En estos casos, informará de dicho incumplimiento a la autoridad supervisora competente. Cuando el contrato implique a más de dos Partes, el exportador de datos podrá ejercer este derecho de rescisión únicamente con respecto a la Parte pertinente, salvo que las Partes hayan acordado otra cosa.

4. Los Datos Personales Personalizados que hayan sido transferidos antes de la rescisión del contrato de conformidad con la letra (c) serán, a elección del exportador de datos, devueltos inmediatamente al exportador de datos o borrados en su totalidad. Lo mismo se aplicará a cualquier copia de los datos. El importador de datos certificará la supresión de los datos al exportador de datos. Hasta que los datos sean suprimidos o devueltos, el importador de datos seguirá garantizando el cumplimiento de las presentes Cláusulas. En caso de que la legislación local aplicable al importador de datos prohíba la devolución o supresión de los Datos Personales Personalizados transferidos, el importador de datos garantiza que seguirá velando por el cumplimiento de las presentes Cláusulas y que sólo procesará los datos en la medida y durante el tiempo que exija dicha legislación local.

5. Cualquiera de las Partes podrá revocar su acuerdo de obligarse por las presentes Cláusulas cuando (i) la Comisión Europea adopte una decisión de conformidad con el Artículo 45(3) del Reglamento (UE) 2016/679 que cubra la transferencia de Datos Personales Personalizados a los que se aplican las presentes Cláusulas; o (ii) el Reglamento (UE) 2016/679 pase a formar parte del marco jurídico del país al que se transfieren los Datos Personales Personalizados. Esto se entiende sin perjuicio de otras obligaciones aplicables al procesamiento en cuestión en virtud del Reglamento (UE) 2016/679.

Cláusula 17

Legislación aplicable

Las presentes Cláusulas se regirán por la legislación de uno de los Estados Miembros de la UE, siempre que dicha legislación permita los derechos de terceros beneficiarios. Las Partes acuerdan que ésta será la legislación de Bélgica.

Cláusula 18

Elección de foro y jurisdicción

1. Cualquier litigio derivado de las presentes Cláusulas será resuelto por los tribunales de un Estado Miembro de la UE.

2. Las Partes acuerdan que serán los tribunales de Bélgica.

3. El titular de los datos también podrá entablar acciones judiciales contra el exportador de datos y/o el importador de datos ante los tribunales del Estado Miembro en el que tenga su residencia habitual.

4. Las Partes acuerdan someterse a la jurisdicción de dichos tribunales.