Anexo de tratamiento de datos

Esta Adenda de Tratamiento de Datos (el "DPA") complementa el acuerdo entre CITATIONS IO LTD (que opera como Citations.io, "Encargado del tratamiento"; inscrito en la Oficina del Comisionado de Información del Reino Unido con el número de registro ZC187049) y el cliente identificado en dicho acuerdo ("Responsable del tratamiento") para la prestación de los servicios de Citations.io (el "Acuerdo principal"). Se aplica cuando el Encargado del tratamiento trata Datos personales en nombre del Responsable del tratamiento en relación con el Acuerdo principal. En caso de conflicto, este DPA prevalece sobre el Acuerdo principal en lo relativo a los Datos personales.

• "Legislación aplicable en materia de protección de datos" se refiere al RGPD del Reino Unido, el RGPD de la UE, la Ley de Protección de Datos del Reino Unido de 2018, la Ley de Privacidad del Consumidor de California (modificada por la CPRA) y cualquier otra ley de privacidad o protección de datos aplicable al tratamiento de Datos personales por una de las partes.
• "Responsable del tratamiento", "Encargado del tratamiento", "Datos personales", "Tratamiento", "Subencargado del tratamiento" y "Interesado" tienen los significados que se les atribuyen en el RGPD del Reino Unido / RGPD de la UE.
• "Violación de la seguridad de los datos personales" se refiere a una violación de la seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de Datos personales, o su comunicación o acceso no autorizados.
• "Cláusulas contractuales tipo" o "CCT" se refiere a las cláusulas del Módulo 2 (de responsable a encargado del tratamiento) aprobadas por la Comisión Europea en la Decisión 2021/914.
• "Adenda del Reino Unido" se refiere a la Adenda de Transferencia Internacional de Datos del Reino Unido a las CCT, emitida por el Comisionado de Información.

El Responsable del tratamiento actúa como responsable y el Encargado del tratamiento actúa como encargado de los Datos personales tratados en virtud del Acuerdo principal. El Encargado del tratamiento tratará los Datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, incluidas las contenidas en el Acuerdo principal, este DPA y el uso del Servicio por parte del Responsable del tratamiento. El Encargado del tratamiento informará al Responsable del tratamiento si considera que alguna instrucción infringe la Legislación aplicable en materia de protección de datos.

Objeto y duración

Prestación del servicio de Citations.io durante la vigencia del Acuerdo principal y cualquier período posterior a su terminación necesario para devolver o suprimir los Datos personales.

Naturaleza y finalidad

Alojamiento, tratamiento y análisis de Datos personales para permitir al Responsable del tratamiento supervisar la visibilidad de marca en motores de búsqueda con IA y gestionar prompts, citas, competidores, integraciones, informes y flujos de trabajo relacionados.

Categorías de interesados

Usuarios autorizados del Responsable del tratamiento; clientes, clientes potenciales o contactos del Responsable del tratamiento (cuando este importe dichos datos al Servicio); personas mencionadas en resultados generados por IA de acceso público que el Servicio analice.

Categorías de datos personales

Identificadores (nombre, correo electrónico, cargo), información profesional, credenciales de cuenta (protegidas mediante hash), registros de uso, contenido de prompts e informes y cualquier otro Dato personal que el Responsable del tratamiento decida enviar. El Servicio no requiere datos de categorías especiales; el Responsable del tratamiento no debe enviar datos de categorías especiales ni datos relativos a infracciones penales.

El Encargado del tratamiento garantizará que el personal autorizado para tratar Datos personales esté sujeto a obligaciones de confidencialidad y haya recibido formación adecuada en protección de datos y seguridad de la información.

El Encargado del tratamiento implementará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre ellas:

• cifrado en tránsito (TLS 1.2+) y en reposo (AES-256);
• control de acceso basado en roles y gestión de accesos con privilegios mínimos;
• autenticación multifactor para el acceso administrativo;
• segmentación de la red e infraestructura en la nube gestionada;
• registro centralizado y pistas de auditoría;
• análisis periódicos de vulnerabilidades y gestión de parches;
• ciclo de vida de desarrollo seguro, incluidas la revisión de código y el análisis de dependencias;
• planes documentados de respuesta a incidentes y continuidad del negocio;
• revisiones anuales de seguridad y formación del personal.

Todos los detalles están disponibles en /security.

El Responsable del tratamiento autoriza al Encargado del tratamiento a contratar a los Subencargados del tratamiento enumerados en /subprocessors. El Encargado del tratamiento impondrá a cada Subencargado del tratamiento obligaciones de protección de datos que ofrezcan, como mínimo, el mismo nivel de protección que las de este DPA. El Encargado del tratamiento notificará al Responsable del tratamiento cualquier incorporación o sustitución prevista de un Subencargado del tratamiento con al menos 30 días de antelación (por correo electrónico a los suscriptores y a través de la página de Subencargados del tratamiento). El Responsable del tratamiento podrá oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo de preaviso, en cuyo caso las partes colaborarán de buena fe para resolver la objeción y, si no se alcanza una solución, el Responsable del tratamiento podrá dar por terminada la parte afectada del Servicio sin necesidad de alegar causa. El Encargado del tratamiento seguirá siendo responsable de los actos y omisiones de sus Subencargados del tratamiento.

Teniendo en cuenta la naturaleza del tratamiento, el Encargado del tratamiento prestará asistencia razonable al Responsable del tratamiento mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para que este pueda responder a las solicitudes de los Interesados. El Servicio ofrece herramientas de autoservicio para acceder a los Datos personales, exportarlos y suprimirlos; puedes obtener asistencia adicional en privacy@citations.io.

El Encargado del tratamiento notificará al Responsable del tratamiento sin dilación indebida y, en cualquier caso, en un plazo de 72 horas desde que tenga conocimiento de una Violación de la seguridad de los datos personales que afecte a los Datos personales del Responsable del tratamiento. La notificación incluirá, en la medida en que se conozcan, la naturaleza de la violación, las categorías y el número aproximado de Interesados y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas.

El Encargado proporcionará al Responsable asistencia razonable con las evaluaciones de impacto relativas a la protección de datos y las consultas previas con las autoridades de control exigidas en virtud de los artículos 35 y 36 del RGPD, en cada caso únicamente en relación con el tratamiento de Datos Personales por parte del Encargado.

Cuando el Encargado transfiera Datos Personales desde el Reino Unido o el EEE a un país que no esté sujeto a una decisión de adecuación, las partes acuerdan incorporar por referencia las cláusulas contractuales tipo (CCT) (Módulo 2, con la cláusula 7 de adhesión, la cláusula 9(a), opción 2, con un preaviso de 30 días, la cláusula 11 sin resolución independiente de litigios, la cláusula 17, opción 1, regida por la legislación de Irlanda, y la cláusula 18(b), con jurisdicción de los tribunales de Irlanda). Para las transferencias desde el Reino Unido, se incorpora la Adenda del Reino Unido y las CCT se modifican en consecuencia. Los anexos I-III de las CCT son los descritos en este Acuerdo de Tratamiento de Datos.

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo de Tratamiento de Datos. El Responsable podrá realizar una auditoría, como máximo una vez al año y a su cargo, con un preaviso por escrito de al menos 30 días, durante el horario laboral y sujeta a obligaciones de confidencialidad. En lugar de una auditoría presencial, el Encargado podrá proporcionar al Responsable informes de auditoría de terceros (por ejemplo, SOC 2, ISO 27001 cuando estén disponibles) y respuestas a un cuestionario de seguridad. Las auditorías presenciales en respuesta a una Violación de la Seguridad de los Datos Personales no están sujetas al límite de una vez al año.

Al finalizar el Contrato Principal, el Encargado, a elección del Responsable, eliminará o devolverá todos los Datos Personales en un plazo de 30 días y eliminará las copias existentes, salvo que la ley exija su conservación. Las copias de seguridad se sobrescribirán o eliminarán de acuerdo con el ciclo de conservación de copias de seguridad del Encargado, durante el cual seguirán sujetas a las obligaciones de seguridad y confidencialidad de este Acuerdo de Tratamiento de Datos.

Con respecto a los Datos Personales sujetos a la CCPA, el Encargado es un "Proveedor de Servicios" y el Responsable es una "Empresa". El Encargado no (a) venderá ni compartirá Datos Personales; (b) conservará, utilizará ni divulgará Datos Personales para ningún fin distinto del propósito empresarial específico de prestar el Servicio; (c) conservará, utilizará ni divulgará Datos Personales fuera de la relación comercial directa entre las partes; ni (d) combinará los Datos Personales recibidos del Responsable con Datos Personales de otras fuentes, salvo en la medida permitida por la normativa de la CCPA. El Encargado notificará al Responsable si deja de poder cumplir sus obligaciones conforme a la CCPA.

La responsabilidad de cada parte en virtud de este Acuerdo de Tratamiento de Datos está sujeta a las limitaciones de responsabilidad del Contrato Principal, salvo cuando la legislación aplicable no permita dicha limitación.