Acuerdo de tratamiento de datos (DPA)

1. Introducción

Este Acuerdo de Procesamiento de Datos (“DPA”) forma parte del acuerdo entre:

• Cliente — la entidad o persona que registra una cuenta de Creador en ArtInStack y acepta nuestros Términos de Servicio (“usted,” “Responsable del tratamiento” cuando corresponda); y
• ArtInStack (“nosotros,” “nos,” “Encargado del tratamiento” cuando corresponda),

colectivamente las “Partes.”

Este DPA se aplica cuando procesamos datos personales en su nombre en relación con los Servicios, por ejemplo, cuando utiliza la Plataforma para alojar un sitio público, operar un portal de clientes, vender productos a Clientes Finales, almacenar información de clientes/proyectos o realizar encuestas de conservación/campo y funciones de Evidencia.

Cuando procesamos datos personales para nuestros propios fines (por ejemplo, la facturación de su cuenta, el marketing dirigido a usted, el análisis de productos en nuestro sitio de marketing, o el cumplimiento como operador de la plataforma), actuamos como un responsable independiente y se aplica nuestra Política de Privacidad, no este DPA.

2. Definiciones

Los términos con mayúscula que no se definen aquí tienen los significados establecidos en los Términos o en la legislación aplicable de protección de datos.

• “Ley de Protección de Datos Aplicable” significa GDPR, UK GDPR y leyes similares que se aplican al procesamiento de datos personales bajo este DPA.
• “Datos Personales” significa información relacionada con una persona física identificada o identificable.
• “Cliente final” significa una persona natural que visita su sitio, utiliza su portal de cliente, o compra de usted a través de los Servicios.
• “Subprocesador” significa un tercero que contratamos para procesar Datos Personales en su nombre.
• “Servicios” significa los productos ArtInStack descritos en los Términos y la documentación.

3. Roles y alcance

3.1 Cuando se aplica este DPA (rol del Procesador)

Actuamos como un Procesador (o proveedor de servicios según CCPA/CPRA) cuando procesamos Datos Personales según sus instrucciones a través de los Servicios, incluyendo:

Usted es el Controlador de ese procesamiento a menos que actúe como procesador para otra parte (por ejemplo, agencia), en cuyo caso garantiza que tiene la autoridad para designarnos como subprocesador.

3.2 Cuando somos Controlador

Somos Responsables del Tratamiento de: el registro y la autentificación de cuentas; la facturación de suscripciones a usted; la prevención de fraudes en la Plataforma; la mejora del producto basada en datos agregados/desidentificados; y el cumplimiento legal relacionado con nuestra operación de la Plataforma. Vea la Política de Privacidad.

4. Detalles del procesamiento

Asunto: Prestación de la Plataforma de negocios creativos (sitios web, portafolios, entrega, comercio, cursos, herramientas para equipos y funciones opcionales de conservación / de campo).

Duración: Por el plazo de su cuenta más los períodos de retención indicados en la Sección 12.

Naturaleza y propósito: Almacenamiento, organización, recuperación, transmisión, visualización, copia de seguridad, seguridad, facilitación de pagos, enrutamiento de cumplimiento, visualización de mapas y geocodificación según lo configurado, empaquetado de encuestas de conservación y exportación opcional del registro según sus instrucciones, y soporte según lo configurado en su cuenta.

Categorías de sujetos de datos: Clientes finales, sus clientes, sujetos representados en medios (cuando sean identificables), personal de campo y colaboradores que usted invite, y sus usuarios autorizados.

Tipos de Datos Personales: Datos de contacto, identificadores, datos de pedidos y entregas, uso/registros vinculados a identidades, contenido que usted carga, metadatos de observación y encuestas que introduce, y metadatos técnicos (incluidos EXIF/ubicación cuando estén presentes y no se hayan ocultado mediante su configuración).

Categorías especiales: Los Servicios no están diseñados para que usted recopile datos de categorías especiales (salud, biométricos, etc.). No debe subir dichos datos a menos que tenga una base legal y salvaguardas adecuadas; no monitoreamos activamente el contenido por categorías. La ubicación de especies sensibles es operacionalmente sensible y está controlada por su configuración; no se considera una GDPR categoría especial únicamente porque esté relacionada con la vida silvestre.

5. Sus responsabilidades (Controlador)

Usted acepta:

1. Base legal — Asegúrese de contar con una base legal válida (o el consentimiento del Cliente Final cuando sea necesario) para todos los Datos Personales que envíe a los Servicios.
2. Transparencia — Proporcione a los Clientes Finales un aviso de privacidad que describa con precisión sus prácticas y nuestro papel.
3. Instrucciones — Configure los Servicios (visibilidad, portales, pago, configuraciones geográficas, cookies, opciones de publicación/conservación o eliminación) de acuerdo con sus políticas. Su uso de las configuraciones de cuenta y el contenido publicado constituye instrucciones documentadas, a menos que acordemos lo contrario por escrito.
4. Precisión — Mantenga los Datos Personales precisos y relevantes.
5. Solicitudes de derechos — Responda a las solicitudes del Cliente Final (acceso, eliminación, etc.) de los datos que usted controla; nosotros asistiremos según la Sección 10.
6. Seguridad — Mantenga credenciales fuertes, limite el acceso del equipo y notifíquenos de inmediato sobre posibles infracciones que afecten su cuenta.

6. Nuestras obligaciones (Procesador)

Nosotros vamos a:

1. Procesar solo con instrucciones — Procese los Datos Personales únicamente según sus instrucciones documentadas como se indica en la Sección 5, a menos que lo exija la ley (en cuyo caso le informaremos, salvo que esté prohibido).
2. Confidencialidad — Asegúrese de que el personal autorizado para procesar Datos Personales esté sujeto a confidencialidad.
3. Seguridad — Implementar medidas técnicas y organizativas apropiadas (ver Sección 8).
4. Subprocesadores — Utilice subprocesadores solo según lo permitido en la Sección 7.
5. Asistencia — Brindar asistencia razonable en las evaluaciones de impacto sobre la protección de datos y en las consultas con las autoridades de supervisión cuando sea necesario, considerando la naturaleza del procesamiento y la información disponible para nosotros.
6. Eliminación/devolución — Tras la terminación o su solicitud por escrito, eliminar o devolver los Datos Personales de acuerdo con la Sección 12, sujeto a la retención legal.
7. Información de auditoría — Ponga a disposición la información necesaria para demostrar el cumplimiento y permitir las auditorías descritas en la Sección 11.

7. Subprocesadores

7.1 Autorización

Usted nos proporciona autorización general para contratar Subprocesadores que figuran en nuestra Lista de Subprocesadores. Seguimos siendo responsables del cumplimiento de las obligaciones de protección de datos por parte de los Subprocesadores.

7.2 Cambios

Mantendremos una Lista de Subprocesadores actualizada y proporcionaremos aviso de cambios materiales como se describe en esa página (típicamente 30 días antes de que un nuevo Subprocesador procese los datos de su Cliente Final). Usted puede oponerse por motivos razonables relacionados con la protección de datos contactando a [email protected] dentro del período de aviso. Si no podemos aceptar la objeción, usted podrá terminar los Servicios afectados o su cuenta como su único remedio.

7.3 Derivación

Imponemos a los Subprocesadores términos de protección de datos que son sustancialmente similares a este DPA para las obligaciones del procesador.

8. Medidas de seguridad

Mantenemos medidas apropiadas al riesgo, incluyendo, cuando corresponda:

• Cifrado en tránsito (TLS) para datos transmitidos a través de redes públicas;
• Controles de acceso y autenticación para sistemas de producción;
• Separación lógica de los datos del cliente en una arquitectura multiinquilino;
• Procedimientos de respaldo y recuperación;
• Procesos de monitoreo y respuesta a incidentes; y
• Revisión del proveedor para Subprocesadores de alto riesgo.

Ninguna seguridad es perfecta. Usted es responsable de las credenciales, los permisos del equipo y la configuración (por ejemplo, álbumes públicos vs privados, códigos de acceso al portal, censura geográfica y opciones de publicación).

Notificación de incidentes: Si tomamos conocimiento de una violación de datos personales que afecte los datos de su Cliente Final en nuestra custodia como Procesador, le notificaremos sin demora indebida y proporcionaremos la información razonablemente disponible para ayudarle a cumplir con sus obligaciones. No notificaremos a los Clientes Finales en su nombre a menos que se acuerde o lo exija la ley.

9. Transferencias internacionales

Los Datos Personales pueden ser procesados en los Estados Unidos y en otros países donde nosotros o los Subprocesadores operen. Cuando la Ley de Protección de Datos Aplicable requiera medidas de seguridad para las transferencias desde EEA/UK/Suiza, nos basamos en:

• Cláusulas Contractuales Tipo (EU Comisión 2021/914, según corresponda), incorporadas por referencia y completadas de la siguiente manera:
  • Módulo Dos (Responsable a Encargado) se aplica a las transferencias de usted (Responsable) a nosotros (Encargado);
  • Módulo Tres (Encargado a Subencargado) se aplica a las transferencias de nosotros a Subprocesadores cuando sea necesario;
• el Anexo de Transferencia de Datos Internacional UK (cuando se aplique UK GDPR); y
• medidas suplementarias que implementamos razonablemente cuando son requeridas por los reguladores.

[Counsel: attach executed SCC annex or link to downloadable PDF.]

Stripe y otros proveedores de pago/cumplimiento pueden transferir datos bajo sus propios marcos de cumplimiento cuando actúan como controladores independientes o subprocesadores en los flujos de pago.

10. Derechos del sujeto de datos

Le notificaremos de inmediato si recibimos una solicitud de un Cliente Final para ejercer derechos bajo la Ley de Protección de Datos Aplicable, salvo que esté legalmente prohibido.

Usted es responsable de responder. Proporcionaremos asistencia razonable (por ejemplo, herramientas de exportación o eliminación en el panel, o soporte manual para solicitudes complejas) sin cargo adicional para solicitudes estándar, o a tarifas acordadas para solicitudes excesivas o repetitivas.

Nuestra Política de Privacidad describe los derechos sobre los datos de su cuenta como nuestro cliente.

11. Auditorías

A solicitud por escrito no más de una vez cada 12 meses (a menos que lo requiera una autoridad supervisora o después de un incidente de seguridad material), usted puede solicitar información para verificar nuestro cumplimiento con este DPA. Podemos cumplir con esto mediante:

• respuestas a un cuestionario de seguridad razonable;
• resumen de certificaciones de terceros o informes de auditoría (si están disponibles); o
• una auditoría en el lugar o remota bajo un acuerdo de confidencialidad mutuo, programada con antelación, durante el horario laboral y que no sea irracionalmente disruptiva.

Si requiere una auditoría en el sitio no cubierta arriba, usted asumirá el costo a menos que estemos en incumplimiento material.

12. Retención y eliminación

Durante el plazo: Retenemos los Datos Personales procesados en su nombre mientras su cuenta esté activa y según sea necesario para proporcionar los Servicios.

Después de la terminación o solicitud de eliminación:

• Eliminaremos o anonimizaremos los datos del Cliente Final y del contenido dentro de [30–90] días después de que se complete la eliminación de la cuenta, excepto los datos que debamos conservar por ley o por reclamaciones legales legítimas (por ejemplo, registros de facturación, prevención de fraude).
• Las copias de seguridad pueden persistir por un período limitado antes de ser sobrescritas.
• Debe exportar los datos antes de la eliminación mediante las herramientas de exportación disponibles.

Retenciones legales: Podemos conservar datos si lo requiere la ley o una solicitud gubernamental.

13. Responsabilidad

La responsabilidad que surja de este DPA está sujeta a las disposiciones de limitación de responsabilidad y indemnización en los Términos de Servicio, excepto cuando la Ley de Protección de Datos Aplicable prohíba dicha limitación para multas del Procesador o daños directos exigidos por la ley.

La responsabilidad agregada de cada Parte bajo este DPA se rige por los Términos, a menos que un acuerdo empresarial separado firmado indique lo contrario.

14. CCPA / CPRA (términos del proveedor de servicios)

En la medida en que se aplique CCPA/CPRA, actuamos como su proveedor de servicios para los Datos Personales que procesamos en su nombre. No lo haremos:

• Vender o compartir Datos Personales (según se define en CPRA) para publicidad conductual cruzada;
• retener, usar o divulgar los Datos Personales para cualquier propósito que no sea la prestación de los Servicios especificados en los Términos y este DPA (y según lo permitido por CPRA para los proveedores de servicios); o
• combinar los Datos Personales con datos de otras fuentes, excepto cuando esté permitido para los proveedores de servicios.

Usted declara que proporciona cualquier aviso al momento de la recopilación y los derechos de exclusión requeridos a los residentes de California para sus propias prácticas.

15. Orden de precedencia

Si hay un conflicto entre este DPA y los Términos con respecto al procesamiento de Datos Personales del Cliente Final, este DPA prevalece. Para todos los demás asuntos, prevalecen los Términos.

Un acuerdo empresarial firmado o formulario de pedido con términos personalizados de protección de datos prevalece sobre este web DPA para el cliente que firma.

16. Plazo y actualizaciones

Este DPA entra en vigor en la fecha de vigencia indicada anteriormente y continúa mientras usted utilice los Servicios. Podemos actualizar este DPA para reflejar cambios legales o del producto. Los cambios materiales se publicarán con una nueva fecha de vigencia y, cuando sea necesario, con un aviso adicional. El uso continuado después de la fecha de vigencia constituye aceptación cuando esté permitido.

17. Cómo ejecutar o solicitar una copia firmada

• Clientes estándar: Aceptar los Términos incorpora este DPA por referencia.
• Clientes de empresas / agencias / estudios EU: Contacte a [email protected] para obtener un PDF contra firmado, un anexo personalizado SCC o un cuestionario de seguridad.

ArtInStack

DPA y privacidad: [email protected]