Anexo de Tratamiento de Datos

Esta traducción conserva íntegramente la numeración y la estructura de la versión inglesa 0.1. La versión inglesa vigente ya no contiene variables de redacción en este documento; esta traducción tampoco.

Anexo de Tratamiento de Datos

El presente Anexo de Tratamiento de Datos («Anexo») forma parte del contrato entre Virtik USA, Inc. («Virtik») y la entidad cliente identificada en dicho contrato («Cliente») para el uso por el Cliente de la plataforma Virtik (el «Contrato»).

1. Definiciones

1.1 «Normativa aplicable de protección de datos» significa todas las leyes relativas al tratamiento de Datos Personales aplicables a la ejecución de una parte, incluido el Reglamento General de Protección de Datos de la UE 2016/679 («RGPD»), el RGPD del Reino Unido y la Data Protection Act 2018, la Ley Federal Suiza de Protección de Datos, y las leyes de privacidad de los estados de EE. UU., incluida la California Consumer Privacy Act modificada por la California Privacy Rights Act («CCPA»).

1.2 «Datos Personales» significa cualquier información relativa a una persona física identificada o identificable que se trate al amparo del Contrato. Cuando se aplique la CCPA, incluye la «personal information» tal como allí se define.

1.3 «Datos Personales del Cliente» significa los Datos Personales contenidos en los Datos del Cliente según se definen en el Contrato, tratados por Virtik por cuenta del Cliente.

1.4 «Responsable del tratamiento», «Encargado del tratamiento», «Interesado», «Tratamiento» y «Autoridad de control» tienen el significado que les atribuye el RGPD. «Business», «Service Provider», «Contractor», «Sell» y «Share» tienen el significado que les atribuye la CCPA.

1.5 «Subencargado del tratamiento» significa un tercero al que Virtik recurre para tratar Datos Personales del Cliente.

1.6 «Incidente de seguridad» tiene el significado que le atribuye la cláusula 1.17 de las Condiciones, aplicado a los Datos Personales del Cliente. La cuestión de si Virtik incurrió en culpa no forma parte de la definición.

1.7 «Cláusulas Contractuales Tipo» o «CCT» significa las cláusulas anexas a la Decisión 2021/914 de la Comisión Europea.

1.8 «Anexo del Reino Unido» significa el International Data Transfer Addendum a las CCT emitido por el Information Commissioner del Reino Unido.

1.9 «Datos Sensibles» significa las categorías especiales de datos personales del artículo 9 del RGPD, los datos relativos a condenas penales del artículo 10, y la «sensitive personal information» conforme a la CCPA.

1.10 Los términos en mayúscula inicial que el presente Anexo utiliza pero no define, incluidos Condiciones (las Condiciones de Servicio y Contrato de Suscripción SaaS en línea, LEG-001), Administrador, Pedido, Order Form, Contrato Marco de Servicios, Límite general, Límite reforzado y Provider Order, tienen el significado que les atribuye el Contrato y, cuando el Contrato no los defina, el que les atribuyen las Condiciones.

2. Ámbito e incorporación

2.1 El presente Anexo se aplica al Tratamiento por Virtik de Datos Personales del Cliente por cuenta de este.

2.2 El presente Anexo queda incorporado al Contrato y forma parte de él. Cuando el Cliente contrate en línea, el presente Anexo se aplicará sin firma separada. Cuando el Cliente requiera un ejemplar firmado, Virtik lo facilitará a solicitud.

2.3 Si el Cliente ha suscrito un acuerdo negociado de tratamiento de datos firmado por ambas partes que lo sustituya, prevalecerá dicho acuerdo.

3. Funciones de las partes

3.1 Se aplican tres funciones distintas, y confundirlas es el error más común en contratos de este tipo. Cada una se expone por separado a continuación.

3.2 Datos operativos bajo control del Cliente: Virtik es Encargado del tratamiento / Proveedor de servicios. Para los datos de cámaras y de vídeo, el audio cuando el Cliente lo habilite, las imágenes fijas, las detecciones y sus metadatos, las alertas, los modelos espaciales y Sitios Virtuales, los registros de personal y de rondas, la geolocalización, los registros de incidentes y el contenido de las comunicaciones dentro del entorno del Cliente:

(a) el Cliente es el Responsable del tratamiento y la empresa (Business). El Cliente decide qué cámaras existen, sus campos de visión, si se capta audio, a quién se vigila y cuándo, qué alertas se activan, quién puede ver qué, y la conservación.

(b) Virtik es el Encargado del tratamiento y el Proveedor de servicios, actuando únicamente siguiendo las instrucciones documentadas del Cliente.

(c) Corresponde al Cliente establecer una base jurídica, facilitar los avisos requeridos, obtener los consentimientos requeridos y completar cualquier evaluación o consulta que exija la Normativa aplicable de protección de datos. Virtik no determina los fines de este Tratamiento y no valora la licitud de la configuración del Cliente.

3.3 Datos de cuenta, facturación, seguridad y operaciones de negocio: Virtik es Responsable del tratamiento independiente. Para los registros de cuenta del Cliente, los datos de cuenta de los usuarios autorizados, los registros de facturación y fiscales, la correspondencia de soporte (salvo los archivos adjuntos y demás contenido que contengan Datos del Cliente, que Virtik trata como Encargado del tratamiento conforme a la cláusula 3.2) y la telemetría de seguridad y los registros de auditoría propios de Virtik, Virtik actúa como Responsable del tratamiento independiente a los fines de prestar, proteger, facturar y dar soporte al servicio y de cumplir sus propias obligaciones legales. Ese Tratamiento se rige por la Política de Privacidad de Virtik (LEG-002) y no por las obligaciones de Encargado del tratamiento del presente Anexo.

3.4 La telemetría de seguridad de Virtik se genera para los propios fines de seguridad de Virtik y no constituye Tratamiento por instrucción del Cliente, aun cuando se refiera a actividad dentro del entorno del Cliente.

3.5 Despliegues de Security Provider. Cuando el Cliente sea un Security Provider aprobado que utilice el Servicio para sus propios clientes, el Cliente puede ser a su vez Encargado del tratamiento para su cliente. Virtik es entonces Subencargado del tratamiento del Cliente, el Cliente sigue siendo responsable frente a Virtik de transmitir las instrucciones de su cliente en términos coherentes con el presente Anexo, y se aplica el Módulo Tres cuando resulten aplicables las CCT, conforme a la cláusula 16.2. La activación comercial de un Security Provider requiere la aprobación escrita de Virtik y un Provider Order que Virtik haya suscrito (cláusula 5.8 de las Condiciones). La presente cláusula se aplica a un Cliente únicamente en virtud de un Provider Order así suscrito, y nada en el presente Anexo manifiesta que exista una plantilla de Provider Order o una activación automatizada.

3.6 CCPA. Respecto del Tratamiento previsto en la cláusula 3.2, Virtik es un Service Provider. Virtik no: (a) venderá (Sell) ni compartirá (Share) Datos Personales del Cliente; (b) los conservará, usará ni comunicará salvo para prestar los servicios, o según permita de otro modo la CCPA; (c) los conservará, usará ni comunicará fuera de la relación comercial directa; ni (d) los combinará con información personal recibida de otra fuente, salvo en lo que la CCPA permita. Virtik certifica que comprende estas restricciones y las cumplirá.

3.7 Ninguna de las partes es corresponsable del tratamiento con la otra, y nada en el Contrato crea corresponsabilidad.

4. Instrucciones del Cliente

4.1 Virtik Tratará los Datos Personales del Cliente únicamente: (a) según lo previsto en el Contrato, el presente Anexo y el Apéndice 3; (b) según las instrucciones escritas adicionales del Cliente, en la medida en que sean compatibles con el Contrato; y (c) según exija la ley.

4.2 El uso y la configuración de la plataforma por el Cliente constituyen sus instrucciones. Las instrucciones adicionales que excedan la funcionalidad de la plataforma quedan sujetas a acuerdo, incluido en cuanto al coste.

4.3 Virtik informará al Cliente si, en su opinión, una instrucción infringe la Normativa aplicable de protección de datos, y podrá suspender la ejecución de esa instrucción hasta que se modifique o se confirme. Esto no constituye una opinión jurídica y no transfiere a Virtik la obligación del Responsable del tratamiento de valorar la licitud.

4.4 El Cliente garantiza que sus instrucciones cumplen la Normativa aplicable de protección de datos y que dispone de todos los derechos, avisos y bases jurídicas necesarios.

4.5 Datos Sensibles. El Cliente no debe instruir a Virtik para que Trate Datos Sensibles salvo que haya confirmado una base jurídica y satisfecho toda condición adicional aplicable. El Tratamiento biométrico está además restringido por el Contrato y por las Condiciones de Uso de IA y Supervisión Humana (LEG-007). Virtik no habilita la identificación biométrica, la verificación ni el reconocimiento facial por defecto ni por la compra de un Plan, y no declara que el Servicio realice identificación biométrica.

5. Confidencialidad y personal

5.1 Virtik tratará los Datos Personales del Cliente como Información Confidencial del Cliente.

5.2 Virtik se asegurará de que el personal con acceso esté sujeto a un deber de confidencialidad que subsista tras la terminación de su relación.

5.3 Virtik no efectúa en este Anexo ninguna manifestación sobre cómo se concede, revisa o registra el acceso a los sistemas de producción, y no indica que conserve registros de acceso. Los únicos registros de auditoría que Virtik indica son los que describen la cláusula 6.2 y el Apéndice 6 (Anexo de Seguridad, secciones 2.1 y 3.1).

5.4 Virtik no efectúa en este Anexo ninguna manifestación sobre la verificación de antecedentes del personal.

5.5 Virtik no efectúa en este Anexo ninguna manifestación sobre la periodicidad de la formación del personal.

6. Obligaciones de seguridad

6.1 Virtik implantará las medidas técnicas y organizativas que indican el Apéndice 6 y el Anexo de Seguridad (LEG-015) para proteger los Datos Personales del Cliente, atendiendo al estado de la técnica, al coste de implantación y a la naturaleza, alcance, contexto y fines del Tratamiento. Salvo lo dispuesto en la frase siguiente, una medida que esos documentos no indiquen no queda declarada, y las cuestiones que el Anexo de Seguridad enumera como no manifestadas limitan esta cláusula. Cuando el RGPD, el RGPD del Reino Unido o el derecho suizo de protección de datos se apliquen al Tratamiento, Virtik adoptará además las medidas que el artículo 32 del RGPD (o la disposición equivalente de ese derecho) exige a un Encargado del tratamiento, y ni el Apéndice 6 ni el Anexo de Seguridad limitan esa obligación ni declaran que todas esas medidas estén implantadas.

6.2 Las medidas que proporcionan la implementación y la configuración del Servicio incluyen el aislamiento multiinquilino, el control de acceso basado en roles, HTTPS y HTTP Strict Transport Security configurados para sus aplicaciones web, la autenticación multifactor que Virtik pone a disposición de los usuarios del Servicio, los registros de auditoría de determinados eventos administrativos y de seguridad (los roles de base de datos orientados al cliente del Servicio no pueden leer, modificar ni eliminar la tabla de auditoría principal, y Virtik no manifiesta que los registros de auditoría sean completos, a prueba de manipulación o inmutables frente al acceso privilegiado de Virtik) y las concesiones de base de datos de mínimo privilegio para los roles orientados al cliente. No representan el estado desplegado de ningún entorno en particular.

6.3 Este Anexo no indica ningún estándar criptográfico, práctica de gestión de claves ni región de alojamiento, ni ninguna frecuencia, conservación u objetivo de restauración de las copias de seguridad, y Virtik no efectúa ninguna manifestación sobre ellos ni sobre si se conservan copias de seguridad, con qué frecuencia o durante cuánto tiempo. Los datos suprimidos pueden persistir en cualquier copia de seguridad hasta que caduque. La presente cláusula 6.3 no limita la obligación prevista en la última frase de la cláusula 6.1.

6.4 Virtik no cuenta actualmente con atestación SOC 2, certificación ISO 27001, certificación de conformidad con HIPAA ni autorización FedRAMP, y no manifiesta contar con ellas. Cuando las propias obligaciones del Cliente exijan una certificación de la que Virtik no disponga, corresponde al Cliente determinar si la plataforma resulta adecuada para su uso.

6.5 Virtik podrá actualizar sus medidas siempre que el nivel de protección no se reduzca sustancialmente.

6.6 El Cliente es responsable de la seguridad de sus propios Sistemas, de sus credenciales, de la configuración de permisos, de la gestión de dispositivos y de las decisiones que adopte sobre qué datos entran en la plataforma y quién puede verlos.

7. Subencargados del tratamiento

7.1 El Cliente autoriza con carácter general a Virtik a recurrir a Subencargados del tratamiento para Tratar Datos Personales del Cliente.

7.2 Virtik impondrá a cada Subencargado del tratamiento obligaciones de protección de datos no menos protectoras que las del presente Anexo, y seguirá siendo responsable de la actuación de sus Subencargados del tratamiento.

7.3 La lista actual se mantiene en /legal/subprocessors (LEG-009). Clasifica los terceros con los que se integra el código del Servicio como subencargados gestionados por Virtik, proveedores de infraestructura y el procesador de pagos, proveedores y conectores que suministra el Cliente, y servicios cuyo uso Virtik no ha verificado. Solo el primer grupo está sujeto a la cláusula 8. Un proveedor que figura en la sección 1.3 de la lista figura sin función indicada, y la cláusula 8 se aplica a un Subencargado del tratamiento antes de que Trate Datos Personales del Cliente. La lista no indica ninguna ubicación de tratamiento, mecanismo de transferencia ni situación de acuerdo.

7.4 La Lista de Subencargados no indica ninguna situación de acuerdo respecto de ninguna entrada, como indica la cláusula 7.3. Virtik impondrá a cada Subencargado del tratamiento que Trate Datos Personales del Cliente por cuenta de Virtik las obligaciones indicadas en la cláusula 7.2.

8. Aviso y oposición sobre subencargados del tratamiento

8.1 Virtik dará al Cliente un preaviso de al menos 30 días antes de que un Subencargado Sustancial nuevo o de sustitución Trate Datos Personales del Cliente. «Subencargado Sustancial» significa un Subencargado del tratamiento que aloja, almacena, analiza o Trata de otro modo el contenido de los Datos Personales del Cliente para prestar el Servicio al Cliente. No incluye a un Subencargado del tratamiento que reciba únicamente datos de cuenta, de contacto o técnicos (como los metadatos de las solicitudes) necesarios para prestar, proteger o facturar el Servicio, ni a un servicio de terceros que el propio Cliente conecte o dirija.

8.2 Virtik da el aviso por correo electrónico al Administrador del Cliente, o al contacto designado en el Order Form, y actualiza la Lista de Subencargados del tratamiento (LEG-009) para reflejar el cambio a más tardar en la fecha en que surta efecto, y la Lista de Subencargados del tratamiento se aplica al Cliente en la versión vigente conforme a la presente cláusula 8, sin una nueva aceptación y, en el marco de un Contrato Marco de Servicios o de un Order Form, sin una modificación (la cláusula 2.7 de las Condiciones establece la misma regla para un Cliente que contrata en línea). El aviso identificará al Subencargado del tratamiento, el Tratamiento que realizará y la fecha a partir de la cual Tratará Datos Personales del Cliente. Virtik no ofrece un servicio de suscripción ni otro servicio de notificación automatizada para estos cambios.

8.3 El Cliente podrá oponerse mediante aviso escrito a privacy@virtik.ai dentro de los 15 días siguientes al aviso de Virtik, exponiendo motivos razonables y legítimos de protección de datos para la oposición. Un aviso escrito conforme a las cláusulas 8.3, 8.4 u 8.6 enviado a esa dirección satisface la cláusula 26.1 de las Condiciones (o la cláusula 13.1 del Contrato Marco de Servicios).

8.4 Ante una oposición formulada en plazo, las partes la discutirán de buena fe. Virtik podrá (a) no proceder con el cambio respecto del Cliente, o (b) proponer un cambio que atienda la oposición. Si la oposición no se resuelve dentro de los 30 días siguientes a su recepción por Virtik (el «Plazo de Resolución»), el Cliente podrá, mediante aviso escrito dado dentro de los 15 días siguientes a la finalización del Plazo de Resolución, terminar el componente afectado del Servicio o, si ese componente no puede separarse del resto del Servicio, el Pedido afectado, con efecto en una fecha anterior a aquella en que el Subencargado Sustancial nuevo o de sustitución comience a Tratar Datos Personales del Cliente. Virtik no permitirá que ese Subencargado del tratamiento comience a Tratar los Datos Personales del Cliente que se ha opuesto hasta que la oposición se resuelva, hasta que haya concluido sin aviso el plazo de 15 días para el aviso del Cliente o hasta que la terminación haya surtido efecto. En caso de terminación conforme a la presente cláusula 8.4, el Cliente no paga ningún cargo por terminación anticipada y no responde de las tarifas correspondientes al período posterior a la fecha efectiva de terminación, y Virtik reembolsará las tarifas prepagadas correspondientes a ese período para el componente terminado, calculadas y abonadas conforme dispone la cláusula 16.19 de las Condiciones; las tarifas imputables al componente terminado las determina Virtik actuando con razonabilidad y de buena fe por referencia a la lista de precios o al Pedido de ese componente, y cuando el componente no pueda valorarse por separado, el componente terminado es toda la Suscripción afectada. Ese reembolso es una excepción expresa a la regla general de la cláusula 16.6 de las Condiciones (cláusula 16.6(g)). La terminación conforme a la presente cláusula 8.4, con ese reembolso, es el único remedio del Cliente frente a la oposición y frente a que Virtik proceda con el cambio; no limita ningún remedio por un incumplimiento del presente Anexo ni ningún derecho que la Normativa aplicable de protección de datos o las CCT confieran al Cliente o a un Interesado.

8.5 La ausencia de oposición en plazo se considerará aprobación de ese cambio.

8.6 Sustitución urgente. Sin perjuicio de la cláusula 16.5(b), cuando Virtik deba sustituir con urgencia a un Subencargado del tratamiento para mantener la seguridad o la continuidad del Servicio, Virtik podrá dar un preaviso más corto que el exigido por la cláusula 8.1 y avisará tan pronto como sea factible, y el Subencargado del tratamiento sustituto podrá comenzar a Tratar Datos Personales del Cliente antes de que finalice el Plazo de Resolución. El Cliente podrá oponerse dentro de los 15 días siguientes a ese aviso por los motivos de la cláusula 8.3. Si la oposición no se resuelve dentro de los 30 días siguientes a su recepción por Virtik, el Cliente podrá terminar el componente afectado del Servicio (o el Pedido afectado si no puede separarse) mediante aviso escrito, con efecto en la fecha indicada en el aviso, y se aplican el cargo, la liberación y el reembolso de la cláusula 8.4.

8.7 Otros Subencargados del tratamiento. Virtik reflejará en la Lista de Subencargados del tratamiento la contratación de todo Subencargado del tratamiento que no sea un Subencargado Sustancial antes de que ese Subencargado del tratamiento Trate Datos Personales del Cliente. No se aplica ningún derecho de terminación conforme a la cláusula 8.4 a un Subencargado del tratamiento que no sea un Subencargado Sustancial. Cuando se apliquen las CCT, Virtik facilita al Cliente información escrita sobre toda adición o sustitución de un Subencargado del tratamiento de la lista con al menos 30 días de antelación, conforme indica la cláusula 16.5(b); el Cliente puede oponerse a ese cambio conforme a la cláusula 8.3 dentro de los 15 días siguientes a esa información, las partes discutirán la oposición de buena fe, y Virtik no comenzará a Tratar los Datos Personales del Cliente de ese Cliente con ese Subencargado del tratamiento conforme a las CCT antes de que haya transcurrido ese plazo de 30 días. Virtik facilita esa información por correo electrónico al Administrador del Cliente, o al contacto designado en el Order Form, como indica la cláusula 8.2 para un Subencargado Sustancial.

9. Asistencia en materia de derechos de los interesados

9.1 La plataforma ofrece las funcionalidades que admita en cada momento mediante las cuales el Cliente puede acceder, rectificar, exportar y suprimir Datos Personales del Cliente dentro de su entorno, de modo que el Cliente pueda responder por sí mismo a las solicitudes de los Interesados. Virtik no declara que el Servicio ofrezca una funcionalidad de autoservicio para cada categoría de Datos Personales del Cliente.

9.2 Cuando el Cliente no pueda atender una solicitud mediante esas funcionalidades, Virtik prestará asistencia razonable, a cargo del Cliente cuando la asistencia sea sustancial.

9.3 Virtik no responderá directamente a un Interesado respecto de los datos bajo control del Cliente. Cuando Virtik reciba tal solicitud, informará sin demora indebida al Interesado de que debe dirigirse a la organización correspondiente, e informará al Cliente cuando Virtik pueda identificar el entorno afectado. Virtik no registrará los entornos de otros clientes para localizar a un Interesado, porque hacerlo sería en sí mismo una intromisión desproporcionada en la información de otros Interesados.

10. Asistencia en caso de Incidente de seguridad

10.1 Virtik notificará al Cliente sin demora indebida tras confirmar un Incidente de seguridad que afecte a Datos Personales del Cliente. Virtik confirma un Incidente de seguridad cuando, actuando con razonabilidad y sin retrasar su investigación, determina que el Incidente de seguridad se ha producido o considera razonablemente, conforme dispone la cláusula 1.17 de las Condiciones, que se ha producido. Cuando se apliquen las CCT, la cláusula 8.6(c) rige la notificación de una violación de la seguridad de los datos personales: el importador de datos notifica la violación al exportador de datos sin demora indebida tras haber tenido conocimiento de ella. El presente Anexo no establece una formulación más estricta que la que exigen la Normativa aplicable de protección de datos y las CCT, y ninguna de ellas fija un número de horas para la notificación de un encargado del tratamiento a su responsable del tratamiento. Cuando se aplique el Módulo Tres, la cláusula 8.6(c) prevé además la notificación al responsable del tratamiento cuando sea adecuado y factible, y Virtik la dará cuando el Cliente haya facilitado a Virtik por escrito los datos de contacto del responsable del tratamiento.

10.2 La notificación incluirá, en la medida en que se conozca: la naturaleza del incidente, las categorías y el número aproximado de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información podrá facilitarse por fases a medida que avance la investigación.

10.3 Virtik adoptará medidas razonables de contención y subsanación, y facilitará la información razonablemente necesaria para que el Cliente cumpla sus propias obligaciones de notificación.

10.4 La notificación no constituye reconocimiento de culpa ni de responsabilidad.

10.5 Un intento infructuoso, o un suceso que no comprometa la seguridad de los Datos Personales del Cliente —incluidos pings, escaneos de puertos, inicios de sesión fallidos e intentos de denegación de servicio que no den lugar a acceso— no constituye un Incidente de seguridad.

10.6 Objetivo operativo de notificación. Cuando sea razonablemente factible, el objetivo de Virtik es dar el aviso de la cláusula 10.1 dentro de las 72 horas siguientes a la confirmación del Incidente de seguridad. Ese plazo de 72 horas es únicamente un objetivo operativo de notificación. No constituye una garantía contractual incondicional ni una garantía de ningún tipo. Un aviso dado transcurridas 72 horas no constituye por sí solo un incumplimiento del presente Anexo, de la cláusula 19 de las Condiciones ni del Contrato. No notificar sin demora indebida constituye un incumplimiento de la presente cláusula y de la cláusula 19.5 de las Condiciones, y la responsabilidad de Virtik por la pérdida que ese incumplimiento cause queda sujeta al Límite reforzado conforme a la cláusula 21.3(b) de las Condiciones; ello no convierte al Incidente de seguridad subyacente en un Incidente de seguridad cualificado.

10.7 Obligaciones propias del Cliente. El aviso de Virtik al Cliente es independiente de cualquier notificación que el Cliente deba efectuar a una Autoridad de control, a los Interesados o a otros como Responsable del tratamiento (incluso conforme a los artículos 33 y 34 del RGPD) o de otro modo. Esas obligaciones, y los plazos en que deben cumplirse, se determinan por la Normativa aplicable de protección de datos y corren desde el conocimiento propio del Responsable del tratamiento, y son responsabilidad del Cliente. Cuando el Cliente sea Encargado del tratamiento de otro Responsable del tratamiento, el Cliente es responsable de notificar a ese Responsable del tratamiento.

11. Evaluaciones de impacto y consulta a las autoridades

11.1 Virtik prestará asistencia razonable en una evaluación de impacto relativa a la protección de datos o en una consulta previa a una Autoridad de control referida a la plataforma, en la medida en que el Cliente no pueda obtener razonablemente la información por sí mismo y esta se refiera al Tratamiento realizado por Virtik.

11.2 La asistencia podrá prestarse mediante documentación, respuestas a cuestionarios o el Anexo de Seguridad (LEG-015). Virtik podrá cobrar por una asistencia sustancial.

11.3 Corresponde al Cliente realizar su propia evaluación. Solo el Cliente conoce sus fines, sus locales, a quién vigila y por qué, los hechos de los que depende cualquier evaluación.

12. Solicitudes de autoridades públicas y fuerzas del orden

12.1 Si Virtik recibe de una autoridad pública una solicitud de Datos Personales del Cliente, Virtik, salvo prohibición legal: (a) lo notificará al Cliente sin demora indebida; (b) informará a la autoridad de que Virtik es Encargado del tratamiento y de que la solicitud debería dirigirse al Cliente; y (c) no comunicará nada salvo obligación legal.

12.2 Cuando exista obligación legal, Virtik comunicará únicamente el mínimo exigido y procurará impugnar una solicitud que resulte ilícita, excesivamente amplia o contraria a la cortesía internacional.

12.3 La tramitación por Virtik de los procedimientos legales se describe en las Directrices sobre Solicitudes de las Fuerzas del Orden (LEG-020).

12.4 Virtik mantendrá un registro de las solicitudes recibidas en la medida en que sea lícito.

13. Devolución y supresión

13.1 Al vencimiento o a la terminación, Virtik pondrá los Datos Personales del Cliente a disposición para su exportación mediante las funcionalidades de exportación que el Servicio ofrezca en ese momento, y por lo demás con asistencia razonable (incluso, cuando sea técnicamente factible, en un formato de uso común y legible por máquina), durante el período indicado en el Contrato (30 días conforme a la cláusula 10.7 de las Condiciones y a la cláusula 5.6 del Contrato Marco de Servicios). La cláusula 16.18 de las Condiciones se aplica además cuando sea aplicable el Reglamento (UE) 2023/2854.

13.2 Transcurrido ese período, Virtik suprimirá o anonimizará los Datos Personales del Cliente, salvo en la medida en que su conservación sea exigida por ley o necesaria para formular, ejercer o defender acciones legales. Cuando se apliquen las CCT, Virtik suprimirá los Datos Personales del Cliente en lugar de anonimizarlos si el Cliente así lo decide mediante notificación escrita, y la certificación prevista en la cláusula 13.4 indica si Virtik los ha suprimido o anonimizado.

13.3 Este Anexo no indica ningún plazo de supresión ni ningún plazo de expiración de las copias de seguridad. Los datos suprimidos pueden persistir en las copias de seguridad hasta que estas expiren, como indica la cláusula 13.4.

13.4 A solicitud escrita del Cliente, una vez que Virtik haya suprimido o anonimizado los Datos Personales del Cliente conforme a la presente cláusula 13, Virtik lo confirmará por escrito. La confirmación es un acto manual y no declara que no subsista ninguna copia en las copias de seguridad, en las que los datos suprimidos pueden persistir hasta que las copias de seguridad expiren. Cuando se apliquen las CCT, Virtik facilitará además, a solicitud escrita del Cliente, la certificación de supresión que exige la cláusula 8.5 de las CCT, como declaración escrita firmada por un representante autorizado de Virtik que indica si Virtik ha suprimido o anonimizado los Datos Personales del Cliente conforme a la cláusula 13.2 (y, cuando el Cliente haya elegido la supresión conforme a la cláusula 13.2, que Virtik los ha suprimido), y que indica la excepción de las copias de seguridad y toda conservación que exija la legislación aplicable.

14. Auditorías e información de cumplimiento

14.1 Virtik pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento del presente Anexo, principalmente a través del Anexo de Seguridad (LEG-015) y de respuestas a cuestionarios de seguridad razonables.

14.2 Cuando la Normativa aplicable de protección de datos o, cuando se apliquen, la cláusula 8.9 de las CCT faculten al Cliente para auditar, y la información del punto 14.1 resulte insuficiente, el Cliente podrá solicitar una auditoría con aviso escrito previo razonable, no más de una vez en un período de doce meses, salvo que lo exija una Autoridad de control o tras un Incidente de seguridad que afecte al Cliente.

14.3 Una auditoría deberá realizarse en horario laboral, no deberá perturbar de forma irrazonable las operaciones, estará sujeta a confidencialidad, no deberá acceder a los datos de otro cliente ni a la infraestructura multiinquilino de Virtik de un modo que pudiera afectar a otros clientes, y deberá llevarla a cabo el Cliente o un auditor independiente que no sea competidor de Virtik. El coste correrá a cargo del Cliente.

14.4 Virtik no ofrece actualmente un informe de auditoría de un tercero, porque no dispone de atestación SOC 2 ni de certificación ISO 27001. Virtik no concede ningún derecho de auditoría más allá de las cláusulas 14.1 a 14.3: la información descrita en la cláusula 14.1 y una auditoría únicamente cuando la Normativa aplicable de protección de datos o la cláusula 8.9 de las CCT faculten al Cliente para ello, en las condiciones de las cláusulas 14.2 y 14.3 en la medida en que esas Cláusulas lo permitan.

15. Transferencias internacionales de datos

15.1 Virtik está establecida en los Estados Unidos y los Datos Personales del Cliente podrán Tratarse allí y en otros lugares donde operen Virtik o sus Subencargados del tratamiento. El presente Anexo no designa ninguna región de alojamiento.

15.2 Cuando Virtik Trate Datos Personales sujetos al RGPD, al RGPD del Reino Unido o al derecho suizo y los transfiera a un país sin decisión de adecuación, la transferencia se regirá por las cláusulas 16 y 17.

15.3 Virtik no transferirá Datos Personales del Cliente a una jurisdicción sin un mecanismo de transferencia válido en vigor.

15.4 La residencia de datos no se ofrece como compromiso.

16. Cláusulas Contractuales Tipo de la Comisión Europea

16.1 Cuando se aplique el RGPD y se active la cláusula 15.2, las CCT quedan incorporadas por referencia y se aplican a la transferencia.

16.2 Selección de módulos. Las CCT son las cláusulas del Anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, y la referencia en la presente cláusula 16 a una Cláusula es una referencia a una Cláusula de las CCT. El exportador de datos es el Cliente y el importador de datos es Virtik USA, Inc., según indica el Apéndice 1. Los Módulos se aplican del modo siguiente:

(a) El Módulo Dos (de responsable a encargado) se aplica al Tratamiento previsto en la cláusula 3.2 cuando el Cliente sea responsable del tratamiento de los Datos Personales del Cliente.

(b) El Módulo Tres (de encargado a encargado) se aplica cuando el propio Cliente sea encargado del tratamiento por cuenta de otro responsable del tratamiento, incluso cuando se aplique la cláusula 3.5. El Cliente confirma entonces que las instrucciones de su responsable del tratamiento son coherentes con el presente Anexo, conforme dispone la cláusula 3.5.

(c) El Cliente indicará en el Order Form, o mediante aviso escrito a Virtik antes de la primera transferencia, si actúa como responsable o como encargado del tratamiento de los Datos Personales del Cliente. Cuando el Cliente no indique nada, se aplica el Módulo Dos.

(d) No se selecciona el Módulo Uno (de responsable a responsable). El Tratamiento de Virtik como Responsable del tratamiento independiente conforme a la cláusula 3.3 se rige por la Política de Privacidad (LEG-002), y Virtik se apoyará en el mecanismo de transferencia que la Normativa aplicable de protección de datos exija para ese Tratamiento, en su caso. El Módulo Cuatro no se aplica.

16.3 Lo siguiente queda precargado cuando se aplican las CCT y se expone en los Apéndices: exportador e importador de datos (Anexo I.A), descripción del tratamiento del Anexo I.B, medidas técnicas y organizativas del Anexo II. El Anexo III (lista de subencargados del tratamiento) se completa únicamente cuando se aplique la cláusula 9(a), Opción 1 (autorización previa específica). La cláusula 16.5(b) selecciona la Opción 2, por lo que no se completa ningún Anexo III, y la lista acordada a efectos de la cláusula 9(a) es la Lista de Subencargados del tratamiento (Apéndice 7).

16.4 En caso de conflicto entre las CCT y el presente Anexo, prevalecerán las CCT.

16.5 Elecciones. Cuando se apliquen las CCT: (a) no se incluye la cláusula 7 (cláusula de acoplamiento), que es opcional; (b) en la cláusula 9(a) se aplica la Opción 2 (autorización escrita general), la lista acordada es la Lista de Subencargados del tratamiento (Apéndice 7), y el plazo para el aviso escrito específico de los cambios previstos en esa lista (adiciones o sustituciones de subencargados del tratamiento) es de al menos 30 días de antelación, conforme indican las cláusulas 8.1 y 8.7. El aviso de la cláusula 8.2 (para un Subencargado Sustancial) y la información escrita de la cláusula 8.7 (para cualquier otro Subencargado del tratamiento) son la información que exige la cláusula 9(a), y el derecho del Cliente a oponerse conforme a la cláusula 8.3, que se aplica a todo cambio de ese tipo, es el derecho de oposición que confiere la cláusula 9(a); el derecho de terminación de la cláusula 8.4 se aplica únicamente a un Subencargado Sustancial. Cuando se aplique el Módulo Tres, la cláusula 9(a) exige que el aviso se dé al responsable del tratamiento, y Virtik lo da al Cliente y, cuando el Cliente haya facilitado a Virtik por escrito los datos de contacto del responsable del tratamiento, también a ese responsable del tratamiento; Virtik informa además al Cliente, como exportador de datos, de la contratación del subencargado del tratamiento. La cláusula 8.6 (sustitución urgente) no acorta el plazo de la cláusula 9(a) para un Cliente al que se apliquen las CCT: para ese Cliente, un Subencargado del tratamiento sustituto comienza a Tratar Datos Personales del Cliente solo una vez transcurrido ese plazo o cuando el Cliente haya aceptado por escrito una fecha anterior; (c) en la cláusula 11(a), no se incluye la redacción opcional sobre un organismo independiente de resolución de litigios; (d) la cláusula 13 y el Anexo I.C son los que indica la cláusula 16.6; y (e) las cláusulas 17 y 18 son las que indica la cláusula 16.7.

16.6 Autoridad de control (cláusula 13 y Anexo I.C). La cláusula 13(a) contiene tres redacciones alternativas, y solo se aplica la alternativa que corresponda a las circunstancias del exportador de datos, según se indique en el Anexo I.C: (a) cuando el exportador de datos esté establecido en un Estado miembro de la UE, la autoridad de control responsable de garantizar el cumplimiento del RGPD por el exportador en lo que respecta a la transferencia de datos; (b) cuando el exportador de datos no esté establecido en un Estado miembro de la UE pero entre en el ámbito territorial del RGPD conforme al artículo 3, apartado 2, y haya designado un representante conforme al artículo 27, apartado 1, la autoridad de control del Estado miembro en el que esté establecido el representante; y (c) cuando el exportador de datos no esté establecido en un Estado miembro de la UE, entre en el ámbito del artículo 3, apartado 2, y no esté obligado a designar un representante conforme al artículo 27, apartado 2, la autoridad de control de uno de los Estados miembros en los que se encuentren los Interesados cuyos Datos Personales se transfieren con arreglo a las CCT en relación con la oferta de bienes o servicios a ellos, o cuyo comportamiento se controla. El Cliente, como exportador de datos, identifica a su autoridad de control competente en el Order Form o mediante aviso escrito a Virtik antes de la primera transferencia, y esa indicación es el Anexo I.C para ese Cliente; Virtik no la elige. Conforme a la cláusula 13(b), Virtik, como importador de datos, se somete a la jurisdicción de la autoridad de control competente y coopera con ella conforme dispone esa Cláusula. La presente cláusula no declara que Virtik tenga un establecimiento o un representante en la Unión Europea. Cuando el Cliente no indique ninguna, la autoridad de control competente es la que designa la alternativa de la cláusula 13(a) que corresponda a las circunstancias del Cliente.

16.7 Derecho aplicable y tribunales (cláusulas 17 y 18). Para el Módulo Dos y el Módulo Tres se aplica la cláusula 17, Opción 1, y no se selecciona la Opción 2: las CCT se rigen por el derecho de Irlanda, que las Partes designan como el derecho de un Estado miembro de la UE que reconoce derechos de tercero beneficiario. Conforme a la cláusula 18, letras (a) y (b), cualquier controversia derivada de las CCT se resuelve ante los tribunales de Irlanda, y conforme a la cláusula 18(c) un Interesado puede también ejercitar acciones legales contra el exportador de datos o el importador de datos ante los tribunales del Estado miembro en el que tenga su residencia habitual. Las Partes se someten a la jurisdicción de los tribunales de Irlanda, conforme dispone la cláusula 18(d). La presente cláusula 16.7 se aplica únicamente a las CCT. Las leyes del Estado de Delaware y el foro exclusivo de Delaware conforme a la cláusula 26.9 de las Condiciones (o a la cláusula 13.10 del Contrato Marco de Servicios) continúan rigiendo el presente Anexo, el Contrato y cualquier otra materia, incluida toda reclamación entre las partes que no sea una reclamación conforme a las CCT.

17. Transferencias al Reino Unido

17.1 Cuando se aplique el RGPD del Reino Unido, el Anexo del Reino Unido queda incorporado y se aplica a la transferencia, siendo las CCT las cláusulas aprobadas que aquel modifica.

17.2 Para el Anexo del Reino Unido: la Tabla 1 (Partes) es la que indican el Apéndice 1 y el Contrato; la Tabla 2 (CCT seleccionadas, Módulos y Cláusulas seleccionadas) son las CCT tal como las incorpora la cláusula 16, Módulos Dos y Tres, sin la cláusula 7 y sin la redacción opcional de la cláusula 11(a), y con la cláusula 9(a) Opción 2 con el plazo de aviso de la cláusula 16.5(b); y la Parte 2 (Cláusulas Obligatorias) son las Cláusulas Obligatorias del Anexo Aprobado, según se revisen conforme a la cláusula 18 de esas Cláusulas Obligatorias. Tabla 3 (Información del apéndice): el Anexo 1A (Lista de Partes) son el Apéndice 1 y el Contrato; el Anexo 1B (Descripción de la transferencia) son los Apéndices 1, 2, 4 y 5; el Anexo II (Medidas técnicas y organizativas) es el Apéndice 6, que indica únicamente las medidas que la cláusula 6.2 y el Apéndice 6 indican como configuradas y no efectúa ninguna otra manifestación; y el Anexo III (Lista de Subencargados del tratamiento) no es aplicable porque se aplica la cláusula 9(a) Opción 2 (autorización escrita general), siendo la lista acordada la Lista de Subencargados (LEG-009), como indican el Apéndice 7 y la cláusula 16.5(b). Tabla 4 (Terminación del presente Anexo cuando cambie el Anexo Aprobado): ninguna de las Partes.

17.3 Cuando se aplique el derecho suizo, las referencias se adaptan para que el Comisionado Federal de Protección de Datos y Transparencia sea la autoridad competente y para que la protección se extienda a las personas jurídicas cuando el derecho suizo lo exija.

18. Cláusulas californianas de Service Provider y Contractor

18.1 Se aplica la cláusula 3.6. Además:

18.2 Virtik no venderá ni compartirá Datos Personales del Cliente, y no lo hace.

18.3 Virtik prestará asistencia razonable con las solicitudes de los consumidores para conocer, suprimir, rectificar y oponerse, según se describe en la cláusula 9.

18.4 Virtik notificará al Cliente si determina que ya no puede cumplir sus obligaciones como Service Provider.

18.5 El Cliente podrá adoptar medidas razonables y apropiadas para detener y subsanar un uso no autorizado de Datos Personales del Cliente por Virtik, incluidas las previstas en la cláusula 14.

18.6 Virtik no utilizará Datos Personales del Cliente para publicidad conductual entre contextos, y no lo hace.

19. Conflicto y orden de prelación

19.1 En caso de conflicto entre condiciones en cuanto al Tratamiento de Datos Personales, se aplicará el orden siguiente, de mayor a menor:

1. las CCT y el Anexo del Reino Unido, cuando resulten aplicables, en cuanto a las transferencias que cubren;
2. un acuerdo negociado de tratamiento de datos firmado por ambas partes;
3. el presente Anexo;
4. el Anexo de Seguridad, en cuanto a las medidas de seguridad;
5. el resto del Contrato, incluidos cualquier Order Form y cualquier Contrato Marco de Servicios;
6. la Documentación.

19.2 Un Order Form o un Contrato Marco de Servicios solo puede modificar el presente Anexo cuando identifique expresamente la disposición del Anexo que modifica y la modificación no reduzca una protección que exija la Normativa aplicable de protección de datos. La cláusula 26.11 de las Condiciones y la cláusula 1.4 del Contrato Marco de Servicios ordenan los documentos del mismo modo en cuanto a los Datos Personales, de manera que ningún documento quede por encima de un documento que lo ordena a él.

19.3 Derecho y foro de las CCT. Las CCT se rigen por el derecho y están sujetas a los tribunales que indica la cláusula 16.7, y el Anexo del Reino Unido por el derecho y los tribunales que especifica. La cláusula 26.9 de las Condiciones y la cláusula 13.10 del Contrato Marco de Servicios no se les aplican, y la cláusula 16.7 no atribuye al derecho ni a los tribunales de Irlanda jurisdicción alguna sobre ninguna otra materia.

20. Vigencia, supervivencia y responsabilidad

20.1 El presente Anexo surte efecto al mismo tiempo que el Contrato y continúa mientras Virtik Trate Datos Personales del Cliente.

20.2 Las cláusulas 5, 6, 8, 9, 10, 12, 13, 14, 16, 19 y 20 subsisten tras la terminación, y las cláusulas 6, 8, 10 y 16 se aplican mientras Virtik conserve Datos Personales del Cliente.

20.3 La responsabilidad de cada parte al amparo del presente Anexo, incluida, entre Virtik y el Cliente y en la medida en que lo permitan la cláusula 12 de las CCT y la Normativa aplicable de protección de datos, la responsabilidad conforme a las CCT, queda sujeta a las limitaciones y exclusiones del Contrato, incluidos el Límite general y, respecto de los incumplimientos que identifica la cláusula 21.3 de las Condiciones, el Límite reforzado.

20.4 Nada en el Contrato ni en el presente Anexo limita (a) los derechos de un Interesado conforme a la Normativa aplicable de protección de datos ni la responsabilidad de una parte frente a un Interesado conforme a la cláusula 12 de las CCT, ni (b) ninguna responsabilidad que no pueda limitarse lícitamente. Cuando una limitación del Contrato contradiga las CCT entre las partes, prevalecerán las CCT únicamente en esa medida.

20.5 Virtik podrá actualizar el presente Anexo con un preaviso de al menos 30 días al Cliente cuando la actualización venga exigida por la Normativa aplicable de protección de datos o por una modificación de las CCT o del Anexo del Reino Unido realizada por la autoridad que los emitió, o refleje un cambio de la Lista de Subencargados del tratamiento realizado conforme indica la cláusula 8, y cuando no reduzca una protección que exija la Normativa aplicable de protección de datos. Cualquier otro cambio requiere el acuerdo escrito del Cliente. En el marco de un Contrato Marco de Servicios, la modificación se rige por la cláusula 13.9 de ese contrato, salvo que un cambio que permite la cláusula 8 no es una modificación y salvo que una modificación de las CCT o del Anexo del Reino Unido realizada por la autoridad que los emitió se aplica a las transferencias que cubre desde su fecha de entrada en vigor.

Apéndices

Apéndice 1 — Descripción del tratamiento

Apéndice 2 — Categorías de datos personales e interesados

Categorías de Datos Personales (según configure el Cliente): identificadores y datos de contacto de los usuarios autorizados; datos de rol y de permisos; metadatos de autenticación; imágenes y vídeo de personas captados por los Sistemas del Cliente; audio cuando el Cliente lo habilite; metadatos de detección referidos a personas; geolocalización y recorridos de ronda del personal; contenido de comunicaciones; registros de incidentes; registros de visitantes cuando el Cliente los configure; y datos de dispositivo y de registro.

Categorías de Interesados: los usuarios autorizados y administradores del Cliente; los empleados y contratistas del Cliente; los visitantes de los locales del Cliente; los miembros del público que se encuentren en el campo de visión de los Sistemas del Cliente; y los propios clientes del Cliente cuando estén presentes en locales vigilados.

Datos Sensibles: ninguno, salvo que el Cliente configure un Tratamiento que los capte, en cuyo caso se aplicará la cláusula 4.5.

Apéndice 3 — Instrucciones del Cliente

Las instrucciones permanentes de Virtik son: Tratar los Datos Personales del Cliente exclusivamente para prestar, mantener, proteger y dar soporte a la plataforma conforme a la configuración del Cliente; conservarlos según la conservación configurada por el Cliente; ponerlos a disposición de aquellos a quienes autorice la configuración de permisos del Cliente; transmitirlos a las integraciones que el Cliente habilite; y suprimirlos por instrucción del Cliente o conforme a la cláusula 13.

Apéndice 4 — Duración del tratamiento

La duración sigue el Plazo de Suscripción y los períodos de la cláusula 13. El presente Anexo no indica ningún plazo de conservación.

Apéndice 5 — Naturaleza y finalidad por categoría de datos

Apéndice 6 — Medidas técnicas y organizativas

Este Apéndice indica las medidas que proporcionan la implementación y la configuración del Servicio, como indica la cláusula 6.2. Una medida que no figure en él no queda declarada por este Apéndice. Cuando se apliquen las CCT, este Apéndice es el Anexo II de las CCT. Enumera únicamente las medidas indicadas a continuación y no describe ninguna otra medida que el Anexo II exigiría en otro caso. Nada en este Apéndice limita la obligación prevista en la última frase de la cláusula 6.1, y este Apéndice no declara que estén implantadas todas las medidas que exige el artículo 32 del RGPD.

Medidas indicadas como configuradas: aislamiento multiinquilino; control de acceso basado en roles; HTTPS y HTTP Strict Transport Security configurados para las aplicaciones web; autenticación multifactor disponible para los usuarios del Servicio; registros de auditoría de determinados eventos administrativos y de seguridad, que los roles de base de datos orientados al cliente del Servicio no pueden leer, modificar ni eliminar en la tabla de auditoría principal (Virtik no manifiesta que los registros de auditoría sean completos, a prueba de manipulación o inmutables frente al acceso privilegiado de Virtik); concesiones de base de datos de mínimo privilegio para los roles orientados al cliente; validación en el servidor de las escrituras; validación de origen y limitación de frecuencia en determinados extremos (Virtik no manifiesta que un límite se comparta entre instancias de servidor).

Virtik no efectúa en este Apéndice ninguna manifestación sobre el cifrado en reposo ni la gestión de claves, las copias de seguridad y la restauración, la gestión de vulnerabilidades, las pruebas de intrusión, la continuidad de negocio y la recuperación ante desastres, la seguridad física de las ubicaciones de alojamiento, el ciclo de desarrollo seguro, la conservación de registros, el acceso del personal a los sistemas de producción ni la rotación de claves.

Apéndice 7 — Subencargados del tratamiento

Se mantiene en /legal/subprocessors (LEG-009), que es la lista acordada a efectos de la cláusula 9(a), Opción 2, de las CCT. El Anexo III de las CCT, que exigiría la cláusula 9(a), Opción 1, no se completa.

Apéndice 8 — Mecanismos de transferencia

Apéndice 9 — Contactos

Idioma. Esta traducción se proporciona únicamente para facilitar su consulta. En caso de conflicto, prevalecerá la versión en inglés, salvo que la legislación aplicable disponga lo contrario.

Historial de versiones

FIN DEL DOCUMENTO