El presente Acuerdo de tratamiento de datos («DPA») se celebra entre Ramanathan Software Private Limited («Encargado del tratamiento») y el Cliente («Titular del tratamiento») identificado en el Contrato Marco de Venta («MSA»), y regula el tratamiento de los datos personales que lleva a cabo el Encargado del tratamiento en nombre del Titular del tratamiento en relación con los Servicios.
El presente DPA entrará en vigor en la fecha de la última firma por ambas partes.
Encargado del tratamientoRamanathan Software Private Limited
IndiQube Ascent, 420, Mahakavi Vemana Rd, KHB Block, Koramangala, Bengaluru, Karnataka 560034, India
Responsable del tratamientoCliente
Tal y como se especifica en la página de firma del Contrato Marco de Venta.
Antecedentes
El Encargado del tratamiento presta servicios en virtud del MSA y puede recibir, conservar o transmitir datos personales digitales en nombre del Fiduciario. Las partes se comprometen a cumplir con la Ley de Protección de Datos Personales Digitales de 2023 («DPDPA»), la Ley de Tecnología de la Información de 2000 y las normas y reglamentos promulgados en virtud de las mismas.
El presente Acuerdo de Protección de Datos (DPA) establece los derechos y obligaciones de cada parte en relación con el tratamiento de los datos personales.
Sección 1 — Definiciones
Los términos en mayúsculas utilizados en el presente DPA tienen los significados que se indican a continuación.
- Menor: persona que aún no ha cumplido los dieciocho años de edad.
- Gestorde consentimientos:persona registrada en la Junta de Protección de Datos de la India que se encarga de facilitar la gestión de los consentimientos.
- Datos: una representación de información apta para su comunicación, interpretación o tratamiento por parte de personas o mediante medios automatizados.
- Responsablede datos: la persona que, por sí sola o junto con otros, determina la finalidad y los medios del tratamiento de los datos personales.
- Titularde los datos:la persona a la que se refieren los datos personales, incluidos los padres o tutores de los menores.
- Encargadodel tratamiento:la persona que trata los datos personales en nombre del responsable del tratamiento.
- Datospersonales digitales:datos personales en formato digital.
- DPDPA: La Ley de Protección de Datos Personales Digitales de 2023 y las normas promulgadas en virtud de la misma.
- Datospersonales:cualquier dato sobre una persona física que sea identificable a partir de dichos datos o en relación con ellos.
- Violaciónde datos personales:cualquier tratamiento no autorizado o divulgación, adquisición, intercambio, uso, alteración, destrucción o pérdida accidentales que comprometan la confidencialidad, la integridad o la disponibilidad de los datos personales.
- Tratamiento: operación total o parcialmente automatizada realizada sobre datos personales digitales, incluyendo la recogida, el almacenamiento, la recuperación, el uso, el borrado o la destrucción.
- Lista desubencargados del tratamiento preaprobados:la lista de subencargados del tratamiento que figura en el anexo A.
- Subencargado del tratamiento:un tercero contratado por el encargado del tratamiento para tratar datos personales en nombre del fiduciario.
Sección 2 — Usos, divulgaciones y obligaciones permitidos del encargado del tratamiento
2(a)Tratamiento únicamente conforme a las instrucciones
El Encargado del tratamiento no utilizará ni divulgará Datos personales salvo en la medida en que lo permita el presente Acuerdo de Tratamiento de Datos, las instrucciones escritas del Fiduciario o la legislación aplicable. El Encargado del tratamiento informará sin demora al Fiduciario si considera que una instrucción del Fiduciario puede infringir la legislación aplicable.
2(b)Continuación del tratamiento
El tratamiento continuará hasta que el Fiduciario emita instrucciones escritas de cese. Una vez recibidas, el Encargado del tratamiento cesará el tratamiento y restringirá el uso posterior de los datos personales de conformidad con la sección 5(g).
2(c)Medidas de seguridad
El Encargado del tratamiento se compromete a implementar y mantener las medidas de seguridad administrativas, físicas y técnicas adecuadas, de conformidad con las Normas de Seguridad para la Protección de los Datos Personales Digitales. Cualquier subencargado del tratamiento contratado por el Encargado del tratamiento deberá aplicar medidas de seguridad no menos estrictas que las del Encargado del tratamiento.
2(d)Notificación de violaciones
En caso de detectarse una violación real de datos personales, el Encargado del tratamiento notificará la violación por escrito al Fiduciario en un plazo de cinco (5) días hábiles. La notificación incluirá:
- La naturaleza de la violación;
- Las categorías y el número aproximado de titulares de datos afectados;
- El volumen de datos personales implicados;
- Las posibles consecuencias de la violación; y
- Las medidas correctivas adoptadas o propuestas.
No es obligatorio notificar los intentos fallidos de acceso no autorizado que no den lugar a una violación de datos personales.
2(e)Registro de las divulgaciones
El Encargado del tratamiento mantendrá y facilitará, a petición del Fiduciario, la información necesaria para que este pueda proporcionar a los interesados un registro de las divulgaciones de sus datos personales.
2(f)Confidencialidad del personal
El Encargado del tratamiento se asegurará de que todo el personal autorizado para tratar datos personales esté sujeto a obligaciones de confidencialidad vinculantes y cumpla con las obligaciones del Encargado del tratamiento en virtud del presente Acuerdo de Tratamiento de Datos.
Sección 3 — Consentimiento
(a) El consentimiento otorgado por un interesado debe ser libre, específico, informado, incondicional e inequívoco, y debe consistir en una acción afirmativa clara que indique su aceptación del tratamiento para una finalidad determinada.
(b) El titular de los datos podrá retirar su consentimiento en cualquier momento. El fiduciario gestionará la retirada del consentimiento y emitirá instrucciones de cese al encargado del tratamiento según sea necesario.
(c) Tras recibir las instrucciones de cese por escrito del Fiduciario, el Encargado del tratamiento cesará el tratamiento y restringirá el uso posterior de los datos personales de conformidad con la sección 5(g).
Sección 4 — Algunos usos legítimos
El tratamiento sin consentimiento solo está permitido para los siguientes fines legítimos reconocidos por la DPDPA:
- Una finalidad específica para la que el interesado haya facilitado voluntariamente datos personales y no haya manifestado su oposición;
- El cumplimiento de cualquier sentencia, decreto u orden dictada por un juzgado, tribunal u organismo regulador;
- Responder a una emergencia médica que suponga una amenaza para la vida o la salud;
- Medidas de salud pública durante una epidemia, un brote de enfermedad u otra amenaza para la salud pública;
- Ayuda en caso de catástrofe o asistencia para mantener el orden público durante una situación de alteración del mismo.
Sección 5 — Obligaciones generales del responsable del tratamiento de datos
5(a)Responsabilidad en materia de cumplimiento
El fiduciario asume las obligaciones y la responsabilidad en materia de cumplimiento relativas al tratamiento de datos personales con arreglo a la DPDPA.
5(b)Contrato válido
El Fiduciario solo podrá contratar al Encargado del tratamiento en virtud de un contrato válido. El presente DPA constituye un contrato válido a efectos de la DPDPA.
5(c)Notificación del ejercicio de derechos
El Fiduciario notificará por escrito al Encargado del tratamiento cuando un Titular de los datos ejerza sus derechos de rectificación, integración, actualización o supresión con respecto a sus datos personales.
5(d)Exactitud de los datos
Cuando los datos personales constituyan la base de una decisión que afecte al titular de los datos, o se revelen a otro fiduciario, el fiduciario se asegurará de que los datos personales sean completos, exactos y coherentes.
5(e)Medidas técnicas y organizativas
El fiduciario aplicará las medidas técnicas y organizativas adecuadas, así como las salvaguardias de seguridad razonables, para prevenir violaciones de la seguridad de los datos personales.
5(f)Notificación a la Junta
Al detectar una violación de datos personales, el fiduciario lo notificará a la Junta de Protección de Datos de la India y a los interesados afectados, en la forma y según las modalidades establecidas por la legislación aplicable.
5(g)Restricción del tratamiento
Tras recibir instrucciones de cese, el Encargado del tratamiento restringirá el tratamiento activo de los datos personales afectados. Cuando el borrado completo resulte técnicamente inviable (por ejemplo, en el caso de datos almacenados en copias de seguridad rutinarias, archivos o registros de auditoría), el Encargado del tratamiento extenderá las protecciones previstas en el presente Acuerdo de Protección de Datos a dichos datos conservados, restringirá su uso exclusivamente a los fines que motivaron su conservación y mantendrá dichas protecciones de forma indefinida. Esta obligación subsistirá tras la rescisión del presente Acuerdo.
5(h)Instrucciones de conservación
El Fiduciario se asegurará de que los datos personales se conserven únicamente durante el tiempo que sea necesario o que exija la ley, y emitirá oportunamente instrucciones por escrito al Encargado del tratamiento para la restricción o la devolución de los datos personales.
5(i)Transferencia transfronteriza y acceso remoto
El Encargado del tratamiento notificará al Fiduciario antes de cualquier transferencia transfronteriza de datos o acceso remoto desde fuera de la India, especificando el país de destino, la naturaleza de los datos personales y la finalidad de la transferencia. Todas las transferencias deberán cumplir con la DPDPA. El Encargado del tratamiento se asegurará de que en el país de destino se apliquen normas de protección de datos equivalentes. El acceso remoto emplea cifrado, controles de acceso y registros de auditoría. El Encargado del tratamiento mantiene registros de todas las transferencias transfronterizas.
Sección 6 — Subencargados del tratamiento
6(a)Lista de subencargados del tratamiento preaprobados
El Fiduciario autoriza al Encargado del tratamiento a contratar a los subencargados del tratamiento que figuran en el Anexo A. El Encargado del tratamiento no podrá contratar a ningún subencargado del tratamiento que no figure en la lista sin el consentimiento previo del Fiduciario.
6(b)Actualizaciones del Anexo A
El Encargado del tratamiento notificará al Fiduciario, con al menos quince (15) días hábiles de antelación, cualquier intención de añadir o eliminar elementos del Anexo A. El Fiduciario podrá oponerse dentro del plazo de notificación. Si la objeción no puede resolverse en un plazo adicional de quince (15) días hábiles, cualquiera de las partes podrá rescindir los Servicios afectados mediante un preaviso de treinta (30) días sin incurrir en responsabilidad alguna.
6(c)Obligaciones de transmisión
El Encargado del tratamiento impondrá a cada subencargado del tratamiento obligaciones no menos estrictas que las propias del Encargado del tratamiento en virtud del presente DPA, mediante un acuerdo por escrito. El Encargado del tratamiento seguirá siendo plenamente responsable del cumplimiento de sus subencargados del tratamiento.
6(d)Lista actualizada
El Encargado del tratamiento mantendrá el Anexo A y facilitará la versión actualizada al Fiduciario cuando este lo solicite.
Sección 7 — Tratamiento de datos personales de menores
(a) El tratamiento de los datos personales de los menores debe llevarse a cabo de forma que se pueda demostrar que es seguro. El fiduciario obtendrá el consentimiento verificable de los padres o tutores antes de tratar los datos personales de un menor, tal y como exige la legislación aplicable.
(b) Ninguna de las partes llevará a cabo actividades de seguimiento, supervisión del comportamiento ni publicidad dirigida a menores en relación con los Servicios.
Sección 8 — Derechos de auditoría
El Fiduciario podrá auditar las actividades de tratamiento y las medidas de seguridad del Encargado del tratamiento, previa notificación con al menos treinta (30) días naturales de antelación, con una frecuencia máxima de una vez al año (salvo en caso de que se haya producido una violación de la seguridad de los datos personales).
Mecanismo de auditoría principal: el Encargado del tratamiento facilitará informes de auditoría realizados por terceros, certificaciones ISO 27001 y/o SOC 2 Tipo II, y cuestionarios de seguridad cumplimentados.
Mecanismo secundario: cuando la documentación facilitada sea insuficiente para resolver una inquietud del Fiduciario, este podrá solicitar una auditoría in situ realizada durante el horario laboral habitual, de forma que se minimicen las interrupciones, siempre que se respeten los compromisos razonables de confidencialidad.
El Fiduciario correrá con los gastos de las auditorías, salvo que se detecte un incumplimiento sustancial, en cuyo caso el Encargado del tratamiento asumirá dichos gastos.
Sección 9 — Autorizaciones generales del encargado del tratamiento
9(a)Prestación de servicios
El Encargado del tratamiento podrá utilizar o divulgar los Datos personales para las funciones especificadas por el Fiduciario, en la medida en que lo permita la legislación aplicable y de conformidad con las instrucciones del Fiduciario.
9(b)Gestión y administración
El Encargado del tratamiento podrá utilizar los Datos personales para su correcta gestión y administración o para cumplir con sus responsabilidades legales, en la medida en que lo permita la legislación aplicable y de conformidad con las instrucciones del Fiduciario.
9(c)Divulgación a terceros
El Encargado del tratamiento podrá divulgar Datos personales a terceros para su correcta gestión o administración, o para cumplir con sus responsabilidades legales, siempre que dicha divulgación sea exigida por la ley o que el tercero proporcione garantías por escrito de confidencialidad, uso limitado y notificación en caso de incumplimiento.
9(d)Desidentificación y agregación
El Encargado del tratamiento podrá crear datos desidentificados o anonimizados de conformidad con las instrucciones del Fiduciario y la legislación aplicable. El Encargado del tratamiento podrá utilizar datos desidentificados para la agregación de datos relacionada con las operaciones del Fiduciario.
9(e)Limitación de la responsabilidad del encargado del tratamiento
El Encargado del tratamiento no será responsable cuando el Titular de los datos o el Fiduciario: incumpla la legislación aplicable; se haga pasar por otra persona; oculte información relevante; presente una reclamación frívola o vejatoria; o facilite información no verificable.
Artículo 10 — Duración, rescisión y efectos de la rescisión
10(a)Vigencia
El presente DPA entrará en vigor en la fecha de entrada en vigor y se rescindirá tras la rescisión del MSA y de cualquier acuerdo relacionado.
10(b)Rescisión por incumplimiento
Al tener conocimiento de un incumplimiento sustancial del presente DPA, la parte que no haya incumplido podrá: (i) rescindir inmediatamente el presente DPA si el incumplimiento supone un riesgo continuo e irremediable para la confidencialidad, la integridad o la disponibilidad de los datos personales; o (ii) notificar un plazo de subsanación de treinta (30) días naturales y rescindir el presente DPA si el incumplimiento no se subsana dentro de dicho plazo.
10(c)Efectos de la rescisión
Tras la rescisión, el Encargado del tratamiento, a elección del Fiduciario, devolverá todos los datos personales o restringirá su tratamiento activo. Cuando la devolución o el borrado completo no sean viables (por ejemplo, en el caso de datos contenidos en copias de seguridad, archivos o registros de auditoría), el Encargado del tratamiento ampliará las protecciones del presente DPA a dichos datos, limitará su uso a los fines que justificaron su conservación y mantendrá dichas protecciones de forma indefinida. El Fiduciario correrá con los gastos de cualquier devolución. La presente sección seguirá vigente tras la rescisión.
Artículo 11 — Otras disposiciones
11(a)Modificación
El presente DPA solo podrá modificarse mediante un documento escrito firmado por ambas partes. Las partes adoptarán las medidas necesarias para modificar el presente DPA según sea necesario a fin de cumplir con la legislación aplicable.
11(b)Renuncia
La renuncia a hacer valer cualquier incumplimiento por parte de cualquiera de las partes no constituirá una renuncia continuada ni una renuncia a cualquier incumplimiento posterior.
11(c)Ausencia de otros beneficiarios
El presente DPA no confiere derechos, recursos, obligaciones ni responsabilidades a ninguna parte distinta del Fiduciario y del Encargado del tratamiento.
11(d)Indemnización
Cada parte indemnizará a la otra por las reclamaciones que se deriven de sus actos u omisiones en relación con el tratamiento o la divulgación de datos personales. El Encargado del tratamiento no se hace responsable de las decisiones de configuración del Fiduciario, de las instrucciones del Fiduciario ni del incumplimiento por parte del Fiduciario de la legislación aplicable.
11(e)Limitación de responsabilidad
La responsabilidad total de cada parte en virtud del presente DPA se limita a los honorarios abonados por el Fiduciario en virtud del MSA durante los doce (12) meses anteriores al hecho que haya dado lugar a la responsabilidad. Esta limitación no se aplica en caso de conducta dolosa, negligencia grave o incumplimiento de la confidencialidad.
11(f)Notificaciones
Las notificaciones por escrito dirigidas al Encargado del tratamiento deberán enviarse a IndiQube Ascent, 420, Mahakavi Vemana Rd, KHB Block, Koramangala, Bengaluru, Karnataka 560034, India, a la atención del Delegado de Protección de Datos (dpo@ramsoft.com). Las notificaciones dirigidas al Fiduciario deberán enviarse a la dirección que figura en la página de firma del MSA. Las notificaciones se considerarán entregadas en la fecha de entrega en mano, el tercer día hábil tras su envío por correo certificado o el día hábil siguiente al envío por mensajería urgente.
11(g)Efecto sobre el MSA
Salvo que se establezca expresamente lo contrario en el presente DPA a efectos de su aplicación, las condiciones del MSA seguirán en pleno vigor y efecto. En caso de conflicto en relación con el tratamiento de los datos personales, prevalecerá el presente DPA.
11(h)Legislación aplicable y jurisdicción
El presente DPA se rige por la legislación de la India. Las partes se someten irrevocablemente a la jurisdicción exclusiva de los tribunales de Bengaluru, Karnataka.
11(i)Divisibilidad
Si alguna disposición del presente DPA se considerara inválida, las disposiciones restantes seguirán en pleno vigor y efecto. Las partes negociarán de buena fe una disposición sustitutiva que refleje la intención original.
11(j)Acuerdo íntegro
El presente DPA, junto con el MSA y el Anexo A, constituye el acuerdo íntegro entre las partes en relación con el tratamiento de los datos personales, y sustituye a todos los acuerdos anteriores sobre este tema.
Anexo A — Lista de subencargados del tratamiento preaprobados
El Anexo A recoge los subencargados del tratamiento autorizados por el Fiduciario en virtud del artículo 6, letra a). La versión actual del Anexo A la mantiene el Encargado del tratamiento y se facilita al Fiduciario cuando este lo solicite.
Disponible previa solicitud
Para obtener el Anexo A vigente, póngase en contacto con el responsable de protección de datos en dpo@ramsoft.com. Las modificaciones del Anexo A están sujetas al proceso de notificación y oposición descrito en la sección 6(b).
Contacto y responsable de protección de datos
Para cualquier cuestión relacionada con este DPA, póngase en contacto con el responsable de protección de datos:
- Delegado de Protección de Datos: dpo@ramsoft.com
- Oficina de la India: IndiQube Ascent, 420, Mahakavi Vemana Rd, KHB Block, Koramangala, Bengaluru, Karnataka 560034, India
- Sede central de Toronto: 8 King St E #208, Toronto, Ontario M5C 1B5 · +1 888.343.9146 · contactsales@ramsoft.com
