Acuerdo sobre el
tratamiento
de datos

Base44: Anexo sobre el tratamiento de datos, usuarios

Este anexo sobre el tratamiento de datos (el «DPA») forma parte de los Términos de Servicio que regulan los servicios que Base44, Inc. (la «Empresa») le presta a usted, así como de cualquier otro acuerdo o documento suscrito entre las partes (conjuntamente, el «Acuerdo»).

En la medida en que, como parte de los servicios que se le presta —incluidos el desarrollo de su aplicación, el alojamiento de esta, la prestación de recursos de inteligencia artificial y la interfaz de programación de aplicaciones para terceros, o cualquier otra acción necesaria para proporcionarle y mejorar nuestra plataforma (conjuntamente, los «Servicios»)—, la Empresa trate, en su nombre, información relativa a sus usuarios, clientes, clientes potenciales o cualquier otra persona que interactúe con su aplicación (el «Titular de los Datos»), el presente DPA regulará el tratamiento de toda la información que la Empresa reciba, recopile, consulte o utilice en relación con el Acuerdo por cuenta de usted (los «Datos Personales»).

Funciones e instrucciones

Usted reconoce y acepta que, en relación con el tratamiento de cualquier Dato Personal, actuará como alguna de estas opciones:

Responsable del tratamiento, al determinar los fines y los medios del tratamiento de los Datos Personales (el «Responsable del Tratamiento»).
Encargado del tratamiento, cuando trate Datos Personales por cuenta de terceros (el «Encargado del Tratamiento»).

La Empresa será considerada su Encargado del Tratamiento; pero, en ningún caso, Responsable del Tratamiento de los datos.

Por el presente, usted instruye a la Empresa para que trate los Datos Personales de conformidad con los términos de este DPA. Dichos términos constituirán las instrucciones completas, exclusivas y definitivas en cuanto al tratamiento de los Datos Personales por parte de la Empresa. No podrán impartirse otras instrucciones que se aparten de lo aquí establecido ni que impongan responsabilidades o gastos adicionales.

Asimismo, usted garantiza que todos los Datos Personales facilitados a la Empresa en virtud del presente DPA fueron obtenidos de forma lícita, sin vulnerar los derechos o las libertades de ningún Titular de los Datos y en cumplimiento de toda la legislación vigente en materia de protección de datos (según se define más adelante).

Tratamiento por parte de la Empresa

Cada una de las partes cumplirá con todas las leyes, las normas y los reglamentos que le sean aplicables en relación con el tratamiento de Datos Personales, incluido el Reglamento (UE) 2016/679 (RGPD), la legislación nacional del estado miembro del Espacio Económico Europeo vigente que lo implementa, la normativa sobre protección de datos de los Estados Unidos, el Reglamento General de Protección de Datos del Reino Unido (UK GDPR), las leyes federales y estatales de los Estados Unidos, la Ley de Protección de Información Personal y Documentos Electrónicos de Canadá (PIPEDA), la Ley General de Protección de Datos de Brasil (LGPD) y la Ley de Protección de la Privacidad de Israel (conjuntamente, las «Leyes de Protección de Datos Aplicables»).

La Empresa tratará los Datos Personales para prestar los Servicios, de conformidad con el Acuerdo. La naturaleza y los fines del tratamiento, su duración y las categorías de Datos Personales serán determinados exclusivamente por usted, en función del uso que haga de los Servicios.

La Empresa aplicará medidas técnicas y organizativas apropiadas destinadas a lo siguiente:

Impedir el acceso no autorizado, la divulgación o la alteración de sus Datos Personales, conforme a lo establecido en el Anexo B.
Ayudar a cumplir con las solicitudes que pueda recibir de los Titulares de los Datos.
Garantizar que el personal involucrado en el tratamiento de los Datos Personales conozca el carácter confidencial de estos datos, haya recibido la formación adecuada sobre sus responsabilidades y esté sujeto a obligaciones de confidencialidad.

La Empresa podrá permitirle integrar la plataforma con servicios de terceros y compartir Datos Personales con ellos. No obstante, cabe aclarar que la contratación y la utilización de dichos terceros es decisión exclusiva de usted. Por ende, le aconsejamos encarecidamente revisar y aceptar los términos aplicables a dichas integraciones.

La Empresa utilizará los Datos Personales únicamente para prestar los Servicios o, una vez sometidos a un proceso completo de anonimización que elimine todos los elementos identificativos, o de forma agregada.

Subencargados del Tratamiento

La Empresa podrá tratar los Datos Personales mediante terceros (los «Subencargados del Tratamiento») para prestarle los Servicios, de conformidad con las restricciones establecidas en el presente documento. Los Subencargados del Tratamiento no podrán tratar los Datos Personales para ningún fin distinto de la prestación de los Servicios, salvo que el tratamiento se realice de forma agregada o anonimizada.

Los Subencargados del Tratamiento estarán sujetos a términos sustancialmente similares a los previstos en este documento.

La Empresa seguirá siendo responsable frente a usted de cualquier incumplimiento del presente DPA causado por sus Subencargados del Tratamiento y llevará a cabo la diligencia debida correspondiente para garantizar que estos cumplan con sus obligaciones.

Todos los Subencargados del Tratamiento contratados actualmente por la Empresa figuran en el Anexo C.

La Empresa le permite suscribirse a la lista de Subencargados del Tratamiento y recibir notificaciones sobre cualquier incorporación o sustitución prevista con siete (7) días de antelación. Para suscribirse a dichas notificaciones, envíe un correo electrónico a compliance@base44.com.

Usted podrá oponerse al nombramiento o a la sustitución de un Subencargado del Tratamiento por parte de la Empresa por motivos razonables y documentados relativos a la protección de datos. Para ello, deberá enviar una objeción escrita y motivada a compliance@base44.com en un plazo de siete (7) días a partir de que reciba la notificación del cambio.

En ese caso, la Empresa podrá, a su entera discreción, optar por realizar esfuerzos razonables desde el punto de vista comercial (aunque no estará obligada a ello) para ofrecerle una solución alternativa que evite que el nuevo Subencargado del Tratamiento respecto del cual usted haya formulado una objeción trate sus Datos Personales. Hasta que la Empresa tome una decisión sobre su objeción, podrá suspender temporalmente el tratamiento de los Datos Personales y, en consecuencia, desactivar algunas funciones de los Servicios.

Si la Empresa determina que no puede resolver su objeción ni ofrecerle una solución alternativa dentro de los treinta (30) días posteriores a la recepción de una objeción válida y motivada, según su criterio exclusivo (sin obligación de justificar su decisión), usted podrá, como único recurso, dejar de utilizar los Servicios afectados mediante notificación escrita a compliance@base44.com. Dicha interrupción no afectará a las tarifas devengadas con anterioridad, y usted no podrá formular otros reclamos contra la Empresa relativos a la interrupción de los Servicios afectados. Si no presenta ninguna objeción al nombramiento o a la sustitución del nuevo Subencargado del Tratamiento dentro del plazo indicado, la Empresa considerará que ha autorizado al nuevo Subencargado del Tratamiento.

Seguridad

La Empresa ha implementado y mantendrá medidas de seguridad técnicas y organizativas conforme a los estándares de la industria, destinadas a evitar el acceso no autorizado, la divulgación o la alteración de sus Datos Personales, según se indica en el Anexo B.

Usted es responsable de analizar la información que la Empresa pone a disposición sobre sus medidas de seguridad de datos y de determinar con independencia si los Servicios satisfacen sus necesidades, requisitos y obligaciones legales.

Cuando corresponda, también será responsable de configurar correctamente los Servicios y utilizar las funciones y las funcionalidades disponibles para mantener un nivel adecuado de seguridad de sus Datos Personales.

Al utilizar los Servicios de la Empresa, usted acepta, por el presente, que las medidas organizativas, técnicas y de seguridad implementadas por la Empresa son adecuadas.

Auditoría

Previa solicitud razonable por escrito, presentada a intervalos razonables (no más de una vez cada 12 meses) y sujeta, cuando corresponda, a compromisos de confidencialidad asumidos por usted, la Empresa pondrá a su disposición informes, certificaciones o extractos de estos a los que se pueda acceder fácilmente a partir de una fuente encargada de auditar las prácticas de protección de datos de la Empresa con el fin de permitirle evaluar el cumplimiento de este Acuerdo de Tratamiento de Datos (DPA) respecto de sus Datos Personales.

En la medida en que dicha documentación no sea suficiente para que la Empresa cumpla con sus obligaciones legales frente a usted conforme a las Leyes de Protección de Datos Aplicables, la Empresa le permitirá realizar una auditoría independiente mediante el envío de cuestionarios razonables, entrevistas con el personal de la Empresa u otros métodos razonables exigidos por dichas leyes, todo ello sin generar gastos adicionales para la Empresa.

Incidente de seguridad

Al tener conocimiento de cualquier incidente de seguridad confirmado en el que los Datos Personales hayan sido destruidos, perdidos, alterados, divulgados o accedidos de forma accidental o ilícita, la Empresa procederá a notificar sin demoras indebidas, tal como lo requieran las Leyes de Protección de Datos Aplicables.

La Empresa realizará esfuerzos razonables para incluir en dichas notificaciones información pertinente sobre la naturaleza de la vulneración, el alcance y el tipo de los registros afectados y de los Titulares de los Datos afectados, las consecuencias previstas y los detalles de las medidas de remediación y demás medidas adoptadas por la Empresa.

Usted reconoce que dicha notificación no se considerará ni se interpretará como un reconocimiento por parte de la Empresa de culpa o responsabilidad alguna con respecto a dicho incidente.

Asimismo, usted reconoce que, en caso de producirse un incidente de esta naturaleza, también podrá tener la obligación de tomar las medidas exigidas por las Leyes de Protección de Datos Aplicables para mitigar los daños que puedan sufrir los Titulares de los Datos.

Asistencia y solicitudes relacionadas con los Datos Personales

Salvo que la ley lo prohíba, la Empresa emitirá notificaciones oportunas si recibe solicitudes, requerimientos, órdenes judiciales u otras consultas semejantes de las autoridades para acceder a los Datos Personales. La Empresa no proporcionará acceso a los Datos Personales, salvo que considere razonablemente que dichas solicitudes son vinculantes. En tales casos, limitará el acceso a los Datos Personales en la medida necesaria para dar cumplimiento a dichas consultas.

Asimismo, la Empresa notificará de inmediato cuando reciba una solicitud de un Titular de los Datos relacionada específicamente con el tratamiento de los Datos Personales realizado en su nombre. La Empresa no será responsable de responder a dichas solicitudes y le proporcionará la información de la que disponga en ese momento que resulte necesaria para que usted responda a tales solicitudes.

La Empresa pondrá a su disposición mecanismos automáticos o manuales con el fin de contribuir al cumplimiento de dichas solicitudes vinculantes.

En la medida en que lo exijan las Leyes de Protección de Datos Aplicables, la Empresa llevará registros de las actividades de tratamiento realizadas en su nombre y, previa solicitud, le proporcionará los registros necesarios para demostrar el cumplimiento de dichos requisitos legales.

Transferencia transfronteriza

La Empresa únicamente transferirá Datos Personales desde el Espacio Económico Europeo (EEE), Suiza y el Reino Unido a sus Subencargados del Tratamiento utilizando mecanismos legales que garanticen que la transferencia transfronteriza correspondiente cumpla con las Leyes de Protección de Datos Aplicables, entre ellos: (i) la transferencia a países reconocidos por el EEE como proveedores de un nivel adecuado de protección de los Datos Personales; (ii) el Marco de Privacidad de Datos UE-EE. UU. y sus extensiones aplicables; (iii) las Cláusulas Contractuales Tipo de la Unión Europea, Módulo 2 o Módulo 3, según corresponda («SCC»), aprobadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo; (iv) cualquier otro mecanismo aprobado.

Cuando el mecanismo de transferencia transfronteriza aplicable sean las SCC, las partes acuerdan incorporarlas al presente DPA con las siguientes condiciones:

Cláusula 7: no será aplicable.
Cláusula 9: se aplicará la opción 1.
Cláusula 17, el «Estado miembro de la UE» será Irlanda.
Cláusula 18, el «Estado miembro de la UE» será Irlanda.

En el caso de transferencias fuera del Reino Unido o de Suiza, las modificaciones obligatorias correspondientes se aplicarán mutatis mutandis.

Terminación

Previa solicitud suya por escrito, la Empresa eliminará su cuenta, incluidos todos los Datos Personales almacenados en ella, con excepción de lo siguiente:

Los datos que la Empresa deba conservar en la medida en que así lo exija la ley.
Los datos conservados por la Empresa como parte de los procedimientos de copia de seguridad automáticos, que se eliminan tras intervalos establecidos.

En la medida en que se conserven los Datos Personales tras la terminación del presente DPA conforme a las excepciones anteriores, dichos Datos Personales seguirán sujetos a los términos del presente DPA y no serán accedidos ni utilizados para ningún otro fin hasta su eliminación definitiva de los sistemas.

Términos específicos para las leyes estatales de los Estados Unidos

Los siguientes términos son aplicables a los Datos Personales originados en los Estados Unidos.

Para evitar cualquier duda, las definiciones de «Datos Personales», «Titular de los Datos», «Responsable del Tratamiento» y «Encargado del Tratamiento» incluyen, respectivamente, las definiciones de «Información Personal», «Consumidor», «Empresa» y «Proveedor de Servicios», tal como se definen en la Ley de Privacidad del Consumidor de California de 2018 (CCPA), modificada por la Ley de Derechos de Privacidad de California de 2020 (CPRA). Asimismo, los términos «Vender» y «Compartir» tendrán el significado que se les atribuye en la CCPA.

La Empresa no podrá realizar lo siguiente:

Vender ni compartir Datos Personales.
Utilizar los Datos Personales para fines distintos de los fines comerciales especificados en el presente DPA o fuera de las actividades de tratamiento de datos previstas en él.
Combinar los Datos Personales que reciba de usted, o en su nombre, con cualquier otra información recopilada por la Empresa que no esté relacionada con los Servicios.
Contratar o involucrar a cualquier otra parte para asistir o participar en el tratamiento de Datos Personales sin notificárselo a usted de conformidad con el presente DPA.

Usted tendrá derecho a lo siguiente: a) verificar que el tratamiento de los Datos Personales cumpla con el presente DPA; b) adoptar medidas razonables, según se define en la Sección 5 (Auditoría), para garantizar que la Empresa utilice los Datos Personales de manera compatible con las obligaciones asumidas por la Empresa en virtud del presente DPA o de la CCPA; c) en caso de uso no autorizado de los Datos Personales, rescindir el presente DPA, previa notificación por escrito a la Empresa, y eliminar su cuenta y sus Datos Personales.

La Empresa reconoce que comprende y cumple los requisitos establecidos por las Leyes de Protección de Datos Aplicables cuando los Datos Personales se originan en los Estados Unidos, incluidas todas las restricciones vinculantes aplicables.

Disposiciones generales

La Empresa le enviará una notificación si ya no puede cumplir con las obligaciones asumidas en virtud del presente DPA o de las Leyes de Protección de Datos Aplicables.

Los términos del presente DPA podrán ser modificados ocasionalmente por la Empresa mediante la publicación del DPA modificado correspondiente en su sitio web. El uso continuo de los Servicios por su parte después de la publicación del DPA modificado constituirá su aceptación de dichas modificaciones.

Si alguna disposición del presente DPA fuera declarada inválida, ilegal, nula o inaplicable por un tribunal competente, dicha disposición se considerará separable y no afectará la validez ni la exigibilidad de las restantes disposiciones.

Para evitar cualquier duda y en la medida permitida por la legislación vigente, toda responsabilidad derivada del presente DPA, incluidas sus limitaciones, se regirá por las disposiciones pertinentes de los Términos de Servicio de la Empresa.

El presente DPA fue redactado originalmente en inglés y podrá traducirse a otros idiomas según sea necesario. En caso de conflicto entre una versión traducida y la versión en inglés, prevalecerá esta última.

Anexo A: Detalles del tratamiento

Naturaleza y finalidad del tratamiento. Podremos utilizar los Datos Personales para los siguientes fines (y las tareas relacionadas con ellos), siempre de conformidad con el Acuerdo y de una manera que sea proporcionada y respete sus derechos de privacidad y los de sus Usuarios de los Usuarios:

Prestarle los Servicios, incluso a través de Subencargados del Tratamiento.
Actuar conforme a sus instrucciones, incluida la prestación de asistencia profesional, únicamente cuando usted la solicite, siempre que dichas instrucciones sean compatibles con los términos del presente DPA y con los Servicios.
Prevenir, investigar y mitigar riesgos e incidentes de seguridad de los datos, fraudes, errores y actividades ilegales o prohibidas.
Cumplir con las leyes y las normativas aplicables.

Duración del tratamiento. Usted determinará la duración del tratamiento según sus necesidades y a su exclusiva discreción. La Empresa eliminará los Datos Personales de conformidad con la Sección 9 del presente DPA.

Tipo de Datos Personales. Con sujeción a las obligaciones de restricción de contenido establecidas en el presente DPA y en el Acuerdo, el alcance y la naturaleza de los Datos Personales serán controlados y determinados exclusivamente por usted, de conformidad con las Leyes de Protección de Datos Aplicables.

Categorías de Titulares de los Datos. Con sujeción a las obligaciones de restricción de contenido establecidas en el presente DPA y en el Acuerdo, usted podrá proporcionar a los Servicios Datos Personales, entre otros, Datos Personales relativos a las siguientes categorías de Titulares de los Datos, cuya determinación y control corresponderán exclusivamente a usted: (i) empleados actuales y potenciales, candidatos, agentes, consultores, trabajadores independientes, socios comerciales o subcontratistas (y sus respectivos empleados, personas de contacto, agentes, etc.) que sean personas físicas; (ii) sus clientes actuales y potenciales y usuarios finales (y sus respectivos empleados, personas de contacto y agentes) que sean personas físicas; y (iii) cualquier otra persona física con la que usted decida relacionarse mediante los Servicios.