Acuerdo de tratamiento de datos

Los términos escritos con mayúscula inicial que no se definan aquí tendrán el significado establecido en los Términos. En este ATD:

Legislación de Protección de Datos

El RGPD y las leyes de los Estados miembros de la UE y del EEE que lo apliquen o complementen; la Directiva 2002/58/CE (la Directiva sobre la privacidad y las comunicaciones electrónicas), según su transposición al Derecho nacional; y, cuando sean aplicables al tratamiento, el RGPD del Reino Unido junto con la Ley de Protección de Datos de 2018 del Reino Unido y la Ley Federal Suiza de Protección de Datos («LPD»).

Términos del RGPD

«Responsable del tratamiento», «encargado del tratamiento», «interesado», «datos personales», «violación de la seguridad de los datos personales», «tratamiento», «categorías especiales de datos personales» y «autoridad de control» tendrán los significados establecidos en el RGPD.

Datos Personales del Cliente

Los datos personales que tratamos por cuenta del Cliente al prestar el Servicio, según se describe en el Anexo I. No incluyen los datos personales que tratamos como responsable del tratamiento (consulta la sección 1).

Servicio

El correo electrónico alojado de ExitoMail, Exito Vault, Exito Transfer, los dominios personalizados y las funciones de administración de organizaciones que se proporcionan al Cliente conforme a los Términos.

Usuarios

Las personas a las que el Cliente permite utilizar el Servicio con su cuenta, incluidos el propietario y los miembros de la organización del Cliente.

Subencargado

Cualquier tercero que contratemos y que trate Datos Personales del Cliente. Nuestros propios empleados y los contratistas individuales que trabajen bajo nuestra autoridad directa no son Subencargados.

Incidente de Seguridad

Una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente transmitidos, conservados o tratados de otra forma por nosotros o por nuestros Subencargados, o la comunicación o el acceso no autorizados a dichos datos. En otras palabras, una violación de la seguridad de los datos personales (artículo 4, punto 12, del RGPD) que afecte a Datos Personales del Cliente.

CCT

Las cláusulas contractuales tipo para la transferencia de datos personales a terceros países anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, completadas según lo establecido en la sección 8.

Transferencia Restringida

La comunicación de Datos Personales del Cliente, mediante transmisión o puesta a disposición (incluido el acceso remoto), a un destinatario situado en un país fuera del Espacio Económico Europeo (EEE) que no esté cubierto por una decisión de adecuación con arreglo al artículo 45 del RGPD (o, en el caso de datos del Reino Unido o Suiza, por las normas de adecuación equivalentes del Reino Unido o Suiza).

Día Hábil

De lunes a viernes, excepto los días festivos federales de Estados Unidos.

Orden de prelación

En caso de conflicto entre documentos, se aplicarán en el siguiente orden:

1. las CCT, cuando sean aplicables;
2. el presente ATD;
3. los Términos;
4. cualquier otra política o documento que forme parte de nuestro acuerdo con el Cliente.

Nada de lo dispuesto en este ATD reduce los derechos que el Cliente o los interesados tengan en virtud de la Legislación de Protección de Datos. Expresiones como «incluido» y «por ejemplo» introducen ejemplos y no limitan los términos generales que las preceden.

Objeto

El tratamiento de Datos Personales del Cliente necesario para prestar el Servicio al Cliente: alojar buzones de correo en exitomail.com y en los dominios propios del Cliente, enviar y recibir correo, almacenar y compartir archivos en Exito Vault, enviar archivos mediante enlaces con Exito Transfer, administrar la organización del Cliente y prestar asistencia.

Duración

Mientras prestemos el Servicio al Cliente conforme a los Términos y, posteriormente, hasta que se eliminen los Datos Personales del Cliente según se describe en la sección 12.

Naturaleza y finalidad

El tratamiento consiste en alojar, almacenar, transmitir, recibir y entregar Datos Personales del Cliente; filtrarlos para detectar spam y software malicioso; indexarlos para búsquedas; crear copias de seguridad; restaurarlos y eliminarlos; y prestar la asistencia y administración relacionadas. Lo llevamos a cabo únicamente para prestar, mantener, proteger y respaldar el Servicio de acuerdo con las instrucciones del Cliente (sección 5).

Interesados y tipos de datos personales

En resumen (la descripción completa figura en el Anexo I):

• Interesados. Los Usuarios del Cliente; las personas con las que se comunican; las personas que reciben enlaces de Exito Transfer o suben archivos mediante enlaces de «solicitud de archivos»; las personas cuyos datos guardan los Usuarios como contactos; y cualquier persona mencionada en correos, archivos o transferencias.
• Datos personales. El contenido y los metadatos del correo, los contactos, los archivos de Exito Vault, los archivos de Exito Transfer y las direcciones de correo electrónico de sus destinatarios, los datos de la cuenta y de autenticación, los registros, incluidas las direcciones IP, y la configuración de dominios personalizados y DNS.

El Cliente es responsable del uso que haga del Servicio y, en particular, de lo siguiente:

• Base jurídica y transparencia. Disponer de una base jurídica para el tratamiento (artículo 6 del RGPD y, cuando corresponda, artículo 9) y facilitar a sus Usuarios y a los demás interesados la información exigida por los artículos 13 y 14 del RGPD.
• Instrucciones lícitas. Asegurarse de que sus instrucciones cumplan la Legislación de Protección de Datos y nuestra Política de Uso Aceptable.
• Usuarios y configuración. Gestionar sus Usuarios (el propietario y los miembros a los que invita), sus buzones y direcciones, la configuración de uso compartido y la caducidad de los enlaces, y decidir qué datos se incorporan al Servicio y durante cuánto tiempo se conservan. El Cliente debería asegurarse de que los Usuarios protejan sus credenciales y activen la verificación en dos pasos.
• Idoneidad. Evaluar si el Servicio, incluidas las medidas del Anexo II y el hecho de que no esté cifrado de extremo a extremo, es adecuado para los datos que el Cliente decida tratar con él, en particular las categorías especiales de datos personales (artículo 9 del RGPD) y los datos relativos a condenas e infracciones penales (artículo 10 del RGPD).
• Sistemas propios. Proteger sus propios dispositivos, redes y clientes de correo, así como cualquier copia de los datos que exporte desde el Servicio.

Tratamiento únicamente siguiendo instrucciones documentadas

Tratamos los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, también en lo relativo a las transferencias a terceros países, salvo que el Derecho de la Unión o de los Estados miembros que nos sea aplicable exija lo contrario. En tal caso, informamos al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público (artículo 28, apartado 3, letra a), del RGPD). Como empresa estadounidense, también estamos sujetos a la legislación de Estados Unidos; las solicitudes de autoridades públicas formuladas en virtud de ella se gestionan según se describe en la sección 14 y en las cláusulas 14 y 15 de las CCT.

Las instrucciones documentadas del Cliente son:

• el presente ATD y los Términos;
• el uso y la configuración del Servicio por parte del Cliente y sus Usuarios (por ejemplo, enviar un mensaje, compartir un archivo, establecer la caducidad de un enlace, añadir un dominio o eliminar un Usuario o sus datos); y
• cualquier otra instrucción escrita que el Cliente nos dé, que sea conforme con los Términos y que confirmemos por escrito. Las instrucciones que excedan las funciones del Servicio requieren nuestro consentimiento previo por escrito.

Instrucciones que infringen la ley

Informaremos inmediatamente al Cliente si, en nuestra opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos de la Unión o de los Estados miembros. Podremos suspender dicha instrucción hasta que el Cliente la confirme o modifique. No estamos obligados a realizar una revisión jurídica completa de las instrucciones del Cliente.

Confidencialidad del personal

Solo damos acceso a los Datos Personales del Cliente al personal que lo necesite para prestar, proteger o respaldar el Servicio, y únicamente en la medida necesaria. Toda persona con acceso está sujeta a obligaciones de confidencialidad por escrito, o a una obligación legal de confidencialidad adecuada, que siguen vigentes tras finalizar su relación con nosotros, y recibe formación sobre seguridad y protección de datos.

Nuestro personal no lee el contenido del correo, los archivos ni las transferencias, salvo cuando sea necesario para prestar la asistencia solicitada por el Cliente o un Usuario, investigar un problema de seguridad, un abuso o un recurso, o cumplir la ley. Dicho acceso se limita a lo necesario para la tarea y se registra en el caso de asistencia o abuso correspondiente. El filtrado y la aplicación automatizados actúan a partir de señales y resultados de análisis sin que el personal lea el contenido.

Seguridad

Aplicamos y mantenemos las medidas técnicas y organizativas descritas en la sección 6 y el Anexo II, según exige el artículo 32 del RGPD.

Sin venta, publicidad ni otros fines

No vendemos, alquilamos ni compartimos los Datos Personales del Cliente con nadie con fines publicitarios o de marketing, no mostramos anuncios ni analizamos el contenido para elaborar perfiles de los Usuarios. No utilizamos los Datos Personales del Cliente para nuestros propios fines, salvo para:

1. generar métricas operativas estadísticas y agregadas que no identifiquen al Cliente, a sus Usuarios ni a ninguna otra persona (por ejemplo, el almacenamiento total utilizado, el volumen de mensajes y las tasas de error), que utilizamos para operar el Servicio, planificar la capacidad y mejorar la fiabilidad;
2. mantener la seguridad del Servicio y de sus usuarios y prevenir abusos, en la medida necesaria (por ejemplo, filtrando spam y software malicioso, aplicando límites de envío e investigando denuncias de abuso); y
3. cumplir la ley.

Cuando el tratamiento con arreglo a las letras (b) o (c) nos convierta en responsables del tratamiento, se aplicará nuestra Política de Privacidad.

Registro de las actividades de tratamiento

Llevamos un registro de todas las categorías de actividades de tratamiento que realizamos por cuenta de nuestros clientes, según exige el artículo 30, apartado 2, del RGPD, y lo ponemos a disposición de una autoridad de control cuando lo solicite.

Cooperación con las autoridades de control

Cooperamos con las autoridades de control en el desempeño de sus funciones (artículo 31 del RGPD). Salvo que la ley lo prohíba, informamos al Cliente sin dilación indebida de cualquier consulta o solicitud de una autoridad de control relativa a los Datos Personales del Cliente.

Contacto de protección de datos

Las preguntas sobre este ATD deben dirigirse a nuestro equipo de privacidad en privacy@exitomail.com. No hemos designado un delegado de protección de datos; el equipo de privacidad se ocupa de todos los asuntos de protección de datos.

Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de los interesados, aplicamos medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (artículo 32 del RGPD). Estas medidas se describen en el Anexo II y, en un lenguaje claro, en nuestra página de Seguridad.

Nuestro programa de seguridad se basa en las normas ISO/IEC 27001:2022 e ISO/IEC 27701. No contamos con certificación conforme a ninguna de ellas y nada de lo dispuesto en este ATD debe interpretarse como una afirmación de que contamos con alguna.

La seguridad evoluciona, por lo que podremos actualizar estas medidas con el tiempo. No realizaremos cambios que reduzcan sustancialmente el nivel general de protección de los Datos Personales del Cliente.

Autorización general

El Cliente nos concede una autorización general por escrito para contratar Subencargados (artículo 28, apartado 2, del RGPD). Nuestros Subencargados actuales figuran en el Anexo III y en nuestra página de Subencargados. El Cliente los autoriza a todos, incluidos los indicados como previstos o condicionales, que solo reciben datos cuando se lanza o activa la función correspondiente.

Notificación de cambios

Informamos al Cliente con al menos 30 días de antelación antes de que un Subencargado nuevo o sustituto comience a tratar Datos Personales del Cliente, mediante un correo electrónico al propietario de la cuenta del Cliente y actualizando la página de Subencargados. Cualquier persona también puede suscribirse a estas actualizaciones escribiendo a privacy@exitomail.com con el asunto «Subprocessor updates».

Derecho de oposición

El Cliente podrá oponerse a un Subencargado nuevo o sustituto durante ese plazo de 30 días, mediante comunicación escrita a privacy@exitomail.com, por motivos razonables relacionados con la protección de datos. En tal caso, analizaremos de buena fe las inquietudes con el Cliente e intentaremos resolverlas, por ejemplo, explicando las salvaguardias aplicadas u ofreciendo una forma de utilizar el Servicio sin que ese Subencargado trate los datos del Cliente.

Si no podemos resolver la oposición en un plazo razonable, el Cliente podrá resolver la parte afectada del Servicio —o la totalidad del Servicio, si la parte afectada no puede utilizarse razonablemente por separado— mediante notificación escrita, y reembolsaremos de forma proporcional las tarifas que el Cliente haya pagado por adelantado correspondientes al periodo posterior a la resolución. Este es el recurso del Cliente en caso de una oposición no resuelta, sin perjuicio de los derechos que le correspondan en virtud de la Legislación de Protección de Datos y las CCT.

Sustituciones urgentes

Si debemos sustituir urgentemente a un Subencargado por motivos ajenos a nuestro control —por ejemplo, el fallo repentino de un proveedor o un riesgo de seguridad—, podremos hacerlo con un plazo de notificación más breve en la medida en que lo permitan las CCT y la Legislación de Protección de Datos. Informaremos al Cliente lo antes posible y el derecho de oposición anterior se aplicará a partir de dicha notificación.

Nuestra responsabilidad por los Subencargados

• Obligaciones equivalentes. Contratamos a cada Subencargado mediante un contrato escrito que impone obligaciones de protección de datos con un nivel de protección no inferior al previsto en este ATD y, en particular, garantías suficientes para aplicar medidas técnicas y organizativas apropiadas (artículo 28, apartado 4, del RGPD).
• Diligencia debida. Evaluamos las prácticas de seguridad y protección de datos de cada Subencargado antes de contratarlo y las revisamos periódicamente.
• Responsabilidad. Seguimos siendo plenamente responsables ante el Cliente del cumplimiento de las obligaciones de cada Subencargado.
• Copias. Previa solicitud, facilitamos al Cliente una copia de las condiciones de protección de datos que hayamos acordado con un Subencargado. Podremos ocultar previamente la información comercial o los datos confidenciales.

Los datos permanecen en la UE

Almacenamos los Datos Personales del Cliente en la Unión Europea:

Algunos de nuestros Subencargados están establecidos en Estados Unidos (consulta el Anexo III), por lo que no puede excluirse el acceso a los datos desde fuera del EEE, por ejemplo, para tareas de mantenimiento o asistencia. Además:

• Nuestro sitio web y la aplicación web de exitomail.com —incluidas las pantallas de correo web, Exito Vault y Exito Transfer utilizadas en un navegador— se distribuyen a través de la red global de Cloudflare. Cloudflare termina la conexión cifrada en el perímetro de su red, por lo que el tráfico, incluidos el correo y los archivos abiertos en la aplicación web, puede pasar por centros de datos situados fuera del EEE mientras está en tránsito.
• La entrega de correo y las aplicaciones de correo (SMTP, IMAP y JMAP en mail.exitomail.com) se conectan directamente a nuestro servidor y nunca pasan por Cloudflare.
• El navegador carga y descarga los archivos de Exito Vault y Exito Transfer directamente en el almacenamiento de objetos y desde él (Wasabi y Cloudflare R2) mediante enlaces firmados de corta duración, por lo que estos proveedores también ven las direcciones IP de las personas que realizan las cargas y descargas.

Cuando los Usuarios envían correo o transferencias a destinatarios situados fuera del EEE, dichas comunicaciones se realizan siguiendo las instrucciones del Cliente, como parte del Servicio que el Cliente ha decidido utilizar.

Cláusulas Contractuales Tipo entre el Cliente y nosotros

Estamos establecidos en Estados Unidos, país que no está cubierto por una decisión de adecuación que nos sea aplicable, ya que no estamos certificados conforme al Marco de Privacidad de Datos UE-EE. UU. Por tanto, cuando el Cliente esté sujeto al RGPD, poner a nuestra disposición los Datos Personales del Cliente constituye una Transferencia Restringida, aunque los datos se almacenen en la UE (Directrices 05/2021 del CEPD, ejemplo 11). Las CCT se incorporan por referencia al presente ATD y se aplican a él. El Cliente es el «exportador de datos» y nosotros somos el «importador de datos», y se completan de la siguiente manera:

Transferencias ulteriores a Subencargados

Cuando uno de nuestros Subencargados trate Datos Personales del Cliente de un modo que constituya una Transferencia Restringida, nos aseguramos de que la transferencia esté amparada por un mecanismo válido conforme al capítulo V del RGPD y a la cláusula 8.8 de las CCT: las CCT (módulo 3, de encargado a encargado) o, cuando el destinatario esté certificado conforme al Marco de Privacidad de Datos UE-EE. UU., la decisión de adecuación adoptada por la Comisión el 10 de julio de 2023 (Decisión de Ejecución (UE) 2023/1795). Cloudflare, Inc. está certificada; Wasabi Technologies LLC no lo está, por lo que se le aplican las CCT. El mecanismo utilizado para cada Subencargado figura en el Anexo III.

Legislación estadounidense y evaluación de impacto de la transferencia

Como proveedor estadounidense de servicios de comunicaciones electrónicas y computación remota, la legislación de Estados Unidos puede obligarnos a comunicar datos que estén en nuestra posesión, custodia o control, con independencia del lugar donde se almacenen (por ejemplo, en virtud de 18 U.S.C. § 2713). Tal como exige la cláusula 14 de las CCT, evaluamos cómo las leyes y prácticas de Estados Unidos podrían afectar a nuestra capacidad para cumplir nuestras obligaciones, teniendo en cuenta las salvaguardias evaluadas por la Comisión en su decisión de adecuación de 10 de julio de 2023, y aplicamos las medidas complementarias del Anexo II y de la sección 14. El Cliente puede solicitar un resumen.

Datos del Reino Unido y Suiza

• Reino Unido. Para las Transferencias Restringidas sujetas al RGPD del Reino Unido, se aplica la Adenda sobre Transferencias Internacionales de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea, emitida por el Comisionado de Información del Reino Unido (versión B1.0, en vigor desde el 21 de marzo de 2022), cuyas tablas 1 a 3 se completan con la información de este ATD y sus Anexos. En cuanto a la tabla 4, tanto el importador como el exportador podrán poner fin a la Adenda conforme a lo dispuesto en su sección 19. La Adenda se rige por la legislación de Inglaterra y Gales, y las controversias se someten a los órganos jurisdiccionales de Inglaterra y Gales.
• Suiza. Para las Transferencias Restringidas sujetas a la LPD, las CCT se aplican con las siguientes modificaciones: las referencias al RGPD se entenderán hechas a la LPD; el Comisionado Federal de Protección de Datos y Transparencia de Suiza será la autoridad de control competente; y el término «Estado miembro» no impedirá que los interesados en Suiza ejerciten acciones en su lugar de residencia habitual (cláusula 18, letra c)).

Teniendo en cuenta la naturaleza del tratamiento, ayudamos al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, a responder a las solicitudes de los interesados que ejerzan sus derechos conforme al capítulo III del RGPD (acceso, rectificación, supresión, limitación, portabilidad y oposición) (artículo 28, apartado 3, letra e), del RGPD).

Herramientas de autoservicio

La mayoría de las solicitudes pueden gestionarse directamente en el Servicio:

• Acceso y portabilidad. Los Usuarios pueden descargar su correo con cualquier cliente de correo estándar mediante IMAP y descargar sus archivos de Exito Vault. También pueden exportarse los datos de la organización con nuestra ayuda, previa solicitud.
• Rectificación. Los Usuarios pueden corregir los datos de su propio perfil.
• Supresión. Los Usuarios pueden eliminar mensajes, archivos y transferencias, y el propietario puede eliminar el buzón de un miembro junto con sus datos, tras un plazo de 30 días durante el cual puede restaurarse. Los elementos eliminados se suprimen según se describe en la sección 12 y el Anexo I.

Solicitudes que recibimos directamente

Si un interesado nos envía una solicitud relativa a Datos Personales del Cliente, no responderemos directamente, salvo para informar a la persona de que la hemos remitido o para dirigirla al Cliente. Remitiremos la solicitud al Cliente sin dilación indebida, siempre que podamos identificarlo a partir de la solicitud.

Asistencia adicional

Cuando las herramientas no sean suficientes, prestaremos una asistencia adicional razonable previa solicitud. Si una solicitud requiere un esfuerzo considerable por nuestra parte, podremos cobrar costes razonables, que acordaremos previamente con el Cliente.

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, ayudamos al Cliente a cumplir sus obligaciones conforme a los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos (artículo 35) y las consultas previas a las autoridades de control (artículo 36).

Lo hacemos principalmente facilitando documentación, en concreto este ATD y sus Anexos, nuestra página de Seguridad, nuestra página de Subencargados e información sobre transferencias internacionales, y respondiendo a las preguntas razonables del Cliente sobre el tratamiento.

Notificación

Notificamos al Cliente cualquier Incidente de Seguridad sin dilación indebida después de que tengamos constancia de él y, en cualquier caso, en un plazo máximo de 72 horas desde que tengamos constancia. Enviamos la notificación a la dirección de correo electrónico del propietario de la cuenta del Cliente y a cualquier otro contacto que el Cliente nos haya comunicado por escrito para este fin.

Contenido de la notificación

En la medida en que la información esté disponible, la notificación describirá lo siguiente (artículo 33, apartado 3, del RGPD):

• la naturaleza del Incidente de Seguridad, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y registros afectados;
• el nombre y los datos de contacto del punto de contacto donde el Cliente pueda obtener más información;
• las consecuencias probables del Incidente de Seguridad; y
• las medidas que hemos tomado o proponemos tomar para hacerle frente, incluidas las destinadas a mitigar sus posibles efectos adversos.

Cuando no podamos facilitar toda esta información a la vez, la proporcionaremos por fases, sin más dilación indebida, a medida que avance nuestra investigación.

Nuestra respuesta

Adoptamos sin demora medidas razonables para contener e investigar el Incidente de Seguridad, mitigar sus efectos y evitar que vuelva a producirse. Documentamos los hechos, los efectos y las medidas correctivas adoptadas, y prestamos al Cliente asistencia razonable para cumplir sus propias obligaciones.

Responsabilidades del Cliente

Como responsable del tratamiento, el Cliente sigue siendo responsable de decidir si procede notificar el incidente y de efectuar las notificaciones a las autoridades de control y a los interesados afectados (artículos 33 y 34 del RGPD). No notificamos a terceros, por cuenta del Cliente, un Incidente de Seguridad que afecte a Datos Personales del Cliente, salvo que el Cliente nos lo solicite o la ley lo exija.

Sin reconocimiento de culpa

La notificación de un Incidente de Seguridad o la respuesta a este no supone que reconozcamos culpa o responsabilidad alguna.

Qué no constituye un Incidente de Seguridad

Los intentos o actividades fallidos que no comprometan la seguridad de los Datos Personales del Cliente, como pings, análisis de puertos, intentos fallidos de inicio de sesión o ataques de denegación de servicio que no den lugar a un acceso no autorizado ni a la pérdida de datos, no requieren notificación.

Exportación en cualquier momento

El Cliente puede exportar los Datos Personales del Cliente en cualquier momento mientras utilice el Servicio:

• Correo. mediante IMAP, con cualquier cliente de correo estándar;
• Exito Vault. mediante la descarga de archivos y carpetas;
• Datos de la organización. con nuestra ayuda, previa solicitud.

El Cliente debería exportar los datos que desee conservar antes de que finalice el Servicio. Si necesita ayuda para hacerlo, le prestaremos asistencia razonable previa solicitud presentada antes de que finalice el Servicio.

Eliminación tras la finalización del Servicio

Cuando finalice el Servicio para el Cliente —o cuando este nos solicite que eliminemos su cuenta—, eliminaremos los Datos Personales del Cliente de nuestros sistemas activos y de los de nuestros Subencargados en un plazo de 30 días.

Las copias de nuestras copias de seguridad de bases de datos se eliminan a medida que estas se retiran por rotación, en un plazo de 30 días. Hasta entonces, permanecen cifradas y protegidas mediante las medidas del Anexo II, y solo se utilizan para la recuperación ante desastres. Si alguna vez debemos restaurar una copia de seguridad, volveremos a eliminar los datos que ya se hubieran eliminado.

Confirmación

Previa solicitud, confirmamos por escrito al Cliente la eliminación mediante un certificado de eliminación.

Conservación exigida por la ley

Solo conservamos Datos Personales del Cliente tras la finalización del Servicio cuando el Derecho de la Unión o de los Estados miembros nos exige almacenarlos (artículo 28, apartado 3, letra g), del RGPD), o cuando estén sujetos a una obligación de conservación legal descrita en nuestra Política de Uso Aceptable, como el material que debemos conservar después de comunicarlo al NCMEC. En ese caso, los mantenemos confidenciales, los tratamos únicamente para el fin correspondiente y los eliminamos cuando finaliza dicha obligación.

Información que ponemos a disposición

Ponemos a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y del presente ATD (artículo 28, apartado 3, letra h), del RGPD), incluida la siguiente:

• el presente ATD y las medidas técnicas y organizativas del Anexo II;
• nuestra página de Seguridad y, previa solicitud y con carácter confidencial, las políticas de seguridad y protección de datos pertinentes;
• nuestra lista de Subencargados y una copia de sus condiciones de protección de datos (consulta la sección 7);
• un resumen de las certificaciones de terceros o los informes de auditoría que nuestros Subencargados publiquen o pongan a nuestra disposición, cuando estén disponibles; y
• respuestas por escrito a las preguntas razonables del Cliente, incluido un cuestionario de seguridad al año.

Auditorías e inspecciones

Si esa información no basta para demostrar el cumplimiento, permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor independiente designado por este, con arreglo a las siguientes condiciones:

• Auditor. El auditor está sujeto a obligaciones de confidencialidad por escrito y no es competidor nuestro.
• Notificación y frecuencia. El Cliente nos lo notificará por escrito con al menos 30 días de antelación e incluirá una propuesta de alcance; las auditorías no podrán realizarse más de una vez en cualquier periodo de 12 meses.
• Realización. Las auditorías se realizan a distancia o de forma presencial, durante nuestros Días Hábiles y nuestro horario laboral habitual, de modo que no interrumpan el Servicio ni permitan acceder a los datos de otros clientes. Las instalaciones operadas por nuestros Subencargados se auditan mediante los informes y la información que estos facilitan.
• Costes. El Cliente asumirá sus propios costes y los del auditor. Si una auditoría requiere que le dediquemos una cantidad considerable de tiempo, podremos solicitar al Cliente que cubra nuestros costes razonables, que acordaremos previamente.
• Resultados. El Cliente compartirá con nosotros el informe de auditoría, lo tratará como confidencial y lo utilizará únicamente para verificar el cumplimiento de este ATD. Subsanaremos cualquier deficiencia significativa en un plazo razonable.

Los límites de notificación y frecuencia no se aplicarán cuando una autoridad de control exija la auditoría ni después de un Incidente de Seguridad que afecte a Datos Personales del Cliente. Las auditorías realizadas en virtud de las CCT se llevarán a cabo del mismo modo, en la medida en que sea compatible con las CCT.

Si recibimos de una autoridad pública —incluidas las autoridades policiales o de seguridad nacional— una solicitud jurídicamente vinculante de comunicación de Datos Personales del Cliente o de acceso a ellos:

1. intentaremos que la autoridad solicite los datos directamente al Cliente;
2. informaremos al Cliente sin demora y, cuando sea posible, le facilitaremos una copia de la solicitud, salvo que la ley lo prohíba; en ese caso, haremos esfuerzos razonables para conseguir que se levante la prohibición y poder informar al Cliente lo antes posible;
3. revisaremos la legalidad de la solicitud y la impugnaremos cuando, tras una evaluación cuidadosa, concluyamos que existen motivos razonables para considerarla ilícita, excesivamente amplia o incompatible con el Derecho del país de destino o de la UE, y agotaremos las vías de recurso disponibles;
4. al responder, comunicaremos únicamente el mínimo de datos permitido, basándonos en una interpretación razonable de la solicitud; y
5. documentaremos la solicitud, nuestra evaluación y nuestra respuesta.

No hemos incorporado ni incorporaremos voluntariamente puertas traseras al Servicio, y no concedemos a ninguna autoridad pública acceso directo o masivo a los Datos Personales del Cliente. Dado que somos una empresa estadounidense, estos compromisos se aplican, en particular, a las solicitudes formuladas con arreglo a la legislación de Estados Unidos. Cuando sean aplicables las CCT, estas solicitudes también se regirán por la cláusula 15. Las órdenes dictadas en virtud de los artículos 9 y 10 del Reglamento de Servicios Digitales se tramitan según se describe en nuestra política de Notificación y Acción.

La responsabilidad de cada parte derivada de este ATD o relacionada con él estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en los Términos, como si este ATD formara parte de ellos.

Nada de lo dispuesto en este ATD o en los Términos limita o excluye:

• ninguna responsabilidad frente a los interesados en virtud del artículo 82 del RGPD ni sus derechos como terceros beneficiarios en virtud de las CCT;
• la responsabilidad de cualquiera de las partes en virtud de las CCT, en la medida en que estas no permitan limitarla; o
• cualquier responsabilidad que no pueda limitarse o excluirse conforme a la legislación aplicable.

Este ATD entra en vigor cuando el Cliente acepta los Términos —o, en el caso de un cliente existente, cuando trate por primera vez Datos Personales del Cliente mediante el Servicio— y permanecerá vigente mientras tratemos Datos Personales del Cliente. Seguirá vigente tras la resolución de los Términos hasta que se hayan eliminado todos los Datos Personales del Cliente según se describe en la sección 12.

Si dejamos de poder cumplir este ATD, informaremos al Cliente sin demora. El Cliente podrá entonces suspender el tratamiento afectado y, si no restablecemos el cumplimiento en un plazo razonable, resolver la parte afectada del Servicio, con el reembolso proporcional de las tarifas pagadas por adelantado correspondientes al periodo posterior a la resolución.

Legislación aplicable y jurisdicción

Cuando el Cliente esté sujeto al RGPD, este ATD se regirá por la misma legislación que las CCT conforme a la cláusula 17 (consulta la sección 8), de modo que constituya un contrato conforme al Derecho de un Estado miembro, según exige el artículo 28, apartado 3, del RGPD, y los litigios derivados de él se someterán a los órganos jurisdiccionales elegidos conforme a la cláusula 18. Cuando solo sea aplicable el RGPD del Reino Unido, se regirá por el Derecho de Inglaterra y Gales. En todos los demás casos, se regirá por las leyes del Estado de Florida, Estados Unidos y los tribunales estatales y federales situados en el condado de Miami-Dade, Florida tendrán jurisdicción, según se establece en los Términos.

Cambios en este ATD

Podremos actualizar este ATD para:

• reflejar cambios en la Legislación de Protección de Datos, las orientaciones de las autoridades o los órganos jurisdiccionales, o nuevas cláusulas contractuales tipo;
• reflejar cambios en el Servicio que no reduzcan la protección de los Datos Personales del Cliente; o
• aclarar su redacción.

Anunciaremos los cambios sustanciales al menos 30 días antes de que entren en vigor, mediante un correo electrónico al propietario de la cuenta del Cliente y en esta página. Los cambios nunca reducirán la protección general de los Datos Personales del Cliente. Las versiones anteriores están disponibles previa solicitud.

Notificaciones

El Cliente enviará las notificaciones relacionadas con este ATD a privacy@exitomail.com. Nosotros enviaremos las notificaciones a la dirección de correo electrónico del propietario de la cuenta del Cliente.

Divisibilidad

Si alguna disposición de este ATD se considera inválida o inexigible, las demás seguirán vigentes y dicha disposición se sustituirá por otra válida que se aproxime lo máximo posible a su finalidad original.

A. Lista de las partes

Exportador de datos (responsable del tratamiento o encargado por cuenta de su propio responsable del tratamiento)

Nombre y dirección

El Cliente, identificado mediante el nombre de la organización y los datos de contacto y facturación facilitados al registrarse o en Configuración.

Persona de contacto

El propietario de la cuenta del Cliente u otra persona de contacto que el Cliente nos comunique por escrito.

Actividades

Uso del Servicio (ExitoMail, Exito Vault, Exito Transfer y dominios personalizados) para sus fines empresariales.

Función

Responsable del tratamiento (módulo 2 de las CCT) o encargado del tratamiento (módulo 3 de las CCT).

Firma y fecha

Aceptación de los Términos, incluido el presente ATD, en la fecha de aceptación.

Importador de datos (encargado del tratamiento)

Nombre y dirección

EXITO Media LLC, una sociedad de responsabilidad limitada de Wyoming (Secretaría de Estado de Wyoming, ID de inscripción 2022-001141268), con domicilio comercial en 111 NE 1st St, 8th Floor, #88287, Miami, FL 33132, United States

Contacto

privacy@exitomail.com

Delegado de protección de datos

No se ha designado ninguno. El equipo de privacidad se ocupa de los asuntos de protección de datos.

Representante en la UE (artículo 27 del RGPD)

Data Protection Representative Limited (trading as DataRep), 77 Camden Street Lower, Dublin, D02 XE80, Ireland. Correo electrónico: datarequest@datarep.com (indica «EXITO Media LLC» en el asunto). Formulario en línea: datarep.com/data-request (se abre en una pestaña nueva). También tiene una dirección en cada uno de los demás países de la UE y del EEE: ver todas las direcciones.

Actividades

Prestación del Servicio al Cliente conforme a los Términos.

Función

Encargado del tratamiento (módulo 2 de las CCT) o subencargado del tratamiento (módulo 3 de las CCT).

Firma y fecha

Como en el caso del exportador de datos.

B. Descripción del tratamiento

Categorías de interesados

• Usuarios. El propietario y los miembros de la organización del Cliente, así como cualquier otra persona a la que el Cliente proporcione una cuenta.
• Corresponsales. Personas que envían correo a los Usuarios o lo reciben de ellos.
• Contactos. Personas cuyos datos guardan los Usuarios en sus contactos, mensajes o archivos.
• Destinatarios de Transfer y de archivos compartidos. Personas que reciben de los Usuarios enlaces de Exito Transfer o enlaces para compartir de Exito Vault, y personas que suben archivos para los Usuarios mediante enlaces de «solicitud de archivos».
• Personas mencionadas en el contenido. Cualquier persona nombrada o descrita en correos, archivos o transferencias.

Categorías de datos personales

• Correo. Contenido y archivos adjuntos de los mensajes, asuntos, direcciones del remitente y los destinatarios, encabezados —incluidas las direcciones IP de los servidores de envío—, fechas, carpetas, marcas e índices de búsqueda.
• Contactos. Nombres, direcciones de correo electrónico y otros datos que guardan los Usuarios.
• Exito Vault. Archivos y carpetas, sus nombres, tamaños y tipos, y enlaces para compartirlos con su configuración.
• Exito Transfer. Archivos, nombres y tamaños de archivos, direcciones de correo electrónico de los destinatarios, mensajes para los destinatarios, configuración de los enlaces y eventos de descarga (confirmaciones de descarga).
• Datos de la cuenta. Nombres, direcciones y alias, correo de recuperación, funciones y pertenencia a organizaciones, configuración y datos de autenticación (hashes de contraseñas y secretos de autenticación de dos factores).
• Registros. Direcciones IP, información del navegador y del cliente, marcas de tiempo, eventos de inicio de sesión, registros de solicitudes y entrega de correo, y registro de auditoría de las acciones administrativas.
• Datos de dominio. Nombres de dominios personalizados, registros DNS y estado de verificación, claves DKIM y cualquier credencial del proveedor de DNS que el Cliente decida facilitar para la configuración automática.

Datos sensibles

No solicitamos ni pretendemos tratar categorías especiales de datos personales. No obstante, el Cliente y sus Usuarios pueden incluir dichos datos en correos, archivos o transferencias. Las mismas medidas (Anexo II) protegen todo el contenido: acceso restringido del personal, TLS durante la transmisión, cifrado en reposo en el almacenamiento de objetos y ningún análisis del contenido salvo el filtrado automatizado de spam y software malicioso y la indexación para búsquedas.

Frecuencia de la transferencia

Continua, mientras el Cliente utilice el Servicio.

Naturaleza del tratamiento

Alojamiento, almacenamiento, transmisión, recepción y entrega de correo; filtrado de spam y software malicioso; indexación para búsquedas; creación de copias de seguridad; restauración; eliminación; y asistencia y administración relacionadas.

Finalidad del tratamiento

Prestar, mantener, proteger y respaldar el Servicio para el Cliente de acuerdo con sus instrucciones.

Conservación

Según se establece en la tabla siguiente.

Transferencias a Subencargados

A los Subencargados indicados en el Anexo III, para el objeto, la naturaleza y la duración descritos allí y en el presente Anexo.

C. Autoridad de control competente

La autoridad de control determinada conforme a la cláusula 13 de las CCT, según se establece en la sección 8. Como no tenemos ningún establecimiento en la UE, no tenemos una autoridad de control principal propia.

Estas son las medidas técnicas y organizativas que aplicamos con arreglo al artículo 32 del RGPD y a la cláusula 8.6 de las CCT. Nuestro programa de seguridad se basa en las normas ISO/IEC 27001:2022 e ISO/IEC 27701, pero no está certificado. Las referencias indican qué controles del Anexo A de la norma ISO/IEC 27001:2022 respalda cada medida. Revisamos estas medidas al menos una vez al año y después de cambios o incidentes significativos.

A.5 Controles organizacionales

A.6 Controles relativos al personal

A.7 Controles físicos

A.8 Controles tecnológicos

Medidas para ayudar al Cliente

• Herramientas de autoservicio para acceder a los datos, exportarlos, rectificarlos y eliminarlos (sección 9).
• Notificación de violaciones de la seguridad sin dilación indebida y en un plazo máximo de 72 horas desde que tengamos constancia de ellas (sección 11).
• Documentación para evaluaciones de impacto y auditorías (sección 10 y sección 13).

Medidas de los Subencargados

Cada Subencargado deberá aplicar medidas que proporcionen, como mínimo, el nivel de protección descrito en este Anexo para el tratamiento que lleve a cabo, según lo establecido en el acuerdo escrito que celebremos con él (sección 7).

El Cliente autoriza a los siguientes Subencargados. La misma lista, con los cambios que se hayan anunciado, se publica en nuestra página de Subencargados. Los cambios siguen el procedimiento de la sección 7.