Anexo de Protección de Datos
Última actualización de material: 22 de abril de 2024
1. Introducción
1.1 Este Anexo de Protección de Datos (este “DPA”) forma parte de y está sujeto a los términos del acuerdo que: (a) se celebra entre una entidad del grupo Teya (“Teya”) y un comerciante (el “Comerciante”); y (b) se refiere a este DPA (el “Acuerdo”).
1.2 Este DPA rige el Procesamiento de Datos Personales de las partes en relación con el Acuerdo. Esto incluye el Procesamiento de Datos Personales relacionado con titulares de tarjetas, a una transacción o de otro modo relacionado con el personal de cada una de las partes recopilados o compartidos en relación con el Acuerdo.
2. Definiciones e Interpretación
2.1 Los términos capitalizados utilizados en este DPA deberán, a menos que se afirme expresamente lo contrario, tener el significado que se les otorga en el Acuerdo. Las reglas de interpretación establecidas en el Acuerdo se aplicarán a este DPA.
2.2 Si alguna disposición de este DPA entra en conflicto con los otros términos del Acuerdo, este DPA prevalecerá. Si alguna disposición de este DPA entra en conflicto con alguna Norma de Plan de Tarjetas aplicable o Formulario de Solicitud de Comerciante, prevalecerán las Normas de Plan de Tarjetas o el Formulario de Solicitud de Comerciante.
2.3 En este DPA, los siguientes términos tendrán los siguientes significados:
2.3.1 “Legislación de Protección de Datos” significa cualquier ley, estatuto, declaración, decreto, directiva, enactment legislativo, orden, ordenanza, regulación, regla u otra restricción vinculante (según se modifique, consolide o vuelva a promulgar de vez en cuando) que se relaciona con la protección de individuos con respecto al procesamiento de datos personales a los que una parte está sujeta, incluida la Regulación de Privacidad y Comunicaciones Electrónicas de 2003 (según se modifica por SI 2011 no. 6), la Ley de Protección de Datos del Reino Unido de 2018, el GDPR de la UE y el GDPR del Reino Unido;
2.3.2 “Controlador”, “Interesado”, “Datos Personales”, “Violación de Datos Personales”, “Procesador”, “Procesamiento” y “Autoridad Supervisora” tendrán los significados establecidos en la Legislación de Protección de Datos (y “Procesar” y “Procesado” se interpretarán en consecuencia);
2.3.3 “Solicitud del Interesado” significa una solicitud o aviso o queja real o supuesta de (o en nombre de) un Interesado que ejerce sus derechos bajo la Legislación de Protección de Datos;
2.3.4 “GDPR de la UE” significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 sobre la protección de las personas físicas en relación con el procesamiento de datos personales y derogando la Directiva 95/46/CE (Reglamento General de Protección de Datos) OJ L 119/1, 4.5.2016;
2.3.5 “ICO” significa la Oficina del Comisionado de Información del Reino Unido o cualquier organismo sucesor que la reemplace;
2.3.6 “Impacto Material” significa un efecto materialmente perjudicial en: (a) la reputación de una parte o de cualquier miembro de su grupo, según corresponda; o (b) la relación de una parte con el Interesado; que, en cada caso, podría razonablemente resultar en: (i) acción de cumplimiento amenazada o real (ya sea formal o informal) por parte de cualquier Autoridad Supervisora o la ICO por una infracción de la Legislación de Protección de Datos; o (ii) una reclamación prospectiva o real por parte de un Interesado o un tercero (ya sea por incumplimiento de contrato, negligencia o cualquier otro agravio, bajo estatuto o de otro modo);
2.3.7 “Correspondencia con la Autoridad Supervisora” significa cualquier correspondencia o comunicación (ya sea escrita o verbal) de una Autoridad Supervisora o de la ICO en relación con el Procesamiento de Datos Personales en relación con el Acuerdo;
2.3.8 “Requisitos de Seguridad” significa los requisitos relacionados con la seguridad de los Datos Personales, tal como se establece en la Legislación de Protección de Datos, incluyendo, en particular, las medidas establecidas en el Artículo 32(1) del GDPR de la UE y del GDPR del Reino Unido (según corresponda) (teniendo en cuenta debidamente los asuntos descritos en el Artículo 32(2) del GDPR de la UE y del GDPR del Reino Unido (según corresponda)); y
2.3.9 “GDPR del Reino Unido” significa el GDPR de la UE tal como se modifica de acuerdo con la Regulación de Protección de Datos, Privacidad y Comunicaciones Electrónicas (Modificaciones etc) (Reglamento de Salida de la UE) de 2019 (según se modifica por SI 2020 no. 1586) e incorporado a la legislación del Reino Unido bajo la Ley de Unión Europea (Salida) del Reino Unido de 2018.
3. Roles de las partes
3.1 Las partes anticipan que, en lo que respecta al Procesamiento de Datos Personales en relación con el Acuerdo, cada parte actuará como un Controlador independiente de los Datos Personales.
3.2 Ninguna de las partes anticipa que actuarán como Controladores conjuntos de los Datos Personales, ni ninguna de las partes designa a la otra para actuar como su Procesador con el fin de Procesamientos realizados en relación con el Acuerdo.
4. Protección de Datos
4.1 En relación con su Procesamiento de Datos Personales en relación con el Acuerdo, cada parte deberá:
4.1.1 cumplir con sus respectivas obligaciones bajo la Legislación de Protección de Datos;
4.1.2 emitir sus propios avisos de procesamiento justo para ser transparente respecto a su Procesamiento de Datos Personales;
4.1.3 implementar y mantener medidas técnicas y organizativas apropiadas suficientes para cumplir con los Requisitos de Seguridad;
4.1.4 tomar medidas razonables para asegurar la fiabilidad de cualquiera de su personal que tenga acceso a los Datos Personales y asegurarse de que cada miembro del personal con acceso a los Datos Personales haya ingresado en los respectivos compromisos de confidencialidad contractualmente vinculantes;
4.1.5 cooperar con la otra parte para ayudar a la otra parte en sus obligaciones de informes en caso de una violación de la Legislación de Protección de Datos en relación con el Acuerdo;
4.1.6 notificar a la otra parte de cualquier Violación de Datos Personales que pueda haber ocurrido en relación con el Acuerdo sin demora indebida una vez que tengan conocimiento de la misma; y
4.1.7 notificar a la otra parte rápidamente después de recibir cualquier Solicitud del Interesado o Correspondencia con la Autoridad Supervisora que esa parte crea, actuando razonablemente, que podría tener un Impacto Material en la otra parte.