Anexo de Protección de Datos
Última actualización de material: 3 de junio de 2025
1. Introducción
1.1 Este Anexo de Protección de Datos (este "APD") forma parte y está sujeto a las Condiciones del acuerdo que: (a) se celebra entre una entidad del grupo Teya ("Teya") y un comerciante (el "Comerciante"); y (b) hace referencia a este APD (el "Acuerdo").
1.2 El presente APD regula el Tratamiento de Datos Personales por las partes en relación con el Acuerdo. Esto incluye el Tratamiento por las partes de los Datos Personales relativos a los titulares de tarjetas, a una transacción o relacionados de otro modo con el personal de cada una de las partes recogidos o compartidos en relación con el Acuerdo.
2. Definiciones e interpretación
2.1 Los términos en mayúscula utilizados en el presente APD tendrán, salvo que se indique expresamente lo contrario, el significado que se les atribuye en el Acuerdo. Las normas de interpretación establecidas en el Acuerdo se aplicarán al presente APD.
2.2 En caso de que cualquier disposición de este APD entre en conflicto con los demás términos del Acuerdo, prevalecerá este APD. En caso de que alguna disposición de este APD entrara en conflicto con las Normas de la Red de Tarjetas o el Formulario de Solicitud para Comerciantes aplicables, prevalecerán las Normas de la Red de Tarjetas o el Formulario de Solicitud para Comerciantes.
2.3 En el presente APD, los siguientes términos tendrán el significado que se indica a continuación:
2.3.1 "Legislación sobre Protección de Datos" significa cualquier ley, estatuto, declaración, decreto, directiva, promulgación legislativa, orden, ordenanza, reglamento, norma u otra restricción vinculante (modificada, consolidada o promulgada de nuevo de vez en cuando) que se relacione con la protección de las personas con respecto al procesamiento de los datos personales a los que está sujeta una parte, incluidos los Reglamentos de Privacidad y Comunicaciones Electrónicas de 2003 (modificados por SI 2011 n.o 6), la Ley de Protección de Datos del Reino Unido de 2018, el RGPD de la UE y el GDPR del Reino Unido;
2.3.2 "Controlador", "Sujeto de Datos", "Datos Personales", "Violación de Datos Personales", "Procesador", "Procesamiento" y "Autoridad de Supervisión" tendrán los significados establecidos en la Legislación de Protección de Datos (y "Procesar" y "Procesado" se interpretarán en consecuencia);
2.3.3 Por "solicitud del interesado" se entenderá una solicitud real o supuesta o una notificación o reclamación de (o en nombre de) un interesado que ejerza sus derechos en virtud de la legislación sobre protección de datos;
2.3.4 "RGPD UE": Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) DO L 119/1 de 4.5.2016;
2.3.5 "ICO" significa la Oficina del Comisario de Información del Reino Unido o cualquier organismo sucesor que la sustituya;
2.3.6 "Impacto material" significa un efecto materialmente perjudicial sobre: (a) la reputación de una parte o de cualquiera de los miembros de su grupo, según corresponda; o (b) la relación de una parte con los Datos del Sujeto; que, en cada caso podría razonablemente resultar en: (i) una amenaza de acción coercitiva o una acción coercitiva real (ya sea formal o informal) por parte de cualquier Autoridad de Control o de la ICO por una infracción de la Legislación de Protección de Datos; o (ii) una reclamación prospectiva o real por parte del Interesado o de un tercero (ya sea por incumplimiento de contrato, negligencia o cualquier otro agravio, bajo estatuto o de otro modo);
2.3.7 "Correspondencia de la Autoridad de Supervisión" significa cualquier correspondencia o comunicación (ya sea escrita o verbal) de una Autoridad de Control o de la ICO en relación con el Tratamiento de Datos Personales en relación con el Acuerdo;
2.3.8 "Requisitos de seguridad" se refiere a los requisitos relativos a la seguridad de los Datos Personales, según lo establecido en la Legislación sobre Protección de Datos, incluidas, en particular, las medidas establecidas en el artículo 32, apartado 1, del RGPD de la UE y del GDPR del Reino Unido (según proceda) (teniendo debidamente en cuenta las cuestiones descritas en el artículo 32, apartado 2, del RGPD de la UE y del GDPR del Reino Unido (según proceda); y
2.3.9 "GDPR del Reino Unido" significa el RGPD de la UE modificado de conformidad con el Reglamento de Protección de Datos, Privacidad y Comunicaciones Electrónicas (Enmiendas, etc.) (Salida de la UE) de 2019 (modificado por SI 2020 n.o 1586) e incorporado a la legislación del Reino Unido en virtud de la Ley de la Unión Europea (Retirada) del Reino Unido de 2018.
3. Responsabilidades de las partes
3.1 Las partes prevén que, en lo que respecta al Tratamiento de Datos Personales en relación con el Acuerdo, cada parte actuará como Controlador independiente de los Datos Personales.
3.2 Ninguna de las partes prevé que actuarán como Controladores conjuntos de los Datos Personales, ni ninguna de las partes designa a la otra para que actúe como su Procesador a efectos del Procesamiento llevado a cabo en relación con el Acuerdo.
4. Protección de Datos
4.1 Con respecto a su Tratamiento de Datos Personales en relación con el Acuerdo, cada una de las partes deberá:
4.1.1 cumplir con sus respectivas obligaciones en virtud de la legislación sobre protección de datos;
4.1.2 emitir sus propios avisos de tratamiento justo para ser transparente con respecto a su Tratamiento de Datos Personales;
4.1.3 aplicar y mantener medidas técnicas y organizativas adecuadas y suficientes para cumplir los requisitos de seguridad;
4.1.4 tomará las medidas razonables para garantizar la fiabilidad de cualquier miembro de su personal que tenga acceso a los Datos Personales y se asegurará de que cada miembro del personal con acceso a los Datos Personales haya suscrito los compromisos de confidencialidad adecuados y contractualmente vinculantes;
4.1.5 cooperar con la otra parte para ayudarla en sus obligaciones de notificación en caso de infracción de la legislación sobre protección de datos en relación con el Acuerdo;
4.1.6 notificar a la otra parte cualquier Vulneración de Datos Personales que pueda haberse producido en relación con el Acuerdo sin demora indebida en cuanto tenga conocimiento de la misma; y
4.1.7 notificar a la otra parte con prontitud tras la recepción de cualquier Solicitud del Interesado sujeto de datos o Correspondencia de la Autoridad de Supervisión que dicha parte considere, actuando razonablemente, que puede tener un Impacto Material sobre la otra parte.