MuchBetter Negocio
ANEXO DE PROTECCIÓN DE DATOS

1. Definiciones

Todos los términos en mayúscula no definidos en este Anexo de Protección de Datos (“DPA”) tienen los significados establecidos en el Acuerdo.

1. Afiliado Se refiere a cualquier persona o entidad que, directa o indirectamente, controle, esté controlada por o se encuentre bajo control común con una Parte. A efectos de esta definición, «control» (incluyendo, con significados correlativos, los términos «controlar», «controlado por» y «se encuentra bajo control común con») significa la facultad de gestionar o dirigir los asuntos de la persona o entidad en cuestión, ya sea mediante la propiedad de valores con derecho a voto, por contrato o de otro modo.
2. Acuerdo significa el Acuerdo de Servicios de Cuenta Comercial MuchBetter entre MIR y el Titular de la Cuenta que implica el acceso o, de otro modo, el Procesamiento de Datos Personales;
3. Jurisdicción Aprobada significa un estado miembro del EEE, u otra jurisdicción que pueda ser aprobada por la Comisión Europea o por las regulaciones de adecuación del Reino Unido emitidas bajo la Sección 17A de la Ley de Protección de Datos de 2018 o los Párrafos 4 y 5 del Anexo 21 de la Ley de Protección de Datos de 2018, según corresponda;
4. Incidente de violación significa una violación de la seguridad que conduce a la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilícito a datos personales transmitidos, almacenados o procesados de otra forma;
5. Leyes de protección de datos significa todas y cada una de las leyes, normas, directivas y reglamentos nacionales y extranjeros aplicables relativos a la privacidad de los datos, la seguridad de los datos y/o la protección de los Datos Personales, incluida la Directiva 2002/58/CE sobre la Privacidad y las Comunicaciones Electrónicas (y las respectivas leyes de aplicación locales) relativa al tratamiento de datos personales y la protección de la privacidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), incluidas cualquier modificación o sustitución de las mismas, incluido el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 ("RGPD"), incluida la Ley de Protección de Datos de 2018 y el RGPD, tal como forma parte de la legislación de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud de la sección 3 de la Ley de la Unión Europea (Retirada) de 2018 ("RGPD del Reino Unido").
6. EEE significa aquellos países que son miembros del Espacio Económico Europeo.
7. MIR significa MIR Limited UK Ltd, proveedor de servicios de cuenta comercial MuchBetter
8. Datos personales o “Datos Personales” se refiere a cualquier información sobre, o que pueda relacionarse con, una persona física identificable. Incluye cualquier información que pueda vincularse a una persona física o utilizarse para identificar, directa o indirectamente, a una persona física. Los Datos Personales se considerarán Información Confidencial, independientemente de su fuente.
9. Proceso Se refiere a cualquier operación o conjunto de operaciones realizadas sobre Datos Personales, ya sea por medios automáticos o no, como la recopilación, el registro, la organización, el almacenamiento, la adaptación o modificación, el acceso, la recuperación, la consulta, el uso, la divulgación por transmisión, difusión o cualquier otra forma de puesta a disposición, la alineación o combinación, el bloqueo, la supresión o la destrucción. «Procesos» o «Tratamiento» se interpretarán en consecuencia.
10. Cláusulas contractuales estándar o “SCCs”, el módulo aplicable de las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo a partir del 4 de junio de 2021, según pueda ser modificado, reemplazado o sustituido ocasionalmente.
11. Anexo del Reino Unido significa la Adenda de Transferencia Internacional de Datos a las Cláusulas Contractuales Estándar, que entró en vigor el 21 de marzo de 2022.

2. Aplicación de este DPA

1. El presente DPA solo se aplicará en la medida en que se cumplan todas las condiciones siguientes:
   
   1. Cualquiera de las Partes procesa Datos Personales que la otra Parte pone a disposición en relación con el Acuerdo;
   2. Las Leyes de Protección de Datos se aplican al procesamiento de Datos Personales.
2. El presente DPA sólo se aplicará a los servicios que las Partes acordaron en el Acuerdo, y que incorpora el DPA por referencia.

3. Protección de datos y privacidad

1. En la medida en que una Parte tenga acceso o procese de otro modo Datos Personales puestos a disposición de la otra Parte, entonces esta Parte deberá:
   
   1. Ser un Controlador independiente de los Datos Personales y determinará los fines y medios del procesamiento de conformidad con el Acuerdo y las Leyes de Protección de Datos.
   2. Solo procesar los Datos Personales de conformidad con los requisitos de las Leyes de Protección de Datos y, según lo exijan las Leyes de Protección de Datos, mantener registros escritos precisos de todas las actividades de Procesamiento de cualquier Dato Personal realizadas conforme al Acuerdo.
   3. Sin perjuicio de lo anterior, será responsable de proporcionar al titular de los datos toda la información requerida por las Leyes de Protección de Datos, y de permitir que los titulares de los datos ejerzan sus derechos bajo las Leyes de Protección de Datos, y proporcionará a la otra Parte cooperación y asistencia razonables para cumplir con lo anterior y cualquier obligación legal o reglamentaria;
   4. Implementar y mantener medidas de seguridad físicas, técnicas y organizativas comercialmente razonables y apropiadas para proteger los Datos Personales contra la destrucción accidental o ilegal; pérdida accidental, alteración, divulgación o acceso no autorizado a datos personales transmitidos, almacenados o procesados de otra forma, y todas las demás formas ilegales de Procesamiento;
   5. Cumplir con cualquier obligación de notificación de violación de datos personales a la autoridad de control y las obligaciones de comunicación a los interesados, según lo exijan las Leyes de Protección de Datos;
   6. Notificar a la otra Parte sin demora indebida y a más tardar veinticuatro (24) horas después de tener conocimiento de un Incidente de Incumplimiento.
2. La Parte que obtenga inicialmente los Datos Personales de un titular de datos será responsable de obtener cualquier consentimiento que se requiera del titular de los datos (en cada caso, en la medida necesaria para cumplir con la Ley de Protección de Datos) y de proporcionarle información previa a la recopilación de los Datos Personales (por ejemplo, el «Aviso de Privacidad» o la «Política de Privacidad»), según sea necesario para cumplir con la Ley de Protección de Datos. Lo anterior no afectará las responsabilidades de la otra Parte en virtud de la Ley de Protección de Datos (como la obligación de proporcionar información al titular de los datos en relación con el tratamiento de los mismos).
3. Cada Parte podrá designar subcontratistas, incluidas las Afiliadas, para procesar Datos Personales en su nombre ("Subprocesadores") con el fin de cumplir con sus obligaciones y servicios bajo el Acuerdo, siempre que: (i) la designación esté sujeta a un acuerdo escrito con el Subprocesador designado que contenga, cuando corresponda, términos que proporcionen una protección equivalente de los Datos Personales a la provista bajo este Anexo de Protección de Datos; y (ii) cada Parte será responsable de los actos u omisiones de sus propios Subprocesadores en la misma medida en que sea responsable de sus propias acciones u omisiones bajo este Anexo de Protección de Datos, el Acuerdo y las Leyes de Protección de Datos.

4. La transferencia de datos personales

Las Partes no procesarán ni transferirán Datos Personales fuera de una Jurisdicción Aprobada;

1. Si una Parte desea Procesar Datos Personales o transferir Datos Personales a una jurisdicción distinta a una Jurisdicción Aprobada, entonces se considerará que celebra las SCC, cuando corresponda junto con el Anexo del Reino Unido, en cuyo caso: (i) el Anexo del Reino Unido y las SCC se incorporan aquí por referencia; y (ii) la Parte que divulga los Datos Personales se considerará como el Exportador y la Parte que recibe los Datos Personales se considerará como el Importador (según se definen estos términos en el mismo).

5. General

1. Si alguna de las Leyes de Protección de Datos es reemplazada por Leyes de Protección de Datos nuevas o modificadas (incluyendo cualquier decisión o interpretación de un tribunal o autoridad gubernamental pertinente relacionada con ello), las Leyes de Protección de Datos nuevas o modificadas se considerarán incorporadas a este Anexo de Protección de Datos, y ambas Partes comenzarán de inmediato a cumplir con dichas Leyes de Protección de Datos.
2. Si existe algún conflicto o inconsistencia entre los términos de este DPA y las Cláusulas Contractuales Estándar o el Anexo del Reino Unido (según corresponda), regirán los términos de las Cláusulas Contractuales Estándar o el Anexo del Reino Unido (según corresponda).

Anexo I de las CCT

1. El Anexo 1 forma parte del DPA y establece la interpretación acordada por las Partes de sus respectivas obligaciones bajo el Anexo del Reino Unido y/o las Cláusulas Contractuales Estándar.
2. Las Partes acuerdan que para efectos de la transferencia de Datos Personales entre MIR y el Titular de la Cuenta, se aplicará lo siguiente:
   
   1. La cláusula 7 de las CSC no será aplicable
   2. La autoridad de control será la Oficina del Comisionado de Información del Reino Unido cuando se incorpore el Anexo del Reino Unido o el Comisionado de Protección de Datos de Irlanda cuando solo se incorporen las SCC.
   3. Las leyes de Inglaterra y Gales regirán cuando se aplique el Anexo del Reino Unido y de Irlanda cuando no sea así.
   4. Las partes eligen los tribunales ingleses como su elección de foro y jurisdicción cuando se aplica el Addendum del Reino Unido y de Irlanda cuando no se aplica.
   5. En la Tabla 4 del Addendum del Reino Unido, cualquiera de las partes puede rescindir el acuerdo de conformidad con la sección 19 del Addendum del Reino Unido.

Identificación de las partes

Exportador de datos: el transmisor de Datos Personales;

“Importador de datos”: el destinatario de los Datos Personales

Descripción de la transferencia

Titulares de los datos

Los Datos Personales tratados se refieren a las siguientes categorías de interesados (especifique):

• ☐ Empleados de MIR
• ☐ Clientes de MIR
• ☐ Usuarios finales del titular de la cuenta
• ☐ Empleados del titular de la cuenta
• ☐ Clientes del titular de la cuenta
• ☐ Otro: ________

Categorías de datos personales

Los datos personales transferidos se refieren a las siguientes categorías de datos (especifique):

• ☐ Información de contacto (nombre, edad, sexo, dirección, número de teléfono, dirección de correo electrónico, etc.)
• ☐ Datos financieros y de pago (por ejemplo, número de tarjeta de crédito, cuenta bancaria, transacciones)
• ☐ Identificaciones gubernamentales (pasaporte, licencia de conducir)
• ☐ Identificadores de dispositivos y actividad en Internet o redes electrónicas (direcciones IP, GAID/IDFA, historial de navegación, marcas de tiempo)
• ☐ Información de geolocalización
• ☐ Datos biométricos
• ☐ Otro: ________

Categorías especiales de datos (si corresponde)

Los datos personales transferidos se refieren a las siguientes categorías especiales de datos (especifique):

• ☐ Ninguno
• ☐ Datos genéticos o biométricos
• ☐ Datos de salud
• ☐ Origen racial o étnico
• ☐ Opiniones políticas, creencias religiosas o filosóficas
• ☐ Otro: ________

La frecuencia de la transferencia:

• ☐ Única vez
• ☐ Continuo
• ☐ Otro: ________

Naturaleza del tratamiento

• ☐ Colección
• ☐ Grabación
• ☐ Organización o estructuración
• ☐ Almacenamiento
• ☐ Adaptación o alteración
• ☐ Recuperación
• ☐ Consulta
• ☐ Divulgación, difusión o cualquier otra forma de puesta a disposición
• ☐ Análisis
• ☐ Borrado o destrucción
• ☐ Otro: ________
•  

Finalidad de la transmisión y del tratamiento posterior

• ☐ Para proporcionar, administrar y operar los Servicios de Cuenta MBB
• ☐ Otro: ________

Periodo de conservación

Los Datos Personales se conservarán durante el plazo del Acuerdo o de acuerdo con la Ley Aplicable.

Anexo II de las CCT – Medidas técnicas y organizativas, incluidas las medidas técnicas y organizativas para garantizar la seguridad de los datos

Este Anexo forma parte de la DPA y describe las medidas de seguridad técnicas y organizativas implementadas por el importador de datos.

Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el Importador de Datos aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo, entre otras, según corresponda:

• la seudonimización y el cifrado de datos personales;
• la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de procesamiento;
• la capacidad de restaurar la disponibilidad y el acceso a los datos personales de manera oportuna en caso de un incidente físico o técnico;
• un proceso para probar, evaluar y valorar periódicamente la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento; y
• mantenimiento de Políticas de Seguridad de la Información y Privacidad de Datos