Anexo sobre el procesamiento de datos

Este Anexo de procesamiento de datos, incluidos todos los anexos que se adjuntan al presente (el “DPA”), se incorpora a los Términos del servicio o al Acuerdo marco de servicios de Snyk, según corresponda (el “Acuerdo”), celebrado entre el Cliente y Snyk, y queda sujeto a ellos. Todos los términos en mayúscula utilizados, pero no definidos en este DPA, tendrán el significado establecido en el Acuerdo. En caso de conflicto expreso entre el Acuerdo y el DPA, prevalecerán los términos del DPA.

1. DEFINICIONES

Leyes de protección de datos significa todas las leyes y regulaciones nacionales, federales y estatales de protección de datos, con sus modificaciones o actualizaciones ocasionales, que sean aplicables al tratamiento de Datos personales por parte de Snyk para prestar los Servicios descritos en el Acuerdo. Dichas Leyes de protección de datos incluirán, según corresponda:

La Ley de Privacidad del Consumidor de California, Código Civil de California § 1798.100 y siguientes, y sus reglamentos de implementación (“CCPA”);

El Reglamento General de Protección de Datos (UE) 2016/679 del Parlamento Europeo y del Consejo, del 27 de abril de 2016 (“GDPR”), o el “UK GDPR”, que significa el Reglamento General de Protección de Datos del Reino Unido, tal como forma parte de la legislación del Reino Unido en virtud de la sección 3 de la Ley de Retirada de la Unión Europea de 2018; y

La Ley Federal Suiza de Protección de Datos del 25 de septiembre de 2020 (“FADP”).

EU SCCs significa las cláusulas contractuales tipo adjuntas a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, disponibles en https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

Datos personales significa cualquier información relacionada con una persona física identificada o identificable, que Snyk trate en su calidad de encargado del tratamiento con el fin de prestar los Servicios en virtud del Acuerdo.

Transferencia restringida significa cualquier transferencia transfronteriza de Datos personales que estaría restringida por las Leyes de protección de datos en ausencia de las EU SCCs, las UK SCCs o las Swiss SCCs, según corresponda, incluidos los anexos adecuados.

Swiss SCCs significa las EU SCCs, modificadas de acuerdo con la Sección 6.3 de este DPA.

UK Addendum significa el Anexo de transferencia internacional de datos a las EU SCCs, emitido por el ICO conforme a la sección 119A(1) de la Ley de Protección de Datos de 2018, versión B1.0, y cualquier actualización o reemplazo que el ICO emita ocasionalmente de conformidad con la sección 119A(1).

UK SCCs significa el UK Addendum, con sus modificaciones o reemplazos ocasionales, de conformidad con el Artículo 46 del UK GDPR.

Los términos «responsable», «encargado», «titular de los datos», «tratamiento» y «autoridad de control», así como sus derivados y términos análogos, tendrán el mismo significado que se establece en las Leyes de protección de datos aplicables.

2.       DERECHOS Y OBLIGACIONES

2.1 Las partes reconocen y aceptan que, con respecto al tratamiento de Datos personales, el Cliente es el responsable y Snyk es el encargado. Las partes acuerdan que el Acuerdo y este DPA, así como la configuración de los Servicios por parte del Cliente, constituirán las instrucciones del Cliente para el tratamiento de Datos personales. Cada Parte cumplirá sus respectivas obligaciones en virtud de las Leyes de protección de datos. El Cliente no instruirá a Snyk para que trate Datos personales en incumplimiento de la ley aplicable. En la medida en que lo exijan las Leyes de protección de datos, Snyk ayudará al Cliente a cumplir sus obligaciones en virtud de dichas leyes. El Cliente será el único responsable de la exactitud, calidad y legalidad de los Datos personales que proporcione o ponga a disposición de Snyk por otros medios, de los medios por los cuales obtuvo y transfirió dichos Datos personales a Snyk, y de contar con la base legal que permita a Snyk tratar dichos Datos personales conforme al Acuerdo y a este DPA. Los compromisos de seguridad de Snyk y sus obligaciones en caso de incidentes de seguridad relacionados con Datos personales se especifican en el Acuerdo. Además, el proceso para eliminar los Datos del Cliente, incluidos los Datos personales, se describe en el Acuerdo.

2.2 Según lo exijan las Leyes de protección de datos, Snyk mantendrá un registro escrito de sus actividades de tratamiento relacionadas con los Datos personales. Los derechos de auditoría del Cliente con respecto a los Datos personales se especifican en el Acuerdo.

3.       SUBENCARGADOS

3.1 El Cliente autoriza de manera general a Snyk a contratar a terceros para que traten los Datos personales («Subencargados»). Snyk mantendrá una lista actualizada de Subencargados en https://snyk.io/policies/subprocessors/.

3.2 Snyk notificará al Cliente con treinta (30) días de anticipación (el “Período de notificación”) antes de agregar o reemplazar a cualquier Subencargado, mediante la publicación de los detalles en https://snyk.io/policies/subprocessors/. Si el Cliente se opone razonablemente a la incorporación o reemplazo de dicho Subencargado, deberá notificar por escrito a Snyk su objeción y los motivos razonables que la sustentan dentro del Período de notificación. Las partes conversarán de buena fe con el objetivo de alcanzar una solución comercialmente razonable. Si no se alcanza una solución de este tipo, Snyk no designará al nuevo Subencargado para el uso de los Servicios por parte del Cliente, o permitirá que el Cliente suspenda o termine los Servicios afectados sin que ninguna de las partes incurra en responsabilidad. Sin perjuicio de lo anterior, Snyk podrá reemplazar a un Subencargado si el cambio es urgente y necesario para prestar los Servicios. En ese caso, Snyk notificará al Cliente el reemplazo tan pronto como sea razonablemente posible, y el Cliente conservará el derecho a oponerse al Subencargado de reemplazo.

3.3 Snyk se asegurará de que cada Subencargado sea contratado mediante un contrato escrito que le imponga, en lo sustancial, las mismas obligaciones con respecto a los Datos personales que este DPA, y será responsable de garantizar que cada Subencargado cumpla todas esas obligaciones.

4.       SOLICITUDES SOBRE DATOS

4.1 En la medida en que lo exijan las Leyes de protección de datos aplicables, Snyk notificará al Cliente si recibe solicitudes válidas de un titular de los datos identificado en relación con la suscripción del Cliente a Snyk para ejercer sus derechos individuales en virtud de las Leyes de protección de datos. En la medida en que la ley lo permita y teniendo en cuenta la naturaleza del tratamiento, Snyk brindará asistencia razonable al Cliente para responder las solicitudes válidas de los titulares de los datos conforme a las Leyes de protección de datos.

4.2 Si Snyk recibe una solicitud de una autoridad pública, revisará su legalidad antes de atenderla. En la medida en que la ley lo permita, Snyk notificará de inmediato al Cliente por escrito sobre dicha solicitud. En relación con cualquier solicitud de este tipo, Snyk solo divulgará la cantidad mínima de Datos personales que considere razonablemente necesaria.

5.       GDPR

5.1 Esta Sección se aplicará únicamente en la medida en que los Datos personales incluyan información personal sujeta al GDPR, al UK GDPR o al FADP, y se aplicará además de los demás requisitos del Acuerdo y las otras disposiciones de este DPA. Las partes acuerdan que Snyk podrá tratar Datos personales como parte de la prestación de los Servicios conforme al Acuerdo. Snyk informará al Cliente si tiene conocimiento de que las instrucciones del Cliente infringen el GDPR, el UK GDPR o el FADP, según corresponda, pero no tendrá la obligación de supervisar activamente el cumplimiento de dichas normas por parte del Cliente.

6.       TRANSFERENCIAS INTERNACIONALES DE DATOS

6.1 El Cliente reconoce y acepta que Snyk podrá transferir, acceder y tratar Datos personales a nivel mundial cuando sea necesario para prestar los Servicios de conformidad con el Acuerdo. Snyk realizará dichas transferencias de acuerdo con las Leyes de protección de datos.

6.2 Las partes acuerdan que los términos del Módulo Dos de las EU SCCs (responsable a encargado) se aplican a cualquier Transferencia restringida conforme al GDPR del Cliente (como exportador de datos) a Snyk (como importador de datos). Las partes acuerdan que, a efectos de las EU SCCs:

6.2.1 No se aplicará la Cláusula 7 (Cláusula de incorporación);

6.2.2 Se aplicará la Opción 2 de la Cláusula 9 (Uso de subencargados), Autorización general por escrito, y el “plazo” será de 30 días;

6.2.3 No se aplicará el texto opcional de la Cláusula 11 (Recurso);

6.2.4 Se considerará que el Anexo I.A (Lista de partes) identifica al Cliente como exportador de datos y a Snyk como importador de datos;

6.2.5 Se considerará que el Anexo I.B (Descripción de la transferencia) incorpora la información del Anexo 1;

6.2.6 Se considerará que el Anexo I.C (Autoridad de control competente) se refiere a la autoridad de control de Irlanda; y

6.2.7 Se considerará que el Anexo 2 (Medidas técnicas y organizativas) se refiere al Anexo de seguridad de la información (según se especifica en el Acuerdo).

6.3 Las partes acuerdan que los términos del Módulo Dos de las EU SCCs (responsable a encargado) se aplican a cualquier Transferencia restringida conforme al FADP del Cliente (como exportador de datos) a Snyk (como importador de datos), en la misma medida establecida en la Sección 6.2, con las siguientes modificaciones:  

6.3.1.   Las referencias al “Reglamento (UE) 2016/679” o al “GDPR” se interpretarán como referencias al FADP;

6.3.2.   Las referencias a “UE”, “Unión”, “Unión Europea”, “UE Estado miembro” o “Estado miembro”: (a) se interpretarán como inclusivas de “Suiza”; y (b) no se interpretarán de manera que excluyan a los titulares de los datos en Suiza de la posibilidad de ejercer sus derechos en Suiza;

6.3.3.   Se considerará que el Anexo I.C (Autoridad de control competente) se refiere al Comisionado Federal Suizo de Protección de Datos e Información; y

6.3.4.   Se considerará que la Cláusula 17 (Opción 1) y la Cláusula 18(b) se refieren a la ley aplicable y los tribunales competentes indicados en la Sección 8.1 más adelante, salvo que el FADP exija otra cosa o que sea necesario dar efecto a la Sección 6.3.2(b) anterior, en cuyo caso la ley aplicable será la ley suiza y las controversias se resolverán ante los tribunales de Suiza (“Swiss SCCs”).

6.4.    Las partes acuerdan que los términos de las UK SCCs se aplican a cualquier Transferencia restringida conforme al UK GDPR del Cliente (como exportador de datos) a Snyk (como importador de datos). Las partes acuerdan que, a efectos de las UK SCCs:

6.4.1   Se considerará que la Tabla 1 se completa con el Cliente como exportador de datos y Snyk como importador de datos;

6.4.2   Se considerará que la Tabla 2 se completa con los detalles y las selecciones correspondientes descritos en la Sección 6.2 anterior;

6.4.3   Se considerará que la Tabla 3 se completa con los detalles y las selecciones correspondientes descritos en las Secciones 6.2.4, 6.2.5 y 6.2.7 anteriores, y en el Anexo 1; y

6.4.4   La Tabla 4 del UK Transfer Addendum se completa seleccionando únicamente «Importador».

6.5   En la medida en que Snyk realice una transferencia posterior que sea una Transferencia restringida, adoptará las medidas necesarias para garantizar que dicha transferencia se realice de conformidad con las Leyes de protección de datos.

7.       CCPA

7.1 Esta Sección se aplicará únicamente en la medida en que los Datos personales incluyan información personal sujeta a la CCPA y se aplicará además de los demás requisitos del Acuerdo y las otras disposiciones de este DPA.

7.2 Snyk notificará de inmediato al Cliente si determina que ya no puede cumplir sus obligaciones conforme a este DPA o a la CCPA.

7.3 El Cliente podrá, previa notificación por escrito a Snyk, tomar medidas razonables y adecuadas para detener y remediar el uso no autorizado de Datos personales por parte de Snyk.

7.4 Snyk trata los Datos personales sujetos a la CCPA para el Cliente o en su nombre, con los fines comerciales especificados en el Acuerdo. Snyk no conservará, usará ni divulgará Datos personales para ningún fin distinto de los relacionados con la relación comercial entre las partes y la prestación de los Servicios conforme al Acuerdo, o de aquellos que la CCPA permita a los proveedores de servicios.

7.5 Snyk no venderá los Datos personales en el sentido que les da la CCPA. En la medida en que la CCPA sea aplicable, las partes reconocen que la transferencia de Datos personales del Cliente a Snyk no constituye una «venta» y que Snyk no proporciona al Cliente ninguna contraprestación monetaria ni de otro valor a cambio de los Datos personales.

7.6 En la medida en que Snyk o el Cliente desidentifique Datos personales en virtud del presente, Snyk tomará medidas razonables para garantizar que no sea posible asociar los Datos personales desidentificados con un consumidor o un hogar, y no intentará volver a identificarlos.

7.7 Snyk certifica que comprende las obligaciones y restricciones incluidas en esta Sección 7 y que las cumplirá.

8.       DISPOSICIONES GENERALES

8.1 Ley aplicable. Salvo que se exija lo contrario, las partes acuerdan lo siguiente:

(1)  Si el Acuerdo se celebra entre el Cliente y Snyk, Inc., este DPA se regirá e interpretará de conformidad con las leyes de la jurisdicción establecida en el Acuerdo, y las partes acuerdan someterse a la jurisdicción de los tribunales especificados en el Acuerdo.

(2)  Si el Acuerdo se celebra entre el Cliente y Snyk Limited, este DPA se regirá e interpretará de conformidad con las leyes de Irlanda, y las partes acuerdan someterse a la jurisdicción de los tribunales ubicados en Irlanda.

8.2 Actualizaciones. Snyk podrá modificar este DPA según sea necesario como resultado de (a) cambios en las Leyes de protección de datos; (b) una fusión, adquisición, reorganización corporativa u otro suceso similar; o (c) el lanzamiento de nuevas funciones, características, productos o servicios, o cambios sustanciales en cualquiera de los Servicios existentes. Snyk podrá realizar dichas modificaciones publicando una versión revisada de este DPA en https://snyk.io/policies/dpa/ o notificándoselo al Cliente por otros medios. Snyk notificará las modificaciones con al menos siete (7) días de anticipación. Sujeto al requisito de notificación con siete (7) días de anticipación, la versión modificada del DPA entrará en vigor al publicarse. Si el Cliente continúa usando los Servicios después de la fecha de entrada en vigor de las modificaciones a este DPA, acepta quedar sujeto al DPA modificado.

Anexo 1: DETALLES DEL TRATAMIENTO DE DATOS

Categorías de interesados:           

Desarrolladores y otros empleados del Cliente que usan los servicios de Snyk o contribuyen de otro modo a la base de código del Cliente, así como los interesados cuyos datos personales podrían tratarse de manera incidental durante el uso de los servicios por parte del Cliente.

Categorías de datos personales:      

• Nombre y apellido, empleador, título y cargo

• Direcciones de correo electrónico

• Identificadores de usuario o etiquetas relacionadas con repositorios de código fuente u otros servicios que los usuarios del Cliente integren con Snyk

• Datos del dispositivo, de conexión o de localización, y

• Otros datos personales no sensibles incluidos incidentalmente en los Datos del Cliente.

Datos sensibles transferidos (si corresponde):

Ninguno.

Frecuencia de la transferencia (por ejemplo, si los datos se transfieren una sola vez o de forma continua):        

Continua.

Naturaleza del tratamiento:

El tratamiento de determinados datos personales por parte de Snyk en nombre del Cliente para permitir que los usuarios del Cliente accedan a la plataforma de Snyk con el fin de revisar proyectos de software enviados a la plataforma.

Finalidad(es) de la transferencia de datos:  

Proporcionar los Servicios de conformidad con el Acuerdo.

Plazo durante el cual se conservarán los datos personales o, si esto no es posible, criterios utilizados para determinar dicho plazo:    

Según lo establecido en el Acuerdo.

En el caso de transferencias a encargados (subencargados) del tratamiento, especificar también el objeto, la naturaleza y la duración del tratamiento:

Consulta https://snyk.io/policies/subprocessors/ para obtener más información.