Contrato de privacidad de datos de Lyve Services

La parte contratante de Seagate identificado en su contrato de servicios Lyve ("Seagate") y usted ("Empresa") (cada uno, una "parte" y conjuntamente las "partes") tiene un contrato de servicios Lyve (el "Contrato") bajo el cual Seagate puede tratar la Información Personal de la Empresa (como se define a continuación) para poder proporcionar algunos servicios a la Empresa ("Servicios"). Este Contrato de privacidad de datos, incluidos todas las planificaciones y los anexos que adjunta (este "CPD"), rige el Tratamiento de Información personal de la Empresa de Seagate, formará parte del Contrato, se incorporará al mismo como referencia y entra en vigor en la fecha de su ejecución ("Fecha de entrada en vigor").

Las partes interesadas reconocen y acuerdan lo siguiente:

1. DEFINICIONES
   1. "Afiliado" se refiere a cualquier entidad que controle, sea controlada por o esté bajo un control común con la parte interesada, donde "control" se refiere a la propiedad o el derecho a controlar más del 50 % de los valores con derecho a voto de dicha entidad.
   2. "Leyes de privacidad aplicables" Hace referencia a todas las leyes, normas y regulaciones de protección de datos, seguridad y privacidad de los datos aplicables a la Información personal de la Empresa en cuestión, lo que incluye: (i) Ley de Protección de Datos de la UE; (ii) la Ley de Protección de Datos Personales de Singapur de 2012 (núm. 26 de 2012); (iii) todas las leyes, normas y regulaciones de los Estados Unidos, incluidas las leyes de privacidad del estado de EE. UU. y (iv) los estándares de la industria aplicables que sean apropiados para la naturaleza de la Información personal de la Empresa.
   3. "Infracción de privacidad de los datos" se refiere a cualquier infracción de seguridad confirmada que lleve a la destrucción accidental o ilegal, la pérdida, la alteración, la revelación no autorizada, el acceso a, la adquisición de Información personal de la Empresa o cualquier otro Tratamiento de Información personal de la Empresa.
   4. "Leyes de protección de datos de la UE" se refiere a todas las leyes de protección de datos y regulaciones aplicables a la Unión Europea ("UE") o el Espacio Económico Europeo ("EEE"), que incluyen (a) el Reglamento General de Protección de Datos 2016/679 ("RGPD de la UE" o "RGPD"); (b) el RGPD según está guardado en la ley del Reino Unido en virtud de la sección 3 de la European Union (Withdrawal) Act de 2018 del Reino Unido y la Data Protection Act de 2018 del Reino Unido (el "RGPD del Reino Unido"); (c) la Federal Data Protection Act del 19 de junio de 1992 de Suiza y sus correspondientes ordenanzas ("CPD suizo"); (d) la Directiva 2002/58/EC relativa al tratamiento de datos personal y la protección de la privacidad en el sector de las comunicaciones electrónicas; y (e) las implementaciones nacionales aplicables de (a),(b), y (c).
   5. "Información personal de la empresa" Se refiere a cualquier dato personal tratado por Seagate en nombre de la empresa en relación con el contrato, como se describe más concretamente en el Anexo A de este CPD.
   6. "Cláusulas tipo" o "SCC" se refiere: (i) donde se aplica el RGPD, a las cláusulas contractuales anexadas en la Decisión de aplicación 2021/914 de la Comisión Europea del 4 de junio de 2021 sobre las cláusulas contractuales estándar para transferir datos personales a países de terceros en virtud del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo ("SCC de la UE"); y (ii) donde se aplica el RGPD del Reino Unido, a las cláusulas de protección de datos estándar para los Procesadores aprobados en virtud del Artículo 46(2)(c) o (d) del RGPD del Reino Unido ("SCC del Reino Unido") (modificado, sustituido o actualizado ocasionalmente).
   7. "Datos personales" se refiere a cualquier información que esté protegida como "datos personales", "información personal" o "información de identificación personal" o términos definidos de manera similar en virtud de la Ley de privacidad aplicable.
   8. Los términos "Tratar" o "Tratamiento" se refieren, sin carácter limitativo, a las operaciones realizadas con la Información personal de la Empresa, ya sea o no por medios automatizados, como recopilación, registro, organización, estructuración, alteración, uso, acceso, revelación, copia, transferencia, almacenamiento o retención, eliminación, combinación, restricción, adaptación, recuperación, consulta, destrucción, desecho o utilización de la Información personal de la Empresa.
   9. "Transferencia restringida" se refiere: i) donde se aplica el RGPD, a una transferencia de Información personal de la Empresa del EEE a un país fuera del EEE que no está conforme a la determinación de idoneidad de la Comisión Europea; (ii), donde el RGPD del Reino Unido se aplica, a una transferencia de Información personal de la Empresa del Reino Unido a otro país que no está conforme a las regulaciones de idoneidad en virtud de la Sección 17A del Data Protection Act de 2018 del Reino Unido; y (iii) donde se aplica el CPD suizo, una transferencia de Información personal de la Empresa desde Suiza a otro país que no está conforme a la decisión de idoneidad reconocida en la ley de protección de datos de Suiza.
   10. "Información confidencial" se refiere a cualquiera de los siguientes tipos de Información personal de la Empresa: (i) número de la seguridad social, número de identificación fiscal, número del DNI, número del permiso de conducción u otro número de identificación emitido por el Gobierno, (ii) datos de tarjeta de débito o crédito o número de cuenta financiera, con o sin código o contraseña que permita el acceso a la cuenta o al historial crediticio, o (iii) información sobre raza, religión, etnia, vida o prácticas sexuales u orientación sexual, información médica o de salud, información genética o biométrica, creencias políticas o filosóficas, afiliación a partidos políticos o sindicatos, información de verificación de antecedentes o información sobre otros procedimientos judiciales o administrativos junto con cualquier Información personal de la Empresa sobre menores protegidos por leyes de protección de menores y cualquier otra información o combinación de información que quepa dentro de la definición de "categorías especiales de datos" en virtud del RGPD o cualquier otra ley aplicable relacionada con la protección de la privacidad y los datos.
   11. Un "Subprocesador" es una entidad externa contratada por Seagate o algún otro Subprocesador que vaya a tener acceso a datos de Seagate o que Trate la Información personal de la Empresa de cualquier otra forma.
   12. El "Personal de Seagate" se refiere a cualquier empleado, contratista, Subprocesador o agente a quien Seagate autorice a Tratar la Información personal de la Empresa.
   13. "Leyes de privacidad estatales de EE. UU." se refiere a todas las leyes, normas y regulaciones aplicables de privacidad, protección de datos y ciberseguridad a las que están sujetos los Datos personales de la Empresa.
   14. Los términos "Consumidor", "Controlador", "Titular de los datos", "Procesador", "Autoridad supervisora", "De negocios", "Propósito comercial", "Propósito comercial", "Recopilar", "Venta", "Proveedor de servicios", y "Compartir"” tendrán los significados que se les asignan en virtud de la Ley de Privacidad Aplicable.
   15. La palabra "incluye" deberá interpretarse en el sentido de incluir sin tratarse de una lista exhaustiva, y los términos afines deberán interpretarse de igual manera.
2. Protección y seguridad de datos
   1. Roles de protección de datos. Por el presente documento, las partes declaran y aceptan que la Empresa es el Controlador o el Negocio y que Seagate actúa en nombre de la Empresa como Procesador o Proveedor de servicios con respecto a la Información personal de la Empresa, excepto cuando la Empresa actúe como procesador de la Información personal de la Empresa, en cuyo caso Seagate será Subprocesador.
   2. Cumplimiento de las leyes. Cada Parte cumplirá con sus obligaciones en virtud de las Leyes de privacidad aplicables con respecto a cualquier Información personal de la Empresa que trate de conformidad con este CPD. Cualquier Tratamiento de la Información personal de la Empresa en virtud de este Contrato se realizará conforme a las Leyes de privacidad aplicables. Sin embargo, Seagate no se responsabiliza del cumplimiento con cualquier Ley de privacidad o las normativas locales o del sector aplicables que puedan aplicarse a la Empresa o al sector de la Empresa que no sea aplicable de modo general para Seagate como proveedor de servicios. Cuando el uso específico por parte de la Empresa de los servicios y la Ley de privacidad o las normativas locales o del sector aplicables requieran que la Empresa establezca contratos específicos o procesos de cumplimiento adicionales o medidas que vayan más allá de las disposiciones de este CPD, la Empresa será responsable de notificarlo a Seagate con una antelación de al menos treinta (30) días antes de proporcionar a Seagate Información personal de la Empresa sujeta a dichos requisitos. Seagate ofrecerá asistencia razonable a la Empresa que respalde su cumplimiento de dichos requisitos y Seagate, a su entera discreción, podrá ejecutar los contratos necesarios que abarquen la Información personal de la Empresa cubierta por dichas disposiciones, sin restar efecto a las disposiciones del CPD. La Empresa podrá notificar a Seagate dichas solicitudes de jurisdicción especifica escribiendo a la dirección de aviso para la entidad contractual de Seagate identificada en el Contrato.
   3. No revelación de Información Personal de la Empresa perteneciente a Seagate. Seagate no revelará Información personal de la Empresa de ninguna forma y para ningún fin a ningún tercero sin obtener la autorización previa por escrito de la Empresa, salvo las revelaciones realizadas de acuerdo con la ley aplicable, a Subprocesadores de conformidad con la Sección 2.8 de este mismo documento o de otra forma con el fin de proporcionar los Servicios. Cualquier persona autorizada para tratar Información personal de la Empresa debe aceptar contractualmente mantener la confidencialidad de dicha información o estar sujeta a una obligación legal de confidencialidad.
   4. Ámbito del Tratamiento. Seagate, en todo momento: (i) tratará la Información personal de la Empresa exclusivamente con el fin de proporcionar los Servicios a la Empresa conforme al Contrato y de conformidad con las instrucciones legales documentadas ("Fines permitidos"), y (ii) no tratará la Información personal de la Empresa para fines propios ni los de ningún tercero. Seagate (i) no venderá ni revelará Información personal de la Empresa, (ii) no conservará, utilizará ni revelará Información personal de la Empresa para ningún otro fin que los Fines permitidos, lo que incluye conservar, utilizar o revelar Información personal para un fin comercial distinto al de proporcionar los Servicios de conformidad con el Contrato, y (iii) no conservará, utilizará ni revelará Información personal de la Empresa aparte de la relación de negocio directa entre Seagate y la Empresa. Seagate notificará a la Empresa si ya no puede cumplir con sus obligaciones en virtud de la Ley de Privacidad del Consumidor de California de 2018 (Código Civil de California §§ 1798.100 et seq (“CCPA"), Modificada por la Ley de Derechos de Privacidad de California ("CPRA”). Seagate certifica que entiende y cumplirá con los requisitos y las restricciones indicados en la Sección 2.4 y cumplirá con los requisitos aplicables a los Proveedores de servicios de conformidad con la CCPA y la CPRA. Además, las partes reconocen y acuerdan que el intercambio de Información personal de la Empresa entre las partes no constituye una Venta, ni forma parte de ninguna consideración monetaria o de otro tipo intercambiada entre las partes con respecto al Contrato o este CPD. En todos los casos, Seagate cumplirá con las restricciones aplicables en virtud de la CCPA y la CPRA sobre la combinación de la Información personal de la Empresa recibida de la Empresa con los Datos personales que Seagate reciba de otra persona o personas o en su nombre, o que Seagate recopile de cualquier interacción entre ellas y el consumidor. Tanto la Empresa como Seagate declaran haber leído y comprendido los requisitos establecidos en la CCPA y la CPRA.
   5. Instrucciones de Tratamiento. Las partes acuerdan que el Contrato (incluido este CPD) expone las instrucciones finales y completas de la Empresa a Seagate en relación con el Tratamiento de la Información personal de la Empresa. Si la ley exige a Seagate que trate la Información personal de la Empresa con cualquier fin, Seagate informará a la Empresa de dicho requisito antes del Tratamiento, a menos que la ley prohíba hacerlo. Cualquier cambio en las instrucciones de la Empresa queda sujeto a la aprobación de las Partes (lo que incluye costes adicionales para cumplir nuevas instrucciones).
   6. Obligaciones de la Empresa. La Empresa acepta que (i) cumplirá con todas sus obligaciones de conformidad con las Leyes de privacidad aplicables con respecto a su Tratamiento de la Información personal de la Empresa y cualquier instrucción de Tratamiento que envíe a Seagate, y (ii) ha avisado y ha obtenido (u obtendrá) todos los consentimientos (cuando proceda) y los derechos necesarios en virtud de las Leyes de privacidad aplicables para que Seagate trate la Información personal de la Empresa y proporcionará los Servicios de acuerdo con el Contrato y este CPD, y (iii) es responsable de su uso responsable y seguro de los Servicios, lo que incluye proteger la seguridad de la Información personal de la Empresa cuando se transfieran hacia y desde los Servicios, y realizar los procesos adecuados para cifrar o hacer una copia de seguridad de forma segura de la Información personal de la Empresa tratada en relación con los Servicios. La Empresa implementará y mantendrá las medidas de seguridad técnicas y organizativas adecuadas diseñadas para proteger la Información personal de la Empresa contra Infracción de privacidad de los datos y conservar la seguridad y la confidencialidad de los datos personales de la Empresa mientras estén bajo su dominio y control.
   7. Programa de Seguridad de la Información. Seagate deberá implementar, gestionar, supervisar y, en caso necesario, actualizar un programa de seguridad de la información por escrito de carácter integral en que figuren las protecciones administrativas, técnicas y físicas correspondientes destinadas a proteger la Información personal de la Empresa contra las amenazas o peligros anticipados contra su privacidad, confidencialidad o integridad (como el acceso no autorizado, obtención, uso, copia, modificación, desecho o revelación de carácter ilícito y no autorizado, o pérdida accidental, destrucción, adquisición o daño o cualquier otra forma de Tratamiento no autorizado) ("Programa de seguridad de la información"). La Empresa reconoce que el Programa de seguridad de la información está sujeto a progreso y desarrollo técnicos y que Seagate puede actualizar o modificar dicho programa cada cierto tiempo, siempre que dichas actualizaciones y modificaciones no tengan como consecuencia la degradación de la seguridad general de los Servicios adquiridos por la Empresa.
   8. Restricciones para subprocesadores. Seagate puede revelar Información personal de la Empresa a Subprocesadores cuando sea necesario para realizar sus Servicios para la Empresa, según las condiciones expuestas en la Sección 2.8. Al firmar este CPD, la Empresa da autorización por escrito general para que Seagate contrate a Subprocesadores para proporcionar los Servicios. Los Subprocesadores contratados actualmente por Seagate y autorizados por la Empresa se enumeran en el Anexo C de este CPD. La Empresa puede suscribirse para recibir notificaciones por correo electrónico de cambios en el Subprocesador suscribiéndose en [email protected] con el siguiente asunto "Suscribirse a las alertas de actualización del subprocesador del Contrato de privacidad de datos de Lyve Cloud". Seagate proporcionará al menos quince (15) días naturales previo aviso por escrito a la Empresa de la contratación de cualquier nuevo Subprocesador. La Empresa puede oponerse por escrito al nombramiento de cada uno de dichos Subprocesadores por motivos razonables (por ejemplo, si poner la Información personal de la Empresa a disposición del Subprocesador puede infringir la Ley de privacidad aplicable o debilitar las protecciones para dicha Información personal de la Empresa) notificando a Seagate de inmediato por escrito en diez (10) días naturales de la recepción de la notificación de Seagate de acuerdo con esta Sección 2.8. Dicha notificación explicará los motivos razonables de la objeción y las partes deberán discutir dichas inquietudes de buena fe con el fin de lograr una resolución comercialmente razonable. Seagate puede, a su entera discreción, eliminar al Subprocesador de la lista. En caso de que un Subprocesador sea rechazado o eliminado por Seagate, se dará a Seagate un tiempo razonable para remplazarlo. Si la Empresa no se opone al Subprocesador propuesto en diez (10) días hábiles desde que haya recibido la notificación de Seagate, el Subprocesador se considerará aprobado.
   9. Rendimiento de los subprocesadores. Cuando un Subprocesador incumple sus obligaciones de protección de datos o es eliminado por Seagate, Seagate seguirá siendo plenamente responsable ante la Empresa del cumplimiento de las obligaciones de los Subprocesadores. Si Seagate no puede cumplir las obligaciones sin el Subprocesador, Seagate terminará cualquier Contrato aplicable entre las partes o sus Afiliados sin que se deban costes o responsabilidades a la Empresa.
   10. Obligaciones del Personal de Seagate y los Subprocesadores. Seagate garantizará que cualquier persona autorizada para Tratar la Información personal de la Empresa se ha comprometido a mantener la confidencialidad o que tiene alguna obligación legal de confidencialidad adecuada. Cuando Seagate contrata a un Subprocesador para llevar a cabo actividades de Tratamiento específicas en nombre de la Empresa, Seagate establecerá un contrato por escrito con el Subprocesador que contendrá obligaciones de protección de datos que impondrán como mínimo requisitos de privacidad de datos, protección y seguridad de información al Subprocesador mientras dure el Tratamiento que exijan que el Subprocesador proteja la Información personal de la Empresa según el tipo que exigen las Leyes de privacidad aplicables.
   11. Avisos de requerimientos o reclamaciones. A menos que lo prohíba la ley, Seagate notificará a la Empresa cualquier solicitud o reclamación recibida por Seagate en relación al Tratamiento de Información personal de la Empresa, lo que incluye:
       1. Solicitudes de un Titular de datos para ejercer uno de sus derechos previstos en las Leyes de privacidad aplicables, lo que incluye sin carácter limitativo una solicitud de portabilidad de datos, para acceder, cambiar eliminar o restringir, o solicitudes similares.
       2. quejas o acusaciones de que el Tratamiento infringe los derechos del titular de los datos.
   12. Respuestas de la Empresa a las solicitudes del Titular de datos. Teniendo en cuenta la naturaleza del Tratamiento, Seagate ayudará a la Empresa con medidas técnicas y organizativas adecuadas, en la medida de lo posible, para que la Empresa pueda cumplir sus obligaciones de responder a solicitudes de Titulares de datos para ejercer sus derechos corriendo la Empresa con los gastos. Seagate informará de inmediato a la Empresa por escrito si recibe: (i) una solicitud de un titular de datos en relación con el Tratamiento de Información personal de la Empresa excepto para solicitudes del CCPA y CPRA, en cuyo caso Seagate informará al solicitante de que no se puede actuar en la solicitud porque dicha solicitud se ha enviado a un proveedor de servicios, tal como se define en el CCPA o en el CPRA (ii) una reclamación, comunicación o solicitud relativa a las obligaciones de la Empresa en virtud de las Leyes de privacidad aplicables. Salvo lo expresado en (i) en relación con las solicitudes del CCPA y CPRA, Seagate no responderá a dichas solicitudes, reclamaciones o comunicaciones directamente (excepto para indicar al titular de datos que se ponga en contacto con la Empresa) sin la autorización previa de la Empresa, a menos que tenga la obligación legal de hacerlo
       
   13. Requerimientos de revelación. La Empresa reconoce que Seagate podrá tener que revelar, sin aviso previo o consentimiento de la Empresa, Información personal de la Empresa a las autoridades en relación con alguna investigación, auditoría o consulta sobre los servicios. A menos que la ley lo prohíba, Seagate hará todos los esfuerzos comerciales razonables para notificar a la Empresa recibe algún documento en el que se solicite o se pretenda forzar la revelación de Información personal de la Empresa (como preguntas verbales, interrogatorios, solicitudes de información o documentos en procesos legales, órdenes de comparecencia, demandas de investigación civiles u otras solicitudes o Procesos de este tipo). Seagate hará todos los esfuerzos comerciales razonables por prevenir o limitar la revelación de información. y preservar la confidencialidad de la Información personal de la Empresa.
   14. Cooperación. Corriendo la Empresa con los gastos, Seagate ofrecerá asistencia razonable a la Empresa para que cumpla sus obligaciones de conformidad con las Leyes de privacidad aplicables en relación con la seguridad de la Información personal de la Empresa y para que complete las evaluaciones del impacto de la protección de la privacidad y los datos (cuando se requiera de forma razonable), así como las consultas relacionadas de las Autoridades supervisoras.
   15. Aviso de posibles infracciones o incapacidad de cumplimiento. Seagate notificará a la Empresa si:
       1. Seagate tiene motivos para creer que las instrucciones de la Empresa con respecto al Tratamiento de Información personal de la Empresa podrían incurrir en el incumplimiento de las leyes vigentes.
       2. Seagate tiene motivos para creer que no es capaz de cumplir con ninguna de sus obligaciones en virtud de este CPD o las Leyes de privacidad aplicables, y no puede remediar la incapacidad de cumplimiento en un plazo razonable.
       3. Seagate toma conocimiento de circunstancias o cambios en las leyes vigentes que probablemente prevendrían el cumplimiento de sus obligaciones en virtud de este CPD.
          
3. TRANSFERENCIAS DE DATOS
   1. Transferencias internacionales. La Empresa por la presente consiente que Seagate transfiera y Trate cualquier Información personal de la Empresa en o a un territorio distinto del territorio en el que la Información personal de la Empresa se recopiló en un principio a condición de que Seagate todas las medidas necesarias para asegurar que dicha transferencia o Tratamiento está conforme con la Ley de Privacidad Aplicable y este CPD (incluyendo las medidas que la Empresa comunique a Seagate ocasionalmente).
      
   2. Mecanismos de transferencia. Las partes acuerdan que, cuando la transferencia de Información personal de la Empresa de la Empresa a Seagate sea una Transferencia restringida, estará sujeto a los mecanismos de transferencia listados a continuación:
      1. Cláusulas modelo. Las partes acuerdan que la Transferencia Restringida debe estar conforme a las Cláusulas Tipo adecuadas, que se incorporan automáticamente por referencia y forman una parte integral de este CPD, según se explica:
         1. En relación a la Información personal de la Empresa que está protegida por el RGPD, las SCC de la UE se aplicarán de la siguiente forma:
            1. se aplicarán los módulos dos y tres según proceda;
            2. en la cláusula 7, se aplicará la cláusula de conexión opcional;
            3. en la cláusula 9, se aplicará la Opción 2, y el período de tiempo para aviso previo del cambio de subprocesador debe ser quince (15) días naturales;
            4. en la cláusula 11, no se aplicará el idioma opcional;
            5. en la cláusula 17, se aplicará la Opción 1, y las SCC de la UE estarán regidas por la leyes de los Países Bajos;
            6. en la cláusula 18(b), se deben resolver las disputas ante la corte de los Países Bajos;
            7. debe considerarse completado el Anexo I de las SCC de la UE con la información presentada en el Anexo A de este CPD; y
            8. debe considerarse completado el Anexo II de las SCC de la UE con la información presentada en el Anexo B de este CPD.
         2. En relación con los datos que están protegidos por el RGPD del Reino Unido, las SCC de la UE aplicadas de conformidad con el párrafo (1) anterior se aplicarán siempre y cuando:
            1. cualquier referencia en las SCC de la UE a la "Directiva 95/46/CE" o al "Reglamento (UE) 2016/679" se interpretará como una referencia al RGPD del Reino Unido; las referencias a artículos específicos del "Reglamento (UE) 2016/679" se sustituyen por el artículo o la sección equivalente del RGPD del Reino Unido; las referencias a la "UE", la "Unión" y la "legislación de los Estados miembros" se sustituyen por el "Reino Unido"; la cláusula 13(a) y la parte C del Anexo II de las SCC de la UE no se utilizan; las referencias a la "autoridad de control competente" y a los "tribunales competentes" se interpretarán como referencias al Comisario de Información y a los tribunales de Inglaterra y Gales; la cláusula 17 de las SCC de la UE se sustituye para indicar que "Las cláusulas se rigen por la legislación de Inglaterra y Gales" y la cláusula 18 de las SCC de la UE se sustituye para indicar que "Cualquier litigio derivado de las presentes cláusulas será resuelto por los tribunales de Inglaterra y Gales. El interesado puede emprender acciones legales contra el exportador de datos o el importador de datos ante los tribunales de cualquier país del Reino Unido. Las Partes acuerdan someterse a la jurisdicción de dichos tribunales";
            2. en la medida y durante el tiempo en que las SCC de la UE aplicadas de conformidad con el apartado 2(A) anterior no puedan utilizarse para transferir legalmente al proveedor la Información personal de la Empresa protegida por el CPD del Reino Unido, las SCC del Reino Unido se incorporarán y formarán parte integrante del presente CPD y se aplicarán a dichas transferencias; y
               
            3. a los efectos de las SCC del Reino Unido (en su caso), los Anexos/Apéndices pertinentes de las SCC del Reino Unido se considerarán completados utilizando la información contenida en el Anexo A y el Anexo B del presente CDP.
         3. En relación con la Información personal de la Empresa que está protegida por el CDP suizo, se aplicarán las SCC de la UE, tal como se han implementado de acuerdo con el párrafo (1) anterior, siempre que:
            1. las referencias en las SCC de la UE al "Reglamento (UE) 2016/679" o al "RGPD" se interpretarán como referencias a la Federal Act on Data Protection de Suiza (FADP);
            2. las referencias a "UE", "Unión" y "legislación de los Estados miembros" se interpretarán como referencias a Suiza y a la legislación suiza, según el caso;
               
            3. el término "Estado miembro" no se interpretará de forma que excluya a los interesados de Suiza de la posibilidad de reclamar sus derechos en su lugar de residencia habitual (Suiza);
            4. las cláusulas SCC de la UE deben interpretarse como una protección de los datos de las personas jurídicas hasta la entrada en vigor de la FADP revisada; y
            5. las referencias a la "autoridad de control competente" y a los "tribunales competentes" se interpretarán como referencias al Federal Data Protection and Information Commissioner de Suiza (FDPIC) y a los tribunales competentes en Suiza.
         4. En caso de que cualquier disposición de este Contrato o de este CPD contradiga, directa o indirectamente, las Cláusulas Tipo, prevalecerán las Cláusulas Tipo.
            1. Mecanismo de transferencia alternativo: En la medida en que Seagate adopte un mecanismo de exportación de datos alternativo (lo que incluye cualquier versión nueva o sucesora de las SCC o un Escudo de la Privacidad adoptado de conformidad con la Legislación de protección de datos europea aplicable) para la transferencia de Datos personales no descrita en este CPD ("Mecanismo de transferencia alternativo"), se aplicará el Mecanismo de transferencia alternativo en lugar de cualquier mecanismo de transferencia aplicable descrito en este CPD (pero únicamente en la medida que dicho Mecanismo de transferencia de alternativo cumpla la Ley de protección de datos europea y abarque los territorios a los que se transfieran los Datos personales) y la Empresa acepta ejecutar esos documentos adicionales y realizar esas acciones adicionales como sea razonablemente necesario para conferir efecto jurídico a dicho Mecanismo de transferencia alternativo. Además, y en la medida que un juzgado con jurisdicción competente o una autoridad supervisora con autoridad vinculante ordenen o determinen (por el motivo que sea) que las medidas descritas en este CPD no son de confianza para transferir legalmente dichos Datos personales, la Empresa reconoce y acepta que Seagate podrá implementar medidas o protecciones adicionales que puedan requerirse de forma razonable para habilitar la transferencia legal de dichos Datos personales.
               
   3. Transferencias fuera de países con requisitos de exportación de datos. Si alguna Ley de privacidad aplicable requiere que se realicen más procesos en relación con alguna restricción de exportación de datos aplicable para permitir la transferencia de Información personal de la Empresa a Seagate (incluidos sus Subprocesadores), la Empresa cumplirá dichos requisitos de protección de datos incluida la obtención de consentimientos necesarios o el establecimiento de cualquier contrato de transferencia de datos aplicable (como cláusulas contractuales tipo) o una solución alternativa para garantizar que dicha transferencia cuenta con las protecciones adecuadas.
4. CONFORMIDAD Y RENDICIÓN DE CUENTAS
   1. Auditoría. No más de una vez cada doce (12) meses, la Empresa podrá solicitar a Seagate que ponga a su disposición información estrictamente necesaria para demostrar el cumplimiento de Legislación de privacidad aplicable en relación con el Tratamiento de Información personal de la Empresa. Seagate permitirá y colaborará a la realización de auditorías por parte de la Empresa o un auditor tercero independiente encargado por la Empresa, corriendo la Empresa con los gastos. Dicho auditor tercero independiente deberá obtener la aprobación de Seagate (salvo si dicho tercero es una Autoridad supervisora competente). El auditor debe establecer un contrato de confidencialidad por escrito con Seagate o regirse de alguna otra manera por una obligación legal de confidencialidad antes de llevar a cabo la auditoría.
      
   2. Ámbito de la auditoría. Para solicitar una auditoría, la Empresa debe avisar por escrito a Seagate con treinta (30) días naturales de antelación y enviar a Seagate una propuesta de plan de auditoría que describa el ámbito, la duración y la fecha de inicio propuestos de la auditoría. Seagate revisará la propuesta de plan de auditoría y trasladará a la Empresa las preocupaciones o preguntas que puedan surgirle (como solicitud de información que pueda comprometer la seguridad, la privacidad, el empleo u otras políticas relevantes de Seagate o de los Afiliados de Seagate). Seagate colaborará con la Empresa para acordar un plan final de auditoría.
      
   3. Informe de Auditoría. La Empresa proporcionará a Seagate cualquier informe de auditoría que se genere en relación con cualquier auditoría, a menos que lo prohíban las Leyes de privacidad aplicables o indique otra cosa la Autoridad supervisora. La Empresa solo podrá utilizar los informes de auditoría con la finalidad de cumplir los requisitos normativos de auditoría de la Empresa y para confirmar el cumplimiento de los requisitos de este CPD. Los informes de auditoría, incluida la información proporcionada por Seagate para la auditoría, se consideran Información confidencial.
   4. Cumplimiento demostrable. Seagate se compromete a proporcionar la información que sea razonablemente necesaria para demostrar el cumplimiento de las leyes estatales de privacidad de EE. UU. tras una petición razonbale de la Empresa.
5.               RESPONSABILIDADES DE SEAGATE DESPUÉS DE UNA INFRACCIÓN DE PRIVACIDAD DE LOS DATOS
   1. Notificación de infracción de la privacidad de los datos. Seagate notificará a la Empresa por escrito cualquier Infracción de privacidad de los datos sin retrasarse indebidamente y hará lo siguiente:
      1. Investigar o proporcionar la asistencia requerida en la investigación de la Infracción de privacidad de los datos.
      2. Proporcionará a la Empresa información sobre la Infracción de privacidad de los datos y ofrecerá rápidamente información adicional relevante cuando esté disponible.
      3. Iniciará los procesos comercialmente razonables para contener la Infracción de privacidad de los datos, mitigar los efectos de dicha infracción o ayudar a que lo haga la Empresa, corriendo la Empresa con los gastos.
   2. Consideraciones de notificación. La notificación de o la respuesta a una Infracción de privacidad de los datos de conformidad con este párrafo ("Respuesta a la Infracción de privacidad de los datos") no se considerará un reconocimiento por parte de Seagate de ningún fallo o responsabilidad con respecto a la Infracción de privacidad de los datos.
   3. Comunicaciones. Seagate no deberá emitir ningún tipo de comunicación relacionada con una Infracción de privacidad de los datos de ninguna manera que permita identificar, o que pudiera razonablemente permitir identificar o revelar, la identidad de la Empresa sin su previa autorización.
   4. Conservación de pruebas. Seagate deberá gestionar un plan de respuesta a incidentes. Tras la detección de una Infracción de privacidad de los datos, Seagate deberá conservar las pruebas relacionadas con la infracción y contar con una jerarquía de comando clara en virtud de un plan de respuesta a incidentes.
6. DEVOLUCIÓN Y BORRADO SEGURO DE INFORMACIÓN PERSONAL DE LA EMPRESA
   1. Devolución y borrado de Información personal de la Empresa. Ante una (a) solicitud por parte de la Empresa o (b) en el vencimiento o la terminación de los contratos antes del plazo entre las partes o sus Afiliados en relación con el Tratamiento de Información personal de la Empresa, lo que suceda primero, siguiendo instrucciones de la Empresa, Seagate deberá exportar toda la Información personal de la Empresa, o proporcionará a la Empresa o a un tercero designado la capacidad de exportar toda la Información personal de la Empresa en una máquina que tenga un formato legible e interoperable e indicará a sus Subprocesadores que hagan lo propio. Cada parte deberá identificar a una persona de contacto para que transfiera la Información personal de la Empresa y tomará medidas de forma puntual, diligente y de buena fe para facilitar una transferencia oportuna. En un plazo de 90 días desde que Seagate (a) completa la migración de la Información personal de la Empresa o (b) la Empresa informa a Seagate de su elección de no migrar la Información personal de la Empresa, Seagate y los Subprocesadores destruirán de forma segura toda la Información personal de la Empresa y la sobrescribirán con datos nuevos o la destruirán de otra forma a través de un método de higienización aprobado.
   2. Obligaciones de eliminación. No obstante lo dispuesto en la sección 6.1, independientemente de que la Empresa indique a Seagate que devuelva la Información personal de la Empresa, Seagate puede verse obligada a eliminar la Información personal de la Empresa de los servicios tras el vencimiento o la finalización anticipada de los contratos entre las partes y/o sus Afiliados relacionados con el Tratamiento de la Información personal de la Empresa, a menos que las Leyes de privacidad aplicables exijan la conservación de la Información personal de la Empresa. Si la Empresa decide admitir o migrar Información personal de la Empresa a otros servicios de Seagate, lo que incluye sin carácter limitativo Seagate Lyve Cloud, la Empresa reconoce que Seagate podrá, tras la admisión o migración correctas de dichos datos, eliminar o destruir de otra forma cualquier Información personal de la Empresa almacenada en el servicio original. La Empresa reconoce que, debido a la naturaleza del Servicio, Seagate no tendrá acceso técnico a los datos sin permisos adicionales, para garantizar la continuidad de la seguridad.
   3. Destrucción de Información personal de la Empresa. A menos que lo prohíban las Leyes de privacidad aplicables, si Seagate desecha cualquier registro en papel, electrónico o de otro tipo que contenga Información personal de la Empresa, Seagate lo hará tomando todas las medidas razonables para destruir la Información personal de la Empresa de la siguiente manera: (a) su triturado, (b) su borrado definitivo y su eliminación, (c) su desmagnetización o (d) la modificación de cualquier otro modo de la Información personal de la Empresa para que quede ilegible, para que sea imposible su reconstrucción y no se puedan descifrar. Si Seagate retira una unidad de disco duro o deja de usarla y esta contiene una copia de la Información personal de la Empresa, Seagate está obligado a triturar o destruir la unidad de forma segura de manera que la Información personal de la Empresa quede destruida y no pueda leerse de acuerdo con NIST 800-88, revisión 1.
7. MISCELÁNEA
   1. Vigencia. Este CPD permanecerá en vigor hasta que (i) no haya ningún otro contrato activo entre las partes y (ii) Seagate haya dejado de tener custodia o control de la Información personal de la Empresa, o acceso a esta. Seagate tratará la Información personal de la Empresa hasta que la relación termine según se especifica en el Contrato. Las obligaciones de Seagate y los derechos de la Empresa en virtud de este CPD continuarán vigentes mientras Seagate trate la Información personal de la Empresa
   2. Orden de prevalencia. El Contrato permanece sin cambios y en pleno vigor y efecto. En caso de discrepancias entre este CPD y cualquier contrato entre las partes o sus Afiliados, prevalecerán las disposiciones de los siguientes documentos (en orden de prioridad): (a) Cláusulas contractuales tipo (cuando proceda); entonces (b) este CPD; y luego (c) el cuerpo principal del Contrato. Este CPD no tiene carácter limitativo ni restrictivo con respecto a las Cláusulas contractuales tipo, sino que se entiende que las complementa.
   3. Actualizaciones. Las partes cooperarán de manera razonable para actualizar este CPD por acuerdo mutuo por escrito conforme resulte necesario para asegurar el cumplimiento con las leyes y regulaciones aplicables.
   4. Datos de los Servicios. A pesar de que se afirme lo contrario en el Contrato (incluido este CPD), Seagate tendrá derecho de recopilar, utilizar y revelar datos relacionados con el uso, la asistencia y el control de los Servicios ("Datos de los Servicios") para sus fines legítimos de negocios, como facturación, gestión de cuentas, asistencia técnica y desarrollo de productos. En la medida que dichos Datos de los Servicios se consideren Información personal de la Empresa de conformidad de las Leyes de privacidad aplicables, Seagate será responsable de dichos datos y los tratará en consonancia con la Política de privacidad de Seagate (cuya versión más actualizada se encuentra en https://www.seagate.com/legal-privacy/) (que se actualiza cada cierto tiempo) y las Leyes de privacidad aplicables. Para evitar dudas y excepto para esta Sección 7.4, las condiciones de este CPD no se aplicarán a los Datos de los Servicios.
   5. Beneficiarios externos. Los Afiliados de Seagate son terceros beneficiarios previstos de este CPD y pueden hacer cumplir sus condiciones del mismo de la misma forma que si fueran signatarios del contrato. Seagate también podrá aplicar las disposiciones de este CPD en nombre de sus Afiliados, en lugar de que los Afiliados entablen una causa en contra de la Empresa.
   6. Revelación a la Autoridad supervisora o a un organismo regulador. La Empresa reconoce que Seagate podrá revelar este CPD (incluidas las SCC) y cualquier disposición relevante sobre privacidad del Contrato con la Comisión Federal de Comercio de EE. UU., una autoridad de protección de datos europea o cualquier otro organismo regulador o judicial que lo solicite.
   7. Integridad del contrato. Si alguna disposición en este CPD pierde vigor o adquiere nulidad, ello no afectará a las disposiciones restantes. Las partes deberán reemplazar la disposición inefectiva o nula con una disposición legal que refleje la finalidad de la disposición inefectiva o nula. En caso de que falte una disposición necesaria, las partes agregarán una disposición correspondiente de buena fe.
   8. Equivalentes. Este CPD puede ser formalizado por firma electrónica y dicha firma electrónica se considerará como una original, incluido su uso para fines probatorios. Este CPD puede ser firmado en dos o más equivalentes, ninguno de los cuales tiene que contener las firmas de ambas partes; además, cada uno de estos equivalentes se considerará un original y, en conjunto, todo constituirá el mismo instrumento.
   9. Interpretación. Los titulares de los apartados de CPD son para fines de referencia exclusivamente y no deberán incidir en la interpretación del contrato.
   10. Responsabilidad. La responsabilidad de cada parte y de todos sus Afiliados, en conjunto, que surja de o que esté relacionada con este CPD (incluidas las Cláusulas contractuales tipo) ya sea contractual, extracontractual (incluida la negligencia) o por cualquier otra teoría de responsabilidad, estará sujeta a las limitaciones y exclusiones de responsabilidad del Contrato (o incorporadas en el mismo como referencia) en la medida que lo permitan las Leyes de privacidad aplicables, siempre que dichos límites no se aplicarán a la responsabilidad de ninguna de las dos partes que surjan en virtud de las Cláusulas contractuales tipo.
   11. Elección de ley. Este CPD se regirá y se interpretará de conformidad con la legislación vigente y las disposiciones de jurisdicción del Contrato, a menos que lo requieran de otro modo las Leyes de privacidad aplicables.

ANEXO A
DESCRIPCIÓN DEL TRATAMIENTO DE DATOS

 

A. LISTA DE LAS PARTES

 

MÓDULO DOS: Transferir el controlador al procesador

 

MÓDULO TRES: Transferir el procesador al procesador

 

Exportador(es) de datos:

 

EMPRESA

 

Información del contacto: Tal como se especifica en el Contrato. La(s) dirección(es) de correo electrónico que la Empresa designe en su cuenta a través de sus preferencias de notificación.

 

Actividades relevantes para la transferencia: La Empresa utiliza el(los) Servicio(s) Lyve especificado(s) en el Contrato y es responsable del uso del(de los) Servicio(s) Lyve de acuerdo con la documentación aplicable.

 

Firma y fecha: Al suscribir el Contrato, se considera que el exportador de datos ha firmado las presentes Cláusulas Contractuales Tipo que se incorporan al mismo, incluidos sus anexos, a partir de la fecha de entrada en vigor del Contrato.

 

Función del exportador de datos: La función del exportador de datos se establece en la sección 2.1 (Funciones de protección de datos) del CPD.

 

Importador(es) de datos:

 

SEAGATE

 

Información del contacto: Tal como se especifica en el Contrato. Puede contactar con el Equipo de privacidad de Seagate a través del siguiente correo electrónico: [email protected].

 

Actividades relevantes para la transferencia: Seagate trata la Información personal de la Empresa para el objeto especificado en el Contrato y hasta que el Contrato se resuelva o expire, a menos que las partes acuerden lo contrario por escrito. El objeto está determinado por el/los Servicio(s) Lyve a los que la Empresa se suscribe y los datos que la Empresa carga en el/los Servicio(s) Lyve.

 

Firma y fecha: Al suscribir el Contrato, se considera que el importador de datos ha firmado las presentes Cláusulas Contractuales Tipo que se incorporan al mismo, incluidos sus anexos, a partir de la fecha de entrada en vigor del Contrato.

 

Función del importador de datos: La función del importador de datos se establece en la sección 2.1 (Funciones de protección de datos) del CPD.

 

B. DESCRIPCIÓN DE LA TRANSFERENCIA

 

MÓDULO DOS: Transferir el controlador al procesador

 

MÓDULO TRES: Transferir el procesador al procesador

 

Categorías de interesados cuyos datos personales se transfieren

 

La Empresa puede enviar Información personal de la Empresa a Seagate, cuyo alcance determina y controla la Empresa a su entera discreción, y que puede incluir sin carácter limitativo datos personales relacionados con las siguientes categorías de titulares de datos:

1. Empleados, asesores, consultores, distribuidores, contratistas, subcontratistas y agentes anteriores o actuales de la Empresa.
2. Socios anteriores o actuales de la Empresa, así como sus empleados, socios, asesores, consultores, distribuidores, contratistas, subcontratistas y agentes.
3. Clientes anteriores o actuales de la Empresa, así como sus empleados, socios, asesores, consultores, distribuidores, contratistas, subcontratistas y agentes.

Categorías de datos personales transferidos

 

La Empresa puede enviar Información personal de la Empresa a Seagate, cuyo alcance determina y controla la Empresa a su entera discreción y puede incluir datos personales proporcionados por la Empresa, proporcionados en nombre de la Empresa o recopilados por Seagate en relación con los Servicios.

 

Los datos sensibles transferidos (si procede) y las restricciones o salvaguardias aplicadas que tienen plenamente en cuenta la naturaleza de los datos y los riesgos implicados, como por ejemplo la limitación estricta de la finalidad, las restricciones de acceso (incluido el acceso solo para el personal que haya seguido una formación especializada), el mantenimiento de un registro de acceso a los datos, las restricciones para las transferencias ulteriores o las medidas de seguridad adicionales.

 

La Empresa puede enviar datos confidenciales a Seagate, cuyo alcance determina y controla la Empresa a su entera discreción y puede incluir datos confidenciales proporcionados por la Empresa, proporcionados en nombre de la Empresa o recopilados por Seagate en relación con los Servicios. Las salvaguardias que aplica Seagate son las descritas en el Anexo II.

 

La frecuencia de la transferencia (por ejemplo, si los datos se transfieren de forma puntual o continua).

 

La Empresa determina y controla, a su entera discreción, la frecuencia de la transferencia de datos personales por parte de la Empresa a Seagate, y la Empresa la lleva a cabo de conformidad con el Contrato (incluida este CPD).

 

Naturaleza del tratamiento

 

Seagate tratará la Información personal de la Empresa únicamente con el fin de prestar los servicios a la Empresa en virtud del contrato (incluida este CDP).

 

Propósito(s) de las transferencias de datos y del tratamiento posterior

 

La Empresa transferirá la Información personal de la Empresa a Seagate únicamente con el fin de prestar los Servicios a la Empresa en virtud del Contrato (incluido este CDP).

1. Almacenamiento y otro Tratamiento necesario para proporcionar, mantener y mejorar los Servicios proporcionados a la Empresa en virtud del Contrato.
2. Revelaciones de acuerdo con el Contrato y como exija la ley aplicable.

El período durante el cual se conservarán los datos personales o, si no es posible, los criterios utilizados para determinar dicho período

 

Seagate conservará la Información personal de la Empresa transferida por esta a Seagate de conformidad con el Contrato (incluido este CDP) y de acuerdo con las instrucciones legales documentadas de la Empresa.

 

Para las transferencias a los (sub)procesadores, especifique también el objeto, la naturaleza y la duración del tratamiento

 

No aplicable.

 

C. AUTORIDAD DE CONTROL COMPETENTE

 

MÓDULO DOS: Transferir el controlador al procesador

 

MÓDULO TRES: Transferir el procesador al procesador

 

Identifique la(s) autoridad(es) de supervisión competente(s) de acuerdo con la Cláusula 13

 

La autoridad de control competente, de conformidad con la Cláusula 13 de las SCC de la UE, es (i) la autoridad de control aplicable al exportador de datos en su país de establecimiento en el EEE; (ii) cuando el exportador de datos no está establecido en el EEE, la autoridad de control aplicable en el país del EEE en el que el representante de la UE del exportador de datos ha sido designado de conformidad con el Artículo 27, apartado 1, del RGPD; o (iii) cuando el exportador de datos no está obligado a designar un representante, la autoridad de control aplicable al país del EEE en el que se encuentran los interesados relevantes para la transferencia. Con respecto al Tratamiento de la Información personal de la Empresa a la que se aplica el RGPD del Reino Unido, la autoridad supervisora competente es la Information Commissioners Office (Oficina de Comisionados de Información, la "ICO"). Con respecto al Tratamiento de datos personales al que se aplica el CPD suizo, la autoridad de control competente es el Swiss Federal Data Protection and Information Commissioner (Comisario Federal de Protección de Datos e Información de Suiza).

 

 

ANEXO B

MEDIDAS TÉCNICAS Y ORGANIZATIVAS, INCLUIDAS LAS MEDIDAS TÉCNICAS Y ORGANIZATIVAS PARA GARANTIZAR LA SEGURIDAD DE LOS DATOS

 

MÓDULO DOS: Transferir el controlador al procesador

 

MÓDULO TRES: Transferir el procesador al procesador

 

Descripción de las medidas técnicas y organizativas aplicadas por el/los importador(es) de datos (incluidas las certificaciones pertinentes) para garantizar un nivel de seguridad adecuado, teniendo en cuenta la naturaleza, el alcance, el contexto y la finalidad del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas.

 

Seagate implementa, mantiene, supervisa y, cuando es necesario, actualiza su programa integral de seguridad de la información por escrito. En el programa de seguridad de la información de Seagate, figuran las protecciones administrativas, técnicas y físicas destinadas a proteger la Información personal de la Empresa de las amenazas o peligros anticipados contra su privacidad, confidencialidad o integridad (como el acceso no autorizado, la obtención, el uso, la copia, la modificación, el desecho o la revelación, de carácter ilegal y no autorizado, o la pérdida accidental, la destrucción, la adquisición o el daño, o cualquier otra forma de Tratamiento no autorizado) ("Programa de seguridad de la información").

 

Seagate cuenta con un equipo de seguridad de la información independiente y específico que gestiona el Programa de seguridad de la información de Seagate. Este equipo facilita y apoya las auditorías y evaluaciones independientes realizadas por terceros. La Empresa reconoce que el Programa de seguridad de la información está sujeto a progreso y desarrollo técnicos y que Seagate puede actualizar o modificar dicho programa cada cierto tiempo, siempre que dichas actualizaciones y modificaciones no tengan como consecuencia la degradación de la seguridad general de los servicios Lyve adquiridos por la Empresa.

 

Seagate no revisa ni edita los datos, contenidos o materiales creados, almacenados o accesibles a través de los servicios Lyve.

 

Las siguientes medidas están en vigor para proteger la Información personal de la Empresa gestionados por los servicios Lyve Cloud y Lyve Mobile (colectivamente los "servicios de Lyve"):

 

Cifrado de datos personales: Medidas que permiten convertir una información claramente legible en una cadena ilegible mediante un proceso criptográfico.

1. Seagate ha implementado sólidas medidas de seguridad para garantizar que los datos de la Empresa permanezcan protegidos, incluyendo el cifrado AES-256-GCM en reposo para los servicios de Lyve Cloud y TCG Enterprise, el cifrado SED AES-256-bit en reposo para los servicios Lyve Mobile y la compatibilidad con el cifrado en tránsito.
2. Una característica de seguridad clave de los servicios Lyve es que Seagate encripta todos los datos antes de almacenarlos, independientemente de que estén encriptados en su origen. No hay opción de reducir la protección. Cuando la Empresa decida finalizar su arrendamiento con los servicios Lyve, se borrarán sus datos de forma segura.
3. Los centros de datos de terceros alojan los servicios Lyve Cloud, garantizando la más alta clase de disponibilidad y acceso al centro de datos. Por su diseño, la encriptación de datos no puede ser desactivada dentro de los servicios Lyve Cloud. Esto significa que los datos están siempre encriptados en reposo y en tránsito. Además, la protección contra el ransomware protege los datos de los ataques maliciosos, mientras que la inmutabilidad de los objetos protege los datos de la manipulación o el borrado accidentales.

Medidas para garantizar de forma permanente la Confidencialidad, la integridad, la disponibilidad y la resistencia de los sistemas y servicios de tratamiento:

1. Confidencialidad: Medidas que garanticen el acceso a la información únicamente por parte de una persona autorizada y que impidan la intrusión de personas no autorizadas en los sistemas y aplicaciones utilizados para el Tratamiento de datos personales.
   • Seagate tiene una política de control de acceso específica.
   • Sistema de derechos diferenciados basado en grupos de seguridad y listas de control de acceso.
   • Política de contraseñas, incluyendo directrices para la gestión de las mismas.
   • Las contraseñas necesitan tener una complejidad mínima definida. Las contraseñas iniciales deben cambiarse después de la primera conexión.
   • Gestión de los derechos de acceso, incluido el concepto de autorización, la aplicación de las restricciones de acceso, la aplicación del principio de "necesidad de conocer" y la gestión de los derechos de acceso individuales.
   • Formación y contratos de confidencialidad para el personal interno y externo.
   • Separación de la red.
   • Las solicitudes de autorización se rastrean, registran y auditan periódicamente.
   • Eliminación del acceso de los empleados en caso de cese o cambio de empleo.
   • Procesos de suministro y retiro de cuentas.
   • Segregación de responsabilidades y funciones para reducir las oportunidades de modificación o uso indebido no autorizado o no intencionado.
   • Requisitos de confidencialidad impuestos a los empleados.
   • Formación obligatoria en materia de seguridad para los empleados, que abarca la privacidad y la gobernanza de los datos, la protección de datos, la confidencialidad, la ingeniería social, las políticas de contraseñas y las responsabilidades generales de seguridad dentro y fuera de Seagate.
   • Contratos de confidencialidad con terceros.
   • Separación de redes en función de los niveles de confianza.
2. Integridad: Medidas que garanticen que la Información personal de la Empresa no pueda ser leída, copiada, modificada o eliminada sin autorización durante su transmisión o transporte electrónico, y que sea posible comprobar y establecer si los datos han sido introducidos, modificados o eliminados en los sistemas de tratamiento de datos, y por quién.
   • Autenticación del registro y acceso al sistema lógico supervisado.
   • Registro del acceso a los datos, incluidos, entre otros, el acceso, la modificación, la introducción y la supresión de datos.
   • Documentación de los derechos de entrada de datos y registro de las entradas relacionadas con la seguridad.
3. Disponibilidad y resiliencia: Medidas que reduzcan el riesgo de la destrucción o pérdida accidental de la Información personal de la Empresa debido a influencias internas o externas y que garanticen la capacidad de resistir ataques o de restablecer rápidamente el funcionamiento de los sistemas después de un ataque.

 

Medidas para garantizar la capacidad de restaurar la disponibilidad y el acceso al sistema de Lyve Cloud Services de manera oportuna en caso de un incidente físico o técnico: Medidas que garantizan la posibilidad de restaurar rápidamente el sistema en caso de incidente físico o técnico.

1. Planificación de continuidad y plan de recuperación de desastres.
2. Procesos de recuperación de desastres para restaurar los procesos.
3. Procedimientos de gestión y notificación de incidentes (gestión de incidentes), que incluyen la detección y reacción ante posibles incidentes de seguridad.

 

Procesos para probar, valorar y evaluar regularmente la eficacia de las medidas técnicas y organizativas de los servicios Lyve Cloud con el fin de garantizar la seguridad del tratamiento:

1. El seguimiento y el registro de las actividades son la crónica de los acontecimientos y generan pruebas. Los sistemas de producción y otros sistemas críticos producen registros de eventos que registran las actividades de los usuarios, las excepciones, los fallos y los eventos de seguridad de la información.
2. Sólo los empleados autorizados de Seagate pueden acceder a todos los registros y existen controles de acceso para evitar el acceso no autorizado.
3. Seagate protege la información de los registros contra la manipulación y el acceso no autorizado. Esto incluye la protección de los controles contra los cambios no autorizados de la información de registro y los problemas operativos.

 

Medidas de identificación y autorización de usuarios:

1. Existen procedimientos para capturar y registrar la información relacionada con la interacción de sistemas, aplicaciones y cuentas de usuario.
2. El acceso al código fuente del programa y a los elementos asociados (como diseños, especificaciones, planes de verificación y validación) está restringido para prevenir la introducción de funcionalidades no autorizadas y evitar cambios involuntarios, así como para mantener la confidencialidad de la propiedad intelectual.
3. Se aplica un proceso formal de registro y borrado de usuarios para gestionar las identificaciones y asignar los derechos de acceso. Esto incluye la emisión de identificaciones de usuario únicas para identificar a la persona autorizada a acceder a los servicios de Lyve (no se permiten las identificaciones compartidas) y la desactivación o eliminación inmediata de las identificaciones cuando alguien termina su empleo o cuando un contratista/proveedor termina un contrato, o ya no necesita el acceso.
4. El control de la asignación de información secreta de autenticación (por ejemplo, contraseñas, claves criptográficas, tokens de hardware o tarjetas inteligentes) debe mantenerse a través de un proceso formal que requiera que los usuarios reconozcan, como parte de sus términos y condiciones de empleo, mantener esta información confidencial.

 

Medidas para la protección de los datos durante la transmisión a los servicios Lyve Cloud:

1. Los servicios Lyve Cloud han implementado sólidas medidas de seguridad para garantizar que la Información personal de la Empresa permanezca protegida, incluyendo la encriptación en reposo y la encriptación en tránsito.
2. Las personas autorizadas que accedan a la red desde ubicaciones externas deben utilizar métodos y tecnología de encriptación y autenticación aprobados.
3. Seagate no permite el uso de cuentas compartidas para obtener acceso remoto a la red.
4. Seagate restringe el acceso remoto únicamente a los recursos y servicios necesarios.

 

Medidas de protección de la Información personal de la Empresa durante su almacenamiento:

1. Los servicios Lyve han implementado sólidas medidas de seguridad para garantizar que la Información personal de la Empresa permanezca protegida, incluyendo la encriptación en reposo y la encriptación en tránsito.
2. Las instancias de los clientes de Seagate de los servicios Lyve Cloud están separadas lógicamente y se impiden y registran los intentos de acceso a los datos fuera de los límites del dominio permitido.
3. Existen medidas para garantizar que no se permita el acceso a datos no autorizados a través de cargas ejecutables, códigos o actores no autorizados, incluido el acceso de un cliente a los archivos de otro cliente.

 

Medidas para garantizar la seguridad física de los lugares en los que se trata la Información personal de la Empresa:

1. Las medidas de seguridad de los servicios Lyve son proporcionales al riesgo identificado para los activos y servicios de información.
2. Los servicios Lyve Cloud incorporan medidas de seguridad física y ambiental en las instalaciones para minimizar el riesgo, evitar las amenazas y eliminar las vulnerabilidades con el fin de proteger los sistemas de información y el personal.
3. La seguridad física y ambiental está diseñada para evitar el acceso físico no autorizado, los daños y las interferencias en los activos y sistemas de información de Lyve Cloud Service.
4. Lyve Cloud Service protege las áreas seguras con el establecimiento de controles de entrada para garantizar que solo tenga acceso el personal autorizado. Los controles deben incluir registrar el acceso de los visitantes, restringir el acceso a los lugares en los que se mantiene información sensible solo al personal autorizado, exigir que los usuarios lleven una tarjeta de identificación visible y limitar la movilidad de las personas solo a las áreas físicas necesarias para llevar a cabo la actividad.
5. Los equipos, la información o los activos de software no deben sacarse fuera de las instalaciones sin autorización. El plazo de retirada de los activos debe ser acordado por todos los implicados y la devolución tiene que ser verificada. Los activos se deben registrar como trasladados fuera de las instalaciones y hay que actualizar el registro cuando se devuelvan.

 

Medidas para garantizar el registro de eventos:

1. Registro remoto.
2. Existe una Política del Sistema de Gestión de la Seguridad de la Información (SGSI).

 

Medidas para garantizar la configuración del sistema, incluida la configuración por defecto: Medidas para garantizar que todos los sistemas y dispositivos incluidos en el ámbito de aplicación cumplan con los ajustes de configuración de referencia.

1. Seagate cuenta con una Política de Gestión de Cambios.
2. Seagate supervisa los cambios en los sistemas incluidos en el ámbito de aplicación para garantizar que los cambios siguen el proceso y para mitigar el riesgo de cambios no detectados en la producción.
3. Seagate cuenta con Procedimientos y una Política de Control de Acceso.

 

Medidas para la administración y la gestión interna de las tecnologías de la información (TI) y de la seguridad informática:

1. Seagate dispone de un Sistema de Gestión de la Seguridad de la Información (SGSI) conforme a la norma ISO 27001:2013.
2. Seagate cuenta con una política de seguridad de la información por escrito, que incluye documentación adicional.
3. La autoridad y la responsabilidad de gestionar el programa de seguridad de la información de Seagate se ha delegado en el director de Seguridad de la información, que está autorizado por dirección a tomar las medidas necesarias para establecer, implementar y gestionar el programa de seguridad de la información de Seagate.

 

Medidas de certificación/garantía de procesos y productos:

1. Los servicios Lyve Cloud han sido auditados por un tercero y han logrado el cumplimiento de la norma SOC 2, lo que demuestra nuestro compromiso con los controles que protegen la confidencialidad y la privacidad de la información almacenada y tratada en nuestro servicio.
2. Los servicios Lyve Cloud cuentan con la certificación ISO 27001, y su programa incluye, entre otras consideraciones, políticas y procedimientos, gestión de activos, gestión de accesos, criptografía, seguridad física y ambiental, política de continuidad del negocio, seguridad de los recursos humanos, recuperación de desastres, seguridad de la nube y de la infraestructura de red, cumplimiento de la seguridad, gestión de terceros y supervisión de la seguridad y de la respuesta a incidentes.

 

Medidas para garantizar la minimización de los datos: Medidas para reducir la cantidad de datos recogidos.

1. La recopilación de Información personal de la Empresa se limita a los datos que la Empresa decide proporcionar en los servicios Lyve.
2. Existen medidas de seguridad para proporcionar solo el mínimo acceso necesario para realizar las funciones requeridas.

 

Medidas para garantizar la calidad de los datos: Medidas para garantizar que la segmentación de datos crea y mantiene una buena calidad de datos.

1. Seagate no revisa ni edita los datos, contenidos o materiales creados, almacenados o accesibles a través de los servicios Lyve, incluida la Información personal de la Empresa, y la Empresa es la única que puede decidir qué datos se introducen en los servicios Lyve.
2. Seagate cuenta con controles de seguridad para garantizar la integridad de los datos.

 

Medidas para garantizar una conservación limitada de los datos:

1. Los propietarios de la información deben desarrollar e implementar procedimientos para garantizar la correcta eliminación de los activos de información bajo su control.
2. Los servicios Lyve protegen los activos de información y organizan su destrucción cuando el activo ha llegado al final de su ciclo de vida, tal como se describe en el calendario de conservación de registros. La destrucción segura de estos activos debe garantizar que ningún contenido legible quede intacto.
3. Debe utilizarse un proceso automatizado seguro para la destrucción de los datos electrónicos y un proceso manual seguro para la destrucción de los registros en papel.
4. Tras la finalización de todas las suscripciones asociadas a un entorno, los datos de los clientes enviados a los servicios Lyve Cloud se conservan en estado inactivo dentro de los servicios Lyve Cloud durante 30 días, tras los cuales se sobrescriben o se eliminan de forma segura.
5. Tras la finalización de todas las suscripciones asociadas a Lyve Mobile Service, la Empresa debe utilizar la funcionalidad de borrado criptográfico en el dispositivo para borrar de forma segura los datos de la Empresa del dispositivo. Cuando el dispositivo Lyve Mobile Service se devuelve a Seagate, el personal autorizado realiza un borrado del dispositivo en una ubicación segura con acceso controlado.

 

Medidas para garantizar la rendición de cuentas: Las empresas deben mantener determinados registros de los datos personales que tratan.

1. Las evaluaciones de privacidad son necesarias cuando se introduce cualquier nuevo producto/servicio que implique el tratamiento de datos personales.
2. Seagate es el responsable de garantizar la privacidad del usuario final durante todo el ciclo de vida del producto y a través de los procesos empresariales aplicables.

 

Medidas para permitir la portabilidad de los datos y garantizar su eliminación:

1. Los servicios Lyve Mobile está diseñado pensando en la portabilidad. Los contratos están destinados a la transferencia segura de información comercial entre los servicios Lyve Cloud y terceros externos.
2. Los servicios Lyve Mobile establecen y mantienen la documentación para proteger la información y los medios físicos en tránsito para que la información pueda hacer referencia a los contratos de transferencia.
3. El contenido de seguridad de la información de cualquier contrato debe reflejar la sensibilidad de la información empresarial implicada. Los contratos pueden ser electrónicos o manuales, y pueden ser contratos formales.
4. Se puede exigir a la Empresa que elimine los datos de la Empresa fuera de los servicios tras la expiración o terminación anticipada del Contrato. Cuando un cliente opta por la admisión o migración de sus datos a otro servicio de Seagate, este puede, tras la admisión o migración satisfactoria de dichos datos, eliminar o deshacerse de cualquier dato del cliente almacenado en el servicio original.
5. Los servicios Lyve protegen los activos de información y organizan su destrucción cuando el activo ha llegado al final de su ciclo de vida, tal como se describe en el calendario de conservación de registros. La destrucción segura de estos activos debe garantizar que ningún contenido legible quede intacto.
6. Los servicios Lyve utiliza un proceso automatizado seguro para la destrucción de los datos electrónicos y un proceso manual seguro para la destrucción de los registros en papel.
7. Tras la finalización de todas las suscripciones asociadas a los servicios Lyve, los equipos que contengan medios de almacenamiento se deben verificar para asegurar que los datos sensibles y el software con licencia se han eliminado o sobrescrito de forma segura antes de su eliminación o reutilización. Los soportes de almacenamiento deben borrarse o sobrescribirse para que los datos originales no sean recuperables.
8. Si Seagate retira una unidad de disco duro o deja de usarla y esta contiene una copia de la Información personal de la Empresa, Seagate está obligado a triturar o destruir la unidad de forma segura de manera que la Información personal de la Empresa quede destruida y no pueda leerse de acuerdo con NIST 800-88, revisión 1.

 

ANEXO C

LISTA DE SUBPROCESADORES

 Ninguno.

 

ANEXO D

DISPOSICIONES ESPECÍFICAS DEL PAÍS

Los siguientes requisitos se aplican a todas las jurisdicciones especificadas:

1. Singapur
   1. Las disposiciones de esta Sección 1 se aplican cuando la Ley de Protección de Datos Personales de Singapur de 2012 (N.º 26 de 2012) se aplica al Tratamiento de información personal de la Empresa por parte de Seagate.
   2. La cláusula 1.3 del CPD se sustituirá por la siguiente:
   3. "Infracción de privacidad de los datos" se refiere a cualquier infracción de seguridad que lleve a la destrucción accidental o ilegal, la pérdida, la alteración, la revelación no autorizada, el acceso a, la adquisición de Información personal de la Empresa o cualquier otro Tratamiento de Información personal de la Empresa, incluyendo: (a) el acceso, la recopilación, el uso, la divulgación, la copia, la modificación o la eliminación no autorizados de la Información personal de la Empresa; o (b) la pérdida de cualquier medio de almacenamiento o dispositivo en el que se almacene Información personal de la Empresa en circunstancias en las que es probable que se produzca el acceso, la recopilación, el uso, la divulgación, la copia, la modificación o la eliminación no autorizados de la Información personal de la Empresa.
   4. La cláusula 5.1 del CPD se sustituirá por la siguiente:

5.1 Notificación de infracción de la privacidad de los datos. Cuando Seagate tenga motivos para creer que se ha producido una Infracción de la privacidad de los datos, Seagate notificará a la Empresa por escrito sobre la Infracción de la privacidad de los datos sin demoras indebidas y:

1. Investigar o proporcionar la asistencia requerida en la investigación de la Infracción de privacidad de los datos.
2. Proporcionará a la Empresa información sobre la Infracción de privacidad de los datos y ofrecerá rápidamente información adicional relevante cuando esté disponible.
3. Iniciará los procesos comercialmente razonables para contener la Infracción de privacidad de los datos, mitigar los efectos de dicha infracción o ayudar a que lo haga la Empresa, corriendo la Empresa con los gastos.

India

1. Las disposiciones de esta Sección 2 se aplican cuando la Ley de Tecnología de la Información de 2000 ("Ley de TI") y las Reglas de Tecnología de la Información (Prácticas y Procedimientos de Seguridad Razonables y Datos o Información Confidencial), 2011 ("Reglas de privacidad"), modificadas y sustituidas de vez en cuando, se aplican al Tratamiento de la Información personal de la Empresa proporcionada por un Controlador en la India, independientemente de si el Tratamiento se lleva a cabo en la India.
2. Con respecto al Tratamiento de datos personales de los interesados que están sujetos a la Ley de TI y las Reglas de privacidad, la siguiente información se considerará como "Información o datos personales confidenciales"
   1. contraseña;
   2. información financiera como cuenta bancaria o tarjeta de crédito o débito u otros detalles de instrumentos de pago;
   3. estado de salud física, psicológica y mental;
   4. orientación sexual;
   5. historiales y registros médicos;
   6. información biométrica;
   7. cualquier detalle relacionado con las cláusulas anteriores según lo previsto para la prestación del servicio; y
   8. cualquier información recibida en virtud de las cláusulas anteriores para su Tratamiento, almacenada o tratada en virtud de un contrato legal o de otro modo.

Para contratos completados antes del jueves, 20 de junio de 2024, consulte el PDF adjunto aquí. Contrato de privacidad de datos de Lyve antes del jueves, 20 de junio de 2024

Para contratos completados antes del 22 de diciembre de 2022, consulte el PDF adjunto aquí. Contrato de privacidad de datos de Lyve antes del 22 de diciembre de 2022

Para contratos completados antes del jueves, 20 de enero de 2022, consulte el PDF adjunto aquí. Contrato de privacidad de datos de Lyve antes del jueves, 20 de enero de 2022

Para contratos completados antes del 14 de octubre de 2021, consulte el PDF adjunto aquí. Contrato de privacidad de datos de Lyve antes del 14 de octubre de 2021