Este Anexo de Tratamiento de Datos (el “DPA”) forma parte de, y se incorpora por referencia en, los Términos del Servicio de Messangi u otro acuerdo escrito entre el Cliente y Messangi que rija el uso de los Servicios por parte del Cliente (el “Acuerdo”). Este DPA se celebra entre el Cliente (según se define en el Acuerdo) y Messangi Corporation, una sociedad constituida conforme a las leyes del Estado de Florida, Estados Unidos, con oficinas en 5798 SW 68th St, Miami, Florida 33143, USA (“Messangi”).
Al aceptar el Acuerdo, o al acceder a los Servicios o utilizarlos, el Cliente acepta este DPA. Se considera que Messangi ha suscrito este DPA en la Fecha de Vigencia. No se requiere una firma por separado para que este DPA surta efecto, aunque cualquiera de las partes puede solicitar un ejemplar firmado.
Este DPA se aplica al Tratamiento de Datos Personales que Messangi realiza por cuenta del Cliente en el marco de la prestación de los Servicios. En caso de conflicto entre este DPA y el Acuerdo en relación con el Tratamiento de Datos Personales, prevalece este DPA. En caso de conflicto entre este DPA y las Cláusulas Contractuales Tipo incorporadas conforme a la Sección 8, prevalecen las Cláusulas Contractuales Tipo.
1. Definiciones
Los términos en mayúscula inicial que se utilizan pero no se definen en este DPA tienen los significados que se les asignan en el Acuerdo.
“Leyes de Protección de Datos” significa todas las leyes y regulaciones aplicables al Tratamiento de Datos Personales conforme al Acuerdo, incluidos, según corresponda: el Reglamento General de Protección de Datos de la UE 2016/679 (“GDPR”); el UK GDPR y la Data Protection Act 2018 del Reino Unido; la Ley Federal Suiza de Protección de Datos; la California Consumer Privacy Act, modificada por la California Privacy Rights Act, y sus reglamentos (“CCPA”), y otras leyes estatales de privacidad de los Estados Unidos; la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México (“LFPDPPP”); la Ley 1581 de 2012 y el Decreto 1377 de 2013 de Colombia; la Ley 19.628 de Chile, modificada por la Ley 21.719; la Lei Geral de Proteção de Dados de Brasil (“LGPD”); y la Ley de Protección de Datos Personales del Perú, Ley 29733.
“Responsable del Tratamiento”, “Encargado del Tratamiento”, “Titular de los Datos”, “Datos Personales”, “Tratamiento” y “Violación de Datos Personales” tienen los significados que se les asignan en el GDPR, y los términos equivalentes conforme a otras Leyes de Protección de Datos (incluidos “Business”, “Service Provider”, “personal information”, “sell” y “share” conforme a la CCPA, y “responsable”, “encargado”, “mandatario” y “operador” conforme a los regímenes de LATAM) se interpretan en consecuencia.
“Datos Personales del Cliente” significa los Datos Personales contenidos en los Datos del Cliente que Messangi Trata por cuenta del Cliente conforme al Acuerdo, según se describe en el Anexo 1.
“Cláusulas Contractuales Tipo” o “SCC” significa las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas por la Comisión Europea mediante la Decisión 2021/914, de 4 de junio de 2021, en su versión modificada o sustituida.
“Subencargado” significa cualquier tercero contratado por Messangi para Tratar Datos Personales del Cliente en relación con los Servicios.
2. Funciones de las Partes
Respecto de los Datos Personales del Cliente, el Cliente es el Responsable del Tratamiento (o, cuando el Cliente sea a su vez un Encargado del Tratamiento que actúa por cuenta de un Responsable del Tratamiento tercero, un Encargado del Tratamiento) y Messangi es el Encargado del Tratamiento. Conforme a la CCPA, el Cliente es la empresa (Business) y Messangi es un proveedor de servicios (Service Provider). Cada parte cumple con las obligaciones que le imponen las Leyes de Protección de Datos aplicables en su respectiva función. El Cliente es responsable de la licitud de los Datos Personales del Cliente y de las instrucciones que imparte a Messangi, lo que incluye establecer y mantener una base legal válida y el consentimiento de los destinatarios cuando se requiera.
3. Alcance e Instrucciones para el Tratamiento
Messangi Trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias internacionales, salvo que una ley a la que Messangi esté sujeta le exija actuar de otro modo. El Acuerdo, este DPA (incluido el Anexo 1), la configuración y el uso de los Servicios por parte del Cliente, y las instrucciones escritas del Cliente aceptadas por Messangi constituyen las instrucciones completas y definitivas del Cliente. Messangi informará al Cliente si, en su opinión, una instrucción infringe las Leyes de Protección de Datos, salvo que la ley se lo prohíba.
Messangi no vende ni comparte Datos Personales del Cliente y no conserva, utiliza ni divulga Datos Personales del Cliente para ningún fin distinto del fin específico de prestar los Servicios, o según lo permita de otro modo la CCPA a un proveedor de servicios (Service Provider). Messangi no combina Datos Personales del Cliente con Datos Personales que recibe de otras fuentes, salvo en la medida permitida por la CCPA. Messangi certifica que comprende estas restricciones y que las cumplirá.
Datos sensibles y de categoría especial. Los Servicios no están destinados al Tratamiento de datos de categoría especial conforme al Artículo 9 del GDPR ni de información de salud protegida regida por la Health Insurance Portability and Accountability Act de los Estados Unidos (“HIPAA”). El Cliente no debe enviar información de salud protegida a los Servicios, salvo que las partes hayan firmado un Business Associate Agreement por separado. La información de salud protegida no está permitida conforme a los términos estándar publicados.
4. Confidencialidad
Messangi garantiza que el personal autorizado para Tratar Datos Personales del Cliente está sujeto a obligaciones de confidencialidad vinculantes y accede a los Datos Personales del Cliente únicamente en función de la necesidad de conocerlos, conforme al principio de mínimo privilegio.
5. Seguridad
Teniendo en cuenta el estado de la técnica, los costos de implementación y la naturaleza, el alcance, el contexto y los fines del Tratamiento, así como el riesgo para los Titulares de los Datos, Messangi implementa y mantiene medidas técnicas y organizativas apropiadas diseñadas para proteger los Datos Personales del Cliente contra la destrucción, pérdida o alteración accidental o ilícita, y contra la divulgación o el acceso no autorizados. En el Anexo 2 se incluye una descripción de dichas medidas. Messangi puede actualizar sus medidas periódicamente, siempre que las medidas actualizadas no reduzcan de manera significativa el nivel general de protección. Ningún programa de seguridad puede garantizar que los Datos Personales estén libres de cualquier posible vulneración.
6. Subencargados
El Cliente otorga a Messangi una autorización general para contratar Subencargados que Traten Datos Personales del Cliente, con sujeción a esta Sección. Messangi mantiene una lista actualizada de Subencargados, disponible en la Lista de Subencargados de Messangi a la que se hace referencia en el Acuerdo. Messangi impone a cada Subencargado obligaciones de protección de datos que no ofrecen una protección menor que las de este DPA, y Messangi sigue siendo responsable del cumplimiento de las obligaciones de cada Subencargado.
Messangi notificará al Cliente cualquier incorporación o sustitución prevista de un Subencargado, mediante la actualización de la Lista de Subencargados o por otros medios razonables, con tiempo suficiente para que el Cliente pueda oponerse. El Cliente puede oponerse por motivos razonables de protección de datos dentro de un plazo de quince (15) días. Si las partes no logran resolver la objeción, el Cliente podrá, como único recurso, dar por terminados los Servicios afectados.
El Cliente reconoce que la entrega de mensajes requiere necesariamente la transmisión de los identificadores de los destinatarios y del contenido de los mensajes a las plataformas de mensajería y a los proveedores de canales identificados como Subencargados en la Lista de Subencargados, así como a los operadores de telecomunicaciones, operadores de redes móviles y agregadores de SMS que enrutan y entregan el tráfico de mensajería. Dichos operadores, operadores de redes móviles y agregadores Tratan esos datos para sus propios fines de red, regulatorios y de políticas, actúan como responsables independientes de esos datos y no son Subencargados, según se describe en la Lista de Subencargados.
7. Asistencia al Cliente
Teniendo en cuenta la naturaleza del Tratamiento, Messangi asiste al Cliente mediante medidas técnicas y organizativas apropiadas, en la medida en que sea razonablemente posible, para responder a las solicitudes de los Titulares de los Datos que ejerzan sus derechos, incluidos los de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si Messangi recibe directamente una solicitud de ese tipo, salvo que la ley lo prohíba, la remitirá sin demora al Cliente y no responderá a ella salvo siguiendo las instrucciones del Cliente.
Messangi presta asistencia razonable al Cliente con las evaluaciones de impacto relativas a la protección de datos y las consultas previas a las autoridades de control, así como con las obligaciones del Cliente de notificar Violaciones de Datos Personales, en cada caso teniendo en cuenta la naturaleza del Tratamiento y la información de que disponga Messangi.
8. Transferencias Internacionales
Messangi Trata y almacena los Datos Personales del Cliente principalmente en los Estados Unidos. Cuando Messangi Trate Datos Personales del Cliente sujetos al GDPR, al UK GDPR o a la legislación suiza y los transfiera a un país que no haya obtenido una decisión de adecuación, la transferencia se rige por las Cláusulas Contractuales Tipo, que se incorporan a este DPA por referencia y se completan de la siguiente manera:
El Módulo Dos (de Responsable a Encargado) se aplica cuando el Cliente es un Responsable del Tratamiento, y el Módulo Tres (de Encargado a Encargado) se aplica cuando el Cliente es un Encargado del Tratamiento que actúa por cuenta de un Responsable del Tratamiento tercero.
En la Cláusula 7, se aplica la cláusula de incorporación opcional. En la Cláusula 9, se aplica la Opción 2 (autorización general por escrito), con el plazo de notificación establecido en la Sección 6. En la Cláusula 11, no se aplica la redacción opcional sobre resolución independiente de controversias. En la Cláusula 17, la ley aplicable es la ley de Irlanda. En la Cláusula 18, el foro competente son los tribunales de Irlanda.
Los Anexos I, II y III de las SCC se completan con el Anexo 1, el Anexo 2 y el Anexo 3 de este DPA, respectivamente.
Para las transferencias sujetas al UK GDPR, se aplica el International Data Transfer Addendum emitido por el Information Commissioner del Reino Unido, que modifica las SCC. Para las transferencias sujetas a la legislación suiza, las SCC se aplican con las adaptaciones exigidas por el Comisionado Federal Suizo de Protección de Datos e Información. Para las transferencias desde jurisdicciones de LATAM, Messangi se basa en los mecanismos de transferencia permitidos por la legislación local aplicable, incluidas las cláusulas contractuales y el consentimiento del Cliente cuando se requiera.
Data Privacy Framework. En la medida en que Messangi mantenga una autocertificación vigente conforme al Data Privacy Framework UE-Estados Unidos, del Reino Unido y de Suiza, el Cliente y Messangi podrán basarse en dicha certificación como mecanismo de transferencia adicional para los datos comprendidos en su alcance. Las Cláusulas Contractuales Tipo son el mecanismo principal de este DPA y no dependen de dicha certificación.
9. Notificación de Violaciones de Datos Personales
Messangi notifica al Cliente sin dilación indebida tras tener conocimiento de una Violación de Datos Personales que afecte a Datos Personales del Cliente. La notificación describe, en la medida en que se conozca y a medida que se disponga de la información, la naturaleza de la violación, las categorías y el número aproximado de Titulares de los Datos y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Messangi brinda una cooperación razonable para respaldar las obligaciones propias del Cliente de notificar a las autoridades de control y a los Titulares de los Datos. La notificación de Messangi no constituye un reconocimiento de culpa ni de responsabilidad.
10. Auditorías
Messangi pone a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA. A solicitud razonable y por escrito del Cliente, no más de una vez al año salvo que lo exija una autoridad de control o tras una Violación de Datos Personales, Messangi responderá un cuestionario de seguridad razonable o pondrá a disposición un resumen de su informe de auditoría independiente o certificación más reciente. Cuando las Leyes de Protección de Datos exijan una auditoría que no pueda satisfacerse por estos medios, las partes acordarán por anticipado el alcance, el calendario y el costo de una auditoría presencial, que se realizará en horario laboral, con sujeción a obligaciones de confidencialidad y de un modo que no comprometa la seguridad ni la disponibilidad de los Servicios ni los datos de otros clientes.
11. Devolución y Eliminación
A la terminación o al vencimiento del Acuerdo, Messangi, a elección del Cliente, eliminará o devolverá los Datos Personales del Cliente y eliminará las copias existentes, salvo que una ley a la que Messangi esté sujeta exija su conservación, en cuyo caso Messangi protegerá los datos y los Tratará únicamente según lo exija dicha ley. La eliminación de las copias de seguridad se produce en el curso ordinario del ciclo de conservación de las copias de seguridad.
12. Responsabilidad y Relación con el Acuerdo
La responsabilidad de cada parte que surja de este DPA o esté relacionada con él, ya sea contractual, extracontractual o de otro tipo, está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el Acuerdo. Este DPA no aumenta la responsabilidad total de ninguna de las partes más allá de los límites establecidos en el Acuerdo, salvo en la medida en que lo exijan las Leyes de Protección de Datos o las Cláusulas Contractuales Tipo.
13. Vigencia, Ley Aplicable y Prelación
Este DPA entra en vigor en la Fecha de Vigencia y se mantiene vigente mientras Messangi Trate Datos Personales del Cliente conforme al Acuerdo. Este DPA se rige por la ley y está sujeto al foro establecidos en el Acuerdo, con la salvedad de que las Cláusulas Contractuales Tipo se rigen por la ley y el foro establecidos en la Sección 8 respecto de las partes que regulan. El orden de prelación es el siguiente: las Cláusulas Contractuales Tipo, luego este DPA y luego el Acuerdo, en cada caso únicamente en relación con el Tratamiento de Datos Personales.
Anexo 1. Detalles del Tratamiento
Objeto. La prestación por parte de Messangi de los Servicios de mensajería multicanal y de interacción con clientes descritos en el Acuerdo.
Duración. Durante la vigencia del Acuerdo y cualquier período durante el cual Messangi Trate Datos Personales del Cliente.
Naturaleza y finalidad. Transmisión, enrutamiento, puesta en cola, entrega, almacenamiento, registro, generación de informes y soporte en relación con los mensajes y campañas enviados por el Cliente a través de los canales de SMS, WhatsApp, RCS, correo electrónico y billetera móvil, y operación de la consola web y la API REST correspondientes.
Categorías de Titulares de los Datos. Los destinatarios finales y contactos del Cliente, y los usuarios administrativos autorizados del Cliente.
Categorías de Datos Personales. Identificadores de destinatarios y usuarios, como números de teléfono móvil y direcciones de correo electrónico; contenido de los mensajes enviado por el Cliente; metadatos de entrega e interacción, como marcas de tiempo, enrutamiento y confirmaciones de entrega; y datos de cuenta y de contacto de los usuarios administrativos. El Cliente controla el contenido que envía y es responsable de él, y no debe enviar datos de categoría especial ni información de salud protegida, salvo según lo permitido en la Sección 3.
Frecuencia y naturaleza de la transferencia. Continua, según sea necesario para prestar los Servicios.
Autoridad de control competente (SCC). Cuando se aplique el Módulo Dos o Tres, la autoridad de control del Estado miembro de la UE en el que esté establecido el Cliente o su representante en la UE, o la que se determine de otro modo conforme a la Cláusula 13 de las SCC.
Anexo 3. Subencargados
La lista actualizada de Subencargados que Tratan Datos Personales del Cliente se mantiene en la Lista de Subencargados de Messangi a la que se hace referencia en el Acuerdo y que Messangi publica. Las categorías de Subencargados incluyen infraestructura en la nube, proveedores de entrega de mensajes y de canales, y herramientas de soporte al cliente, según se describe en dicha lista.