Acuerdo de Procesamiento de Datos

1. Introducción

1.1 Este Acuerdo de Procesamiento de Datos ("DPA") regula el procesamiento de datos personales por Scholé Sàrl, EPFL IC IINFCOM ML4ED — INF 231 (Bâtiment INF) — Station 14, 1015 Lausanne, Suiza ("Proveedor") en nombre de cualquier organización o individuo que utilice la plataforma Scholé y servicios relacionados ("Cliente"). Este DPA forma parte del acuerdo entre el Cliente y el Proveedor y refleja el compromiso de las partes respecto al procesamiento y seguridad de los Datos Personales del Cliente.

1.2 Los términos "sujeto de datos", "procesamiento", "controlador" (respectivamente "controlador del archivo de datos") y "procesador" utilizados en este DPA tendrán los significados especificados en la Legislación Suiza de Protección de Datos o el RGPD, dependiendo de su respectivo ámbito de aplicación. Los términos en mayúsculas están definidos en la Sección 12.

2. Legislaciones de Protección de Datos

2.1 Las siguientes legislaciones de protección de datos pueden, dependiendo de las circunstancias, aplicarse al procesamiento de Datos Personales del Cliente:

The Swiss Data Protection Legislation
The EU General Data Protection Regulation (GDPR)
Other Applicable Data Protection Legislation

2.2 A menos que se indique lo contrario, las disposiciones de este DPA se aplicarán independientemente de qué legislación sea aplicable al procesamiento de Datos Personales del Cliente.

3. Procesamiento de Datos

3.1 Roles y Cumplimiento

3.1.1 Si la Legislación Suiza de Protección de Datos o el RGPD se aplican: (a) el Cliente es un controlador, o un procesador para un tercero, de los Datos Personales del Cliente; (b) el Proveedor es un procesador de los Datos Personales del Cliente, excepto cuando procesa datos para cumplir con obligaciones legales aplicables a él o para sus operaciones comerciales internas incidentales a la prestación del servicio (en cuyo caso actúa como un controlador independiente); y (c) cada parte cumplirá con sus obligaciones bajo la legislación aplicable.

3.1.2 Si el Cliente es un procesador para un tercero, el Cliente garantiza que ha obtenido la autorización previa expresa del controlador aplicable respecto a las instrucciones del Cliente y la designación del Proveedor como otro procesador.

3.2 Alcance del Procesamiento

3.2.1 El Proveedor procesará los Datos Personales del Cliente de acuerdo con este DPA. Cuando actúe como procesador, el Proveedor se compromete a procesar los Datos Personales del Cliente únicamente según las instrucciones documentadas del Cliente, a menos que la legislación aplicable al Proveedor requiera otro procesamiento, en cuyo caso el Proveedor informará al Cliente de dicho requisito legal antes de procesar.

3.2.2 Al aceptar este DPA, el Cliente instruye al Proveedor a procesar los Datos Personales del Cliente únicamente para proporcionar y mejorar los Servicios, según lo documentado en este DPA y el Acuerdo aplicable. Cualquier instrucción adicional o alternativa debe ser acordada por escrito.

3.3 Obligaciones del Cliente

El Cliente será responsable de la calidad, legalidad y relevancia de los Datos del Cliente procesados en el contexto de los Servicios y será responsable ante terceros afectados por el procesamiento. En particular, el Cliente deberá:

Provide sufficient information to data subjects about the collection and processing of their personal data
Obtain valid consent of data subjects where required under Applicable Data Protection Legislation
Ensure compliance with all rights of data subjects (e.g. right of access and rectification, right to object) and obligations towards competent data protection authorities
Only delegate to the Provider processing operations that the Customer would be entitled to carry out itself

3.4 Responsabilidad

El Cliente asumirá la responsabilidad exclusiva del procesamiento de los Datos Personales del Cliente en el marco de los Servicios. El Cliente reconoce y acepta que el Proveedor considerará cualquier procesamiento de Datos Personales del Cliente dentro del marco de los Servicios, según lo permitido en el Acuerdo, como conforme con todas las leyes aplicables.

4. Eliminación de Datos

Tras la finalización de la relación, el Cliente puede solicitar que el Proveedor transfiera todos los Datos Personales del Cliente (incluidas las copias existentes) al Cliente o a un tercero designado por el Cliente. El Proveedor cumplirá lo antes posible, a menos que deba retener todos o parte de los Datos Personales del Cliente por razones técnicas o legales, en cuyo caso el Proveedor almacenará y procesará dichos datos solo por esas razones y podrá demostrar que ha tomado las salvaguardas técnicas y organizativas adecuadas.

5. Seguridad de los Datos

5.1 Medidas de Seguridad

5.1.1 El Proveedor implementa y mantiene medidas técnicas y organizativas adecuadas para proteger los Datos Personales del Cliente contra Incidentes de Seguridad. Los datos del Cliente son:

Stored in Switzerland on Microsoft Azure infrastructure
Encrypted at rest and in transit
Logically separated from all other customers' data
Protected following industry best security practices

5.1.2 El Proveedor toma medidas adecuadas para garantizar el cumplimiento de las medidas de seguridad por parte de sus empleados y subcontratistas, en particular asegurándose de que todas las personas autorizadas para manejar Datos Personales del Cliente estén contractualmente obligadas a mantener la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad.

5.2 Incidentes de Seguridad

5.2.1 Si el Proveedor tiene conocimiento de un Incidente de Seguridad, informará al Cliente lo antes posible por cualquier medio útil, describiendo la naturaleza del incidente, las medidas tomadas para mitigar los riesgos potenciales y las medidas recomendadas para el Cliente.

5.2.2 El Proveedor no revisará el contenido de los Datos del Cliente con el propósito de identificar el tipo de datos involucrados. El Cliente será el único responsable de cumplir con las obligaciones de notificación aplicables a las autoridades competentes y/o a los sujetos de datos. El Proveedor brindará asistencia razonable al Cliente en este sentido.

5.3 Auditorías

5.3.1 Cuando se aplique el RGPD, el Proveedor pondrá a disposición del Cliente todos los documentos e información razonablemente necesarios para demostrar el cumplimiento de sus obligaciones bajo este DPA.

5.3.2 Cuando se aplique el RGPD, el Proveedor permitirá al Cliente o a un auditor independiente designado por el Cliente realizar auditorías (incluidas inspecciones) para verificar el cumplimiento. A menos que existan circunstancias excepcionales, el Cliente no podrá realizar más de una solicitud por año. Las solicitudes de auditoría deben comunicarse por escrito, especificando los datos involucrados, las razones, las obligaciones específicas a auditar y un compromiso de que la información recopilada solo se utilizará para garantizar el cumplimiento.

6. Asistencia del Proveedor

6.1 El Proveedor, si el Cliente lo solicita, proporcionará asistencia razonable para que el Cliente cumpla con sus obligaciones bajo la Legislación Suiza de Protección de Datos o el RGPD.

6.2 Si el Proveedor recibe una solicitud de un sujeto de datos relacionada con los Datos Personales del Cliente, el Proveedor dirigirá al sujeto de datos a enviar la solicitud al Cliente. Es responsabilidad exclusiva del Cliente responder a dichas solicitudes.

6.3 El Proveedor asistirá al Cliente en el cumplimiento de sus obligaciones hacia los sujetos de datos, en la medida en que sea razonable y compatible con la funcionalidad de los Servicios, cubriendo todos los derechos bajo la Legislación de Protección de Datos Aplicable (acceso, rectificación, limitación, oposición, supresión y portabilidad).

6.4 Cuando aplique el RGPD, el Proveedor se compromete a asistir al Cliente en garantizar el cumplimiento de las obligaciones de evaluación de impacto en la protección de datos y consultas previas conforme a los Artículos 35 y 36 del RGPD o la Legislación Suiza de Protección de Datos, en la medida en que razonablemente se pueda esperar que lo haga.

7. Transferencias Internacionales de Datos

7.1 Salvo disposición en contrario, el Proveedor conservará y procesará los Datos Personales del Cliente en Suiza y la Unión Europea, o en un país reconocido por la Comisión Europea y Suiza como que garantiza un nivel adecuado de protección de datos personales.

7.2 El Proveedor informará al Cliente antes de cualquier transferencia a un país no especificado anteriormente y el Cliente se compromete a autorizar dicha transferencia siempre que el Proveedor pueda garantizar un nivel adecuado de protección por cualquier medio útil.

7.3 Cuando el Proveedor contrate a un subprocesador en un tercer país no reconocido como que garantiza una protección adecuada, el Proveedor podrá utilizar las Cláusulas Contractuales Tipo de la Comisión Europea, u otro mecanismo legal, para cumplir con el RGPD o la Legislación Suiza de Protección de Datos.

8. Subprocesamiento

8.1 El Cliente autoriza al Proveedor a utilizar subprocesadores, que pueden ser entidades afiliadas o terceros. El Proveedor informará al Cliente con antelación y por escrito de cualquier cambio planificado con respecto a la adición o reemplazo de subprocesadores, para permitir que el Cliente presente objeciones.

8.2 El Proveedor garantiza que: (a) los subprocesadores solo acceden y procesan los Datos Personales del Cliente en la medida necesaria para cumplir con sus obligaciones; (b) los subprocesadores tienen obligaciones contractuales al menos equivalentes a las de este DPA; y (c) cuando aplique el RGPD, se han impuesto al subprocesador las obligaciones establecidas en el Artículo 28(3) del RGPD.

8.3 El Cliente tendrá 30 días después de ser informado de una adición o reemplazo planificado para presentar objeciones. Si el Proveedor confirma el nombramiento, el Cliente podrá rescindir el Acuerdo aplicable con efecto inmediato mediante notificación por escrito dentro de los 14 días. La falta de reacción dentro de estos plazos se considerará aceptación.

La lista actual de subencargados, con el país, la región de tratamiento, la finalidad y la base de transferencia de cada uno, está publicada en app.schole.ai/sub-processors.

9. Registro de Actividades de Procesamiento

El Cliente reconoce que el Proveedor puede estar obligado a recopilar y almacenar cierta información (incluyendo el nombre y los datos de contacto de cada procesador y/o controlador, y las categorías de procesamiento realizadas) y poner dicha información a disposición de cualquier autoridad competente. El Cliente se compromete a proporcionar al Proveedor toda la información razonablemente necesaria para cumplir con estas obligaciones.

10. Contacto para Asuntos de Protección de Datos

Si el RGPD requiere que el Cliente designe un delegado de protección de datos, el Cliente debe proporcionar los datos de contacto de esa persona al Proveedor.

Todas las comunicaciones al Proveedor relacionadas con este DPA y/o la protección de datos deberán dirigirse a: Equipo de Protección de Datos, privacy@schole.ai

11. Miscelánea

11.1 Los términos de cualquier Acuerdo aplicable se aplicarán a todos los aspectos no cubiertos por este DPA.

11.2 En caso de conflicto entre este DPA y los términos de cualquier Acuerdo aplicable, los términos de este DPA prevalecerán, sujeto a derogaciones expresas especificadas en el Acuerdo.

11.3 Este DPA estará vigente mientras el Cliente utilice los Servicios. Permanecerá en vigor hasta la expiración o terminación del Acuerdo aplicable, incluido cualquier período durante el cual el Proveedor continúe almacenando Datos Personales del Cliente. Cualquiera de las partes podrá rescindir este DPA con un aviso por escrito de 6 meses.

11.4 Si alguna disposición de este DPA se considera inválida o inaplicable, las partes la reemplazarán por una disposición sustitutiva que logre los mismos propósitos legales y económicos. El resto de este DPA permanecerá en pleno vigor y efecto.

11.5 Este DPA se regirá por la ley suiza (sin referencia a sus disposiciones sobre conflictos de leyes). Cualquier disputa se someterá a la jurisdicción exclusiva de los tribunales en la sede registrada del Proveedor, sujeto al derecho de apelación ante el Tribunal Federal Suizo.

12. Definiciones

"Acuerdo" significa cualquier acuerdo entre el Cliente y el Proveedor relacionado con la prestación de Servicios, incluidos los Términos de Servicio.
"Legislación de Protección de Datos Aplicable" significa la Legislación Suiza de Protección de Datos, el RGPD y cualquier otra Legislación de Protección de Datos Aplicable.
"Datos del Cliente" significa los datos transmitidos por el Cliente al Proveedor, recopilados por el Proveedor en nombre del Cliente o generados por el Proveedor en relación con los Servicios.
"Datos Personales del Cliente" significa cualquier información relacionada con una persona física identificada o identificable contenida en los Datos del Cliente, de acuerdo con la Legislación de Protección de Datos Aplicable.
"RGPD" significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
"Incidente de Seguridad" significa una violación de seguridad que resulte en la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilegal a los Datos Personales del Cliente.
"Servicios" significa todos los servicios proporcionados por el Proveedor al Cliente, incluida la plataforma Scholé y los servicios relacionados.
"Legislación Suiza de Protección de Datos" significa la Ley Federal Suiza de Protección de Datos y sus ordenanzas de implementación, según puedan ser enmendadas de vez en cuando.