Acuerdo de Encargo de Tratamiento (DPA)

Los términos "datos personales", "tratamiento", "responsable del tratamiento", "encargado del tratamiento", "interesado", "violación de la seguridad de los datos personales" y "autoridad de control" tienen el significado que les atribuye el Reglamento (UE) 2016/679 (RGPD) y, en lo aplicable, la Ley N° 29733 del Perú y su Reglamento.

"Normativa de Protección de Datos" significa el RGPD, la Ley N° 29733 y cualquier otra norma de protección de datos aplicable al tratamiento. "Sub-encargado" significa cualquier tercero contratado por el Encargado para tratar datos personales por cuenta del Responsable.

El objeto del tratamiento es la prestación del servicio Zeynitra Ready descrito en el contrato principal entre las partes. La naturaleza y la finalidad del tratamiento, las categorías de interesados y de datos personales, y la duración se detallan en el Anexo I.

El tratamiento se mantendrá vigente mientras esté vigente el contrato principal y durante el plazo necesario para cumplir las obligaciones legales aplicables, tras lo cual se aplicará la cláusula 10 (devolución o supresión).

El Encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo que una obligación legal le exija otra cosa; en tal caso, informará al Responsable antes del tratamiento, salvo que la ley lo prohíba por razones de interés público.

El contrato principal, este DPA y el uso ordinario del servicio por parte del Responsable constituyen las instrucciones documentadas iniciales. El Encargado informará al Responsable si, en su opinión, una instrucción infringe la Normativa de Protección de Datos.

El Encargado garantiza que las personas autorizadas para tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad adecuada, y que el acceso se limita al personal que necesita conocerlos para prestar el servicio.

Teniendo en cuenta el estado de la técnica, los costes, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de los interesados, el Encargado aplica las medidas técnicas y organizativas apropiadas descritas en el Anexo II para garantizar un nivel de seguridad adecuado al riesgo.

El Responsable otorga al Encargado una autorización general para recurrir a sub-encargados para la prestación del servicio. La lista de sub-encargados vigentes figura en el Anexo III y se mantiene actualizada en la página pública de sub-procesadores.

El Encargado impondrá a cada sub-encargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA, y seguirá siendo plenamente responsable frente al Responsable del cumplimiento por parte del sub-encargado.

Antes de incorporar o sustituir un sub-encargado, el Encargado notificará al Responsable con una antelación razonable. El Responsable podrá oponerse por motivos razonables de protección de datos; si las partes no alcanzan una solución, el Responsable podrá resolver el contrato respecto del servicio afectado.

Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).

Si un interesado dirige una solicitud directamente al Encargado, este la trasladará al Responsable sin demora indebida y no responderá por sí mismo salvo instrucción del Responsable o exigencia legal.

El Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales, proporcionando la información de la que disponga para que el Responsable pueda cumplir sus obligaciones de notificación a la autoridad de control y, en su caso, a los interesados.

El Encargado cooperará razonablemente y adoptará las medidas necesarias para mitigar los posibles efectos adversos de la violación.

El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en la realización de evaluaciones de impacto relativas a la protección de datos (EIPD/DPIA) y, cuando proceda, en las consultas previas a la autoridad de control.

A elección del Responsable, el Encargado suprimirá o devolverá todos los datos personales una vez finalizada la prestación de los servicios de tratamiento, y suprimirá las copias existentes, salvo que la legislación aplicable exija conservar los datos personales.

El Encargado pondrá a disposición del Responsable los medios razonables para recuperar los datos antes de su supresión, dentro de un plazo razonable.

El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones de este DPA y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Responsable o por otro auditor mandatado por este.

Las auditorías se realizarán con un preaviso razonable, en horario laboral, con una frecuencia razonable, sujetas a confidencialidad y sin afectar indebidamente las operaciones del Encargado. El Encargado podrá satisfacer este derecho aportando certificaciones o informes de auditoría de terceros cuando estén disponibles.

Cuando el tratamiento implique la transferencia de datos personales sujetos al RGPD a un país tercero sin decisión de adecuación, las partes acuerdan que las Cláusulas Contractuales Tipo de la Unión Europea aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo 2 (Responsable a Encargado), se incorporan a este DPA por referencia y forman parte integrante del mismo, completándose con la información de los Anexos I a III.

Las partes reconocen que la República del Perú no cuenta, a la fecha, con una decisión de adecuación de la Unión Europea. Por ello, las transferencias hacia el Perú o hacia los sub-encargados se amparan en las citadas SCC y en garantías adicionales adecuadas. Este documento no reproduce el texto íntegro de las SCC; estas se incorporan por referencia y prevalecen en caso de conflicto respecto de los datos sujetos al RGPD.

En la medida en que el Encargado trate "personal information" sujeta a la California Consumer Privacy Act, modificada por la California Privacy Rights Act (CCPA/CPRA), el Encargado actúa como "service provider" del Responsable.

El Encargado no venderá ni compartirá ("sell" / "share") los datos personales, no los conservará, usará ni divulgará para ningún fin distinto del propósito comercial específico del contrato, ni fuera de la relación comercial directa entre las partes, ni los combinará con datos de otras fuentes salvo lo permitido por la CCPA/CPRA. El Encargado certifica que comprende estas restricciones y las cumplirá.

La responsabilidad de cada parte derivada de este DPA se regirá por las limitaciones de responsabilidad pactadas en el contrato principal, en la medida permitida por la ley.

En caso de conflicto entre los documentos, prevalecerá: (i) las SCC respecto de los datos sujetos al RGPD; (ii) este DPA respecto del contrato principal en materia de protección de datos; y (iii) el contrato principal en lo demás.

Sin perjuicio de la ley y la jurisdicción que rijan las SCC respecto de los datos sujetos al RGPD, este DPA se rige por las leyes de la República del Perú, y las partes se someten a la jurisdicción de los tribunales de Cajamarca, Perú, salvo que el contrato principal disponga otra cosa.

Responsable del tratamiento: [RAZÓN SOCIAL DEL CLIENTE]. Encargado del tratamiento: ZEYNITRA SOFTWARE & ANALYTICS S.A.C.S.

Categorías de interesados: empleados y personal del cliente, y colegas invitados a participar en el diagnóstico.

Categorías de datos personales: datos de identidad (nombre), datos de contacto (correo electrónico) y respuestas sobre las prácticas de datos de Recursos Humanos y la percepción de madurez de la organización.

Finalidad del tratamiento: prestación del servicio Zeynitra Ready, incluido el diagnóstico de madurez de datos de RR.HH. y el análisis de percepción del equipo.

Naturaleza del tratamiento: recopilación, almacenamiento, organización, consulta, análisis, comunicación al Responsable y supresión de los datos.

Duración del tratamiento: mientras esté vigente el contrato principal y durante el plazo necesario para cumplir las obligaciones legales aplicables.

Categorías especiales de datos: no se solicitan ni se requieren categorías especiales de datos personales para la prestación del servicio.

El Encargado aplica, a alto nivel, las siguientes medidas técnicas y organizativas, que pueden evolucionar siempre que no reduzcan el nivel de seguridad:

El Encargado utiliza los siguientes sub-encargados. La versión vigente se publica y mantiene actualizada en la página de sub-procesadores (/subprocessors):

Por el Responsable — [RAZÓN SOCIAL DEL CLIENTE]: Nombre: ____________________ Cargo: ____________________ Firma: ____________________ Fecha: [FECHA].

Por el Encargado — ZEYNITRA SOFTWARE & ANALYTICS S.A.C.S.: Nombre: ____________________ Cargo: ____________________ Firma: ____________________ Fecha: [FECHA].