Acuerdo de procesamiento de datos

El DPA es vinculante cuando se incorpora a un pedido o contrato aceptado, o cuando lo aceptan por separado representantes autorizados. Publicarlo no crea un acuerdo con cada visitante. Las partes deben completar la información específica de los anexos antes del tratamiento correspondiente.

El Cliente es responsable del tratamiento cuando decide sus fines, o encargado cuando actúa para su propio cliente. IPXON actúa como encargado o subencargado, respectivamente. Si el Cliente es encargado, confirma que tiene autorización e instrucciones para designar a IPXON y transmitir instrucciones lícitas.

«Datos Personales del Cliente» son los tratados por nosotros por su cuenta dentro del servicio. «Brecha de Datos Personales» es una vulneración de seguridad que ocasiona destrucción, pérdida, alteración, divulgación o acceso no autorizado, accidental o ilícito. «Normativa Aplicable de Protección de Datos» comprende los requisitos de privacidad aplicables al tratamiento y a las funciones de las partes.

El tratamiento independiente de datos de web, cuenta, facturación y contactos comerciales se describe en la Política de privacidad. No se incluye aquí únicamente por relacionarse con la misma relación comercial.

La colocación de equipos sin acceso a sistemas y la mera conectividad pueden implicar funciones diferentes según la actividad. La descripción debe identificar el tratamiento real; este DPA no supone que todo operador de instalaciones o redes acceda al contenido alojado.

Objeto, duración, fines, categorías de datos y personas, ubicaciones y operaciones constan en el Anexo A y los documentos aceptados del servicio. Pueden incluir almacenamiento, recuperación, transmisión, disponibilidad, soporte y eliminación necesarios para lo contratado.

Tratamos datos únicamente siguiendo instrucciones documentadas del Cliente, incluidas las de transferencia internacional, salvo obligación legal vinculante. El contrato, la configuración y solicitudes autorizadas de soporte forman parte de ellas. Las instrucciones adicionales deben enviarse por soporte autenticado u otro método escrito acordado. Cambios de alcance, coste o riesgo requieren acuerdo antes de implementarse.

Si una norma exige tratamiento adicional, informamos antes salvo prohibición legal. Si consideramos que una instrucción vulnera la normativa aplicable, avisamos sin demora y podemos suspenderla mientras se resuelve. No sustituimos silenciosamente su finalidad.

No vendemos Datos Personales del Cliente, no los usamos para publicidad ni para entrenar modelos de IA de propósito general con su contenido. El uso operativo dentro del servicio se limita a prestarlo y protegerlo conforme al contrato, salvo que se identifique específicamente otra función y base lícitas.

El Cliente responde por la licitud de recopilación e instrucciones, avisos y permisos, usuarios autorizados y seguridad de los componentes que administra. No debe cargar datos que necesiten salvaguardas ajenas al alcance sin acordarlas antes. Cada parte conserva sus propias obligaciones.

Limitamos el acceso a personas autorizadas que lo necesiten para el servicio, sujetas a confidencialidad contractual o legal apropiada. Deben revisarse permisos y retirarse cuando dejen de ser necesarios.

Mantenemos medidas técnicas y organizativas adecuadas a los datos, servicio y riesgo, descritas en el Anexo B. Consideramos confidencialidad, integridad, disponibilidad y resiliencia y evaluamos su eficacia. Podemos mejorarlas o sustituirlas sin reducir materialmente la protección acordada.

Sistemas operativos, aplicaciones, claves, identidades, redes y copias controlados por el Cliente permanecen bajo su responsabilidad según la descripción del servicio. Esto no reduce la responsabilidad de IPXON por su infraestructura y las tareas administradas aceptadas.

El Cliente autoriza por escrito y de forma general a los subencargados identificados para su servicio en el Anexo C. Contratamos a cada uno por escrito con obligaciones que proporcionen al menos la protección del DPA para sus tareas. Seguimos respondiendo ante el Cliente por su cumplimiento.

Notificamos por escrito con al menos 30 días antes de que un subencargado nuevo o sustituto empiece a tratar datos. El aviso identifica entidad, función, países y salvaguardas. Actualizar una página sin avisar no es suficiente.

El Cliente puede oponerse en 15 días por motivos razonables de protección de datos. Trabajaremos de buena fe para resolverlos con información, medidas o alternativas viables. Si no se resuelve antes del inicio previsto, puede terminar el servicio afectado sin cargo de terminación anticipada y recuperar cuotas recurrentes anticipadas no usadas. El subencargado discutido no tratará esos datos mientras una oposición oportuna no resuelta impida su autorización.

Una sustitución urgente no elimina la necesidad de autorización lícita. Utilizaremos una alternativa ya autorizada, obtendremos autorización escrita específica o pausaremos el tratamiento. Un proveedor que solo maneja nuestra facturación o marketing no es automáticamente subencargado de datos alojados.

Según la naturaleza del tratamiento, prestamos asistencia razonable para solicitudes de acceso, rectificación, eliminación, limitación, oposición, portabilidad y demás derechos aplicables. Trasladamos sin demora las solicitudes relativas a estos datos al Cliente y no las decidimos independientemente salvo exigencia legal o autorización.

También asistimos, según el tratamiento e información disponible, en seguridad, evaluación de brechas, evaluaciones de impacto y consultas a autoridades. La asistencia debe permitir cumplir los plazos aplicables. No exigimos esperar una cola ordinaria de soporte si un plazo legal requiere cooperación urgente.

La asistencia ordinaria necesaria para nuestras obligaciones está incluida. Trabajos adicionales sustanciales pueden tener cargos razonables acordados previamente. No cobramos por corregir nuestro propio incumplimiento ni retenemos asistencia legalmente exigible por una disputa de costes.

Avisamos al Cliente sin dilación indebida al conocer una Brecha de Datos Personales que afecte sus datos. No esperamos a completar la investigación. Avisamos al contacto de seguridad registrado y utilizamos una alternativa apropiada si falla la entrega.

Conforme conocemos información, explicamos naturaleza, servicios afectados, categorías y cantidades aproximadas de personas y registros cuando se conozcan, consecuencias probables, contención, medidas, contacto y pasos prácticos del Cliente. Actualizamos y cooperamos en su evaluación y notificaciones obligatorias.

Adoptamos medidas razonables para contener, investigar, mitigar, preservar evidencia y abordar la causa. No notificamos a las personas por cuenta del Cliente sin instrucciones salvo obligación legal. Avisar no constituye por sí solo admisión de responsabilidad. Los intentos fallidos sin compromiso de datos, como un escaneo bloqueado, no activan automáticamente esta notificación.

Facilitamos información razonablemente necesaria para demostrar cumplimiento y permitimos y contribuimos a auditorías e inspecciones del Cliente o su auditor independiente. Informes existentes pueden bastar si aportan evidencia suficiente; no prometemos certificaciones o informes inexistentes.

Las auditorías ordinarias se coordinan con preaviso razonable en horario habitual, protegiendo datos ajenos, seguridad y confidencialidad. Normalmente basta una al año. Ese límite no impide otra razonablemente necesaria por incidente material, indicios creíbles de incumplimiento, requerimiento de autoridad o cláusula obligatoria de transferencia.

No utilizamos confidencialidad, costes o agenda para impedir una auditoría necesaria. El Cliente paga a su auditor. Un cargo razonable por asistencia excepcional requiere acuerdo previo y no se aplica a subsanar nuestro incumplimiento material. Atendemos los hallazgos fundados en un plazo acorde al riesgo.

El pedido y Anexo A identifican alojamiento autorizado; el Anexo C, ubicaciones de subencargados y soporte. Elegir un datacenter no autoriza automáticamente tratar en todas las ubicaciones de IPXON. El acceso remoto desde otro país debe incorporarse a la evaluación de transferencias cuando sea relevante.

No trasladamos datos fuera de las condiciones acordadas sin instrucción o autorización documentada y salvaguardas exigibles. En una emergencia coordinamos una alternativa lícita; no es una exención general.

Antes de una transferencia restringida, las partes deben documentar e implementar un mecanismo válido en el Anexo D. Si se utilizan cláusulas contractuales obligatorias, se incorporan al contrato su texto oficial, datos completados y anexos requeridos. Este DPA no sustituye por sí solo esas cláusulas.

Para transferencias aplicables desde el Espacio Económico Europeo pueden requerirse las Cláusulas Contractuales Tipo de la Comisión Europea, con el módulo correcto responsable-encargado o encargado-subencargado y anexos completos. Las reglas del Reino Unido pueden exigir su Acuerdo Internacional de Transferencia o Addendum. Se atenderán los requisitos brasileños, suizos u otros aplicables a la ruta. Una decisión de adecuación solo puede usarse dentro de su alcance real.

Aportamos información razonable para evaluar el riesgo e implementamos medidas complementarias exigidas. Si no puede mantenerse protección adecuada, se suspende la transferencia o tratamiento afectado hasta una solución lícita. El Cliente puede terminar el servicio afectado si no existe solución viable, con devolución de cuotas recurrentes anticipadas no utilizadas.

Cuando sea legalmente posible, notificamos sin demora los requerimientos vinculantes de datos y procuramos dirigir al solicitante al Cliente cuando proceda. Revisamos su validez, revelamos solo lo exigido e impugnamos solicitudes ilícitas o desproporcionadas si existen fundamentos razonables y una vía lícita.

Si se prohíbe avisar, procuramos obtener permiso cuando corresponda y proporcionamos información cuando sea posible. No damos acceso voluntario e irrestricto a los datos. Prevalecen las obligaciones adicionales de cláusulas obligatorias de transferencia.

El Cliente elige devolución o eliminación al terminar, salvo conservación limitada exigida legalmente. Puede instruir antes una eliminación lícita. Destruir o reinstalar expresamente un recurso puede hacer irrecuperable su información de inmediato y no prometemos restaurar datos ya borrados por instrucción.

Salvo plazo mayor acordado, los datos existentes bajo nuestro control pueden exportarse durante 30 días tras terminar usando herramientas disponibles o un método seguro acordado. No implica producción continuada. Podemos utilizar una alternativa restringida por seguridad o riesgo legal. La migración adicional se acuerda por separado.

Tras ese periodo, eliminamos copias activas restantes dentro de otros 30 días. Las copias residuales de respaldo bajo control del proveedor se eliminan o sobrescriben a más tardar 90 días después de terminar. Si el Cliente elige borrado anticipado, comenzamos sin demora y completamos el activo en 30 días desde la instrucción autenticada; los respaldos residuales se retiran en 90 días desde esa instrucción. Prevalece un plazo legal más estricto.

Las copias pendientes de caducidad quedan protegidas y fuera del uso ordinario. Si se restauran por recuperación necesaria, se reaplican instrucciones de borrado. Una conservación legal se limita a datos y periodo exigidos, con acceso restringido y sin usos ajenos. Confirmamos la finalización a solicitud razonable y explicamos categorías retenidas legalmente.

Para datos exclusivamente en equipos propios de colocation inaccesibles para nosotros, la devolución se realiza al retirar equipos. Si IPXON borra o destruye soportes, requiere instrucción acordada, salvaguardas y confirmación. No conservamos copias solo por una factura impagada o discutida.

Cuando una norma estatal nos considere proveedor de servicios, contratista o encargado, tratamos la información cubierta únicamente para los fines específicos del Anexo A. No la vendemos ni compartimos para publicidad comportamental entre contextos, no la conservamos, usamos o revelamos fuera de la relación directa o fines permitidos, ni la combinamos con fuentes ajenas salvo lo legalmente permitido para prestar el servicio.

Proporcionamos la protección requerida, avisamos si dejamos de poder cumplir y permitimos medidas razonables de verificación y cese o subsanación de usos no autorizados. Certificamos que comprendemos y cumpliremos estas restricciones cuando se exija tal certificación. Esta sección solo opera dentro del alcance normativo y no convierte proveedores de publicidad web en encargados de datos alojados.

Se aplican entre las partes las condiciones de responsabilidad del contrato, incluido el límite específico del DPA allí indicado. No restringen derechos legales individuales, facultades de autoridades, responsabilidades no limitables ni cláusulas obligatorias de transferencia. El Cliente no asume por este DPA el incumplimiento propio de IPXON.

En tratamiento de datos personales, el DPA prevalece sobre condiciones generales incompatibles; las cláusulas obligatorias de transferencia prevalecen sobre ambos. Los cambios no pueden reducir protección ni sustituir retroactivamente un DPA firmado sin acuerdo o procedimiento lícito exigible.

Proveedor: Conexum Inc., 3250 W Commercial Blvd, Suite 140, Fort Lauderdale, FL 33309-3459, Estados Unidos. Privacidad: privacy@ipxon.com. Seguridad: noc@ipxon.com. Los contactos del Cliente se registran en el Anexo A y deben mantenerse actualizados.

Completar en el pedido aceptado o anexo vinculado conservado con él. Indicar una familia de servicios no sustituye describir el tratamiento real del Cliente.

Las siguientes medidas son obligaciones contractuales para componentes que IPXON administra. Un anexo específico debe registrar su implementación, equivalencias permitidas y límite con los sistemas del Cliente. Debe completarse y acordarse antes del tratamiento.

La página pública de Seguridad no es el anexo técnico completado ni sustituye medidas específicas. Las copias, actualizaciones o cifrado del Cliente no pasan a IPXON salvo inclusión contractual.

La lista específica debe entregarse antes de aceptar y mantenerse según la sección 4. Incluir entidades con acceso a Datos Personales del Cliente y empresas relevantes del grupo. Un proveedor de instalaciones sin ese tratamiento se clasifica por su función real, no solo por su etiqueta comercial.

A la fecha de entrada en vigor de esta versión, IPXON no utiliza subencargados para tratar Datos Personales del Cliente. Si esto cambia, se aplicará la sección 4 y esta lista se actualizará antes de autorizar al nuevo subencargado.

Cada entrada debe indicar entidad jurídica, servicio, categorías de datos, países de tratamiento y acceso remoto, salvaguardas, fecha de autorización y mecanismo de transferencia. Si un servicio no utiliza subencargados, registrarlo expresamente tras verificarlo; una lista vacía no significa «ninguno».

Para cada transferencia restringida, registrar exportador e importador, funciones y contactos, países de origen y destino, finalidad, categorías de datos y personas, frecuencia, transferencias posteriores, mecanismo, evaluación de riesgo, medidas complementarias y versión y aceptación del instrumento incorporado.

Si aplican las Cláusulas Contractuales Tipo de la UE, completar módulo, opciones, preaviso de subencargados, autoridad, ley, tribunales y todos los anexos. Para un Addendum británico, completar tablas y selecciones. En otros instrumentos obligatorios, completar los datos equivalentes sin modificar texto imperativo.

No iniciar una transferencia restringida con registro vacío ni suponer que enlazar cláusulas oficiales las hace vinculantes. Si no hay transferencia restringida, documentar por qué y reevaluar antes de modificar ubicación, acceso remoto o proveedores.