ACUERDO DE TRATAMIENTO DE DATOS

El presente Contrato de Tratamiento de Datos para la UE y el Reino Unido (el "Contrato") complementa los Términos de Servicio (los "TDS") suscritos entre el cliente que suscribe el presente Contrato ("Cliente") y Vocations ("Organización").

Al suscribir el Contrato, el Cliente celebra el presente Contrato en nombre propio y, en la medida requerida por las Leyes de Protección de Datos aplicables (definidas a continuación).

El presente Contrato incorpora los términos de los TDS, y cualquier término no definido en el presente Contrato tendrá el significado establecido en los TDS.

1. Definiciones

"Subencargado Autorizado" significa un tercero que tiene la necesidad de conocer o acceder de otro modo a los Datos Personales del Cliente para permitir que la Organización cumpla con sus obligaciones en virtud del presente Contrato o de los TDS.

"Datos de la Cuenta del Cliente" significa la información personal relativa a la relación del Cliente con la Organización, incluidos los nombres o la información de contacto de las personas autorizadas por el Cliente para acceder a la cuenta del Cliente y la información de facturación de las personas que el Cliente haya asociado a su cuenta. Los Datos de la Cuenta del Cliente también incluyen cualquier información que la Organización pueda necesitar recopilar con el fin de gestionar su relación con el Cliente, la verificación de identidad o según lo requerido por las leyes y reglamentos aplicables.

"Datos de Uso del Cliente" significa la información de uso del Servicio recopilada y tratada por la Organización en relación con la prestación de los Servicios, como la información utilizada para identificar el origen y el destino de una comunicación, los registros de actividad y la información utilizada para optimizar y mantener el rendimiento de los Servicios, así como para investigar y prevenir el abuso del sistema.

"Datos de Prospectos del Cliente" significa la información personal que el Cliente proporciona a la Organización en relación con los Servicios o la información personal recopilada por el Cliente dentro de los Servicios, como nombres, direcciones de correo electrónico, números de teléfono y otra información de contacto de los prospectos del Cliente.

"Leyes de Protección de Datos" significa todas las leyes y reglamentos aplicables en cualquier jurisdicción relevante relativos al uso o tratamiento de Datos Personales, para el ámbito geográfico de nuestro servicio el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) ("RGPD de la UE" o "RGPD").

"CCT de la UE" significa las cláusulas contractuales tipo aprobadas por la Comisión Europea en la Decisión 2021/914 de 4 de junio de 2021, para las transferencias de información personal a países no reconocidos de otro modo como oferentes de un nivel adecuado de protección de la información personal por parte de la Comisión Europea (según se modifique y actualice periódicamente).

"Transferencia fuera del EEE" significa la transferencia de Datos Personales, tratados de conformidad con el RGPD, desde el Exportador de Datos al Importador de Datos (o a sus locales) fuera del Espacio Económico Europeo (el "EEE"), y dicha transferencia no está regulada por una decisión de adecuación adoptada por la Comisión Europea de conformidad con las disposiciones pertinentes del RGPD.

"Datos de Perfil" significa los Datos Personales recopilados y tratados por la Organización a partir de páginas web públicas utilizando el robot de la Organización para la prestación de los Servicios.

"Servicios" tendrá el significado establecido en los TDS.

"Cláusulas Contractuales Tipo" significa las CCT de la UE y la Adenda de Transferencia Internacional de Datos a las CCT de la UE emitida por la Oficina del Comisionado de Información el 21 de marzo de 2022.

2. Relación de las Partes; Tratamiento de Datos

2.1 Las partes reconocen y aceptan que, en lo que respecta al tratamiento de Datos Personales, el Cliente puede actuar como responsable o encargado del tratamiento y, salvo lo dispuesto expresamente en el presente Contrato o en los TDS, la Organización es un encargado del tratamiento. El Cliente instruye a la Organización para que trate los Datos Personales de conformidad con el presente Contrato, y es responsable de proporcionar todos los avisos y obtener todos los consentimientos, licencias y bases legales necesarios para permitir que la Organización trate los Datos Personales. El Cliente garantizará que el tratamiento de los Datos Personales de conformidad con las instrucciones del Cliente no cause que la Organización infrinja las Leyes de Protección de Datos. El Cliente no proporcionará ni pondrá a disposición de la Organización ningún Dato Personal en violación de los TDS ni que sea de otro modo inapropiado por la naturaleza de los Servicios, y eximirá de responsabilidad a la Organización por todas las reclamaciones y pérdidas relacionadas con ello.

2.2 La Organización no tratará los Datos Personales (i) para fines distintos de los establecidos en los TDS y/o en el Anexo A, (ii) de manera incompatible con los términos y condiciones establecidos en el presente Contrato o cualquier otra instrucción documentada proporcionada por el Cliente, incluso en lo que respecta a las transferencias de información personal a un tercer país o a una organización internacional, a menos que esté obligada a hacerlo por una Autoridad de Control a la que esté sujeta la Organización; en tal caso, la Organización informará al Cliente de dicho requisito legal antes del tratamiento, a menos que dicha ley prohíba dicha información por motivos importantes de interés público, o (iii) en violación de las Leyes de Protección de Datos. El Cliente instruye por la presente a la Organización para que trate los Datos Personales de conformidad con lo anterior y como parte de cualquier tratamiento iniciado por el Cliente en su uso de los Servicios. Estas instrucciones se documentarán siempre.

2.3 El objeto, la naturaleza, la finalidad y la duración de este tratamiento, así como los tipos de Datos Personales recopilados y las categorías de Interesados, se describen en el Anexo A del presente Contrato.

2.4 Una vez finalizados los Servicios, a elección del Cliente, la Organización eliminará los Datos Personales del Cliente, a menos que el almacenamiento posterior de dichos Datos Personales sea requerido o autorizado por la ley aplicable. Si el Cliente y la Organización han celebrado Cláusulas Contractuales Tipo como se describe en la Sección 6 (Transferencias de Datos Personales), las partes acuerdan que la certificación de eliminación de Datos Personales descrita en la Cláusula 8.1(d) y la Cláusula 8.5 de las CCT de la UE (según corresponda) será proporcionada por la Organización al Cliente solo a solicitud del Cliente.

2.5 CCPA. Salvo con respecto a los Datos de la Cuenta del Cliente y los Datos de Uso del Cliente, las partes reconocen y aceptan que la Organización es un proveedor de servicios a los efectos de la CCPA (en la medida en que sea aplicable) y recibe información personal del Cliente para proporcionar los Servicios de conformidad con los TDS, lo que constituye un fin comercial. La Organización no venderá dicha información personal. La Organización no conservará, utilizará ni divulgará ninguna información personal proporcionada por el Cliente de conformidad con los TDS, salvo en la medida necesaria para el fin específico de prestar los Servicios al Cliente de conformidad con los TDS, o según lo establecido en los TDS o según lo permitido por la CCPA. Los términos «información personal», «proveedor de servicios», «venta» y «vender» son los definidos en la Sección 1798.140 de la CCPA. La Organización certifica que comprende las restricciones de esta Sección 2.5.

3. Confidencialidad

La Organización se asegurará de que cualquier persona a la que autorice a tratar Datos Personales se haya comprometido a proteger los Datos Personales de conformidad con las responsabilidades de confidencialidad de la Organización en los TDS. El Cliente acepta que la Organización pueda divulgar Datos Personales a sus asesores, auditores u otros terceros según sea razonablemente necesario en relación con el cumplimiento de sus obligaciones en virtud del presente Contrato, los TDS o la prestación de los Servicios al Cliente.

4. Subencargados Autorizados

4.1 El Cliente reconoce y acepta que la Organización puede (1) contratar a los Subencargados Autorizados de la Lista (definida a continuación) para acceder y tratar Datos Personales en relación con los Servicios y (2) contratar ocasionalmente a terceros adicionales con el fin de proporcionar los Servicios, como el tratamiento de Datos Personales. A través del presente Contrato, el Cliente otorga autorización general por escrito a la Organización para contratar subencargados según sea necesario para la prestación de los Servicios.

4.2 Se pondrá a disposición del Cliente una lista de los Subencargados Autorizados actuales de la Organización (la «Lista»). Dicha Lista podrá ser actualizada por la Organización periódicamente. La Organización proporcionará un mecanismo para suscribirse a notificaciones (que pueden incluir, entre otros, el correo electrónico) de nuevos Subencargados Autorizados al menos catorce (14) días antes de permitir que cualquier tercero distinto de los Subencargados Autorizados existentes acceda o participe en el tratamiento de Datos Personales. La Organización añadirá dicho tercero a la Lista y notificará al Cliente a través de las notificaciones mencionadas. El Cliente podrá oponerse a dicha contratación informando a la Organización por escrito en un plazo de siete (7) días desde la recepción del aviso mencionado por parte del Cliente, siempre que dicha oposición sea por escrito y se base en motivos razonables relativos a la protección de la información. El Cliente reconoce que ciertos subencargados son esenciales para la prestación de los Servicios y que oponerse al uso de un subencargado puede impedir que la Organización ofrezca los Servicios al Cliente.

4.3 Si el Cliente se opone razonablemente a una contratación de conformidad con la Sección 4.2, y la Organización no puede proporcionar una alternativa comercialmente razonable en un plazo razonable, el Cliente podrá interrumpir el uso del Servicio afectado mediante notificación por escrito a la Organización. La interrupción no eximirá al Cliente de las tarifas adeudadas a la Organización en virtud de los TDS.

4.4 Si el Cliente no se opone a la contratación de un tercero de conformidad con la Sección 4.2 en un plazo de siete (7) días desde la notificación por parte de la Organización, dicho tercero se considerará un Subencargado Autorizado a los efectos del presente Contrato.

4.5 La Organización celebrará un acuerdo por escrito con el Subencargado Autorizado imponiendo a este responsabilidades de protección de la información comparables a las impuestas a la Organización en virtud del presente Contrato con respecto a la protección de los Datos Personales. En caso de que un Subencargado Autorizado no cumpla con sus obligaciones de protección de la información en virtud de dicho acuerdo por escrito con la Organización, la Organización seguirá siendo responsable ante el Cliente del cumplimiento de las responsabilidades del Subencargado Autorizado en virtud de dicho acuerdo.

4.6 Si el Cliente y la Organización han celebrado Cláusulas Contractuales Tipo como se describe en la Sección 6 (Transferencias de Datos Personales), (i) las autorizaciones anteriores constituirán el consentimiento previo por escrito del Cliente a la subcontratación por parte de la Organización del tratamiento de Datos Personales si dicho consentimiento es requerido en virtud de las Cláusulas Contractuales Tipo, y (ii) las partes acuerdan que las copias de los acuerdos con los Subencargados Autorizados que deben ser proporcionadas por la Organización al Cliente de conformidad con la Cláusula 9(c) de las CCT de la UE pueden tener información comercial, o información no relacionada con las Cláusulas Contractuales Tipo o su equivalente, eliminada por la Organización de antemano, y que dichas copias serán proporcionadas por la Organización solo a solicitud del Cliente.

4.7 La Organización acordará una cláusula de tercero beneficiario con el Subencargado Autorizado mediante la cual —en caso de que la Organización haya desaparecido de hecho, haya dejado de existir legalmente o se haya declarado insolvente— el Cliente tendrá derecho a rescindir el contrato del Subencargado Autorizado y a instruir a este para que elimine o devuelva la información personal.

5. Seguridad de los Datos Personales

5.1 Teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, la Organización mantendrá medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de Datos Personales. Esto incluye proteger la información contra una violación de la seguridad que conduzca a la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilícito a la información (violación de datos personales). Al evaluar el nivel adecuado de seguridad, las Partes tendrán debidamente en cuenta el estado de la técnica, los costes de implementación, la naturaleza, el alcance, el contexto y los fines del tratamiento y los riesgos involucrados para los interesados. El Anexo B establece información adicional sobre las medidas técnicas y organizativas de seguridad de la Organización.

6. Transferencias de Datos Personales

6.1 Las partes acuerdan que la Organización puede transferir Datos Personales tratados en virtud del presente Contrato fuera del EEE, el Reino Unido o Suiza según sea necesario para prestar los Servicios. El Cliente reconoce que las principales operaciones de tratamiento de la Organización tienen lugar en la Unión Europea; sin embargo, la Organización puede contratar Subencargados con sede en los Estados Unidos según lo enumerado en la cláusula 4.2, en cuyo caso se implementarán salvaguardias contractuales apropiadas para garantizar el cumplimiento de las Leyes de Protección de Datos. Si la Organización transfiere Datos Personales protegidos en virtud del presente Contrato a una jurisdicción para la que la Comisión Europea no ha emitido una decisión de adecuación, la Organización se asegurará de que se hayan implementado salvaguardias apropiadas para la transferencia de Datos Personales de conformidad con las Leyes de Protección de Datos.

6.2 Transferencias fuera del EEE. Las partes acuerdan que las transferencias fuera del EEE se realizan de conformidad con las CCT de la UE, que se consideran celebradas (e incorporadas al presente Contrato por esta referencia) y completadas de la siguiente manera:

6.2.1 El Módulo Uno (Responsable a Responsable) de las CCT de la UE se aplica cuando la Organización está tratando Datos Personales como responsable del tratamiento de conformidad con la Sección 10 del presente Contrato.

6.2.2 El Módulo Dos (Responsable a Encargado) de las CCT de la UE se aplica cuando el Cliente es un responsable del tratamiento y la Organización está tratando Datos Personales para el Cliente como encargado del tratamiento de conformidad con la Sección 2 del presente Contrato.

6.2.3 El Módulo Tres (Encargado a Subencargado) de las CCT de la UE se aplica cuando el Cliente es un encargado del tratamiento y la Organización está tratando Datos Personales en nombre del Cliente como subencargado.

6.3 Para cada módulo, cuando corresponda se aplica lo siguiente:

6.3.1 La cláusula de adhesión opcional en la Cláusula 7 no se aplica.

6.3.2 En la Cláusula 9, se aplica la Opción 2 (autorización general por escrito), y el plazo mínimo para la notificación previa de cambios de subencargado será el establecido en la Sección 4.2 del presente Contrato;

6.3.3 En la Cláusula 11, el lenguaje opcional no se aplica;

6.3.4 Todos los corchetes en la Cláusula 13 se eliminan por la presente. Las disposiciones aplicables serán las correspondientes a la situación del exportador de datos descrita entre corchetes;

6.3.5 En la Cláusula 17 (Opción 1), las CCT de la UE se regirán por la ley francesa;

6.3.6 En la Cláusula 18(b), las disputas se resolverán ante los tribunales de Francia;

6.3.7 El Anexo B del presente Contrato contiene la información requerida en el Anexo I de las CCT de la UE;

6.3.8 El Anexo C del presente Contrato contiene la información requerida en el Anexo II de las CCT de la UE; y

6.3.9 Al celebrar el presente Contrato, se considera que las partes han firmado las CCT de la UE incorporadas en el mismo, incluidos sus Anexos.

6.4 Transferencias fuera del Reino Unido. Las partes acuerdan que las transferencias fuera del Reino Unido se realizan de conformidad con las CCT de la UE y la Adenda de Transferencia Internacional de Datos a las CCT de la UE, que se consideran celebradas e incorporadas al presente Contrato por referencia, y completadas de la siguiente manera:

6.4.1 Las referencias al RGPD se considerarán referencias al RGPD del Reino Unido y a la Ley de Protección de Datos del Reino Unido de 2018, las referencias a «autoridades de control» se considerarán referencias al Comisionado de Información del Reino Unido, y las referencias a «Estado(s) miembro(s)» o a la UE se considerarán referencias al Reino Unido.

6.4.2 La Adenda de Transferencia Internacional de Datos a las CCT de la UE se aplica cuando la Organización trata los Datos Personales del Cliente como encargado del tratamiento e implica una transferencia cubierta por el Capítulo V del RGPD del Reino Unido.

6.5 Transferencias desde Suiza. Las partes acuerdan que las transferencias desde Suiza se realizan de conformidad con las CCT de la UE con las siguientes modificaciones:

6.5.1 Los términos «Reglamento General de Protección de Datos» o «Reglamento (UE) 2016/679» tal como se utilizan en las CCT de la UE se interpretarán para incluir la Ley Federal de Protección de Datos del 19 de junio de 1992 (la «LPD», y según revisada el 25 de septiembre de 2020, la «LPD Revisada») con respecto a las transferencias de datos reguladas por la LPD.

6.5.2 Los términos de las CCT de la UE se interpretarán para proteger los datos de las personas jurídicas hasta la fecha de entrada en vigor de la LPD Revisada.

6.5.3 La Cláusula 13 de las CCT de la UE se modifica para disponer que el Comisionado Federal de Protección de Datos e Información («CFPDI») de Suiza tendrá autoridad sobre las transferencias de datos reguladas por la LPD y la autoridad de control de la UE correspondiente tendrá autoridad sobre las transferencias de datos reguladas por el RGPD. Sin perjuicio de lo anterior, se observarán todos los demás requisitos de la Sección 13.

6.5.4 El término «Estado miembro de la UE» tal como se utiliza en las CCT de la UE no se interpretará de manera que excluya a los Interesados en Suiza del ejercicio de sus derechos en su lugar de residencia habitual de conformidad con la Cláusula 18(c) de las CCT de la UE.

6.6 Medidas Complementarias. Con respecto a cualquier Transferencia fuera del EEE o Transferencia fuera del Reino Unido, se aplicarán las siguientes medidas complementarias:

6.6.1 A la fecha del presente Contrato, el Importador de Datos no ha recibido ninguna solicitud legal formal de ningún servicio o agencia de inteligencia o seguridad gubernamental del país al que se exportan los Datos Personales, para acceder (o para obtener copias de) los Datos Personales del Cliente («Solicitudes de Agencias Gubernamentales»);

6.6.2 Si, después de la fecha del presente Contrato, el Importador de Datos recibe alguna Solicitud de Agencia Gubernamental, la Organización intentará redirigir a la agencia gubernamental o de aplicación de la ley para que solicite dicha información directamente al Cliente. Como parte de este esfuerzo, la Organización puede proporcionar la información de contacto básica del Cliente a la agencia gubernamental. Si se ve obligada a divulgar los Datos Personales del Cliente a una agencia gubernamental o de aplicación de la ley, la Organización notificará razonablemente al Cliente la demanda y cooperará para permitir que el Cliente solicite una orden de protección u otro recurso apropiado, a menos que la Organización esté legalmente impedida de hacerlo. La Organización no divulgará voluntariamente Datos Personales a ninguna agencia gubernamental o de aplicación de la ley. El Exportador de Datos y el Importador de Datos discutirán y determinarán (tan pronto como sea razonablemente posible) si todas o algunas de las transferencias de Datos Personales de conformidad con este Contrato deben suspenderse a la luz de dichas Solicitudes de Agencias Gubernamentales; y

6.6.3 El Exportador de Datos y el Importador de Datos se reunirán según sea necesario para considerar si: (i) la protección otorgada por las leyes del país del Importador de Datos a los interesados cuyos Datos Personales se están transfiriendo es suficiente para proporcionar una protección ampliamente equivalente a la otorgada en el EEE o el Reino Unido, según sea el caso; (ii) son razonablemente necesarias medidas adicionales para permitir que la transferencia cumpla con las Leyes de Protección de Datos; y (iii) sigue siendo apropiado que los Datos Personales se transfieran al Importador de Datos pertinente, teniendo en cuenta toda la información relevante disponible para las partes, junto con las orientaciones proporcionadas por las autoridades de control.

6.6.4 Si las Leyes de Protección de Datos exigen que el Exportador de Datos ejecute las Cláusulas Contractuales Tipo aplicables a una transferencia particular de Datos Personales a un Importador de Datos como un acuerdo separado, el Importador de Datos, a solicitud del Exportador de Datos, ejecutará sin demora dichas Cláusulas Contractuales Tipo incorporando las modificaciones que razonablemente pueda exigir el Exportador de Datos para reflejar los apéndices y anexos aplicables, los detalles de la transferencia y los requisitos de las Leyes de Protección de Datos pertinentes.

6.6.5 Si (i) alguno de los medios para legitimar las transferencias de Datos Personales fuera del EEE o del Reino Unido establecidos en el presente Contrato deja de ser válido o (ii) alguna autoridad de control exige que se suspendan las transferencias de Datos Personales de conformidad con dichos medios, el Importador de Datos podrá, mediante notificación al Exportador de Datos, con efecto a partir de la fecha indicada en dicha notificación, modificar o establecer acuerdos alternativos con respecto a dichas transferencias, según lo exijan las Leyes de Protección de Datos.

7. Derechos de los Interesados

7.1 La Organización, en la medida permitida por la ley, notificará al Cliente cuando reciba una solicitud de un Interesado para ejercer el derecho del Interesado de: acceso, rectificación, supresión, portabilidad de datos, restricción o cese del tratamiento, retirada del consentimiento para el tratamiento, y/u oposición a ser objeto de un tratamiento que constituya una toma de decisiones automatizada (dichas solicitudes individual y colectivamente «Solicitud(es) del Interesado»). Si la Organización recibe una Solicitud del Interesado en relación con los datos del Cliente, la Organización aconsejará al Interesado que presente su solicitud al Cliente y el Cliente será responsable de responder a dicha solicitud, incluso, cuando sea necesario, utilizando la funcionalidad de los Servicios. El Cliente es el único responsable de garantizar que las Solicitudes del Interesado de supresión, restricción o cese del tratamiento, o retirada del consentimiento para el tratamiento de cualquier Dato Personal se comuniquen a la Organización y, si procede, de garantizar que se mantenga un registro del consentimiento para el tratamiento con respecto a cada Interesado.

7.2 La Organización, a solicitud del Cliente, y teniendo en cuenta la naturaleza del tratamiento aplicable a cualquier Solicitud del Interesado, aplicará las medidas técnicas y organizativas apropiadas para ayudar al Cliente a cumplir con su obligación de responder a dicha Solicitud del Interesado y/o a demostrar dicho cumplimiento, cuando sea posible, siempre que (i) el Cliente no pueda responder por sí mismo sin la asistencia de la Organización y (ii) la Organización pueda hacerlo de conformidad con todas las leyes, normas y reglamentos aplicables. El Cliente será responsable, en la medida legalmente permitida, de los costes y gastos que se deriven de dicha asistencia por parte de la Organización.

8. Evaluaciones de Impacto del Tratamiento de Datos; Auditorías

8.1 La Organización, teniendo en cuenta la naturaleza del tratamiento y la información disponible para la Organización, proporcionará al Cliente una cooperación y asistencia razonables cuando sea necesario para que el Cliente cumpla con sus obligaciones en virtud del RGPD de realizar una evaluación de impacto de la protección de datos y/o demostrar dicho cumplimiento. El Cliente será responsable, en la medida legalmente permitida, de los costes y gastos que se deriven de dicha asistencia por parte de la Organización.

8.2 La Organización, teniendo en cuenta la naturaleza del tratamiento y la información disponible para la Organización, proporcionará al Cliente una cooperación y asistencia razonables con respecto a la cooperación y/o consulta previa del Cliente con cualquier Autoridad de Control, cuando sea necesario y requerido por el RGPD. El Cliente será responsable, en la medida legalmente permitida, de los costes y gastos que se deriven de dicha asistencia por parte de la Organización.

8.3 La Organización mantendrá registros suficientes para demostrar su cumplimiento de las obligaciones en virtud del presente Contrato. El Cliente, con un aviso razonable a la Organización, tendrá derecho a revisar, auditar y copiar dichos registros en las oficinas de la Organización durante el horario laboral habitual.

8.4 A solicitud por escrito del Cliente en intervalos razonables, y sujeta a controles de confidencialidad razonables, la Organización, ya sea (i) pondrá a disposición para la revisión del Cliente copias de certificaciones o informes que demuestren el cumplimiento de la Organización con las normas de seguridad de la información vigentes aplicables al tratamiento de los Datos Personales del Cliente, o (ii) si la provisión de informes o certificaciones de conformidad con (i) no es razonablemente suficiente en virtud de las Leyes de Protección de Datos, permitirá que un representante tercero independiente del Cliente realice una auditoría o inspección de la infraestructura y los procedimientos de seguridad de la información de la Organización que sea suficiente para demostrar el cumplimiento de la Organización con sus obligaciones en virtud de las Leyes de Protección de Datos, siempre que (a) el Cliente proporcione un aviso previo razonable por escrito de cualquier solicitud de auditoría y dicha inspección no sea irrazonablemente disruptiva para el negocio de la Organización; (b) dicha auditoría solo se realizará durante el horario laboral y no se producirá más de una vez por año natural; y (c) dicha auditoría se limitará a la información relevante para el Cliente. El Cliente será responsable de los costes de dichas auditorías o inspecciones, como un reembolso a la Organización por el tiempo dedicado a las auditorías in situ. Si el Cliente y la Organización han celebrado Cláusulas Contractuales Tipo como se describe en la Sección 6 (Transferencias de Datos Personales), las partes acuerdan que las auditorías descritas en la Cláusula 8.9 de las CCT de la UE se llevarán a cabo de conformidad con esta Sección 8.4.

8.5 La Organización notificará inmediatamente al Cliente si una instrucción, en opinión de la Organización, infringe las Leyes de Protección de Datos o a la Autoridad de Control. Las partes pondrán a disposición de la Autoridad de Control, a solicitud de esta, la información a que se refiere el Artículo 8, incluidos los resultados de cualquier auditoría.

9. Violaciones de Datos Personales

9.1 En caso de Violación de Datos Personales, la Organización, sin demora indebida y a más tardar 48 horas después de haber tenido conocimiento de ella, informará al Cliente de la Violación de Datos Personales y adoptará las medidas que la Organización, a su entera discreción, considere necesarias y razonables para remediar dicha violación (en la medida en que la reparación esté bajo el control razonable de la Organización). En particular, la notificación incluirá como mínimo: (i) describir la naturaleza de la violación de datos personales, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados afectados y las categorías y el número aproximado de registros de datos personales afectados; (ii) comunicar el nombre y los datos de contacto del delegado de protección de datos u otro punto de contacto donde se pueda obtener más información; (iii) describir las consecuencias probables de la violación de datos personales; describir las medidas adoptadas o propuestas por el responsable del tratamiento para abordar la violación de datos personales, incluyendo, cuando proceda, las medidas para mitigar sus posibles efectos adversos. Cuando, y en la medida en que, no sea posible proporcionar la información al mismo tiempo, la información podrá facilitarse por fases sin demora indebida adicional.

9.2 En caso de Violación de Datos Personales, la Organización, teniendo en cuenta la naturaleza del tratamiento y la información disponible para la Organización, proporcionará al Cliente la cooperación y asistencia razonables necesarias para que el Cliente cumpla con sus obligaciones en virtud del RGPD con respecto a la notificación (i) a la Autoridad de Control pertinente y (ii) a los Interesados afectados por dicha Violación de Datos Personales sin demora indebida.

9.3 Las obligaciones descritas en las Secciones 9.1 y 9.2 no se aplicarán en caso de que una Violación de Datos Personales resulte de las acciones u omisiones del Cliente. La obligación de la Organización de informar o responder a una Violación de Datos Personales en virtud de las Secciones 9.1 y 9.2 no se interpretará como un reconocimiento por parte de la Organización de ninguna culpa o responsabilidad con respecto a la Violación de Datos Personales.

10. Función de la Organización como Responsable del Tratamiento

10.1 Las partes reconocen y aceptan que con respecto a los Datos de Perfil, los Datos de la Cuenta del Cliente y los Datos de Uso del Cliente, la Organización es un responsable del tratamiento independiente, no un responsable conjunto con el Cliente. El Cliente obtiene los Datos de Perfil de la Organización para sus propios fines y uso, y será considerado un Responsable del Tratamiento separado e independiente con respecto a los Datos de Perfil. Cada Parte es individual y separadamente responsable de cumplir con las obligaciones que le corresponden como Responsable del Tratamiento en virtud de cualquier Ley de Protección de Datos aplicable en relación con los Datos de Perfil.

10.2 La Organización tratará los Datos de la Cuenta del Cliente y los Datos de Uso del Cliente como Responsable del Tratamiento (i) para gestionar la relación con el Cliente; (ii) para llevar a cabo las operaciones comerciales principales de la Organización, como la contabilidad, las auditorías, la preparación y presentación de impuestos y los fines de cumplimiento; (iii) para monitorizar, investigar, prevenir y detectar fraudes, incidentes de seguridad y otros usos indebidos de los Servicios, y para evitar daños al Cliente; (iv) para fines de verificación de identidad; (v) para cumplir con las obligaciones legales o reglamentarias aplicables al tratamiento y la conservación de Datos Personales a las que esté sujeta la Organización; y (vi) según lo permitido de otro modo por las Leyes de Protección de Datos y de conformidad con el presente Contrato y los TDS. La Organización también podrá tratar los Datos de Uso del Cliente como responsable del tratamiento para proporcionar, optimizar y mantener los Servicios, en la medida permitida por las Leyes de Protección de Datos. Cualquier tratamiento por parte de la Organización como responsable del tratamiento se realizará de conformidad con la política de privacidad de la Organización.

11. Conflicto

En caso de conflicto o inconsistencia entre los siguientes documentos, el orden de prelación será: (1) los términos aplicables en las Cláusulas Contractuales Tipo; (2) los términos del presente Contrato; (3) los TDS; y (4) la política de privacidad de la Organización. Cualquier reclamación presentada en relación con el presente Contrato se regirá por los términos y condiciones, incluidas, entre otras, las exclusiones y limitaciones establecidas en los TDS.

12. Incumplimiento del presente Contrato y resolución

12.1 Sin perjuicio de las disposiciones del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725, en caso de que la Organización incumpla sus obligaciones en virtud del presente Contrato, el Cliente podrá instruir a la Organización para que suspenda el tratamiento de datos personales hasta que esta última cumpla con el presente Contrato o se resuelva el contrato. La Organización informará sin demora al Cliente en caso de que no pueda cumplir con el presente Contrato, por cualquier motivo.

12.2 El Cliente tendrá derecho a resolver el presente Contrato en lo que respecta al tratamiento de datos personales de conformidad con el presente Contrato si: (1) el tratamiento de datos personales por parte de la Organización ha sido suspendido por el Cliente de conformidad con el punto (a) y si el cumplimiento del presente Contrato no se restablece en un plazo razonable y, en cualquier caso, en el plazo de un mes desde la suspensión; (2) la Organización incumple de manera sustancial o persistente el presente Contrato o sus obligaciones en virtud del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725; (3) la Organización no cumple una decisión vinculante de un tribunal competente o de la Autoridad o Autoridades de Control competentes con respecto a sus obligaciones en virtud del presente Contrato o del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

12.3 La Organización tendrá derecho a resolver el contrato en lo que respecta al tratamiento de datos personales en virtud del presente Contrato cuando, después de haber informado al Cliente de que sus instrucciones infringen los requisitos legales aplicables, el Cliente insista en el cumplimiento de las instrucciones.

12.4 Tras la resolución del contrato, la Organización, a elección del Cliente, eliminará todos los datos personales tratados en nombre del Cliente y certificará al Cliente que lo ha hecho, o devolverá todos los datos personales al Cliente y eliminará las copias existentes, a menos que el Derecho de la Unión o del Estado miembro exija el almacenamiento de los datos personales. Hasta que los datos se eliminen o devuelvan, la Organización seguirá cumpliendo el presente Contrato.

Anexo A

Naturaleza y Finalidad del Tratamiento

La Organización tratará los Datos Personales del Cliente según sea necesario para proporcionar los Servicios en virtud de los TDS, para los fines especificados en los TDS y en el presente Contrato, y de conformidad con las instrucciones del Cliente establecidas en el presente Contrato.

Duración del Tratamiento

La Organización tratará los Datos Personales del Cliente durante el tiempo necesario (i) para proporcionar los Servicios al Cliente en virtud de los TDS; (ii) para las necesidades comerciales legítimas de la Organización; o (iii) por la ley o reglamento aplicable. Los Datos de la Cuenta del Cliente, los Datos de Prospectos del Cliente y los Datos de Uso del Cliente se tratarán y almacenarán según lo establecido en la Política de Privacidad de la Organización.

Categorías de Interesados

• Empleados, consultores, contratistas y/o agentes del Cliente.
• Contactos profesionales del Cliente contenidos en los Datos de Prospectos del Cliente.

Categorías de Datos Personales

La Organización trata Datos Personales contenidos en los Datos de la Cuenta del Cliente, los Datos de Uso del Cliente y cualquier Dato Personal proporcionado por el Cliente o recopilado por la Organización para proporcionar los Servicios o según lo establecido de otro modo en los TDS o en el presente Contrato.

La Organización también trata Datos Personales contenidos en los Datos de Prospectos del Cliente. Las categorías de Datos Personales incluyen nombres, direcciones de correo electrónico, cargos, números de teléfono y otra información contenida en los Datos de Prospectos del Cliente.

Datos Sensibles o Categorías Especiales de Datos

Se prohíbe a los Clientes proporcionar información personal sensible o categorías especiales de datos a la Organización, incluida cualquier información que revele antecedentes penales.

Anexo B

A continuación se incluye la información requerida por el Anexo I y el Anexo III de las CCT de la UE, y el Anexo 1A y el Anexo 1B de la Adenda de Transferencia Internacional de Datos.

1. Las Partes

Exportador(es) de datos

Nombre: La parte en los Términos de Servicio con Vocations o su Afiliada (según corresponda). Dirección: La dirección del Exportador de Datos. Nombre de la persona de contacto, cargo y datos de contacto: El nombre, cargo y datos de contacto proporcionados por el Exportador de Datos. Actividades relevantes para los datos transferidos en virtud de estas Cláusulas: Como se describe en la Sección 2 de los TDS. Firma y fecha: Al utilizar los Servicios para transferir Datos Personales al Importador de Datos, se considerará que el Exportador de Datos ha firmado este Anexo B. Función (responsable/encargado): Responsable del tratamiento

Importador(es) de datos

Nombre: Vocations S.R.L. Dirección: Via Milano 37/C, Gorgonzola (MI), 20064, Italia. Actividades relevantes para los datos transferidos en virtud de estas Cláusulas: Como se describe en la Sección 2 de los TDS. Firma y fecha: Se considerará que el importador de datos ha firmado este Anexo B en el momento de la transferencia de Datos Personales por parte del Exportador de Datos en relación con los Servicios. Función (responsable/encargado): Encargado del tratamiento

2. Descripción de la Transferencia

3. Autoridad de Control Competente

La autoridad de control será la autoridad de control del Exportador de Datos, determinada de conformidad con la Cláusula 13.

Anexo C

Descripción de las Medidas de Seguridad Técnicas y Organizativas implementadas por el Importador de Datos

A continuación se incluye la información requerida por el Anexo II de las CCT de la UE y el Anexo 2 de la Adenda de Transferencia Internacional de Datos.