Apéndice sobre la protección de datos de socios

Este Apéndice sobre la protección de datos de socios (”DPA”) forma parte del Acuerdo del programa de socios (el ”Acuerdo”) y establece las condiciones adicionales con respecto al tratamiento de datos personales. Los términos en mayúscula tienen el significado definido en la siguiente sección de este documento o en otra parte del Acuerdo. Si hay un conflicto entre las condiciones de este DPA y cualquier otra condición del Acuerdo, lo estipulado en este DPA prevalecerá. A efectos de este DPA, “Proveedor” significará Socio.

• (a) “Ley de protección de datos vigente” es toda la legislación en vigor relacionada con el tratamiento de datos personales en virtud del Acuerdo. Entre los datos personales, se contemplan los siguientes, que incluyen, sin limitaciones, (i) los Datos personales provenientes de una Entidad autorizada ubicada dentro del EEE, el Reglamento General de Protección de Datos (UE) 2016/679 (”RGPD”) y (ii) los Datos personales procedentes de una Entidad autorizada ubicada en el Reino Unido, el RGPD del Reino Unido y la Ley de Protección de Datos del Reino Unido de 2018.
• (b) “Entidad autorizada” se refiere a toda entidad (incluidas Siemens y las compañías del grupo) que actúa como Responsable del tratamiento de datos y que tenga derecho, en virtud del Acuerdo, a acceder o utilizar los Servicios, ya sea directa o indirectamente.
• (c) “Responsable del tratamiento de datos” es la persona física o jurídica que, sola o conjuntamente con otros, determina los propósitos y medios del tratamiento de datos personales.
• (d) “País con una decisión de adecuación” hace referencia a todo país sobre el cual la Comisión de la UE decide que garantiza un nivel idóneo de protección de datos y para los datos personales procedentes del Reino Unido, todo país sobre el que se establezcan regulaciones de adecuación del Reino Unido en virtud de las secciones 17A o 74A de la Ley de Protección de Datos de 2018.
• (e) “Violación de datos” significa una infracción de seguridad que (i) conduzca a la destrucción fortuita o ilegal, la pérdida, la alteración, la divulgación no autorizada o el acceso a los Datos personales transmitidos, almacenados o, de algún modo, sometidos a tratamiento o (ii) exija el aviso de dicho acontecimiento a un tercero de conformidad con la ley vigente.
• (f) “EEE” significa el Espacio Económico Europeo.
• (g) “Cláusulas contractuales estándar de la UE” son las Cláusulas contractuales estándar (EU) 2021/914.
• (h) “Área de procedencia” significa el EEE, el Reino Unido, Suiza y cada uno de los países con requisitos de adecuación similares a los contenidos en el art. 45 y ss. del RGDP.
• (i) “Datos personales” hacen referencia a la información relacionada con una persona física identificada o identificable; una persona física identificable es aquella que puede ser identificada, directa o indirectamente, específicamente por referencia a un identificador, tal como el nombre, el número de identificación, los datos de ubicación, un identificador en línea o a uno o más factores particulares de la identidad física, fisiológica, genética, mental, económica, cultural o social de esa persona física.
• (j) “Tratamiento” (y sus otras formas como tratar, tratamientos, tratados) significa cada una de las operaciones o conjunto de operaciones que se realice en Datos personales o en conjuntos de Datos personales, ya sea por medios automatizados, como recopilación, registro, organización, estructuración, almacenamiento, adaptación o alteración, recuperación, consulta, uso, divulgación por transmisión, difusión o, de alguna manera, puesta a disposición, alineación o combinación, restricción, eliminación o destrucción.
• (k) “Encargado del tratamiento de datos” es una persona física o jurídica, autoridad pública, agencia o cualquier otro ente que lleva a cabo el tratamiento datos personales en nombre de un Responsable del tratamiento de datos.
• (l) “Normas Corporativas Vinculantes del Encargado del Tratamiento” son las Normas Corporativas Vinculantes del Encargado del Tratamiento las cuales son aprobadas por la autoridad supervisora competente.
• (m) “Datos personales restringidos” significa todo dato personal que provenga de una Entidad autorizada ubicada dentro de un Área de procedencia.
• (n) “Transferencia(s) restringida(s)” es un término que quiere decir un Tratamiento (lo que incluye las transferencias, el acceso internacional y las transferencias posteriores) de Datos personales restringidos por parte del Proveedor o algún Subencargado del tratamiento de datos quien esté fuera del Área de procedencia correspondiente.
• (o) “Servicios” se refiere a los Servicios en virtud del Acuerdo prestados por el Proveedor que se desempeña como Encargado del tratamiento en el sentido de este DPA.
• (p) “Cláusulas contractuales estándar” son las Cláusulas contractuales Eestándar de la UE y las Cláusulas contractuales estándar del Reino Unido.
• (q) “Subencargado(s) del tratamiento de datos” hace referencia a otro encargado del tratamiento que se dedique a la prestación de los Servicios.
• (r) “Salvaguardia de transferencia” son las protecciones correspondientes para las Transferencias restringidas según lo exija la Ley de Protección de Datos vigente, lo que abarca, de modo no taxativo, toda salvaguardia apropiada y obligatoria en virtud del el Artículo 46 del RGPD.
• (s) “RGPD del Reino Unido” es el RGPD tal como se anexó a la legislación del Reino Unido en virtud de la Sección 3 de la Ley de (Retirada) del Reino Unido de la Unión Europea de 2018.
• (t) “Cláusulas contractuales estándar del Reino Unido” son las cláusulas estándar de protección de datos adoptadas de vez en cuando por la Oficina de Comisionados de Información del Reino Unido (ICO) de acuerdo con el Artículo 46(2) del RGPD del Reino Unido, que contempla, sin restricciones, el acuerdo internacional de transferencia de datos (IDTA del Reino Unido) y las Cláusulas contractuales estándar de la UE cuyas modificatorias se encuentran en el Anexo de transferencia internacional de datos de la ICO respecto de las Cláusulas contractuales estándar de la Comisión de la UE (”Anexo del Reino Unido”). [1]

1 Consulta https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

Las partes tendrán consideración de la Ley de Protección de Datos vigente tal como se aplica a dichas partes y según lo exigido en este documento. Al prestar los Servicios, el Proveedor deberá cumplir en particular con las disposiciones de la Ley de Protección de Datos vigente en lo que respecta al Tratamiento de datos personales como Encargado del tratamiento.

El Proveedor solo tratará los Datos personales (a) de acuerdo con los términos de este DPA y el Acuerdo; o (b) según otras instrucciones documentadas de Siemens. El proveedor no tratará los Datos personales para sus propios fines ni los transferirá a terceros, a menos que lo permita este DPA. El proveedor informará inmediatamente a Siemens si, según su criterio, una instrucción por parte de Siemens infringe la Ley de Protección de Datos vigente.

Los detalles de las actividades relativas al tratamiento de los datos efectuadas por el Proveedor, en particular, el objeto del tratamiento, la naturaleza y el propósito de dicha actividad de tratamiento, los tipos de datos personales sometidos a tratamiento y las categorías de sujetos de datos afectados, se especifican en Anexo I de este DPA.

Teniendo en cuenta el estado actual, los costos de implementación y la naturaleza, el alcance, el contexto y los propósitos del Tratamiento, así como el riesgo de probabilidad y gravedad variables de los derechos y las libertades de las personas físicas, el Proveedor implementará las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, entre lo que se incluye, según corresponda: (a) la seudonimización y el cifrado de los Datos personales; (b) la posibilidad de garantizar la continua confidencialidad, integridad, disponibilidad y resiliencia de los Sistemas y servicios de tratamiento; (c) la posibilidad de restablecer la disponibilidad y el acceso a los Datos personales de manera oportuna en caso de un incidente físico o técnico; (d) un proceso para probar, evaluar y examinar regularmente la efectividad de las medidas técnicas y organizativas para garantizar la seguridad del Tratamiento. Sin perjuicio de la generalidad de la frase anterior, el Proveedor implementará en todo momento, al menos, las medidas técnicas y organizativas descritas en el Anexo IIde este DPA.

1 Consulta https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

El Proveedor limitará el acceso de su personal a los Datos personales en función de la necesidad de conocerlos. El Proveedor deberá entregar un aviso a su personal en el que se detallen las disposiciones legales y contractuales vigentes con respecto a la protección de datos. El Proveedor hará que su personal cumpla con dichas disposiciones y, en particular, mantenga en secreto los Datos personales y no Someta a tratamiento datos personales salvo que sea de acuerdo con las instrucciones de Siemens. La obligación de secreto continuará aplicándose después del vencimiento de este Acuerdo y de la relación contractual del personal con el Proveedor. El Proveedor proporcionará evidencia de dicha obligación a pedido.

• (a) El proveedor tiene la autorización general de Siemens para la contratación de Subencargados de tratamiento. Una lista actual de Subencargados de tratamiento del Proveedor se encuentra en el Anexo III de este DPA.
• (b) El Proveedor informará específicamente a Siemens por escrito sobre los cambios previstos que se hagan en esa lista mediante la incorporación o el reemplazo de Subencargados de tratamiento con al menos 30 días de anticipación. El Proveedor proporcionará a Siemens la información necesaria para que Siemens pueda ejercer su derecho de objetar. Si Siemens no presenta objeciones dentro de este período de 30 días, entonces esto se tomará como una aprobación del nuevo Subencargado de tratamiento. Si Siemens presenta objeciones, el Proveedor, antes de autorizar al Subencargado de tratamiento a acceder a los Datos personales, hará todos los esfuerzos razonables para abordar las inquietudes y reservas expresadas por Siemens y (i) se abstendrá de usar el Subencargado de tratamiento; o (ii) propondrá a Siemens un cambio razonable en los Servicios o la configuración de Siemens o el uso de los Servicios para evitar el tratamiento de datos personales por parte del nuevo Subencargados de tratamiento objetado. Si el Proveedor no puede eliminar los motivos de la objeción por parte de Siemens, Siemens tiene derecho a rescindir los Servicios afectados sin ningún daño o penalización. En caso de rescisión por parte de Siemens, el Proveedor reembolsará los montos pagados por adelantado para el Servicio correspondiente en forma prorrateada.
• (c) Cuando el Proveedor contrate a un Subencargado de tratamiento para llevar a cabo actividades de tratamiento específicas (en nombre de Siemens o de Entidades autorizadas), lo hará por medio de un contrato escrito que prevea, en esencia, las mismas obligaciones de protección de datos que las que vinculan al Proveedor en virtud de este DPA.
• (d) El Proveedor proporcionará, a petición de Siemens, una copia de dicho contrato de Subencargado de tratamiento y toda modificatoria posterior a Siemens. En la medida necesaria para proteger los secretos comerciales u otra información confidencial, incluidos los datos personales, el Proveedor puede redactar el texto del contrato antes de compartir una copia.
• (e) El Proveedor debe auditar adecuada y regularmente al Subencargado de tratamiento con respecto al cumplimiento de estos requisitos y documentar los resultados de dichas auditorías.
• (f) El Proveedor seguirá siendo totalmente responsable ante Siemens por el cumplimiento de las obligaciones del Subencargado de tratamiento en virtud de su contrato con el Proveedor. El Proveedor informará a Siemens de cualquier incumplimiento por parte del Subencargado de tratamiento de cumplir con sus obligaciones en virtud de ese contrato.

En caso de transferencias restringidas al Proveedor, el Proveedor se asegurará de que dicha Transferencia Restringida esté cubierta por las Salvaguardias de Transferencia adecuadas como se establece en este Sección 9 y Anexo III a este DPA.

• (a) Cláusulas contractuales estándar. Se aplicará lo siguiente si una salvaguardia de transferencia se basa en las Cláusulas Contractuales Estándar:
  • EEE-Proveedores. Si el Proveedor se encuentra dentro del EEE, el Proveedor deberá entrar en las Cláusulas Contractuales Estándar (Módulo 3) con su Subprocesador. Secciones 9 (a) (vii) (“Ley aplicable”), 9 (a) (viii) (“Elección de foro y jurisdicción”), 9 (a) (ix) (b) (“Parte 1 del Anexo del Reino Unido”), y el segunda frase de la Sección 9 (a) (x) (“Entidades autorizadas en otros países”) de este DPA no se aplicará si el Proveedor se encuentra en el EEE.
  • Proveedores no pertenecientes al EEE. Si el Proveedor se encuentra fuera del EEE, la Transferencia Restringida se regirá por los Módulos 2 y 3 de las Cláusulas Contractuales Estándar. Las disposiciones pertinentes contenidas en las Cláusulas Contractuales Estándar se incorporan por referencia y son una parte integral de este DPA. La información requerida para los fines de los Anexos a las Cláusulas Contractuales Estándar se establece en Anexos I a IIIa este DPA.
  • Cláusula de atraque. La opción bajo la Cláusula 7 de las Cláusulas Contractuales Estándar no se aplicará.
  • Transferencias posteriores. Cualquier otra transferencia posterior debe cumplir con las Cláusulas 8 y 9 del Módulo aplicable de las Cláusulas Contractuales Estándar. En caso de que Siemens se encuentre fuera del EEE y actúe como importador de datos bajo las Cláusulas Contractuales Estándar con Entidades Autorizadas, la cláusula beneficiaria de terceros estipulada en la Cláusula 9 (e) de las Cláusulas Contractuales Estándar estará a favor de dicha Entidad Autorizada.
  • Uso de subprocesadores.Se aplicará la opción 2 bajo la Cláusula 9 de las Cláusulas Contractuales Estándar. A los efectos de la Cláusula 9 (a) de las Cláusulas Contractuales Estándar, el Proveedor tiene la autorización general de Siemens para contratar Subprocesadores de acuerdo con Sección 8 de este DPA.
  • Rearcimiento. En caso de que el Proveedor ofrezca a los interesados la opción de presentar una queja ante un organismo independiente de resolución de disputas (consulte la Opción en la Cláusula 11 de las Cláusulas Contractuales Estándar), el Proveedor informará a Siemens del organismo de arbitraje responsable por escrito y cumplirá con los requisitos aplicables contenidos en la Cláusula 11 de las Cláusulas Contractuales Estándar y las reglas de arbitraje aplicables.
  • Ley aplicable. La ley aplicable a los efectos de la Cláusula 17 de las Cláusulas Contractuales Estándar será la ley designada en la sección de la ley aplicable del Acuerdo. Si el Acuerdo no se rige por la ley de un Estado miembro de la UE, las Cláusulas Contractuales Estándar de la UE se regirán por las leyes de Alemania.
  • Elección de foro y jurisdicción. Los tribunales bajo la Cláusula 18 de las Cláusulas Contractuales Estándar serán los designados en la sección del lugar del Acuerdo. Si el Acuerdo no designa a un tribunal de un Estado miembro de la UE como con jurisdicción exclusiva para resolver cualquier disputa o demanda que surja de o en relación con el Acuerdo, las partes acuerdan que los tribunales de Alemania tendrán jurisdicción exclusiva para resolver cualquier disputa que surja de las Cláusulas Contractuales Estándar de la UE.
  • Entidades autorizadas en el Reino Unido. En caso de que las Transferencias Restringidas se originen en Entidades Autorizadas ubicadas en el Reino Unido, se aplicará lo siguiente:
    • Apéndice del Reino Unido. Se utilizará el Anexo del Reino Unido, a menos que Siemens acuerde lo contrario por escrito.
    • Parte 1 del Anexo del Reino Unido. La Parte 1 del Anexo del Reino Unido se aplicará de la siguiente manera:
      1. Tabla 1: Los detalles de las partes y la información clave de contacto están contenidos en Anexo I a este DPA.
      2. Tabla 2: La versión de los SCC aprobados de la UE (tal como se define en el Anexo del Reino Unido) a la que se anexa el Anexo del Reino Unido, son las Cláusulas Contractuales Estándar de la UE con los Módulos y Cláusulas seleccionados anteriormente en Sección 9 (a) de este DPA. Ningún dato personal recibido del importador se combina con los datos personales recopilados por el exportador.
      3. Tabla 3: La información del apéndice según lo requerido por la Tabla 3 del Anexo del Reino Unido está contenida en Anexos I a III a este DPA.
      4. Tabla 4: Ninguna de las partes puede rescindir el Anexo del Reino Unido cuando cambie el Apéndice Aprobado (como se define en el Anexo del Reino Unido).
  • Entidades autorizadas en otros países. En caso de que las Cláusulas Contractuales Estándar protejan las Transferencias Restringidas de Entidades Autorizadas ubicadas fuera del EEE y el Reino Unido (por ejemplo, Suiza), (1) las referencias generales y específicas en las Cláusulas Contractuales Estándar al GDPR o la legislación de la UE o de los Estados miembros tendrán el mismo significado que la referencia equivalente en las Leyes de Protección de Datos Aplicables del país donde se encuentra la Entidad Autorizada, según corresponda; y (2) las referencias a la “autoridad supervisora competente” se interpretarán como referencias a protección de datos competente autoridad en ese país. La ley aplicable, la elección del foro y la jurisdicción se regirán por Secciones 9 (a) (vii) y (viii) de este DPA, a menos que las leyes aplicables a la Entidad Autorizada respectiva exijan lo contrario, en cuyo caso las Cláusulas Contractuales Estándar se regirán por las leyes del país en el que se encuentre la Entidad Autorizada y cualquier referencia a los “tribunales” competentes se interpretará como referencia a tribunales competentes en dicho país.
• Rules corporativas vinculantes del procesador. Lo siguiente se aplicará si una salvaguardia de transferencia se basa en las Rules Corporativas Vinculantes del Procesador: El Proveedor obligará contractualmente a dicho Subprocesador a cumplir con las Rules Corporativas Vinculantes del Procesador con respecto a los Datos Personales Procesados bajo este DPA.
• Salvaguardias adicionales de transferencia. En caso de que una Salvaguardias de Transferencia no se base en Cláusulas Contractuales Estándar, las Cláusulas 14 y 15 de las Cláusulas Contractuales Estándar se aplicarán mutatis-mutandis a las Transferencias Restringidas en virtud de dicha otra Salvaguardia de Transferencia, a menos que la salvaguardia de transferencia respectiva contenga, en sustancia, los mismos derechos y obligaciones con respecto a (i) las leyes y prácticas locales que afectan el cumplimiento de las Salvaguardias de Transferencia, y (ii) las obligaciones en caso de acceso por parte de las autoridades públicas como se encuentran en las Cláusulas 14 y 15 de las Cláusulas Contractuales Estándar.
• Otro. El Proveedor acepta y entiende que la Ley de Protección de Datos aplicable local, puede contener restricciones de transferencia similares o adicionales a las contenidas en este Sección 9. En tal caso, el Proveedor acepta hacer esfuerzos razonables y cooperar con Siemens de buena fe para abordar esos requisitos.

El Proveedor debe ayudar razonablemente a Siemens a garantizar el cumplimiento de la Ley de Protección de Datos vigente, en particular mediante la asistencia a Siemens de la siguiente manera:

• (a) Corrección, eliminación o restricción del tratamiento. El Proveedor deberá (i) proporcionar la capacidad de rectificar, borrar o restringir el tratamiento de datos personales a través de las funcionalidades de los Servicios, o (ii) rectificar, borrar o restringir el tratamiento de datos personales según las instrucciones de Siemens.
• (b) Acceso a los datos personales. En la medida en que la información relacionada con un sujeto de datos no sea accesible a través del Servicio, el Proveedor, según sea necesario para permitir que Siemens y las Entidades autorizadas cumplan con sus obligaciones en virtud de las Leyes de Protección de Datos vigentes, brindará asistencia para poner dicha información a disposición de Siemens o de las Entidades autorizadas.
• (c) Sujeto de datos y solicitudes de autoridad. El Proveedor notificará de inmediato a Siemens sobre: (i) toda solicitud o queja recibida o toda notificación de investigación por parte de una autoridad o agencia de aplicación de la ley, gubernamental o reguladora; y (ii) toda solicitud recibida directamente de cualquier sujeto de datos sobre sus Datos personales. Con respecto a (i) y (ii) anteriores, el Proveedor no responderá sin instrucciones de Siemens. Si así se le indica, el Proveedor apoyará razonablemente a Siemens en la respuesta a dichas solicitudes.
• (d) Portabilidad de datos. A petición de Siemens y si así lo exige la Ley de Protección de Datos vigente, el Proveedor (i) posibilitará la extracción de Datos personales por referencia a un sujeto de datos específico de acuerdo con las funcionalidades del Servicio o (ii) pondrá el conjunto de datos pertinente a disposición de Siemens o de la Entidad autorizada respectiva, en cada caso en un formato estructurado, de uso común y legible a máquina.
• (e) Evaluaciones de impacto de protección de datos. Si Siemens lo solicita, el Proveedor proporcionará toda la información y apoyo razonable para llevar a cabo evaluaciones de impacto de protección de datos en virtud de las Leyes de Protección de Datos vigentes.

Al finalizar la relación de tratamiento de datos, a menos que Siemens indique lo contrario o se establezca en este documento, el Proveedor devolverá a Siemens todos los Datos personales puestos a disposición del Proveedor u obtenidos o generados por el Proveedor en relación con los Servicios acordados contractualmente y eliminará o destruirá irrevocablemente cualquier dato restante. La eliminación o destrucción será confirmada por el Proveedor por escrito según se solicite.

• (a) El Proveedor dará aviso a Siemens inmediatamente, pero en cualquier situación dentro de las 48 horas en caso de que el Proveedor descubra o sospeche razonablemente alguna Violación de los datos.
• (b) En el aviso a Siemens, el Proveedor proporcionará a Siemens la siguiente información: (i) detalles de un punto de contacto donde (o de quien) se pueda obtener más información, (ii) una descripción de la naturaleza de la violación (incluido, cuando sea posible, nombres, categorías y número aproximado de sujetos de datos y registros de datos personales en cuestión), (iii) las posibles consecuencias y las medidas tomadas o propuestas para abordar la violación, incluidas, cuando corresponda, las medidas para mitigar posibles efectos adversos. Si y en la medida en que no sea posible brindar toda la información al mismo tiempo, el aviso inicial contendrá la información disponible en ese momento y, a medida que esté disponible, se irá proporcionando la información posteriormente sin demora indebida.
• (c) Cualquier aviso en virtud de esta Sección 12 se llevará a cabo (i) al punto de contacto respectivo identificado en el Acuerdo y (ii) a dataprotection@siemens.com.
• (d) El Proveedor deberá, a costa del Proveedor, (i) cooperar plenamente con Siemens en la investigación de una violación de datos; (ii) ayudar y cooperar con Siemens en relación con cualquier aviso o divulgación legalmente requeridos a las personas afectadas (por comunicación particular, comunicación pública a través de los medios de comunicación o por medidas similares), autoridades policiales, reguladores u otros terceros; y (iii) tomar cualquier otra acción que Siemens considere necesaria con respecto a dicha violación de datos, y cualquier disputa, investigación o reclamación que se refiera a la Violación de datos.
• (e) A menos que la ley vigente o una orden de un regulador competente exija lo contrario, Siemens tomará la determinación final, a su exclusivo criterio, (i) si una Violación de datos requiere aviso y (ii) la forma del aviso. En el caso de que el Proveedor envíe tales avisos con respecto a una Violación de datos, dichos avisos deben ser aprobados, por adelantado, por Siemens.
• (f) El proveedor tomará, a su costo, las medidas correspondientes para encarar la Violación de datos, incluidas las medidas para mitigar sus efectos adversos (incluidas las medidas para proteger el entorno operativo). El Proveedor también tomará medidas inmediatas diseñadas para evitar la recurrencia de cualquier Violación de datos, incluida cualquier acción requerida por la Ley de Protección de Datos vigente.
• (g) El Proveedor reembolsará a Siemens todos los costos y gastos incurridos por dicha Violación de datos causada por el Proveedor, incluidos, entre otros, los costos de proporcionar monitoreo de crédito a las personas cuyos Datos personales se vieron afectados por la Violación de datos. Las limitaciones de responsabilidad a favor del Proveedor en virtud del Acuerdo no se aplicarán a este respecto.

• (a) El Proveedor (i) supervisará, por medios idóneos, el propio cumplimiento de sus obligaciones de protección de datos en virtud de este DPA y la Ley de Protección de Datos vigente; (ii) creará informes periódicos relacionados (al menos anuales) y basados en la ocasión (cada uno un “Informe”); y (iii) pondrá los Informes a disposición de Siemens y Entidades autorizadas si así lo solicitan. Cuando una norma y marco de control implementado por el Proveedor prevea controles, dichos controles se realizarán de acuerdo con la normativa y las reglas del organismo regulador o de acreditación para cada norma o marco de control vigente.
• (b) Si se requiere abordar adecuadamente sus derechos y obligaciones de auditoría de conformidad con la Ley de Protección de Datos vigente, las Salvaguardias de transferencia correspondientes o, si así lo solicita una autoridad competente de protección de datos u otra autoridad, u organismo gubernamental competente, el Proveedor pondrá a disposición de Siemens y de las Entidades autorizadas, además de los Informes, toda la información adicional razonablemente solicitada; asimismo permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por Siemens o Entidades autorizadas u otro auditor indicado por Siemens o Entidades autorizadas. Para tal fin, Siemens, las Entidades autorizadas u otro auditor indicado por Siemens o Entidades autorizadas también tendrán derecho a realizar inspecciones in situ durante el horario comercial regular, sin interrumpir las operaciones comerciales del Proveedor y después de un aviso previo razonable.

Si el Servicio hace uso de cookies o tecnologías similares, se aplicará lo siguiente: el Proveedor deberá, a menos que Siemens acuerde específicamente lo contrario con referencia a esta Sección 14, solo almacenar información (por ejemplo, escribir una cookie) u obtener acceso a información ya almacenada en el equipo terminal de un usuario del Servicio (p. ej., a través de una cookie) con el único propósito de llevar a cabo la transmisión de una comunicación a través de una red de comunicaciones electrónicas o, según sea estrictamente necesario, para que el Proveedor ofrezca las funcionalidades principales de los Servicios.

El Proveedor entiende y acepta que los requisitos de este DPA son una parte integral del Acuerdo y un incumplimiento sustancial de cualquiera de estos requisitos se considerará un incumplimiento sustancial por parte del Proveedor del Acuerdo, lo que da derecho a Siemens a hacer uso de los recursos relacionados con el incumplimiento sustancial contenidos en el Acuerdo.

Si y en la medida en que el Proveedor acceda a los Datos personales recibidos de una compañía del Grupo Siemens establecida en los Estados Unidos de América (”Compañía Siemens US”) o de un sujeto de datos que sea residente de los Estados Unidos de América, entonces además de lo anterior, el Proveedor: (i) cumplirá con las leyes federales, estatales y locales en vigor en los Estados Unidos con respecto a los Datos personales que sean que se apliquen al Proveedor, a dichos Datos Personales y a los titulares o encargados del tratamiento de dichos Datos personales; cuando lo anterior corresponda, el término “Ley de Protección de Datos Vigente” tal como se usa en el presente documento incluirá las leyes anteriores; (ii) excepto lo dispuesto específicamente en el presente documento o el Acuerdo, no venderá, compartirá, alquilará, divulgará, publicará, difundirá ni pondrá a disposición Datos personales a terceros; y tampoco combinará los Datos personales con otra información; (iii) notificará a Siemens si el Proveedor determina que el Proveedor ya no puede cumplir con sus obligaciones en virtud del presente documento; (iv) se asegurará de que cada persona que someta los Datos personales a tratamiento esté sujeta a un deber de confidencialidad con respecto a los Datos personales; (v) se considerará, y actuará como, un “proveedor de servicios” conforme a la Ley de Protección de Datos Vigente (incluida la Ley de Privacidad del Consumidor de California), sus reglamentos de aplicación y toda modificatoria de estos); y (vii) por el presente documento certifica que entiende las restricciones contenidas aquí y que las cumplirá.

Anexo I del DPA (y, cuando corresponda, las Cláusulas contractuales tipo)

A. LISTA DE PARTES

Destinatario de los servicios/exportador de datos:

Proveedor/importador de datos:

B.DESCRIPCIÓN DE LAS OPERACIONES DE TRANSFERENCIA/TRATAMIENTO

C. AUTORIDAD SUPERVISORA COMPETENTE

Si Siemens tenga sede en un Estado Miembro de la UE, la autoridad supervisora responsable de garantizar el cumplimiento por parte de Siemens del RGPD en lo que respecta a la transferencia de datos actuará como autoridad supervisora competente. Para Siemens Aktiengesellschaft, Alemania, la autoridad supervisora es:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18

91522 Ansbach

Alemania

En caso de que Siemens no tenga sede en un Estado Miembro de la UE, pero se encuentre dentro del ámbito territorial de aplicación del RGPD de conformidad con su artículo 3(2), la autoridad supervisora del Estado Miembro en el que esté establecido el representante en el sentido del artículo 27(1) del RGPD actuará como autoridad supervisora competente; a saber:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18

91522 Ansbach

Alemania

Anexo II del DPA (y, cuando corresponda, las Cláusulas contractuales tipo)

Medidas técnicas y organizativas (incluidas medidas técnicas y organizativas para garantizar la Seguridad de los datos)

Las siguientes medidas solo se aplicarán al Proveedor, en la medida en que los sistemas, redes y aplicaciones de TI subyacentes sean responsabilidad o estén bajo la custodia o el control del Proveedor. Descripción de las medidas de seguridad técnicas y organizativas implementadas por el Proveedor y sus Subencargados del tratamiento de datos:

Anexo III del DPA (y, cuando corresponda, las Cláusulas contractuales tipo)

LISTA DE SUBENCARGADOS DEL TRATAMIENTO Y UBICACIONES DE LOS CENTROS DE DATOS

En el “Formulario de autorización del socio”, se definen las

Entidades (incluido el Socio y los subencargados de tratamiento de datos) que participan del almacenamiento o el alojamiento de los datos personales,

Ubicaciones de centro de datos vigentes,

Los Subencargados que participan en el tratamiento de datos personales para fines distintos del almacenamiento o el alojamiento,

que se incorporan en el presente por medio de esta referencia.

El proveedor no transferirá Datos personales de la Ubicación del centro de datos respectiva sin el consentimiento de Siemens. El aviso y el mecanismo de denegación que se describen en la Sección 8 no aplicará en este sentido.