Apéndice sobre tratamiento de datos (APD)

Fecha de entrada en vigor: 1 de enero de 2026

El presente apéndice sobre tratamiento de datos (“APD”) forma parte del acuerdo entre Aceptar misión B.V. (“Aceptar misión”, “Procesador”) y la entidad cliente que se suscribe al Aceptar misión (“Cliente”, “Responsable del tratamiento”). La presente DPA se aplica en la medida en que Aceptar misión procesa Datos Personales en nombre del Cliente en relación con la Aceptar misión y servicios relacionados (el “Servicio”).

Si acepta esta DPA en nombre de una organización, confirma que tiene autoridad para vincular a dicha organización.

1) Definiciones #

A efectos del presente APD:

• Por Ley de Protección de Datos Aplicable se entiende el GDPR y cualquier legislación aplicable de los Estados miembros de la UE y, cuando proceda, el GDPR del Reino Unido y la Ley de Protección de Datos del Reino Unido de 2018, así como la ley suiza de protección de datos.
• Por Datos Personales del Cliente se entienden los Datos Personales contenidos en los Datos del Cliente que Aceptar misión procesa en nombre del Cliente como parte de la prestación del Servicio.
• Por Datos del cliente se entienden los datos, contenidos, archivos y materiales enviados al Servicio por el Cliente o los Usuarios autorizados.
• Por Usuarios Autorizados se entiende las personas a las que el Cliente permite utilizar el Servicio con su cuenta.
• Subprocesador: un tercero contratado por Aceptar misión procesar los Datos Personales del Cliente para apoyar la prestación del servicio.
• Por Incidente de Seguridad se entiende la destrucción, pérdida, alteración, divulgación no autorizada o acceso a los Datos Personales del Cliente confirmados, ya sean accidentales o ilícitos.
• Cláusulas Contractuales Tipo o CEC: las cláusulas contractuales tipo aprobadas por la Comisión Europea para las transferencias internacionales.

2) Ámbito, funciones y responsabilidades #

2.1 El cliente como controlador #

El Cliente es el Controlador de los Datos Personales del Cliente. El Cliente determina los fines y medios del tratamiento, incluyendo qué Datos del Cliente se envían, quién tiene acceso y cómo se utilizan los Datos del Cliente dentro de la organización del Cliente.

2.2 Aceptar misión como Procesador #

Aceptar misión procesa los Datos Personales del Cliente únicamente como Procesador y sólo para proporcionar y asegurar el Servicio, de acuerdo con las instrucciones documentadas del Cliente y esta DPA.

3) Orden de precedencia #

En caso de conflicto entre documentos, se aplicará el orden siguiente, salvo que se indique explícitamente lo contrario en una Orden de Pedido:

1. Hoja de pedido o acuerdo comercial firmado
2. Esta DPA (para el tratamiento de los datos personales de los clientes)
3. Condiciones de SaaS o Acuerdo con el cliente
4. Condiciones aplicables del programa (API, beta, pilotos) si se han acordado explícitamente para ese programa.

4) Instrucciones de tratamiento #

4.1 Instrucciones documentadas #

Aceptar misión procesará los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluidas las necesarias para proporcionar el Servicio y la asistencia relacionada solicitada por el Cliente, a menos que el procesamiento sea exigido por la legislación aplicable. Cuando la ley lo permita, Aceptar misión informará al Cliente de dicho requisito legal antes del tratamiento.

4.2 Naturaleza y finalidad del tratamiento #

El procesamiento se lleva a cabo para prestar el Servicio, incluido el alojamiento, almacenamiento, transmisión, protección y puesta a disposición de los Datos del cliente para funciones de colaboración y flujo de trabajo.

5) Confidencialidad #

Aceptar misión garantiza que las personas autorizadas a tratar los Datos Personales de los Clientes están sujetas a obligaciones de confidencialidad y reciben instrucciones adecuadas a su función. El acceso se limita a quienes lo necesitan para prestar el Servicio, siguiendo los principios de privilegio mínimo y necesidad de conocer.

6) Seguridad del tratamiento #

Aceptar misión aplica medidas técnicas y organizativas adecuadas diseñadas para proteger los Datos Personales de los Clientes de conformidad con el artículo 32 del GDPR. Estas medidas se describen a alto nivel en el apéndice C.

7) Subprocesadores #

7.1 Autorización para utilizar subprocesadores #

El cliente da su autorización general para Aceptar misión contratar subprocesadores para apoyar la prestación de servicios. Aceptar misión garantiza que los Subprocesadores están sujetos a obligaciones no menos protectoras que las del presente APD.

7.2 Lista de subprocesadores y actualizaciones #

Las categorías de Subprocesadores y la lista actual utilizada para la prestación de servicios se describen en el Apéndice B.

Aceptar misión puede actualizar los subprocesadores. Si se añade un nuevo subprocesador o se sustituye un subprocesador, Aceptar misión avisará con antelación al Cliente cuando así lo exija la ley.

7.3 Objeciones #

Si el Cliente se opone razonablemente a un nuevo Subencargado del tratamiento por motivos de protección de datos, podrá notificarlo a Aceptar misión dentro del plazo de notificación. Las partes trabajarán de buena fe para resolver la objeción. Si no se Solución está disponible y el cambio es materialmente necesario para prestar el Servicio, cualquiera de las partes podrá rescindir la suscripción afectada sin penalización por el periodo de prepago no utilizado.

8) Asistencia al cliente #

Teniendo en cuenta la naturaleza del tratamiento, Aceptar misión proporcionará asistencia razonable al Cliente con:

• Responder a las solicitudes de los interesados relativas a los Datos Personales del Cliente, cuando el Cliente no pueda responder utilizando los controles del Servicio.
• Seguridad, notificaciones de infracciones y Riesgo evaluaciones pertinentes para el uso del Servicio por parte del Cliente.
• DPIA y consultas con las autoridades de supervisión, en la medida en que sean pertinentes para el Servicio y la información disponible para Aceptar misión.

El cliente sigue siendo responsable de responder a los interesados y a las autoridades de control como Responsable del tratamiento.

9) Notificación de incidentes de seguridad #

Aceptar misión notificará al Cliente sin demora indebida tras confirmar un Incidente de Seguridad que afecte a los Datos Personales del Cliente. Siempre que sea posible, la notificación se realizará en un plazo de 48 horas tras la confirmación.

La notificación incluirá la información disponible que respalde las obligaciones del Cliente, como por ejemplo

• Descripción del incidente y posibles repercusiones
• Categorías de datos implicados (si se conocen)
• Medidas adoptadas o previstas para hacer frente al incidente
• Acciones recomendadas al cliente (si procede)

10) Supresión o devolución de los Datos Personales del Cliente #

A la terminación o expiración del Servicio, y a petición del Cliente cuando esté disponible:

• El Cliente puede exportar los Datos del Cliente utilizando las herramientas de exportación disponibles.
• Aceptar misión eliminará o devolverá los Datos Personales del Cliente de acuerdo con las instrucciones del Cliente, con sujeción a la legislación aplicable y a ciclos razonables de conservación de copias de seguridad.

11) Auditorías e información sobre el cumplimiento #

Aceptar misión pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento del presente APD. El Cliente podrá solicitar una revisión de seguridad o cumplimiento una vez al año, a menos que se produzca un Incidente de Seguridad, en cuyo caso el Cliente podrá solicitar información adicional pertinente al incidente.

Las auditorías in situ están sujetas a un alcance, un calendario, unas salvaguardias de confidencialidad y una asignación de costes razonables, y no deben perturbar de forma injustificada la actividad de la Comisión. Aceptar misión operaciones.

12) Transferencias internacionales #

12.1 Lugar de tratamiento primario #

Los Datos Personales del Cliente se alojan y procesan principalmente en el Espacio Económico Europeo, con alojamiento estándar en Europa Occidental, a menos que el Cliente seleccione una región alternativa cuando esté disponible en virtud de un acuerdo de empresa.

12.2 Transferencias fuera de la UE o del EEE #

Si los Datos Personales del Cliente se transfieren fuera de la UE o del EEE, Aceptar misión garantizará un mecanismo de transferencia adecuado con arreglo a la legislación aplicable en materia de protección de datos, como por ejemplo

• SCC, más medidas complementarias en caso necesario
• Para las transferencias al Reino Unido, el Anexo de Transferencia Internacional de Datos del Reino Unido u otro mecanismo británico válido.
• Para las transferencias suizas, los mecanismos aplicables reconocidos en Suiza

13) Responsabilidad #

Cada parte es responsable de su propio cumplimiento de la legislación aplicable en materia de protección de datos. La responsabilidad relacionada con este APD sigue las disposiciones de limitación de responsabilidad del acuerdo comercial que lo rige, a menos que la ley obligatoria exija otra cosa.

14) Plazo #

El presente APD estará en vigor mientras Aceptar misión procesa los Datos Personales del Cliente en nombre del Cliente.