Anexo de Protección de Datos

Fecha de vigencia:

El presente Anexo de Protección de Datos (el presente "Anexo") constituye un acuerdo legalmente vinculante entre usted y Powertokens.ai (la "Empresa", "nosotros" o "nuestro"), que regula el procesamiento, acceso y uso de datos personales en relación con su uso del sitio web, la plataforma, la documentación y los servicios relacionados (colectivamente, los "Servicios").

Al crear una cuenta, acceder a los Servicios, comprar créditos, generar o enrutar solicitudes a través de la plataforma, o utilizar los Servicios de cualquier otra forma, usted acepta los términos del presente Anexo. Si no está de acuerdo, no podrá acceder ni utilizar los Servicios.

Los términos utilizados en el presente Anexo de Datos tendrán el significado establecido en el mismo. Salvo que se complemente o modifique a continuación, los términos del Acuerdo de Usuario permanecerán en pleno vigor y efecto.

1. Definiciones

1.1

"Legislación de Protección de Datos Aplicable" significa cualquier ley, reglamento u otro instrumento vinculante relativo al procesamiento de datos personales que se aplique al Exportador de Datos (y a cualquier otro controlador de datos relevante) en cada momento, incluidos, entre otros: la Ley de Protección de Datos Personales de Singapur de 2012 (PDPA); el Reglamento General de Protección de Datos de la UE (UE 2016/679) (el "RGPD de la UE"); la versión del RGPD de la UE incorporada a las leyes de Inglaterra y Gales, Escocia e Irlanda del Norte mediante la Ley de Retirada de la Unión Europea de 2018 (el "RGPD del Reino Unido"); la Ley Federal Suiza de Protección de Datos ("FADP"); las leyes y reglamentos federales y/o estatales de protección de datos o privacidad de EE. UU., incluidas, entre otras, la Ley de Derechos de Privacidad de California de 2020, la Ley de Privacidad del Consumidor de California de 2018 (junto con sus reglamentos de aplicación, la "CPRA"), y cualquier otra ley y reglamento relativo al procesamiento de datos personales.

1.2

"Controlador de Datos" generalmente significa la entidad que, sola o conjuntamente con otras, determina los fines y medios del procesamiento de datos personales. En la medida en que el procesamiento de datos personales en virtud del presente Anexo esté sujeto a la Legislación de Protección de Datos Aplicable, tendrá el mismo significado que el término similar definido en dicha legislación.

1.3

"Exportador de Datos" significa el controlador o procesador de datos que transfiere datos personales a través de fronteras de conformidad con el presente Anexo.

1.4

"Importador de Datos" significa el procesador de datos ubicado en un país diferente al del Exportador de Datos.

1.5

"Interesado" o "Titular de los Datos" significa cualquier persona física cuyos datos personales puedan ser procesados de conformidad con el presente Anexo.

1.6

"Datos Personales" generalmente significa cualquier información relativa a una persona física identificada o identificable que se procese en el curso de la prestación de los Servicios. En la medida en que el procesamiento de datos personales en virtud del presente Anexo esté sujeto a la Legislación de Protección de Datos Aplicable, tendrá el mismo significado que el término similar definido en dicha legislación.

1.7

"Procesar", "Procesado" o "Procesamiento" significa cualquier operación o conjunto de operaciones realizadas sobre datos personales o sobre conjuntos de datos personales, ya sea por medios automatizados o no, tales como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, recuperación, consulta, utilización, divulgación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción de datos personales. A los efectos del presente Anexo, las actividades de procesamiento se llevan a cabo de manera transfronteriza y, por lo tanto, incluyen transferencias transfronterizas, es decir, la transferencia de datos personales por parte del Exportador de Datos al Importador de Datos ubicado en un país o región diferente, o la autorización por parte del Exportador de Datos al Importador de Datos ubicado en un país o región diferente para procesar datos personales.

1.8

"Procesador de Datos" generalmente significa la entidad que procesa datos personales por cuenta del Controlador de Datos. En la medida en que el procesamiento de datos personales en virtud del presente Anexo esté sujeto a la Legislación de Protección de Datos Aplicable, tendrá el mismo significado que el término similar definido en dicha legislación.

1.9

"Subprocesador" significa cualquier tercero contratado por el Procesador de Datos para procesar datos personales por cuenta del Controlador de Datos.

1.10

"Servicios" significa los servicios u ofertas de productos según se definen en el Acuerdo de Usuario.

1.11

"Violación de Datos Personales" significa una violación de seguridad que conlleve la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado a datos personales, de forma accidental o ilícita.

2. Fecha de Entrada en Vigor

2.1

El presente Anexo entrará en vigor en la misma fecha de entrada en vigor que el Acuerdo de Usuario y tendrá la misma duración.

3. Actividades y Funciones del Procesamiento

3.1

Usted acepta que, salvo que se permita lo contrario en virtud del presente Anexo, el procesamiento de datos personales se llevará a cabo de conformidad con la Sección 4.1 y, cuando corresponda, otras descripciones de actividades de procesamiento establecidas en el "Anexo I – Disposiciones Jurisdiccionales Específicas".

3.2

Usted acepta que, a los efectos de la prestación de los Servicios,

(i)

usted actúa como Controlador de Datos y por la presente acepta que PowerTokens y los Proveedores de Modelos actúen como Procesadores de Datos y que los datos personales se transferirán a través de fronteras para su procesamiento; y

(ii)

usted actúa como Procesador de Datos y por la presente acepta que PowerTokens y los Proveedores de Modelos actúen como Procesadores Posteriores (Subprocesadores) y que los datos personales se transferirán a través de fronteras para su procesamiento.

4. Obligaciones de las Partes

El Procesador de Datos, en su calidad de Importador de Datos, deberá:

(a)

Procesar datos personales únicamente con el fin de prestarle los Servicios, incluidos, entre otros, la prestación de servicios, el soporte operativo, la resolución de problemas, el análisis de datos, la generación de informes y otras funciones empresariales solicitadas expresamente por usted. El Procesador de Datos procesará los datos personales estrictamente de acuerdo con sus instrucciones por escrito durante todo el período de vigencia de los Servicios. A menos que el Procesador de Datos reciba instrucciones adicionales por escrito de su parte, no procesará datos personales más allá de los fines establecidos anteriormente. Si el Procesador de Datos considera razonablemente que alguna de sus instrucciones puede entrar en conflicto con la Legislación de Protección de Datos Aplicable, se lo notificará de inmediato. En tal caso, usted deberá proporcionar instrucciones modificadas o complementarias que cumplan con la Legislación de Protección de Datos Aplicable.

(b)

Si la Legislación de Protección de Datos Aplicable, una orden judicial, citación u otro procedimiento legal o judicial requiere que el Procesador de Datos procese datos personales de manera incompatible con sus instrucciones, informarle de dicho requisito legal antes de dicho procesamiento, a menos que la legislación aplicable obligatoria (particularmente por motivos de interés público sustancial) prohíba dicha notificación.

(c)

Realizar esfuerzos comercialmente razonables para cumplir con la Legislación de Protección de Datos Aplicable en relación con las transferencias transfronterizas de datos personales.

(d)

Garantizar que las personas autorizadas para procesar datos personales se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.

(e)

En caso de una Violación de Datos Personales que afecte a datos personales procesados por el Procesador de Datos en virtud del presente Anexo, adoptar las medidas adecuadas para hacer frente a dicha violación y notificárselo sin demora indebida tras tener conocimiento de la violación y de su impacto adverso en la seguridad de los datos personales recibidos de usted, a menos que el acceso o procesamiento de sus datos personales se realice de acuerdo con sus instrucciones.

(f)

Al término del presente Anexo por cualquier motivo, cesar el procesamiento de datos personales y, previa solicitud por escrito suya,

(i)

devolver o permitir la devolución de los datos personales en su posesión o control, o

(ii)

eliminar de forma segura o hacer permanentemente ilegibles o inaccesibles las copias existentes de los datos personales; a menos que la Legislación de Protección de Datos Aplicable y/o la legislación aplicable obligatoria requiera o permita la conservación y el procesamiento continuados.

Usted, en su calidad de Exportador de Datos, deberá:

(a)

Cumplir con la Legislación de Protección de Datos Aplicable al utilizar los Servicios, lo que incluye garantizar que la recopilación, el almacenamiento y la transferencia transfronteriza de sus datos personales cumplan con la Legislación de Protección de Datos Aplicable y, en particular, que haya obtenido los consentimientos/autorizaciones necesarios y que, de cualquier otro modo, disponga de una base legal que permita al Procesador de Datos llevar a cabo el procesamiento de datos personales en virtud del presente Anexo.

(b)

Garantizar que la Legislación de Protección de Datos Aplicable, en particular las normas relativas a las transferencias transfronterizas de datos personales, no impida al Procesador de Datos cumplir con el presente Anexo y ejecutar sus instrucciones.

(c)

Si actúa como Procesador de Datos, deberá informar a PowerTokens por escrito de que actúa como Procesador de Datos de acuerdo con las instrucciones de su Controlador de Datos, y deberá proporcionar dichas instrucciones a PowerTokens antes del procesamiento. Dado que tiene una relación directa con su Controlador de Datos, será responsable de transmitir toda la información, asistencia y notificaciones al Controlador de Datos para que cumpla con sus obligaciones en virtud de la Legislación de Protección de Datos Aplicable y los detalles del procesamiento de datos personales en virtud del presente Anexo, así como de reenviar a PowerTokens todas las instrucciones del Controlador de Datos relativas al procesamiento de datos personales en virtud del presente Anexo. Deberá garantizar que sus instrucciones adicionales no entren en conflicto con las instrucciones de su Controlador de Datos.

5. Subprocesamiento – Aplicable a los Proveedores de Modelos

5.1

Por la presente, usted otorga a los Proveedores de Modelos una autorización general para contratar Subprocesadores con el fin de prestarle los Servicios, lo que puede implicar transferencias posteriores de datos personales.

5.2

Los Proveedores de Modelos mantendrán una lista actualizada de todos los Subprocesadores, que estará disponible en la "página web de Subprocesadores" de los Proveedores de Modelos. Si un Proveedor de Modelos designa a un Subprocesador, el Proveedor de Modelos garantizará que se celebre un acuerdo por escrito con dicho Subprocesador que contenga disposiciones de protección de datos que ofrezcan un nivel de protección al menos equivalente a las disposiciones del presente Anexo. El Proveedor de Modelos le notificará cualquier nuevo nombramiento de Subprocesador mediante la actualización de la página web de Subprocesadores. Si no presenta una objeción por escrito (basada en motivos razonables relacionados con la protección de datos personales) en un plazo de siete (7) días a partir de dicha actualización, se considerará que ha consentido dicho nombramiento.

5.3

Si utiliza los servicios de modelos de un Proveedor de Modelos y dicho Proveedor de Modelos proporciona una lista de Subprocesadores, se aplicarán las disposiciones de la presente Sección. Para mayor claridad, no todos los Proveedores de Modelos proporcionan una lista de Subprocesadores; la cuestión de si el Proveedor de Modelos involucrado en su uso proporciona una lista de Subprocesadores se regirá por los términos del sitio web oficial de dicho Proveedor de Modelos; deberá consultar dichos términos antes de su uso. Por lo tanto, independientemente de si los Proveedores de Modelos han adoptado medidas razonables para garantizar que los Subprocesadores cumplan con el presente Anexo, PowerTokens no será responsable de ningún acto u omisión de los Proveedores de Modelos ni de los Subprocesadores.

6. Solicitudes de los Interesados

6.1

Si el Procesador de Datos recibe directamente una solicitud de un Interesado o de cualquier persona que actúe en su nombre para ejercer derechos en virtud de la Legislación de Protección de Datos Aplicable (una "Solicitud del Interesado"), y el Procesador de Datos puede identificar razonablemente dicha solicitud como relacionada con usted y/o sus datos personales en función de la información proporcionada, el Procesador de Datos deberá:

(i)

notificarle de inmediato dicha solicitud;

(ii)

no responder por sí mismo a dicha solicitud, a menos que esté autorizado por el Controlador de Datos o así lo exija la Legislación de Protección de Datos Aplicable; si así lo exige la ley, el Procesador de Datos, en la medida permitida por la Legislación de Protección de Datos Aplicable, le informará de dicho requisito legal antes de responder a dicha solicitud.

6.2

Para evitar cualquier duda, PowerTokens y los Proveedores de Modelos, en su calidad de Procesadores de Datos o Subprocesadores, no serán responsables de responder a las Solicitudes de los Interesados. Los Servicios prestados por el Procesador de Datos pueden contener medidas técnicas y organizativas diseñadas, teniendo en cuenta la naturaleza del procesamiento, para ayudarle a cumplir con su obligación de responder a las Solicitudes de los Interesados en la medida de lo posible. Usted reconoce y acepta que es el único responsable de verificar la validez de cualquier Solicitud del Interesado y de dar las instrucciones correspondientes al Procesador de Datos.

6.3

Para evitar cualquier duda, nada de lo dispuesto en el presente Anexo renuncia o altera los derechos que los Interesados puedan tener en virtud de la Legislación de Protección de Datos Aplicable.

7. Seguridad

7.1

Las Partes acuerdan que, durante el procesamiento de datos personales (incluidas las transferencias transfronterizas y las transferencias posteriores), se adoptarán las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales en virtud del presente Anexo.

7.2

El Procesador de Datos no tiene obligación de evaluar el contenido o la exactitud de los datos personales, incluida la identificación de información sujeta a requisitos legales, reglamentarios o de otro tipo particulares, salvo que se acuerde lo contrario en el presente Anexo y sus Anexos. Usted es el único responsable de determinar de forma independiente si su uso de los Servicios cumplirá con sus requisitos y sus obligaciones legales en virtud de la Legislación de Protección de Datos Aplicable.

8. Asistencia y Notificación

8.1

Si usted solicita razonablemente asistencia a PowerTokens (ya sea en nombre propio o en nombre de su Controlador de Datos) con el fin de cumplir con sus obligaciones legales en virtud de la Legislación de Protección de Datos Aplicable, o para responder a solicitudes de autoridades reguladoras, Interesados u otras partes de información relativa al procesamiento de datos personales por parte de PowerTokens, y PowerTokens o sus representantes están en condiciones de proporcionar dicha asistencia, PowerTokens la proporcionará, a menos que la Legislación de Protección de Datos Aplicable se lo prohíba. PowerTokens se reserva el derecho a cobrarle una tarifa razonable por dicha asistencia solicitada.

8.2

Toda la información proporcionada con el fin de prestar asistencia en virtud de la Sección 8.1 será información confidencial de PowerTokens y no se divulgará sin el consentimiento previo por escrito de PowerTokens, a menos que la legislación aplicable obligatoria lo exija.

8.3

Ninguna notificación o respuesta en virtud de la Sección 4.1(e) se considerará un reconocimiento de culpa o responsabilidad por parte del Procesador de Datos o Subprocesador con respecto a la prestación de los Servicios.

Las Partes acuerdan que: cualquier notificación, instrucción, documento u otra comunicación relacionada con el presente Anexo será inválida a menos que cumpla las siguientes condiciones:

(a)

Por escrito;

(b)

En inglés o acompañada de una traducción al inglés (en caso de conflicto, prevalecerá la traducción al inglés);

(c)

Entregada o enviada por [correo, servicio de mensajería, fax, comunicación electrónica] o cualquier otro medio capaz de transmitir comunicaciones escritas de forma legible y permanente.

9. Responsabilidad

9.1

Usted será responsable frente a PowerTokens por los daños y perjuicios derivados de un incumplimiento del presente Anexo. En ningún caso PowerTokens será responsable de ningún daño indirecto, especial, incidental o consecuente derivado de todas las Violaciones de Datos Personales y de cualquier incumplimiento del presente Anexo, incluidos, entre otros, la pérdida de negocio o el daño reputacional.

9.2

Salvo en la medida en que la responsabilidad no pueda limitarse o excluirse en virtud de la legislación aplicable obligatoria, la responsabilidad total agregada de PowerTokens por todas las Violaciones de Datos Personales y cualquier incumplimiento del presente Anexo (ya sea por contrato, falsedad, negligencia, responsabilidad objetiva o cualquier otra teoría legal) no excederá de 10.000 USD.

9.3

Además, salvo en caso de dolo o negligencia grave, la responsabilidad total agregada de PowerTokens por todas las reclamaciones que surjan del presente Anexo tendrá un límite máximo de 50.000 USD.

10. Legislación Aplicable y Jurisdicción

10.1

Usted acepta irrevocablemente que cualquier reclamación, disputa o controversia que surja de o en relación con el presente Anexo o cualquier Formulario de Pedido (una "Disputa"), incluidas las disputas relativas a la existencia, formación, validez, interpretación, cumplimiento o terminación del presente Anexo o cualquier Formulario de Pedido o las consecuencias de su nulidad, así como cualquier derecho u obligación extracontractual que surja de, en relación con, o que tenga algún vínculo con el presente Anexo o cualquier Formulario de Pedido, se someterá y resolverá definitivamente mediante arbitraje administrado por el Centro de Arbitraje Internacional de Singapur (SIAC) de conformidad con el Reglamento de Arbitraje del Centro de Arbitraje Internacional de Singapur vigente en ese momento, cuyas reglas se consideran incorporadas por referencia a la presente Sección 10. La sede del arbitraje será Singapur. El tribunal arbitral estará compuesto por tres (3) árbitros. Cada parte nombrará a un (1) árbitro, y los dos árbitros nombrados por las partes nombrarán conjuntamente al tercer (3.er) árbitro, que actuará como árbitro presidente. Si alguna de las partes no nombra a su árbitro, o si los árbitros nombrados por las partes no llegan a un acuerdo sobre el árbitro presidente en un plazo de catorce (14) días, dichos nombramientos serán realizados por el Presidente del SIAC. El idioma del arbitraje será el inglés.

Anexo I – Disposiciones Jurisdiccionales Específicas

En función de la Legislación de Protección de Datos Aplicable que pueda regir la transferencia transfronteriza de datos personales entre las Partes, se aplicarán determinadas disposiciones jurisdiccionales específicas. En caso de laguna en el presente Anexo, o de cualquier inconsistencia entre las disposiciones jurisdiccionales específicas aplicables y el presente Anexo, prevalecerán las disposiciones jurisdiccionales específicas aplicables.

Espacio Económico Europeo (el "EEE"), Suiza o el Reino Unido

Cuando los datos personales originarios del EEE, Suiza o el Reino Unido se transfieran a una jurisdicción que no haya sido reconocida por ofrecer un nivel adecuado de protección de datos, las Partes acuerdan que dicha transferencia se regirá por las Cláusulas Contractuales Tipo de conformidad con la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (las "CCT"). En las CCT, se aplicará específicamente lo siguiente:

(a)

Cuando usted actúe como Controlador de Datos, se aplicará el Módulo Dos: Transferencias de Controlador a Procesador.

(b)

Cuando usted actúe como Procesador de Datos, se aplicará el Módulo Tres: Transferencias de Procesador a Procesador.

(c)

Las Partes acuerdan incorporar la Cláusula 7 (Cláusula de Adhesión).

(d)

En la Cláusula 9 (Uso de Subprocesadores), apartado (a):

Módulo Dos: Transferencias de Controlador a Procesador: Usted acepta incorporar la Opción 2: Autorización general por escrito.

Módulo Tres: Transferencias de Procesador a Procesador: Usted acepta incorporar la Opción 2: Autorización general por escrito.

(e)

En la Cláusula 11 (Recurso), apartado (a): Usted no acepta incorporar esta opción.

(f)

En la Cláusula 17 (Legislación Aplicable): La opción aplicable será acordada mutuamente por las Partes e incorporada en consecuencia.

(g)

En la Cláusula 18 (Elección de foro y jurisdicción), apartado (b): El tribunal y la jurisdicción aplicables serán acordados mutuamente por las Partes e incorporados en consecuencia.

DESCRIPCIÓN DE LA TRANSFERENCIA

Categorías de Interesados cuyos datos personales son transferidos por usted:

Usuarios finales de los Servicios (personas físicas)

Categorías de datos personales transferidos:

Datos del Servicio: Contenido (p. ej., texto, imágenes, vídeo) enviado a través de la API para su procesamiento. Los datos personales (p. ej., datos faciales y de voz) se procesan de conformidad con la legislación aplicable.

Datos sensibles transferidos (si corresponde) y restricciones o salvaguardas aplicables que tengan plenamente en cuenta la naturaleza de los datos y los riesgos involucrados, tales como una estricta limitación de la finalidad, restricciones de acceso (incluido el acceso limitado a personal especialmente capacitado), mantenimiento de registros de acceso a los datos, restricciones a las transferencias posteriores o medidas de seguridad adicionales:

Fotografías o vídeos que puedan contener datos biométricos.

Frecuencia de la transferencia (p. ej., si los datos se transfieren de forma puntual o continua):

Los datos se transfieren de forma continua durante el uso de los Servicios por parte del usuario final.

Naturaleza del procesamiento:

Almacenamiento, registro, combinación, clasificación, análisis y generación con el fin de prestar los Servicios.

Finalidad(es) de la transferencia de datos y del procesamiento posterior:

Prestación y mantenimiento de los Servicios, etc.

El período durante el cual se conservarán los datos personales o, si no es posible, los criterios utilizados para determinar dicho período:

El período de conservación se basa en los requisitos del servicio, los requisitos legales, la prevención del fraude y las obligaciones de conservación de registros.

Para transferencias a (sub)procesadores, especifíquese también el objeto, la naturaleza y la duración del procesamiento:

Consulte la Sección 5 del presente Anexo para obtener más detalles.

Autoridad de Control Competente

Determinación de la autoridad de control competente de conformidad con la Cláusula 13:

La comisión de protección de datos de la jurisdicción pertinente, según se determine de conformidad con la Cláusula 13 de las CCT de la UE.

Anexo II – Medidas Técnicas y Organizativas, Incluidas las Medidas para Garantizar la Seguridad de los Datos

(a)

Seguridad de los Datos. Implementación de:

Estándares de clasificación y graduación de datos;
Un conjunto de capacidades de autenticación y control de acceso a nivel físico, de red, de sistema y de aplicación; y
Mecanismos para la detección de comportamientos anómalos basados en análisis de big data.

(b)

Seguridad de la Red. Implementación de estrictas reglas de aislamiento de la red interna, con control de acceso y protección perimetral para las redes internas (incluidas las redes de oficina, desarrollo, pruebas y producción) logradas mediante aislamiento físico y lógico.

(c)

Seguridad Física y Ambiental. Implementación de estrictos controles de acceso a la infraestructura y al entorno para el acceso a los datos, basados en los requisitos de seguridad regionales pertinentes. Se establece una matriz de control de acceso basada en los tipos de personal y sus respectivos permisos de acceso para garantizar una gestión y un control eficaces del personal de acceso y operación.

(d)

Gestión de Incidentes. Operación de monitoreo proactivo del servicio en tiempo real, combinado con mecanismos de respuesta y manejo rápido para permitir la detección y resolución oportunas de incidentes de seguridad.

(e)

Cumplimiento Normativo. Cumplimiento de los siguientes estándares:

Sistema de Gestión de Seguridad de la Información (SGSI) – ISO/IEC 27001:2022.
Sistema de Gestión de Información de Privacidad (SGIP) – ISO/IEC 27701:2025.

Cargando PowerTokens

Espere un momento...