Anexo de protección de datos de Nexusguard

‍

Última actualización: 14 de julio de 2026

Este Anexo de Protección de Datos, incluidos sus Anexos (el “APD”), se celebra entre el cliente identificado en el Contrato Principal (el “Cliente”) y Nexusguard Pte. Ltd. y/o la filial de Nexusguard identificada en el Contrato Principal (“Nexusguard”). Este APD forma parte del contrato que rige la compra o el uso de los Servicios por parte del Cliente, incluidos cualquier contrato marco de servicios, contrato de socio, orden de servicio, presupuesto, contrato de usuario final u otro contrato escrito o electrónico (el “Contrato Principal”).

‍

Este ADP entra en vigor en la fecha más tardía de entre: (a) la fecha de entrada en vigor del Acuerdo Principal; (b) la fecha en que las partes firmen o acepten válidamente este ADP; o (c) la fecha en que Nexusguard comience a tratar Datos Personales del Cliente en nombre del Cliente («Fecha de Entrada en Vigor del ADP»). Sustituye a los términos de tratamiento de datos anteriores entre las partes para el mismo Tratamiento, a menos que las partes acuerden expresamente lo contrario por escrito.

‍

Si una persona acepta este ADP en nombre del Cliente, dicha persona declara que tiene autoridad para vincular al Cliente.

‍

1. ÁMBITO, APLICACIÓN Y ORDEN DE PRELACIÓN

1.1 Ámbito de aplicación. Este ADP se aplica únicamente en la medida en que Nexusguard trate Datos Personales del Cliente como Encargado del Tratamiento al prestar los Servicios. No se aplica a la información para la cual Nexusguard actúa como Responsable del Tratamiento independiente, incluyendo el contacto comercial, la administración de cuentas, la facturación, la gestión de relaciones, el sitio web, la contratación y la información similar descrita en la declaración de privacidad aplicable de Nexusguard.

1.2 Servicios cubiertos. «Servicios» incluye los productos y servicios de Nexusguard contratados por el Cliente, que pueden incluir despliegue en la nube, local e híbrido real de Protección de Aplicaciones, Protección de Origen, Protección DNS, Protección de Red, Protección de Borde, Clean Pipe, Nexusguard Bastions, portales, paneles de control, API, informes, SOC gestionado, soporte técnico, formación, pruebas y servicios profesionales relacionados.

1.3 El tratamiento depende de la configuración. Las categorías y el volumen de Datos Personales del Cliente tratados dependen de los Servicios, el modelo de despliegue, la configuración de enrutamiento de tráfico, las funciones de inspección habilitadas, las instrucciones del Cliente y si se utilizan la desviación a la nube, la supervisión gestionada, el acceso de soporte u otras funciones opcionales. El Anexo 1 describe el Tratamiento previsto y se complementa con el Pedido aplicable.

1.4 Orden de prelación. En caso de conflicto relativo al Tratamiento o la protección de los Datos Personales del Cliente, se aplicará el siguiente orden: (a) las Cláusulas Contractuales Tipo de la UE u otros términos de transferencia obligatorios; (b) cualquier término específico de la jurisdicción en este ADP; (c) este ADP; y (d) el Acuerdo Principal. Por lo demás, el Acuerdo Principal sigue vigente.

1.5 Sin reducción de derechos obligatorios. Nada en este ADP limita los derechos u obligaciones que no puedan limitarse legalmente por contrato.

‍

2. DEFINICIONES

2.1 «Afiliada» se refiere a una entidad que controla directa o indirectamente, es controlada por, o está bajo control común con una parte, mientras dure dicho control. «Control» significa la propiedad o el control de más del cincuenta por ciento de los derechos de voto o el poder de dirigir la gestión.

2.2 «Ley de Protección de Datos Aplicable» se refiere a cualquier ley o reglamento vinculante aplicable al Tratamiento de Datos Personales del Cliente en virtud del Acuerdo Principal, incluyendo, cuando proceda: el RGPD de la UE; el RGPD del Reino Unido, la Ley de Protección de Datos del Reino Unido de 2018 y la Ley de Datos (Uso y Acceso) de 2025; la Ley Federal Suiza sobre Protección de Datos; la Ley de Protección de Datos Personales de Singapur de 2012; la Ley de Privacidad del Consumidor de California, en su versión modificada por la Ley de Derechos de Privacidad de California; y otras leyes de privacidad estatales aplicables de los Estados Unidos.

2.3 «Responsable del Tratamiento» se refiere a la persona o entidad que determina los fines y los medios del Tratamiento. Incluye a una «empresa», «organización» y términos comparables según la Ley de Protección de Datos Aplicable.

‍

2.4 «Datos Personales del Cliente» se refiere a los Datos Personales que Nexusguard trata en calidad de Encargado del Tratamiento en nombre del Cliente en virtud del Acuerdo Principal. Los Datos Personales del Cliente no incluyen los datos que hayan sido convertidos en Datos Anónimos.

2.5 «Interesado» se refiere a una persona física identificada o identificable a la que se refieren los Datos Personales. Incluye a un «consumidor» y términos comparables según la Ley de Protección de Datos Aplicable.

2.6 «RGPD de la UE» se refiere al Reglamento (UE) 2016/679.

2.7 «Cláusulas Contractuales Tipo de la UE» se refiere a las cláusulas contractuales tipo contenidas en el anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021, en su versión modificada, sustituida o reemplazada.

2.8 "Datos Personales" significa información relativa a una persona física, hogar o dispositivo identificado o identificable, o información definida de otro modo como datos personales, información personal o un término comparable en virtud de la Legislación de Protección de Datos Aplicable.

2.9 "Violación de Datos Personales" significa una brecha de seguridad que ocasione la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilícito a los Datos Personales del Cliente transmitidos, almacenados o tratados de otro modo por Nexusguard o sus Subencargados del Tratamiento.

2.10 "Tratar" y "Tratamiento" significan cualquier operación realizada sobre Datos Personales, incluyendo el acceso, recepción, enrutamiento, transmisión, inspección, recopilación, registro, organización, estructuración, almacenamiento, adaptación, recuperación, consulta, análisis, uso, divulgación, restricción, supresión o destrucción.

2.11 "Encargado del Tratamiento" significa una persona o entidad que trata Datos Personales en nombre de un Responsable del Tratamiento. Incluye "proveedor de servicios", "contratista", "intermediario de datos" y términos comparables en virtud de la Legislación de Protección de Datos Aplicable cuando el contexto lo requiera.

2.12 "Transferencia Restringida" significa una transferencia de Datos Personales que requiere un mecanismo de transferencia aprobado en virtud de la Legislación de Protección de Datos Aplicable.

2.13 "Medidas de Seguridad" significa las medidas técnicas y organizativas descritas en el Anexo 2, según se actualicen de conformidad con el presente ADP.

2.14 "Subencargado del Tratamiento" significa un tercero, incluida una Filial de Nexusguard, contratado por Nexusguard para tratar Datos Personales del Cliente en nombre del Cliente.

2.15 "Adenda del Reino Unido" significa la Adenda de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea emitida por el Comisionado de Información del Reino Unido en virtud de la sección 119A de la Ley de Protección de Datos de 2018, versión B1.0 en vigor desde el 21 de marzo de 2022, en su versión modificada, sustituida o reemplazada.

2.16 "RGPD del Reino Unido" tiene el significado que se le atribuye en la sección 3(10) de la Ley de Protección de Datos del Reino Unido de 2018, en su versión modificada.

2.17 "Datos Anónimos" significa información que ha sido agregada, disociada o anonimizada de tal manera que no identifica ni puede vincularse razonablemente al Cliente, a un Interesado, a un hogar o a un dispositivo, teniendo en cuenta los medios que probablemente se utilicen y los requisitos de la Legislación de Protección de Datos Aplicable.

‍

3. FUNCIONES E INSTRUCCIONES DEL CLIENTE

3.1 Funciones. El Cliente es Responsable o Encargado del Tratamiento de los Datos Personales del Cliente. Nexusguard es Encargado o Subencargado del Tratamiento, según corresponda. Cada parte cumplirá con las obligaciones aplicables a su función en virtud de la Legislación de Protección de Datos Aplicable.

3.2 Detalles del Tratamiento. El objeto, la duración, la naturaleza, la finalidad, las categorías de Datos Personales y las categorías de Interesados se describen en el Anexo 1 y en el Pedido aplicable.

3.3 Instrucciones documentadas. Nexusguard tratará los Datos Personales del Cliente únicamente:

(a) para proporcionar, proteger, dar soporte y mantener los Servicios;

(b) de conformidad con el Contrato Principal, el presente ADP, el Pedido aplicable, la configuración de los Servicios realizada por el Cliente y otras instrucciones documentadas acordadas por las partes;

(c) para prevenir, detectar, analizar, mitigar e informar sobre ataques, abusos, fraudes, amenazas a la seguridad e incidentes de servicio que afecten a los Servicios o a las propiedades protegidas; y

(d) cuando así lo exija la legislación aplicable, en cuyo caso Nexusguard informará al Cliente del requisito legal antes del Tratamiento, a menos que la ley prohíba dicha notificación por motivos importantes de interés público.

3.4 Instrucciones ilícitas. Nexusguard informará sin demora al Cliente si, a juicio razonable de Nexusguard, una instrucción infringe la Legislación de Protección de Datos Aplicable. Nexusguard podrá suspender el Tratamiento afectado hasta que las partes resuelvan la cuestión.

3.5 Instrucciones adicionales. Si el cliente solicita un tratamiento sustancialmente ajeno a los Servicios o al presente DPA, las partes acordarán por escrito la viabilidad, el alcance, las tarifas y cualquier cambio necesario antes de que Nexusguard esté obligado a realizarlo.

3.6 El cliente como encargado del tratamiento. Si el cliente actúa como encargado del tratamiento, declara que el responsable del tratamiento pertinente ha autorizado las instrucciones del cliente, el nombramiento de Nexusguard como subencargado del tratamiento, el uso de subencargados y las transferencias restringidas aplicables. El cliente pondrá a disposición de dicho responsable las partes pertinentes del presente DPA previa solicitud.

‍

4. RESPONSABILIDADES DEL CLIENTE

4.1 Base legal y notificaciones. El cliente es responsable de la licitud, equidad, transparencia, exactitud, calidad y minimización de los datos personales del cliente, así como de proporcionar las notificaciones requeridas y obtener los consentimientos necesarios u otras bases legales.

4.2 Autoridad. El cliente deberá disponer de todos los derechos y permisos necesarios para enrutar el tráfico a los Servicios, proporcionar datos personales del cliente, autorizar la inspección y el análisis de seguridad, e instruir a Nexusguard para que los trate.

4.3 Configuración. El cliente es responsable de seleccionar y configurar legalmente los Servicios, incluidos los activos protegidos, el enrutamiento, el DNS, la inspección, el registro, la retención, el acceso de los usuarios, las integraciones, las opciones de residencia de datos y las funciones de autoservicio.

4.4 Credenciales y puntos finales. El cliente protegerá sus credenciales, puntos finales, sistemas de origen, infraestructura local y conexiones a los Servicios, y notificará sin demora a Nexusguard cualquier sospecha de uso no autorizado.

4.5 Datos sensibles y regulados. Salvo acuerdo expreso en un Pedido, el cliente no proporcionará intencionadamente categorías especiales de datos, datos altamente sensibles, datos de tarjetas de pago, información sanitaria protegida, datos de menores, datos clasificados por el gobierno u otros datos sujetos a requisitos reforzados que no sean razonablemente necesarios para los Servicios. El cliente reconoce que las cargas útiles de las aplicaciones, los materiales de soporte o el tráfico enrutado pueden contener incidentalmente dichos datos y configurará los Servicios e implementará las salvaguardas correspondientes.

4.6 Cooperación. El cliente proporcionará información precisa razonablemente necesaria para que Nexusguard cumpla con sus obligaciones y no dará instrucciones a Nexusguard para que infrinja la ley o debilite la seguridad o integridad de los Servicios.

‍

5. OBLIGACIONES DE TRATAMIENTO DE NEXUSGUARD

5.1 Limitación de la finalidad. Nexusguard no conservará, utilizará, divulgará, venderá ni compartirá datos personales del cliente fuera de los fines especificados en la Sección 3 y el Anexo 1, salvo que lo permita o exija la legislación aplicable en materia de protección de datos.

5.2 Confidencialidad. Nexusguard garantizará que el personal autorizado para tratar datos personales del cliente esté sujeto a obligaciones de confidencialidad, reciba la formación adecuada en materia de privacidad y seguridad, y acceda a los datos personales del cliente solo cuando sea necesario para el desempeño de sus funciones.

5.3 Seguridad. Nexusguard implementará y mantendrá las Medidas de Seguridad. Nexusguard podrá actualizarlas para reflejar el progreso técnico, la evolución de las amenazas, el desarrollo de productos y los cambios en la legislación, siempre que dichas actualizaciones no reduzcan sustancialmente el nivel general de protección durante el plazo del servicio aplicable.

5.4 Minimización de datos. Nexusguard limitará los datos personales del cliente recopilados y conservados a lo que sea razonablemente necesario para el servicio aplicable, la seguridad, el soporte, y los fines legales y contractuales.

5.5 Registros y cumplimiento. Nexusguard mantendrá los registros y la información exigidos a los encargados del tratamiento en virtud de la legislación aplicable en materia de protección de datos y pondrá la información pertinente a disposición según lo descrito en la Sección 10.

5.6 Privacidad desde el diseño. Teniendo en cuenta la naturaleza y la configuración de los Servicios, Nexusguard aplicará los principios de protección de datos adecuados al diseñar y realizar actividades de tratamiento, lo que incluye la limitación del acceso, la segregación, los controles de retención y la seguridad por defecto siempre que sea técnicamente viable.

5.7 Inteligencia de amenazas anónima y análisis de servicios. Nexusguard puede crear y utilizar datos anónimos derivados de la telemetría de servicios para la inteligencia de amenazas, el análisis de tendencias de ataques, la investigación de seguridad, la planificación de capacidad, la evaluación comparativa, la mejora de productos y servicios, y la elaboración de informes del sector. Nexusguard deberá:

(a) utilizar medidas técnicas y organizativas razonables diseñadas para evitar la reidentificación;

(b) no intentar reidentificar los Datos Anónimos;

(c) no revelar al Cliente como la fuente sin el permiso por escrito del Cliente; y

(d) tratar la información como Datos Personales del Cliente si deja de cumplir con la definición de Datos Anónimos.

Nada de lo dispuesto en esta Sección permite a Nexusguard vender o compartir Datos Personales del Cliente ni crear perfiles de personas identificadas con fines publicitarios.

5.8 Actividades como Responsable independiente. Si Nexusguard determina los fines y los medios de una actividad de Tratamiento independiente, Nexusguard actuará como Responsable independiente para dicha actividad y deberá cumplir con la Ley de Protección de Datos Aplicable. Nexusguard no convertirá los Datos Personales del Cliente en datos controlados de forma independiente simplemente etiquetándolos como datos operativos, analíticos o de seguridad.

‍

6. GESTIÓN DE BRECHAS DE DATOS PERSONALES

6.1 Notificación. Nexusguard notificará al Cliente sin demora indebida tras tener conocimiento de una Brecha de Datos Personales y, cuando sea posible, en un plazo de 48 horas. La notificación no constituye una admisión de culpa o responsabilidad.

6.2 Contenido de la notificación. En la medida en que se conozca y esté razonablemente disponible, la notificación de Nexusguard incluirá:

(a) la naturaleza de la Brecha de Datos Personales;

(b) las categorías y el número aproximado de Titulares de los Datos y registros afectados;

(c) las posibles consecuencias;

(d) las medidas tomadas o propuestas para contener, investigar y remediar la situación;

(e) indicadores relevantes, plazos y Servicios o ubicaciones afectados; y

(f) un contacto para el seguimiento.

6.3 Información complementaria. Si no se dispone de toda la información de inmediato, Nexusguard podrá proporcionarla por fases sin demora indebida. Nexusguard proporcionará actualizaciones razonables hasta que la contención y la remediación material se hayan completado.

6.4 Cooperación. Nexusguard tomará medidas razonables para contener e investigar la Brecha de Datos Personales, mitigar los daños, preservar las pruebas pertinentes y ayudar al Cliente con las evaluaciones de riesgo, las notificaciones a los reguladores y las comunicaciones a los Titulares de los Datos exigidas por ley, teniendo en cuenta la naturaleza del Tratamiento y la información disponible para Nexusguard.

6.5 Comunicaciones externas. Nexusguard no notificará a los Titulares de los Datos afectados ni emitirá una declaración pública que identifique al Cliente en relación con una Brecha de Datos Personales sin la aprobación previa por escrito del Cliente, a menos que la ley lo exija. Cuando esté legalmente permitido, Nexusguard notificará al Cliente con antelación y considerará razonablemente las aportaciones del Cliente.

6.6 Eventos causados por el Cliente. Las obligaciones de Nexusguard se aplican únicamente a una Brecha de Datos Personales dentro de los sistemas o el Tratamiento bajo el control de Nexusguard o sus Subprocesadores. No obstante, Nexusguard cooperará razonablemente con el Cliente en relación con los incidentes de seguridad causados por los sistemas, credenciales, configuraciones o personal del Cliente, sujeto al Acuerdo Principal.

‍

7. TITULARES DE LOS DATOS, REGULADORES Y ASISTENCIA EN MATERIA DE CUMPLIMIENTO

7.1 Solicitudes de los Titulares de los Datos. Si Nexusguard recibe una solicitud de un Titular de los Datos relacionada con los Datos Personales del Cliente, Nexusguard deberá, siempre que sea razonablemente identificable:

(a) notificar al Cliente sin demora;

(b) no responder de forma sustantiva salvo bajo instrucción documentada del Cliente o según lo exija la ley; y

(c) dirigir al solicitante al Cliente cuando proceda.

7.2 Asistencia. Teniendo en cuenta la naturaleza del Tratamiento, Nexusguard proporcionará asistencia razonable mediante medidas técnicas y organizativas apropiadas para que el Cliente pueda responder a las solicitudes de acceso, rectificación, supresión, limitación, oposición, portabilidad, exclusión voluntaria, apelación u otros derechos aplicables.

7.3 Verificación y decisiones. El Cliente es responsable de verificar a los solicitantes, determinar si una solicitud es válida y responder al Titular de los Datos. Nexusguard podrá basarse en las instrucciones del Cliente sin decidir de forma independiente los méritos legales de la solicitud.

7.4 Evaluaciones y consultas. Teniendo en cuenta la naturaleza del Tratamiento y la información disponible, Nexusguard asistirá razonablemente al Cliente en:

(a) evaluaciones de impacto relativas a la protección de datos, evaluaciones de riesgos y consultas previas;

(b) obligaciones de seguridad del procesamiento;

(c) notificaciones y comunicaciones sobre Violaciones de Datos Personales; y

(d) consultas razonables de los reguladores competentes relativas al Tratamiento realizado por Nexusguard.

7.5 Coste. Nexusguard proporcionará información y funcionalidad de cumplimiento estándar sin coste adicional. Si la asistencia fuera inusualmente gravosa, repetitiva o ajena a la funcionalidad estándar del Servicio, Nexusguard podrá cobrar tarifas razonables acordadas por adelantado, salvo cuando la necesidad surja de un incumplimiento de este ADP por parte de Nexusguard.

‍

8. SUBPROCESADORES

8.1 Autorización general. El Cliente autoriza con carácter general a Nexusguard a contratar Subprocesadores para la prestación de los Servicios, sujeto a lo dispuesto en esta Sección.

8.2 Lista actual. Nexusguard mantendrá y pondrá a disposición una lista actualizada de los Subprocesadores en la que se identifique su nombre, función de procesamiento y país o región de Tratamiento. Nexusguard proporcionará un mecanismo razonable para que el Cliente se suscriba a las notificaciones de cambios.

8.3 Nuevos subprocesadores. Nexusguard notificará con al menos 30 días de antelación antes de que un nuevo Subprocesador comience a realizar el Tratamiento de Datos Personales del Cliente. Si la notificación previa no fuera factible debido a una emergencia, riesgo de seguridad, requisito legal o necesidad urgente de continuidad del servicio, Nexusguard notificará al Cliente tan pronto como sea razonablemente posible.

8.4 Objeciones. El Cliente podrá presentar objeciones por escrito en un plazo de 15 días tras la notificación, basándose en motivos razonables y documentados de protección de datos. Las partes trabajarán de buena fe para abordar la objeción. Nexusguard podrá utilizar alternativas comercialmente razonables, configurar el Servicio afectado para evitar al Subprocesador o proporcionar información de respaldo.

8.5 Objeciones no resueltas. Si las partes no pueden resolver una objeción razonable en un plazo de 30 días y Nexusguard no puede prestar el Servicio afectado sin el Subprocesador, el Cliente podrá rescindir únicamente el Servicio o Pedido afectado mediante notificación por escrito antes de que el Subprocesador comience el Tratamiento en disputa. Cualquier reembolso se regirá por el Acuerdo Principal, salvo que no se cobrará al Cliente por los Servicios no prestados después de la fecha de rescisión efectiva.

8.6 Términos y responsabilidad del Subencargado. Nexusguard celebrará un acuerdo por escrito con cada Subencargado imponiendo obligaciones de protección de datos no menos protectoras en esencia que las aplicables a Nexusguard para el Procesamiento pertinente. Nexusguard sigue siendo responsable ante el Cliente por el cumplimiento de dichas obligaciones por parte del Subencargado en la medida en que lo exija la Ley de Protección de Datos Aplicable.

‍

9. TRANSFERENCIAS INTERNACIONALES Y RESIDENCIA DE DATOS

9.1 Ubicaciones de procesamiento. El Cliente autoriza a Nexusguard y a sus Subencargados a procesar los Datos Personales del Cliente en las ubicaciones necesarias para prestar los Servicios solicitados, sujeto al Pedido aplicable, los compromisos de residencia de datos acordados, la lista de Subencargados y esta Sección.

9.2 Compromisos de residencia de datos. Cuando un Pedido especifique el Procesamiento local o regional, Nexusguard procesará los Datos Personales del Cliente de acuerdo con dicho compromiso. Nexusguard no modificará sustancialmente una configuración de residencia acordada sin previo aviso y, cuando lo exija el Pedido o la Ley de Protección de Datos Aplicable, sin la aprobación del Cliente. El Cliente reconoce que la desviación de la nube en caso de emergencia, la mitigación de ataques globales, el soporte remoto o las integraciones pueden implicar ubicaciones adicionales cuando se habiliten o soliciten.

9.3 Mecanismos de transferencia. Nexusguard no realizará ninguna Transferencia Restringida a menos que utilice un mecanismo legalmente válido, incluyendo una decisión de adecuación, cláusulas contractuales tipo aprobadas, normas corporativas vinculantes, una certificación o marco reconocido por la autoridad competente, u otra salvaguarda legal.

‍

9.4 Transferencias en la UE. Para una Transferencia Restringida regida por el RGPD de la UE, las SCC de la UE se incorporan por referencia y se completan según lo establecido en el Anexo 3. El Módulo Dos se aplica cuando el Cliente es Responsable del Tratamiento y Nexusguard es Encargado del Tratamiento. El Módulo Tres se aplica cuando el Cliente es Encargado del Tratamiento y Nexusguard es Subencargado del Tratamiento. Las partes no modificarán las SCC de la UE, salvo en los casos expresamente permitidos.

9.5 Transferencias en el Reino Unido. Para una Transferencia Restringida regida por la legislación de protección de datos del Reino Unido, el Anexo del Reino Unido se incorpora y completa según lo establecido en el Anexo 3.

9.6 Transferencias en Suiza. Para una Transferencia Restringida regida por la Ley Federal Suiza sobre Protección de Datos, se aplicarán las SCC de la UE con las adaptaciones suizas establecidas en el Anexo 3.

9.7 Transferencias en Singapur. Cuando sea de aplicación la Ley de Protección de Datos Personales de Singapur, se aplicarán los términos del Anexo 5 y Nexusguard proporcionará un estándar de protección comparable al exigido por dicha Ley para las transferencias fuera de Singapur.

9.8 Evaluaciones de transferencia y medidas complementarias. Cada parte proporcionará la información razonablemente necesaria para que la otra realice una evaluación de impacto de la transferencia, una evaluación de riesgos de la transferencia, una prueba de protección de datos o una evaluación comparable. Nexusguard implementará medidas técnicas, contractuales u organizativas complementarias cuando sea razonablemente necesario para la transferencia pertinente, teniendo en cuenta la naturaleza de los datos, la configuración del Servicio, el destino y la legislación aplicable.

9.9 Mecanismo alternativo. Si un mecanismo de transferencia queda invalidado, es sustituido o deja de estar disponible, las partes cooperarán de buena fe para implementar un reemplazo válido. El uso de un nuevo mecanismo no reduce las protecciones exigidas por la Ley de Protección de Datos Aplicable.

‍

10. DERECHOS DE AUDITORÍA, GARANTÍA E INFORMACIÓN

10.1 Información sobre cumplimiento. Nexusguard pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA y de la Ley de Protección de Datos Aplicable, sujeta a restricciones de confidencialidad, seguridad, privilegio y de terceros.

10.2 Garantía independiente. Nexusguard podrá satisfacer las solicitudes de auditoría rutinarias proporcionando los informes de auditoría independientes, certificaciones, resúmenes de pruebas de penetración, cuestionarios de seguridad u otros materiales de garantía vigentes en ese momento que sean pertinentes para los Servicios. Dichos materiales pueden incluir certificaciones ISO/IEC 27001, PCI DSS y SOC 2, cuando sean aplicables a los Servicios y estén disponibles.

10.3 Auditoría del Cliente. Si la información de la Sección 10.2 es razonablemente insuficiente, el Cliente podrá realizar una auditoría una vez en cualquier período de 12 meses, ya sea por sí mismo o a través de un auditor independiente cualificado que no sea competidor de Nexusguard y que esté sujeto a confidencialidad. Se permiten auditorías adicionales tras una Violación de Datos Personales material que afecte a los Datos Personales del Cliente o cuando un organismo regulador competente así lo requiera.

10.4 Condiciones de auditoría. Las auditorías deberán:

(a) limitarse al procesamiento y a los controles pertinentes a los Datos Personales del Cliente;

(b) realizarse con al menos 30 días de antelación, a menos que un regulador o un incidente urgente requiera un plazo menor;

(c) realizarse durante el horario laboral habitual;

(d) evitar interrupciones irrazonables y riesgos para otros clientes, sistemas o información confidencial;

(e) utilizar la revisión remota cuando pueda satisfacer razonablemente el propósito; y

(f) cumplir con los procedimientos razonables de seguridad y protección de Nexusguard.

10.5 Hallazgos. Las partes discutirán de buena fe los hallazgos materiales. Nexusguard subsanará el incumplimiento material verificado en un plazo razonable proporcional al riesgo.

10.6 Costes. Cada parte asumirá sus propios costes de auditoría. El Cliente reembolsará a Nexusguard los costes razonables de las auditorías que sean inusualmente onerosas o que excedan lo previsto en la Sección 10.3, a menos que la auditoría identifique un incumplimiento material por parte de Nexusguard.

‍

11. DEVOLUCIÓN, ELIMINACIÓN Y RETENCIÓN

11.1 Durante la vigencia. El Cliente podrá utilizar la funcionalidad del Servicio disponible para recuperar o eliminar los Datos Personales del Cliente. Cuando dicha funcionalidad no esté disponible, Nexusguard prestará asistencia razonable previa solicitud documentada.

11.2 Finalización de los Servicios. A elección del Cliente, comunicada antes de la rescisión o en un plazo de 30 días tras la misma, Nexusguard devolverá o eliminará los Datos Personales del Cliente. Salvo que el Pedido aplicable indique lo contrario, Nexusguard completará la eliminación de los sistemas activos en un plazo de 90 días tras la finalización del Servicio afectado.

11.3 Copias de seguridad. Los Datos Personales del Cliente contenidos en copias de seguridad, archivos o sistemas de recuperación ante desastres podrán permanecer hasta que sean sobrescritos o eliminados mediante los ciclos habituales, siempre que estén protegidos, aislados del uso rutinario y no se restauren salvo por motivos de recuperación, legales o de seguridad. En caso de restauración, este DPA seguirá siendo de aplicación y los datos deberán eliminarse de nuevo cuando ya no sean necesarios.

11.4 Retención legal. Nexusguard podrá conservar los Datos Personales del Cliente en la medida en que lo exija la ley, un proceso legal o una obligación reglamentaria vinculante. Nexusguard aislará los datos retenidos, limitará su tratamiento a la finalidad requerida y los eliminará cuando finalice dicha obligación.

11.5 Datos anónimos. Las secciones 11.2 a 11.4 no exigen la eliminación de datos anónimos.

‍

12. SOLICITUDES DE ACCESO DE GOBIERNOS Y TERCEROS

12.1 Notificación. Si Nexusguard recibe una solicitud legalmente vinculante de un gobierno, autoridad policial, tribunal u otro tercero para acceder a Datos Personales del Cliente, Nexusguard deberá, salvo que la ley lo prohíba:

(a) notificar al Cliente antes de la divulgación;

(b) informar al solicitante de que Nexusguard procesa los datos en nombre del Cliente cuando proceda;

(c) remitir al solicitante al Cliente cuando sea legal y viable; y

(d) proporcionar información suficiente para que el Cliente pueda solicitar una orden de protección u otro recurso legal.

12.2 Revisión y oposición. Nexusguard revisará las solicitudes en cuanto a su validez legal y alcance y, cuando existan motivos razonables, se opondrá a solicitudes ilegales, excesivamente amplias o desproporcionadas. Nexusguard divulgará únicamente el mínimo de Datos Personales del Cliente legalmente requerido.

12.3 Transparencia. Previa solicitud razonable y cuando sea legalmente permitido, Nexusguard proporcionará información general sobre las categorías pertinentes de solicitudes y sus prácticas de respuesta.

12.4 Divulgación de emergencia. Nexusguard puede divulgar Datos Personales del Cliente cuando considere, de manera razonable y de buena fe, que la divulgación es necesaria para prevenir una muerte inminente o daños físicos graves. Nexusguard notificará al Cliente tan pronto como sea legalmente permitido.

‍

13. TÉRMINOS DE PRIVACIDAD ESTATALES DE ESTADOS UNIDOS

Si los Datos Personales del Cliente están sujetos a la Ley de Privacidad del Consumidor de California u otra ley de privacidad estatal aplicable de los Estados Unidos, se aplica el Anexo 4. En caso de conflicto, el Anexo 4 prevalecerá para dichos Datos Personales del Cliente.

‍

14. CAMBIOS A ESTE APD

14.1 Nexusguard puede actualizar este APD para reflejar cambios en la ley, directrices regulatorias, Servicios, seguridad u operaciones comerciales. Nexusguard proporcionará un aviso previo razonable ante cualquier cambio sustancial que reduzca los derechos contractuales del Cliente o amplíe materialmente el Procesamiento de Datos Personales del Cliente por parte de Nexusguard.

14.2 Una actualización necesaria para cumplir con la ley, reemplazar un mecanismo de transferencia inválido, abordar un problema de seguridad urgente o implementar una directriz vinculante de un regulador puede entrar en vigor antes, pero Nexusguard proporcionará una notificación tan pronto como sea razonablemente posible.

14.3 Salvo por las actualizaciones permitidas en esta Sección o los cambios en los instrumentos legales obligatorios referenciados, las modificaciones deben ser acordadas por escrito por los representantes autorizados de ambas partes.

‍

15. DISPOSICIONES GENERALES

15.1 Vigencia. Este APD permanecerá vigente mientras Nexusguard procese Datos Personales del Cliente.

15.2 Responsabilidad. La responsabilidad derivada de este APD está sujeta a las exclusiones y limitaciones del Acuerdo Principal, excepto en la medida en que la Ley de Protección de Datos Aplicable o las CCS de la UE prohíban dicha limitación.

15.3 Ley aplicable y jurisdicción. La ley aplicable y la jurisdicción establecidas en el Acuerdo Principal se aplican a este APD, salvo cuando los términos de transferencia obligatorios o la Ley de Protección de Datos Aplicable dispongan lo contrario.

15.4 Ausencia de terceros beneficiarios. Salvo por los derechos expresamente otorgados a los Titulares de los Datos bajo las CCS de la UE u otra legislación obligatoria, este APD no crea derechos para terceros beneficiarios.

15.5 Divisibilidad. Si alguna disposición resulta inválida o inaplicable, se interpretará o modificará en la medida mínima necesaria para que sea ejecutable, permaneciendo el resto de las disposiciones en pleno vigor.

15.6 Notificaciones. Las notificaciones bajo este APD se enviarán utilizando el método de notificación establecido en el Acuerdo Principal. Las comunicaciones operativas sobre privacidad y seguridad también podrán enviarse a los contactos designados por las partes.

15.7 Acuerdo completo sobre el Procesamiento. Este ADP y el Acuerdo Principal constituyen el acuerdo de las partes con respecto al Procesamiento de Datos Personales del Cliente por parte de Nexusguard y reemplazan los términos anteriores sobre dicho tema.

‍

ANEXO 1 — DETALLES DEL PROCESAMIENTO

A. OBJETO

Nexusguard procesa los Datos Personales del Cliente para proporcionar los Servicios contratados por el Cliente. Dependiendo de la configuración, esto puede incluir la protección de aplicaciones, sitios web, API, servidores, redes, conectividad, infraestructura DNS y otros activos digitales contra ataques de denegación de servicio distribuido, ataques a aplicaciones, abusos y amenazas de seguridad relacionadas.

‍

B. DURACIÓN

El procesamiento continúa durante el plazo del Servicio afectado y cualquier período necesario para la devolución, eliminación, ciclo de copias de seguridad, investigación de incidentes, retención legal o transición, según lo permitido por este ADP y el Acuerdo Principal.

‍

C. NATURALEZA Y FINES

El procesamiento puede incluir:

• recibir, enrutar, transmitir, desviar, inspeccionar, filtrar, limpiar y devolver tráfico de red, de aplicaciones y de DNS;

• recopilar y analizar registros de flujo, atributos de paquetes y protocolos, consultas y registros de DNS, atributos de HTTP o API, registros, alertas, indicadores de ataque y telemetría de seguridad;

• detectar, clasificar, investigar, mitigar e informar sobre ataques, vulnerabilidades, abusos e incidentes de servicio;

• establecer líneas base de tráfico, aplicar políticas de detección y mitigación, datos de reputación, reglas de WAF, controles de tasa, desafíos y otras medidas de seguridad;

• operar centros de limpieza (scrubbing centers), bastiones, infraestructura en la nube, local e híbrida;

• proporcionar portales, paneles de control, API, informes, notificaciones, acceso a cuentas, administración multiinquilino y registros de auditoría;

• proporcionar SOC gestionado, soporte técnico, resolución de problemas, mantenimiento, optimización del servicio, formación, pruebas y servicios profesionales;

• mantener la disponibilidad, resiliencia, copias de seguridad, recuperación ante desastres, capacidad y seguridad del Servicio;

• cumplir con las instrucciones documentadas del Cliente y las obligaciones legales aplicables; y

• creación de Datos Anónimos según lo permitido por la Sección 5.7.

‍

D. CATEGORÍAS DE INTERESADOS

Los Datos Personales del Cliente pueden referirse a:

• personal, contratistas, administradores, usuarios autorizados y contactos de soporte del Cliente;

• afiliados, socios, revendedores, proveedores de servicios de comunicaciones y clientes intermedios del Cliente;

• visitantes y usuarios de los sitios web, aplicaciones, API, redes y servicios DNS protegidos del Cliente;

• suscriptores, clientes, empleados u otras personas que utilizan conectividad protegida o servicios digitales;

• personas cuya información aparece en tráfico enrutado, cargas útiles de paquetes, consultas DNS, registros, alertas, informes, tickets o materiales de soporte; y

• presuntos atacantes, investigadores de seguridad, denunciantes de abusos y otras personas asociadas con eventos de red o seguridad.

‍

E. CATEGORÍAS DE DATOS PERSONALES

Dependiendo del Servicio y la configuración:

• identificadores y datos de contacto, incluidos nombres, nombres de usuario, detalles de contacto comercial, ID de cuenta e identificadores de cliente o inquilino;

• datos de autenticación y autorización, incluidas credenciales o tokens en tráfico protegido, registros de acceso al portal, roles y pistas de auditoría;

• identificadores de red y dispositivos, incluidas direcciones IP, direcciones MAC cuando estén disponibles, puertos, protocolos, números de sistemas autónomos, identificadores de dispositivo o sesión, y ubicación aproximada inferida;

• datos de tráfico y conexión, incluidas marcas de tiempo, información de origen y destino, registros de flujo, ancho de banda, atributos de paquetes y protocolos, datos de enrutamiento, configuración relacionada con GRE o BGP, y comportamiento de conexión;

• datos de DNS, incluidas consultas, respuestas, nombres de dominio, zonas, registros, e información de resolutores y servidores autoritativos;

• datos de aplicaciones y web, incluidos URL, métodos de solicitud, parámetros de consulta, encabezados, cookies, agentes de usuario, atributos de API y carga útil o contenido limitado cuando sean enrutados, registrados o inspeccionados por funciones configuradas;

• datos de seguridad, incluidos indicadores de ataque, información de reputación, amenazas detectadas, eventos de WAF, acciones de mitigación, alertas, líneas base, y registros de incidentes;

• datos de configuración, incluidos rangos de IP protegidos, dominios, políticas, listas de permitidos, listas de bloqueados, umbrales, integraciones y ajustes de notificación;

• datos de soporte y servicios profesionales, incluidos tickets, mensajes, archivos de diagnóstico, capturas de pantalla, capturas de paquetes, volcados de datos, registros y grabaciones suministrados por el Cliente; y

• otros Datos Personales contenidos incidentalmente en el tráfico o materiales que el Cliente pone a disposición.

‍

F. DATOS ESPECIALES O ALTAMENTE REGULADOS

Los Servicios no requieren que el Cliente envíe intencionalmente datos de categorías especiales o altamente regulados, a menos que se acuerde expresamente. No obstante, dichos datos pueden aparecer de forma incidental en el tráfico de aplicaciones cifrado o no cifrado, cargas útiles, registros, datos DNS o materiales de soporte. El Cliente controla las fuentes y la configuración, y es responsable de identificar requisitos legales adicionales. Cuando las partes acuerden expresamente que Nexusguard procesará intencionalmente dichos datos, el Pedido aplicable deberá identificarlos, así como cualquier salvaguarda adicional.

‍

G. FRECUENCIA Y VOLUMEN

El procesamiento puede ser continuo para Servicios siempre activos, basado en eventos para mitigación bajo demanda, periódico para monitoreo e informes, u ocasional para soporte y servicios profesionales. El volumen depende del tráfico del Cliente, los activos protegidos, la actividad de ataques y la configuración del Servicio.

‍

H. UBICACIONES DE PROCESAMIENTO Y SUBPROCESADORES

Las ubicaciones de procesamiento se determinan según el Pedido aplicable, la configuración de implementación y residencia de datos, las decisiones de enrutamiento y mitigación, el modelo de soporte y la lista actual de Subprocesadores.

‍

I. DERECHOS Y OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO

El Cliente conserva los derechos y obligaciones de un Responsable del tratamiento descritos en el Acuerdo Principal y en la Ley de Protección de Datos aplicable, incluido el derecho a emitir instrucciones documentadas legales y a obtener la información y asistencia descritas en este ADP.

‍

ANEXO 2 — MEDIDAS DE SEGURIDAD TÉCNICAS Y ORGANIZATIVAS

Nexusguard mantendrá un programa de seguridad documentado proporcional a la naturaleza de los Servicios, los Datos Personales del Cliente y los riesgos. Los controles a continuación se aplican según corresponda al Servicio y al modelo de implementación.

‍

A. GOBERNANZA DE SEGURIDAD Y GESTIÓN DE RIESGOS

• Funciones y responsabilidades asignadas en materia de seguridad de la información.

• Políticas, normas y procedimientos de seguridad documentados y revisados periódicamente.

• Evaluaciones de riesgos que aborden la confidencialidad, integridad, disponibilidad, resiliencia y privacidad.

• Inventario y clasificación de activos adecuados a los sistemas que procesan Datos Personales del Cliente.

• Gestión de cambios y gestión de excepciones.

• Revisión periódica por parte de la dirección y garantía independiente cuando corresponda.

‍

B. SEGURIDAD DEL PERSONAL

• Obligaciones de confidencialidad para el personal con acceso a Datos Personales del Cliente.

• Verificación de antecedentes previa a la contratación cuando sea legal y proporcionado.

• Formación en privacidad y seguridad basada en roles durante la incorporación y periódicamente después.

• Eliminación o ajuste inmediato del acceso cuando cambian las funciones o finaliza la relación laboral.

• Procesos disciplinarios por incumplimiento de la política de seguridad.

‍

C. SEGURIDAD FÍSICA Y AMBIENTAL

• Controles de acceso físico para las instalaciones controladas por Nexusguard basados en la autorización y la necesidad comercial.

• Registro o supervisión del acceso a áreas de procesamiento confidencial cuando sea pertinente.

• Protecciones ambientales, suministro eléctrico, detección o extinción de incendios y redundancia adecuadas a las instalaciones.

• Controles contractuales y de garantía para centros de datos de terceros.

‍

D. GESTIÓN DE IDENTIDAD Y ACCESO

• Identidades de usuario únicas y acceso basado en roles.

• Principios de privilegio mínimo y necesidad de conocer.

• Autenticación multifactor para accesos administrativos privilegiados o remotos, cuando sea técnicamente compatible.

• Controles de autenticación robusta y gestión de credenciales.

• Revisión periódica de los accesos privilegiados y otros accesos sensibles.

• Cuentas de emergencia y de servicio controladas.

• Controles de tiempo de espera de sesión, bloqueo y registro adecuados para el sistema.

‍

E. SEGURIDAD DE RED E INFRAESTRUCTURA

• Controles de red en capas, segmentación, cortafuegos, filtrado e interfaces administrativas restringidas.

• Configuraciones reforzadas y protocolos de gestión seguros.

• Controles de detección, mitigación, enrutamiento, limpieza y regulación de tráfico DDoS pertinentes para los Servicios.

• Protección de los planos de gestión y separación del tráfico del cliente cuando sea apropiado.

• Supervisión de actividades anómalas, accesos no autorizados, abusos y ataques.

• Arquitectura resiliente, redundancia y gestión de capacidad adecuadas para el Servicio.

‍

F. CIFRADO Y GESTIÓN DE CLAVES

• Cifrado de los Datos Personales del Cliente en tránsito a través de redes públicas mediante protocolos aceptados por la industria, cuando sea técnicamente viable.

• Cifrado de los Datos Personales del Cliente en reposo almacenados en sistemas, cuando sea adecuado según el riesgo y técnicamente compatible.

• Protección, acceso restringido, rotación y gestión del ciclo de vida de claves criptográficas y secretos.

• Prácticas seguras de configuración de certificados y protocolos.

El Cliente reconoce que Nexusguard puede necesitar inspeccionar tráfico no cifrado, descifrar tráfico utilizando claves proporcionadas por el Cliente o recibir datos de paquetes en texto plano cuando así lo requiera el Servicio de seguridad configurado.

‍

G. DESARROLLO SEGURO Y CONTROL DE CAMBIOS

• Prácticas de desarrollo de software seguro adecuadas para el software desarrollado por Nexusguard.

• Revisión de código, gestión de dependencias, pruebas e implementación controlada.

• Separación de entornos de desarrollo, pruebas y producción cuando sea apropiado.

• Autorización, pruebas, planificación de reversión y registro de cambios.

• Medidas diseñadas para prevenir cambios no autorizados en el código o la configuración.

‍

H. GESTIÓN DE VULNERABILIDADES Y PARCHES

• Escaneo y evaluación de vulnerabilidades según el riesgo del sistema.

• Priorización y remediación de vulnerabilidades de seguridad basadas en el riesgo.

• Gestión de parches y actualizaciones para los sistemas compatibles.

• Pruebas de penetración o evaluaciones técnicas comparables de forma periódica y tras cambios materiales cuando sea apropiado.

• Procesos para recibir, evaluar y abordar las vulnerabilidades reportadas.

‍

I. REGISTRO, MONITOREO Y DETECCIÓN

• Registro de accesos administrativos relevantes, eventos de seguridad, cambios de configuración y actividad del sistema.

• Protección de los registros contra el acceso y la alteración no autorizados.

• Sincronización horaria adecuada para la investigación y correlación.

• Supervisión y alertas ante actividades sospechosas o anómalas.

• Retención de registros durante períodos adecuados a los requisitos operativos, de seguridad, contractuales y legales.

• Acceso a registros limitado según el rol y la necesidad.

‍

J. RESPUESTA ANTE INCIDENTES

• Procedimientos documentados de respuesta ante incidentes y escalamiento.

• Personal asignado para investigar, contener, erradicar, recuperar y comunicar incidentes.

• Preservación de pruebas relevantes y mantenimiento de registros de incidentes.

• Pruebas o ejercicios periódicos de los procesos de respuesta ante incidentes.

• Revisión posterior a incidentes y seguimiento de acciones correctivas.

• Notificación y cooperación con el Cliente según lo descrito en la Sección 6.

‍

K. DISPONIBILIDAD, CONTINUIDAD Y RECUPERACIÓN

• Redundancia y conmutación por error adecuadas al Servicio correspondiente.

• Controles de copia de seguridad y restauración para los Datos Personales del Cliente almacenados y las configuraciones críticas, cuando corresponda.

• Planificación de la continuidad del negocio y la recuperación ante desastres.

• Pruebas periódicas de las capacidades de restauración o recuperación.

• Supervisión de la capacidad, disponibilidad y dependencias críticas.

‍

L. CICLO DE VIDA DE LOS DATOS Y MEDIOS

• Procedimientos de retención y eliminación alineados con los Servicios y la Sección 11.

• Eliminación o saneamiento seguro de medios y sistemas antes de su reutilización o retirada.

• Restricciones sobre medios extraíbles y almacenamiento local adecuadas al riesgo.

• Controles diseñados para evitar la copia, exportación o divulgación no autorizada.

• Procedimientos para retenciones legales y retención obligatoria.

‍

M. SEPARACIÓN DE INQUILINOS Y PROPÓSITOS

• Segregación lógica de cuentas, configuraciones, informes y datos almacenados de clientes en sistemas multiinquilino.

• Controles de autorización diseñados para evitar el acceso entre clientes.

• Separación de datos y funciones por rol, inquilino, módulo o propósito, según corresponda.

• Uso controlado de datos de producción en entornos que no son de producción.

‍

N. SEGURIDAD DEL PROVEEDOR Y DEL SUBPROCESADOR

• Debida diligencia basada en el riesgo antes de incorporar a los subprocesadores pertinentes.

• Obligaciones escritas de seguridad y privacidad.

• Revisión continua proporcional al servicio y al riesgo.

• Requisitos de notificación de incidentes y cooperación.

• Controles de terminación y de devolución o eliminación de datos.

‍

O. GARANTÍA Y MEJORA CONTINUA

• Revisión interna y auditoría o certificación independiente adecuada a los Servicios.

• Procesos de acción correctiva para hallazgos materiales.

• Actualizaciones del programa de seguridad basadas en inteligencia sobre amenazas, incidentes, pruebas, cambios legales y desarrollo técnico.

• Previa solicitud adecuada y sujeta a confidencialidad, la información de garantía pertinente y vigente, que puede incluir materiales de ISO/IEC 27001, PCI DSS y SOC 2 cuando corresponda.

‍

P. RESPONSABILIDAD COMPARTIDA PARA SERVICIOS LOCALES E HÍBRIDOS

Para la infraestructura controlada por el Cliente, controlada por socios o local (on-premises), el Cliente es responsable de la seguridad física, la seguridad de la red local, la administración de identidades, la conectividad del sistema, el entorno de hardware compatible, las claves y certificados gestionados por el Cliente, las configuraciones del Cliente y otros controles asignados al Cliente en la Documentación o el Pedido. Nexusguard es responsable de los controles dentro de los componentes y actividades que controla. La gestión remota, el SOC gestionado, la desviación en la nube, el soporte y la telemetría pueden extender el Tratamiento de Nexusguard más allá del entorno local según se configure o solicite.

‍

ANEXO 3 — TÉRMINOS DE TRANSFERENCIA INTERNACIONAL

‍

A. CLÁUSULAS CONTRACTUALES TIPO DE LA UE

1. Aplicación. Las CCS de la UE se aplican a las Transferencias restringidas reguladas por el RGPD de la UE cuando no existe una decisión de adecuación u otro mecanismo de transferencia legal que cubra dicha transferencia.

2. Módulos.

• El Módulo Dos se aplica a las transferencias de un Responsable del tratamiento a un Encargado del tratamiento.

• El Módulo Tres se aplica a las transferencias de un Encargado del tratamiento a un Subencargado.

• Si se aplica más de un rol, cada Módulo correspondiente se aplicará al Tratamiento pertinente.

3. Elecciones.

• Se aplica la Cláusula 7 (Cláusula de adhesión).

• Se aplica la Cláusula 9, Opción 2 (autorización general por escrito). El plazo de preaviso es el periodo indicado en la Sección 8.3 de este ADP.

• El lenguaje opcional de la Cláusula 11 no es aplicable.

• Conforme a la Cláusula 17, se aplica la Opción 1. La ley aplicable es la ley del país del EEE en el que esté establecido el exportador de datos, siempre que dicha ley permita los derechos de terceros beneficiarios. Si no los permite, se aplicará la ley irlandesa.

• Conforme a la Cláusula 18, las controversias serán resueltas por los tribunales correspondientes a la ley aplicable seleccionada conforme a la Cláusula 17; si se aplica la ley irlandesa, se aplicarán los tribunales de Irlanda.

4. Anexo I.A — Lista de partes.

Exportador de datos: El Cliente y cualquier Filial del Cliente autorizada que exporte Datos Personales del Cliente. Su nombre, dirección, datos de contacto, actividades y función se indican en el Acuerdo Principal, el Pedido aplicable y el Anexo 1.

Importador de datos: Nexusguard Pte. Ltd. y/o la filial de Nexusguard identificada en el Acuerdo Principal o en el Pedido aplicable. Contacto: el contacto de privacidad publicado por Nexusguard o designado de otro modo por escrito.

Firma y fecha: La ejecución o la aceptación electrónica válida por parte de las partes del Acuerdo Principal o de este ADP constituye la firma y el fechado de las CCT de la UE.

5. Anexo I.B — Descripción de la transferencia. El Anexo 1 describe las categorías de Interesados, las categorías de Datos Personales, los datos sensibles y las salvaguardias, la frecuencia, la naturaleza, los fines, la duración, la retención y el objeto. Las transferencias a Subprocesadores se describen en la lista actual de Subprocesadores y en el Pedido aplicable.

6. Anexo I.C — Autoridad de control competente. La autoridad de control competente se determina conforme a la Cláusula 13 de las CCT de la UE.

7. Anexo II — Medidas de seguridad. El Anexo 2 constituye el Anexo II de las CCT de la UE.

8. Anexo III — Subprocesadores. La lista actual de Subprocesadores puesta a disposición conforme a la Sección 8 constituye el Anexo III para el Módulo Tres.

9. Conflicto. Si este ADP entra en conflicto con las CCT de la UE, prevalecerán las CCT de la UE para la Transferencia Restringida.

‍

B. REINO UNIDO

1. El Anexo del Reino Unido se aplica a las Transferencias Restringidas reguladas por la Ley de Protección de Datos del Reino Unido cuando las CCT de la UE se utilizan como las cláusulas aprobadas subyacentes.

2. Tabla 1. Las partes, los contactos y los detalles de la firma son los indicados en la Parte A.4 anterior, adaptados de modo que «exportador de datos» e «importador de datos» tengan los significados establecidos en el Anexo del Reino Unido.

3. Tabla 2. Las CCT de la UE, los Módulos, las cláusulas y las opciones seleccionados son los indicados en la Parte A anterior.

4. Tabla 3. La información del Apéndice se encuentra en el Anexo 1, el Anexo 2 y la lista actual de Subprocesadores.

5. Tabla 4. Cualquiera de las partes puede rescindir el Anexo del Reino Unido según lo permitan sus cláusulas obligatorias si el Comisionado de Información del Reino Unido emite términos aprobados revisados.

6. Las cláusulas obligatorias de la Parte 2 de la Adenda del Reino Unido se incorporan sin modificaciones. Las referencias a la Ley de Protección de Datos del Reino Unido incluyen las enmiendas realizadas por la Ley de Datos (Uso y Acceso) de 2025 y cualquier legislación sucesora.

‍

C. SUIZA

Para las Transferencias Restringidas reguladas por la Ley Federal de Protección de Datos de Suiza:

• las referencias en las CCC de la UE al RGPD se interpretarán como referencias a la Ley Federal de Protección de Datos de Suiza en la medida en que sea necesario;

• "datos personales" e "interesado" tienen los significados previstos en la legislación suiza;

• las referencias a un Estado miembro o a la Unión incluyen a Suiza cuando proceda;

• la autoridad de control competente es el Comisionado Federal de Protección de Datos e Información de Suiza;

• la legislación y los tribunales aplicables serán los de Suiza cuando así se requiera para los derechos bajo la legislación suiza, sin impedir que los Interesados en Suiza presenten reclamaciones en Suiza;

• las CCC de la UE protegen los datos de personas jurídicas solo en la medida en que lo exija la legislación suiza; y

• las partes aplicarán cualquier adaptación reconocida o requerida por el Comisionado Federal de Protección de Datos e Información de Suiza.

‍

D. MEDIDAS COMPLEMENTARIAS

Cuando una evaluación de transferencia identifique un riesgo material de que el mecanismo de transferencia por sí solo no proporcione la protección requerida, Nexusguard aplicará medidas complementarias razonables adecuadas al Servicio. Estas pueden incluir cifrado, seudonimización, minimización de datos, controles de acceso, localización, procesamiento dividido, transparencia, revisión de solicitudes gubernamentales o salvaguardias contractuales.

‍

‍

ANEXO 4 — TÉRMINOS DE PRIVACIDAD ESTATALES DE LOS ESTADOS UNIDOS

‍

A. FUNCIONES Y FINES

Cuando una ley de privacidad estatal aplicable de los Estados Unidos utilice los conceptos de empresa y proveedor de servicios, responsable y encargado del tratamiento, o contratista, el Cliente será la empresa o el responsable del tratamiento y Nexusguard será el proveedor de servicios, encargado del tratamiento o contratista respecto a los Datos Personales del Cliente.

2. Los fines limitados y especificados para el Procesamiento son los Servicios y actividades descritos en la Sección 3 y el Anexo 1. Las partes acuerdan que dichos fines son razonablemente necesarios y proporcionales para proporcionar, asegurar, respaldar, mantener y mejorar los Servicios según lo permitido por la ley.

‍

B. RESTRICCIONES

Nexusguard no deberá:

• vender o compartir Datos Personales del Cliente;

• retener, utilizar o divulgar Datos Personales del Cliente fuera de la relación comercial directa con el Cliente o para un fin comercial distinto a los fines limitados y especificados;

• combinar Datos Personales del Cliente con Datos Personales recibidos de otra persona o recopilados de la propia interacción de Nexusguard con un Sujeto de Datos, excepto cuando la ley aplicable lo permita expresamente para un proveedor de servicios o procesador;

• utilizar Datos Personales del Cliente para publicidad conductual entre contextos o publicidad dirigida; o

• intentar reidentificar datos que cumplan con el estándar legal aplicable para datos anonimizados o agregados.

‍

C. COMPROMISOS REQUERIDOS

1. Nexusguard cumplirá con las obligaciones aplicables impuestas a los proveedores de servicios, procesadores y contratistas, y proporcionará el mismo nivel de protección de la privacidad requerido por la ley de privacidad estatal aplicable para el Procesamiento pertinente.

2. Nexusguard notificará al Cliente si determina que ya no puede cumplir con sus obligaciones.

3. El Cliente podrá tomar medidas razonables y apropiadas para ayudar a garantizar un Procesamiento coherente y para detener y remediar el uso no autorizado, incluso a través de los derechos de información y auditoría establecidos en la Sección 10.

4. Nexusguard proporcionará asistencia razonable con las solicitudes autenticadas de los consumidores según lo descrito en la Sección 7 y no responderá directamente, salvo que la ley lo permita o el Cliente lo indique.

5. Nexusguard exigirá a cada Subprocesador pertinente que cumpla con restricciones equivalentes.

6. Las partes reconocen que el Cliente revela Datos Personales del Cliente a Nexusguard únicamente para los fines comerciales limitados y especificados en este DPA y que Nexusguard no recibe Datos Personales como contraprestación por los Servicios.

‍

D. REFERENCIAS A LA CCPA

En lo que respecta a los Datos Personales de California, las referencias a la Ley de Privacidad del Consumidor de California incluyen las enmiendas realizadas por la Ley de Derechos de Privacidad de California y la normativa aplicable. Los fines comerciales incluyen la detección de incidentes de seguridad, la resistencia a acciones malintencionadas o ilegales, el mantenimiento o la gestión de cuentas, la prestación de servicio al cliente, el procesamiento o cumplimiento de pedidos y transacciones, la verificación de la información del cliente, el procesamiento de pagos cuando se soliciten, la provisión de análisis limitados a los Servicios, el mantenimiento de la calidad y la seguridad, y otros fines permitidos para un proveedor de servicios o contratista.

‍

ANEXO 5 — TÉRMINOS DE LA LEY DE PROTECCIÓN DE DATOS PERSONALES DE SINGAPUR

‍

A. ROL

Cuando Nexusguard procese Datos Personales del Cliente en nombre del Cliente bajo la Ley de Protección de Datos Personales de Singapur de 2012 ("PDPA de Singapur"), Nexusguard actúa como intermediario de datos y el Cliente actúa como la organización que lo contrata, a menos que una actividad de procesamiento independiente convierta a Nexusguard en una organización por derecho propio.

‍

B. OBLIGACIONES DEL INTERMEDIARIO DE DATOS

Nexusguard deberá:

• adoptar medidas de seguridad razonables para proteger los Datos Personales del Cliente contra el acceso, la recopilación, el uso, la divulgación, la copia, la modificación, la eliminación o riesgos similares no autorizados;

• dejar de conservar o anonimizar los Datos Personales del Cliente cuando sea razonable asumir que la finalidad ya no se cumple y que la conservación ya no es necesaria para fines legales o comerciales, sujeto a la Sección 11;

• notificar al Cliente sin demora indebida una vez que Nexusguard tenga motivos creíbles para creer que se ha producido una vulneración de Datos Personales, de conformidad con la Sección 6; y

• prestar asistencia razonable al Cliente con sus obligaciones de evaluación y notificación.

‍

C. TRANSFERENCIAS AL EXTRANJERO

Para la transferencia de Datos Personales del Cliente fuera de Singapur, Nexusguard se asegurará de que el destinatario esté sujeto a obligaciones legalmente exigibles de proporcionar un estándar de protección comparable al de la PDPA de Singapur, a menos que sea aplicable otra excepción o base legal. Las protecciones establecidas en este DPA tienen como fin proporcionar dichas obligaciones exigibles.

‍

D. RESPONSABILIDAD DEL CLIENTE

El Cliente sigue siendo responsable de sus obligaciones como organización en virtud de la PDPA de Singapur, lo que incluye la rendición de cuentas, la notificación, el consentimiento u otra autorización, la limitación de la finalidad, la exactitud, el acceso y la corrección, así como la determinación de si una vulneración debe ser notificada.

‍

FIN DEL DPA