Acuerdo de procesamiento de datos

1. Definiciones

• "Responsable del tratamiento" ("Controller") significa el Comercio, que determina los fines y medios del tratamiento de datos personales.
• "Encargado del tratamiento" ("Processor") significa SatsRail LLC, que trata datos personales en nombre del Responsable del tratamiento.
• "Datos personales" ("Personal Data") significa toda información sobre una persona física identificada o identificable, según se define en el artículo 4(1) del RGPD.
• "Tratamiento" ("Processing") significa cualquier operación realizada sobre Datos personales, según se define en el artículo 4(2) del RGPD.
• "Subencargado del tratamiento" ("Sub-processor") significa un tercero contratado por SatsRail para tratar Datos personales en nombre del Responsable del tratamiento.

2. Alcance del tratamiento

2.1 Datos tratados

SatsRail trata las siguientes categorías de datos personales en nombre de los comercios:

2.2 Datos que NO se tratan

SatsRail no trata:

• Datos personales de los clientes finales (nombres, correos electrónicos o información de identidad de los compradores)
• Datos de contenido (lo que se vende)
• Claves privadas de billeteras ni frases semilla

3. Obligaciones del Encargado del tratamiento

SatsRail deberá:

• Tratar los Datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, salvo que la ley exija lo contrario
• Garantizar que las personas autorizadas para tratar Datos personales estén sujetas a obligaciones de confidencialidad
• Implementar medidas técnicas y organizativas apropiadas para garantizar la seguridad del tratamiento, incluidos el cifrado en tránsito (TLS) y en reposo, controles de acceso y revisiones de seguridad periódicas
• No contratar a un Subencargado del tratamiento sin la autorización previa por escrito del Responsable del tratamiento
• Asistir al Responsable del tratamiento en la atención de las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad, limitación, oposición)
• Asistir al Responsable del tratamiento en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas con las autoridades de control, cuando se requieran
• Eliminar o devolver todos los Datos personales al terminar el Acuerdo, a elección del Responsable del tratamiento, con sujeción a los requisitos legales de conservación
• Poner a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD

4. Subencargados del tratamiento

Actualmente, SatsRail utiliza los siguientes subencargados del tratamiento:

SatsRail notificará al Responsable del tratamiento antes de añadir o sustituir a un subencargado del tratamiento. El Responsable del tratamiento podrá oponerse dentro de un plazo de 15 días. Si una objeción no puede resolverse, el Responsable del tratamiento podrá terminar el Acuerdo.

5. Transferencias internacionales

Los Datos personales se almacenan y tratan en los Estados Unidos. Para las transferencias de Datos personales desde el EEE hacia los Estados Unidos, SatsRail se basa en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), en Cláusulas Contractuales Tipo (SCC) o en otras garantías adecuadas, según lo exige el capítulo V del RGPD.

6. Notificación de violaciones de datos

En caso de una violación de Datos personales, SatsRail notificará al Responsable del tratamiento sin dilación indebida y, a más tardar, 72 horas después de tener conocimiento de la violación. La notificación incluirá la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas para hacer frente a la violación.

7. Conservación de los datos

SatsRail conserva los Datos personales según se describe en la Política de privacidad. Los datos de transacciones se conservan durante un mínimo de 7 años para el cumplimiento legal y fiscal. Al producirse la terminación, los Datos personales se eliminan o devuelven dentro de un plazo de 90 días, salvo cuando apliquen obligaciones legales de conservación.

8. Derechos de auditoría

El Responsable del tratamiento podrá auditar el cumplimiento de este DPA por parte de SatsRail una vez al año, con un aviso por escrito de al menos 30 días de anticipación, en horario laboral normal y a cargo del Responsable del tratamiento. SatsRail podrá atender las solicitudes de auditoría proporcionando certificaciones, informes de auditoría u otra documentación pertinente.

9. Contacto

Para preguntas sobre este DPA o para ejercer los derechos que otorga, contacta a:

• Cumplimiento: compliance@satsrail.com