Acuerdo de Procesamiento de Datos

1.1 Las partes son el Cliente y Oxford Construction LLC. La entidad contratante de IronMemo es Oxford Construction LLC (California Entity No. 202131210808), 1968 South Coast Highway, Suite 4811, Laguna Beach, CA 92651, United States. "IronMemo" es el nombre del producto de Oxford Construction LLC y no constituye una entidad jurídica independiente; cuando este DPA dice "IronMemo", se refiere a Oxford Construction LLC. Contacto del DPA: dpa@ironmemo.com.

1.2 Este DPA se aplica a todo Cliente que haya celebrado el Acuerdo, independientemente del nivel de suscripción. La firma de una copia separada está disponible a solicitud, pero no es necesaria para que este DPA sea aplicable.

2.1 Los términos en mayúscula no definidos aquí tienen el significado que se les atribuye en el Acuerdo o en las Leyes de Protección de Datos aplicables.

• "Leyes de Protección de Datos" significa todas las leyes aplicables al Tratamiento de los Datos Personales del Cliente en virtud del Acuerdo, incluyendo, según corresponda, el Reglamento General de Protección de Datos de la UE 2016/679 ("RGPD" (GDPR)) y las leyes equivalentes del Reino Unido y Suiza (en la medida en que se apliquen en virtud de este DPA), así como las leyes estatales de privacidad de los Estados Unidos, incluida la Ley de Privacidad del Consumidor de California en su versión modificada ("CCPA").
• "Responsable del tratamiento", "Encargado del tratamiento", "Interesado", "Datos Personales", "Tratamiento", "Autoridad de control" y "Categorías Especiales de Datos Personales" tienen el significado que se les atribuye en el RGPD; los términos equivalentes en otras Leyes de Protección de Datos (incluidos "business", "service provider", "contractor" y "consumer" en virtud de la CCPA) se aplican cuando dichas leyes resulten aplicables.
• "Datos Personales del Cliente" significa los Datos Personales que IronMemo Trata en nombre del Cliente en virtud del Acuerdo, según se describen con mayor detalle en el Anexo I.
• "Subencargado" significa cualquier tercero contratado por IronMemo para Tratar los Datos Personales del Cliente conforme a las instrucciones de IronMemo.
• "Extensión" significa cualquier extensión de navegador de IronMemo puesta a disposición del Cliente.
• "Grabación local" significa una grabación capturada y almacenada en el dispositivo del propio Usuario por la Extensión o por otros medios, antes de cualquier transmisión a IronMemo.
• "Usuario que graba" significa la persona que inicia una grabación o sube una grabación al Servicio.
• "Participante de la reunión" significa cualquier persona que participa en una reunión grabada o que es mencionada en ella.
• "Grabación subida" significa una grabación, y los datos relacionados, que el Cliente o un Usuario sube o transmite expresamente al Servicio.

3.1 Cliente como Responsable del tratamiento. Cuando el Cliente determina los fines y medios del Tratamiento de los Datos Personales del Cliente, el Cliente es el Responsable del tratamiento e IronMemo es el Encargado del tratamiento.

3.2 Cliente como Encargado del tratamiento. Cuando el Cliente Trata los Datos Personales del Cliente en nombre de un tercero (por ejemplo, cuando el Cliente presta servicios a sus propios clientes), el Cliente puede actuar como Encargado del tratamiento e IronMemo actúa como Subencargado. El Cliente declara que cuenta con la autorización e instrucciones necesarias del Responsable del tratamiento correspondiente para que IronMemo Trate los Datos Personales del Cliente en virtud de este DPA.

3.3 Actividades de IronMemo como responsable independiente. IronMemo actúa como responsable independiente, y no como Encargado del tratamiento del Cliente, para las actividades descritas en la Política de Privacidad (incluidas la administración de cuentas, la facturación, el fraude y la seguridad, y el cumplimiento legal). Dichas actividades quedan fuera del ámbito de este DPA.

3.4 Pagos. El procesamiento de pagos lo realiza Stripe. Las actividades de facturación, prevención de fraude e impuestos asociadas a los pagos son actividades de responsable independiente y quedan fuera del ámbito de este DPA. Por lo tanto, Stripe no figura como Subencargado en el Anexo III, salvo que un servicio específico de Stripe Trate Datos Personales del Cliente conforme a las instrucciones documentadas del Cliente.

4.1 IronMemo Trata los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente, incluso en relación con las transferencias, salvo que la legislación aplicable a IronMemo exija lo contrario; en tal caso, IronMemo informará al Cliente de dicho requisito legal antes del Tratamiento, salvo que la ley lo prohíba.

4.2 Las instrucciones documentadas del Cliente se establecen en el Acuerdo, este DPA y las opciones de configuración que el Cliente selecciona dentro del Servicio (incluidas las configuraciones de retención, las selecciones de proveedores disponibles para el Cliente, los controles de funcionalidades y la configuración del espacio de trabajo). El enrutamiento de una tarea a un proveedor aprobado dentro del conjunto de proveedores puestos a disposición del Cliente constituye una instrucción del Cliente.

4.3 IronMemo informará al Cliente si, a su juicio, una instrucción infringe las Leyes de Protección de Datos.

4.4 El objeto, la duración, la naturaleza y la finalidad del Tratamiento, así como las categorías de Datos Personales del Cliente e Interesados, se describen en el Anexo I.

5.1 El Tratamiento por parte de IronMemo en virtud de este DPA comienza cuando los Datos Personales del Cliente llegan por primera vez a un punto de conexión controlado por IronMemo, al almacenamiento de IronMemo o a un Subencargado aprobado que actúa conforme a las instrucciones de IronMemo. Los metadatos transmitidos antes de un archivo multimedia pueden iniciar de manera independiente el Tratamiento en virtud de este DPA si constituyen o se derivan de Datos Personales del Cliente.

5.2 La Grabación local queda fuera de este DPA en la medida en que ni IronMemo ni sus Subencargados reciban Datos Personales del Cliente. Una Grabación local que permanece exclusivamente en el dispositivo del Usuario no es Tratada por IronMemo, no es eliminada por IronMemo y no está sujeta a las obligaciones de devolución o eliminación de IronMemo en virtud de este DPA.

5.3 Cuando una Grabación subida se transmite directamente a un Subencargado (por ejemplo, a través de una ubicación de carga preautorizada), dicha transmisión se mantiene dentro del Tratamiento de IronMemo conforme a las instrucciones del Cliente.

5.4 El Usuario que graba es responsable de la licitud de cualquier grabación, incluida la obtención de los avisos y consentimientos legalmente requeridos de los Participantes de la reunión y la autorización para la carga. Una función de grabación, un reconocimiento dentro del producto o una casilla de verificación constituyen una declaración del Usuario y no establecen por sí mismos que todos los Participantes de la reunión hayan otorgado su consentimiento.

6.1 IronMemo garantiza que las personas autorizadas para Tratar los Datos Personales del Cliente están sujetas a una obligación de confidencialidad adecuada.

6.2 IronMemo limita el acceso a los Datos Personales del Cliente al personal que necesita acceso para prestar el Servicio, con base en el principio de privilegio mínimo.

7.1 IronMemo implementa y mantiene medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, teniendo en cuenta el estado de la técnica, los costos de implementación y la naturaleza, el alcance, el contexto y los fines del Tratamiento, según se describe con mayor detalle en el Anexo II.

7.2 El Anexo II describe las medidas de seguridad de IronMemo por categoría. IronMemo podrá actualizar medidas específicas con el tiempo, siempre que las medidas actualizadas no reduzcan sustancialmente el nivel general de seguridad.

8.1 El Cliente otorga una autorización general para que IronMemo contrate Subencargados que Traten los Datos Personales del Cliente. Los Subencargados actuales de IronMemo se enumeran en el Anexo III.

8.2 IronMemo impone a cada Subencargado obligaciones de protección de datos que son, en sustancia, equivalentes a las establecidas en este DPA, y sigue siendo responsable ante el Cliente por el cumplimiento de las obligaciones de cada Subencargado.

8.3 Notificación de cambios. Hasta que IronMemo mantenga una página dedicada de subencargados, el Anexo III es la lista vigente autorizada. IronMemo notificará al Cliente con al menos treinta (30) días de antelación, por correo electrónico al titular de la cuenta, antes de autorizar un Subencargado nuevo o de reemplazo, y actualizará el Anexo III en la fecha en que se envíe la notificación. El Cliente podrá objetar por motivos razonables de protección de datos durante el período de notificación; las partes trabajarán de buena fe para resolver la objeción y, si no pudieran hacerlo, el Cliente podrá dar por terminada la parte afectada del Servicio.

9.1 IronMemo notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de Datos Personales que afecte a los Datos Personales del Cliente.

9.2 La notificación describirá, en la medida en que se conozca y esté disponible, la naturaleza de la violación, las categorías y el número aproximado de Interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. IronMemo podrá proporcionar la información por fases a medida que esté disponible.

9.3 IronMemo prestará asistencia razonable al Cliente en relación con las obligaciones propias del Cliente de notificación de violaciones a las Autoridades de control y a los Interesados. Este DPA no hace a IronMemo responsable de determinar si el Cliente debe notificar, ni de notificar a las Autoridades de control o a los Interesados en nombre del Cliente. El plazo de setenta y dos (72) horas referido en algunas Leyes de Protección de Datos es una obligación del Responsable del tratamiento frente a su Autoridad de control y no constituye un plazo de notificación del encargado en virtud de este DPA.

10.1 Solicitudes de Interesados. Teniendo en cuenta la naturaleza del Tratamiento, IronMemo asistirá al Cliente mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para responder a las solicitudes de ejercicio de los derechos de los Interesados en virtud de las Leyes de Protección de Datos. Si IronMemo recibe dicha solicitud directamente, salvo que esté legalmente prohibido, redirigirá a la persona al Cliente e informará al Cliente.

10.2 Evaluaciones de impacto y consulta previa. Teniendo en cuenta la naturaleza del Tratamiento y la información disponible para IronMemo, IronMemo prestará asistencia razonable al Cliente con las evaluaciones de impacto en la protección de datos y las consultas previas con las Autoridades de control cuando las Leyes de Protección de Datos así lo requieran. Una evaluación de impacto en la protección de datos no se requiere automáticamente para cada grabación; la necesidad de realizarla se determina en función del riesgo del Tratamiento.

11.1 IronMemo pone a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA y, previa notificación razonable, permite y contribuye a auditorías, incluidas inspecciones, realizadas por el Cliente o un auditor designado por el Cliente.

11.2 IronMemo podrá atender solicitudes de auditoría proporcionando informes y documentación de auditorías de terceros pertinentes cuando estén disponibles. Las inspecciones presenciales se limitan a una vez cada doce (12) meses (salvo tras una violación material que afecte a los Datos Personales del Cliente), se realizan durante el horario laboral con mínima interrupción, están sujetas a confidencialidad y corren por cuenta del Cliente.

11.3 IronMemo mantiene registros de las categorías de Tratamiento realizadas en nombre del Cliente según lo requieran las Leyes de Protección de Datos.

12.1 Lanzamiento en Estados Unidos. El Servicio se ofrece actualmente para incorporación comercial en los Estados Unidos. IronMemo no ofrece actualmente incorporación comercial a organizaciones establecidas en el Espacio Económico Europeo ("EEE"), el Reino Unido o Suiza. Los términos condicionales de transferencia del Anexo IV se aplican únicamente si y cuando IronMemo habilite la incorporación para dichas regiones.

12.2 La infraestructura operada por IronMemo utilizada para almacenar los Datos Personales del Cliente está ubicada en Viena, Austria. Los Datos Personales del Cliente también pueden ser Tratados por Subencargados en los Estados Unidos, según se describe en el Anexo III. El almacenamiento en Austria no implica por sí mismo que los Datos Personales del Cliente se Traten exclusivamente dentro del EEE.

12.3 Cuando las transferencias de Datos Personales del Cliente estén sujetas a los requisitos de transferencia de las Leyes de Protección de Datos, IronMemo utilizará un mecanismo de transferencia válido según se describe en el Anexo IV.

13.1 Al vencimiento o terminación del Acuerdo, y a elección del Cliente, IronMemo eliminará o devolverá los Datos Personales del Cliente que permanezcan en los sistemas activos de IronMemo, y eliminará las copias existentes dentro de un plazo razonable, salvo que la ley exija su retención.

13.2 IronMemo eliminará los Datos Personales del Cliente definidos en sus sistemas activos dentro de los treinta (30) días siguientes a la eliminación de la cuenta correspondiente, con sujeción a las excepciones de esta Sección.

13.3 Copias de seguridad. Las copias residuales de los Datos Personales del Cliente en las copias de seguridad están lógicamente aisladas y no se devuelven al uso activo; expiran en el curso ordinario del ciclo de copias de seguridad de IronMemo. Si se restaura una copia de seguridad, IronMemo vuelve a aplicar la eliminación correspondiente para que los datos previamente marcados para eliminación no regresen al uso activo.

13.4 Copias en poder de Subencargados. La eliminación de las copias en poder de los Subencargados sigue los mecanismos de eliminación y los períodos de retención propios de cada Subencargado, que pueden diferir del período establecido en la Sección 13.2 y se resumen en el Anexo III.

13.5 Registros y retenciones legales. Los registros operativos y de seguridad se conservan durante períodos basados en el riesgo y pueden hacer referencia a datos limitados. IronMemo podrá retener los Datos Personales del Cliente cuando y durante el tiempo que la ley lo requiera o para establecer, ejercer o defender reclamaciones legales.

13.6 Las obligaciones de eliminación de IronMemo no se extienden a las Grabaciones locales ni a las copias que el Cliente o los Usuarios envíen a destinos de terceros (por ejemplo, integraciones) que estén fuera del control de IronMemo.

14.1 El Servicio utiliza proveedores de inteligencia artificial de terceros para generar transcripciones, resúmenes, elementos de acción, borradores de seguimiento y respuestas de chat de IA y conocimiento cuando están habilitados. Estos proveedores se enumeran en el Anexo III.

14.2 IronMemo no utiliza IA para inferir emociones a partir de la voz, el tono, la prosodia, las expresiones faciales o señales biométricas, y no crea huellas vocales persistentes ni realiza identificación biométrica cruzada entre reuniones de los Participantes de la reunión como parte del Servicio estándar. La transcripción ordinaria y el etiquetado de hablantes (por ejemplo, "Speaker 1", "Speaker 2") no constituyen, por sí solos, una identificación biométrica única.

14.3 Los resultados de IA son generados por sistemas de IA, pueden ser inexactos o incompletos, no constituyen un registro literal y requieren revisión humana. El Cliente y sus Usuarios siguen siendo responsables de revisar los resultados y de cualquier publicación o uso consecuente.

15.1 Cuando la CCPA u otra ley estatal de privacidad de los Estados Unidos sea aplicable, IronMemo actúa como proveedor de servicios (o encargado del tratamiento) del Cliente y Trata los Datos Personales del Cliente únicamente para los fines comerciales limitados y especificados establecidos en el Acuerdo y el Anexo I. Los términos adicionales del Anexo V son aplicables.

16.1 Prohibición de venta; prohibición de compartir. IronMemo no venderá los Datos Personales del Cliente ni los "compartirá" para publicidad conductual entre contextos, según dichos términos se definen en las Leyes de Protección de Datos aplicables.

16.2 Prohibición de publicidad dirigida. IronMemo no utiliza los Datos Personales del Cliente para publicidad conductual entre contextos o publicidad dirigida.

16.3 Prohibición de uso secundario independiente. IronMemo no retendrá, utilizará ni divulgará los Datos Personales del Cliente para ningún fin distinto de los fines comerciales especificados, ni fuera de la relación comercial directa, salvo lo permitido por las Leyes de Protección de Datos.

16.4 Prohibición de entrenamiento de modelos de IronMemo con Contenido del Cliente. IronMemo no utiliza los Datos Personales del Cliente para entrenar los modelos de inteligencia artificial propios de IronMemo. La forma en que cada Subencargado de IA puede o no utilizar los datos (incluidos los períodos de retención predeterminados y cualquier derecho sobre datos anonimizados o agregados) se describe, por proveedor, en el Anexo III.

16.5 Telemetría. IronMemo podrá recopilar telemetría técnica (como identificadores de solicitud, información de enrutamiento e información de errores) para operar y proteger el Servicio, minimizada de modo que no utilice los Datos Personales del Cliente para un fin ajeno a este DPA.

17.1 El Servicio está habilitado para incorporación comercial únicamente en los países incluidos en el Registro interno de Países Admitidos de IronMemo. La disponibilidad del sitio web en un país no implica que la incorporación comercial esté habilitada en dicho país. Los anexos condicionales para regiones adicionales figuran en el Anexo IV (EEE/Reino Unido/Suiza) y el Anexo VI (países específicos de la CEI) y no son operativos hasta su habilitación.

18.1 Si IronMemo recibe una solicitud jurídicamente vinculante de una autoridad pública respecto de los Datos Personales del Cliente, IronMemo, salvo que esté legalmente prohibido, informará al Cliente y no divulgará los Datos Personales del Cliente salvo en la medida legalmente requerida. IronMemo impugnará las solicitudes que parezcan ilícitas o excesivas cuando tenga motivos razonables para hacerlo.

19.1 La responsabilidad de cada parte derivada de o relacionada con este DPA está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el Acuerdo.

19.2 Este DPA entra en vigor en la fecha de entrada en vigor del Acuerdo y continúa mientras IronMemo Trate los Datos Personales del Cliente.

19.3 Este DPA se rige por las leyes del Estado de California, sin tener en cuenta las normas de conflicto de leyes, y las partes se someten a la jurisdicción exclusiva de los tribunales estatales y federales ubicados en el Condado de Los Ángeles, California, con sujeción a cualquier foro obligatorio que no pueda renunciarse legalmente. Este DPA utiliza el litigio judicial en el Condado de Los Ángeles, California, y no añade un mecanismo separado de resolución de controversias ni una renuncia a acciones colectivas.

19.4 Si alguna disposición de este DPA se considera inválida o inaplicable, las disposiciones restantes mantienen su plena vigencia.

Objeto. Tratamiento de grabaciones y datos relacionados expresamente subidos o transmitidos por el Cliente al Servicio, y de los datos derivados de ellos, para la prestación del Servicio.

Duración. Durante la vigencia del Acuerdo y hasta la devolución o eliminación de conformidad con la Sección 13.

Naturaleza y finalidad. Ingesta de grabaciones; transcripción; resumen mediante IA; extracción de elementos de acción; generación de borradores de seguimiento; respuestas de chat de IA y conocimiento cuando están habilitadas; almacenamiento; búsqueda; y eliminación de conformidad con la configuración establecida y este DPA.

Categorías de Datos Personales del Cliente.

• Grabaciones de audio y video expresamente subidas o transmitidas por el Cliente.
• Transcripciones y etiquetas de hablante con código de tiempo.
• Resúmenes, elementos de acción y borradores de seguimiento generados por IA.
• Indicaciones y respuestas de chat de IA cuando están habilitadas.
• Índices de búsqueda semántica y datos derivados relacionados cuando dichas funcionalidades están habilitadas (generados mediante los proveedores de IA enumerados en el Anexo III o infraestructura operada por IronMemo; no se utiliza ningún Subencargado adicional para este fin).
• Metadatos de reuniones (como títulos, horarios y nombres o direcciones de correo electrónico de los Participantes de la reunión).
• Telemetría técnica asociada al Tratamiento, minimizada según se describe en la Sección 16.5.

Categorías especiales / datos sensibles. Las grabaciones y transcripciones pueden contener incidentalmente Categorías Especiales de Datos Personales o información sensible porque una reunión puede abarcar cualquier tema. IronMemo no solicita intencionalmente dichos datos. El Cliente, como Responsable del tratamiento, es responsable de contar con una base jurídica válida para dichos datos y de instruir a IronMemo en consecuencia.

Categorías de Interesados.

• Usuarios autorizados y personal del Cliente.
• Participantes de la reunión, que pueden ser internos o externos a la organización del Cliente.
• Personas mencionadas en una grabación que no son participantes.

IronMemo mantiene un programa de seguridad que incluye, por categoría y en proporción al riesgo:

• Control de acceso. Acceso basado en roles a los Datos Personales del Cliente limitado al personal autorizado con base en el principio de privilegio mínimo; controles de autenticación para el acceso administrativo.
• Cifrado. Cifrado de los Datos Personales del Cliente en tránsito a través de redes públicas y cifrado de los Datos Personales del Cliente almacenados, utilizando métodos estándar de la industria.
• Aislamiento lógico. Separación de los datos de los clientes dentro de los sistemas de IronMemo.
• Registro y monitoreo. Registro de eventos administrativos y de seguridad relevantes, y monitoreo diseñado para detectar y responder a eventos de seguridad.
• Confidencialidad. Obligaciones de confidencialidad para el personal y controles de gestión de proveedores para los Subencargados.
• Resiliencia y copias de seguridad. Procedimientos de respaldo y restauración diseñados para respaldar la disponibilidad y la recuperación, con la eliminación reaplicada en la restauración según se describe en la Sección 13.3.
• Respuesta a incidentes. Procedimientos para detectar, investigar y responder a incidentes de seguridad y para notificar al Cliente según se describe en la Sección 9.

IronMemo continúa desarrollando su programa de seguridad, incluido hacia la obtención de una certificación de seguridad independiente. Cuando un control, certificación o acreditación específica aún no se haya completado, IronMemo no declara que esté implementado.

Los siguientes terceros pueden Tratar los Datos Personales del Cliente conforme a las instrucciones de IronMemo. IronMemo opera su capa de aplicación sobre esta infraestructura como una capa propia; la infraestructura de servidores subyacente es proporcionada por el proveedor de alojamiento identificado a continuación.

Infraestructura y alojamiento:

Conversión de voz a texto (transcripción):

Modelo de lenguaje de gran escala (resúmenes, elementos de acción, chat de IA):

Pagos. Stripe procesa los pagos como responsable independiente y no es un Subencargado de Datos Personales del Cliente en virtud de este DPA.

La lista vigente anterior constituye el anexo autorizado de Subencargados y se mantiene de conformidad con la Sección 8.3.

Este Anexo se aplica únicamente si y cuando IronMemo habilite la incorporación comercial para el EEE, el Reino Unido o Suiza. No es operativo mientras dichas regiones permanezcan deshabilitadas, e IronMemo no declara que esté operativamente disponible en dichas regiones.

Términos del artículo 28 de responsable a encargado. Cuando el RGPD sea aplicable, las obligaciones de responsable a encargado de este DPA están destinadas a satisfacer el Artículo 28 del RGPD y, cuando las partes así lo acuerden, podrán incorporar las cláusulas contractuales tipo adoptadas para las relaciones de responsable a encargado en virtud de la Decisión de Ejecución (UE) 2021/915 de la Comisión. Estos términos abordan el contenido de la relación de tratamiento y son distintos de, y no autorizan por sí mismos, ninguna transferencia a un tercer país.

Términos de transferencia a terceros países. Cuando los Datos Personales del Cliente se transfieran desde el EEE a un tercer país que no sea objeto de una decisión de adecuación, las partes se basarán en las cláusulas contractuales tipo adoptadas en virtud de la Decisión de Ejecución (UE) 2021/914 de la Comisión (Módulo Dos para transferencias de responsable a encargado, o Módulo Tres para transferencias de encargado a encargado), junto con cualquier medida complementaria requerida y una evaluación de impacto de la transferencia. Para las transferencias desde el Reino Unido, se aplica el UK International Data Transfer Addendum (o el IDTA); para las transferencias desde Suiza, las cláusulas se aplican con las modificaciones exigidas por la legislación suiza. Una decisión de adecuación (como el EU-U.S. Data Privacy Framework) podrá invocarse únicamente cuando el importador correspondiente cuente con una participación/inscripción válida en el mismo; dado que la validez de dicho marco está sujeta a procedimientos en curso, las partes mantendrán las cláusulas contractuales tipo como mecanismo principal.

Exportador / importador de datos. Para cada transferencia, el exportador es el Cliente (o el Responsable del tratamiento correspondiente) y el importador es Oxford Construction LLC, con transferencias posteriores a los Subencargados enumerados en el Anexo III como importadores adicionales.

Cuando la CCPA u otra ley estatal integral de privacidad de los Estados Unidos sea aplicable, e IronMemo actúe como proveedor de servicios (o encargado del tratamiento) del Cliente:

1. Fines limitados y especificados. IronMemo Trata los Datos Personales del Cliente únicamente para los fines comerciales específicos establecidos en el Acuerdo y el Anexo I, y no para ningún otro fin comercial. 2. Prohibición de venta o de compartir. IronMemo no venderá los Datos Personales del Cliente ni los compartirá para publicidad conductual entre contextos. 3. Prohibición de combinación. IronMemo no combinará los Datos Personales del Cliente con información personal recibida de o en nombre de otra persona, o recopilada de sus propias interacciones con el consumidor, salvo lo permitido por la ley aplicable. 4. Prohibición de uso fuera de la relación comercial directa. IronMemo no retendrá, utilizará ni divulgará los Datos Personales del Cliente fuera de la relación comercial directa con el Cliente. 5. Mismo nivel de protección. IronMemo proporcionará el nivel de protección de la privacidad requerido de un proveedor de servicios (o encargado del tratamiento) en virtud de la ley aplicable. 6. Notificación y remediación. IronMemo notificará al Cliente si determina que ya no puede cumplir con sus obligaciones, y el Cliente podrá tomar medidas razonables para detener y remediar el uso no autorizado. 7. Certificación y monitoreo. IronMemo certifica que comprende y cumplirá con estas restricciones, y permite al Cliente tomar medidas razonables y adecuadas para monitorear el cumplimiento, incluidas evaluaciones o auditorías según se describe en la Sección 11, al menos una vez cada doce (12) meses. 8. Obligaciones descendentes. IronMemo impone restricciones equivalentes a los Subencargados que Traten los Datos Personales del Cliente y notifica al Cliente sobre dichos Subencargados y contrata con ellos según lo requiera la ley aplicable. 9. Asistencia con solicitudes de consumidores. IronMemo asiste al Cliente en la respuesta a solicitudes verificables de consumidores según se describe en la Sección 10. 10. Datos anonimizados. Cuando un Subencargado esté autorizado a crear datos anonimizados o agregados según se describe en el Anexo III, IronMemo no autoriza ningún uso que permita reidentificar a un consumidor, y exige que dichos datos se mantengan y utilicen en forma anonimizada.

Este Anexo está reservado. La incorporación comercial para los países específicos de la Comunidad de Estados Independientes en revisión — Armenia, Bielorrusia, Kirguistán y Moldavia — no está habilitada en el lanzamiento en Estados Unidos. Cada uno de dichos países se habilita, en su caso, solo después de superar una evaluación de cumplimiento por país independiente, que aborda (según corresponda) la base jurídica local para la transferencia transfronteriza (señalando que las cláusulas contractuales tipo de la UE no son reconocidas como mecanismo de transferencia en varios de estos países), cualquier obligación de registro o notificación, cualquier requisito de representante local, los requisitos de consentimiento y notificación, la evaluación de sanciones y disponibilidad de pagos, y los derechos locales de los interesados. IronMemo no ofrece residencia de datos local dentro de estos países. Rusia, Kazajistán, Uzbekistán, Azerbaiyán, Tayikistán y Turkmenistán no están admitidos. Georgia no se trata como parte de este anexo y está sujeta a una revisión independiente. Cuando la ley de protección de datos de un país se alinee con el RGPD, IronMemo podrá tratar dicho país en virtud de la evaluación del EEE.

Para preguntas sobre este DPA, contacte a dpa@ironmemo.com.