ES
ES
Inicio → Protección de datos → Acuerdo De Compartición/Intercambio De Datos

Acuerdo De Compartición/Intercambio De Datos

El presente Acuerdo de Compartición/Intercambio de Datos (“DSA”) forma parte de un contrato (o de la correspondiente declaración de trabajo aplicable sujeta a dicho contrato) celebrado entre IBOPE (siendo la entidad contratante identificada en el contrato o en la correspondiente declaración de trabajo y, cuando resulte aplicable, sus Afiliadas) (“IBOPE”) y la contraparte identificada en el contrato (“Socio”), el cual incorpora este DSA por referencia o hace referencia a la URL en la que este DSA se encuentra disponible (el “Contrato”). Este DSA no limita ninguna otra obligación de cualquiera de las Partes, incluidas aquellas previstas en el Contrato o en la legislación aplicable. En caso de conflicto entre este DSA y el Contrato, los términos de este DSA prevalecerán respecto del Tratamiento de Datos Personales.

1 Definiciones e Interpretación

1.1 En este DSA, los términos que comiencen con letra mayúscula tendrán el significado establecido en la presente cláusula 1.1, independientemente de que dichos términos estén o no definidos de otra forma en el Contrato. Los términos definidos con letra mayúscula utilizados, pero no definidos en este DSA, tendrán los significados atribuidos a dichos términos en el Contrato. Cualquier término utilizado en este DSA que no esté definido en este DSA o en el Contrato tendrá el significado atribuido por la Legislación de Protección de Datos. Cuando un término esté definido tanto en este DSA como en la Legislación de Protección de Datos, prevalecerá la definición necesaria para garantizar el cumplimiento de la Legislación de Protección de Datos.

“Legislación de Protección de Datos” significa, según resulte aplicable al Tratamiento de Datos Personales, cualquier ley o reglamento nacional, federal, estatal, provincial, de la Unión Europea o de cualquier otra jurisdicción relacionado con la privacidad, la seguridad de la información o la protección de datos, incluyendo el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al Tratamiento de Datos Personales y a la libre circulación de dichos datos (“GDPR”); el Reglamento General de Protección de Datos del Reino Unido, conforme se define en la sección 3(10) de la Data Protection Act 2018 (“UK GDPR”); la Ley Federal Suiza de Protección de Datos (“FADP”); la Ley Brasileña n.º 13.709, de 14 de agosto de 2018 (“LGPD”); la California Consumer Privacy Act of 2018, Código Civil de California § 1798.100 y siguientes, según sea modificada (“CCPA”); y otras leyes federales y estatales de privacidad aplicables en los Estados Unidos (conjuntamente con la CCPA, las “Leyes de Privacidad de los EE. UU.”), así como cualquier legislación complementaria, reglamentos, orientaciones o códigos de conducta emitidos por autoridades de control, según sean modificados, sustituidos o actualizados periodicamente.

“Datos” significa cualquier información, en cualquier forma, formato o soporte, proporcionada o puesta a disposición de una Parte en relación con el Contrato, junto con todos los derivados, modelos, análisis, adaptaciones y agregaciones creados a partir de dicha información o basados en ella.

“Solicitud del Titular de los Datos” significa cualquier solicitud presentada por un titular de datos o consumidor para ejercer derechos previstos en la Legislación de Protección de Datos aplicable, incluidos los derechos de acceso, rectificación, limitación del tratamiento, supresión, portabilidad y oposición al tratamiento.

“Finalidades Permitidas” significa el Tratamiento de Datos Personales para las finalidades expresamente previstas en el Contrato, incluyendo: (i) la prestación y recepción de los Servicios; y (ii) cualesquiera derechos de uso de datos expresamente previstos en el Contrato. Para efectos de las Leyes de Privacidad de los EE. UU., la Finalidad Permitida constituye la finalidad limitada y específica para la cual se divulgan los Datos Personales.

“Datos Personales” tiene el significado atribuido por la Legislación de Protección de Datos y comprende información relacionada con una persona física identificada o identificable o, conforme a las Leyes de Privacidad de los EE. UU., información relacionada con un consumidor, hogar o dispositivo.

“Autoridad Pública” significa cualquier gobierno nacional, supranacional, federal, estatal, provincial, local o extranjero, o cualquiera de sus subdivisiones políticas, así como cualquier agencia, autoridad, organismo, autoridad reguladora o supervisora, organismo de aplicación de la ley, tribunal o instancia judicial.

“Transferencia Restringida” significa una transferencia de Datos Personales realizada por una Parte que actúa como exportadora hacia un importador ubicado en una jurisdicción que no haya sido reconocida por la Legislación de Protección de Datos aplicable como proveedora de un nivel adecuado de protección.

“Incidente de Seguridad” significa cualquier destrucción, pérdida, alteración o divulgación accidental, no autorizada o ilícita de Datos Personales, o cualquier acceso a dichos datos, cuando tales Datos Personales sean tratados por una Parte en relación con el Contrato.

“Medidas de Seguridad” significa los requisitos de seguridad de IBOPE conforme se detallan y se encuentran disponibles en Fifty5Blue Security Measures – Fifty5Blue.
“Cláusulas Contractuales Tipo” significa, según corresponda:

  1. respecto de los datos personales sujetos a la Ley de Protección de Datos de Argentina, el contrato modelo denominado Contrato modelo de transferencia internacional de datos personales con motivo de prestación de servicios, adoptado por la Agencia de Protección de Datos de la República Argentina mediante la Disposición 60-E/2016 e incorporado al presente DSA por referencia (“Cláusulas Contractuales Tipo de Argentina”).
  2. respecto de los datos personales sujetos a la LGPD, las cláusulas contractuales tipo establecidas en el Anexo II de la Resolución CD/ANPD n.º 19, de 23 de agosto de 2024, incorporadas al presente DSA por referencia (“Cláusulas Contractuales Tipo de Brasil”);
  3. respecto de los datos personales sujetos al GDPR, las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas por la Comisión Europea mediante la Decisión (UE) 2021/914, incluyendo todos los módulos, incorporadas al presente DSA por referencia (“Cláusulas Contractuales Tipo de la UE”)
  4. respecto de los datos personales sujetos a la FADP, las Cláusulas Contractuales Tipo de la UE, según resulten aplicables en Suiza, incluyendo todos los módulos, incorporadas a este DSA por referencia (“Cláusulas Contractuales Tipo Suizas”)
  5. respecto de los datos personales sujetos a la Ley Turca de Protección de Datos Personales n.º 6698, de 24 de marzo de 2016, los contratos tipo adoptados en virtud del Reglamento sobre Procedimientos y Principios para la Transferencia Internacional de Datos Personales, publicado en el Diario Oficial el 10 de julio de 2024, n.º 32598, incluyendo todos los contratos tipo, incorporados a este DSA por referencia (“Cláusulas Contractuales Tipo de Turquía”)
  6. respecto de los datos personales sujetos al UK GDPR, las Cláusulas Contractuales Tipo de la UE, modificadas por el Adendo del Reino Unido a las Cláusulas Contractuales Tipo de la Comisión Europea emitido por el Information Commissioner de conformidad con la sección 119A(1) de la Data Protection Act 2018, incluyendo todos los módulos, incorporadas a este DSA por referencia (“Cláusulas Contractuales Tipo del Reino Unido”)
  7. vii. respecto de los datos personales sujetos a la Ley n.º 18.331 sobre Protección de Datos Personales y Habeas Data de 2008, el Modelo de Acuerdo para la Transferencia Internacional de Datos Personales de Responsable del Tratamiento a Responsable del Tratamiento adoptado mediante la Resolución n.º 41/021, incorporado a este DSA por referencia (“Cláusulas Contractuales Tipo de Uruguay”)

y, cuando así lo exija la legislación aplicable, las Partes deberán celebrar íntegramente las Cláusulas Contractuales Tipo, en lugar de incorporarlas únicamente por referencia.

1.2 Los términos “medidas técnicas y organizativas apropiadas”, “responsable del tratamiento”, “titular de los datos”, “encargado del tratamiento”, “tratamiento”, “subencargado del tratamiento” y “autoridad de control” deberán interpretarse conforme a la Legislación de Protección de Datos; y los términos “empresa” (business), “consumidor” (consumer), “venta” (sale), “vender” (sell), “prestador de servicios” (service provider) y “compartir” (share) deberán interpretarse conforme a las Leyes de Privacidad de los EE. UU.

1.3 En este DSA, una referencia al singular incluye el plural y viceversa. Las palabras “incluye” e “incluyendo” significan “incluido sin limitación”. Cualquier ejemplo tiene únicamente carácter ilustrativo

1.4 Salvo que el contexto exija lo contrario, toda referencia en este DSA a una cláusula, cronograma o anexo corresponde a una cláusula, cronograma o anexo del presente DSA.

1.5 Los títulos se incluyen únicamente por conveniencia y no afectarán el significado ni la interpretación de este DSA o de sus cronogramas y anexos.

1.6 En caso de conflicto entre este DSA y las Cláusulas Contractuales Tipo, las Cláusulas Contractuales Tipo prevalecerán en la medida necesaria para garantizar el cumplimiento de la Legislación de Protección de Datos.

2 Obligaciones de Protección de Datos

2.1 Cada Parte declara y garantiza que cumplirá, en todo momento, con sus obligaciones conforme a la Legislación de Protección de Datos aplicable.

2.2 Las Partes reconocen y acuerdan que, entre ellas, cada una actúa como Responsable del Tratamiento independiente o empresa (según corresponda conforme a la Legislación de Protección de Datos). Nada de lo dispuesto en el Contrato o en este Acuerdo de Compartición/Intercambio de Datos (DSA) crea una relación de corresponsabilidad entre las Partes, y ninguna Parte instruye a la otra en calidad de Encargado del Tratamiento, prestador de servicios u operador.

2.3 Una Parte (el “Proveedor de Datos”) podrá, ocasionalmente y a su exclusiva discreción, compartir con la otra Parte (el “Destinatario de los Datos”) Datos Personales para las Finalidades Permitidas.

2.4 El Proveedor de Datos deberá:

2.4.1 proporcionar a los titulares de los datos a los que se refieren los Datos Personales información adecuada acerca de cómo el Proveedor de Datos tratará los Datos Personales, conforme a lo exigido por la Legislación de Protección de Datos, incluyendo el hecho de que los Datos Personales podrán ser compartidos con el Destinatario de los Datos para las Finalidades Permitidas;

2.4.2 garantizar que, cuando comparta Datos Personales con el Destinatario de los Datos

  1. exista una Base Legal adecuada conforme a la Legislación de Protección de Datos aplicable a dicha compartición;
  2. el Proveedor de Datos adopte medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, alcance, contexto y finalidades del tratamiento, con el fin de garantizar un nivel de seguridad adecuado al riesgo; y
  3. dicha compartición cumpla con todos los demás requisitos aplicables al Proveedor de Datos conforme a la Legislación de Protección de Datos

2.5 El Destinatario de los Datos deberá:

2.5.1 proporcionar a los titulares de los datos a los que se refieren los Datos Personales información adecuada sobre la manera en que el Destinatario de los Datos realizará el Tratamiento de los Datos Personales, cuando y en la medida en que así lo exija la Legislación de Protección de Datos;

2.5.2 con sujeción a la cláusula 2.5.3, tratar los Datos Personales exclusivamente para las Finalidades Permitidas y conservar los Datos Personales únicamente durante el tiempo necesario para alcanzar dichas finalidades;

garantizar que cualquier Tratamiento de Datos Personales para cualquier finalidad o duración más allá de las Finalidades Permitidas (“Finalidades Adicionales”) cumpla con la Legislación de Protección de Datos aplicable. Respecto de dichas Finalidades Adicionales, el Destinatario de los Datos deberá:

  1. obtener el consentimiento previo y por escrito del Proveedor de Datos para las Finalidades Adicionales, salvo cuando la legislación aplicable disponga lo contrario;
  2. garantizar que dispone de una Base Legal apropiada para dichas Finalidades Adicionales; y
  3. proporcionar a los titulares de los datos información adecuada acerca de dichas Finalidades Adicionales;

2.5.3 garantizar que el personal del Destinatario de los Datos con acceso a los Datos Personales:

  1. esté debidamente autorizado para tratar los Datos Personales únicamente conforme a lo permitido por este DSA y por el Contrato;
  2. esté sujeto a un deber vinculante de confidencialidad o a una obligación legal apropiada de confidencialidad;
  3. haya recibido formación adecuada sobre el cuidado, protección y manejo de Datos Personales; y
  4. sea confiable y competente para desempeñar sus funciones;

2.5.4 con sujeción a la cláusula 2.5.6, garantizar que cualquier tercero al que el Destinatario de los Datos facilite Datos Personales, incluyendo cualquier Encargado del Tratamiento o Responsable del Tratamiento

  1. cumpla con la Legislación de Protección de Datos aplicable, incluyendo la obligación de proporcionar el mismo nivel de protección de los Datos Personales que los Responsables del Tratamiento o empresas están obligados a proporcionar conforme a la legislación aplicable; y
  2. esté vinculado por un acuerdo escrito que cumpla con la Legislación de Protección de Datos aplicable y que imponga obligaciones de confidencialidad, seguridad y protección de datos no menos protectoras que las establecidas en este DSA.

El Destinatario de los Datos reconoce que el Proveedor de Datos no actúa como Responsable del Tratamiento respecto de ninguna Transferencia Ulterior de Datos Personales y que cualquier Encargado del Tratamiento contratado por el Destinatario de los Datos no actúa como Encargado del Tratamiento del Proveedor de Datos

2.5.5 No divulgar ni conceder acceso a ningún Dato del Proveedor de Datos a ninguna Autoridad Pública sin la autorización previa y por escrito del Proveedor de Datos, salvo cuando dicha divulgación sea exigida por la legislación aplicable, incluida una solicitud legalmente vinculante de una Autoridad Pública. Para evitar cualquier duda, el Destinatario de los Datos no deberá responder a ninguna solicitud voluntaria, informal o no vinculante de una Autoridad Pública sin la autorización previa y por escrito del Proveedor de Datos. En caso de una solicitud legalmente vinculante, el Destinatario de los Datos deberá:

  1. notificar inmediatamente al Proveedor de Datos al recibir dicha solicitud y antes de cualquier divulgación, salvo que la ley lo prohíba, proporcionando toda la información razonablemente necesaria para evaluar la solicitud;
  2. limitar la divulgación al mínimo de Datos del Proveedor de Datos exigido por la legislación aplicable; y
  3. realizar los mejores esfuerzos para impugnar, resistir o limitar el alcance de dicha divulgación en la máxima medida permitida por la ley.

2.5.6 No vender ni compartir Datos Personales recibidos del Proveedor de Datos, ni utilizarlos para publicidad conductual entre contextos (cross-context behavioural advertising), salvo cuando esté expresamente permitido en el Contrato y en cumplimiento de la legislación aplicable.

2.6 Si una Parte toma conocimiento de cualquier inexactitud en los Datos Personales que trate, deberá corregir dicha inexactitud tan pronto como sea razonablemente posible e informar a la otra Parte en consecuencia.

2.7 Salvo que se disponga expresamente en el Contrato o que lo exija la Legislación de Protección de Datos aplicable, ninguna de las Partes deberá:

2.7.1 intentar reidentificar cualesquiera Datos anonimizados, pseudonimizados o desidentificados de la otra Parte que le hayan sido divulgados o puestos a disposición en relación con el Contrato;

2.7.2 agregar, pseudonimizar, anonimizar o desidentificar los Datos de la otra Parte; o

2.8 tratar los Datos de la otra Parte, incluidos Datos Personales anonimizados o pseudonimizados, en relación con, o para fines de desarrollo, entrenamiento, pruebas, mejora, soporte o cualquier otra forma de utilización de modelos de lenguaje de gran tamaño (large language models), modelos de machine learning, foundation models, sistemas de inteligencia artificial generativa o cualquier otro sistema de inteligencia artificial o sistema automatizado de toma de decisiones, o tecnología similar. Esta prohibición incluye la generación de datos sintéticos, la combinación con cualesquiera otros datos o contenidos y la generación de resultados (outputs) o modelos basados en dichos datos.

2.9 Salvo que se disponga expresamente en el Contrato, cada Parte reconoce que, entre ellas, IBOPE posee todos los derechos, títulos e intereses sobre los Datos de IBOPE, y el Socio posee todos los derechos, títulos e intereses sobre los Datos del Socio. Nada de lo previsto en esta cláusula afectará los derechos de cualquiera de las Partes sobre cualquier propiedad intelectual, herramientas, modelos o metodologías preexistentes, siempre que dichos derechos no incluyan los Datos o los Datos Personales de la otra Parte.

3 Seguridad

3.1 Cada Parte deberá implementar y mantener medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo medidas destinadas a proteger la confidencialidad, integridad, disponibilidad y resiliencia de los Datos Personales frente a un Incidente de Seguridad. Cada Parte deberá revisar y actualizar dichas medidas periódicamente y, en cualquier caso, siempre que sea necesario para mantener un nivel adecuado de seguridad, teniendo en cuenta los riesgos presentados por el Tratamiento.

3.2 Incidentes de Seguridad

3.2.1 Cada Parte deberá mantener medidas técnicas y organizativas apropiadas destinadas a detectar, responder y gestionar Incidentes de Seguridad, incluyendo procedimientos para:

  1. identificar y responder inmediatamente a Incidentes de Seguridad razonablemente sospechados o conocidos, incluyendo la mitigación de cualesquiera efectos perjudiciales
  2. documentar los Incidentes de Seguridad y sus respectivos resultados; y
  3. restablecer oportunamente la disponibilidad y el acceso a los Datos Personales.

3.2.2 Si una Parte sufre un Incidente de Seguridad, deberá:

  1. realizar todas las notificaciones a la(s) autoridad(es) de control competente(s) y a cualquier titular de datos afectado, según lo exija la Legislación de Protección de Datos aplicable
  2. informar a la otra Parte sin demora indebida, proporcionando detalles razonables acerca del Incidente de Seguridad; y
  3. no divulgar ni publicar comunicaciones, avisos, comunicados de prensa, informes u otras declaraciones públicas que identifiquen a la otra Parte en relación con el Incidente de Seguridad sin la autorización previa y por escrito de dicha Parte, salvo cuando sea exigido por la legislación aplicable.

4 Transferencia Restringidas

4.1 Cuando la transferencia de Datos Personales entre las Partes constituya una Transferencia Restringida, las Partes deberán garantizar que dicha transferencia se lleve a cabo mediante la adopción de salvaguardas apropiadas, de conformidad con la Legislación de Protección de Datos aplicable. Dichas salvaguardas incluirán, cuando corresponda, la celebración de las Cláusulas Contractuales Tipo o la implementación de un mecanismo alternativo de transferencia reconocido por la Legislación de Protección de Datos.

4.2 Cuando las Partes se basen en las Cláusulas Contractuales Tipo como mecanismo de transferencia:

4.2.1 Para los fines de las Cláusulas Contractuales Tipo de Argentina, la información relativa al Tratamiento de Datos Personales para el Anexo A será la establecida en el Contrato y el Destinatario de los Datos acepta que sus obligaciones conforme a las Cláusulas Contractuales Tipo de Argentina se regirán por las leyes de Argentina;

4.2.2 Para los fines de las Cláusulas Contractuales Tipo de Brasil: (a) cada Parte actúa como Responsable del Tratamiento; (b) para la cláusula 2 (Objeto), la finalidad de la transferencia, las categorías de Datos Personales, el período de retención y demás informaciones serán las establecidas en el Contrato; (c) para la cláusula 3 (Transferencias Ulteriores), se aplicará la Opción A; (d) para la cláusula 4 (Responsabilidades de las Partes), se aplicará la Opción A y el Proveedor de Datos será responsable de: (i) proporcionar avisos de privacidad a los titulares de los datos; (ii) responder a las Solicitudes de los Titulares de los Datos; y (iii) notificar Incidentes de Seguridad; (e) para la Sección III, se aplicarán las Medidas de Seguridad.

4.2.3 Para los fines de las Cláusulas Contractuales Tipo de la Unión Europea: (a) se aplicará el Módulo 1; (b) el Proveedor de Datos actuará como Exportador de Datos y el Destinatario de los Datos actuará como Importador de Datos; (c) la cláusula 7 (Cláusula de Adhesión – Docking Clause) queda incorporada; (d) la disposición opcional de la cláusula 11 (Reparación) no quedará incorporada ni será aplicable; (e) para la cláusula 13 (Supervisión) y el Anexo I.C (Autoridad de Control Competente), la autoridad de control será aquella competente conforme al GDPR respecto del Proveedor de Datos; (f) para la cláusula 17 (Ley Aplicable), la legislación aplicable será la legislación del Contrato o, si dicha legislación no corresponde a un Estado Miembro de la Unión Europea que reconozca derechos de terceros beneficiarios, la legislación de los Países Bajos; (g) para la cláusula 18 (Elección de Foro y Jurisdicción), los tribunales de los Países Bajos tendrán jurisdicción; (h) el contenido del Anexo I.B (Descripción de la Transferencia) será el establecido en el Contrato; y (i) el contenido del Anexo II (Medidas Técnicas y Organizativas) será el establecido en las Medidas de Seguridad.

4.2.4 Para los fines de las Cláusulas Contractuales Tipo Suizas, las Cláusulas Contractuales Tipo de la UE se aplicarán conforme a la cláusula correspondiente de este DSA, excepto que: (a) las referencias al GDPR incluirán también la FADP; (b) las referencias al Reglamento (UE) 2018/1725 serán eliminadas; (c) las referencias a “Unión”, “UE” y “Estado Miembro de la UE” no deberán interpretarse de forma que excluyan a los titulares de datos ubicados en Suiza de ejercer sus derechos en Suiza conforme a la cláusula 18(c) de las Cláusulas Contractuales Tipo de la UE; (d) la cláusula 13(a) y el Anexo I.C no serán utilizados y la autoridad de control competente será el Comisionado Federal Suizo de Protección de Datos e Información (FDPIC); (e) las cláusulas se regirán por la legislación de Suiza; y (f) las Partes acuerdan que cualquier controversia derivada de las Cláusulas Contractuales Tipo Suizas será resuelta por los tribunales de Suiza.

4.2.5 Para los fines de las Cláusulas Contractuales Tipo de Turquía: (a) se aplicará el contrato estándar 1; (b) para la cláusula 9 (Reparación), la disposición opcional no será aplicable; (c) para la cláusula 15 (Notificación), el Proveedor de Datos deberá notificar a la autoridad de control; (d) la información exigida por el Anexo I (Descripción de las Transferencias) será la establecida en el Contrato, excepto que: (i) la Base Legal para la transferencia será el interés legítimo del Proveedor de Datos; y (ii) la información de registro VERBİS del Proveedor de Datos será la correspondiente al registro aplicable del Proveedor de Datos o de su Afiliada turca; y (e) la información requerida por el Anexo II (Medidas Técnicas y Organizativas) será la establecida en las Medidas de Seguridad.

4.2.6 Para los fines de las Cláusulas Contractuales Tipo del Reino Unido: (a) la información exigida por la Tabla 1 será la establecida en el Contrato; (b) la información exigida por la Tabla 2 será la establecida en esta sección del DSA, excepto que: (i) las Cláusulas Contractuales Tipo del Reino Unido se regirán por la legislación de Inglaterra y Gales; (ii) cualquier controversia derivada de dichas cláusulas será resuelta por los tribunales de Inglaterra y Gales; (iii) el UK GDPR se aplicará al Tratamiento de Datos Personales realizado por el Destinatario de los Datos en calidad de Importador de Datos; y (iv) las Partes revisarán este DSA periódicamente para garantizar que siga siendo preciso, actualizado y continúe proporcionando salvaguardas apropiadas a los Datos Personales; (c) la información exigida por la Tabla 3 será la establecida en el Contrato; y (d) para la Tabla 4, las Partes podrán finalizar las Cláusulas Contractuales Tipo del Reino Unido de conformidad con las disposiciones del Contrato y de este DSA; y

4.2.7 Para los fines de las Cláusulas Contractuales Tipo de Uruguay: (a) para la cláusula 8 (Reparación), la disposición opcional no será aplicable; (b) la información exigida por el Anexo B será la establecida en el Contrato; y (c) la información exigida por el Anexo C corresponderá a las Medidas de Seguridad.

4.3 Si cualquier mecanismo de transferencia utilizado conforme a este DSA fuera invalidado o dejara de constituir una salvaguarda válida, las Partes deberán discutir y cooperar de buena fe, de forma inmediata, para implementar un mecanismo alternativo de transferencia que garantice el cumplimiento continuo de la Legislación de Protección de Datos.

4.4 El Destinatario de los Datos declara y garantiza que no tiene motivos para creer que las leyes y prácticas que le resultan aplicables, incluidas cualesquiera obligaciones de divulgación de Datos Personales a Autoridades Públicas, impidan el cumplimiento de sus obligaciones conforme a este DSA o conforme a las Cláusulas Contractuales Tipo aplicables. En particular, el Destinatario de los Datos deberá notificar inmediatamente al Proveedor de Datos, de conformidad con la cláusula 2.5.6, cuando:

4.4.1 el Destinatario de los Datos reciba una solicitud de una Autoridad Pública, tome conocimiento de cualquier acceso directo por una Autoridad Pública a Datos Personales o tome conocimiento de cualquier circunstancia que pueda afectar su capacidad para cumplir las Cláusulas Contractuales Tipo; o

4.4.2 el Destinatario de los Datos determine que no puede cumplir las Cláusulas Contractuales Tipo ni proporcionar un nivel de protección esencialmente equivalente respecto de Datos Personales sujetos a una Transferencia Restringida. En tal caso, el Proveedor de Datos podrá, a su exclusiva discreción: (a) suspender la Transferencia Restringida; (b) exigir al Destinatario de los Datos que cese el Tratamiento de los Datos Personales; y/o (c) resolver el Contrato o el Tratamiento afectado sin coste ni responsabilidad.

4.5 Las Partes deberán cooperar de forma inmediata y de buena fe para abordar nuevas Legislaciones de Protección de Datos que afecten las Transferencias Restringidas y que entren en vigor durante la vigencia del Contrato, incluyendo la celebración de acuerdos adicionales o el cumplimiento de formalidades exigidas por dichas leyes.

5 Exclusión

El Destinatario de los Datos deberá conservar los Datos Personales recibidos del Proveedor de Datos únicamente durante el tiempo necesario para: (a) las Finalidades Permitidas; (b) según sea exigido por la legislación aplicable; o c) el establecimiento, ejercicio o defensa de reclamaciones legales (el “Período de Retención”). Al finalizar el Período de Retención, el Destinatario de los Datos deberá garantizar la destrucción segura de los Datos Personales, excluyendo cualquier copia archivada generada automáticamente, tales como aquellas creadas por rutinas de respaldo o sistemas de recuperación ante desastres, siempre que dichas copias: (a) se conserven de conformidad con las obligaciones de confidencialidad previstas en este Acuerdo; (b) no sean accedidas ni utilizadas para ninguna finalidad distinta de la recuperación o el respaldo; y (c) sean eliminadas conforme a las políticas estándar de retención de datos del Destinatario de los Datos o durante la próxima eliminación programada de dichos sistemas de archivo, lo que ocurra primero. La destrucción segura incluye la eliminación permanente o la anonimización irreversible de los Datos Personales.

6 Disposiciones Generales

6.1 Supervivencia. Las obligaciones de cada Parte conforme a este DSA sobrevivirán a la expiración o terminación del Contrato y continuarán vigentes mientras una Parte trate, conserve o tenga acceso de cualquier otra forma a los Datos Personales de la otra Parte.

6.2 Actualizaciones. IBOPE podrá actualizar este DSA periódicamente cuando resulte razonablemente necesario para reflejar modificaciones en la Legislación de Protección de Datos, decisiones judiciales u orientaciones emitidas por Autoridades de Control. Dichas actualizaciones entrarán en vigor treinta (30) días después de su notificación al Socio, y el Socio acepta quedar vinculado por la versión actualizada del DSA una vez que ésta entre en vigor.