Inicio → Protección de datos → Acuerdo De Tratamiento De Datos

Acuerdo De Tratamiento De Datos

Este Acuerdo de Tratamiento de Datos (“DPA”) forma parte de un contrato (o de la orden de servicio aplicable sujeta a dicho contrato) celebrado entre IBOPE (siendo la entidad contratante identificada en el contrato o en la orden de servicio aplicable y, cuando corresponda, sus Afiliadas) (“IBOPE”) y la contraparte identificada en el contrato (“Proveedor”), el cual incorpora este DPA por referencia o menciona la URL donde se encuentra este DPA (el “Contrato”). Este DPA no limita ninguna otra obligación del Proveedor, incluidas aquellas previstas en el Contrato o en la legislación aplicable. En caso de conflicto entre este DPA y el Contrato, los términos de este DPA prevalecerán exclusivamente en lo que respecta al Tratamiento de Datos Personales.

1 Definiciones Y Interpretación

1.1 En este DPA, los términos que comiencen con letra mayúscula tendrán el significado establecido en esta cláusula 1.1, independientemente de que dichos términos estén o no definidos en el Contrato. Los términos definidos con letra mayúscula utilizados, pero no definidos en este DPA, tendrán los significados atribuidos a dichos términos en el Contrato. Cualquier término utilizado en este DPA que no esté definido en este DPA o en el Contrato tendrá el significado atribuido por la Legislación de Protección de Datos. Cuando un término esté definido tanto en este DPA como en la Legislación de Protección de Datos, prevalecerá la definición necesaria para garantizar el cumplimiento de la Legislación de Protección de Datos.

“Finalidad Comercial” tiene el significado establecido en la Sección 1798.140(e) del Código Civil de California (CA Civ Code) o concepto equivalente conforme a las Leyes de Privacidad de los EE.UU. aplicables.

“Legislación de Protección de Datos” significa, según resulte aplicable al Tratamiento de Datos Personales, cualquier ley o reglamento nacional, federal, estatal, provincial, de la Unión Europea o de cualquier otra jurisdicción relacionado con la privacidad, la seguridad de la información o la protección de datos, incluyendo el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al Tratamiento de Datos Personales y a la libre circulación de dichos datos (“GDPR”); el Reglamento General de Protección de Datos del Reino Unido, conforme se define en la sección 3(10) de la Data Protection Act 2018 (“UK GDPR”); la Ley Federal Suiza de Protección de Datos (“FADP”); la Ley Brasileña n.º 13.709, de 14 de agosto de 2018 (“LGPD”); la California Consumer Privacy Act of 2018, Código Civil de California § 1798.100 y siguientes, según sea modificada (“CCPA”); y otras leyes federales y estatales de privacidad aplicables en los Estados Unidos (conjuntamente con la CCPA, las “Leyes de Privacidad de los EE. UU.”), así como cualquier legislación complementaria, reglamentos, orientaciones o códigos de conducta emitidos por autoridades de control, según sean modificados, sustituidos o actualizados periodicamente.

“Solicitud del Titular de los Datos” significa cualquier solicitud presentada por un titular de datos o consumidor para ejercer derechos previstos en la Legislación de Protección de Datos aplicable, incluidos los derechos de acceso, rectificación, limitación del tratamiento, supresión, portabilidad y oposición al tratamiento.

“Datos de IBOPE” significa cualquier información, en cualquier forma, formato o soporte, proporcionada o puesta a disposición del Proveedor en relación con el Contrato, junto con todos los derivados, modelos, análisis, adaptaciones y agregaciones creados a partir de dicha información o basados en ella.

“Datos Personales de IBOPE” significa los Datos de IBOPE que constituyen Datos Personales.

“Datos Personales” tiene el significado atribuido por la Legislación de Protección de Datos y comprende información relacionada con una persona física identificada o identificable o, conforme a las Leyes de Privacidad de los EE. UU., información relacionada con un consumidor, hogar o dispositivo.

“Autoridad Pública” significa cualquier gobierno nacional, supranacional, federal, estatal, provincial, local o extranjero, o cualquiera de sus subdivisiones políticas, así como cualquier agencia, autoridad, organismo, autoridad reguladora o supervisora, organismo de aplicación de la ley, tribunal o instancia judicial.

“Transferencia Restringida” significa una transferencia de Datos Personales realizada por una Parte que actúa como exportadora hacia un importador ubicado en una jurisdicción que no haya sido reconocida por la Legislación de Protección de Datos aplicable como proveedora de un nivel adecuado de protección.

“Incidente de Seguridad” significa cualquier destrucción, pérdida, alteración o divulgación accidental, no autorizada o ilícita de, o acceso a, Datos Personales de IBOPE tratados por el Proveedor en relación con los Servicios, incluida cualquier infracción de las Medidas de Seguridad.

“Medidas de Seguridad” significa los requisitos de seguridad de IBOPE conforme se detallan y se encuentran disponibles en Fifty5Blue Security Measures – Fifty5Blue.

“Cláusulas Contractuales Tipo” significa, según corresponda:

respecto de los datos personales sujetos a la Ley de Protección de Datos de Argentina, el contrato modelo denominado Contrato modelo de transferencia internacional de datos personales con motivo de prestación de servicios, adoptado por la Agencia de Protección de Datos de la República Argentina mediante la Disposición 60-E/2016 e incorporado al presente DPA por referencia (“Cláusulas Contractuales Tipo de Argentina”).
respecto de los datos personales sujetos a la LGPD, las cláusulas contractuales tipo establecidas en el Anexo II de la Resolución CD/ANPD n.º 19, de 23 de agosto de 2024, incorporadas al presente DSA por referencia (“Cláusulas Contractuales Tipo de Brasil”);
respecto de los datos personales sujetos al GDPR, las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas por la Comisión Europea mediante la Decisión (UE) 2021/914, incluyendo todos los módulos, incorporadas al presente DPA por referencia (“Cláusulas Contractuales Tipo de la UE”)
respecto de los datos personales sujetos a la FADP, las Cláusulas Contractuales Tipo de la UE, según resulten aplicables en Suiza, incluyendo todos los módulos, incorporadas a este DPA por referencia (“Cláusulas Contractuales Tipo Suizas”)
respecto de los datos personales sujetos a la Ley Turca de Protección de Datos Personales n.º 6698, de 24 de marzo de 2016, los contratos tipo adoptados en virtud del Reglamento sobre Procedimientos y Principios para la Transferencia Internacional de Datos Personales, publicado en el Diario Oficial el 10 de julio de 2024, n.º 32598, incluyendo todos los contratos tipo, incorporados a este DPA por referencia (“Cláusulas Contractuales Tipo de Turquía”)
respecto de los datos personales sujetos al UK GDPR, las Cláusulas Contractuales Tipo de la UE, modificadas por el Adendo del Reino Unido a las Cláusulas Contractuales Tipo de la Comisión Europea emitido por el Information Commissioner de conformidad con la sección 119A(1) de la Data Protection Act 2018, incluyendo todos los módulos, incorporadas a este DPA por referencia (“Cláusulas Contractuales Tipo del Reino Unido”)
respecto de los datos personales sujetos a la Ley n.º 18.331 sobre Protección de Datos Personales y Habeas Data de 2008, el Modelo de Acuerdo para la Transferencia Internacional de Datos Personales de Responsable del Tratamiento a Responsable del Tratamiento adoptado mediante la Resolución n.º 41/021, incorporado a este DPA por referencia (“Cláusulas Contractuales Tipo de Uruguay”)

y, cuando así lo exija la legislación aplicable, las Partes deberán celebrar íntegramente las Cláusulas Contractuales Tipo, en lugar de incorporarlas únicamente por referencia.

1.2 Los términos “medidas técnicas y organizativas apropiadas”, “responsable del tratamiento”, “titular de los datos”, “encargado del tratamiento”, “tratamiento”, “subencargado del tratamiento” y “autoridad de control” deberán interpretarse conforme a la Legislación de Protección de Datos; y los términos “empresa” (business), “consumidor” (consumer), “venta” (sale), “vender” (sell), “prestador de servicios” (service provider) y “compartir” (share) deberán interpretarse conforme a las Leyes de Privacidad de los EE. UU.

1.3 En este DPA, una referencia al singular incluye el plural y viceversa. Las palabras “incluye” e “incluyendo” significan “incluido sin limitación”. Cualquier ejemplo tiene únicamente carácter ilustrativo

1.4 Salvo que el contexto exija lo contrario, toda referencia en este DPA a una cláusula, cronograma o anexo corresponde a una cláusula, cronograma o anexo del presente DPA.

1.5 Los títulos se incluyen únicamente por conveniencia y no afectarán el significado ni la interpretación de este DPA o de sus cronogramas y anexos.

1.6 En caso de conflicto entre este DPA y las Cláusulas Contractuales Tipo, las Cláusulas Contractuales Tipo prevalecerán en la medida necesaria para garantizar el cumplimiento de la Legislación de Protección de Datos.

2 Roles de las Partes

2.1 Las Partes acuerdan que este DPA se aplicará a cualesquiera Datos Personales que el Proveedor trate en el curso de la prestación de los Servicios.

2.2 Las Partes acuerdan que IBOPE es el Responsable del Tratamiento o empresa (según corresponda conforme a la Legislación de Protección de Datos), y que el Proveedor es el Encargado del Tratamiento, Encargado del Tratamiento o Prestador de Servicios (según corresponda conforme a la Legislación de Protección de Datos). El Proveedor declara y garantiza que comprende las obligaciones que le impone este DPA y que las cumplirá. El Proveedor deberá notificar inmediatamente a IBOPE si considera que está legalmente obligado a determinar las finalidades o los medios esenciales del tratamiento.

2.3 El objeto del Tratamiento es la ejecución de los Servicios. Las obligaciones y los derechos de IBOPE se establecen en este DPA. El Acuerdo establece la naturaleza, la duración y la finalidad del Tratamiento, la Finalidad Comercial (cuando resulte aplicable conforme a las Leyes de Privacidad de los EE.UU.), los tipos de Datos Personales tratados por el Proveedor y las categorías de titulares cuyos Datos Personales son tratados.

2.4 Salvo que se disponga expresamente en el Acuerdo, el Proveedor reconoce que, entre el Proveedor e IBOPE, IBOPE posee todos los derechos, títulos e intereses sobre los Datos de IBOPE. Nada de lo dispuesto en esta cláusula afecta los derechos del Proveedor sobre cualquier propiedad intelectual, herramientas, modelos o metodologías preexistentes, siempre que dichos derechos no incluyan Datos de IBOPE ni Datos Personales de IBOPE.

3 Obligaciones del Proveedor

3.1 Cuando el Proveedor, o cualquier Subencargado del Tratamiento contratado por el Proveedor, realice el Tratamiento de Datos Personales de IBOPE conforme al Acuerdo, el Proveedor declara y garantiza, por sí mismo y por cada Subencargado del Tratamiento, que deberá:

3.1.1 cumplir, en todo momento, la Legislación de Protección de Datos aplicable y notificar inmediatamente a IBOPE si, en opinión del Proveedor, una instrucción dada por IBOPE para el Tratamiento de Datos Personales infringe la Legislación de Protección de Datos aplicable;

3.1.2 realizar el Tratamiento de Datos Personales únicamente de conformidad con las instrucciones documentadas de IBOPE, las cuales podrán consistir en instrucciones específicas, instrucciones de carácter general establecidas en el Acuerdo u otras instrucciones acordadas entre las Partes periódicamente. El Proveedor no deberá:

tratar Datos Personales de IBOPE para ninguna finalidad distinta de la prestación de los Servicios o de la Finalidad Comercial especificada por IBOPE, salvo que el Proveedor esté obligado a hacerlo por la legislación aplicable; en tal caso, el Proveedor deberá informar previamente a IBOPE, salvo que dicha comunicación esté prohibida por ley por razones relevantes de interés público;
vender, compartir o utilizar de cualquier otra forma Datos Personales de IBOPE para publicidad conductual entre contextos (cross-context behavioural advertising), publicidad dirigida, elaboración de perfiles con fines de marketing o publicidad, o para cualquier finalidad comercial que se encuentre fuera de la relación comercial directa con IBOPE;

3.1.3 actuar únicamente como Encargado del Tratamiento, Prestador de Servicios o Encargado del Tratamiento, o en una función equivalente según la definición de la Legislación de Protección de Datos, y no como Responsable del Tratamiento, empresa o función equivalente

3.1.4 garantizar que el personal (incluido el de cualquier Subencargado del Tratamiento) con acceso a los Datos Personales de IBOPE:

esté debidamente autorizado para tratar Datos Personales de IBOPE únicamente según lo permitido por este DPA y por el Acuerdo;
esté sujeto a un deber vinculante de confidencialidad o a una obligación legal apropiada de confidencialidad;
haya recibido formación adecuado sobre el cuidado, la protección y el tratamiento de Datos Personales; y
sea confiable y competente para desempeñar sus funciones

3.1.5 notificar a IBOPE, sin demora indebida (y, en cualquier caso, dentro de las cuarenta y ocho (48) horas siguientes), cualquier Solicitud del Titular de los Datos relacionada con Datos Personales de IBOPE. El Proveedor no deberá responder a dicha solicitud, salvo para confirmar su recepción y dirigir al titular a IBOPE, excepto cuando sea expresamente autorizado por escrito por IBOPE.

3.1.6 no divulgar ni conceder acceso a cualesquiera Datos de IBOPE a terceros, incluida cualquier Autoridad Pública, sin la autorización previa y por escrito de IBOPE, excepto cuando dicha divulgación sea:

a un Subencargado del Tratamiento, cuando sea necesaria para la ejecución de los Servicios conforme al Acuerdo y de conformidad con la cláusula 5; o
exigida por la legislación aplicable, incluida una solicitud legalmente vinculante de una Autoridad Pública. Para mayor claridad, el Proveedor no deberá responder a ninguna solicitud voluntaria, informal o no vinculante de una Autoridad Pública sin la autorización previa y por escrito de IBOPE. En caso de una solicitud legalmente vinculante, el Proveedor deberá: (i) notificar inmediatamente a IBOPE al recibir la solicitud y antes de cualquier divulgación, salvo que la ley lo prohíba, proporcionando toda la información razonablemente necesaria para que IBOPE evalúe la solicitud; (ii) limitar la divulgación al mínimo de Datos Personales exigido por la legislación aplicable; y (iii) realizar los mejores esfuerzos para impugnar, resistir o limitar el alcance de la divulgación en la máxima medida permitida por la legislación aplicable.

3.1.7 proporcionar cooperación y asistencia completas e inmediatas a IBOPE, teniendo en cuenta la naturaleza del Tratamiento y la información disponible para el Proveedor, y sin coste adicional, mediante:

la adopción de medidas técnicas y organizativas apropiadas, cuando corresponda, para ayudar a IBOPE a responder a Solicitudes de los Titulares de los Datos
la asistencia a IBOPE en el cumplimiento de sus obligaciones de notificación derivadas de un Incidente de Seguridad, tanto ante la autoridad de control competente como ante los titulares de los datos; y
la asistencia a IBOPE con: (i) cualquier evaluación de impacto relativa a la protección de datos realizada por IBOPE; y (ii) cualesquiera consultas previas realizadas ante una autoridad de control.

3.1.8 mantener registros de las actividades de Tratamiento realizadas en nombre de IBOPE conforme al Acuerdo, incluyendo:

las categorías de Tratamiento realizadas
cualesquiera transferencias internacionales de Datos Personales de IBOPE, incluyendo una lista de todos los países a los que se hayan transferido Datos Personales de IBOPE, así como los mecanismos de transferencia y demás salvaguardas utilizadas; y
una descripción general de las medidas técnicas y organizativas apropiadas implementadas para proteger los Datos Personales de IBOPE.

3.2 Salvo que IBOPE lo autorice expresamente en el Acuerdo o que así lo exija la Legislación de Protección de Datos aplicable, el Proveedor no deberá:

3.2.1 intentar reidentificar cualesquiera Datos de IBOPE anonimizados, seudonimizados o desidentificados obtenidos por el Proveedor en relación con los Servicios. Cuando el Proveedor trate Datos desidentificados de IBOPE sujetos a las Leyes de Privacidad de los EE.UU., el Proveedor deberá comprometerse públicamente a mantener y utilizar dichos datos en formato desidentificado y a no intentar reidentificarlos;

3.2.2 agregar, seudonimizar, anonimizar o desidentificar Datos Personales de IBOPE; o

3.2.3 tratar Datos de IBOPE, incluidos Datos Personales de IBOPE anonimizados o seudonimizados, ya sea por el Proveedor o por cualquier Subencargado del Tratamiento, en relación con o para fines de desarrollo, entrenamiento, prueba, mejora, soporte o cualquier otra forma de uso de cualquier modelo de lenguaje de gran tamaño (large language model), modelo de machine learning, foundation model, sistema de inteligencia artificial generativa u otro sistema de inteligencia artificial o sistema de toma de decisiones automatizada, o tecnología similar.

3.3 El Proveedor deberá, a su propio coste, poner a disposición de IBOPE toda la información razonablemente necesaria para demostrar el cumplimiento de este DPA, de las Medidas de Seguridad y de la Legislación de Protección de Datos, incluyendo mediante:

3.3.1 la cumplimentación de cuestionarios de protección de datos y seguridad de la información cuando le sean solicitados;

3.3.2 la sujeción a las condiciones establecidas en el Acuerdo, permitiendo y facilitando auditorías e inspecciones de las instalaciones del Proveedor y de los Subencargados del Tratamiento realizadas por IBOPE o por auditores autorizados por IBOPE, incluido el acceso a las instalaciones, recursos y personal utilizados para la prestación de los Servicios;

3.3.3 el suministro de registros y documentación precisos (incluyendo todas las políticas, procedimientos, documentos y comunicaciones) consistentes con las prácticas generalmente aceptadas;

3.3.4 permitir que IBOPE verifique la conformidad del Proveedor con las Medidas de Seguridad de IBOPE; y

3.3.5 adoptar medidas razonables y apropiadas, previa notificación de IBOPE, para detener y remediar cualquier uso no autorizado de Datos Personales de IBOPE
y el Proveedor deberá, a su propio coste, implementar cualesquiera modificaciones razonablemente solicitadas por IBOPE para corregir incumplimientos identificados durante dichas auditorías, inspecciones o verificaciones.

3.4 El Proveedor deberá notificar inmediatamente a IBOPE cualquier determinación (ya sea propia o de un Subencargado del Tratamiento) de que ya no puede cumplir sus obligaciones conforme a este DPA, al Acuerdo o a la Legislación de Protección de Datos aplicable

4 Seguridad

4.1 El Proveedor deberá implementar y mantener medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo medidas destinadas a proteger la confidencialidad, integridad, disponibilidad y resiliencia de los Datos Personales de IBOPE frente a un Incidente de Seguridad. El Proveedor deberá revisar y actualizar dichas medidas periódicamente y, en cualquier caso, siempre que sea necesario para mantener un nivel de seguridad adecuado, teniendo en cuenta los riesgos presentados por el Tratamiento. Dichas medidas deberán incluir, como mínimo, los requisitos establecidos en las Medidas de Seguridad.

4.2 Incidentes de Seguridad

4.2.1 El Proveedor deberá mantener medidas técnicas y organizativas apropiadas destinadas a detectar, responder y gestionar Incidentes de Seguridad, incluyendo procedimientos para:

identificar y responder inmediatamente a Incidentes de Seguridad razonablemente sospechados o conocidos, incluyendo la mitigación de cualesquiera efectos perjudiciales
documentar los Incidentes de Seguridad y sus respectivos resultados; y
restablecer oportunamente la disponibilidad y el acceso a los Datos Personales.

4.2.2 Salvo que la legislación aplicable exija lo contrario, si el Proveedor tiene conocimiento de un Incidente de Seguridad, o de información que razonablemente le lleve a sospechar que se ha producido un Incidente de Seguridad, el Proveedor deberá notificar a IBOPE sin demora indebida (y, en cualquier caso, dentro de cuarenta y ocho (48) horas) y proporcionar a IBOPE una descripción del Incidente de Seguridad, incluyendo, en la medida en que se conozca en ese momento:

el impacto probable del Incidente de Seguridad;
las categorías y el número aproximado de titulares afectados y sus países de residencia;
las categorías y el número aproximado de registros afectados;
el riesgo que el Incidente de Seguridad representa para los titulares; y
las medidas adoptadas o propuestas por el Proveedor para tratar el Incidente de Seguridad y mitigar sus efectos adversos (“Esfuerzos de Remediación”)

El Proveedor deberá proporcionar actualizaciones oportunas a medida que disponga de nueva información y en respuesta a solicitudes razonables de IBOPE

4.2.3 Tras cualquier Incidente de Seguridad, el Proveedor deberá consultar de buena fe a IBOPE respecto de los Esfuerzos de Remediación y deberá:

adoptar cualesquiera Esfuerzos de Remediación adicionales o alternativos razonablemente solicitados por IBOPE o por cualquier Autoridad Pública competente (incluida una autoridad de control competente), a cargo del Proveedor cuando el Incidente de Seguridad haya sido causado por un incumplimiento de este DPA por parte del Proveedor;
garantizar y proporcionar a IBOPE una confirmación por escrito de que se han adoptado y continúan adoptándose medidas razonables para evitar la recurrencia del mismo Incidente de Seguridad o de uno similar; y
cooperar razonablemente con cualesquiera Esfuerzos de Remediación llevados a cabo por IBOPE;

4.2.4 El Proveedor no deberá divulgar ni publicar registros, avisos, comunicados de prensa, informes u otras declaraciones públicas que identifiquen a IBOPE en relación con cualquier Incidente de Seguridad sin la autorización previa y por escrito de IBOPE, salvo cuando la legislación aplicable lo exija, en cuyo caso el Proveedor deberá notificar previamente a IBOPE.

4.2.5 O Fornecedor não deverá divulgar ou publicar quaisquer registros, avisos, comunicados de imprensa, relatórios ou outras declarações públicas que identifiquem o IBOPE em conexão com qualquer Incidente de Segurança, sem a autorização prévia e por escrito do IBOPE, salvo se exigido pela legislação aplicável, caso em que o Fornecedor deverá notificar o IBOPE antecipadamente.

4.2.6 No obstante cualquier disposición en contrario contenida en el Acuerdo, incluidas cualesquiera limitaciones de responsabilidad, y sin perjuicio de los demás derechos de IBOPE, el Proveedor deberá reembolsar a IBOPE todos los costes y gastos razonables incurridos como resultado directo de un Incidente de Seguridad, incluidos los costes de investigación, los Esfuerzos de Remediación, la notificación y la mitigación, en la medida en que el Incidente de Seguridad haya sido causado por el incumplimiento de este DPA por parte del Proveedor.

5 Subencargo del Tratamiento

5.1 El Proveedor no deberá divulgar, permitir el Tratamiento ni de cualquier otra forma poner a disposición Datos Personales de IBOPE a ningún Subencargado del Tratamiento, salvo cuando sea expresamente autorizado por IBOPE.

5.2 IBOPE autoriza a los Subencargados del Tratamiento identificados en: (a) el Acuerdo; o (b) la URL del Proveedor, siempre que dicha URL esté expresamente identificada y acordada en el Acuerdo.

5.3 No obstante cualquier disposición en contrario contenida en el Acuerdo, el Proveedor deberá:

5.3.1 exigir que cada Subencargado del Tratamiento, como condición para ejecutar los Servicios, celebre un acuerdo escrito con el Proveedor que contenga obligaciones de confidencialidad, seguridad y protección de datos tan protectoras como las previstas en este DPA;

5.3.2 garantizar que todos los Subencargados del Tratamiento cumplan íntegramente los términos de este DPA y seguir siendo responsable de cualquier incumplimiento cometido por un Subencargado del Tratamiento;

5.3.3 ser responsable de todos los actos y omisiones de cualquier Subencargado del Tratamiento; y

5.3.4 no permitir que ningún Subencargado del Tratamiento ceda, subcontrate o realice un subencargo adicional de sus obligaciones (salvo a una Afiliada del Proveedor) sin la autorización previa y por escrito de IBOPE.

5.4 El Proveedor deberá garantizar que cada Subencargado del Tratamiento que trate o acceda a Datos Personales de IBOPE:

5.4.1 sea competente para ejecutar los Servicios subcontratados de conformidad con este DPA y con el Acuerdo; y

5.4.2 haya implementado medidas técnicas y organizativas apropiadas para garantizar la confidencialidad, la seguridad y el cumplimiento de este DPA y del Acuerdo.

6 Transferencias Restringidas

6.1 Cuando la transferencia de Datos Personales de IBOPE al Proveedor constituya una Transferencia Restringida, las Partes deberán garantizar que dicha transferencia se lleve a cabo mediante la adopción de salvaguardas apropiadas, de conformidad con la Legislación de Protección de Datos aplicable. Dichas salvaguardas deberán incluir, cuando corresponda, la celebración de Cláusulas Contractuales Tipo o la implementación de un mecanismo alternativo de transferencia reconocido conforme a la Legislación de Protección de Datos.

6.2 Cuando las Partes se basen en las Cláusulas Contractuales Tipo (SCCs) como mecanismo de transferencia:

6.2.1 para los fines de las Cláusulas Contractuales Tipo de Argentina: los detalles del Tratamiento de Datos Personales para el Anexo A serán los establecidos en el Acuerdo, y el Proveedor acepta que sus obligaciones conforme a las Cláusulas Contractuales Tipo de Argentina se regirán por las leyes de Argentina;

6.2.2 para los fines de las Cláusulas Contractuales Tipo de Brasil: (a) IBOPE es el Responsable del Tratamiento y el Proveedor es el Encargado del Tratamiento; (b) para la cláusula 2 (Objeto), la finalidad de la transferencia, las categorías de Datos Personales, el período de conservación y demás informaciones serán las establecidas en el Acuerdo; (c) para la cláusula 3 (Transferencias Ulteriores), se aplicará la Opción A; (d) para la cláusula 4 (Responsabilidades de las Partes), se aplicará la Opción A, y IBOPE será responsable de proporcionar avisos de privacidad a los titulares de los datos, responder a las Solicitudes de los Titulares de los Datos y notificar Incidentes de Seguridad; y (e) para la Sección III, se aplicarán las Medidas de Seguridad

6.2.3 Para los fines de las Cláusulas Contractuales Tipo de la Unión Europea (EU SCCs): (a) se aplicará el Módulo 2; (b) IBOPE es el Exportador de Datos y el Proveedor es el Importador de Datos; (c) la cláusula 7 (Docking Clause) queda incorporada; (d) para la cláusula 9 (Uso de Subencargados del Tratamiento), se aplicará la Opción 1; (e) la disposición opcional de la cláusula 11 (Reparación) no quedará incorporada ni será aplicable; (f) para la cláusula 13 (Supervisión) y el Anexo I.C (Autoridad de Control Competente), la autoridad de control competente será aquella responsable del cumplimiento del GDPR respecto de la Afiliada correspondiente de IBOPE; (g) para la cláusula 17 (Ley Aplicable), la legislación aplicable será la de la Afiliada correspondiente de IBOPE o, si dicha legislación no corresponde a la de un Estado Miembro de la Unión Europea que reconozca derechos de terceros beneficiarios, la legislación de los Países Bajos; (h) para la cláusula 18 (Foro y Jurisdicción), tendrán jurisdicción los tribunales de los Países Bajos; (i) el contenido del Anexo I.B (Descripción de la Transferencia) será el establecido en el Apéndice 1 de este DPA; (j) el contenido del Anexo II (Medidas Técnicas y Organizativas) corresponderá a las Medidas de Seguridad; y (k) el contenido del Anexo III (Lista de Subencargados del Tratamiento) será el establecido en el Acuerdo;

6.2.4 Para los fines de las Cláusulas Contractuales Tipo de Suiza (Swiss SCCs): las Cláusulas Contractuales Tipo de la Unión Europea se aplicarán conforme a lo establecido en la cláusula 6.2.3 de este DPA, excepto que: (a) las referencias en las Cláusulas Contractuales Tipo de la Unión Europea a los términos “General Data Protection Regulation” o “Regulation (EU) 2016/679” se interpretarán como incluyendo la FADP; (b) las referencias en las Cláusulas Contractuales Tipo de la Unión Europea al Regulation (EU) 2018/1725 serán eliminadas; (c) las referencias a “Union”, “EU” y “EU Member State” no se interpretarán de manera que excluyan a los titulares ubicados en Suiza de la posibilidad de ejercer sus derechos en su lugar de residencia habitual (Suiza), conforme a la cláusula 18(c) de las SCCs de la Unión Europea; (d) la cláusula 13(a) y el Anexo I.C no se utilizarán, y la autoridad de control competente será el Comisionado Federal Suizo de Protección de Datos e Información (FDPIC), y nada en la designación de dicha autoridad deberá interpretarse de manera que impida a los titulares ubicados en Suiza recurrir al FDPIC; (e) las cláusulas se regirán por la legislación de Suiza; y (f) las Partes acuerdan que cualquier controversia derivada de las Swiss SCCs será resuelta por los tribunales de Suiza, y la elección de foro prevista en el Acuerdo no deberá interpretarse como una limitación para que los titulares residentes en Suiza presenten reclamaciones en Suiza para ejercer sus derechos.

6.2.5 Para los fines de las Cláusulas Contractuales Tipo de Turquía (Turkish SCCs): (a) se aplicará el contrato estándar 2; (b) para la cláusula 8 (Subencargados del Tratamiento), se aplicará la Opción 1; (c) para la cláusula 10 (Reparación), la disposición opcional no será aplicable; (d) para la cláusula 16 (Notificación), IBOPE deberá notificar a la autoridad de control; (e) la información exigida por el Anexo I (Descripción de las Transferencias) será la establecida en el Acuerdo, excepto que: (i) la Base Legal para la transferencia será el interés legítimo de IBOPE; y (ii) la información de registro VERBİS de IBOPE corresponderá al registro VERBİS de IBOPE Medya Araştırmaları Danışmanlik ve Ticaret AŞ; (f) la información exigida por el Anexo II (Medidas Técnicas y Organizativas) será la establecida en las Medidas de Seguridad; y (g) la información exigida por el Anexo III (Lista de Subencargados del Tratamiento) será la establecida en el Acuerdo.

6.2.6 Para los fines de las Cláusulas Contractuales Tipo del Reino Unido (UK SCCs): (a) la información exigida por la Tabla 1 será la establecida en el Acuerdo; (b) la información exigida por la Tabla 2 será la establecida en la cláusula 6.2.3 de este DPA, excepto que: (i) las UK SCCs se regirán por la legislación de Inglaterra y Gales; (ii) las Partes acuerdan que cualquier controversia derivada de las UK SCCs será resuelta por los tribunales de Inglaterra y Gales; (iii) el UK GDPR se aplicará al Tratamiento de Datos Personales realizado por el Proveedor como Importador de Datos; (iv) el Proveedor únicamente podrá transferir Datos Personales a Subencargados del Tratamiento conforme a las condiciones previstas en la cláusula 5 de este DPA; y (v) las Partes revisarán este DPA periódicamente para garantizar que permanezca preciso, actualizado y que continúe proporcionando salvaguardas adecuadas para los Datos Personales; (c) la información exigida por la Tabla 3 será la establecida en el Acuerdo y en el Apéndice 1 de este DPA; y (d) para la Tabla 4, las Partes podrán poner fin a las UK SCCs conforme a las disposiciones del Acuerdo y de la cláusula 9.1 de este DPA.

6.2.7 Para los fines de las Cláusulas Contractuales Tipo de Uruguay (Uruguayan SCCs): (a) para la cláusula 7 (Uso de Subencargados del Tratamiento), se aplicará la Opción 1; (b) para la cláusula 9 (Reparación), la disposición opcional no será aplicable; (c) la información exigida por los Anexos B y D será la establecida en el Apéndice 1 de este DPA; y (d) la información exigida por el Anexo C corresponderá a las Medidas de Seguridad.

6.3 El Proveedor deberá garantizar que ni él ni ningún Subencargado del Tratamiento realice una Transferencia Restringida de Datos Personales de IBOPE sin la autorización previa y por escrito de IBOPE. Cuando dicha autorización sea concedida, el Proveedor deberá:

6.3.1 garantizar que la Transferencia Restringida cumpla con la Legislación de Protección de Datos aplicable;

6.3.2 ejecutar las Cláusulas Contractuales Tipo correspondientes o implementar salvaguardas equivalentes; y

6.3.3 cuando así lo exija la Legislación de Protección de Datos aplicable, realizar una evaluación de impacto de transferencia teniendo en cuenta las circunstancias de la transferencia, las leyes y prácticas del tercer país y cualesquiera salvaguardas contractuales, técnicas y organizativas relevantes que el Proveedor haya implementado con el Subencargado del Tratamiento. El Proveedor deberá poner dicha evaluación, o un resumen de ésta, a disposición de IBOPE cuando le sea solicitado.

6.4 Si cualquier mecanismo de transferencia utilizado conforme a este DPA fuera invalidado o dejara de constituir una salvaguarda válida, IBOPE podrá, a su exclusiva discreción, exigir al Proveedor que:

6.4.1 implemente un mecanismo alternativo de transferencia; o

6.4.2 cese inmediatamente la Transferencia Restringida y no la reanude hasta que dicho mecanismo haya sido implementado.

6.5 El Proveedor declara y garantiza que no tiene motivos para creer que las leyes y prácticas que le resultan aplicables, incluidas cualesquiera obligaciones de divulgación de Datos Personales a Autoridades Públicas, le impidan cumplir sus obligaciones previstas en este DPA o en las Cláusulas Contractuales Tipo aplicables. En particular, el Proveedor deberá notificar inmediatamente a IBOPE, conforme a la cláusula 3.1.6, cuando:

6.5.1 el Proveedor reciba una solicitud de una Autoridad Pública, tome conocimiento de cualquier acceso directo por una Autoridad Pública a Datos Personales de IBOPE o tome conocimiento de cualquier circunstancia que pueda afectar su capacidad para cumplir las Cláusulas Contractuales Tipo; o

6.5.2 el Proveedor determine que no puede cumplir las Cláusulas Contractuales Tipo ni proporcionar un nivel de protección esencialmente equivalente a los Datos Personales de IBOPE sujetos a una Transferencia Restringida. En tal caso, IBOPE podrá, a su exclusiva discreción: (i) suspender la Transferencia Restringida; (ii) exigir que el Proveedor cese el Tratamiento de los Datos Personales de IBOPE; y/o (iii) resolver el Acuerdo o los Servicios afectados de forma inmediata, sin coste ni responsabilidad.

6.6 Las Partes deberán cooperar de forma inmediata y de buena fe para abordar nuevas Legislaciones de Protección de Datos que afecten las Transferencias Restringidas y que entren en vigor durante la vigencia del Acuerdo, incluyendo la celebración de acuerdos adicionales o el cumplimiento de formalidades exigidas por dichas leyes.

7 Exclusión

7.1 Tras la terminación o finalización del Acuerdo o de los Servicios (lo que ocurra primero) y, en cualquier caso, dentro de los treinta (30) días siguientes a dicho evento, el Proveedor deberá, a elección de IBOPE, devolver y/o destruir de forma segura todos los Datos de IBOPE. La destrucción segura deberá incluir la eliminación permanente o, cuando la Legislación de Protección de Datos aplicable lo permita, la anonimización irreversible. El Proveedor deberá garantizar que todas las copias, incluidas aquellas almacenadas en copias de seguridad, sean destruidas de forma segura, excepto y únicamente en la medida en que la conservación sea exigida por la legislación aplicable. En tal caso, el Proveedor deberá informar por escrito a IBOPE sobre dicho requisito legal y conservar los Datos de IBOPE únicamente durante el tiempo y en la medida necesarios para cumplir dicha obligación.

7.2 El Proveedor deberá proporcionar sin demora a IBOPE una certificación por escrito, firmada por un directivo o representante debidamente autorizado del Proveedor, confirmando que todos los Datos de IBOPE han sido devueltos o eliminados de forma permanente de la posesión y control del Proveedor y de cualquier Subencargado del Tratamiento.

8 Indemnización

8.1 No obstante cualquier disposición en contrario contenida en el Acuerdo, el Proveedor deberá defender, indemnizar y mantener indemne a IBOPE, sus directores, administradores, empleados y agentes frente a cualesquiera reclamaciones, denuncias, acciones regulatorias, procedimientos, causas de acción, multas, sanciones, pérdidas, costes y daños, incluidos honorarios razonables de abogados, derivados de o relacionados con:

8.1.1 cualquier incumplimiento por parte del Proveedor, sus empleados o sus Subencargados del Tratamiento de cualquier obligación prevista en este DPA; y

8.1.2 cualquier Incidente de Seguridad, en la medida en que haya sido causado por el Proveedor, sus empleados o sus Subencargados del Tratamiento, salvo, en cada caso, en la medida en que derive directa y exclusivamente de actos u omisiones de IBOPE.

8.2 No obstante cualquier disposición en contrario contenida en el Acuerdo, las obligaciones de indemnización del Proveedor conforme a esta cláusula 8 no estarán sujetas a ninguna limitación ni exclusión de responsabilidad.

9 Disposiciones Generales

9.1 Supervivencia. Las obligaciones del Proveedor conforme a este DPA sobrevivirán a la terminación o expiración del Acuerdo y continuarán vigentes mientras el Proveedor, o cualquiera de sus Subencargados del Tratamiento, trate, conserve o de cualquier otra forma tenga acceso a los Datos de IBOPE

9.2 Actualizaciones. IBOPE podrá actualizar este DPA periódicamente, según resulte razonablemente necesario para reflejar modificaciones en la Legislación de Protección de Datos, decisiones judiciales u orientaciones emitidas por autoridades de control. Dichas actualizaciones entrarán en vigor treinta (30) días después de ser notificadas al Proveedor, y el Proveedor acepta quedar vinculado por la versión actualizada de este DPA a partir de su entrada en vigor.