Anexo sobre el tratamiento de datos del portal SecureChain

Fecha de entrada en vigor: 15 de octubre de 2026

El presente Anexo sobre el tratamiento de datos del Portal SecureChain («DPA») forma parte de las Condiciones de uso del Portal SecureChain, del Contrato de licencia del Portal SecureChain y de cualquier pedido u otro acuerdo escrito o electrónico celebrado entre TuxCare, Inc. («TuxCare») y el cliente de TuxCare que acepte el Acuerdo Principal («Cliente») para el Portal SecureChain, la CLI relacionada y los flujos de trabajo de envío (en conjunto, el «Servicio») (el «Acuerdo Principal»). Todos los términos en mayúsculas no definidos en el presente documento tienen el significado que se les atribuye en el Contrato Principal. Tanto el Cliente como TuxCare pueden denominarse en el presente documento «Parte» y, conjuntamente, «las Partes».

En relación con el Servicio, las Partes prevén que TuxCare pueda tratar fuera del Espacio Económico Europeo («EEE»), Suiza y el Reino Unido («RU») determinados datos personales respecto a los cuales el Cliente pueda ser responsable del tratamiento o encargado del tratamiento, según proceda, con arreglo a la legislación aplicable en materia de protección de datos.

Las Partes han acordado suscribir el presente Acuerdo de Protección de Datos (DPA) con el fin de garantizar que se establezcan las garantías adecuadas en lo que respecta a la protección de dichos datos personales, tal y como exigen las leyes aplicables en materia de protección de datos.

En el marco de la prestación del Servicio al Cliente de conformidad con el Contrato Principal, TuxCare podrá tratar datos personales en nombre del Cliente. TuxCare se compromete a cumplir las siguientes disposiciones en relación con cualquier dato personal facilitado por el Cliente o en su nombre a TuxCare, o recopilado y tratado por el Cliente o en su nombre mediante el uso del Servicio.

1. DEFINICIONES

Por «Legislación aplicable en materia de protección de datos» se entiende todas las leyes, normas y reglamentos aplicables en materia de protección de datos, privacidad de datos y ciberseguridad en cualquier parte del mundo que estén en vigor en cada momento, incluyendo, entre otros, (i) el Reglamento General de Protección de Datos de la UE 2016/679, (ii) la Ley Federal Suiza de Protección de Datos de 25 de septiembre de 2020, en vigor desde el 1 de septiembre de 2023 («FADP»), y (iii) en lo que respecta al Reino Unido, el RGPD, ya que forma parte de la legislación británica en virtud del artículo 3 de la Ley de la Unión Europea (Retirada) de 2018 y de la Ley de Protección de Datos de 2018.

Por «Datos del cliente» se entienden los datos que el cliente o sus usuarios envían al Servicio, ya sea a un espacio de trabajo o a través de la CLI, así como los datos que el Servicio obtiene a partir de ellos, tal y como se define con mayor detalle en las Condiciones de uso del portal SecureChain y en el Contrato de licencia del portal SecureChain.

Por «Datos personales del cliente» se entiende los datos personales contenidos en los datos del cliente que TuxCare trata en nombre del cliente.

Por «Marco de Protección de Datos» se entiende el Marco de Protección de Datos UE-EE. UU., la Extensión del Reino Unido al Marco de Protección de Datos UE-EE. UU. y el programa de autocertificación del Marco de Protección de Datos Suiza-EE. UU., gestionado por el Departamento de Comercio de los Estados Unidos.

El término «Instrucciones documentadas» tiene el significado que se le atribuye en la cláusula 2.12.

Por «RGPD» se entiende el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos).

Por «Datos personales» se entiende cualquier información relativa a una persona física identificada o identificable que se refiera a, describa, pueda asociarse o pueda vincularse, directa o indirectamente, con una persona física concreta, tal y como se define en la legislación aplicable en materia de protección de datos, y a la que TuxCare acceda, almacene o trate de cualquier otra forma como parte de la prestación del Servicio al Cliente.

Los términos «tratamiento», «responsable del tratamiento», «interesado», «autoridad de control» y «encargado del tratamiento» tienen el significado que les atribuyen las leyes aplicables en materia de protección de datos.

Por «transferencia restringida» se entiende: (i) cuando sea de aplicación el RGPD, una transferencia de datos personales a través del Servicio desde el EEE, ya sea directamente o mediante una transferencia posterior, a cualquier país o destinatario fuera del EEE que no esté sujeto a una decisión de adecuación por parte de la Comisión Europea; (ii) cuando sea de aplicación el RGPD del Reino Unido, una transferencia de datos personales a través del Servicio desde el Reino Unido, ya sea directamente o mediante una transferencia posterior, a cualquier país o destinatario fuera del Reino Unido que no se base en normativas de adecuación de conformidad con el artículo 17A de la Ley de Protección de Datos del Reino Unido de 2018; y (iii) una transferencia de datos personales a través del Servicio desde Suiza, ya sea directamente o mediante una transferencia posterior, a cualquier país o destinatario fuera del EEE y/o de Suiza que no esté sujeto a una decisión de adecuación de la Comisión Europea.

«SCC» significa: (i) cuando sea de aplicación el RGPD, las cláusulas contractuales anexas a la Decisión de Ejecución 2021/914 de la Comisión Europea, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países («SCC de la UE»); (ii) cuando sea de aplicación el RGPD del Reino Unido, las cláusulas tipo de protección de datos adoptadas («SCC del Reino Unido»); y (iii) cuando los datos personales se transfieran desde Suiza fuera de Suiza o del EEE, las SCC de la UE modificadas de conformidad con las directrices de la Autoridad Suiza de Protección de Datos («SCC suizas»).

Por «subencargado del tratamiento» se entiende cualquier tercero contratado por TuxCare para tratar los datos personales del cliente en nombre de TuxCare en relación con la prestación del servicio, incluidos los terceros contratados por dicho subencargado del tratamiento.

Por «Anexo del Reino Unido» se entiende el Anexo sobre transferencia internacional de datos de las Cláusulas Contractuales Típicas de la UE, un instrumento jurídico elaborado por la Oficina del Comisionado de Información (ICO) del Reino Unido.

Por «Leyes estatales de privacidad de EE. UU.» se entiende todas las leyes estatales relativas a la protección y el tratamiento de datos personales vigentes en los Estados Unidos de América, entre las que pueden figurar, a título enunciativo, la Ley de Privacidad del Consumidor de California, modificada por la Ley de Derechos de Privacidad de California y sus reglamentos de aplicación («CCPA»), la Ley de Privacidad de Colorado, la Ley de Privacidad de Datos de Connecticut y la Ley de Privacidad de Datos Personales de Delaware.

A efectos de la cláusula 7, los términos «proveedor de servicios», «encargado del tratamiento», «vender» y «compartir» tienen el significado que se les atribuye en las leyes estatales de protección de datos de EE. UU.

2. SITUACIÓN DE LAS PARTES

2.1 El tipo de datos personales tratados en virtud del presente Acuerdo de Tratamiento de Datos (DPA), así como el objeto, la duración, la naturaleza y la finalidad del tratamiento, y las categorías de interesados, se describen en el anexo 1.

2.2 Cada Parte garantiza, en relación con los Datos Personales, que cumplirá (y velará por que su personal cumpla y realice todos los esfuerzos comercialmente razonables para garantizar que sus subencargados del tratamiento cumplan) con la legislación aplicable en materia de protección de datos. En las relaciones entre las Partes, el Cliente será el único responsable de la exactitud, la calidad y la legalidad de los Datos Personales, así como de los medios mediante los cuales los haya obtenido.

2.3 En lo que respecta a los datos personales del cliente, las partes reconocen y acuerdan que el cliente es el responsable del tratamiento (o, cuando el cliente actúe en nombre de otro responsable del tratamiento, el encargado del tratamiento), y que TuxCare es el encargado del tratamiento (o subencargado del tratamiento), según corresponda. TuxCare tratará los datos personales del cliente únicamente de conformidad con el presente Acuerdo de Tratamiento de Datos.

2.3.1 El presente Acuerdo de Protección de Datos (DPA) se aplica a los datos personales incluidos en los datos del cliente que TuxCare trata siguiendo las instrucciones del cliente. TuxCare actúa como responsable del tratamiento independiente en lo que respecta a la administración de sus propias cuentas, la seguridad de acceso, la facturación y las comunicaciones comerciales. La Política de privacidad del portal SecureChain describe dicho tratamiento por parte del responsable. La aceptación del contrato no implica el consentimiento de todas las personas mencionadas en un repositorio o en una SBOM.

2.4 Si el Cliente es un encargado del tratamiento con sede en la UE, el Cliente garantiza a TuxCare que sus instrucciones y acciones con respecto a los Datos Personales —incluida su designación de TuxCare como otro encargado del tratamiento y la celebración de las Cláusulas Contractuales Típicas (SCC) con todos los anexos pertinentes— han sido autorizadas por el responsable del tratamiento correspondiente. Si el Cliente es un encargado del tratamiento con sede en el Reino Unido, garantiza a TuxCare que sus instrucciones y acciones con respecto a los datos personales, incluido el nombramiento de TuxCare como otro encargado del tratamiento y la celebración del Anexo del Reino Unido, han sido autorizadas por el responsable del tratamiento correspondiente. Si el Cliente es un encargado del tratamiento con sede en Suiza, garantiza a TuxCare que sus instrucciones y acciones con respecto a los Datos Personales, incluido el nombramiento de TuxCare como otro encargado del tratamiento y la celebración de las Cláusulas Contractuales Típicas (SCC) necesarias para las transferencias internacionales de datos de conformidad con la Ley Federal sobre la Protección de Datos de Suiza (FADP), han sido autorizadas por el responsable del tratamiento correspondiente.

2.5 Cada Parte designará, dentro de su organización, a un responsable de protección de datos autorizado para responder, cuando sea necesario, a las consultas relativas a los datos personales; las Partes comunicarán a la otra Parte quién es el responsable de protección de datos, y este se encargará de atender dichas consultas con prontitud.

2.6 Durante toda la vigencia del Acuerdo Principal, el Cliente garantiza de forma continua que todos los Datos Personales facilitados a TuxCare han sido recabados y transferidos de forma lícita, en pleno cumplimiento de la Legislación Aplicable en materia de Protección de Datos. Durante la vigencia del presente Acuerdo de Tratamiento de Datos (DPA), el Cliente es el único responsable de garantizar que dispone, y mantiene, una base jurídica válida con arreglo a la legislación aplicable en materia de protección de datos (incluido el consentimiento cuando sea necesario) para que TuxCare trate los Datos Personales del Cliente en virtud del Acuerdo Principal y del presente DPA, así como de obtener y mantener todas las autorizaciones necesarias de los interesados correspondientes.

2.7 El Cliente garantiza que ha facilitado toda la información y las notificaciones necesarias a los interesados en relación con el tratamiento de sus datos personales, incluida la contratación de TuxCare, de forma transparente, inteligible y fácilmente accesible. Esto incluye a las personas cuyos datos personales figuran en los datos del cliente sin formar parte de su plantilla, como los autores de paquetes de nivel superior, los contactos de proveedores y los autores de commits. La presente cláusula 2.7 se aplica únicamente a los datos personales que el cliente facilite o ponga a disposición de TuxCare, o que ordene a TuxCare que recopile.

2.8 El cliente garantiza que los datos personales facilitados a TuxCare son exactos y, cuando sea necesario, se mantienen actualizados. El cliente comunicará a TuxCare cualquier corrección o supresión necesaria para mantener la exactitud de los datos.

2.9 El cliente garantiza que el alcance de los datos personales cedidos se limita a lo que sea adecuado, pertinente y necesario en relación con los fines para los que se tratan, tal y como se especifica en el presente Acuerdo de Tratamiento de Datos.

2.10 El cliente garantiza que las instrucciones que facilite a TuxCare para el tratamiento de los datos personales serán en todo momento lícitas y se ajustarán a la legislación aplicable en materia de protección de datos.

2.11 El Cliente es el único responsable de determinar si las medidas de seguridad implementadas en el Servicio son adecuadas para cumplir con sus obligaciones en virtud de la legislación aplicable en materia de protección de datos. El Cliente también es responsable de garantizar el uso seguro del Servicio, incluida la protección de los datos personales que se transmiten hacia y desde el Servicio.

2.12 Instrucciones documentadas. Las Partes acuerdan que el presente DPA, el Acuerdo Principal, la Documentación y el uso y la configuración del Servicio por parte del Cliente de conformidad con el Acuerdo Principal constituyen las instrucciones documentadas completas del Cliente a TuxCare para el tratamiento de los Datos Personales del Cliente. Al enviar un inventario, un informe de dependencias o una SBOM a un Espacio de trabajo, el Cliente da instrucciones a TuxCare para que lo almacene, lo compare con los datos de avisos y del catálogo, lo reevalúe a la luz de los avisos publicados posteriormente mientras se conserve, lo compare con envíos anteriores y posteriores, genere conclusiones y recomendaciones, y envíe alertas a los destinos que el Cliente haya configurado. Las instrucciones adicionales durante la vigencia del contrato deberán ser coherentes con el Contrato Principal y la naturaleza del Servicio, y entrarán en vigor cuando TuxCare las confirme por escrito.

3. OBLIGACIONES DE TUXCARE

3.1 En lo que respecta a todos los datos personales, TuxCare garantiza que:

(a) tratar los datos personales únicamente con el fin de prestar el Servicio, y actuará exclusivamente de conformidad con: (i) el presente Acuerdo de Tratamiento de Datos; (ii) las instrucciones escritas del Cliente tal y como se establecen en el Acuerdo Principal y en el presente Acuerdo de Tratamiento de Datos; y (iii) lo dispuesto en la legislación aplicable en materia de protección de datos;

(b) informar inmediatamente al Cliente si, a juicio de TuxCare, una Instrucción Documentada incumple la legislación aplicable en materia de protección de datos, y TuxCare podrá suspender la ejecución de dicha instrucción hasta que el Cliente la confirme, la modifique o la retire. TuxCare no está obligada a realizar un análisis jurídico de las instrucciones del Cliente;

(c) aplicar las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado a los riesgos que plantea el tratamiento de los datos personales, en particular la protección contra la destrucción, la pérdida, la alteración, la divulgación no autorizada o el acceso no autorizado a los datos personales de forma accidental o ilícita. Dichas medidas incluyen, entre otras, las medidas de seguridad habitualmente adoptadas de conformidad con normas de seguridad reconocidas, como SOC 2 Tipo II o ISO 27001, y según lo exijan las leyes aplicables en materia de protección de datos;

(d) adoptar medidas razonables para garantizar que solo el personal autorizado tenga acceso a dichos datos personales y que todas las personas a las que autorice a acceder a los datos personales estén sujetas a obligaciones de confidencialidad;

(e) sin demora indebida tras tener conocimiento de ello, y en cualquier caso en un plazo de veinticuatro (24) horas desde que se tenga conocimiento, notificar al Cliente cualquier violación de la seguridad que dé lugar a la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado, de forma accidental o ilícita, a los Datos Personales transmitidos, almacenados o tratados de cualquier otra forma por TuxCare, sus subencargados del tratamiento o cualquier otro tercero identificado o no identificado (una «Violación de la Seguridad»). La notificación inicial deberá contener los hechos de los que TuxCare disponga razonablemente en ese momento, y TuxCare facilitará información complementaria a medida que avance su investigación y, en cualquier caso, en un plazo de setenta y dos (72) horas desde que tenga conocimiento de ello;

(f) prestar sin demora al Cliente la cooperación y asistencia razonables en relación con una violación de la seguridad, así como toda la información razonable de que disponga TuxCare sobre dicha violación, en la medida en que afecte al Cliente, incluyendo, en la medida en que se conozca en ese momento: la posible causa y las consecuencias de la violación de la seguridad para los interesados; las categorías de datos personales afectadas; un resumen de las posibles consecuencias para los interesados pertinentes; un resumen de los destinatarios no autorizados de los datos personales; y las medidas adoptadas por TuxCare para mitigar cualquier daño;

(g) no realizar ningún comunicado público sobre una violación de la seguridad (un «Aviso de violación») sin el consentimiento previo por escrito del Cliente, salvo que así lo exijan las leyes aplicables en materia de protección de datos. Esto no impide que TuxCare publique un aviso general sobre una violación de la seguridad que afecte a varios clientes y en el que no se identifique al Cliente ni sus datos personales;

(h) notificar sin demora al Cliente si recibe una solicitud de un interesado del Cliente para acceder, rectificar o suprimir los datos personales de dicha persona, o si un interesado se opone al tratamiento de dichos datos personales o presenta una solicitud de portabilidad de los mismos (cada una de ellas, una «Solicitud del interesado»). TuxCare no responderá a una Solicitud del interesado sin el consentimiento previo por escrito del Cliente, salvo para confirmar que dicha solicitud se refiere al Cliente, a lo que el Cliente da su consentimiento por la presente. En la medida en que el Cliente no tenga la capacidad de atender una Solicitud del interesado, TuxCare, a petición del Cliente, prestará a este la asistencia razonable necesaria para facilitar dicha Solicitud del interesado en la medida de lo posible y de conformidad con la legislación aplicable en materia de protección de datos. En la medida en que el Cliente no responda, TuxCare podrá responder a la Solicitud del interesado de la forma que considere adecuada. El Cliente correrá con todos los costes razonables en que incurra TuxCare en relación con la prestación de dicha asistencia o respuesta;

(i) tras la rescisión, el vencimiento o la finalización del Servicio, devolver o eliminar los Datos Personales del Cliente de acuerdo con las instrucciones de este, incluidas las copias, salvo que la legislación aplicable exija su conservación. La supresión se llevará a cabo dentro de los plazos establecidos en el anexo 1, letra h), y la supresión de las copias de seguridad podrá retrasarse hasta que dichas copias sean sobrescritas en el ciclo de copias de seguridad estándar de TuxCare. Durante ese periodo, TuxCare limitará el tratamiento al almacenamiento, la seguridad, la conservación lícita y la devolución o supresión autorizadas. Una copia de seguridad restaurada seguirá estando sujeta a la instrucción de supresión. El anexo 1 describe las disposiciones relativas a la conservación;

(j) teniendo en cuenta la naturaleza del tratamiento y la información de que dispone TuxCare, prestar al Cliente la asistencia que este solicite razonablemente en relación con las obligaciones de TuxCare en virtud de la legislación aplicable en materia de protección de datos con respecto a (i) las evaluaciones de impacto relativas a la protección de datos, (ii) las notificaciones a la autoridad de control con arreglo a la legislación aplicable en materia de protección de datos y/o las comunicaciones del Cliente a los interesados en respuesta a cualquier violación de la seguridad, y (iii) el cumplimiento por parte del Cliente de sus obligaciones en virtud de la legislación aplicable en materia de protección de datos en lo que respecta a la seguridad del tratamiento, siempre que el Cliente corra con todos los costes razonables en que incurra TuxCare en relación con la prestación de dicha asistencia;

(k) facilitar al Cliente información sobre la región y el país en los que TuxCare almacena y trata los datos personales, ya sea directamente o por cuenta de TuxCare;

(l) comunicar la dirección exacta de las instalaciones pertinentes únicamente en caso de que una autoridad de control competente lo solicite expresamente y si dicha comunicación resulta adecuada para cumplir con la obligación que le incumbe en virtud de la legislación aplicable en materia de protección de datos;

(m) llevar un registro de todas las categorías de actividades de tratamiento realizadas por cuenta del Cliente, de conformidad con el artículo 30, apartado 2, del RGPD, y ponerlo a disposición de la autoridad de control cuando esta lo solicite; y

(n) cooperar, cuando así se le solicite, con la autoridad de control competente en el desempeño de sus funciones.

3.2 TuxCare no tratará los datos personales de los clientes para sus propios fines. Cualquier tratamiento por parte de TuxCare de datos derivados del Servicio para sus propios fines se limita al tratamiento descrito en la cláusula 2.3.1, que queda fuera del ámbito de aplicación del presente Acuerdo de Protección de Datos (DPA) y se detalla en la Política de Privacidad del portal SecureChain.

3.3 Si TuxCare recibe una solicitud legalmente vinculante de una autoridad pública para la divulgación de Datos Personales del Cliente, TuxCare deberá: (a) siempre que sea posible, remitir a la autoridad al Cliente; (b) notificarlo sin demora al Cliente, salvo que la ley lo prohíba; (c) examinar la legalidad de la solicitud y impugnarla cuando existan motivos razonables para considerarla ilegal con arreglo a la legislación aplicable a TuxCare; y (d) divulgar únicamente la cantidad mínima de información necesaria. TuxCare no revelará los datos personales del cliente a una autoridad pública de forma voluntaria. Esta cláusula se aplica independientemente de si el tratamiento implica una transferencia restringida.

4. SUBCONTRATACIÓN

4.1 El Cliente concede a TuxCare una autorización general por escrito para contratar a subencargados del tratamiento con el fin de prestar el Servicio. Los subencargados del tratamiento contratados en la Fecha de entrada en vigor figuran en el Anexo 3, en el que se indica, para cada uno de ellos, su nombre, ubicación, el tratamiento que realizan y el mecanismo de transferencia en el que se basa. Los subencargados del tratamiento se contratan únicamente para el alojamiento, el almacenamiento y las copias de seguridad, el envío de notificaciones, la supervisión, las herramientas de soporte y otras funciones necesarias para prestar el Servicio.

4.2 TuxCare notificará al Cliente cualquier intención de añadir o sustituir a un subencargado del tratamiento de conformidad con la cláusula 4.4. El Cliente podrá oponerse por motivos razonables relacionados con la protección de datos mediante notificación por escrito a [email protected] en un plazo de treinta (30) días a partir de la notificación. Las Partes debatirán la objeción de buena fe. Si las Partes no resuelven la objeción en un plazo de treinta (30) días a partir de la notificación del Cliente, este podrá, como único recurso, rescindir la Suscripción afectada o eliminar el Espacio de trabajo afectado, y TuxCare reembolsará cualquier importe pagado por adelantado correspondiente a la parte no utilizada del plazo de la Suscripción. Si el Cliente no presenta ninguna objeción dentro del plazo anteriormente mencionado, se considerará que ha autorizado al subencargado del tratamiento.

4.3 TuxCare contratará a cada subencargado del tratamiento mediante un contrato por escrito que le imponga las mismas obligaciones en materia de protección de datos que las impuestas a TuxCare en el presente DPA. En caso de que un subencargado del tratamiento incumpla sus obligaciones en materia de protección de datos, TuxCare seguirá siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de dicho subencargado. TuxCare facilitará al Cliente, previa solicitud, una copia de las cláusulas de protección de datos de sus contratos con los subencargados del tratamiento, con la información comercial suprimida.

4.4 TuxCare notificará la incorporación o sustitución de un subencargado del tratamiento al menos treinta (30) días antes de que dicho subencargado comience a tratar los datos personales del cliente.

5. AUDITORÍA Y REGISTROS

5.1 TuxCare, de conformidad con la legislación aplicable en materia de protección de datos, pondrá a disposición del Cliente aquella información que obre en su poder o bajo su control y que el Cliente pueda solicitar razonablemente, con el fin de demostrar el cumplimiento por parte de TuxCare de las obligaciones que incumben a los encargados del tratamiento en virtud de la legislación aplicable en materia de protección de datos en relación con el tratamiento de los datos personales del Cliente.

5.2 El Cliente podrá ejercer su derecho de auditoría, con arreglo a la legislación aplicable en materia de protección de datos, en relación con los datos personales del Cliente a través de TuxCare, siempre que:

(a) un informe de auditoría con una antigüedad máxima de dieciocho (18) meses, elaborado por un auditor externo independiente, que demuestre que las medidas técnicas y organizativas de TuxCare son suficientes y se ajustan a una norma de auditoría aceptada en el sector, siempre que dicho informe esté disponible, así como la documentación de seguridad de TuxCare y las respuestas por escrito al cuestionario de seguridad razonable del Cliente, siempre que no se faciliten más de una vez en cualquier periodo de doce (12) meses;

(b) la información adicional que obre en poder de TuxCare o esté bajo su control a la autoridad de control cuando esta solicite o exija información adicional en relación con el tratamiento de los datos personales de los clientes llevado a cabo por TuxCare en virtud del presente acuerdo de tratamiento de datos; y

(c) en caso de que el Cliente solicite una auditoría que vaya más allá de los elementos descritos en los apartados (a) y (b), dicha auditoría se llevará a cabo como máximo una vez cada período de doce (12) meses, previa notificación por escrito con una antelación razonable, durante el horario laboral habitual y de forma que no perturbe las operaciones de TuxCare. El Cliente correrá con los gastos razonables en que incurra TuxCare en relación con dicha auditoría.

6. TRANSFERENCIAS DE DATOS

6.1 Mecanismo principal: Marco de Privacidad de Datos. TuxCare, Inc. participa en el Marco de Privacidad de Datos y certifica su cumplimiento del mismo. Mientras dicha certificación esté vigente y cubra los datos personales en cuestión, TuxCare se basará en el Marco de Privacidad de Datos para recibir datos personales transferidos desde el EEE, el Reino Unido y Suiza a Estados Unidos, y proporcionará a dichos datos, como mínimo, el mismo nivel de protección que exigen los principios del Marco de Privacidad de Datos.

6.2 Mecanismo de reserva: cláusulas contractuales tipo. En caso de que el Marco de Protección de Datos no cubra una transferencia, deje de ser un mecanismo de transferencia válido, o sea suspendido, invalidado o retirado, las Cláusulas Contractuales Tipo de la UE se aplicarán automáticamente a las transferencias restringidas desde el EEE sin necesidad de que ninguna de las Partes adopte medidas adicionales. Se considera que las Cláusulas Contractuales Tipo de la UE se han celebrado y se han incorporado al presente Acuerdo de Protección de Datos por referencia, y se completan de la siguiente manera:

(a) El cliente es el «exportador de datos» y TuxCare es el «importador de datos»;

(b) El Módulo Dos (del responsable al encargado del tratamiento) se aplica cuando el Cliente es el responsable del tratamiento de los Datos Personales del Cliente y TuxCare es el encargado del tratamiento. El Módulo Tres (de un encargado del tratamiento a otro) se aplica cuando el Cliente es un encargado del tratamiento que actúa en nombre de otro responsable o encargado del tratamiento, y TuxCare es un subencargado del tratamiento;

(c) en la cláusula 7, se aplica la cláusula de acoplamiento opcional;

(d) en la cláusula 9, se aplica la opción 2 (autorización general por escrito), y el plazo de preaviso para los cambios en los subencargados del tratamiento es de treinta (30) días, tal y como se establece en la cláusula 4.4 del presente Acuerdo de Tratamiento de Datos;

(e) en la cláusula 11, no se aplica la disposición facultativa;

(f) en la cláusula 13, la autoridad de supervisión competente se determina de conformidad con dicha cláusula;

(g) en la cláusula 17, se aplica la opción 1, y las cláusulas contractuales tipo de la UE se rigen por la legislación de los Países Bajos;

(h) en la cláusula 18, letra b), las controversias serán resueltas por los tribunales de los Países Bajos;

(i) El anexo I de las Cláusulas Contractuales Típicas de la UE se completa con la información que figura en el anexo 1 del presente Acuerdo de Protección de Datos. A efectos del anexo I.A, el exportador de datos es el Cliente, tal y como se identifica en la aceptación del Acuerdo Principal o en el Pedido, y el importador de datos es TuxCare, Inc., 20791 Three Oaks Pkwy, n.º 980, Estero, FL 33929, EE. UU. ([email protected]). La aceptación del Acuerdo Principal constituye la firma del anexo I;

(j) El anexo II de las Cláusulas Contractuales Típicas de la UE se completa con la cláusula 3.1, letra c), y el anexo 2 del presente acuerdo de tratamiento de datos; y

(k) El anexo III de las Cláusulas Contractuales Típicas de la UE se completa con la lista de subencargados del tratamiento que figura en el anexo 3.

6.3 Reino Unido. En relación con las transferencias de datos personales sujetas al RGPD del Reino Unido, las Cláusulas Contractuales Típicas de la UE (i) se aplican tal y como se han completado de conformidad con la cláusula 6.2 anterior, y (ii) se consideran modificadas según lo especificado en el Anexo del Reino Unido, que se considera suscrito por las Partes y forma parte integrante del presente Acuerdo de Tratamiento de Datos. Se considerará que las tablas 1 a 3 de la Parte 1 del Anexo del Reino Unido se han cumplimentado con la información establecida en el presente DPA, en el Anexo 1 y en las cláusulas 3.1(c) y 4. Se considerará que la tabla 4 de la Parte 1 se ha cumplimentado seleccionando «ninguna de las partes». Cualquier conflicto entre las CCT de la UE y el Anexo del Reino Unido se resolverá de conformidad con las secciones 10 y 11 del Anexo del Reino Unido.

6.4 Suiza. En relación con las transferencias de datos personales protegidos por la FADP suiza, las CCT de la UE (i) se aplican tal y como se han completado de conformidad con la cláusula 6.2, y (ii) se consideran modificadas de la siguiente manera: las referencias al «Reglamento (UE) 2016/679» se interpretan como referencias a la FADP suiza; en la cláusula 13, la autoridad de control competente es el Comisionado Federal Suizo de Protección de Datos e Información; en la cláusula 17, las CCT de la UE se rigen por la legislación suiza; en la cláusula 18, letra b), los litigios se resolverán ante los tribunales de Suiza; las referencias a los Estados miembros se interpretarán de manera que incluyan a Suiza; y los interesados en Suiza no quedarán excluidos del ejercicio de sus derechos en su lugar de residencia habitual, de conformidad con la cláusula 18, letra c).

6.5 Transferencias posteriores por parte de subencargados del tratamiento. Si TuxCare transfiere datos personales a un subencargado del tratamiento ubicado fuera del EEE, el Reino Unido o Suiza, TuxCare se asegurará, antes de dicha transferencia, de que exista un mecanismo de transferencia válido, ya sea la certificación activa del Marco de Privacidad de Datos del propio subencargado del tratamiento o las Cláusulas Contractuales Tipo de la UE (junto con el Anexo del Reino Unido o las enmiendas suizas, según corresponda) formalizadas en beneficio del Cliente. TuxCare ha evaluado, y mantiene bajo revisión, la legislación y las prácticas de cada país fuera del EEE, el Reino Unido y Suiza al que se transfieren los datos personales del cliente, tal y como exige la cláusula 14 de las CCT de la UE, y facilita al cliente un resumen de dicha evaluación cuando este lo solicite.

6.6 Auditoría y subcontratación en virtud de las CCT. El Cliente podrá ejercer su derecho de auditoría con arreglo a la cláusula 8.9 de las CCT de la UE, tal y como se establece en la cláusula 5.2 del presente ATD y con sujeción a los requisitos de la misma. TuxCare podrá designar subencargados del tratamiento tal y como se establece en las cláusulas 4 y 6.5 del presente ATD y con sujeción a los requisitos de las mismas.

6.7 Mecanismos alternativos. Si TuxCare se viera obligada a adoptar un mecanismo de transferencia alternativo en virtud de la legislación aplicable en materia de protección de datos, dicho mecanismo se aplicará automáticamente en sustitución de los mecanismos descritos anteriormente, en la medida en que cumpla con dicha legislación, y el Cliente se compromete a firmar los documentos o a adoptar las medidas que sean razonablemente necesarias para que dicho mecanismo surta efecto legal.

7. DISPOSICIONES ADICIONALES EN VIRTUD DE LAS LEYES ESTATALES DE ESTADOS UNIDOS EN MATERIA DE PROTECCIÓN DE DATOS

7.1 Las siguientes condiciones se aplican cuando TuxCare trata datos personales sujetos a las leyes estatales de privacidad de EE. UU. En la medida en que los datos personales del cliente incluyan información personal protegida por las leyes estatales de privacidad de EE. UU. y que TuxCare trate en calidad de proveedor de servicios o encargado del tratamiento en nombre del cliente, TuxCare tratará dichos datos personales del cliente de conformidad con las leyes estatales de privacidad de EE. UU., lo que incluye el cumplimiento de los artículos aplicables de dichas leyes y la garantía del mismo nivel de protección de la privacidad que exigen las mismas, así como de acuerdo con las instrucciones escritas del cliente, en la medida en que sea necesario para los fines limitados y específicos identificados en el presente DPA. TuxCare no:

(a) conservar, utilizar, divulgar o tratar de cualquier otra forma dichos datos personales del cliente con fines comerciales distintos de los fines limitados y específicos establecidos en el presente Acuerdo de Tratamiento de Datos (DPA), en el Acuerdo Principal o según lo permitido por las leyes estatales de protección de datos de EE. UU.;

(b) «vender» o «compartir» dichos datos personales de los clientes en el sentido que le dan las leyes estatales de protección de datos de EE. UU.; o

(c) conservar, utilizar, divulgar o tratar de cualquier otra forma dichos datos personales del cliente al margen de la relación comercial directa con el cliente, o combinar dichos datos personales del cliente con información personal que reciba de otras fuentes, salvo en los casos permitidos por las leyes estatales de protección de datos de EE. UU.

7.2 TuxCare adoptará medidas destinadas a garantizar la seguridad de los datos personales, asegurando un nivel de protección de la privacidad acorde con los requisitos de las leyes estatales de protección de datos de EE. UU.

7.3 TuxCare facilitará un acceso razonable a la información necesaria para que el Cliente pueda verificar el cumplimiento por parte de TuxCare del presente Acuerdo de Tratamiento de Datos.

7.4 Las Partes reconocen y acuerdan que el intercambio de datos personales entre ellas no forma parte de ninguna contraprestación monetaria ni de otro tipo de valor que se intercambie entre las Partes en relación con el Acuerdo Principal o el presente Acuerdo de Tratamiento de Datos.

8. GENERALIDADES

8.1 El presente Acuerdo de Tratamiento de Datos (DPA) se entiende sin perjuicio de los derechos y obligaciones de las Partes en virtud del Acuerdo Principal, que seguirá teniendo plena vigencia y efecto. En caso de conflicto entre las disposiciones del presente DPA y las del Acuerdo Principal, prevalecerán las disposiciones del presente DPA en la medida en que el objeto se refiera al tratamiento de datos personales.

8.2 La responsabilidad de TuxCare en virtud del presente Acuerdo de Protección de Datos (DPA) o en relación con el mismo está sujeta a las limitaciones de responsabilidad recogidas en el Acuerdo Principal. Ninguna disposición del presente DPA limita ni excluye ninguna responsabilidad que no pueda limitarse o excluirse en virtud de la legislación aplicable.

8.3 El presente Acuerdo de Protección de Datos no confiere derechos a terceros beneficiarios; está destinado exclusivamente al beneficio de las Partes del mismo y de sus respectivos sucesores y cesionarios autorizados, y no redunda en beneficio de ninguna otra persona, ni ninguna de sus disposiciones podrá ser exigida por ninguna otra persona, sin perjuicio de que la presente cláusula no limite los derechos de terceros beneficiarios conferidos a los interesados en virtud de las Cláusulas Contractuales Típicas.

8.4 El presente Acuerdo de Protección de Datos (DPA) y cualquier acción relacionada con el mismo se regirán e interpretarán de conformidad con la legislación del Estado de Delaware, sin que sean de aplicación los principios sobre conflicto de leyes, salvo que las Cláusulas Contractuales Típicas (SCC) dispongan lo contrario. Las Partes aceptan la jurisdicción personal y la competencia territorial de los tribunales de Delaware.

8.5 El presente DPA constituye el acuerdo definitivo, completo y exclusivo entre las Partes en relación con el objeto del mismo y sustituye y integra todas las conversaciones y acuerdos previos entre las Partes en relación con dicho objeto. Salvo en lo que se refiere a declaraciones realizadas de forma fraudulenta, ninguna otra declaración o condición será aplicable ni formará parte del presente DPA. Ninguna modificación, enmienda o renuncia a cualquier derecho en virtud del presente DPA surtirá efecto a menos que se acuerde por escrito, lo que incluye la aceptación electrónica por parte del Cliente de una versión actualizada del presente DPA de la misma manera que el Acuerdo Principal. El presente DPA podrá formalizarse en varios ejemplares, cada uno de los cuales se considerará original, pero todos ellos, en su conjunto, constituirán un único y mismo acuerdo. Cuando el presente DPA se firme por separado, cada persona que lo firme declara y garantiza que está debidamente autorizada y que tiene capacidad jurídica para firmar y entregar el presente DPA. Cada Parte declara y garantiza a la otra que la firma y entrega del presente DPA, así como el cumplimiento de las obligaciones de dicha Parte en virtud del mismo, han sido debidamente autorizados, y que el presente DPA es un acuerdo válido y jurídicamente vinculante para cada una de dichas Partes, exigible de conformidad con sus términos.

El presente Acuerdo de Tratamiento de Datos (DPA) forma parte del Acuerdo Principal y el Cliente lo acepta de la misma manera que dicho Acuerdo Principal. No se requiere ninguna firma por separado para que este DPA entre en vigor. En caso de que el Cliente necesite una copia de este DPA firmada por separado, TuxCare se la facilitará previa solicitud.

ANEXO 1 – DATOS DETALLADOS SOBRE LOS DATOS PERSONALES Y LAS ACTIVIDADES DE TRATAMIENTO

(a) La naturaleza del tratamiento de los datos personales se rige por lo siguiente, en la medida en que lo permitan las leyes aplicables en materia de protección de datos y el Acuerdo principal:

Recepción de datos, lo que incluye su recogida, consulta y registro;
Gestión de datos, incluyendo su almacenamiento, organización y estructuración;
Utilización de datos, lo que incluye el análisis, el asesoramiento y la realización de pruebas;
La protección de los datos, incluida la restricción;
Borrado de datos, incluyendo su destrucción y eliminación.

(b) El objetivo es prestar el Servicio de conformidad con las Instrucciones Documentadas. Esto incluye el almacenamiento de inventarios y envíos sin procesar, la comparación con avisos de seguridad, la reevaluación de los escaneos conservados frente a avisos publicados posteriormente, la comparación de escaneos y el almacenamiento de hallazgos y registros de clasificación. También incluye notificaciones configuradas, escaneos de imágenes autorizados, asistencia técnica, seguridad del servicio y exportación o eliminación de datos. TuxCare no publica ni vende datos del cliente que no sean de carácter público, ni los utiliza con fines publicitarios, ni entrena con ellos un modelo de IA de uso general sin la autorización específica del cliente.

(c) Los datos personales del cliente pueden incluir lo siguiente, en la medida en que el cliente los facilite o dé instrucciones a TuxCare para que los recopile:

Identificadores en las URL de los repositorios, los nombres de las ramas, los metadatos de las confirmaciones, las etiquetas de los proyectos, las coordenadas de los paquetes y las rutas relativas.
Nombres, datos de contacto profesionales y otros identificadores que figuren en los campos de autores, proveedores, información sobre licencias, comentarios o documentos adicionales de la SBOM.
Direcciones IP de origen e identificadores de cuenta, de análisis o de integración asociados a los envíos del cliente.
Datos personales que figuren en los resultados, las notas de triaje, los destinatarios de las notificaciones, las solicitudes de asistencia o la información diagnóstica solicitada.
Las credenciales que el cliente facilita a través de los controles designados para los análisis de registros o las integraciones, cuando se refieren a una persona.
Datos de los usuarios del espacio de trabajo: direcciones de correo electrónico, identificadores de cuenta del proveedor de identidad, roles, pertenencia a departamentos, hora del último inicio de sesión y de la aceptación de los términos, y entradas del registro de auditoría (incluidas las direcciones de correo electrónico y de red) de los usuarios autorizados del Cliente, en la medida en que estén a disposición del Cliente dentro del Servicio.
Incluir los nombres y las direcciones de correo electrónico de los autores y responsables de las confirmaciones, cuando figuren en los metadatos de las confirmaciones o en las listas de materiales de software (SBOM).
Contenido de la imagen del contenedor obtenido tras un análisis autorizado del registro. TuxCare almacena la imagen en un espacio de almacenamiento temporal únicamente con el fin de generar un inventario (SBOM) y la elimina una vez finalizado el análisis. TuxCare conserva el inventario junto con los datos del espacio de trabajo y lo elimina de conformidad con el apartado (h).
Direcciones de correo electrónico de las personas invitadas al Workspace por los administradores del cliente.

Los nombres de los paquetes, las versiones, los gráficos, los hash, los resúmenes de imágenes y los datos del sistema operativo son datos técnicos. Pueden convertirse en datos personales cuando se vinculan a personas físicas. El portal puede conservar el documento enviado en su totalidad, incluidos los campos que no utiliza para el análisis. El envío habitual de dependencias no requiere código fuente, datos personales sensibles, contraseñas ni claves privadas.

(d) El tratamiento continuará durante el tiempo necesario para prestar el Servicio de acuerdo con las instrucciones del Cliente. La devolución y la supresión tras dicho plazo se regirán por lo dispuesto en la cláusula 3.1(i) y en el apartado (h).

(e) Transferencia de datos sensibles: Las Partes no prevén la transferencia de datos sensibles.

(f) Los interesados pueden ser empleados, contratistas, administradores y personas de contacto de los proveedores de servicios del Cliente. También pueden ser autores, proveedores y otras personas cuyos identificadores aparezcan de forma incidental en los documentos presentados por el Cliente. El Cliente sigue siendo responsable de las notificaciones, las instrucciones legales y la autorización para facilitar sus datos.

(g) Los datos personales se almacenan y tratan en las siguientes regiones y países:

alojamiento de servidores y bases de datos — Hetzner Online GmbH, Falkenstein, Alemania (UE);
copias de seguridad y archivos: Hetzner Online GmbH, Alemania (UE), y Amazon Web Services, Inc., Estados Unidos;
DNS y envío de correos electrónicos de Workspace — Cloudflare, Inc., Estados Unidos;
Correo electrónico empresarial y almacenamiento de documentos que utiliza el personal de TuxCare: Google LLC, Estados Unidos.

El mecanismo de transferencia de cada proveedor se detalla en el anexo 3. TuxCare notificará al cliente cualquier cambio en las regiones y países enumerados en este apartado, de conformidad con las cláusulas 3.1(k) y 4.4.

(h) Duración y conservación. TuxCare trata los Datos Personales del Cliente durante la vigencia del Contrato Principal y durante el plazo necesario para devolverlos o eliminarlos de conformidad con la cláusula 3.1(i). El Cliente puede eliminar el Espacio de trabajo en cualquier momento mediante los controles proporcionados en el Servicio; el Espacio de trabajo se desactiva de inmediato y sus datos se eliminan de forma permanente de la base de datos activa treinta (30) días después de la eliminación. El Servicio conserva un número limitado de análisis por repositorio y elimina automáticamente los análisis más antiguos; el historial de búsquedas puede permanecer tras la eliminación de un análisis antiguo. Un Espacio de trabajo gratuito sin actividad puede ser dado de baja: TuxCare notifica al Cliente tras aproximadamente doce (12) meses sin actividad, puede suspender el Espacio de trabajo tras aproximadamente trece (13) meses y puede eliminarlo tras aproximadamente quince (15) meses, y pone a disposición del Cliente una exportación de archivo de los datos del Espacio de trabajo antes de la eliminación. Una copia de seguridad restaurada sigue estando sujeta a las instrucciones de eliminación del Cliente. TuxCare aplica la cláusula 3.1(i) a todas estas copias. Un archivo no confiere el derecho a conservar los datos personales del Cliente para fines ajenos a los previstos. La conservación exigida por la legislación aplicable sigue estando sujeta a restricciones de acceso y a la limitación de la finalidad.

ANEXO 2 – MEDIDAS TÉCNICAS Y ORGANIZATIVAS

El presente anexo describe las medidas de control aplicables al servicio alojado en cuestión. Complementa la cláusula 3.1(c) y la información del anexo II de las Cláusulas Contractuales Típicas (SCC). Cualquier compromiso más estricto dentro de su ámbito de aplicación se rige por un anexo de seguridad escrito independiente.

El servicio alojado utiliza HTTPS para el tráfico de los clientes y cookies de sesión seguras para el acceso a través del navegador.
La identidad del espacio de trabajo y la autorización limitan el acceso a la cuenta seleccionada. Los roles, departamentos y ámbitos de los tokens admitidos restringen las acciones y los repositorios permitidos.
La aplicación alojada utiliza controles de base de datos para restringir el acceso de los inquilinos. El acceso de los servicios con privilegios y el de los operadores cuentan con autorizaciones independientes.
El servicio protege los secretos almacenados del registro y del proveedor de identidad mediante cifrado autenticado. Esta afirmación no implica que se cifren todos los campos de la base de datos.
El servicio registra las acciones realizadas en las cuentas y los eventos de acceso operativo con el fin de reforzar la seguridad y facilitar las investigaciones.
El módulo de recepción comprueba los formatos de documento admitidos, la autenticación, el tamaño del cuerpo del mensaje y el ámbito del token correspondiente antes de almacenar un escaneo.
TuxCare restringe el acceso del personal y aplica las obligaciones de confidencialidad previstas en la cláusula 3.1(d).
El personal de asistencia de TuxCare utiliza una vista de solo lectura del espacio de trabajo para prestar asistencia.
Las copias de seguridad, la recuperación, la eliminación de datos y la respuesta ante incidentes se rigen por los acuerdos de servicio notificados y por el presente acuerdo de tratamiento de datos (DPA).

Estas medidas no implican que el portal SecureChain cuente con una certificación concreta. Tampoco modifican la obligación de notificación de violaciones establecida en la cláusula 3.1(e) ni los derechos recogidos en las SCC aplicables.

ANEXO 3 – LISTA DE SUBCONTRATISTAS

TuxCare recurre a los siguientes subencargados del tratamiento. En la tabla se indica el mecanismo de transferencia utilizado para cada subencargado del tratamiento. Cualquier subencargado del tratamiento que se añada en virtud de la cláusula 4.4 se incluirá aquí junto con su mecanismo de transferencia.

Subcontratista	Ubicación	Certificación de seguridad	Finalidad del tratamiento	Mecanismo de transferencia
Hetzner Online GmbH	Falkenstein, Alemania	ISO 27001	Alojamiento de servidores y bases de datos Copias de seguridad	No es necesario (EEE)
Amazon Web Services, Inc.	El norte de Virginia y Ohio, Estados Unidos	ISO 27001 SOC 2 Tipo 2	Almacenamiento de copias de seguridad y archivos	Marco de protección de datos; las cláusulas contractuales tipo (SCC) como solución alternativa (cláusula 6.5)
Cloudflare, Inc.	Estados Unidos (red global)	ISO 27001 SOC 2 Tipo 2	DNS para los dominios del servicio Entrega del correo electrónico de Workspace (servicio de correo electrónico de Cloudflare)	Marco de protección de datos; las cláusulas contractuales tipo (SCC) como solución alternativa (cláusula 6.5)
Google LLC	Estados Unidos	ISO 27001 SOC 2 Tipo 2	Correo electrónico empresarial y almacenamiento de documentos (Google Workspace) que utiliza el personal de TuxCare, por ejemplo, para la correspondencia relacionada con la asistencia técnica	Marco de protección de datos; las cláusulas contractuales tipo (SCC) como solución alternativa (cláusula 6.5)