Introducción al Acuerdo de Tratamiento de Datos de Uber

Uber exige que sus proveedores acepten las condiciones establecidas en su Acuerdo de Tratamiento de Datos (“DPA”, por sus siglas en inglés) que rige el tratamiento de la Información Confidencial de Uber, incluidos los Datos Personales de Uber.

El objetivo de estas condiciones es proteger la confidencialidad y la seguridad de la Información Confidencial de Uber y permitir que Uber cumpla sus requisitos en virtud de las leyes globales de protección de datos, incluido, según corresponda (en función del tratamiento de los Datos Personales de Uber por parte de los proveedores), el Reglamento General de Protección de Datos de la Unión Europea (“RGPD”), la Lei Geral de Proteção de Dados Pessoais (“LGPD”) de Brasil, la Ley de Privacidad de Australia, la Ley de Protección de Datos Personales Digitales de La India y las leyes de privacidad estatales de EE. UU., incluida la Ley de Privacidad del Consumidor de California (“CCPA” o “California Consumer Privacy Act”).

El DPA aborda, específicamente:

1. Los requisitos generales y las limitaciones con respecto al procesamiento de la Información Confidencial de Uber por parte de los proveedores, incluidos los relacionados con la seguridad de los datos, los incidentes de seguridad de los datos, las evaluaciones y auditorías de riesgos, la eliminación y conservación de los datos, y el uso de subencargados del tratamiento.
   
2. La designación de las funciones que desempeñan Uber y los proveedores en relación con el tratamiento de los Datos Personales de Uber.
   1. El DPA exige específicamente que las partes indiquen si cada una de ellas actúa como:
      1. “Responsable del tratamiento” o “Encargado del tratamiento”
      2. “Empresa”, “Proveedor de servicios”, “Contratista” o “Tercero”, tal y como se definen estos términos en la CCPA.
   2. El DPA también especifica las responsabilidades de cada parte en función de las designaciones anteriores.

Si tiene alguna pregunta sobre el DPA de Uber, hágasela llegar a su contacto de Uber.

ACUERDO DE TRATAMIENTO DE DATOS DE UBER

Este Acuerdo de Tratamiento de Datos (el “Acuerdo”) establece los requisitos aplicables al tratamiento, por parte del Proveedor, de: (1) Información Confidencial de Uber, incluidos los Datos Personales de Uber (consulte el Apartado 2 a continuación); y (2) Datos Personales de Uber (consulte el Apartado 3 a continuación).

Este Acuerdo forma parte del acuerdo principal entre Uber y la empresa o entidad (el “Proveedor”) (cada uno de ellos denominado de forma individual una Parte y colectivamente las “Partes”) y todos los acuerdos posteriores formalizados en virtud del mismo (en conjunto, el “Acuerdo Principal”).

APARTADO 1: DEFINICIONES

Además de los términos que se definen a continuación, “Empresa,” “Contratista,” “Venta”, “Vender”, “Proveedor de servicios” y “Compartir” tendrán los significados que se establecen en la CCPA / CPRA.

1. Responsable del tratamiento: persona física o jurídica que, por sí sola o junto con otras, determina la finalidad y los medios del Tratamiento de los Datos Personales.
2. Leyes de protección de datos: todas las leyes y normativas aplicables al Tratamiento de Datos Personales de Uber en virtud del presente DPA.
   
3. Interesado: una persona física con la que se relacionan los Datos Personales.
4. Incidente de seguridad de datos: cualquier acceso no autorizado real o del que se sospeche razonablemente, adquisición o tratamiento ilegal de Información Confidencial de Uber, o cualquier acto que ponga en peligro la seguridad o integridad de dicha Información Confidencial de Uber o de cualquier Sistema utilizado por el Proveedor o sus Subencargados del tratamiento, para el Tratamiento de dichos datos.
   
5. Eliminar: destruir física o lógicamente la Información Confidencial de Uber para que no se pueda recuperar.
   
6. Descubrimiento: cualquier caso en el que el Proveedor descubra un Incidente de Seguridad de los Datos, sea notificado de un Incidente de Seguridad de los Datos o hubiera descubierto un Incidente de Seguridad de los Datos en caso de haber actuado con la diligencia razonable.
   
7. Datos personales: cualquier información relacionada con un Interesado identificado o identificable.
   
8. Tratamiento: cualquier operación o conjunto de operaciones que se realice con Datos Personales o conjuntos de Datos Personales, ya sea por medios automatizados o no, como recopilación, registro, organización, estructuración, almacenamiento, adaptación o alteración, recuperación, consulta, uso, divulgación mediante transmisión, difusión o puesta a disposición de cualquier otro modo, alineación o combinación, restricción, borrado o destrucción.
   
9. Encargado del tratamiento: entidad física o jurídica que trata datos personales en nombre de un Responsable del tratamiento.
   
10. Subencargado del tratamiento: un Encargado del tratamiento contratado por el Proveedor para realizar el tratamiento de la Información Confidencial de Uber.
    
11. Sistema: cualquier sistema de archivos, sistema informático, base de datos, dispositivo, equipo, servidor, sitio web, aplicación, software, medio de almacenamiento, red, infraestructura, entorno de red o dominio, incluidos, entre otros, todos los entornos de desarrollo, control de calidad, ensayo y producción.
    
12. Uber: Uber Technologies, Inc. y cualquier subsidiaria o filial de Uber.
    
13. Interesado de Uber: cualquier Interesado cuyos Datos Personales de Uber sean o vayan a ser tratados por el Proveedor.
    
14. Datos Personales de Uber: Datos Personales del Interesado de Uber que sean tratados por el Proveedor a los efectos del Acuerdo.
    
    A los efectos de este Acuerdo, los Datos Personales de Uber no incluyen el nombre ni la información de contacto de los empleados de Uber que son responsables de interactuar con el Proveedor en relación con el Acuerdo Principal, ni los Datos Personales que el Proveedor reciba de forma accidental como resultado de dichas interacciones.
    
15. Información Confidencial de Uber: todos los datos, registros o información, incluidos los Datos Personales de Uber, que son propiedad de Uber o están bajo su control y que se divulgan, proporcionan o ponen a disposición del Proveedor por o en nombre de Uber, o que el Proveedor recopila, crea, mantiene o utiliza en nombre de Uber, en relación con los Servicios, tal y como se describe con más detalle en el Acuerdo.
    
16. Sistema de Uber: cualquier Sistema que sea propiedad de Uber, que esté autorizado, operado o controlado por Uber o al que Uber haya concedido acceso al Proveedor.

APARTADO 2: REQUISITOS: INFORMACIÓN CONFIDENCIAL DE UBER

1. Seguridad de los Datos: El Proveedor deberá mantener las medidas de seguridad físicas, administrativas, organizativas y técnicas adecuadas y otras medidas de seguridad necesarias para mantener la integridad, la seguridad y la confidencialidad de la Información Confidencial de Uber, que incluirán, como mínimo, las establecidas en el Apéndice 1 de este Acuerdo.
2. Responsable de la seguridad: El Proveedor designará a una persona responsable de gestionar y coordinar el cumplimiento de las obligaciones del Proveedor en virtud de este Acuerdo y de ponerlas a disposición de Uber durante la vigencia del Acuerdo Principal.
3. Incidentes de Seguridad de los Datos
   1. Investigación. El Proveedor deberá tomar todas las medidas razonables al Descubrir un Incidente de Seguridad de los Datos para investigar de manera completa y exhaustiva la causa, la naturaleza y el alcance del riesgo que supone dicho Incidente de Seguridad de los Datos a expensas del Proveedor; remediar y mitigar los efectos del Incidente de Seguridad de los Datos; y proporcionar a Uber toda la información necesaria o solicitada por Uber para poder cumplir con las leyes aplicables y los procesos internos de respuesta a Incidentes de Seguridad de los Datos. A petición de Uber, el Proveedor deberá proporcionar informes complementarios detallados sobre su investigación y sus conclusiones. El Proveedor deberá, a su cargo, cooperar plenamente con Uber en la investigación y respuesta a cada Incidente de Seguridad de los Datos, incluso permitiendo el acceso rápido a sus Sistemas o instalaciones por parte de Uber o del investigador de Uber.
      
   2. Aviso para Uber. El Proveedor notificará a Uber en un plazo de cuarenta y ocho (48) horas desde el Descubrimiento comunicándose con las personas o el equipo de Uber designado para recibir notificaciones en virtud del Acuerdo Principal y por correo electrónico a suppliersecurity@uber.com. El Proveedor deberá incluir en dicha notificación, y complementarla según sea necesario:
      1. una descripción del Incidente de Seguridad de los Datos, incluida la causa (si es identificable), la ubicación, la fecha/hora y el Incidente de Seguridad de los Datos y su Descubrimiento;
         
      2. una descripción de las medidas que el Proveedor ha tomado o tomará para investigar y mitigar el impacto del Incidente de Seguridad de los Datos;
         
      3. los tipos y el volumen de la Información Confidencial de Uber que se ha visto afectada, incluido si los datos estaban encriptados u ocultados;
         
      4. el número, la ubicación (estado/país) y las identidades de todos los Interesados de Uber afectados (si procede), incluido, cuando así lo exijan las Leyes de Protección de Datos aplicables, el número de Interesados de Uber afectados que sean niños, adolescentes o personas mayores;
         
      5. las consecuencias esperadas del Incidente de Seguridad de los Datos;
         
      6. una descripción de las medidas que el Proveedor ha tomado o tiene previsto tomar para mitigar dichas consecuencias y aumentar la protección de la Información Confidencial de Uber; y
         
      7. los planes del Proveedor para aplicar medidas correctivas en respuesta al Incidente de Seguridad de los Datos.
   3. Avisos de terceros. El Proveedor ayudará a Uber a comunicar los avisos que exija la ley a cualquier interesado, regulador u otros terceros (“Aviso Obligatorio”). En tal caso, (i) Uber tendrá el control exclusivo sobre el contenido, el momento y la forma de distribución de dicho aviso, a menos que la ley exija lo contrario; (ii) el Proveedor puede enviar un Aviso Obligatorio solo con la aprobación previa por escrito y siguiendo las instrucciones de Uber, a menos que la ley aplicable exija lo contrario (en cuyo caso, el Proveedor deberá proporcionar a Uber una copia de dicho aviso lo antes posible y, en cualquier caso, antes de comunicarlo, a menos que la ley exija lo contrario); y (iii) el Proveedor reembolsará a Uber todos los gastos razonables en los que haya incurrido Uber en relación con cualquiera de dichos avisos cuando el Proveedor sea total o parcialmente responsable del Incidente de Seguridad de los Datos.
      
   4. No divulgación. El Proveedor se abstendrá de divulgar la existencia o información sobre el Incidente de Seguridad de los Datos cuando esté relacionada con Uber o cualquier Información Confidencial de Uber, Interesado de Uber o Sistema de Uber, incluso tratándose de una autoridad gubernamental, sin el consentimiento previo por escrito de Uber.
      
   5. Mitigación y reparación. El Proveedor deberá (i) contener de inmediato y sin demoras injustificadas todas las vulnerabilidades, actividades y otras circunstancias que causaran o dieran lugar al Incidente de Seguridad de los Datos; (ii) tomar todas las medidas correctivas necesarias y adecuadas, y cooperar razonablemente con Uber para mitigar y rectificar dicho Incidente de Seguridad de los Datos.
      
   6. Consultas públicas. El Proveedor será responsable de gestionar y responder a las consultas, preguntas u otras solicitudes de los medios de comunicación, la prensa u otros miembros del público (“Consultas públicas”) relacionadas con un Incidente de Seguridad de los Datos. El Proveedor designará a una o más personas responsables de gestionar y responder a las Consultas públicas y proporcionará los nombres y la información de contacto de todas esas personas a Uber, si así lo solicita.
      
4. Eliminación y conservación de datos: El Proveedor eliminará o devolverá de inmediato a Uber (a elección de Uber) toda la Información Confidencial de Uber que tenga en su poder, custodia y control: (i) tras la resolución o el vencimiento del Acuerdo Principal; (ii) en caso de liquidación o insolvencia del negocio del Proveedor; (iii) una vez que ya no sea necesario para cumplir sus obligaciones en virtud del Acuerdo Principal; o (iv) a petición de Uber.
   
5. Evaluaciones de riesgos
   1. El Proveedor deberá completar y aprobar una evaluación de riesgos de seguridad de la información (“Evaluación de riesgos”) realizada por Uber antes de la Fecha de Entrada en Vigor.
      
      Después de la Evaluación de riesgos inicial, el Proveedor deberá completar las Evaluaciones de riesgos solicitadas por Uber como máximo una vez al año, o en caso de que (i) el Proveedor comience a proporcionar productos o servicios adicionales a Uber, o a procesar Información Confidencial de Uber adicional, que no hayan sido evaluados durante la evaluación inicial o la evaluación más reciente; (ii) cambie la naturaleza o los fines del Tratamiento de la Información Confidencial de Uber; (iii) el Proveedor comience a transferir Datos Personales de Uber de Interesados de Uber en el Espacio Económico Europeo (“EEE”) fuera del EEE, o comience a transferir Datos Personales de Uber a un tercer país diferente que no estuviera contemplado durante la evaluación inicial o la evaluación más reciente; (iv) el Proveedor realice un cambio sustancial en el Tratamiento de la Información Confidencial de Uber que podría afectar a la seguridad de dichos datos o a la capacidad del Proveedor para cumplir con este Acuerdo; (v) se considere razonablemente necesario realizar una evaluación para que Uber cumpla con las Leyes de Protección de Datos u otras obligaciones de cumplimiento de seguridad de los datos; (vi) se considere razonablemente necesario realizar una evaluación para que Uber pueda cumplir con una solicitud, orden o acuerdo con una entidad de supervisión u otra obligación legal; o (vii) se produzca un Incidente de Seguridad de los Datos.
      
   2. Requisitos. El Proveedor proporcionará a Uber toda la información razonablemente necesaria para completar la Evaluación de riesgos. Dicha información puede incluir, entre otros, cuestionarios de evaluación de riesgos; políticas y procedimientos de seguridad de la información; políticas y procedimientos de clasificación y tratamiento de datos; informes de auditoría o cumplimiento de la seguridad de los datos que evalúan la eficacia del programa, los sistemas, los controles internos y los procedimientos de seguridad de la información del Proveedor relacionados con el Tratamiento de Datos Personales de Uber en relación con un marco aceptado por el sector, como ISO, SSAE16, SOC o NIST ; y otra información solicitada por Uber para evaluar el programa de seguridad de la información, los controles y el Tratamiento de Información Confidencial de Uber del Proveedor. Dicha información también incluye detalles sobre el Tratamiento de los Datos Personales de Uber por parte del Proveedor, incluidos los tipos de datos, los fines del tratamiento, el tipo y el número de Interesados de Uber, la ubicación del Tratamiento, los Subencargados del tratamiento y la conservación de los datos. Se pueden proporcionar copias de las políticas, los procedimientos u otros documentos del Proveedor a Uber, o se pueden presentar a través de una aplicación de pantalla compartida acordada mutuamente.
      
   3. Registros de auditoría. El Proveedor deberá mantener registros y registros de auditoría de los sistemas de información, incluidos registros de aplicaciones, registros de acceso, registros de autenticación, registros de red, registros de dispositivos de los usuarios finales y registros del sistema de seguridad en la medida necesaria para permitir la supervisión, el análisis, la investigación y la notificación de actos ilícitos, actividades no autorizadas o inapropiadas del Sistema y garantizar que las acciones de los usuarios individuales del Sistema de información se puedan relacionar de manera única con esos usuarios para que poder responsabilizarlos de sus acciones y permitir las investigaciones adecuadas de los Incidentes de Seguridad de los Datos.
6. Auditorías.
   1. Auditorías. El Proveedor permitirá a Uber, avisando por escrito con una antelación razonable y durante el horario laboral, auditar por su cuenta las instalaciones, redes, sistemas y procedimientos del Proveedor, así como su Tratamiento de la Información Confidencial de Uber y cumplimiento de este Acuerdo. Uber puede ejercer este derecho como máximo una vez al año, excepto cuando se haya producido un Incidente de Seguridad de los Datos o cuando sea necesario para cumplir con las Leyes de Protección de Datos o cualquier otra obligación legal.
   2. Requisitos de auditoría. El Proveedor cooperará razonablemente con las auditorías descritas en el párrafo anterior proporcionando acceso al personal que tenga la información necesaria, a las instalaciones físicas, según corresponda, a la documentación, a la infraestructura y a cualquier software de aplicación que intervenga en el Tratamiento de Información Confidencial de Uber o que tenga acceso a las instalaciones, redes, sistemas o procedimientos de Uber. Uber será responsable de los costes y gastos de dicha auditoría (o de los honorarios y costes del tercero que realice la auditoría), a menos que dicha auditoría revele o se inicie debido a un incumplimiento grave del Acuerdo Principal, incluido el presente Acuerdo, en cuyo caso el Proveedor reembolsará a Uber dichos costes y gastos. El Proveedor abordará y corregirá de inmediato todas las deficiencias identificadas en dicha auditoría.
7. Subencargados del tratamiento
   1. Subencargados del tratamiento permitidos. El Proveedor NO permitirá que ningún Subencargado del tratamiento realice el Tratamiento de Información Confidencial de Uber, excepto aquellos identificados durante una Evaluación de riesgos. Si el Proveedor pretende contratar a cualquier otro Subencargado del tratamiento, deberá notificárselo a Uber, indicando incluso los fines para los que se encargará del Tratamiento de Información Confidencial de Uber, al menos 30 días antes de dicho Tratamiento. Si Uber no se opone a dicha colaboración, se considerará aprobada por Uber.
      
   2. Obligaciones del Subencargado del tratamiento. El Proveedor celebrará un acuerdo con cada Subencargado del tratamiento antes de que puedan encargarse del Tratamiento de Información Confidencial de Uber, que impondrá obligaciones que no sean menos restrictivas y representen una protección de la Información Confidencial de Uber al menos igual que las impuestas al Proveedor en virtud de este Acuerdo. Uber puede solicitar una copia de dicho acuerdo y puede negar el consentimiento para el uso de dicho Subencargado del tratamiento si el Proveedor no proporciona dicho acuerdo o este no protege en grado suficiente la Información Confidencial de Uber. El Proveedor puede ocultar información en dicho acuerdo antes de compartirlo con Uber en la medida necesaria para proteger sus secretos comerciales o la información confidencial que pueda encontrarse en él.
      
   3. Cumplimiento de las Leyes de Protección de Datos por parte del Subencargado del tratamiento. El Proveedor es responsable de garantizar el cumplimiento por parte de los Subencargados del tratamiento de las Leyes de Protección de Datos aplicables en relación con el Tratamiento de los Datos Personales de Uber por parte de los Subencargados del tratamiento.
      
   4. Responsabilidad El uso de Subencargados del tratamiento por parte del Proveedor no afecta ni limita la responsabilidad del Proveedor en virtud del presente Acuerdo.
8. Indemnización: A menos que se establezca lo contrario en el Acuerdo Principal, la Empresa acepta indemnizar, defender y eximir de responsabilidad a Uber, sus directivos, funcionarios, empleados y agentes en relación con cualquier pérdida, daño, precio y gasto que surja de cualquier reclamación relacionada con la pérdida, la alteración o el uso indebido de Datos Personales de Uber por parte de la Empresa, el acceso no autorizado, la destrucción o la divulgación de Datos Personales de Uber, o la infracción por parte de la Empresa del Apartado 4 de este DPA.
9. Restricción de la transferencia masiva de Datos Personales Confidenciales de EE. UU.
   1. Definiciones: A los efectos de este Apartado 2.8:
      1. los términos “Acceso”, “Masivo”, “Datos Personales Confidenciales Masivos de EE. UU.”, “País Implicado”, “Transacción de Datos Cubiertos”, “Persona Cubierta”, “Agencia de Datos”, “Datos de las Administraciones Públicas”, “Datos Personales Confidenciales” y “Persona de los Estados Unidos” tendrán los significados que se les atribuyen en la norma sobre datos confidenciales del Departamento de Justicia de EE. UU., 28 CFR, parte 202;
         
      2. "Datos Cubiertos" hará referencia a "Datos Personales Confidenciales Masivos de EE. UU.” y/o “Datos de las Administraciones Públicas”.
         
      3. “Entidad Cubierta” hará referencia a cualquier “Persona Cubierta” o “País Implicado”.
   2. En caso de que el Proveedor tenga acceso a los Datos Cubiertos en relación con el Acuerdo Principal, el Proveedor declara y garantiza que:
      1. no es una Entidad Cubierta;
         
      2. no participará en ninguna Transacción de Datos Cubiertos que implique servicios de Agencia de Datos prestados por una Entidad Cubierta;
         
      3. a menos que Uber lo permita expresamente o lo permita de otro modo la parte 202 de la CFR 28, (A) no permitirá que ninguna Entidad Cubierta acceda a dichos Datos Cubiertos; y (B) prohibirá que cualquier Subencargado del tratamiento proporcione acceso a los Datos Cubiertos a cualquier Entidad Cubierta;
         
      4. no eludirá ni intentará eludir ninguna estrategia de encriptación, enmascaramiento, desidentificación o mejora de la privacidad ni los controles de seguridad implementados por Uber en relación con la parte 202 de la CFR 28;
         
      5. proporcionará a Uber toda información que Uber pueda solicitar razonablemente en relación con el cumplimiento de este Apartado 2.8 o de la parte 202 de la CFR 28, incluso en relación con cualquier investigación realizada por Uber.
         

APARTADO 3: REQUISITOS: DATOS PERSONALES DE UBER

1. Función de las Partes: A menos que se establezca lo contrario en el Acuerdo Principal, las Partes reconocen y aceptan que Uber es el Responsable del tratamiento de los Datos Personales de Uber cuyo Tratamiento se realiza en el marco del Acuerdo Principal^[1], y que el Proveedor es un Encargado del tratamiento o un Proveedor de Servicios en relación con dicho tratamiento.
2. Requisitos generales: El Proveedor reconoce y acepta que:
   1. Comprende y que cumplirá todos los requisitos en virtud de las Leyes de Protección de Datos aplicables en relación con el Tratamiento de los Datos Personales de Uber.
   2. Notificará a Uber si determina que ya no puede cumplir con sus obligaciones en virtud de las Leyes de Protección de Datos aplicables, a menos que la ley exija lo contrario. Al recibir dicha notificación, Uber podrá tomar las medidas razonables y adecuadas para detener el Tratamiento de los Datos Personales de Uber por parte del Proveedor y remediar cualquier riesgo para los Interesados de Uber que resulte de dicho Tratamiento, y el Proveedor ayudará razonablemente a Uber en relación con dichos pasos (incluido, según corresponda, el cese de dicho Tratamiento).
      
   3. No alquilará, venderá, compartirá, divulgará, combinará con otros datos ni Tratará de otro modo los Datos Personales de Uber para ningún fin, excepto cuando sea necesario para cumplir con sus obligaciones en virtud del Acuerdo Principal, a menos que las Partes acuerden lo contrario por escrito.
      
   4. No intentará volver a identificar a ningún Interesado de Uber utilizando los datos anónimos proporcionados o recopilados por el Proveedor.
      
   5. No permitirá que ningún empleado del Proveedor realice el Tratamiento de Datos Personales de Uber, excepto cuando dicho empleado haya aceptado mantener la confidencialidad de los Datos Personales de Uber o cuando la ley exija que dichos empleados mantengan la confidencialidad de los Datos Personales de Uber.
3. Requisitos del Encargado del tratamiento/Proveedor de Servicios/Contratista: Si el Proveedor es designado como Encargado del tratamiento, Proveedor de servicios o Contratista en el Acuerdo Principal, deberá, en relación con los Datos Personales de Uber cuyo Tratamiento se realice de acuerdo con esa designación:
   
   1. Si se lo designa como Encargado del tratamiento o Proveedor de servicios, (a) realizar el Tratamiento de Datos Personales de Uber como tal únicamente de conformidad con las instrucciones proporcionadas por escrito por Uber, excepto cuando la ley exija lo contrario; y (b) no copiar ni reproducir los Datos Personales de Uber para sus propios fines, los de cualquier Subencargado del tratamiento u otro tercero, incluso cuando los fines estén relacionados con la formación, el desarrollo o el perfeccionamiento de modelos de aprendizaje automático, sistemas de inteligencia artificial o tecnologías similares.
      
   2. Ayudar a Uber según sea razonable y apropiado, en el contexto del Tratamiento de Datos Personales por parte del Proveedor, a:
      1. cumplir con las obligaciones de Uber en virtud de los artículos 32 a 36 del RGPD, según corresponda, u obligaciones análogas en virtud de otras Leyes de Protección de Datos aplicables; y
         
      2. demostrar el cumplimiento de las Leyes de Protección de Datos aplicables, incluido el artículo 28 del RGPD, según corresponda.
         
   3. Permitir que Uber tome las medidas razonables y adecuadas para garantizar que el Proveedor utilice los Datos Personales de Uber de manera coherente con sus obligaciones en virtud de las Leyes de Protección de Datos aplicables, y para detener y remediar el uso no autorizado de los Datos Personales de Uber.
      
   4. A menos que la ley exija lo contrario, notificar de inmediato a Uber cualquier solicitud por parte de un Interesado de Uber, o de un organismo gubernamental o regulador con autoridad sobre el Proveedor o Uber, en relación con el Tratamiento de Datos Personales de Uber por parte del Proveedor, y cooperar con Uber en relación con cualquier respuesta a dicha solicitud o demanda.
4. Requisitos del Responsable del tratamiento: si el Proveedor es designado como Responsable del tratamiento en el Acuerdo Principal, reconoce y acepta que:
   1. Es un Responsable del tratamiento independiente de los Datos Personales de Uber en virtud de las Leyes de Protección de Datos.
      
   2. Determinará los fines y los medios del Tratamiento de los Datos Personales de Uber.
      
   3. Es responsable de su propio cumplimiento de las Leyes de Protección de Datos aplicables, incluso en lo que respecta a la notificación a los Interesados del Tratamiento de sus Datos Personales y a cómo pueden ejercer sus derechos, y a la obtención de los consentimientos necesarios.
      
   4. Cumplirá las obligaciones que le sean aplicables en virtud de las Leyes de Protección de Datos con respecto al Tratamiento de los Datos Personales de Uber.
5. Transferencias transfronterizas: Si el Tratamiento de Datos Personales por parte del Proveedor implica la transferencia de Datos Personales de Interesados de Uber:
   1. Este cumplirá con todas las Leyes de Protección de Datos aplicables a dichas transferencias.
      
   2. En la medida en que sea aplicable en función de la ubicación de los Interesados de Uber cuyos Datos Personales se transferirán, cumplirá los requisitos establecidos en el Anexo 2 del presente Acuerdo.

APARTADO 4: OTROS

1. Fecha de entrada en vigor: Este Acuerdo entra en vigor a partir de la fecha de ejecución del Acuerdo Principal.
2. Resolución y supervivencia: Sin perjuicio de cualquier disposición en sentido contrario del Acuerdo Principal, este Acuerdo y todas las disposiciones del presente permanecerán vigentes mientras y en la medida en que el Proveedor realice el Tratamiento o conserve la Información Confidencial de Uber.
   
3. Incumplimiento. El Proveedor informará de inmediato a Uber si no puede cumplir con las disposiciones del presente Acuerdo. Si el Proveedor no puede cumplir en un plazo razonable, o si el Proveedor incumple de forma sustancial o persistente el presente Acuerdo o sus obligaciones en virtud del presente Acuerdo, Uber tendrá derecho a rescindir el presente Acuerdo y el Acuerdo Principal en la medida en que se refiera al tratamiento de la Información Confidencial de Uber; siempre que, sin embargo, cualquier infracción del Apartado 2.9 constituya un incumplimiento grave y Uber tenga derecho a rescindir de inmediato el Acuerdo Principal.
4. Cláusula ineficaz. Si las disposiciones individuales del presente Acuerdo son o pasan a ser ineficaces, la eficacia del resto de disposiciones no se verá afectada. Las Partes sustituirán la cláusula ineficaz por una cláusula legalmente permitida, que cumpla con la intención comercial prevista en la mayor medida posible.
   
5. Conflictos. En caso de conflicto entre el presente Acuerdo: (i) y el Acuerdo Principal, prevalecerá el presente Acuerdo; y (b) un Acuerdo de Socio Comercial de conformidad con la HIPAA entre Uber y el Proveedor, prevalecerá el Acuerdo de Socio Comercial.
   
6. Legislación aplicable y jurisdicción. La legislación aplicable y la jurisdicción establecidas en el Acuerdo Principal se aplican al presente Acuerdo.

APÉNDICE 1
Medidas organizativas/administrativas, físicas y técnicas

1. Medidas de seguridad organizativas/administrativas: El Proveedor ha implementado, y mantendrá y actualizará según corresponda durante el periodo en que esté a cargo del Tratamiento de la Información Confidencial de Uber (siempre que dichas actualizaciones no disminuyan ni deterioren las medidas de seguridad utilizadas para proteger la Información Confidencial de Uber):
   1. Un programa integral de seguridad de la información y las redes, que consta de políticas, prácticas y procedimientos que rigen los Servicios (en conjunto, el “Programa de Seguridad de los Datos”) que (i) cumple con las prácticas recomendadas actuales; (ii) cumple con todas las Leyes de Protección de Datos aplicables; (iii) en la medida aplicable, cumple con las Normas de Seguridad de los Datos de Sector de las Tarjetas de Pago (PCI DSS); (iv) cumple con los estándares de seguridad ISO 27000, NIST 800-53, CIS Top 20 o HITRUST; y (v) en la medida aplicable, cumple con la Norma sobre Datos Confidenciales del Departamento de Justicia de EE. UU., parte 202 de la CFR 28. El Proveedor pondrá a disposición de Uber la documentación de su Programa de Seguridad de los Datos, si así lo solicita.
   2. Un programa documentado de prevención de la pérdida de datos diseñado para detectar, prevenir y mitigar el riesgo de Incidentes de Seguridad de los Datos, que incluirá, como mínimo:
      1. políticas y controles técnicos adecuados diseñados para evitar la pérdida de Información Confidencial de Uber; y
      2. un plan de recuperación ante desastres o de continuidad del negocio que aborde el acceso, el mantenimiento y el almacenamiento continuos de la Información Confidencial de Uber, así como las necesidades de seguridad para las ubicaciones de respaldo y las redes de comunicación alternativas.
   3. Políticas y procedimientos para limitar el acceso a la Información Confidencial de Uber a aquellas personas que lo necesiten para desempeñar sus funciones y responsabilidades en relación con el Acuerdo Principal.
   4. Procedimientos para verificar todos los derechos de acceso a través de métodos de autenticación efectivos.
   5. Un proceso para realizar evaluaciones de riesgos de seguridad de la información al menos una vez cada dos años a cualquier Encargado o Subencargado del tratamiento del Proveedor con acceso a Información Confidencial de Uber. Dichos Encargados o Subencargados del tratamiento dispondrán de controles de seguridad de la información que impliquen un nivel de protección de la Información Confidencial de Uber igual o superior a los requisitos del presente Acuerdo. Uber puede solicitar una copia de la evaluación de riesgos que el Proveedor haya realizado sobre cualquier Subencargado del tratamiento, y puede negar el consentimiento para el uso de dicho Subencargado del tratamiento si la evaluación revela que el Subencargado del tratamiento no cuenta con suficientes controles de seguridad de la información para proteger la Información Confidencial de Uber.
   6. Un programa de sensibilización en materia de seguridad para el personal del Proveedor, que incluye formación periódica sobre temas de seguridad de la información, como el tratamiento seguro de los datos, la protección de contraseñas y credenciales, la ingeniería social y cómo identificar y notificar posibles incidentes de seguridad.
   7. Un programa continuo de gestión de vulnerabilidades que utiliza un proceso de clasificación de riesgos estándar en el sector para asignar una prioridad a la reparación de las vulnerabilidades descubiertas. Si se detecta una vulnerabilidad que pueda afectar a la confidencialidad, disponibilidad o integridad de la Información Confidencial de Uber, el Proveedor deberá proporcionar pruebas suficientes para demostrar que la vulnerabilidad se ha corregido y permitir que Uber determine si se ha producido un Incidente de Seguridad de los Datos.
   8. Un programa seguro de gestión de activos que aplica una base de seguridad estándar en el sector, incluida la clasificación de activos y el inventario de dispositivos o sistemas en los que se realiza el Tratamiento de Información Confidencial de Uber.
   9. Procesos formales y por escrito para detectar, identificar, informar, responder, mitigar y remediar los Incidentes de Seguridad de los Datos de manera oportuna, que incluirán procesos para que el personal del Proveedor, incluidos los administradores del Sistema, informen de eventos anómalos al equipo de gestión de incidentes y el Proveedor para notificar a las personas y entidades afectadas, a los reguladores y a otros miembros del público cuando sea necesario.
   10. Simulaciones de incidentes, como ejercicios teóricos o de equipo rojo que se planifican y llevan a cabo de forma rutinaria.
   11. Un programa establecido para pruebas de penetración que incluye una gama completa de ataques combinados, como ataques basados en clientes y en aplicaciones web.
   12. Un programa de gobernanza y gestión de riesgos para los servicios en la nube para que las protecciones y las configuraciones de seguridad de referencia estén habilitadas.
   13. Prácticas de codificación seguras adecuadas para el lenguaje de programación en uso y formación para todo el personal para la escritura de código seguro.
   14. Una política de acceso a los datos de agencias gubernamentales que deniega el acceso a los datos gubernamentales, excepto cuando dicho acceso venga exigido por la ley o cuando exista un riesgo inminente de daño grave para las personas.
   15. Políticas y procedimientos para evaluar el fundamento jurídico y responder a las solicitudes de datos por parte de las agencias gubernamentales.
   16. Formación específica del personal responsable de gestionar las solicitudes de acceso a los datos por parte de las agencias gubernamentales, que puede incluir requisitos en virtud de las Leyes de Protección de Datos aplicables.
   17. Procesos para documentar y registrar las solicitudes de datos por parte de las agencias gubernamentales, la respuesta proporcionada y las autoridades gubernamentales involucradas.
   18. Procedimientos para notificar a Uber cualquier solicitud o requisito de acceso de las agencias gubernamentales a los datos, a menos que esté legalmente prohibido.
2. Medidas físicas de seguridad
   1. El Proveedor ha implementado, y mantendrá y actualizará según corresponda durante el Tratamiento de la Información Confidencial de Uber, medidas físicas de seguridad adecuadas para cualquier instalación utilizada para el Tratamiento de Información Confidencial de Uber y supervisará continuamente cualquier cambio en la infraestructura física, el negocio y las amenazas conocidas.
3. Medidas técnicas de seguridad: Durante el Tratamiento de la Información Confidencial de Uber, el Proveedor deberá:
   1. realizar análisis y evaluaciones de vulnerabilidades en las aplicaciones y la infraestructura utilizadas para el Tratamiento de Información Confidencial de Uber;
   2. proteger sus redes informáticas mediante múltiples capas de controles de acceso, incluida la autenticación multifactorial, para protegerlas contra los accesos no autorizados;
   3. restringir el acceso a través de mecanismos como, entre otros, aprobaciones de la dirección, controles estrictos, registro y supervisión de eventos de acceso y auditorías posteriores;
   4. implementar y mantener registros de eventos en todos los Sistemas implicados en el Tratamiento de Información Confidencial de Uber que sean lo suficientemente detallados para permitir al Proveedor determinar si se ha producido un Incidente de Seguridad de los Datos y las posibles consecuencias del Incidente de Seguridad de los Datos, incluido, entre otros, si se ha accedido, adquirido, modificado o eliminado Información Confidencial de Uber. Estos registros de eventos deben conservarse durante al menos trece (13) meses y ponerse a disposición de Uber, en caso de solicitarlo, en un plazo de siete (7) días naturales a partir de la fecha de la solicitud. Si los registros contienen información de eventos relacionada con otras entidades o clientes, el Proveedor debe poder segregar los datos del registro de eventos de Uber cuando se le solicite hacerlo;
   5. identificar otros sistemas informáticos y aplicaciones que justifiquen la supervisión y el registro de eventos de seguridad, y mantener razonablemente los archivos de registro;
   6. revisar y analizar los registros de eventos mediante procesos de alerta y supervisión continuos y automatizados para detectar, responder e investigar eventos y actividades anómalos;
   7. utilizar un software comercial de análisis de virus/malware actualizado y estándar en el sector que identifique código malicioso en todos sus sistemas implicados en el Tratamiento de Información Confidencial de Uber;
   8. hacer cumplir los límites de la red y las protecciones entre redes;
   9. cifrar la Información Confidencial de Uber cuando esté en tránsito;
   10. cifrar la Información Confidencial de Uber en reposo y gestionar y proteger únicamente todas las claves de cifrado (es decir, ningún tercero tendrá acceso a estas claves de cifrado, incluidos los Encargados o Subencargados del tratamiento).

APÉNDICE 2
Transferencias transfronterizas

A menos que las partes acuerden lo contrario, este Apéndice 2 define los mecanismos que las Partes utilizarán para permitir las transferencias transfronterizas de Datos Personales cuando así lo exijan las Leyes de Protección de Datos. En concreto, en la medida en que los Servicios requieran la transferencia de Datos Personales de los Interesados de Uber en los siguientes países, en cuyo caso las Partes acuerdan lo siguiente:

1. EE. UU. o Suiza. Si los servicios del Proveedor implican transferencias de Datos Personales de Interesados de Uber en el EEE o Suiza a un país o territorio fuera de estas regiones que la Comisión Europea no haya reconocido como proveedor de un nivel adecuado de protección de datos, las Partes incorporarán a este Acuerdo y aceptan cumplir las cláusulas contractuales tipo del 4 de junio de 2021 (“CCT”) aprobadas por la Comisión Europea, a menos que las partes acuerden lo contrario en este Acuerdo. Si las cláusulas contractuales tipo están así constituidas:
   1. el Módulo 1 (Responsable a Responsable) se aplicará si el Proveedor es designado como Responsable del tratamiento;
   2. el Módulo 2 (Responsable del tratamiento a Encargado del tratamiento) se aplicará si el Proveedor es designado como Encargado del tratamiento;
   3. la cláusula de incorporación opcional (Cláusula 7) no se aplicará;
   4. el lenguaje opcional contenido en la Cláusula 11 (Reparación) no se aplicará;
   5. la legislación aplicable a los efectos de la Cláusula 17 (Derecho aplicable) será la legislación de los Países Bajos;
   6. los tribunales en virtud de la Cláusula 18 (Elección de foro y jurisdicción) serán los tribunales de los Países Bajos, a menos que las partes acuerden lo contrario en el Acuerdo Principal; y
   7. La autoridad de control competente a los efectos de la Cláusula 13 (Supervisión) de las cláusulas contractuales tipo es la Autoridad de Protección de Datos de los Países Bajos (Autoriteit Persoonsgegevens), a menos que las partes acuerden lo contrario en el Acuerdo Principal.
   8. Las Partes declaran que no creen que las leyes y prácticas de ningún país al que se transfieran Datos personales de Uber a los efectos del Acuerdo Principal impidan que el Proveedor cumpla sus obligaciones en virtud de las cláusulas contractuales tipo.
   9. En lugar del Anexo 1 de las cláusulas contractuales tipo, las Partes acuerdan que:
      1. La identidad y los datos de contacto de Uber, como exportador de datos, y del Proveedor, como importador de datos, se especifican en el Acuerdo Principal y en este Acuerdo.
         
      2. La naturaleza y los fines del tratamiento hacen referencia a los Servicios o según se especifique en el Acuerdo Principal o en este Acuerdo.
      3. El Proveedor conservará los Datos Personales de Uber transferidos tal y como se especifique en el Acuerdo Principal o en el presente Acuerdo.
      4. Las categorías de Interesados de Uber y de los Datos Personales de Uber transferidos son las documentadas en la Evaluación de riesgos realizada antes del Tratamiento de los Datos Personales de Uber.
      5. En lugar del Anexo 2 de las cláusulas contractuales tipo, las Partes acuerdan cumplir con el Apéndice 1 del presente Acuerdo.
      6. En lugar del Anexo 3 de las cláusulas contractuales tipo (si corresponde), las Partes acuerdan que los Subencargados del tratamiento de los Datos Personales de Uber autorizados son aquellos identificados en la Evaluación de riesgos realizada antes de iniciarse el Tratamiento de los Datos Personales de Uber, o como se especifique de otro modo en este Acuerdo o el Acuerdo Principal.
2. Reino Unido: Si los servicios del Proveedor implican transferencias de Datos Personales de Interesados de Uber en el Reino Unido a una jurisdicción que no ofrezca un nivel adecuado de protección de datos, se aplicarán las cláusulas contractuales tipo sujetas a las condiciones del “Apéndice del Reino Unido a las Cláusulas contractuales Tipo de la UE” emitida por la Oficina del Comisionado de Información en virtud del artículo 119A de la Ley de Protección de Datos del Reino Unido de 2018 (“Apéndice del Reino Unido”). Dicho Apéndice del Reino Unido se considerará formalizado entre el Proveedor y Uber, sujeto al Apartado 3.5(b) del presente Acuerdo, según corresponda.
3. Brasil: Si el Tratamiento de Datos Personales por parte del Proveedor implica la transferencia transfronteriza de Datos personales de Uber de Interesados de Uber en Brasil, ya sea entre las Partes o a terceros, el Proveedor garantizará el cumplimiento de todas las Leyes de Protección de Datos aplicables, incluida la adopción de los mecanismos legales adecuados, como cláusulas contractuales tipo u otros instrumentos legalmente requeridos, y garantizarán que el procesamiento proporcione, como mínimo, el mismo nivel de protección y garantías para los Datos Personales que establece el presente Acuerdo.
   1. Transferencias transfronterizas entre las Partes de Datos Personales de Interesados de Uber en Brasil. Si el Tratamiento de Datos Personales implica la transferencia transfronteriza entre las Partes de Datos personales de Uber de Interesados de Uber en Brasil a un país o territorio que la autoridad competente no haya reconocido como proveedor de un nivel adecuado de protección de datos, por la presente las Partes incluyen, como si se establecieran íntegramente en el presente documento, y aceptan cumplir las cláusulas contractuales tipo de Brasil contenidas en el Anexo II de la Resolución n.º 19 de 2024 emitida por la Autoridad de Protección de Datos de Brasil (“cláusulas contractuales tipo de Brasil”), disponibles en: Cláusulas contractuales tipo de Brasil. En tales casos:
      1. A los efectos de cualquier transferencia transfronteriza de Datos personales, Uber o cualquiera de sus Filiales se considerarán como un agente de tratamiento de datos.
      2. Las tablas informativas contenidas en la Cláusula 1.1 de las cláusulas contractuales tipo de Brasil se sustituirán por la cualificación y la información de contacto de Uber y del Proveedor, tal y como se establece en el Acuerdo Principal, en este Acuerdo y en el Aviso de Privacidad de cada una de las Partes.
      3. A los efectos de las casillas de verificación establecidas en la Cláusula 1.1 de las cláusulas contractuales tipo de Brasil, en relación con las funciones de las Partes, la casilla de verificación “Exportador/Responsable del tratamiento” se considerará seleccionada para Uber. En el caso del Proveedor, se considerará seleccionada la casilla de verificación "Importador" que corresponda a la clasificación del Proveedor en virtud de la Cláusula 3.1 de este Acuerdo ("Función de las Partes" o según se establezca en el Acuerdo Principal.
      4. Las Partes acuerdan que: (i) el objetivo principal de la transferencia transfronteriza de los Datos Personales de Uber es la prestación de los servicios tal y como se especifica en el Acuerdo Principal o en el presente Acuerdo; (ii) los Datos Personales de Uber transferidos se conservarán tal y como se especifica en el Acuerdo Principal o en el presente Acuerdo, de conformidad con la Ley de Protección de Datos aplicable y el Aviso de Privacidad de cada una de las Partes; y (iii) las categorías de Interesados de Uber y los respectivos Datos Personales de Uber transferidos están documentadas en la Evaluación de riesgos realizada antes de iniciarse el Tratamiento de dichos Datos Personales. Esta información sustituye a la tabla de descripción de la transferencia de datos que figura en la Cláusula 2.1 de las cláusulas contractuales tipo de Brasil.
      5. A los efectos de la Cláusula 3.1 de las cláusulas contractuales tipo de Brasil, que aborda las Transferencias posteriores, las Partes acuerdan que se aplicará la Opción A en los casos en los que ambas Partes actúen como Responsables del tratamiento. Cuando el Proveedor actúe como Encargado del tratamiento, se aplicará la Opción B, y la tabla descriptiva establecida en la Cláusula 3.1 se sustituirá por la Evaluación de riesgos realizada antes de iniciarse el Tratamiento de los Datos Personales de Uber por parte del Proveedor o según lo establecido en el Acuerdo Principal.
      6. A los efectos de la Cláusula 4.1 de las cláusulas contractuales tipo de Brasil, que aborda las Responsabilidades de las Partes, las Partes acuerdan que se aplicará la Opción A y que tanto el Exportador como el Importador son responsables de cumplir las obligaciones establecidas en los puntos “a”, “b” y “c”, donde ambas Partes actúan como Responsables del tratamiento. Cuando el Proveedor actúe como Encargado del tratamiento, dichas obligaciones serán responsabilidad exclusiva de Uber.
      7. La tabla que figura en la Sección III de las cláusulas contractuales tipo de Brasil se sustituye por el Apéndice 1 del presente Acuerdo.
   2. Arabia Saudí. Si el Tratamiento de Datos Personales por parte del Proveedor implica la transferencia de Datos Personales de Uber de Interesados de Uber en Arabia Saudí a un país o territorio que la autoridad competente no haya reconocido como proveedor de un nivel adecuado de protección de datos, las Partes incorporan y acuerdan cumplir con las cláusulas contractuales tipo para la transferencia de Datos Personales, versión 1.0 de septiembre de 2024 (“CCT de la KSA”) aprobadas por la Autoridad Saudí de Datos e IA (SDAIA), a menos que las partes acuerden lo contrario en el presente Acuerdo. Si las cláusulas contractuales tipo están así constituidas:
      1. Plantilla 1: (Responsable a Responsable) se aplicará si el Proveedor es designado como Responsable del tratamiento;
      2. Plantilla 2: (de Responsable a Encargado del tratamiento) se aplicará si el Proveedor es designado como Encargado del tratamiento;
      3. La legislación aplicable a los efectos de la Cláusula 8 (Fuero aplicable y jurisdicción) será la ley del Reino de Arabia Saudita. Cualquier litigio que surja de la aplicación de las disposiciones de estas Cláusulas será competencia del Reino y se someterá a sus tribunales;
      4. La autoridad competente a los efectos de la Cláusula 9 (Cumplimiento de las solicitudes de la autoridad competente) es la Autoridad Saudí de Datos e IA (SDAIA);
      5. Las Partes declaran que no creen que las leyes y prácticas de ningún país al que se transfieran Datos Personales de Uber a efectos del Acuerdo Principal impidan que el Proveedor, “el Importador de Datos Personales”, cumpla con sus obligaciones en virtud de las cláusulas contractuales tipo de la KSA;
      6. A los efectos del Anexo 1, la información de las Partes es la que se establece en este Acuerdo y en el Acuerdo Principal. Uber queda designado como Exportador de Datos Personales y Responsable del tratamiento de los Datos Personales de los Interesados de Uber, mientras que el Proveedor queda designado como Importador de los Datos Personales de los Interesados de Uber, desempeñando la función especificada en la Cláusula 3.1 “Función de las partes” del presente Acuerdo;
      7. A efectos del Anexo 2, las Partes acuerdan que:
         1. Las categorías de Interesados de Uber y de los Datos Personales de Uber transferidos son las documentadas en la Evaluación de riesgos realizada antes del Tratamiento de los Datos Personales de Uber.
         2. La finalidad de la transferencia es la prestación de los Servicios, si no se especifica de otro modo en el Acuerdo Principal o en el presente Acuerdo.
         3. El Proveedor conservará los Datos Personales de Uber transferidos, tal y como se especifica en el Acuerdo Principal o en el presente Acuerdo.
         4. En lugar del Anexo 3 de las cláusulas contractuales tipo de Arabia Saudí, las Partes acuerdan cumplir con el Apéndice 1 del presente Acuerdo.

1. Consulte el Aviso de Privacidad de Uber para determinar cuáles son los responsables del tratamiento de la Información Confidencial de Uber en su región. Cuando una entidad que no sea el responsable del tratamiento designado celebre este Acuerdo en nombre de Uber, estará autorizada a hacerlo por los responsables del tratamiento correspondientes. Uber se reserva el derecho de designar a otra filial de Uber como Responsable del tratamiento de los datos a efectos del presente Acuerdo. ↑