Apéndice sobre procesamiento rápido de datos

A menos que se defina lo contrario en esta DPA, los términos en mayúscula utilizados pero no definidos en esta DPA tendrán el significado establecido en el Acuerdo. Los siguientes términos en mayúscula utilizados en esta DPA se definirán de la siguiente manera:
«Acuerdo«significa el acuerdo celebrado entre Brisk y el Cliente que incorpora los términos en https://www.briskteaching.com/terms o según lo convenido de otro modo entre las partes.
«Leyes de protección de datos aplicables«se refiere a todas las leyes, normas, reglamentos y requisitos gubernamentales aplicables relacionados con la privacidad, la confidencialidad o la seguridad de los datos personales, ya que pueden modificarse o actualizarse de otro modo de vez en cuando, incluido (sin limitación) el GDPR.
«Subprocesador autorizado«se refiere a los subprocesadores enumerados en el Anexo 4 y a cualquier otro subprocesador designado de conformidad con el párrafo 7.4.
«Propósitos del controlador«significa: (a) llevar a cabo investigación y desarrollo internos para desarrollar, probar, mejorar y modificar la funcionalidad de los productos y servicios de Brisk; (b) crear conjuntos de datos anónimos para la formación o la evaluación de los productos y servicios de Brisk; y (c) administrar las cuentas de los clientes en el Servicio y gestionar la relación de Brisk con el cliente en virtud del Acuerdo, en cada caso como se describe con más detalle en el Anexo 1.
«Datos cubiertos«se refiere a los datos personales que: (a) el Cliente proporciona a Brisk o en su nombre en relación con la prestación del Servicio; o (b) los obtienen, desarrollan, producen o procesan de otro modo Brisk, o sus agentes o subcontratistas, con el fin de prestar el Servicio, en cada caso según se describe con más detalle en el Anexo 1.
«Cliente«significa la institución educativa o el profesor que celebra el acuerdo con Brisk en relación con el Servicio.
«Sujeto de datos«tiene el significado que se le da en el GDPR.
«Fecha de entrada en vigor«significa la fecha en que Brisk y el Cliente celebran el Acuerdo.
«GDPR«significa el Reglamento (UE) 2016/679 (el»RGPD DE LA UE«) o, en su caso, el»GDPR DEL REINO UNIDO«, tal como se define en la sección 3 (10) de la Ley de Protección de Datos de 2018.
«Datos personales«tiene el significado que se le da en el GDPR.
«Procesamiento«tiene el significado que se le da en el GDPR, y»Proceso«,»Procesos«y»Procesado«se interpretará en consecuencia.
«Incidente de seguridad«significa una violación de la seguridad que conduce a la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado (incluido el acceso interno no autorizado a) los Datos Cubiertos, de forma accidental o ilegal.
«Cláusulas contractuales estándar«o»SCC«se refiere a las cláusulas contractuales tipo anejas a la Decisión de Ejecución (UE) 2021/914 de la Comisión y disponibles en https://commission.europa.eu/publications/standard-contractual-clauses-international-transfers_en.
«Subprocesador«significa un procesador utilizado por otro procesador para ejecutar las instrucciones del controlador.
«Leyes suizas de protección de datos«se refiere a la Ley Federal Suiza de Protección de Datos de 25 de septiembre de 2020 (»FADP«) y la Ordenanza suiza de protección de datos de 31 de agosto de 2022 (la»Ordenanza«), y cualquier versión nueva o revisada de estas leyes que pueda entrar en vigor de vez en cuando.

Este DPA se incorpora al Acuerdo y forma parte integral del mismo. Este DPA complementa y (en caso de contradicciones) reemplaza el Acuerdo con respecto a cualquier procesamiento de los datos cubiertos.

Brisk puede procesar los datos cubiertos en cualquier lugar en el que Brisk o sus subprocesadores tengan instalaciones, con sujeción a lo dispuesto en el resto de este párrafo 7 y a cualquier restricción sobre las transferencias posteriores contenidas en las SCC.

El Cliente otorga a Brisk una autorización general para contratar a cualquier subprocesador autorizado para procesar los datos cubiertos.

Brisk avisará al Cliente con al menos catorce (14) días de antelación sobre cualquier cambio propuesto en los subprocesadores autorizados. El Cliente notificará a Brisk si se opone al cambio propuesto a los subprocesadores autorizados (incluso, cuando proceda, cuando ejerza su derecho de oposición en virtud de la cláusula 9 (a) de las SCC) notificando a Brisk por escrito la objeción en un plazo de siete (7) días después de que Brisk haya notificado al Cliente dicho cambio propuesto (un»Objeción«).

En caso de que el Cliente presente una objeción, Brisk y el cliente trabajarán juntos de buena fe para encontrar una solución mutuamente aceptable para abordar dicha objeción. Si Brisk y el Cliente no pueden llegar a una resolución aceptable para ambas partes en un plazo razonable, que no excederá de treinta (30) días, Brisk podrá rescindir la parte del Acuerdo relativa a los Servicios afectados por dicho cambio mediante una notificación por escrito al Cliente.

Brisk notificará al Cliente sin demora indebida cualquier solicitud que Brisk o cualquier subprocesador autorizado reciba de un sujeto de datos para hacer valer sus derechos en virtud de las leyes de protección de datos aplicables en relación con los datos cubiertos procesados por Brisk como procesador o subprocesador (a»Solicitud del sujeto de datos«).

Salvo en lo que respecta al procesamiento de los datos cubiertos por parte de Brisk para los fines del controlador, entre Brisk y el cliente, el cliente tendrá la discreción exclusiva de responder a la solicitud del sujeto de datos. Brisk no responderá a la solicitud del interesado sin el consentimiento previo del cliente, salvo que Brisk podrá informar al interesado de que su solicitud ha sido remitida al cliente.

Brisk proporcionará al Cliente la asistencia razonable que sea necesaria para que el Cliente cumpla con su obligación en virtud de las leyes de protección de datos aplicables de responder a las solicitudes de los interesados con respecto a los datos cubiertos.

Brisk implementará y mantendrá las medidas de seguridad y protección de datos técnicas y organizativas adecuadas diseñadas para garantizar la seguridad de los Datos cubiertos, incluida, entre otras, la protección contra el procesamiento no autorizado o ilegal y contra la pérdida, destrucción o daño accidental de o a los Datos cubiertos.

Al evaluar el nivel de seguridad adecuado, Brisk tendrá en cuenta la naturaleza, el alcance, el contexto y el propósito del procesamiento, así como los riesgos que presenta el procesamiento, en particular los derivados de la destrucción accidental o ilegal, la pérdida, la alteración, la divulgación no autorizada o el acceso a los datos cubiertos.

Brisk implementará y mantendrá como estándar mínimo las medidas establecidas en el Anexo 2.

Brisk notificará al Cliente por escrito sin demora indebida después de tener conocimiento de cualquier incidente de seguridad.

Brisk tomará las medidas razonables para contener, investigar y mitigar cualquier incidente de seguridad, y enviará al Cliente información oportuna sobre el incidente de seguridad, en la medida en que Brisk lo sepa o cuando la información esté disponible para Brisk, incluida, entre otros, la naturaleza del incidente de seguridad, las medidas adoptadas para mitigar o contener el incidente de seguridad y el estado de la investigación.

Brisk proporcionará asistencia razonable para que el Cliente (o, en su caso, sus Clientes) investigue cualquier Incidente de seguridad y cualquiera de las obligaciones del Cliente (o, en su caso, de sus Clientes) en relación con el Incidente de seguridad en virtud de las leyes de protección de datos aplicables, incluida cualquier notificación a los interesados o a las autoridades supervisoras.

La notificación o la respuesta de Brisk a un incidente de seguridad en virtud de este párrafo 11 no se interpretará como un reconocimiento por parte de Brisk de cualquier falta o responsabilidad con respecto al incidente de seguridad.

Esta DPA entrará en vigor en la fecha de entrada en vigor y, sin perjuicio de la rescisión del Acuerdo, permanecerá en vigor hasta que Brisk elimine todos los datos cubiertos, tal como se describe en esta DPA, y caducará automáticamente cuando Brisk elimine todos los datos cubiertos.

Las cláusulas contractuales estándar se aplicarán, como se establece con más detalle en el Anexo 3, a las transferencias de datos cubiertos del cliente a Brisk y formarán parte de esta DPA.

Las Partes acuerdan que la ejecución del Acuerdo tendrá el mismo efecto que la firma de las SCC.