ACUERDO GENERAL DE PROCESAMIENTO DE DATOS THE DIGITAL PO BOX

1. Partes

1. The Digital PO Box - Marca registrada de The Bizz Hub LLC-FZ, oficina en The Meydan Grandstand, 6to piso, Meydan Road, Nad Al Sheba, Dubái, E.A.U., registrada bajo el número 2536783.01. En adelante denominado: "Procesador".
2. Controlador - La persona física o jurídica que celebra un acuerdo con el Procesador para (entre otras cosas) el procesamiento de correo y hace uso del servicio de escaneo para este propósito. En adelante denominado: "Controlador".
3. El Controlador y el Procesador se denominan en adelante colectivamente como las "Partes".

Este Acuerdo se aplica independientemente de si el Cliente (Controlador) actúa a título personal o empresarial.

Este Acuerdo de Procesamiento de Datos se aplica exclusivamente al escaneo y digitalización de artículos de correo que contengan datos personales. Para todas las demás categorías de datos personales procesados por TBH (incluyendo datos de cuenta, datos de facturación y datos de comunicación), TBH actúa como un controlador de datos independiente tal como se describe en su Declaración de Privacidad.

2. Definiciones

1. RGPD: El Reglamento General de Protección de Datos (UE) 2016/679.
2. Datos personales: Cualquier dato que pueda rastrearse, directa o indirectamente, a una persona física identificada o identificable y que pueda estar en el correo del Controlador cuando se escanea.
3. Procesamiento (o "Procesar"): Cualquier operación o conjunto de operaciones que se realice sobre datos personales, como almacenamiento, transmisión, puesta a disposición, etc.
4. Brecha de Datos / Incidente de Seguridad: Una violación de la seguridad que (potencialmente) conduce a la destrucción, pérdida, alteración o divulgación no autorizada de, o acceso no autorizado a, datos personales reenviados, almacenados o procesados de otro modo.
5. Cuando este acuerdo se refiera a definiciones del RGPD, esos términos tienen el mismo significado que en el Artículo 4 del RGPD.
6. Cliente / Controlador: En este Acuerdo, el Cliente actúa como el Controlador en el sentido del Artículo 4(7) del RGPD, y The Digital PO Box actúa como el Procesador en el sentido del Artículo 4(8) del RGPD.

3. Propósito y alcance

1. Este Acuerdo de Procesamiento de Datos solo se aplica cuando el Controlador hace uso del servicio de escaneo del Procesador.
2. Como controlador, el Controlador tiene datos personales. El Procesador procesa estos datos personales solo en nombre del Controlador, escaneando (digitalizando) y, si es necesario, reenviando artículos de correo que puedan contener datos personales.

4. Roles y responsabilidades

1. Responsable:
   • determina los fines y medios del procesamiento de datos personales en el servicio postal;
   • es y sigue siendo el último responsable de la legalidad del procesamiento y el cumplimiento del RGPD;
   • solo instruye al Procesador para escanear datos personales y ponerlos a disposición a través de los sistemas acordados.
2. Procesador:
   • solo lleva a cabo el procesamiento en nombre y bajo la responsabilidad del Controlador, según lo estipulado en este Acuerdo y el Acuerdo Específico del Servicio subyacente;
   • no tiene control independiente sobre el propósito y los medios del procesamiento.

5. Obligaciones del procesador

El Procesador garantiza las siguientes obligaciones de acuerdo con el Artículo 28 del RGPD:

5.1 Confidencialidad

1. El Procesador y sus empleados afiliados (y cualquier subprocesador) tratarán confidencialmente los datos personales de los que tengan conocimiento.
2. Este deber de confidencialidad también continuará aplicándose después de la terminación de este Acuerdo de Procesamiento de Datos.

5.2 Medidas de seguridad adecuadas

1. El Procesador tomará las medidas de seguridad técnicas y organizativas adecuadas para proteger los datos personales contra el procesamiento no autorizado o ilegal y contra la pérdida accidental, destrucción o daño.
2. Las medidas técnicas incluyen, por ejemplo, firewalls, escáneres de virus, contraseñas seguras y (donde sea relevante) cifrado según las normas ISO 27001 e ISO 27701. Las medidas organizativas incluyen restricciones de acceso, selección de personal y cierre de áreas donde se procesan datos.
3. Las medidas de seguridad están al menos de acuerdo con los requisitos del Artículo 32 del RGPD y son adecuadas a la naturaleza de los datos procesados (esto puede variar por artículo postal).

5.3 Procesamiento dentro de la UE/EEE

1. El Procesador no permitirá que el procesamiento de datos personales tenga lugar fuera del Espacio Económico Europeo (EEE) a menos que dicha transferencia esté cubierta por salvaguardas apropiadas, incluidas las Cláusulas Contractuales Estándar de la UE (SCCs) o mecanismos equivalentes que aseguren un nivel adecuado de protección, o cuando la ley lo requiera.
2. Para transferencias al Reino Unido o a los Emiratos Árabes Unidos, el Procesador aplica las mismas salvaguardas contractuales, técnicas y organizativas que se describen en la Declaración de Privacidad de TDPB.

5.4 No Procesamiento Adicional

1. El Procesador solo procesará los datos personales de acuerdo con las instrucciones del Controlador. El uso para otros fines (por ejemplo, marketing propio) no está permitido.

5.5 Asistencia en el cumplimiento de obligaciones

1. En la medida en que sea razonablemente posible, el Procesador asistirá al Controlador en el cumplimiento de las obligaciones bajo el RGPD, como manejar solicitudes de los interesados o realizar evaluaciones de impacto de protección de datos (DPIA).

5.6 Provisión de información y auditoría

1. Proporcionar información
   El Procesador deberá, ante la primera solicitud y en la medida en que sea razonablemente necesario, proporcionar al Controlador toda la información necesaria para demostrar el cumplimiento de las Obligaciones bajo este Acuerdo de Procesamiento de Datos y el RGPD.
2. Soporte de cumplimiento
   Si el Controlador tiene razones fundamentadas para hacerlo (por ejemplo, verificación periódica o sospecha de irregularidades), el Procesador cooperará con auditorías o inspecciones, incluyendo (cuando sea apropiado) la provisión de documentación técnica o informes.
3. Condiciones de auditoría
   
   El Controlador anunciará una auditoría o inspección prevista por escrito con al menos 30 días hábiles de antelación, con una descripción clara del alcance y propósito, para que el Procesador pueda prepararse y la continuidad del servicio no se vea innecesariamente comprometida.
   • Las auditorías no afectarán la confidencialidad de otros Controladores ni la seguridad de los sistemas que también contengan datos de terceros. El Controlador acepta que la auditoría pueda ser llevada a cabo por un tercero independiente, bajo confidencialidad, con el fin de proteger la privacidad de otros Controladores.
   • Los costos de una auditoría, incluyendo horas-hombre del Procesador, serán asumidos por el Controlador, a menos que se establezca que el Procesador está actuando en violación de este Acuerdo de Procesamiento de Datos o el RGPD, en cuyo caso el Procesador asumirá los costos razonables de auditoría.
4. Resultados y mejoras
   El Procesador informará al Controlador de los hallazgos relevantes de una auditoría o inspección y, si corresponde, propondrá o implementará medidas de mejora para continuar garantizando el cumplimiento de este Acuerdo de Procesamiento de Datos y el RGPD.

5.7 Procesamiento por Sistemas de IA

• Alcance del uso de IA: El Procesador puede utilizar sistemas de IA (incluido OpenAI) únicamente para apoyar la comunicación con el cliente y la mejora del servicio interno. Las herramientas de IA no se utilizan en el procesamiento de artículos de correo ni de ningún dato personal proporcionado por el Controlador.
• No procesamiento de datos del Controlador: Los sistemas de IA no reciben ni procesan datos personales que se originen de los artículos de correo del Controlador, escaneos, instrucciones de reenvío o cualquier otro dato procesado bajo este Acuerdo.
• Anonimización: Solo datos de conversación anonimizados o seudonimizados—no relacionados con personas físicas identificadas o identificables—pueden ser procesados utilizando sistemas de IA. Dichos datos no pueden atribuirse al Controlador ni a ningún interesado.
• Obligaciones del subprocesador: OpenAI actúa como un subprocesador técnico. El Procesador asegura que OpenAI esté contractualmente obligado a la confidencialidad, requisitos de seguridad de datos y las restricciones establecidas en este Acuerdo.
• No toma de decisiones automatizada: Los sistemas de IA no se utilizan para tomar decisiones que produzcan efectos legales o impactos similarmente significativos en los interesados dentro del significado del Artículo 22 del RGPD, RGPD del Reino Unido o PDPL de los EAU.
• Salvaguardas técnicas: El Procesador mantendrá medidas que impidan que cualquier dato personal identificable sea transmitido a sistemas de IA, y asegurará que todo el procesamiento de IA permanezca estrictamente separado de los datos del Controlador.

Este Artículo se aplica a todas las operaciones asistidas por IA llevadas a cabo por el Procesador y forma parte de las medidas técnicas y organizativas requeridas bajo el Artículo 28 del RGPD.

Salvaguardas apropiadas, incluidas, entre otras, las Cláusulas Contractuales Estándar de la UE y mecanismos equivalentes de transferencia del Reino Unido y los EAU, se aplican a cualquier procesamiento realizado por OpenAI.

6. Subprocesadores

6.1 Sin Activación Sin Permiso

1. El Procesador no contratará a terceros adicionales (subprocesadores) para el procesamiento real de datos personales sin el consentimiento (específico o general) del Controlador.
2. Si el Procesador tiene un permiso general del Controlador, el Procesador informará al Controlador al menos catorce (14) días antes de la adición o reemplazo de un subprocesador, mediante notificación a través del Portal del Controlador o por correo electrónico, para que el Controlador pueda objetar a esto.

6.2 Subprocesador Actual para Escaneo

1. El Controlador reconoce y acepta que el Procesador ya contrata a un subprocesador para el escaneo y digitalización de artículos de correo. Este subprocesador está obligado por las mismas obligaciones (de privacidad) incluidas en este Acuerdo de Procesamiento de Datos, de modo que también cumple con el RGPD.
2. El Controlador puede solicitar información al Procesador sobre la identidad y ubicación de este subprocesador, así como la forma en que se aseguran las salvaguardas apropiadas.

6.3 Acuerdos con subprocesadores

1. Si el Procesador contrata a un subprocesador, el Procesador proporcionará un acuerdo escrito con ese subprocesador, que incluya al menos las mismas obligaciones (de privacidad) que en este Acuerdo de Procesamiento, para que el subprocesador cumpla con el RGPD.
2. El Procesador sigue siendo el punto de contacto principal para el Controlador en todo momento y retiene la responsabilidad (contractual) por el procesamiento por parte del subprocesador.

7. Brechas de Datos (Incidentes de Seguridad)

7.1 Obligación de reportar

1. En el caso de un incidente de seguridad establecido o sospechado (posible brecha de datos) que se relacione con los datos personales procesados por el Procesador, el Procesador informará de esto al Controlador sin demora indebida.
2. El Procesador proporcionará tanta información relevante como sea posible, para que el Controlador pueda cumplir con su propia obligación de reportar al supervisor (y a cualquier interesado).

7.2 Soporte

1. El Procesador apoyará al Controlador en cualquier investigación o medida que deba tomarse como resultado de la brecha de datos (como investigaciones forenses, medidas correctivas).

8. Solicitudes de los Interesados

8.1 Manejo por el Controlador

1. Si el Procesador recibe una solicitud (por ejemplo, inspección, corrección, eliminación) directamente de un interesado, el Procesador reenviará esta solicitud al Controlador sin demora irrazonable.
2. El Controlador es responsable del procesamiento posterior de estas solicitudes.

8.2 Cooperación

1. El Procesador deberá, en la medida en que sea razonablemente posible, cooperar para permitir que el Controlador cumpla con sus obligaciones (Artículos 12–22 del RGPD).

9. Vigencia y Terminación

9.1 Duración

1. Este Acuerdo de Procesamiento de Datos entra en vigor al inicio del acuerdo principal (Controlador - Procesador) y permanece válido mientras el Procesador procese datos personales en el contexto del servicio de escaneo.

9.2 Terminación

1. Todos los escaneos y datos personales relacionados serán eliminados o destruidos dentro de los noventa (90) días a partir de la fecha de carga original, o treinta (30) días después de la terminación del servicio de escaneo, lo que ocurra más tarde, a menos que se aplique una obligación de retención legal o el Controlador instruya una transferencia por escrito.
2. Cuando se haya mantenido un archivo digital, el Procesador mantendrá los escaneos por el mismo período máximo de noventa (90) días antes de la eliminación o destrucción final.
3. Excepciones y retención legal: Si el Controlador y el Procesador están obligados por ley (por ejemplo, fiscal o administrativa) a retener ciertos datos por un período de tiempo más largo, el Procesador puede, después de consultar con el Controlador, continuar reteniendo los datos por ese período (legal) específico.
4. Solicitud de transferencia: El Controlador puede solicitar la transferencia de los escaneos en un archivo digital u otra forma acordada dentro del período referido en el párrafo 2. El Procesador cooperará con esto, en la medida en que sea razonablemente posible. Los costos asociados con esto pueden ser cobrados al Controlador, a menos que se acuerde lo contrario.
5. Garantía de eliminación: Después de los períodos referidos en este artículo, el Procesador asegurará que los datos personales (escaneos) sean completamente eliminados o destruidos, de modo que ya no sean accesibles o recuperables. El Procesador puede proporcionar una confirmación de destrucción bajo solicitud.

10. Responsabilidad

1. Las disposiciones de responsabilidad de los Términos y Condiciones Generales del Procesador se aplican igualmente a este Acuerdo de Procesamiento de Datos. En todos los casos, la responsabilidad acumulativa total del Procesador, ya sea contractual, extracontractual o de otro tipo, no excederá el monto total pagado por el Controlador al Procesador por los servicios de escaneo relevantes durante los doce (12) meses precedentes al evento que dé origen a la reclamación.
2. El Procesador no será responsable por ningún daño indirecto, consecuente o especial, incluyendo, pero no limitado a, lucro cesante, pérdida de datos o fondo de comercio, excepto en casos de negligencia grave o mala conducta intencional por parte del Procesador.
3. El Controlador sigue siendo el único responsable de la legalidad del procesamiento de datos personales y de asegurar que sus instrucciones cumplan con la legislación de protección de datos aplicable.

11. Miscelánea

1. Cualquier cambio a este Acuerdo debe ser por escrito (incluyendo forma electrónica) y aceptado por ambas Partes (por ejemplo, a través de mecanismos de aceptación electrónica).
2. Las partes hacen esfuerzos conjuntos para cumplir con el RGPD y otra legislación de privacidad aplicable.
3. Este Acuerdo de Procesamiento de Datos se regirá e interpretará de acuerdo con las leyes de Inglaterra y Gales. Las Partes harán todos los esfuerzos razonables para resolver cualquier disputa de manera amistosa. Si las Partes no pueden llegar a un acuerdo amistoso dentro de los treinta (30) días, la disputa será resuelta finalmente mediante arbitraje bajo las Reglas de la Corte de Arbitraje Internacional de Londres (LCIA), cuyas reglas se consideran incorporadas por referencia. La sede del arbitraje será Londres, Reino Unido, y el idioma del arbitraje será el inglés. El laudo emitido por el árbitro será final y vinculante para ambas Partes.
   Nada en esta cláusula privará a un consumidor de la protección otorgada por las leyes obligatorias de su país de residencia.
4. Avisos y Actualizaciones: Cualquier aviso o comunicación bajo este Acuerdo de Procesamiento de Datos, incluidas actualizaciones o enmiendas, se proporcionará electrónicamente a través del Portal del Cliente o por correo electrónico a la dirección de contacto registrada por el Controlador. El uso continuado del servicio de escaneo después de la notificación constituye la aceptación de los términos actualizados, a menos que el Controlador objete por escrito dentro de los catorce (14) días.
5. En caso de contradicciones o diferencias entre esta versión en inglés y cualquier traducción, la versión en inglés prevalecerá. Las traducciones se proporcionan solo por conveniencia y no crean obligaciones o derechos legales.