Política de protección de datos personales

Introducción, Alcance y Propósito

La presente Política de Protección de Datos Personales (“Política”) describe las prácticas de privacidad de TMF en relación con el tratamiento de los Datos Personales de los Sujetos de Datos del Cliente y, en la medida aplicable, de los clientes del Cliente y/o de los afiliados del cliente pertinentes, como parte de la prestación de Servicios a sus Clientes. Los Datos Personales pueden almacenarse en sistemas de TMF, sistemas del Cliente o sistemas de terceros a los que TMF tenga acceso con el fin de prestar Servicios. Cuando TMF preste Servicios a su Cliente y procese Datos Personales en nombre del Cliente, TMF actuará como Procesador y el Cliente actuará como Controlador.

La Política se aplica globalmente a todos y cada uno de los Servicios prestados por TMF a sus Clientes en virtud de los Acuerdos de Servicio en los que TMF actúa como Procesador, ejecutados a partir de la fecha de entrada en vigor de la presente Política.

TMF procesa Datos Personales en nombre del Cliente de conformidad con las Leyes de Protección de Datos. En la medida en que sea necesario, el Contrato de Servicio se complementará con un apéndice para establecer cualquier asunto adicional que sea específico del Cliente y no pueda regularse en la presente Política.

Esta Política no se aplica al tratamiento de Datos Personales para los que TMF es considerado controlador. Dicho tratamiento se rige por la Declaración de Privacidad de TMF Group y cualquier otra declaración o política de privacidad pertinente presentada al Cliente o a otros interesados cuyos Datos Personales trate TMF como controlador. 

La Política está disponible a través del sitio web de TMF Group en el siguiente enlace: https://www.tmf- group.com/en/legal/data-protection/. TMF se reserva el derecho de actualizar esta Política sin consultar o informar previamente a los Clientes.

No obstante lo anterior, la versión de la Política que se aplica y seguirá aplicándose a un Contrato de Servicio concreto será la versión de la Política que esté en vigor en el momento de la entrada en vigor de dicho Contrato de Servicio, a menos que se requieran modificaciones para cumplir con las Leyes de Protección de Datos, en cuyo caso se aplicará la versión más reciente de la Política publicada en el sitio web.

1. Procesamiento de Datos Personales por TMF

Los detalles de los Datos Personales que serán procesados por TMF en nombre del Cliente, incluida la duración, la finalidad y los tipos y categorías de Datos Personales, así como los Subprocesadores, si los hubiera, se expondrán en las páginas web de TMF Group Detalles del procesamiento (https://www.tmf-group.com/en/legal/data-protection/details-of-processing/) y Subprocesadores (https://www.tmf-group.com/en/legal/data-protection/subprocessors/) respectivamente.

Cuando se requieran autorizaciones o consentimientos adicionales de los Sujetos de Datos del Cliente en virtud de las Leyes de Protección de Datos aplicables para procesar Datos Personales en nombre del Cliente, el Cliente recabará dicha autorización o consentimiento de los Sujetos de Datos del Cliente para la respectiva actividad de procesamiento de los Datos Personales, según lo exijan las Leyes de Protección de Datos.

2. Uso de Datos Personales

TMF no procesará, transferirá, modificará, enmendará ni alterará Datos Personales, ni revelará ni permitirá la revelación de Datos Personales a terceros, salvo en los siguientes casos

• según sea necesario para procesar los Datos Personales con el fin de prestar los Servicios y/o de conformidad con las instrucciones documentadas del Cliente; o
• cuando sea necesario para cumplir las leyes de protección de datos u otras leyes a las que esté sujeto TMF, en cuyo caso TMF informará al Cliente (en la medida en que lo permita la ley) de dicho requisito legal antes de procesar los Datos personales.

Además, TMF está autorizado a utilizar datos agregados -en la medida en que ya no puedan considerarse Datos Personales y que, por lo tanto, no estén sujetos a las leyes de protección de datos- con fines de análisis, para el sitio web y para operaciones internas, incluida la resolución de problemas, el análisis de datos, las pruebas, la investigación, con fines estadísticos, para desarrollar y mejorar los servicios y productos de TMF, así como la evaluación comparativa.

3. Subprocesamiento

Es posible que TMF tenga que designar a determinados terceros, incluidos las afiliadas de TMF, para que presten parte de los Servicios al Cliente o le ayuden a   brindar soporte técnico, como proveedores de servicios informáticos u otros proveedores.

Al firmar el Contrato de Servicios, el Cliente autoriza a TMF a subcontratar el procesamiento de Datos Personales a Subprocesadores en los países pertinentes en los que se prestarán los Servicios, según se indica en la página Subprocesadores (https://www.tmf-group.com/en/legal/data-protection/subprocessors). Los Subencargados del Tratamiento están sujetos en cada caso a las condiciones entre TMF y el Subencargado del Tratamiento, que no son menos protectoras que las establecidas en la Política y en el Contrato de Servicios.

TMF informará al Cliente de los detalles de dicho(s) Subprocesador(es) previa solicitud por escrito del Cliente. TMF informará al Cliente con antelación de cualquier cambio previsto relativo a la adición o sustitución de Subprocesadores y, de este modo, dará al Cliente la oportunidad de oponerse a dichos cambios. Si el Cliente no facilita sus datos de contacto en la página de Subprocesadores o no se opone por escrito en un plazo de quince (15) días naturales a partir de la recepción de la notificación, se considerará que el Cliente ha aceptado al nuevo Subprocesador. Si el Cliente se opone por escrito en un plazo de quince (15) días naturales a partir de la recepción de la notificación, TMF y el Cliente debatirán posibles soluciones en un plazo razonable y sin perjuicio para las Partes y para el cumplimiento de cada una de sus respectivas obligaciones establecidas en el Contrato de Servicios.

En caso de que el Afiliada de TMF designara a otro Afiliada de TMF para procesar los Datos Personales del Cliente en nombre del Cliente, el TMF Affiliate informará al Cliente con antelación de dicha designación y, de este modo, dará al Cliente la oportunidad de oponerse a dicho cambio. Si el Cliente no se opone por escrito en el plazo de cinco (5) días naturales a partir de la recepción de la notificación, se considerará que el Cliente ha aceptado a la respectivao Afiliada de TMF como nuevo Subprocesador.

4. Confidencialidad y Seguridad

TMF mantendrá la confidencialidad de los Datos Personales y se asegurará de que su personal y sus Subencargados del Tratamiento estén sujetos a la misma obligación de confidencialidad. TMF aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad de los Datos Personales adecuado al riesgo exigido en virtud de la legislación aplicable en materia de protección de datos, y adoptará todas las medidas exigidas en virtud del artículo 32 del GDPR (seguridad del tratamiento) y cualquier otro requisito de mayor protección correspondiente en virtud de la legislación en materia de protección de datos.

Al evaluar el nivel adecuado de seguridad, TMF tendrá en cuenta en particular los riesgos que presenta el tratamiento, en particular los derivados de la destrucción accidental o ilícita, la pérdida, la alteración, la divulgación no autorizada o el acceso a los Datos Personales transmitidos, almacenados o tratados de otro modo.

Las medidas de seguridad se describen y especifican con más detalle en el documento "Declaración de Continuidad", que se publica en el sitio web de TMF (https://www.tmf-group.com/es/legal/proteccion-de-datos/). Cualquier versión posterior del documento Declaración de Continuidad será aplicable al Contrato de Servicio y su contenido no será menos estricto que su versión anterior.

5. Cooperación con Solicitudes de Clientes

TMF cooperará, previa solicitud y en la medida requerida por las Leyes de Protección de Datos, con las solicitudes del Cliente relacionadas con el procesamiento de Datos Personales. En particular, TMF cooperará con las solicitudes relacionadas con los derechos del Titular de los Datos del Cliente, las evaluaciones de impacto de la protección de datos y los derechos de Auditoría de Protección de Datos, como se describe a continuación.

Derechos del Titular de los Datos del Cliente: TMF cooperará según lo solicite el Cliente para permitir que el Cliente cumpla con sus obligaciones con cualquier ejercicio de derechos por parte del Titular de los Datos del Cliente con respecto a los Datos Personales y ayudará razonablemente al Cliente en su cumplimiento con cualquier evaluación, consulta, notificación o investigación según lo requieran las Leyes de Protección de Datos. En caso de que la asistencia brindada por TMF al Cliente exceda la asistencia razonable, el Cliente reembolsará a TMF en su totalidad todos los costos (incluidos los recursos internos y los costos de terceros) razonablemente incurridos por TMF al brindar la asistencia que exceda los límites razonables para cumplir con su obligación de ayudar al Cliente en su cumplimiento de esta sección.

Evaluación de impacto de protección de datos: TMF brindará asistencia razonable al Cliente con cualquier evaluación de impacto de protección de datos que se requiera según las Leyes de Protección de Datos, incluido el Artículo 35 del GDPR u otras obligaciones correspondientes determinadas por las Leyes de Protección de Datos, y con cualquier consulta previa a cualquier autoridad supervisora ​​del Cliente que se requiera según las Leyes de Protección de Datos, incluido el Artículo 36 del GDPR u otras obligaciones correspondientes determinadas por las Leyes de Protección de Datos, en cada caso en relación con el Procesamiento de Datos Personales por parte de TMF en nombre del Cliente y teniendo en cuenta la naturaleza del procesamiento y la información disponible para TMF.

Derechos de auditoría: Si se lo solicita y notifica de forma razonable, TMF cooperará en la realización de cualquier auditoría o inspección de protección de datos que sea razonablemente necesaria para demostrar el cumplimiento por parte de TMF de las obligaciones del procesador establecidas en las leyes de protección de datos y la política relacionada con el contrato de servicio, siempre que este requisito no obligue a TMF a proporcionar o permitir el acceso a información relativa a: (i) información de precios internos de TMF, (ii) información relacionada con otros clientes de TMF, (iii) cualquiera de los informes externos no públicos de TMF o (iv) cualquier informe interno preparado por la función de auditoría interna de TMF.

El cliente deberá evitar causar cualquier daño, lesión o interrupción al equipo, personal y negocio de TMF en el curso de dicha auditoría o inspección de protección de datos

Se podrá activar un máximo de una Auditoría de Protección de Datos en virtud de esta sección en cualquier período de doce (12) meses sin costo adicional para el Cliente, a menos que (i) la auditoría se realice a raíz de una Violación de Datos Personales causada por TMF en el mismo período, (ii) la solicitud de Auditoría de Protección de Datos realizada por el Cliente en el mismo período exceda los costos estándar de auditoría de mercado comercialmente razonables y/o (iii) la solicitud de Auditoría de Protección de Datos realizada por el Cliente en el mismo período requiera la asignación de recursos internos de TMF por más de un (1) día hábil para cumplir con la solicitud. En los eventos anteriores, TMF notificará de inmediato al Cliente dichos costos adicionales esperados por adelantado, para lo cual el Cliente y TMF acordarán dichos costos antes de iniciar la solicitud de Auditoría de Protección de Datos mencionada. Cualquier otra Auditoría de Protección de Datos dentro del período de doce (12) meses mencionado correrá a cargo del Cliente.

Las solicitudes del Cliente previstas en esta sección 6 de la Política se cumplirán en estrecha cooperación y bajo la supervisión del Chief Security and Resilience Officer (Director de Seguridad y Resiliencia de TMF) de TMF, el Chief Privacy Officer (Director de Privacidad) de TMF o partes interesadas similares o funcionarios locales de TMF.

6. Eliminación o Devolución de Datos Personales de Clientes

TMF, a elección del Cliente, eliminará o devolverá los Datos Personales al final de la prestación de los Servicios que impliquen procesamiento, a menos que (i) las Leyes de Protección de Datos, (ii) cualquier ley, estatuto, orden, regulación, regla, requisito, práctica y pautas de cualquier gobierno, autoridad reguladora u organización autorreguladora que se aplique a los Servicios en el país donde se prestan dichos Servicios, o (iii) un tribunal competente, organismo supervisor o regulador, requieran la retención de dichos Datos Personales por parte de TMF.

7. Gestión de incidentes

TMF deberá notificar al Cliente sin demora indebida después de tener conocimiento de una Violación de Datos Personales, proporcionándole al Cliente información suficiente que le permita cumplir con cualquier obligación de informar sobre una Violación de Datos Personales según las Leyes de Protección de Datos.

A solicitud del Cliente, TMF cooperará plenamente con el Cliente y tomará las medidas razonables que indique el Cliente para ayudar en la investigación, mitigación y remediación de cada Violación de Datos Personales, a fin de permitir al Cliente (i) realizar una investigación exhaustiva sobre la Violación de Datos Personales y proporcionar detalles del incidente según lo exijan las Leyes de Protección de Datos, como el Artículo 33(3) del GDRP u otras obligaciones correspondientes determinadas por las Leyes de Protección de Datos, (ii) formular una respuesta correcta y (iii) tomar las medidas adicionales adecuadas con respecto a la violación de Datos Personales para cumplir con cualquier requisito de las Leyes de Protección de Datos (“Medidas de Recuperación”).

Si TMF causó la violación de datos personales, deberá hacerse cargo de los costos razonables de las medidas de reparación que adopte.

Si y en la medida en que los costos incurridos por TMF relacionados con las medidas de reparación según lo indicado por el Cliente estén relacionados con la violación de datos personales causada por el Cliente, el Cliente deberá compensar los costos razonables de las medidas de reparación adoptadas por TMF. Cualquier costo asumido por TMF que exceda los costos razonables de las medidas de reparación deberá ser acordado mutuamente por las partes del Acuerdo de servicio con anticipación.

Las medidas de reparación deberán: (i) comenzar sin demora indebida, (ii) completarse dentro de un período razonable después de que TMF haya tenido conocimiento de una violación de datos personales, y (iii) llevarse a cabo dentro del horario comercial habitual de TMF cuando se requiera que se tomen medidas de reparación

8. Transferencias Internacionales de Datos Personales

Siempre sujeto a la sección 3 y la sección 4 de la Política y en caso de que los Servicios requieran transferencias internacionales de Datos Personales entre TMF, Afiliadas de TMF y/o cualquier Subprocesador, se aplicará lo siguiente (en la medida que sea relevante):

Transferencia a las Afiliadas de TMF en o desde la UE. Los datos personales pueden transferirse a:  

(i) una o más Afiliadas de TMF en uno o más estados miembros del Espacio Económico Europeo ("EEE"), Suiza o el Reino Unido sobre la base de las leyes de protección de datos; o

(ii) una o más Afiliadas de TMF en uno o más estados miembros del Espacio Económico Europeo ("EEE"), Suiza o el Reino Unido sobre la base de las leyes de protección de datos; o

El Cliente o la Afiliada de TMF pertinente deberá, a solicitud del Titular de los Datos del Cliente, proporcionarle una copia de dichas Normas Corporativas Vinculantes y de esta Política (sin ninguna información comercial sensible o confidencial).  

Cuando lo permitan las Leyes de Protección de Datos, TMF deberá obtener todas las autorizaciones o permisos pertinentes para dicha transferencia de Datos Personales en base a dichas Normas Corporativas Vinculantes. Cuando las Leyes de Protección de Datos no permitan a TMF obtener dicha autorización o permiso por sí misma, el Cliente deberá emitir oportunamente la autorización requerida a TMF y a cualquier otra Afiliada de TMF pertinente.

En el evento en que las Normas Corporativas Vinculantes no fueran reconocidas o aplicables según las Leyes de Protección de Datos de una jurisdicción específica, TMF y lsus Afiliadas de TMF pertinentes emprenderán las acciones necesarias para satisfacer los requisitos de transferencia transfronteriza aplicables a los Datos Personales según las Leyes de Protección de Datos de esa jurisdicción

b. Transferencia a subprocesadores en o desde la UE. Los datos personales pueden transferirse a:

(i) uno o más subprocesadores (que no sean afiliados de TMF) en uno o más estados miembros del EEE, Suiza o el Reino Unido sobre la base de las Leyes de Protección de Datos de conformidad con la autorización del Cliente en virtud de la sección 4 de esta Política; o

(ii) uno o más de dichos subprocesadores en uno o más países terceros sobre la base de una excepción en virtud de las Leyes de Protección de Datos; o

• Sobre la base de las salvaguardas adecuadas agregadas, en la medida en que lo permitan las Leyes de Protección de Datos, por TMF para garantizar la protección de los Datos Personales, o por el Cliente, en cuyo caso TMF cooperará con el Cliente para buscar una base adecuada para la transferencia transfronteriza de Datos Personales a dicho Subprocesador. A solicitud del Cliente, TMF le informará sobre la base aplicable para la transferencia cruzada de Datos Personales.

c. Transferencia entre el Cliente y TMF. Cuando los Servicios prestados por TMF requieran una transferencia internacional de Datos Personales de una de las partes, ya sea el Cliente o TMF, ubicada en un estado miembro del EEE a otra parte, respectivamente el Cliente o TMF, ubicada en un país que no cuente con una decisión de adecuación de la Comisión Europea para la transferencia transfronteriza de Datos Personales, el Cliente y TMF ejecutarán debidamente las Cláusulas Contractuales Estándar de la UE pertinentes para dicha transferencia específica, de conformidad con los requisitos establecidos en el GDPR.

Otras transferencias. De conformidad con las Leyes de Protección de Datos fuera del EEE, Suiza o el Reino Unido aplicables a los Datos Personales Procesados ​​para prestar los Servicios, el Cliente, que actúa como Responsable del Tratamiento, se asegurará de que se permita cualquier transferencia transfronteriza de Datos Personales de TMF a un Subprocesador, mediante la implementación de salvaguardas adicionales según lo exijan dichas Leyes de Protección de Datos. Si dichas Leyes de Protección de Datos requieren que se proporcione más información a los Sujetos de Datos del Cliente o que el Controlador obtenga más consentimientos, el Cliente deberá tomar estas medidas adicionales antes de que se realice la transferencia a TMF y/o a las Afiliadas de TMF

9. Responsabilidad

El Cliente garantiza que los Datos Personales procesados ​​por TMF en nombre del Cliente han sido y serán procesados ​​por el Cliente de acuerdo con las Leyes de Protección de Datos, incluyendo, sin limitación:

1. garantizar que el Cliente realice y mantenga todas las notificaciones y aprobaciones de los reguladores que exigen las Leyes de Protección de Datos; y
2. garantizar que todos los Datos Personales se procesen de manera justa y legal, sean precisos y estén actualizados, y que el Cliente proporcione un aviso justo a los Sujetos de Datos del Cliente que describa el procesamiento que realizará TMF o sus Subprocesadores de conformidad con los Servicios acordados en el Acuerdo de Servicio.

TMF será responsable de los daños causados ​​por el procesamiento únicamente cuando no haya cumplido con las obligaciones de las Leyes de Protección de Datos dirigidas específicamente al Procesador o cuando haya actuado al margen o en contra de las instrucciones legales del Cliente según lo indicado en el Acuerdo de Servicio. El Cliente será responsable de los daños causados ​​por el procesamiento por parte del Cliente que infrinja las Leyes de Protección de Datos. TMF estará exenta de responsabilidad en virtud de esta sección 10 de la Política si demuestra que no es en modo alguno responsable del evento que dio lugar al daño.

Cuando más de un Controlador o Procesador, o ambos, estén involucrados en el mismo procesamiento y sean, en virtud del Contrato de Servicio, responsables de cualquier daño causado al Client Data Subject por el procesamiento, cada Controlador o Procesador será responsable de la totalidad del daño con el fin de garantizar una compensación efectiva al Sujeto de Datos del Cliente. Cuando el Controlador o Procesador haya pagado la compensación completa por el daño sufrido, dicho Controlador o Procesador tendrá derecho a reclamar a los otros Controladores o Procesesadores involucrados en el mismo procesamiento la parte de la compensación correspondiente a su parte de responsabilidad por el daño, de acuerdo con las condiciones establecidas en el párrafo anterior.

Salvo lo dispuesto en el apartado 10, tercer párrafo de la Política, las indemnizaciones, responsabilidades y exclusiones o limitaciones de las mismas establecidas en el Contrato de Servicio también se aplicarán a las obligaciones de las partes en virtud de la Política y el Contrato de Servicio, y en caso de conflicto prevalecerán

10. Contáctenos

Si tiene alguna consulta sobre la Política o sobre las prácticas de privacidad de TMF Group, envíe un correo electrónico a dataprotection@tmf-group.com y asegúrese de indicar la naturaleza de su consulta.

La información sobre los derechos de los Clientes o los interesados ​​cuyos Datos Personales TMF procesa como Responsable del Tratamiento, incluso con respecto a los detalles de las actividades de procesamiento relacionadas con sus Datos Personales, las transferencias de sus Datos Personales dentro de TMF Group y los principios relacionados con el procesamiento de sus Datos Personales que TMF Group aplica, se incluyen en la Declaración de Privacidad de TMF Group, disponible en el sitio web de TMF Group (https://www.tmf-group.com/en/legal/privacy-statement/).

Definiciones y Abreviaturas

Política de Protección de Datos Personales – |TMF Group | versión abril 2019

Política de Protección de Datos Personales – |TMF Group | versión 29/03/2018