Greip

Adenda de tratamiento de datos

Bienvenido a Greip y a nuestro sitio web en greip.io. Para que usted, como usuario del servicio y responsable del tratamiento (denominado «Responsable», «usted» o «Cliente»), pueda utilizar o seguir utilizando nuestros módulos impulsados por IA para prevenir el fraude de pagos (los «Servicios») ofrecidos por nosotros, Gre Development Ltd, con domicilio en 24-26 Arcadia Avenue, Fin009, London N3 2JU, United Kingdom (denominado «Greip» o «Encargado»), ha aceptado que estos términos de tratamiento de datos («Términos») se apliquen (con independencia de cualquier otro término y condición aplicable a la prestación de los Servicios en sentido contrario) para abordar las obligaciones de cumplimiento impuestas a Greip y a sus Clientes de conformidad con la legislación de protección de datos aplicable y, en particular, la Data Protection Act del Reino Unido («DPA») y el Reglamento General de Protección de Datos de la UE («GDPR»).

Estos Términos constituirán un acuerdo independiente, o podrán incorporarse por referencia en el acuerdo de Servicios correspondiente, según proceda.

  1. DEFINICIONES
    1. 1.1. En este Acuerdo, las palabras con mayúscula inicial tendrán el significado que se indica a continuación o, según proceda, en otra parte de este Acuerdo:
      1. 1.1.1. «Afiliada» significa cualquier entidad que, directa o indirectamente, controle, sea controlada por o esté bajo control común con una parte en cada momento durante el Plazo.
      2. 1.1.2. «Legislación de protección de datos» significa las leyes de privacidad de datos aplicables al tratamiento en relación con los Servicios, incluidas, cuando proceda, el GDPR y la DPA o las leyes de privacidad de datos aplicables de cualquier otra jurisdicción relevante.
      3. 1.1.3. «Cliente» significa cualquier cliente de Greip.
      4. 1.1.4. «Cláusulas contractuales» significa las cláusulas contractuales tipo de la Comisión Europea para la transferencia de datos personales a través de fronteras, según se modifiquen o sustituyan de vez en cuando, o cualquier conjunto equivalente de cláusulas contractuales aprobado para su uso en virtud de la Legislación de protección de datos; y
      5. 1.1.5. «Datos personales» significa los datos personales tratados por el Encargado en relación con los Servicios en nombre del Cliente durante el Plazo y puede incluir datos personales y datos de categorías especiales según se requieran específicamente y se transfieran por el Cliente. El tratamiento puede incluir actividades auxiliares a los servicios de Greip, como servicios administrativos y otros. Esto incluirá nombres y otra información sobre los interesados incluida en los materiales del Cliente.
      6. 1.1.6. Las palabras «interesado», «datos personales», «tratamiento» y sus variaciones, «responsable» y «encargado» tendrán el significado que se les atribuye en la Legislación de protección de datos.
      7. 1.1.7. «Datos de cuenta del Cliente» son datos personales relativos a la cuenta y facturación del Cliente, incluidos datos de registro, información de contacto, ajustes de autenticación y seguridad y metadatos de suscripción y pago procesados a través del panel o del checkout.
      8. 1.1.8. «Datos de uso del Cliente» son datos personales derivados del uso de los Servicios, incluidos metadatos de solicitudes API, registros de eventos y uso, datos de dispositivo y conexión y telemetría similar para operación, seguridad y facturación.
      9. 1.1.9. «Contenido del Cliente» son datos personales incluidos en datos que el Cliente (o sus usuarios finales) envían a los Servicios para prevención del fraude, validación o enriquecimiento (p. ej., direcciones IP, correos electrónicos, números de teléfono, identificadores de pago y campos relacionados) y resultados devueltos al Cliente.
      10. 1.1.10. «Medidas de seguridad previstas» significa las medidas técnicas y organizativas de seguridad descritas en el Anexo del presente anexo de tratamiento de datos.
  2. DESIGNACIÓN
    1. 2.1. Greip está designado por sus Clientes, Afiliadas del Cliente y Afiliadas comerciales (colectivamente, «Partes instructivas») para prestar y gestionar diversos servicios, incluidos los Servicios en su nombre. En consecuencia, los Datos personales pueden contener datos personales en relación con los cuales el Cliente y sus Partes instructivas son responsables del tratamiento. Greip confirma que está autorizado a comunicar al Cliente cualquier instrucción u otro requisito en nombre del Cliente respecto al tratamiento de Datos personales en relación con los Servicios.
    2. 2.2. El Encargado es designado por el Cliente para tratar Datos personales en nombre del Cliente y/o de las Partes instructivas, según proceda, según sea necesario para prestar los Servicios o según acuerden las partes por escrito.
  3. DURACIÓN
    1. Los Términos comenzarán en la Fecha de entrada en vigor y permanecerán en pleno vigor y efecto hasta que todos los Servicios hayan cesado y todos los Datos personales en posesión del Encargado o bajo su control razonable hayan sido devueltos o destruidos (el «Plazo»).
  4. CUMPLIMIENTO DE LA PROTECCIÓN DE DATOS
    1. 4.1. En relación con su tratamiento de Datos personales, salvo que la ley exija lo contrario, Greip se compromete a:
      1. 4.1.1. tratar Datos personales solo según sea necesario en relación con los Servicios y de conformidad con las instrucciones legales documentadas del Cliente y de sus Partes instructivas de vez en cuando;
      2. 4.1.2. informar al Cliente y a sus Partes instructivas si, en opinión de Greip, una instrucción infringe la Legislación de protección de datos;
      3. 4.1.3. garantizar que todo el personal autorizado por Greip para tratar Datos personales se haya comprometido a la confidencialidad o esté sujeto a una obligación legal adecuada de confidencialidad;
      4. 4.1.4. implementar medidas técnicas y organizativas apropiadas para proteger adecuadamente los Datos personales teniendo en cuenta la naturaleza de los datos personales que deben protegerse y el riesgo de daño que podría resultar de cualquier Incidente de seguridad (según se define a continuación), como mínimo las Medidas de seguridad previstas;
      5. 4.1.5. informar sin demora al Cliente y a sus Partes instructivas de cualquier solicitud de interesados en virtud de la Legislación de protección de datos o solicitudes regulatorias o de las fuerzas del orden relacionadas con Datos personales. Greip no reconocerá ni responderá de otro modo a la solicitud de acceso del interesado excepto con la aprobación previa por escrito del Cliente y de sus Partes instructivas, que no se denegará de forma irrazonable;
      6. 4.1.6. prestar la asistencia que el Cliente y sus Partes instructivas puedan requerir razonablemente para garantizar el cumplimiento de Greip de la Legislación de protección de datos en relación con la seguridad de los datos, las notificaciones de brechas de datos, las evaluaciones de impacto en la protección de datos y las consultas previas con una autoridad competente;
      7. 4.1.7. a elección del Cliente y de sus Partes instructivas, sin demora eliminar o devolver todos los Datos personales al Cliente y a sus Partes instructivas, y eliminar las copias existentes de todos los Datos personales en posesión del Encargado o bajo su control razonable (incluidas las conservadas por un Subencargado); y
      8. 4.1.8. poner a disposición del Cliente y de sus Partes instructivas la información razonablemente necesaria para demostrar el cumplimiento de Greip de estos Términos, responder a cuestionarios de seguridad razonables y contribuir a las auditorías realizadas conforme a la cláusula 7.
  5. SUBENCARGADOS
    1. 5.1. Al celebrar o continuar usando los Servicios después de la Fecha de entrada en vigor, el Cliente otorga al Encargado una autorización escrita general para contratar Subencargados que traten Datos personales en relación con los Servicios, con sujeción a esta cláusula 5. El Encargado no subcontratará, externalizará, cederá, novará ni transferirá de otro modo obligaciones bajo estos Términos de forma que implique que un nuevo Subencargado trate Datos personales excepto conforme a la cláusula 5.2.
    2. 5.2. Al contratar un Subencargado, el Encargado:
      1. 5.2.1. realizará una diligencia debida razonable;
      2. 5.2.2. celebrará un contrato con términos, en la medida de lo posible, equivalentes a los de estos Términos, que puede incluir Cláusulas contractuales para proporcionar garantías adecuadas respecto al tratamiento de Datos personales; y
      3. 5.2.3. notificará al Cliente con al menos 14 días de antelación cualquier adición o sustitución prevista de un Subencargado, actualizando la lista pública de la cláusula 5.2.4 y, cuando el Cliente haya suscrito notificaciones de cambios, por correo electrónico o a través de la Cuenta. Si el Cliente se opone a dicho cambio por motivos razonables dentro de ese plazo, las partes actuarán de buena fe para resolver la objeción. Si la objeción no puede resolverse en un plazo razonable (y en todo caso dentro de los 30 días posteriores al fin del plazo de notificación, salvo acuerdo en contrario), el Cliente podrá rescindir los Servicios afectados mediante aviso por escrito y, como único recurso respecto a esa objeción, recibir el reembolso de las tarifas prepagadas por la parte no utilizada del periodo de suscripción de esos Servicios tras la fecha de efecto de la rescisión.
      4. 5.2.4. mantiene una lista pública de subencargados que tratan datos personales en relación con los Servicios en https://greip.io/es/legal-and-security/sub-processors, actualizada periódicamente. El Cliente puede solicitar notificaciones de cambios a través de su cuenta o contactando con soporte.
  6. INCIDENTES DE SEGURIDAD
    1. 6.1. «Incidente de seguridad» significa una brecha de seguridad que conduzca a la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilícito a Datos personales transmitidos, almacenados o tratados de otro modo.
    2. 6.2. Greip notificará al Cliente sin demora indebida y, en todo caso, en un plazo de 72 horas desde que Greip tenga conocimiento de un Incidente de seguridad, y proporcionará al Cliente la siguiente información a medida que esté disponible:
      1. 6.2.1. una descripción de la naturaleza del Incidente de seguridad, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y registros de datos personales concernidos;
      2. 6.2.2. el tipo de datos que fueron objeto del Incidente de seguridad;
      3. 6.2.3. en la medida en que Greip lo conozca en el momento de la notificación, las categorías de interesados afectados y registros relacionados, y detalles adicionales (incluida, cuando proceda y a medida que esté disponible, la identidad de las personas afectadas); y
      4. 6.2.4. las medidas que Greip adopta o propone adoptar para mitigar y remediar el Incidente de seguridad.
    3. 6.3. Greip empleará esfuerzos razonables para mitigar y remediar con prontitud cualquier Incidente de seguridad y evitar incidentes adicionales.
    4. 6.4. Greip acepta que el Cliente tendrá el derecho exclusivo de determinar (i) si debe notificarse el Incidente de seguridad a personas, reguladores, fuerzas del orden, agencias de informes de consumidores u otros según lo exija la ley o la normativa, o de otro modo a discreción del Cliente, (ii) el contenido de dicha notificación, y (iii) si se puede ofrecer algún tipo de remediación a las personas afectadas, así como la naturaleza y el alcance de dicha remediación.
    5. 6.5. Con sujeción a la cláusula 10.3, si un Incidente de seguridad afecta Datos personales en posesión o bajo control de Greip y fue causado por un incumplimiento de Greip del presente anexo, Greip reembolsará al Cliente los costes documentados y razonables en que incurra el Cliente para notificar a reguladores o interesados y mitigar el Incidente de seguridad, pero solo en la medida en que dichos costes sean razonablemente imputables al incumplimiento de Greip y no dupliquen recuperaciones disponibles en la cláusula 9 o la ley aplicable. La responsabilidad agregada de Greip por este reembolso en la cláusula 6.5 queda limitada al total de tarifas pagadas por el Cliente a Greip por los Servicios afectados en los doce (12) meses inmediatamente anteriores al Incidente de seguridad (o, si el Cliente lleva menos de doce meses, las tarifas pagadas desde el inicio de la suscripción).
    6. 6.6. Greip investigará el Incidente de seguridad y tomará medidas razonables para identificar, prevenir y mitigar los efectos del Incidente de seguridad. Greip tomará las medidas adicionales que el Cliente pueda solicitar razonablemente para cumplir la Legislación de protección de datos.
    7. 6.7. Greip no podrá publicar ni divulgar ninguna presentación, comunicación, notificación, comunicado de prensa o informe relativo a cualquier Incidente de seguridad («Notificaciones») sin la aprobación previa por escrito del Cliente; dicha aprobación no se denegará de forma irrazonable.
  7. AUDITORÍA
    1. 7.1. El Cliente puede verificar el cumplimiento de Greip del presente anexo principalmente solicitando cuestionarios de seguridad completados y documentación razonablemente necesaria para demostrar el cumplimiento. Las auditorías in situ de instalaciones, sistemas o personal de Greip solo se permitirán (a) tras un Incidente de seguridad que el Cliente considere razonablemente indicativo de un incumplimiento material de Greip del presente anexo, o (b) cuando lo exija un regulador competente con jurisdicción sobre el tratamiento del Cliente, y en ambos casos como máximo una vez en cualquier periodo de doce (12) meses salvo exigencia legal. Toda auditoría in situ permitida requiere un aviso previo por escrito de al menos 30 días, está sujeta a un acuerdo de confidencialidad mutuamente aceptable, tiene lugar en horario laboral normal y se realiza a coste del Cliente sin perturbar de forma irrazonable las operaciones de Greip. Greip cooperará con solicitudes de auditoría razonables y dará acceso a registros pertinentes en la medida necesaria para demostrar el cumplimiento del presente anexo y de las Medidas de seguridad previstas.
    2. 7.2. Si una auditoría o evaluación identifica una desviación de las Medidas de seguridad previstas, Greip (a) para hallazgos críticos, iniciará la remediación con prontitud y (b) para otros hallazgos, presentará al Cliente, en un plazo de 30 días tras la notificación de la desviación, un plan de remediación por escrito con hitos priorizados según gravedad. Greip implementará diligentemente el plan y corregirá las desviaciones en los plazos indicados en el plan o acordados por escrito.
  8. TRANSFERENCIAS INTERNACIONALES DE DATOS
    1. 8.1. Greip garantizará que ningún Dato personal se transfiera fuera de:
      1. 8.1.1. el entorno de datos aprobado por el Cliente; o
      2. 8.1.2. cualquier territorio en el que se impongan restricciones a la transferencia de Datos personales a través de fronteras en virtud de las Leyes de protección de datos,
      3. 8.1.3. sin el consentimiento previo por escrito del Cliente.
      4. 8.1.4. Greip garantizará que las Cláusulas contractuales u otros mecanismos de transferencia aplicables estén en vigor para garantizar un nivel adecuado de protección de datos.
  9. INDEMNIZACIÓN
    1. Con independencia de cualquier disposición del acuerdo de Servicios correspondiente en sentido contrario, el Encargado indemnizará y por la presente acepta indemnizar al Cliente y a las Partes instructivas y a sus directivos, empleados, agentes y subcontratistas (cada uno, una «Parte indemnizada») frente a cualquier reclamación, pérdida, demanda, acción, responsabilidad, multa, sanción, gastos razonables, daños y cantidades de liquidación (incluidos honorarios y costes legales razonables) incurridos por cualquier Parte indemnizada como resultado de cualquier negligencia grave o incumplimiento deliberado del Encargado de estos Términos.
  10. DISPOSICIONES VARIAS
    1. 10.1. Los encabezados de cláusulas y otros en estos Términos son solo por conveniencia y no afectarán al significado o interpretación de estos Términos.
    2. 10.2. En caso de conflicto, estos Términos prevalecerán sobre cualquier acuerdo de Servicios u otro acuerdo.
    3. 10.3. Nada en estos Términos excluirá o limitará la responsabilidad de cualquiera de las partes que no pueda limitarse o excluirse por la ley aplicable (incluida la responsabilidad que no pueda limitarse en la cláusula 6.5). Sujeto a la frase anterior, (i) estos Términos, incluidos los anexos, constituyen el acuerdo completo entre las partes relativo a su objeto y sustituyen todos los acuerdos, entendimientos, negociaciones y discusiones previos de las partes relativos a su objeto; y (ii) en relación con el objeto de estos Términos, ninguna de las partes ha confiado en, y ninguna de las partes tendrá derecho o recurso basado en, ninguna declaración, representación o garantía, ya sea realizada de forma negligente o inocente, excepto las expresamente establecidas en estos Términos.
    4. 10.4. El Cliente aceptará cualquier modificación de estos Términos que pueda ser necesaria de vez en cuando para que nosotros y las Partes instructivas cumplamos con cualquier Legislación de protección de datos modificada.
    5. 10.5. Todas las notificaciones de terminación o incumplimiento deben estar en inglés, por escrito y dirigidas a la persona de contacto principal o al departamento legal de la otra parte. La notificación se considerará entregada en el momento de la recepción, según lo verificado por un recibo válido o registro electrónico. Las notificaciones postales se considerarán recibidas 48 horas después de la fecha de envío por entrega registrada o correo certificado.
    6. 10.6. Las disposiciones de estos Términos son separables. Si alguna frase, cláusula o disposición es inválida o inaplicable en todo o en parte, dicha invalidez o inaplicabilidad afectará solo a dicha frase, cláusula o disposición, y el resto de estos Términos permanecerá en pleno vigor y efecto.
    7. 10.7. Estos Términos se rigen por la ley de Inglaterra y Gales y las partes se someten a la jurisdicción exclusiva de los tribunales de Inglaterra y Gales en relación con cualquier disputa (contractual o no contractual) relativa a estos Términos, salvo que cualquiera de las partes pueda solicitar a cualquier tribunal una medida cautelar u otro recurso para proteger su propiedad o información confidencial.
ANEXO
  1. Medidas de seguridad
    Greip declara, garantiza y se compromete a que ha establecido y, mientras Greip Trate Datos personales, aplicará en todo momento un programa continuo de Políticas de seguridad, Procedimientos de seguridad y Controles técnicos de seguridad, que garantice razonablemente la aplicación de las Medidas de seguridad previstas, e incluye, sin limitación, lo siguiente:
    1. 1.1. Seguridad de la información
      1. 1.1.1. un programa de gestión de incidentes de privacidad y seguridad;
      2. 1.1.2. un programa de concienciación sobre privacidad y seguridad;
      3. 1.1.3. planes de continuidad del negocio y recuperación ante desastres, incluidas pruebas periódicas; y
      4. 1.1.4. procedimientos para realizar evaluaciones periódicas independientes de riesgos de seguridad para identificar activos de información críticos, evaluar amenazas a dichos activos, determinar vulnerabilidades potenciales y proporcionar remediación oportuna y adecuada.
    2. 1.2. Acceso físico
      1. 1.2.1. mecanismos de protección física para todos los activos de información y tecnología de la información para garantizar que dichos activos y tecnología se almacenen y protejan adecuadamente;
      2. 1.2.2. controles de entrada a instalaciones y salas apropiados para limitar el acceso físico a los sistemas que almacenan o tratan Datos del Cliente;
      3. 1.2.3. procesos para garantizar que el acceso a instalaciones y salas se supervise y se restrinja según la política de «necesidad de conocer»; y
      4. 1.2.4. controles para proteger físicamente todos los Datos del Cliente y destruir de forma segura dicha información cuando ya no sea necesaria de conformidad con este Acuerdo.
    3. 1.3. Acceso lógico
      1. 1.3.1. mecanismos apropiados de autenticación y autorización de usuarios de conformidad con una política de «necesidad de conocer»;
      2. 1.3.2. controles y registros auditables para aplicar y mantener restricciones de acceso rigurosas para empleados y subcontratistas;
      3. 1.3.3. administración oportuna y precisa de cuentas de usuario y gestión de autenticación;
      4. 1.3.4. procesos para garantizar que los valores predeterminados proporcionados por Greip para contraseñas y parámetros de seguridad se gestionen adecuadamente (por ejemplo, cambiados periódicamente, etc.);
      5. 1.3.5. mecanismos para cifrar o hashear todas las contraseñas o garantizar de otro modo que todas las contraseñas no se almacenen sin protección en texto plano; y
      6. 1.3.6. procesos para revocar de inmediato los accesos de cuentas inactivas o usuarios terminados/transferidos.
    4. 1.4. Arquitectura y diseño de seguridad
      1. 1.4.1. una arquitectura de seguridad que garantice razonablemente la aplicación de las Medidas de seguridad previstas;
      2. 1.4.2. estándares de configuración de tecnología documentados y aplicados;
      3. 1.4.3. pruebas periódicas de sistemas de seguridad y Medidas de seguridad previstas;
      4. 1.4.4. un sistema de cortafuegos e intrusiones eficaces y tecnologías de detección necesarias para proteger los Datos del Cliente; y
      5. 1.4.5. procesos de diseño de capa de base de datos y aplicación que garanticen que las aplicaciones web estén diseñadas para proteger los datos de información que se Tratan a través de dichos sistemas.
    5. 1.5. Gestión de sistemas y redes
      1. 1.5.1. mecanismos para mantener actualizados los parches de seguridad;
      2. 1.5.2. supervisar, analizar y responder a alertas de seguridad;
      3. 1.5.3. elementos de diseño de seguridad de red apropiados que proporcionen segregación de datos de otros datos de terceros;
      4. 1.5.4. uso y actualización periódica de software antivirus; y
      5. 1.5.5. la integridad, resiliencia y disponibilidad de cualquier software o servicio utilizado para Tratar los Datos del Cliente.
      6. 1.5.6. El incumplimiento por parte de Greip de las Medidas de seguridad previstas o de sus obligaciones en virtud del presente constituirá un incumplimiento del Acuerdo.
    6. 1.6. Medidas técnicas mínimas
      1. 1.6.1. Cortafuegos correctamente configurados y con el software más reciente;
      2. 1.6.2. gestión de control de acceso de usuarios;
      3. 1.6.3. contraseñas únicas de complejidad suficiente, con rotación o restablecimiento cuando las credenciales puedan estar comprometidas o para accesos privilegiados;
      4. 1.6.4. configuración segura en todos los dispositivos;
      5. 1.6.5. actualizaciones periódicas de software, si procede, mediante software de gestión de parches;
      6. 1.6.6. desmantelamiento oportuno y borrado seguro (que hace que los datos sean irrecuperables) de software y hardware antiguos;
      7. 1.6.7. software antivirus, antimalware y antispyware de protección en tiempo real;
      8. 1.6.8. https;
      9. 1.6.9. cifrado de todos los dispositivos portátiles garantizando la protección adecuada de la clave;
      10. 1.6.10. cifrado de datos personales en tránsito mediante soluciones de cifrado adecuadas;
      11. 1.6.11. autenticación multifactor para acceso remoto;
      12. 1.6.12. acceso WiFi protegido con WPA2 o WPA3;
      13. 1.6.13. filtrado web diligente y otras restricciones apropiadas de acceso a Internet;
      14. 1.6.14. sistemas de detección y prevención de intrusiones;
      15. 1.6.15. supervisión apropiada y proporcionada del personal; y
      16. 1.6.16. medidas y procedimientos de copia de seguridad de datos y recuperación ante desastres.
      17. 1.6.17. Medidas organizativas mínimas
      18. 1.6.18. Verificar a todo el personal, incluido el personal, contratistas, proveedores y suministradores (incluidos los Subencargados) de forma continua;
      19. 1.6.19. acuerdos de confidencialidad utilizados con todo el personal;
      20. 1.6.20. formación periódica de todo el personal sobre confidencialidad, obligaciones de tratamiento de datos, identificación de Incidentes de seguridad y riesgos;
      21. 1.6.21. aplicar el principio de menor autoridad, incluido un tránsito restringido o estrictamente controlado de datos y material fuera de la oficina;
      22. 1.6.22. seguridad física en las instalaciones, incluida recepción o mostrador, pases de seguridad, política de escritorio limpio, almacenamiento de documentos en armarios seguros, eliminación segura de materiales, etc.;
      23. 1.6.23. aplicar políticas apropiadas, según proceda.
  2. MECANISMOS DE TRANSFERENCIA DE DATOS TRANSFRONTERIZOS
    1. 2.1. En caso de que los Servicios estén cubiertos por más de un Mecanismo de transferencia, la transferencia de datos personales estará sujeta a un único Mecanismo de transferencia de conformidad con el siguiente orden de precedencia:
      1. 2.1.1. las Cláusulas contractuales tipo aplicables según lo establecido en este Anexo
      2. 2.1.2. otros Mecanismos de transferencia de datos aplicables permitidos en virtud de la Legislación de protección de datos aplicable.
  3. CLÁUSULAS CONTRACTUALES TIPO
    1. 3.1. Las partes acuerdan que las Cláusulas contractuales tipo de 2021 para transferencias internacionales publicadas y disponibles en https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en se aplicarán a los datos personales que se transfieran a través de los Servicios desde el Espacio Económico Europeo o Suiza, directamente o mediante transferencia posterior, a cualquier país o destinatario fuera del Espacio Económico Europeo o Suiza que:
      1. 3.1.1. no esté reconocido por la Comisión Europea (o, en el caso de transferencias desde Suiza, la autoridad competente de Suiza) como que proporciona un nivel adecuado de protección para datos personales y
      2. 3.1.2. Para las transferencias de datos desde el Espacio Económico Europeo sujetas a las Cláusulas contractuales tipo de 2021, las Cláusulas contractuales tipo de 2021 se considerarán celebradas (e incorporadas a esta Adenda por esta referencia) y completadas de la siguiente manera:
        1. 3.1.2.1. El Módulo uno (Responsable a responsable) de las Cláusulas contractuales tipo de 2021 se aplicará cuando Greip trate Datos de cuenta del Cliente y
        2. 3.1.2.2. el Cliente sea responsable de los Datos de uso del Cliente y Greip trate Datos de uso del Cliente.
        3. 3.1.2.3. El Módulo dos (Responsable a encargado) de las Cláusulas contractuales tipo de 2021 se aplicará cuando el Cliente sea responsable del Contenido del Cliente y Greip trate el Contenido del Cliente.
        4. 3.1.2.4. El Módulo tres (Encargado a encargado) de las Cláusulas contractuales tipo de 2021 se aplicará cuando el Cliente sea encargado del Contenido del Cliente y Greip trate el Contenido del Cliente.
        5. 3.1.2.5. El Módulo cuatro (Encargado a responsable) de las Cláusulas contractuales tipo de 2021 se aplicará cuando el Cliente sea encargado de los Datos de uso del Cliente y Greip trate Datos de uso del Cliente.
      3. 3.1.3. Para cada Módulo, cuando proceda:
        1. 3.1.3.1. Exportador de datos: Cliente.
        2. 3.1.3.2. Datos de contacto: La(s) dirección(es) de correo electrónico designada(s) por el Cliente en la cuenta del Cliente a través de sus preferencias de notificación.
        3. 3.1.3.3. Rol del exportador de datos: El rol del exportador de datos se establece en este Acuerdo.
        4. 3.1.3.4. Firma y fecha: Al celebrar el Acuerdo, se considerará que el exportador de datos ha firmado estas Cláusulas contractuales tipo incorporadas en el presente, a partir de la Fecha de entrada en vigor del Acuerdo.
        5. 3.1.3.5. Importador de datos: Greip.
        6. 3.1.3.6. Datos de contacto: Equipo de soporte de Greip
        7. 3.1.3.7. Rol del importador de datos: El rol del importador de datos se establece en este Acuerdo.
        8. 3.1.3.8. Firma y fecha: Al celebrar el Acuerdo, se considerará que el importador de datos ha firmado estas Cláusulas contractuales tipo, incorporadas en el presente, incluidos sus Anexos, a partir de la Fecha de entrada en vigor del Acuerdo.
        9. 3.1.3.9. Para transferencias sujetas a las Cláusulas Contractuales Tipo de 2021 cuando el exportador está establecido en el EEE (o Suiza, cuando corresponda): la autoridad de control competente es la autoridad de control de la UE (o suiza) del Estado miembro de la UE (o de Suiza) en el que esté establecido el exportador, u otra autoridad documentada por las partes en el Anexo I.
        10. 3.1.3.10. Para transferencias desde el Reino Unido sujetas al UK International Data Transfer Agreement (IDTA) o al UK Addendum a las SCC de la UE: la autoridad de control es el Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow SK9 5AF, Reino Unido (ico.org.uk).
    2. 3.2. Las categorías de interesados se describen en el Anexo I de este Anexo.
    3. 3.3. Las categorías de datos personales transferidos se describen en el Anexo I de este Anexo.
    4. 3.4. La frecuencia de la transferencia es continua durante la duración del Acuerdo.
    5. 3.5. La naturaleza y la finalidad del tratamiento se describen en el Anexo I de este Anexo.
    6. 3.6. El período durante el cual se conservarán los datos personales se describe en el Acuerdo y en las condiciones de suscripción del Cliente.
    7. 3.7. Las Medidas de seguridad previstas de este Anexo sirven como Anexo II de las Cláusulas contractuales tipo.
    8. 3.8. Conflicto. En la medida en que exista cualquier conflicto entre las Cláusulas contractuales tipo y cualquier otro término de este Acuerdo o la Política de privacidad, prevalecerán las disposiciones de las Cláusulas contractuales tipo.
  4. TRANSFERENCIAS INTERNACIONALES DE DATOS DEL REINO UNIDO
    1. 4.1. Cuando los datos personales se transfieran desde el Reino Unido a un país no reconocido por la legislación del Reino Unido como que proporciona protección adecuada, las partes acuerdan que el UK International Data Transfer Agreement (IDTA) emitido por el ICO, o el UK Addendum a las Cláusulas contractuales tipo de 2021 de la Comisión Europea (UK Addendum), según corresponda, se incorpora a esta Adenda por referencia y se completa con los datos del Anexo I.
    2. 4.2. El IDTA del Reino Unido está disponible en https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/. El UK Addendum está disponible en https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-addendum-to-the-eu-commission-standard-contractual-clauses/.
    3. 4.3. Cuando las SCC de 2021 y el IDTA del Reino Unido o el UK Addendum se apliquen a la misma transferencia, las partes utilizarán el mecanismo exigido por la ley de la jurisdicción desde la que se origina la transferencia.
  5. ANEXO I (CLÁUSULAS CONTRACTUALES TIPO)
    1. A.1. Exportador de datos: Cliente (nombre legal y dirección según el acuerdo de Servicios o la cuenta).
    2. A.2. Importador de datos: GRE DEVELOPMENT LTD (número de empresa 13031797), 24-26 Arcadia Avenue, Fin009, London N3 2JU, Reino Unido; contacto: support@greip.io.
    3. A.3. Roles: Según se establece en la cláusula 3.1.2 de este Anexo (Módulos uno a cuatro, según corresponda).
    4. A.4. Categorías de interesados: Personal y usuarios autorizados del Cliente; usuarios finales o clientes del Cliente cuyos datos el Cliente envía a los Servicios; interesados identificados en el Contenido del Cliente.
    5. A.5. Categorías de datos personales: Datos de cuenta del Cliente, Datos de uso del Cliente y Contenido del Cliente (incluidos datos de contacto, identificadores, direcciones IP, datos de dispositivo y conexión, campos relacionados con pagos y transacciones enviados para prevención del fraude, y comunicaciones de soporte).
    6. A.6. Categorías especiales de datos: Solo si el Cliente las envía explícitamente en el Contenido del Cliente; Greip no exige categorías especiales para los Servicios estándar.
    7. A.7. Frecuencia: Continua durante el Plazo.
    8. A.8. Naturaleza y finalidad: Almacenamiento, validación, enriquecimiento, puntuación, registro, supervisión, soporte, facturación y seguridad de los Servicios según se describe en el Acuerdo.
    9. A.9. Subencargados: Según figura en https://greip.io/es/legal-and-security/sub-processors.

Última actualización: 6 de noviembre de 2026