Adenda de Tratamiento de Datos de Marzipan

Este Addendum de Tratamiento de Datos ("DPA") complementa e incorpora por referencia al Contrato celebrado entre Marzipan y un Cliente únicamente sobre la base de los Términos de Servicio de Marzipan cuando un Cliente se registra o accede a cualquiera de los Servicios, incluyendo, sin limitación:

1. el servicio de generación y alojamiento de etiquetas digitales de vino prestado por Marzipan bajo el nombre comercial "Labls" en labls.io y labls.co (incluidos sus subdominios) diseñado para productores de vino que estén legalmente obligados a publicar información localizada y correcta, en una lengua oficial de la UE, sobre el origen y el contenido de los vinos distribuidos en la UE conforme al Reglamento (UE) 2021/2117 (los "Servicios Labls");
2. la plataforma de comercio electrónico y gestión de datos en la nube prestada por Marzipan en marzipan.co (incluidos sus subdominios) que permite a las bodegas unificar sus actividades de comercio electrónico mediante la administración de inventario, pedidos, cumplimiento y envíos, pagos, análisis, campañas de marketing y comunicaciones con clientes en cada uno de sus canales de venta digitales desde un único panel de control centralizado e interfaz de gestión de contenidos (los "Servicios de Plataforma").

Este DPA se aplicará en la medida en que Marzipan trate Datos Personales por cuenta de un Cliente en calidad de Encargado del Tratamiento en relación con la prestación de los Servicios en virtud del Contrato. Las categorías de Datos Personales tratados por Marzipan como parte de los Servicios se detallan íntegramente en la cláusula 4 de este DPA.

Dado que el Reglamento (UE) 2021/2117 prohíbe a las bodegas y demás operadores del sector tratar Datos Personales de los consumidores mediante etiquetas electrónicas de vino adjuntas a sus productos, Marzipan ha diseñado su servicio de alojamiento y generación de etiquetas electrónicas en labls.io y labls.co de forma que ningún Dato Personal pueda ser recopilado ni rastreado por un Cliente o Marzipan en relación con una etiqueta electrónica. Por lo tanto, este DPA no se aplica a este aspecto de los Servicios.

Los términos en mayúscula no definidos en este DPA tienen el significado que se les atribuye en el Contrato. A efectos aclaratorios, todas las referencias al "Contrato" incluirán este DPA (incluidos los Anexos al mismo y las CCE). En caso de conflicto entre el Contrato y este DPA, el DPA prevalecerá en lo que respecta al tratamiento de Datos Personales.

1. Definiciones

   Afiliada

   se refiere a una entidad que directa o indirectamente Controla, es Controlada por o está bajo Control común con otra entidad.

   Finalidades Empresariales

   los Servicios que Marzipan debe prestar al Cliente según se definen en el Contrato.

   Control

   se refiere a una participación en la propiedad, el voto o interés similar que represente el cincuenta por ciento (50%) o más del total de participaciones en circulación de la entidad en cuestión. El término "Controlada" se interpretará en consecuencia.

   Cliente

   la persona física o jurídica o entidad que es parte en el Contrato.

   Cuenta del Cliente

   cualquier cuenta o cuentas en línea registradas por el Cliente en los Servicios que proporcionen acceso autorizado a los mismos.

   Datos del Cliente

   se refiere a cualquier Dato Personal que Marzipan trate en nombre del Cliente a través de los Servicios.

   Legislación de Protección de Datos

   se refiere a las leyes y reglamentos aplicables en cualquier jurisdicción relevante relativos al uso o tratamiento de Datos Personales, incluyendo: (i) la Ley de Privacidad del Consumidor de California de 2018 ("CCPA"); (ii) el Reglamento General de Protección de Datos ((UE) 2016/279) ("RGPD de la UE"); (iii) la Ley Federal Suiza de Protección de Datos; (iv) el RGPD de la UE en su condición de parte del ordenamiento jurídico de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud del artículo 3(10) (complementado por el artículo 205(4)) de la Ley de Protección de Datos de 2018 ("UK GDPR"); (v) la Ley de Protección de Datos de 2018 (y los reglamentos dictados en su virtud) ("DPA 2018"); y (vi) el Reglamento sobre Privacidad y Comunicaciones Electrónicas de 2003 (SI 2003/2426) y sus modificaciones ("PECR 2003"); en cada caso, según sean actualizados, modificados o sustituidos periódicamente. Los términos "Responsable del Tratamiento", "Encargado del Tratamiento", "Interesado", "Solicitud del Interesado", "Datos Personales", "Violación de Datos Personales", "Tratamiento", "Subencargado" y "Autoridad de Control" tendrán los significados establecidos en el RGPD de la UE.

   Etiqueta Electrónica

   una etiqueta electrónica de vino dedicada, alojada en labls.io y labls.co (o en un sitio web de terceros en nombre de Marzipan), que recopila información estructurada (contenido de la e-label) sobre el vino o el producto de vino aromatizado de un Cliente para un mercado específico de la EU en uno de los 24 idiomas de los Estados miembros de la EU, y que cumple con los requisitos de etiquetado generales y sectoriales establecidos en los Reglamentos de Etiquetado de Vinos de la EU.

   EEE

   el Espacio Económico Europeo.

   Clientes Finales

   los consumidores o clientes empresariales a quienes el Cliente ofrece, comercializa o suministra productos o servicios a través de los Servicios.

   Cláusulas Contractuales Tipo de la UE

   se refiere a las cláusulas contractuales tipo entre Responsables y Encargados del Tratamiento aprobadas por la Comisión Europea mediante su Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021, disponibles actualmente aquí.

   Reglamentación de la UE sobre Etiquetado de Vinos

   las normas sobre etiquetado de vinos y productos vitivinícolas aromatizados introducidas por el Reglamento (UE) 2021/2117 del Parlamento Europeo y del Consejo, que modifica el Reglamento (UE) n.º 1308/2013, incluida la implementación y entrada en vigor de dichas normas en virtud del Reglamento Delegado (UE) 2019/33 de la Comisión, de 17 de octubre de 2018, que complementa el Reglamento (UE) n.º 1308/2013.

   Transferencia Fuera del EEE

   se refiere a la transferencia de Datos del Cliente, tratados de conformidad con el RGPD de la UE, a un servidor, red, sistema informático, empresa, persona o instalación ubicados fuera del EEE, cuando dicha transferencia no esté regulada por una decisión de adecuación adoptada por la Comisión Europea de conformidad con el artículo 45 del RGPD de la UE.

   Transferencia Fuera del UK

   se refiere a la transferencia de Datos del Cliente, tratados de conformidad con el UK GDPR y la Ley de Protección de Datos de 2018, a un servidor, red, sistema informático, empresa, persona o instalación ubicados fuera del UK, cuando dicha transferencia no esté regulada por una decisión de adecuación adoptada por el Secretario de Estado del UK de conformidad con las disposiciones pertinentes del UK GDPR y la Ley de Protección de Datos de 2018.

   Servicios de Labls

   los servicios de creación, gestión y alojamiento de etiquetas electrónicas suministrados por Marzipan en labls.io, en modalidad de suscripción u otra, que permiten a los Clientes generar, administrar y publicar Etiquetas Electrónicas para sus vinos o productos vitivinícolas aromatizados.

   Política de Privacidad de Marzipan

   se refiere al aviso de información sobre el tratamiento de datos puesto a disposición por Marzipan en marzipan.co/privacy, según sea modificado, sustituido o complementado periódicamente.

   Servicios de Plataforma

   la plataforma de comercio electrónico y gestión de datos basada en la nube suministrada por Marzipan en marzipan.co, que permite a las bodegas unificar sus actividades de comercio electrónico mediante la administración de inventario, pedidos, preparación y envío, pagos, analítica, campañas de marketing y comunicaciones con clientes en cada uno de sus canales de venta digitales, desde un panel de control centralizado con sistema de gestión de contenidos.

   Incidente de Seguridad

   cualquier brecha de seguridad no autorizada o ilícita que conduzca a la destrucción, pérdida o alteración accidental o ilícita de Datos del Cliente, o a la divulgación o el acceso no autorizados a Datos del Cliente en sistemas gestionados o controlados por Marzipan.

   Proveedor de Servicios

   tendrá el significado otorgado en la Ley de Privacidad del Consumidor de California de 2018 ("CCPA").

   Servicios

   significa, individual y colectivamente, los Servicios de Labels y los Servicios de Plataforma.

   Datos de Categoría Especial

   tiene los significados otorgados en los Artículos 4(13), 4(14), 4(15) y 9 del EU GDPR y UK GDPR (según corresponda).

   Cláusulas Contractuales Estándar (SCCs)

   significa las EU SCCs y UK SCCs, según corresponda.

   Adenda del Reino Unido

   designa el Anexo Internacional de Transferencia de Datos (versión B1.0) emitido por la Oficina del Comisionado de Información (Information Commissioner's Office) en virtud del artículo 119(A) de la Ley de Protección de Datos del UK de 2018, en su versión actualizada o modificada en cada momento.

   UK SCCs

   significa las EU SCCs revisadas y modificadas por la Adenda del Reino Unido.

   Datos de Uso

   cualquier dato generado en relación con el acceso, uso y configuración de los Servicios por parte de los Clientes, así como los datos derivados de los mismos. Los Datos de Uso no incluyen Datos del Cliente ni ningún otro Dato Personal.

2. Instrucciones del Cliente

   1. Marzipan y el Cliente acuerdan que este DPA y el Contrato, junto con la configuración o el uso por parte del Cliente de cualquier ajuste, función u opción en los Servicios (que el Cliente podrá modificar ocasionalmente), constituyen las instrucciones documentadas por escrito del Cliente en relación con el tratamiento de Datos del Cliente por parte de Marzipan (incluyendo a los efectos de las UK SCCs) (las "Instrucciones Documentadas"). Marzipan tratará los Datos del Cliente únicamente de conformidad con las Instrucciones Documentadas. Las instrucciones adicionales que queden fuera del ámbito de las Instrucciones Documentadas (si las hubiera) requerirán un acuerdo previo por escrito entre Marzipan y el Cliente.
   2. Marzipan tendrá derecho a resolver este DPA y el Contrato sin incurrir en responsabilidad alguna frente al Cliente si Marzipan se niega a seguir instrucciones que contravengan las Leyes de Protección de Datos o cualquier disposición aplicable en materia de privacidad de datos del Reglamento de la UE sobre Etiquetado de Vinos, o que queden fuera del ámbito de, o difieran de, las proporcionadas o acordadas en este DPA o en cualquier otro acuerdo escrito entre las partes.
   3. El Cliente no proporcionará (ni permitirá que se proporcionen) Datos de Categoría Especial a Marzipan para su tratamiento en virtud del Contrato, y Marzipan no tendrá responsabilidad alguna respecto a los Datos de Categoría Especial, ya sea en relación con un Incidente de Seguridad o de cualquier otra índole. A efectos aclaratorios, este DPA no será de aplicación a los Datos de Categoría Especial.

3. Tratamiento de Datos

   1. When Marzipan processes Customer Data while providing the Services, Marzipan will:

      (a)en la medida en que sea aplicable el UK GDPR o el EU GDPR, tratar los Datos del Cliente como Encargado del Tratamiento actuando en nombre del Cliente (ya sea este un Responsable del Tratamiento o un Encargado del Tratamiento en nombre de un Responsable del Tratamiento tercero);

      (b)en la medida en que sea aplicable la CCPA, tratar los Datos del Cliente actuando en nombre del Cliente como Proveedor de Servicios (véase la cláusula 3.2 a continuación para más detalles);

      (c)tratar y almacenar los Datos del Cliente únicamente en servidores:

      a.operados por el operador de centros de datos UpCloud Oy, sociedad de responsabilidad limitada finlandesa ("UpCloud"), en su centro de datos DE-FRA1 en Fráncfort, Alemania.

      b.operados por el operador de centros de datos Scaleway SAS, sociedad por acciones simplificada francesa ("Scaleway"), en su centro de datos en París.

      c.operados por el operador de centros de datos Hetzner Online GmbH, sociedad de responsabilidad limitada alemana ("Hetzner"), en sus centros de datos en Núremberg y Falkenstein, Alemania; y

      d.operados por el proveedor de almacenamiento en la nube BunnyWay d.o.o., sociedad de responsabilidad limitada eslovena ("BunnyWay"), en su ubicación de servidor perimetral en Núremberg, Alemania.

      (d)tratar los Datos del Cliente únicamente en la medida y de la manera necesarias para los Fines Empresariales, de conformidad con las Instrucciones Documentadas lícitas del Cliente (siempre que dichas instrucciones sean proporcionales a las funcionalidades de los Servicios adquiridos por el Cliente en virtud del Contrato);

      (e)si Marzipan está obligado por ley a tratar los Datos del Cliente para cualquier finalidad distinta de los Fines Empresariales, Marzipan notificará al Cliente dicha obligación antes de llevar a cabo cualquier tratamiento de este tipo, a menos que la ley prohíba a Marzipan proporcionar dicha notificación;

      (f)cumplir sin demora cualquier instrucción escrita y lícita que el Cliente proporcione requiriendo a Marzipan que modifique, transfiera, elimine o trate de cualquier otro modo los Datos del Cliente, o que detenga, mitigue o remedie cualquier tratamiento no autorizado;

      (g)mantener la confidencialidad de los Datos del Cliente y no revelarlos a terceros salvo que el Cliente o este DPA autorice expresamente dicha divulgación, o cuando así lo exija la legislación nacional, un tribunal o una normativa aplicable (incluida cualquier instrucción del Comisionado de la ICO del UK o de cualquier otra autoridad competente en el UK y/o el EEE);

      (h)asistir razonablemente al Cliente, sin coste adicional para este, en el cumplimiento de sus obligaciones en materia de protección de datos conforme a las Leyes de Protección de Datos, teniendo en cuenta la naturaleza del tratamiento realizado por Marzipan y la información disponible para Marzipan, incluyendo, a título ilustrativo y sin carácter limitativo, proporcionar al Cliente información razonable para ayudarle a completar cualquier evaluación de impacto relativa a la protección de datos que el Cliente lleve a cabo, así como asistirle en la respuesta a solicitudes de los interesados; y

      (i)notificar sin demora al Cliente cualquier cambio en las Leyes de Protección de Datos que pueda interpretarse razonablemente como perjudicial para el cumplimiento por parte de Marzipan de sus obligaciones en virtud del Contrato o de este DPA.

   2. CCPA. Las partes reconocen y aceptan que Marzipan es un Proveedor de Servicios respecto de los Datos del Cliente a los efectos de la CCPA (en la medida en que sea aplicable) y recibe información personal del Cliente para prestar los Servicios de conformidad con el Contrato, lo cual constituye una finalidad empresarial. Marzipan no venderá ninguna de dicha información personal. Marzipan no conservará, utilizará ni divulgará ninguna información personal proporcionada por el Cliente en virtud del Contrato, salvo cuando sea necesario para el fin específico de prestar los Servicios al Cliente de conformidad con el presente Contrato, o según lo establecido en este Contrato o permitido por la CCPA. Los términos "información personal", "Proveedor de Servicios", "venta" y "vender" tendrán el significado otorgado en la Sección 1798.140 de la CPA (según sea modificada, reenactada o actualizada periódicamente). Marzipan certifica que comprende las restricciones de esta cláusula (i).
   3. Servicios de Terceros. Como parte de los Servicios, Marzipan ofrece al Cliente la posibilidad de integrar y/o interconectar los Servicios con determinados servicios, integraciones y aplicaciones de terceros ("Servicios de Terceros"). Tenga en cuenta que el uso por parte del Cliente de los Servicios de Terceros estará en cada caso regido exclusivamente por los términos y condiciones y las políticas de privacidad correspondientes (conjuntamente, el "EULA") conforme a los cuales el Proveedor de Servicios de Terceros pone a disposición del Cliente los Servicios de Terceros pertinentes (el "Proveedor de Servicios de Terceros"). Cada EULA se celebra exclusivamente entre el Cliente y el Proveedor de Servicios de Terceros, y Marzipan no es parte en dichos EULAs.
   4. Cuando el Cliente nos indique que integre los productos o cuentas de Marzipan del Cliente con uno o más Servicios de Terceros, el Cliente acepta que Marzipan transferirá los Datos del Cliente a los Proveedores de Servicios de Terceros para que puedan prestar sus servicios al Cliente. Cuando los Proveedores de Servicios de Terceros traten posteriormente los Datos del Cliente, dicho tratamiento estará regido por las disposiciones de privacidad correspondientes dentro de su EULA, y Marzipan no será responsable de dicho tratamiento.
   5. Third-Party Services from the following Third-Party Service Providers are currently available to be integrated and/or interfaced with Marzipan.

      Name	Description
      Fathom Analytics	This integration allows Customers who are subscribed to Fathom Analytics’ web analytics service to view their Fathom Analytics dashboard within Marzipan’s e-commerce and data management platform. All EEA and UK traffic processed via the integration is processed solely on EU servers owned and operated by the German cloud service provider etzner Online GmbH, a German legal entity.
      MailChimp	This integration allows Customers who are subscribed to MailChimp’s email marketing service to send data to MailChimp to enable the Customer to send emails to their subscribers.

   6. Tenga en cuenta que cuando Marzipan permita al Cliente integrar los Servicios con cualquier Servicio de Terceros que no figure en la tabla anterior, el uso por parte del Cliente de dicho Servicio de Terceros estará regido por el EULA aplicable del Proveedor de Servicios de Terceros correspondiente en los mismos términos que los establecidos en la cláusula (i) del presente Contrato.
   7. SCCs. Si Marzipan y el Cliente han suscrito Cláusulas Contractuales Estándar conforme a lo descrito en la cláusula 10 (Transferencias de Datos del Cliente), (i) la instrucción del Cliente a Marzipan en virtud de la cláusula 3.3 del presente Contrato para integrar el/los Servicio(s) de Terceros (según corresponda) como parte de los Servicios constituirá el consentimiento previo por escrito del Cliente para la transferencia de Datos del Cliente por parte de Marzipan al Proveedor de Servicios de Terceros, si dicho consentimiento fuera exigido en virtud de las SCCs; (ii) las partes acuerdan que las copias de los acuerdos con Proveedores de Servicios de Terceros que Marzipan debe facilitar al Cliente conforme a la Cláusula 9(c) de las SCCs de la EU o cualquier cláusula equivalente de las SCCs del UK (según corresponda) podrán ser previamente redactadas por Marzipan para eliminar información comercial o información no relacionada con las Cláusulas Contractuales Estándar o su equivalente, y que dichas copias redactadas serán facilitadas por Marzipan únicamente previa solicitud escrita del Cliente.
   8. The Customer’s responsibilities. The Customer:

      (a)será el Responsable del Tratamiento respecto de cualquier Dato del Cliente;

      (b)seguirá siendo responsable del cumplimiento por parte del Cliente de las obligaciones establecidas en las Leyes de Protección de Datos aplicables, incluyendo, entre otras, la provisión de los avisos requeridos y la obtención de los consentimientos necesarios para que Marzipan pueda tratar los Datos del Cliente para los Fines Empresariales;

      (c)no proporcionará (ni permitirá que se proporcionen) a Marzipan Datos de Categoría Especial para su tratamiento en virtud del Contrato, y Marzipan no tendrá responsabilidad alguna respecto de los Datos de Categoría Especial, ya sea en relación con un Incidente de Seguridad o de cualquier otra forma. Para evitar cualquier duda, este DPA no se aplicará a los Datos de Categoría Especial;

      (d)declara y garantiza que ha cumplido, y continuará cumpliendo, con todas las leyes aplicables, incluidas las Leyes de Protección de Datos, en relación con su tratamiento de los Datos del Cliente y cualquier Instrucción Documentada que emita a Marzipan;

      (e)será el único responsable de la exactitud, calidad y licitud de los Datos del Cliente y de los medios por los cuales el Cliente obtuvo dichos Datos del Cliente. Sin perjuicio de la generalidad de lo anterior, el Cliente acepta que será responsable de cumplir con todas las leyes aplicables (incluidas las Leyes de Protección de Datos) en relación con cualquier contenido creado, enviado o gestionado a través de los Servicios;

      (f)garantizará que el tratamiento de los Datos del Cliente por parte de Marzipan de conformidad con las Instrucciones Documentadas del Cliente no causará que Marzipan infrinja ninguna ley, reglamento o norma aplicable, incluyendo, sin limitación, las Leyes de Protección de Datos. Marzipan notificará sin demora al Cliente por escrito, salvo que esté prohibido de hacerlo en virtud de las Leyes de Protección de Datos, si tiene conocimiento o considera que alguna instrucción de tratamiento de datos del Cliente infringe las Leyes de Protección de Datos; y

      (g)en la medida en que actúe como encargado del tratamiento en nombre de un responsable del tratamiento tercero (u otro intermediario del responsable final), garantiza que sus Instrucciones Documentadas establecidas en el Contrato y en este DPA, incluidas sus autorizaciones a Marzipan para el nombramiento de Subencargados de conformidad con este DPA, han sido autorizadas por el responsable del tratamiento correspondiente.

4. Tipos de Datos del Cliente y Finalidades del Tratamiento

   1. Objeto. El objeto del tratamiento de datos en virtud de este DPA son los Datos del Cliente tratados a través de los Servicios.
   2. Duración. Entre Marzipan y el Cliente, es el Cliente quien determina la duración del tratamiento de datos en virtud de este DPA. El Cliente podrá suspender o finalizar el tratamiento de datos suspendiendo o rescindiendo la suscripción del Cliente a los Servicios de Plataforma y/o los Servicios de Labls (según corresponda) o suspendiendo cualquier integración alojada por Marzipan (como cualquier API propietaria que Marzipan ponga a disposición del Cliente) que el Cliente utilice como parte de sus operaciones.
   3. Finalidad. La finalidad del tratamiento de datos en virtud de este DPA es la prestación de los Servicios iniciada por el Cliente periódicamente, incluyendo a título ilustrativo la provisión de la plataforma de comercio electrónico y gestión de datos de Marzipan y/o el servicio de generación y alojamiento de etiquetas electrónicas (E-Label) al Cliente.
   4. Naturaleza del tratamiento. Marzipan permite a las empresas unificar sus actividades de comercio electrónico y generar E-Labels para sus productos vitivinícolas, incluyendo la prestación de los «Servicios» tal como se definen en la cláusula 1 de este DPA. Estos Servicios incluyen el tratamiento de Datos del Cliente por parte de Marzipan, sus Subencargados y, según corresponda, los Proveedores de Servicios de Terceros. Los Datos del Cliente podrán ser cargados y/o tratados en los Servicios por el Cliente a través de la Cuenta del Cliente, cualquier API que Marzipan ponga a disposición y que se conecte con los Servicios periódicamente; y (iii) cualquier Servicio de Terceros que comparta Datos del Cliente con los Servicios.
   5. Types of Customer Data. Customer Data uploaded to the Services:

      (a)por el Cliente en la Cuenta del Cliente;

      (b)a través de cualquiera de las APIs o componentes web de Marzipan que conecten los Servicios con los sistemas del Cliente; y

      (c)a través de cualquier Servicio de Terceros que el Cliente integre con los Servicios.

      Los tipos de Datos Personales cargados en los Servicios como parte de los Datos del Cliente pueden incluir:

      • Nombre del cliente, correo electrónico, información de contacto, facturación y envío.
      • Información sobre compras, suscripciones (es decir, club de vinos) y otras transacciones (incluida, sin limitación, información sobre el estado) proveniente de los puntos de venta físicos y digitales del Cliente;
      • Actividad del Cliente Final en los puntos de venta digitales del Cliente, incluido el historial de pedidos, los productos visualizados y los productos incluidos en los carritos de compra.
      • Información sobre el dispositivo del Cliente Final utilizado al visitar los puntos de venta del Cliente, incluida la dirección IP, el navegador y la actividad de red.
      • Cualquier otro Dato Personal que el Cliente decida poner a disposición de Marzipan.
   6. Categorías de Interesados. El Interesado puede incluir a (i) el Cliente, sus empleados, contratistas, agentes, proveedores y vendedores, y (ii) los Clientes Finales reales y potenciales del Cliente.

5. Seguridad del tratamiento de datos

   1. Marzipan deberá implementar en todo momento medidas técnicas y organizativas adecuadas contra el tratamiento, acceso, copia, modificación, reproducción, visualización o distribución no autorizados o ilícitos de los Datos del Cliente, y contra la pérdida, destrucción, alteración, divulgación o daño accidental o ilícito de los Datos del Cliente, incluidas, entre otras, las medidas descritas en las Normas de Seguridad de Marzipan (Anexo A), con el fin de garantizar en cada caso un nivel de seguridad de los Datos del Cliente adecuado al riesgo, de conformidad con el artículo 32 del GDPR EU/UK.
   2. Marzipan shall implement such measures to ensure a level of security appropriate to the risk involved, including as appropriate:

      (a)la seudonimización y el cifrado de los Datos del Cliente;

      (b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia continuas de los sistemas y servicios de tratamiento;

      (c)la capacidad de restablecer la disponibilidad y el acceso a los Datos del Cliente de manera oportuna en caso de incidente físico o técnico; y

      (d)un proceso para probar, evaluar y valorar periódicamente la eficacia de las medidas de seguridad.

6. Empleados de Marzipan

   1. Marzipan will ensure its employees, contractors and agents:

      (a)estén informados de la naturaleza confidencial de los Datos del Cliente y estén sujetos a obligaciones de confidencialidad y restricciones de uso con respecto a los Datos del Cliente;

      (b)hayan recibido formación sobre las Leyes de Protección de Datos relativas al tratamiento de los Datos del Cliente y su aplicación en el ejercicio de sus funciones; y

      (c)sean conscientes tanto de las obligaciones de Marzipan como de sus deberes y obligaciones personales en virtud de las Leyes de Protección de Datos y del Contrato.

7. Seguridad

   1. Marzipan deberá implementar en todo momento medidas técnicas y organizativas adecuadas contra el tratamiento, acceso, copia, modificación, reproducción, visualización o distribución no autorizados o ilícitos de los Datos del Cliente, y contra la pérdida, destrucción, alteración, divulgación o daño accidental o ilícito de los Datos del Cliente.
   2. Marzipan shall implement such measures to ensure a level of security appropriate to the risk involved, including for illustrative purposes and as appropriate:

      (a)la seudonimización y el cifrado de los Datos del Cliente;

      (b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia continuas de los sistemas y servicios de tratamiento;

      (c)la capacidad de restablecer la disponibilidad y el acceso a los Datos del Cliente de manera oportuna en caso de incidente físico o técnico; y

      (d)un proceso para probar, evaluar y valorar periódicamente la eficacia de las medidas de seguridad.

8. Violación de Datos Personales

   1. Marzipan shall within 72 hours and in any event without undue delay notify the Customer if it becomes aware of:

      (a)la pérdida, destrucción o daño involuntario, corrupción o cualquier otro deterioro de la totalidad o parte de los Datos del Cliente;

      (b)cualquier tratamiento accidental, no autorizado o ilícito de los Datos del Cliente; o

      (c)cualquier Violación de Datos Personales.

   2. Where Marzipan becomes aware of any of the foregoing matters described in clauses 8.1(a), (b) and/or (c) above, it shall, without undue delay, also provide the Customer with the following:

      (a)una descripción de la naturaleza del asunto registrado en relación con las cláusulas 8.1(a), (b) y/o (c), incluidas las categorías de Datos del Cliente en el ámbito de aplicación y el número aproximado de Interesados y registros de Datos del Cliente afectados; o

      (b)una descripción de las medidas adoptadas o previstas para hacer frente a los asuntos registrados en relación con las cláusulas 8.1(a), (b) y/o (c), incluidas las medidas para mitigar sus posibles efectos adversos.

   3. Inmediatamente después de cualquier tratamiento accidental, no autorizado o ilícito de Datos del Cliente o Violación de Datos Personales, Marzipan se pondrá en contacto con el Cliente para que podamos coordinar conjuntamente la investigación del asunto.
   4. Marzipan no informará a ningún tercero sobre ningún tratamiento accidental, no autorizado o ilícito de la totalidad o parte de los Datos del Cliente y/o una Violación de Datos Personales sin obtener previamente el consentimiento escrito del Cliente, salvo cuando dicha divulgación sea necesaria como parte de las medidas adoptadas para hacer frente a dicho tratamiento o Violación de Datos Personales, o cuando dicha divulgación sea exigida por la legislación aplicable.
   5. Marzipan cubrirá los gastos razonables asociados al cumplimiento de sus obligaciones en virtud de las cláusulas 8.1 y 8.2, a menos que el asunto haya surgido como resultado de instrucciones escritas específicas del Cliente, negligencia, incumplimiento doloso o infracción del DPA o del Contrato, en cuyo caso el Cliente cubrirá todos los gastos razonables (incluidos los gastos razonables de Marzipan y los de sus asesores profesionales).

9. Subencargados

   1. Marzipan uses the following Sub-processors to host and/or process Customer Data, to provide infrastructure and network services to support Marzipan, and to perform service functions on our behalf as part of the Services:

      Name	Description
      Active Campaign LLC	Trading as "Postmark", Active Campaign delivers transactional emails (e.g. password reset emails, notification emails, receipt and invoice emails) on behalf of Marzipan as part of the Services.
      Automattic, Inc.	Trading as "Gravatar." Automattic allows Customers to upload pre-existing image and public profile data to the Platform Services.
      BunnyWay d.o.o	BunnyWay provides Marzipan with Domain Name System (DNS), Website Application Firewall (WAF) and Content Delivery Network (CDN) services.
      Fathom Analytics	Fathom Analytics provides web analytics services that enable Marzipan to track and analyse web traffic’s engagement with the Services.
      Functional Software Inc.	Trading as "Sentry", Functional Software provides Marzipan with crash and error monitoring services in respect of the Services.
      Internet Security Research Group	ISRG’s "Let’s Encrypt" service provides Marzipan with the digital certificate necessary to enable HTTPS (SLS/TLS) on its websites.
      Laravel Holdings Inc.	Laravel provides Marzipan with its: (i) "Forge" server management services in relation to the provisioning and deployment of the Services on Hetzner Online GmbH’s servers; and (ii) "Envoyer" zero downtime deployment services.
      OhMySMTP Ltd	OhMySMTP, trading as "MailPace", provides Marzipan with email services for sending transactional emails (e.g. password reset emails, notification emails, order confirmation emails) on behalf of Marzipan as part of the Services.
      PayPal UK Ltd	PayPal provides Marzipan with authorised payment gateway and payment processing services in respect of payload and payment data submitted to the Services.
      Stripe Payments UK, Ltd.	Stripe provides Marzipan with authorised payment gateway and payment processing services in respect of payload and payment data submitted to the Services.

   2. El Cliente nos autoriza a utilizar los Subencargados enumerados en la cláusula 9.1 anterior como parte de los Servicios, y nos otorga además autorización general para recurrir a otros Subencargados para llevar a cabo actividades de tratamiento con respecto a los Datos del Cliente que recopilamos del Cliente en virtud del Contrato. Marzipan notificará al Cliente si añade o elimina Subencargados con al menos 10 días de antelación a cualquier cambio de este tipo.
   3. Where Marzipan engages a Sub-processor as described in clause 9.1:

      (a)Marzipan limitará el acceso del Subencargado a los datos únicamente a lo razonablemente necesario para prestar, mantener o mejorar los Servicios; y

      (b)Marzipan suscribirá un acuerdo escrito de tratamiento de datos con el Subencargado y, en la medida en que el Subencargado realice los mismos servicios de tratamiento de datos que los prestados por Marzipan en virtud del presente DPA, Marzipan impondrá al Subencargado las mismas obligaciones contractuales que Marzipan tiene en el presente documento.

   4. If Marzipan and the Customer have entered into Standard Contractual Clauses as described in clause 10 (Transfers of Customer Data):

      (a)las autorizaciones anteriores constituirán el consentimiento previo y por escrito del Cliente a la subcontratación por parte de Marzipan del tratamiento de los Datos del Cliente, si dicho consentimiento es requerido en virtud de las SCCs;y

      (b)Marzipan suscribirá un acuerdo escrito de tratamiento de datos con el Subencargado y, en la medida en que el Subencargado realice los mismos servicios de tratamiento de datos que los prestados por Marzipan en virtud del presente DPA, Marzipan impondrá al Subencargado las mismas obligaciones contractuales que Marzipan tiene en el presente documento.

   5. If Marzipan and the Customer have entered into Standard Contractual Clauses as described in clause 10 (Transfers of Customer Data):

      (a)las autorizaciones anteriores constituirán el consentimiento previo y por escrito del Cliente a la subcontratación por parte de Marzipan del tratamiento de los Datos del Cliente, si dicho consentimiento es requerido en virtud de las SCCs; y

      (b)las Partes acuerdan que las copias de los acuerdos con los Subencargados que Marzipan debe facilitar al Cliente en virtud de la Cláusula 9(c) de las SCCs de la EU o de cualquier cláusula pertinente de las SCCs del UK (según corresponda) podrán ser previamente redactadas por Marzipan para eliminar información comercial o información no relacionada con las Cláusulas Contractuales Tipo o su equivalente, y que dichas copias redactadas serán facilitadas por Marzipan únicamente a solicitud escrita del Cliente.

10. Transferencias de Datos del Cliente

    1. Las partes acuerdan que Marzipan podrá transferir los Datos del Cliente tratados en virtud del Contrato fuera del EEE, el UK o Suiza en la medida necesaria para prestar los Servicios. El Cliente reconoce que las operaciones de tratamiento de muchos de los Proveedores de Servicios de Terceros y Subencargados tienen lugar en los Estados Unidos, y que la transferencia de los Datos del Cliente es necesaria para la prestación de los Servicios al Cliente. Si Marzipan transfiere Datos del Cliente protegidos en virtud de este Contrato a una jurisdicción respecto de la cual la Comisión Europea o el Secretario de Estado del UK (según corresponda) no haya emitido una decisión de adecuación, Marzipan se asegurará de que se hayan implementado las salvaguardas adecuadas para la transferencia de Datos del Cliente de conformidad con las Leyes de Protección de Datos.
    2. Ex-EEA Transfers. The parties agree that ex-EEA Transfers are made pursuant to Module Two (Controller to Processor) of the EU SCCs which is deemed entered (and incorporated into this DPA) and which shall apply as follows (unless stated otherwise, references to clause numbers are references to clause numbers of Module Two of the EU SCCs):

       (a)La cláusula de adhesión opcional de la Cláusula 7 no es de aplicación;

       (b)En la Cláusula 9, se aplica la Opción 2 (autorización general por escrito), y el período mínimo de preaviso para la notificación de cambios de Subencargados será el establecido en la cláusula 9.2 del presente DPA;

       (c)En la Cláusula 11, el texto opcional no es de aplicación;

       (d)Todos los corchetes de la Cláusula 12 quedan eliminados;

       (e)En la Cláusula 17 (Opción 10, las SCCs de la EU se regirán por la legislación irlandesa);

       (f)En la Cláusula 18(b), los litigios se resolverán ante los tribunales de Irlanda;

       (g)La Parte 1 del Anexo B ("Transferencias Transfronterizas") del presente DPA contiene la información exigida en el Anexo I de las SCCs de la EU;

       (h)La Parte 1 del Anexo B ("Transferencias Transfronterizas") del presente DPA contiene la información exigida en el Anexo II de las SCCs de la EU;

       (i)Al suscribir el presente DPA, se considerará que las partes han firmado las SCCs de la EU incorporadas al mismo, incluidos sus Anexos.

    3. Ex-UK Transfers

       (a)Las partes acuerdan que el DPA IDTA será de aplicación a una Transferencia fuera del UK. La Parte 2 del Anexo B ("Transferencias Transfronterizas") contiene la información exigida en el DPA IDTA.

    4. Transfers from Switzerland. The parties agree that transfers from Switzerland are made pursuant to the EU SCCs with the following modifications:

       (a)Los términos "Reglamento General de Protección de Datos" o "Reglamento (UE) 2016/679" utilizados en las SCCs de la EU se interpretarán de modo que incluyan la Ley Federal de Protección de Datos de 19 de junio de 2022 (la "FADP"), y en su versión revisada a 25 de septiembre de 2020, la "FADP Revisada") con respecto a las transferencias de datos sujetas a la FADP.

       (b)Los términos de las SCCs de la EU se interpretarán de manera que protejan los datos de las personas jurídicas hasta su entrada en vigor en virtud de la FADP Revisada.

       (c)La Cláusula 13 de las SCCs de la EU se modifica para establecer que el Comisionado Federal de Protección de Datos e Información ("FDPIC") de Suiza tendrá competencia sobre las transferencias de datos regidas por la FADP, y la Autoridad de Supervisión de la EU competente tendrá competencia sobre las transferencias de datos regidas por el GDPR de la EU. Sin perjuicio de lo anterior, se observarán todos los demás requisitos de la Cláusula 13 de las SCCs de la EU.

       (d)El término «Estado miembro de la EU» utilizado en las SCCs de la EU no se interpretará de manera que excluya a los Interesados en Suiza del ejercicio de sus derechos en su lugar de residencia habitual, de conformidad con la Cláusula 18(c) de las SCCs de la EU.

    5. Supplementary Measures. In respect of any ex-EEA Transfer or ex-UK Transfer, the following supplementary measures shall apply:

       (a)A la fecha de este DPA, el Importador de Datos no ha recibido ninguna solicitud legal formal de ningún servicio o agencia de inteligencia o seguridad gubernamental del país al que se exportan los Datos del Cliente, para acceder a (o copiar) los Datos del Cliente ("Solicitudes de Organismos Gubernamentales");

       (b)Si, con posterioridad a la fecha de este DPA, el Importador de Datos recibe alguna Solicitud de Organismos Gubernamentales, Marzipan intentará redirigir a las fuerzas del orden o al organismo gubernamental para que solicite los datos directamente al Cliente. En el marco de este esfuerzo, el Cliente acepta que podemos facilitar la información de contacto básica del Cliente al organismo gubernamental. Si se viera obligado a revelar los Datos del Cliente a un organismo policial o gubernamental, Marzipan notificará al Cliente con antelación razonable sobre dicha exigencia y cooperará para permitir que el Cliente solicite una orden de protección u otro recurso adecuado, salvo que Marzipan esté legalmente impedido de hacerlo. Marzipan no revelará voluntariamente los Datos del Cliente a ningún organismo policial o gubernamental. Marzipan deberá (en cuanto sea razonablemente factible) debatir y determinar si la totalidad o alguna de las transferencias de Datos del Cliente realizadas en virtud de este DPA debe suspenderse a la luz de dichas Solicitudes de Organismos Gubernamentales;

       (c)Marzipan and the Data Exporter will meet regularly to consider whether:

       a.La protección que las leyes del país del Importador de Datos otorgan a los interesados cuyos Datos Personales se transfieren como parte de los Datos del Cliente es suficiente para proporcionar una protección ampliamente equivalente a la que se ofrece en el EEA o en el UK, según corresponda;

       b.Son razonablemente necesarias medidas adicionales para que la transferencia cumpla con la Legislación de Protección de Datos;

       c.Sigue siendo apropiado que los Datos del Cliente se transfieran al Importador de Datos correspondiente, teniendo en cuenta toda la información relevante disponible para las partes, junto con las orientaciones proporcionadas por las Autoridades de Supervisión.

       (d)Si las Leyes de Protección de Datos exigen que Marzipan ejecute las Cláusulas Contractuales Estándar aplicables a una transferencia concreta de Datos del Cliente a un Importador de Datos como Contrato independiente, el Importador de Datos deberá, a solicitud de Marzipan, ejecutar sin demora dichas Cláusulas Contractuales Estándar incorporando las modificaciones que Marzipan pueda razonablemente requerir para reflejar los anexos aplicables, los detalles de la transferencia y los requisitos de las Leyes de Protección de Datos; y

       (e)Si (i) alguno de los mecanismos de legitimación de las transferencias fuera del EEA, UK o Suiza establecidos en este DPA dejara de ser válido; o (ii) alguna Autoridad de Supervisión exigiera la suspensión de las transferencias de Datos del Cliente realizadas mediante dichos mecanismos, el Importador de Datos podrá, mediante notificación a Marzipan, con efecto a partir de la fecha indicada en dicha notificación, modificar o establecer disposiciones alternativas respecto de dichas transferencias, según lo exijan las Leyes de Protección de Datos.

    6. Subencargados del tratamiento. Cuando el Cliente preste su consentimiento para que designemos a un Subencargado del tratamiento ubicado fuera del EEA de conformidad con lo dispuesto en la cláusula 9, o cuando el Cliente decida integrar un Servicio de Terceros de un Proveedor de Servicios de Terceros fuera del EEA de acuerdo con la cláusula 3, el Cliente nos autoriza a suscribir SCCs con dicha parte, también en nombre del Cliente y por cuenta del mismo.

11. Reclamaciones, solicitudes de interesados y derechos de terceros

    1. Marzipan will take such reasonable technical and organisational measures as appropriate, and promptly provide such information to the Customer as the Customer may require, to enable the Customer to comply with:

       (a)the rights of Data Subjects under the Data Protection Laws, including subject access rights, the rights to rectify, port and erase Customer Data, object to the processing and automated processing of Customer Data, and restrict the processing of Customer Data; and/p>

       (b)notificaciones de información o de evaluación notificadas al Cliente por el UK ICO (o cualquier otro organismo regulador competente en el EEA) en virtud de las Leyes de Protección de Datos.

    2. Marzipan notificará al Cliente de forma inmediata y por escrito si recibe cualquier reclamación, aviso o comunicación que se relacione directa o indirectamente con el tratamiento de los Datos del Cliente o con el cumplimiento de las Leyes de Protección de Datos por parte de Marzipan o del Cliente.
    3. Marzipan notificará al Cliente en un plazo de 14 días si recibe una solicitud de un Interesado para acceder a sus Datos del Cliente o para ejercer cualquiera de sus otros derechos en virtud de las Leyes de Protección de Datos.
    4. Marzipan prestará al Cliente su asistencia para responder a cualquier reclamación, aviso, comunicación o solicitud de un Interesado.
    5. Marzipan no revelará los Datos del Cliente a ningún Interesado ni a ningún tercero, salvo de conformidad con las instrucciones escritas del Cliente o cuando así lo exija la legislación nacional.

12. Vigencia y resolución

    1. This DPA will remain in full force and effect so long as:

       (a)el Contrato siga en vigor; o

       (b)Marzipan conserve cualquiera de los Datos del Cliente relacionados con el Contrato en su posesión o bajo su control (el "Plazo").

    2. Cualquier disposición de este DPA que, de forma expresa o implícita, deba entrar en vigor o mantenerse vigente en el momento de la resolución del Contrato o con posterioridad a ella, con el fin de proteger los Datos del Cliente, permanecerá en plena vigencia y efecto.
    3. El incumplimiento por parte de Marzipan de los términos de este DPA constituye un incumplimiento material del Contrato. En tal caso, el Cliente podrá resolver el Contrato con efecto inmediato mediante notificación escrita a Marzipan, sin incurrir en ninguna responsabilidad u obligación adicional.
    4. Si un cambio en las Leyes de Protección de Datos impide a cualquiera de las partes cumplir con la totalidad o parte de sus obligaciones contractuales, las partes podrán acordar suspender el tratamiento de los Datos del Cliente hasta que dicho tratamiento cumpla con los nuevos requisitos. Si las partes no pueden adecuar el tratamiento de los Datos del Cliente a las Leyes de Protección de Datos en un plazo de 90 días, cualquiera de las partes podrá resolver el Contrato con efecto inmediato mediante notificación escrita a la otra parte.

13. Devolución y destrucción de datos

    1. A petición del Cliente, Marzipan facilitará al Cliente, o a un tercero designado por escrito por el Cliente, una copia o acceso a la totalidad o parte de los Datos del Cliente en su posesión o bajo su control, en el formato y en el soporte que el Cliente especifique de manera razonable.
    2. A la resolución o expiración del Contrato por cualquier causa, o una vez concluida la prestación de los Servicios, Marzipan devolverá o eliminará los Datos del Cliente, salvo que la legislación aplicable exija o autorice su conservación. Si la devolución o destrucción resultara impracticable o estuviera prohibida por ley, norma o reglamento, Marzipan adoptará las medidas necesarias para bloquear dichos Datos del Cliente frente a cualquier tratamiento adicional (salvo en la medida necesaria para su alojamiento o tratamiento continuado exigido por ley, norma o reglamento) y continuará protegiendo adecuadamente los Datos del Cliente que permanezcan en su posesión, custodia o control. Si Marzipan y el Cliente hubieran suscrito Cláusulas Contractuales Estándar conforme a lo descrito en la cláusula 10 (Transferencias de Datos del Cliente), las partes acuerdan que la certificación de eliminación exigida en virtud de la Cláusula 8.1(d) de las SCCs de la EU y cualquier disposición aplicable de las SCCs del UK (según proceda) será proporcionada por Marzipan al Cliente únicamente a solicitud escrita de este.
    3. Si alguna ley, reglamento u organismo gubernamental o regulador exige que Marzipan conserve documentos, materiales o Datos del Cliente que de otro modo debería devolver o destruir, notificará al Cliente por escrito dicho requisito de conservación, indicando los detalles de los documentos, materiales o Datos del Cliente que debe conservar, la base jurídica de dicha conservación, y estableciendo un plazo específico para su eliminación o destrucción una vez que el requisito de conservación haya concluido.
    4. Marzipan certificará por escrito al Cliente que ha destruido los Datos del Cliente en un plazo de 30 días tras completar la eliminación o destrucción.

14. Registros

    1. Marzipan mantendrá registros escritos detallados, precisos y actualizados sobre cualquier tratamiento de los Datos del Cliente, incluyendo, entre otros, el acceso, control y seguridad de los Datos del Cliente, los subcontratistas aprobados, las finalidades del tratamiento, las categorías de tratamiento, cualquier transferencia de Datos del Cliente a un tercer país y las salvaguardias correspondientes, así como una descripción general de las medidas técnicas y organizativas de seguridad implementadas (los "Registros")
    2. Marzipan garantizará que los Registros sean suficientes para permitir al Cliente verificar el cumplimiento por parte de Marzipan de sus obligaciones en virtud de este Contrato, y proporcionará al Cliente copias de los Registros cuando así se solicite.

15. Garantías

    1. TMarzipan warrants and represents that:

       (a)sus empleados, subcontratistas, agentes y cualquier otra persona o personas que accedan a los Datos del Cliente en su nombre son fiables y de confianza, y han recibido la formación requerida en materia de Legislación de Protección de Datos;

       (b)ella misma y cualquier persona que opere en su nombre tratarán los Datos del Cliente de conformidad con la Legislación de Protección de Datos y demás leyes, disposiciones normativas, reglamentos, órdenes, normas e instrumentos similares;

       (c)no tiene motivos para creer que la Legislación de Protección de Datos le impida prestar alguno de los servicios contratados en virtud del Contrato; y

       (d)teniendo en cuenta el entorno tecnológico actual y los costes de implementación, adoptará las medidas técnicas y organizativas apropiadas para prevenir el tratamiento no autorizado o ilícito de los Datos del Cliente y la pérdida o destrucción accidental de los mismos, o los daños que puedan sufrir, y garantizará un nivel de seguridad adecuado a:

       (i)el perjuicio que podría derivarse de dicho tratamiento no autorizado o ilícito, o de la pérdida, destrucción o daño accidental;

       (ii)la naturaleza de los Datos del Cliente que deben protegerse; y

       (iii)el cumplimiento de toda la Legislación de Protección de Datos aplicable y de sus políticas de información y seguridad.

16. Firma y modificaciones

    1. Los términos del presente DPA se incorporan por referencia al Contrato y forman parte del mismo como si estuvieran íntegramente recogidos en él. Al firmar el Contrato, el Cliente reconoce y acepta expresamente que quedará vinculado por los términos de este DPA.
    2. Marzipan podrá, previa notificación por escrito con treinta (30) días naturales de antelación, realizar las modificaciones razonables que sean necesarias en este DPA como consecuencia de cualquier cambio en la Legislación de Protección de Datos o de una resolución de una autoridad competente en virtud de la misma, a fin de permitir que el tratamiento de los Datos del Cliente se realice (o continúe realizándose) sin infringir dicha legislación. Si el Cliente no acepta dichas modificaciones, podrá, dentro del plazo de notificación de treinta (30) días naturales, comunicar por escrito a Marzipan su decisión de resolver el Contrato (incluido este DPA) con efecto inmediato, en la medida en que esté relacionado con los Servicios afectados por las modificaciones propuestas (o la falta de las mismas). El Cliente abonará a Marzipan todos los honorarios y demás importes devengados en virtud del Contrato o en relación con él antes de la fecha de resolución y que permanezcan impagados en dicha fecha. El Cliente no tendrá derecho a reclamación adicional alguna (incluida la solicitud de reembolsos por los Servicios) por causa de o en relación con la resolución del presente Contrato de conformidad con la cláusula 16.2.