1. DEFINICIONES
“Auditoría" y "Parámetros de auditoría" se definen en la Sección 10.3.
“Informe de auditoría" se define en la Sección 10.2.
"Responsable" significa la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del Tratamiento de los Datos Personales.
“Instrucciones del Cliente" se define en la Sección 4.1.
"Datos Personales del Cliente" significa Datos Personales incluidos en los Datos del Usuario.
"Leyes de Protección de Datos" significa a todas las leyes y reglamentos aplicables al Tratamiento de Datos Personales del Cliente en virtud del Contrato, incluidos, según corresponda: (i) la Ley de Privacidad del Consumidor de California, modificada por la Ley de Derechos de Privacidad de California, y cualquier normativa vinculante promulgada en virtud de la misma ("CCPA"), (ii) el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) ("RGPD de la UE" o "RGPD"), (iii) la Ley Federal Suiza de Protección de Datos ("FADP"), (iv) el RGPD de la UE tal como forma parte de la legislación de Inglaterra y Gales en virtud de la sección 3 de la Ley de Retirada de la Unión Europea de 2018 (el "RGPD del Reino Unido") y (v) la Ley de Protección de Datos del Reino Unido de 2018; en cada caso, según se actualice, modifique o reemplace de vez en cuando.
"Interesado" significa la persona física identificada o identificable a la que se refieren los Datos Personales del Cliente.
"EEE" significa Espacio Económico Europeo.
“Términos Clave" significa a los detalles básicos relativos al Tratamiento previsto de los Datos Personales del Cliente según lo especificado por las partes en la Sección 3 de este DPA.
"Datos personales" significa información sobre una persona física identificada o identificable o que se considera "datos personales", "información personal", "información de identificación personal" o cualquier término similar según se definen en las Leyes de Protección de Datos.
"Tratamiento" y las variantes de este término se refieren a cualquier operación o conjunto de operaciones realizadas sobre Datos Personales o conjuntos de Datos Personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
"Encargado" significa la persona física o jurídica, autoridad pública, servicio u otro organismo que Trata los Datos Personales por cuenta del Responsable.
"Transferencia Restringida" significa: (i) cuando se aplica el RGPD de la UE, una transferencia de Datos Personales del Cliente desde el EEE a un país fuera del EEE que no está sujeto a una decisión de adecuación, (ii) cuando se aplica el RGPD del Reino Unido, una transferencia de Datos Personales del Cliente desde el Reino Unido a cualquier otro país que no esté sujeto a una decisión de adecuación o (iii) cuando se aplica la FADP, una transferencia de Datos Personales del Cliente desde Suiza a cualquier otro país que no esté sujeto a una decisión de adecuación.
"Subencargado" se refiere a un tercero contratado por Perk para Tratar los Datos Personales del Cliente bajo este DPA, únicamente en relación con la prestación de Servicios por parte de Perk en virtud del Contrato.
2. ALCANCE Y DURACIÓN
2.1 – Este DPA se aplica a Perk como Encargado del Tratamiento de los Datos Personales del Cliente y al Cliente como Responsable del Tratamiento de los Datos Personales del Cliente.
2.2 – Este DPA comienza en la Fecha de Entrada en Vigor y finaliza en la fecha de terminación del Contrato (o, si es posterior, en la fecha en que Perk haya cesado el Tratamiento de los Datos Personales del Cliente).
3. TÉRMINOS CLAVE
3.1 – Categorías de Interesados. Cualquier Usuario invitado a la Plataforma y/o a recibir el beneficio de los Servicios por parte del Cliente.
3.2 – Categorías de Datos Personales del Cliente.
Información del Usuario - a nivel de plataforma
Nombre, datos de contacto (por ejemplo, dirección de correo electrónico, número de teléfono, dirección comercial), información sobre el trabajo y el puesto.
Documentos de identificación y datos de verificación (por ejemplo, pasaporte, documento de identidad, prueba de residencia, información profesional).
Comunicaciones entre los Usuarios y el servicio de atención al cliente de Perk, incluida la correspondencia, los comentarios y las solicitudes de servicio.
Información de verificación de la empresa (KYB o KYC) (por ejemplo, nombre, comprobante de residencia, documentos de identificación, información de contacto profesional y comercial).
Datos Tratados para cumplir con las regulaciones financieras, fiscales y antifraude relevantes.
Módulo de Viajes y Módulo de Eventos
Detalles de afiliación de viaje (por ejemplo, números de programas de fidelización).
Historial de viajes (por ejemplo, estadías en hoteles, vuelos, alquiler de automóviles, itinerarios de viaje).
Contenido relacionado con facturas transferido por un Proveedor de Viajes.
Datos limitados de la tarjeta almacenados en relación con un perfil de usuario o centro de costes al que están asignados (por ejemplo, tipo de tarjeta, últimos cuatro dígitos, fecha de caducidad, información de la cuenta bancaria).
Módulo de Gastos
Información de gastos (por ejemplo, detalles del centro de costes, recibos, contenido cargado por el Usuario que puede incluir Datos Personales).
Datos de ubicación de Google para la geocodificación en la creación de viajes (por ejemplo, para calcular la asignación de kilometraje, sin seguimiento en tiempo real de los Usuarios).
Datos del titular de la tarjeta (por ejemplo, nombre, dirección, número de teléfono, dirección de correo electrónico profesional) para autenticación o tokenización.
Datos de la tarjeta (por ejemplo, número de cuenta parcial, fecha de vencimiento, CVV, código de servicio), números de cuenta y datos de transacciones relacionadas.
Datos de autenticación cuando sea necesario (por ejemplo, información 3DS, códigos de validación de tarjetas, PIN, datos de autenticación confidenciales procesados por terceros).
Datos de pago móvil (por ejemplo, números de dispositivos y códigos de transacción de Apple Pay o Google Pay)
3.3 – Categorías Especiales de Datos. Perk no exige a los Usuarios que compartan categorías especiales de Datos Personales, y el Cliente informará a sus Usuarios de que deben hacerlo solo cuando sea necesario. Perk eliminará dicha información, a menos que sea necesaria para seguir las instrucciones razonables del Usuario (por ejemplo, solicitud de una comida especial).
3.4 – Naturaleza y Finalidad del Tratamiento. La prestación de Servicios únicamente según lo contemplado en el Contrato, incluida la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
3.5 – Duración del Tratamiento. Perk eliminará o anonimizará los Datos Personales del Cliente en un plazo de treinta (30) días a partir de la terminación del Contrato, a menos que su conservación sea necesaria para cumplir con las Leyes de Protección de Datos, para la resolución de disputas o para hacer cumplir el Contrato. Ciertos registros (incluidos contratos, registros de consentimiento, facturas e interacciones de atención al cliente) pueden conservarse por un periodo de hasta seis (6) años para cumplir con las obligaciones legales. Los Datos Personales pueden conservarse durante más tiempo si así lo exige la ley o si es necesario en relación con un litigio. Si se le solicita, Perk confirmará la eliminación o la anonimización por escrito. Este DPA permanecerá en vigor hasta que todos estos datos hayan sido eliminados o anonimizados.
4. TRATAMIENTO DE DATOS PERSONALES
4.1 – Perk Tratará los Datos Personales del Cliente como Encargado únicamente:
de acuerdo con las Instrucciones del Cliente; y
para cumplir con las obligaciones de Perk en virtud de las Leyes de Protección de Datos aplicables.
"Instrucciones del Cliente" significa: (i) Tratamiento necesario para proporcionar los Servicios y cumplir con las obligaciones de Perk en virtud del Contrato; y (ii) cualquier instrucción razonable del Cliente que sea materialmente coherente con los términos del Contrato.
4.2 – Perk notificará al Cliente si recibe una instrucción que Perk determina razonablemente que infringe las Leyes de Protección de Datos (pero Perk no tiene la obligación de supervisar activamente el cumplimiento de las Leyes de Protección de Datos por parte del Cliente).
4.3 – Perk protegerá los Datos Personales del Cliente de acuerdo con las obligaciones de confidencialidad establecidas en el Contrato. Perk se asegurará de que el personal que trate los Datos Personales del Cliente celebre acuerdos de confidencialidad por escrito o esté sujeto a obligaciones legales de confidencialidad.
4.4 – Perk y el Cliente cumplirán con las Leyes de Protección de Datos en sus respectivos Tratamientos de los Datos Personales del Cliente. El Cliente cumplirá con las Leyes de Protección de Datos al dar instrucciones a Perk. El Cliente se asegurará de haber establecido todas las bases de legitimación necesarias en virtud de las Leyes de Protección de Datos para permitir que Perk Trate legalmente los Datos Personales del Cliente para los fines contemplados en el Contrato (incluido este DPA), lo que incluye, según corresponda, obtener todos los consentimientos necesarios de los Interesados y notificar a los mismos.
4.5 – Las partes trabajarán juntas de buena fe para negociar una adenda a este DPA si cualquiera de las partes lo considera razonablemente necesario para abordar los requisitos de las Leyes de Protección de Datos en cada momento.
5. SUBENCARGADOS
5.1 – El Cliente otorga a Perk una autorización general para contratar Subencargados para Tratar los Datos Personales del Cliente. Además, el Cliente acepta que Perk pueda contratar a sus Afiliadas como Subencargados del Tratamiento.
5.2 – Perk:
celebrará un acuerdo por escrito con cada Subencargado que imponga obligaciones de protección de datos sustancialmente iguales a las establecidas en este DPA; y
seguirá siendo responsable del cumplimiento de las obligaciones de este DPA y de cualquier acto u omisión de un Subencargado que haga que Perk incumpla cualquiera de sus obligaciones bajo este DPA.
5.3 – Perk mantendrá una lista actualizada de sus Subencargados, tal y como se especifica en su Trust Center (la "Lista de Subencargados del Tratamiento").
5.4 – Perk puede actualizar la Lista de Subencargados de vez en cuando. Al menos treinta (30) días antes de que cualquier nuevo Subencargado trate los Datos Personales del Cliente, Perk añadirá dicho Subencargado a la Lista de Subencargados y lo notificará al Cliente por correo electrónico u otros medios especificados en la Orden de Compra.
5.5 – Si, en un plazo de treinta (30) días a partir de la notificación de un nuevo Subencargado, el Cliente notifica a Perk por escrito que se opone al nombramiento de dicho nuevo Subencargado por parte de Perk sobre la base de preocupaciones razonables de protección de datos, las partes discutirán dichas preocupaciones de buena fe.
5.6 – Si las partes no pueden llegar a una resolución mutuamente aceptable sobre la objeción del Cliente a un nuevo Subencargado, el Cliente, como único y exclusivo recurso, podrá terminar el Servicio afectado y Perk reembolsará la tarifa prepagada con respecto a cualquier período futuro de suministro del Servicio afectado.
6. SEGURIDAD
6.1 – Perk implementará y mantendrá medidas, procedimientos y prácticas técnicas y organizativas razonables y apropiadas, según corresponda a la naturaleza de los Datos Personales del Cliente, diseñadas para proteger la seguridad, confidencialidad, integridad y disponibilidad de los Datos Personales del Cliente y para proteger contra incidentes de seguridad, de acuerdo con las medidas de seguridad establecidas en el Trust Centre de Perk.
6.2 – Perk implementará y seguirá procedimientos para detectar y responder a incidentes de seguridad. Perk:
notificará al Cliente sin demora indebida y, en cualquier caso, a más tardar cuarenta y ocho (48) después de tener conocimiento del incidente que afecta al Cliente; y
hará esfuerzos razonables para identificar la causa del incidente de seguridad, mitigar los efectos y remediar la causa en la medida en que esté bajo el control razonable de Perk.
6.3 – A petición del Cliente y teniendo en cuenta la naturaleza del Tratamiento aplicable, Perk ayudará al Cliente proporcionándole, cuando esté disponible, la información razonablemente necesaria para que el Cliente cumpla con sus obligaciones de notificación de incidentes de seguridad en virtud de las Leyes de Protección de Datos. El Cliente es el único responsable de cumplir con las leyes de notificación de incidentes de seguridad aplicables al Cliente y de cumplir con cualquier obligación de notificar a las autoridades gubernamentales, a los Interesados afectados u otros terceros en relación con cualquier incidente de seguridad.
6.4 – El Cliente reconoce que la notificación de un incidente de seguridad por parte de Perk no es un reconocimiento por parte de Perk de su culpa o responsabilidad.
6.5 – Los incidentes de seguridad no incluyen intentos fallidos o actividades que no comprometan la seguridad de los Datos Personales del Cliente, incluidos los intentos fallidos de inicio de sesión, pings, escaneos de puertos, ataques de denegación de servicio u otros ataques de red a cortafuegos o sistemas en red.
6.6 – El Cliente es responsable de revisar la información que Perk pone a su disposición en relación con la seguridad de los datos y de tomar una decisión independiente sobre si los Servicios cumplen con los requisitos y obligaciones legales del Cliente en virtud de las Leyes de Protección de Datos.
7. EVALUACIÓN DE IMPACTO
A solicitud del Cliente y teniendo en cuenta la naturaleza del Tratamiento aplicable, en la medida en que dicha información esté disponible para Perk, Perk asistirá al Cliente en el cumplimiento de las obligaciones del Cliente en virtud de las Leyes de Protección de Datos para llevar a cabo una evaluación de impacto en la protección de datos o una evaluación de riesgos similar relacionada con el uso de los Servicios por parte del Cliente, incluyendo, si así lo requieren las Leyes de Protección de Datos, la asistencia al Cliente en las consultas con las autoridades gubernamentales competentes.
8. SOLICITUDES DE LOS INTERESADOS
8.1 – A petición del Cliente y teniendo en cuenta la naturaleza del Tratamiento aplicable, Perk asistirá al Cliente en el cumplimiento de las obligaciones del Cliente en virtud de las Leyes de Protección de Datos para responder a las solicitudes de los Interesados para ejercer sus derechos en virtud de las Leyes de Protección de Datos, si el Cliente no puede cumplir razonablemente dichas solicitudes de forma independiente (incluso mediante el uso de los Servicios).
8.2 – Si Perk recibe una solicitud de un Interesado en relación con los Datos Personales del Interesado, Perk lo notificará al Cliente y aconsejará al Interesado que envíe la solicitud al Cliente (pero no se comunicará de otro modo con el Interesado en relación con la solicitud, salvo en los casos en los que lo exijan las Leyes de Protección de Datos), y el Cliente será responsable de responder a dicha solicitud.
9. DEVOLUCIÓN O ELIMINACIÓN DE DATOS
9.1 – Durante la Vigencia, el Cliente puede, a través de sus Usuarios administrativos y de las funciones de acceso a la Plataforma, devolverse a sí mismo o eliminar los Datos Personales del Cliente.
9.2 – Tras la terminación del Contrato, Perk, de conformidad con sus obligaciones en virtud del Contrato, devolverá o eliminará (a elección del Cliente) todos los Datos Personales del Cliente de los sistemas de Perk. La eliminación se realizará de acuerdo con las prácticas de eliminación segura estándar de la industria. Perk emitirá un certificado de eliminación a petición del Cliente.
9.3 – Sin perjuicio de lo anterior, Perk puede conservar los Datos Personales del Cliente:
según lo exijan las Leyes de Protección de Datos; o
de acuerdo con sus políticas estándar de copia de seguridad o conservación de registros, siempre que, en cualquier caso, Perk (i) mantenga la confidencialidad de los Datos Personales del Cliente conservados y cumpla con las disposiciones aplicables de este DPA; y (ii) no siga Tratando los Datos Personales del Cliente conservados, excepto para los fines y la duración especificados en dichas Leyes de Protección de Datos aplicables.
10. AUDITORÍAS
10.1 – Perk mantendrá registros de sus actividades de Tratamiento de conformidad con las Leyes de Protección de Datos y, a petición del Cliente, pondrá a disposición del Cliente los registros razonablemente necesarios para demostrar el cumplimiento de las obligaciones de Perk en virtud de este DPA y de las Leyes de Protección de Datos.
10.2 – Perk describirá sus programas de auditoría y certificación de terceros (si los hubiera) y pondrá copias resumidas de sus informes de auditoría (cada uno, un "Informe de auditoría") a disposición del Cliente, previa solicitud por escrito del Cliente a intervalos razonables (con sujeción a obligaciones de confidencialidad). El Cliente puede compartir una copia de los Informes de Auditoría con las autoridades gubernamentales pertinentes según sea necesario si estas así lo solicitan. El Cliente acepta que cualquier derecho de auditoría otorgado por las Leyes de Protección de Datos será satisfecho por los Informes de Auditoría y por los procedimientos descritos en la Sección 10.3 (Auditoría del Cliente).
10.3 – Con sujeción a los términos de esta Sección 10.3, el Cliente tiene derecho, a expensas del Cliente, a realizar una auditoría de alcance y duración razonables de conformidad con un plan de auditoría acordado mutuamente con Perk que sea coherente con los Parámetros de Auditoría (una "Auditoría”). El Cliente puede ejercer su derecho de Auditoría:
en la medida en que la provisión de un Informe de Auditoría por parte de Perk no proporcione información suficiente para que el Cliente verifique el cumplimiento de Perk con este DPA o el cumplimiento de las partes con las Leyes de Protección de Datos;
según sea necesario para que el Cliente responda a una auditoría de una autoridad gubernamental o a un Interesado que ejerza sus derechos; o
en relación con un incidente de seguridad.
10.4 – Cada Auditoría debe cumplir con los siguientes parámetros ("Parámetros de Auditoría"):
ser realizada por un tercero independiente que suscribirá un acuerdo de confidencialidad con Perk;
se limitará en su alcance a los asuntos razonablemente necesarios para que el Cliente evalúe el cumplimiento de Perk con este DPA y el cumplimiento de las partes con las Leyes de Protección de Datos;
se producirá en una fecha y hora acordadas mutuamente y solo durante el horario comercial habitual de Perk;
no ocurrirá más de una vez al año (a menos que lo exijan las Leyes de Protección de Datos o en relación con un incidente de seguridad);
cubrirá únicamente los servicios controlados por Perk;
restringirá los hallazgos solo a los Datos Personales del Cliente; y
tratará cualquier resultado como Información Confidencial en la mayor medida permitida por la Ley de Protección de Datos.
11. TRANSFERENCIAS TRANSFRONTERIZAS
11.1 – Perk Trata los Datos Personales del Cliente:
en Irlanda, Alemania, España y Suiza, para Clientes con sede en el EEE;
adicionalmente, en los Estados Unidos, para Clientes con sede en los Estados Unidos; y
adicionalmente, en el Reino Unido, para Clientes con sede en el Reino Unido.
11.2 – Perk (y sus Afiliadas) pueden Tratar y transferir Datos Personales del Cliente a nivel mundial según sea necesario para prestar sus Servicios. Si Perk realiza una Transferencia Restringida, Perk implementará las medidas de seguridad adecuadas, que incluirán:
garantizar que cualquier país receptor se considere que proporciona un nivel adecuado de protección por parte de una autoridad competente; o
suscribir cláusulas contractuales tipo aprobadas por la Comisión Europea (o un instrumento equivalente aprobado por una autoridad competente) y realizar una evaluación de impacto de la transferencia.
12. CONDICIONES ESPECÍFICAS POR REGIÓN
12.1 – En la medida en que Perk Trate Datos Personales del Cliente en California, a efectos de comprender la aplicación y el cumplimiento con CCPA, las referencias hechas en este DPA a:
"propósito comercial", “fin comercial”, "información personal", "vender", "proveedor de servicios" y "compartir" tienen los significados que se les dan en la CCPA;
la definición de "Interesado" incluye "consumidor" según se define en la CCPA;
la definición de "Responsable" incluye "comercio" según se define en la CCPA; y
la definición de "Encargado" incluye "proveedor de servicios" según se define en la CCPA.
12.2 – El Cliente proporciona los Datos Personales del Cliente a Perk en virtud del Contrato para el fin comercial específico y limitado de prestar los Servicios, tal y como se describe en la Orden de Compra y en los Términos Clave de este DPA, así como para cumplir con el Contrato.
1S.3 – Perk cumplirá con sus obligaciones aplicables en virtud de la CCPA y proporcionará el mismo nivel de protección de la privacidad de los Datos Personales del Cliente que exige la CCPA.
12.4 – Perk reconoce que el Cliente tiene derecho a: (i) tomar medidas razonables y apropiadas en virtud de la Sección 10 (Auditorías) de este DPA para ayudar a garantizar que el uso de los Datos Personales del Cliente por parte de Perk sea coherente con las obligaciones del Cliente en virtud de la CCPA; (ii) recibir de Perk notificación y asistencia en virtud de la Sección 8 (Solicitudes de los Interesados) de este DPA con respecto a las solicitudes de los consumidores para ejercer los derechos en virtud de la CCPA; y (iii) previa notificación, tomar medidas razonables y apropiadas para detener y remediar el uso no autorizado de los Datos Personales del Cliente.
12.5 – Perk notificará al Cliente inmediatamente en caso de que determine que ya no puede cumplir con sus obligaciones en virtud de la CCPA.
12.6 – Perk no conservará, utilizará ni divulgará los Datos Personales del Cliente: (i) para ningún propósito, incluido un propósito comercial, que no sean los fines comerciales descritos en la Sección 12.2 anterior; o (ii) fuera de la relación comercial directa entre Perk y el Cliente, excepto en la medida en que lo permita la CCPA.
12.7 – Perk no venderá ni compartirá los Datos Personales del Cliente recibidos en virtud del Contrato.
12.8 – Perk no combinará los Datos personales del Cliente con otra información personal, excepto en la medida en que la CCPA permita a un proveedor de servicios hacerlo.