Anexo de procesamiento de datos.

1. Definiciones

2. Keni como Procesador o Proveedor de Servicios

2.1 Rol de las Partes

Con respecto a los Datos Cubiertos, el Cliente es el Controlador o Negocio, y Keni actúa como Procesador o Proveedor de Servicios. Keni procesará los Datos Cubiertos únicamente de acuerdo con las instrucciones documentadas del Cliente según se describe en este DPA y en el Acuerdo Subyacente.

2.2 Obligaciones del Cliente

El Cliente determina los propósitos y medios del Procesamiento y representa y garantiza que:

• •(a) ha proporcionado todos los avisos requeridos y obtenido todos los consentimientos y bases legales para el Procesamiento de Datos Cubiertos por Keni;
• •(b) la transferencia de Datos Cubiertos a Keni cumple con las Leyes de Protección de Datos Aplicables; y
• •(c) notificará a Keni sin demora indebida cualquier solicitud de un Sujeto de Datos que requiera la asistencia de Keni para responder.

2.3 Obligaciones de Keni

Keni acepta:

• •(a) Procesar los Datos Cubiertos únicamente según las instrucciones del Cliente y solo cuando sea necesario para prestar los Servicios;
• •(b) asegurar que las personas autorizadas para Procesar Datos Cubiertos estén sujetas a obligaciones de confidencialidad;
• •(c) mantener un programa integral de seguridad de la información con salvaguardas administrativas, técnicas y físicas apropiadas a la sensibilidad de los datos;
• •(d) asistir al Cliente en la respuesta a solicitudes de Sujetos de Datos y en el cumplimiento de las obligaciones de notificación de brechas aplicables;
• •(e) poner a disposición documentación relevante o informes de auditoría de terceros (p. ej., ISO 27001, SOC 2) para demostrar el cumplimiento previa solicitud por escrito; y
• •(f) al terminar el Acuerdo Subyacente, eliminar o devolver todos los Datos Cubiertos, excepto cuando lo requiera la ley.

3. Transferencias Transfronterizas de Datos

4. Sub-Procesadores

El Cliente autoriza a Keni a contratar Sub-Procesadores para apoyar la prestación de los Servicios. Una lista actual de Sub-Procesadores aprobados se mantiene en:

Keni deberá:

• •(a) notificar al Cliente cualquier cambio previsto en esta lista (mediante publicación o correo electrónico a legal@getkeni.com);
• •(b) asegurar que todos los Sub-Procesadores estén sujetos a acuerdos por escrito que impongan obligaciones equivalentes a las de este DPA; y
• •(c) seguir siendo responsable del cumplimiento de cada Sub-Procesador.

Si el Cliente objeta razonablemente a un Sub-Procesador dentro de los 30 días posteriores a la notificación, Keni puede trabajar con el Cliente de buena fe para resolver la objeción. Sin embargo, si la resolución no es factible, Keni puede suspender o terminar los Servicios afectados.

5. Medidas de Seguridad y Respuesta a Incidentes

5.1 Medidas de Seguridad

Keni implementará medidas técnicas y organizativas apropiadas para proteger los Datos Cubiertos contra destrucción accidental o ilícita, pérdida, alteración, divulgación o acceso no autorizado. Estas medidas incluyen, entre otras:

• •Cifrado en tránsito y en reposo
• •Control de acceso y autenticación
• •Evaluaciones de seguridad regulares y pruebas de penetración
• •Prácticas de minimización y seudonimización de datos
• •Planes de continuidad de negocio y recuperación ante desastres

5.2 Incidentes de Seguridad

Keni notificará al Cliente sin demora indebida al tener conocimiento de una brecha de datos confirmada que involucre Datos Cubiertos. Dicha notificación incluirá, en la medida disponible, la naturaleza de la brecha, las categorías de datos afectados y las medidas de remediación tomadas.

6. Términos Específicos de CCPA

En la medida en que Keni Procese Información Personal de Consumidores de California por cuenta del Cliente, Keni deberá:

• •(a) actuar como Proveedor de Servicios según lo definido por la CCPA;
• •(b) no Vender ni Compartir dicha Información Personal;
• •(c) no retener, usar ni divulgar Información Personal para ningún propósito que no sea prestar los Servicios o según lo permita la CCPA;
• •(d) proporcionar el mismo nivel de protección de privacidad que el exigido a los Negocios por la CCPA; y
• •(e) notificar al Cliente si Keni determina que ya no puede cumplir con sus obligaciones bajo la CCPA.

7. Términos Específicos de GDPR

Para el Procesamiento sujeto al GDPR o UK GDPR:

• •(a) Keni asegurará que todo el Procesamiento cumpla con las obligaciones del Artículo 28 del GDPR;
• •(b) el Cliente autoriza a Keni a designar Sub-Procesadores de acuerdo con la Sección 4;
• •(c) Keni implementará la protección de datos por diseño y por defecto;
• •(d) Keni mantendrá registros de las actividades de Procesamiento; y
• •(e) Keni asistirá al Cliente con Evaluaciones de Impacto en la Protección de Datos (DPIA) y consultas previas con autoridades supervisoras cuando sea necesario.

8. Keni como Controlador de los Datos de la Cuenta del Cliente

El Cliente reconoce que con respecto a los Datos de la Cuenta del Cliente, Keni actúa como Controlador independiente, no como Controlador conjunto con el Cliente. Keni procesa los Datos de la Cuenta del Cliente para:

• •(a) gestionar y mantener la relación con el Cliente;
• •(b) realizar la facturación y administración de cuentas;
• •(c) autenticar usuarios y asegurar las cuentas;
• •(d) detectar, prevenir o investigar fraude y abuso; y
• •(e) cumplir con obligaciones legales y políticas internas.

9. Derechos de Auditoría

10. Ley Aplicable y Jurisdicción

11. Disposiciones Varias

11.1 Orden de Precedencia

En caso de conflicto entre este DPA y el Acuerdo Subyacente, los términos de este DPA prevalecerán.

11.2 Severabilidad

Si cualquier disposición es declarada inválida o inaplicable, las disposiciones restantes permanecerán en plena vigencia y efecto.

11.3 Avisos

Todas las comunicaciones bajo este DPA se dirigirán a:

11.4 Acuerdo Completo

Este DPA reemplaza todas las discusiones previas relacionadas con el procesamiento de datos entre las partes y constituye el acuerdo completo con respecto al tema herein.