1Definiciones
A efectos de este Anexo:
«Legislación de Protección de Datos aplicable» significa las leyes de privacidad y protección de datos aplicables al tratamiento de Datos Personales en virtud del Contrato.
«Responsable del tratamiento» significa la persona u organización que determina los fines y los medios del tratamiento de Datos Personales, o el término equivalente en virtud de la legislación aplicable.
«Encargado del tratamiento» significa una persona u organización que trata Datos Personales en nombre de un Responsable del tratamiento, o el término equivalente en virtud de la legislación aplicable.
«Empresa» y «Proveedor de Servicios» tienen los significados que les atribuyen las leyes estatales de privacidad de EE. UU. aplicables, cuando proceda.
«Datos del Cliente» significa los datos enviados a los Servicios, almacenados en ellos, transmitidos a través de ellos o tratados de otro modo por ellos en nombre del Cliente.
«Datos Personales» significa la información relativa a una persona física identificada o identificable, u otra información definida como información personal, datos personales o un término equivalente en virtud de la Legislación de Protección de Datos aplicable.
«Tratamiento» significa cualquier operación realizada sobre Datos Personales, incluidas la recopilación, el registro, la organización, el almacenamiento, el acceso, la modificación, la recuperación, el uso, la transmisión, la divulgación, la limitación, la supresión o la destrucción de Datos Personales.
«Interesado» significa la persona física a la que se refieren los Datos Personales.
«Subencargado del tratamiento» significa un tercero contratado por 255 para tratar Datos Personales en nombre del Cliente en relación con los Servicios.
«Violación de la Seguridad de los Datos Personales» significa una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales tratados en virtud de este Anexo, o la comunicación o el acceso no autorizados a dichos datos, según se define en la Legislación de Protección de Datos aplicable.
2Funciones de las partes
El Cliente y 255 reconocen que sus respectivas funciones en materia de privacidad dependen del contexto en el que se traten los Datos Personales.
En relación con los Datos Personales que el Cliente envía a los Servicios o trata a través de ellos para sus propios fines comerciales:
- El Cliente actúa, por lo general, como Responsable del tratamiento o Empresa.
- 255 actúa, por lo general, como Encargado del tratamiento o Proveedor de Servicios en nombre del Cliente.
El Cliente determina los fines para los que se tratan los Datos Personales del Cliente y es responsable de garantizar que sus instrucciones cumplan la Legislación de Protección de Datos aplicable.
255 tratará dichos Datos Personales siguiendo las instrucciones documentadas del Cliente, incluso en la medida necesaria para prestar los Servicios en virtud del Contrato y de este Anexo.
255 puede actuar por separado como Responsable del tratamiento independiente respecto de determinada información tratada para sus propios fines comerciales legítimos, como la administración de cuentas, las relaciones directas con los clientes, la seguridad, la facturación, la prevención del fraude y el cumplimiento legal. Dicho tratamiento se rige por la Política de privacidad de 255 y por la legislación aplicable.
3Instrucciones del Cliente
El Cliente encarga a 255 que trate Datos Personales en la medida razonablemente necesaria para:
- Prestar los Servicios
- Operar 255 Business Platform
- Mantener las cuentas del Cliente
- Alojar y almacenar los Datos del Cliente
- Proporcionar la funcionalidad de CRM
- Facilitar las comunicaciones con los clientes
- Proporcionar funcionalidades de programación y de citas
- Ejecutar las automatizaciones configuradas
- Proporcionar las integraciones solicitadas por el Cliente
- Prestar soporte técnico y atención al cliente
- Mantener la seguridad
- Prevenir el fraude y el abuso
- Resolver incidencias técnicas
- Cumplir las obligaciones derivadas del Contrato
- Cumplir las obligaciones legales aplicables
El Cliente y 255 podrán acordar instrucciones documentadas adicionales.
Si 255 cree razonablemente que una instrucción del Cliente infringe la Legislación de Protección de Datos aplicable, 255 podrá notificarlo al Cliente y, cuando resulte legalmente apropiado, suspender el tratamiento afectado hasta que se resuelva la cuestión.
4Responsabilidades del Cliente
El Cliente es responsable de garantizar que su recopilación y tratamiento de Datos Personales a través de los Servicios cumplan la Legislación de Protección de Datos aplicable.
El Cliente declara y garantiza, según corresponda, que:
- Dispone de la autoridad adecuada para proporcionar Datos Personales a 255
- Ha proporcionado los avisos de privacidad exigidos por la ley
- Ha obtenido el consentimiento exigido por la ley
- Dispone de una base jurídica adecuada para el tratamiento
- Cumple las leyes de marketing y comunicaciones aplicables
- Atiende las solicitudes de exclusión aplicables
- Mantiene registros adecuados del consentimiento cuando se exija
- Proporciona instrucciones de tratamiento lícitas
- No da instrucciones a 255 para tratar Datos Personales de forma ilícita
El Cliente es responsable de determinar si los Servicios son adecuados para sus requisitos legales, normativos y sectoriales particulares.
5Detalles del tratamiento
La naturaleza y el alcance del tratamiento dependen de los Servicios seleccionados y configurados por el Cliente.
Objeto
El tratamiento de los Datos Personales necesario para prestar los Servicios solicitados por el Cliente.
Duración
Durante la vigencia del Contrato y cualquier período adicional durante el cual 255 esté autorizado o legalmente obligado a conservar Datos Personales.
Naturaleza del tratamiento
El tratamiento puede incluir:
- Recopilación
- Recepción
- Registro
- Organización
- Almacenamiento
- Recuperación
- Consulta
- Uso
- Transmisión
- Comunicación
- Sincronización
- Análisis
- Automatización
- Modificación
- Exportación
- Limitación
- Supresión
en función de los Servicios utilizados.
6Categorías de Interesados
En función del uso que el Cliente haga de los Servicios, los Interesados pueden incluir:
- Los clientes del Cliente
- Clientes potenciales
- Leads
- Contactos
- Visitantes del sitio web
- Participantes en citas
- Empleados
- Contratistas
- Usuarios autorizados
- Representantes de empresas
- Destinatarios de comunicaciones
- Otras personas cuyos Datos Personales trate lícitamente el Cliente a través de los Servicios
7Categorías de Datos Personales
En función de los Servicios utilizados y de la configuración del Cliente, los Datos Personales pueden incluir:
- Nombres
- Direcciones de correo electrónico
- Números de teléfono
- Información del negocio
- Datos de contacto
- Registros del CRM
- Información de leads
- Información de oportunidades
- Información sobre citas
- Historial de comunicaciones
- Datos de SMS y mensajería
- Comunicaciones por correo electrónico
- Envíos de formularios
- Notas
- Etiquetas
- Tareas
- Interacciones con clientes
- Identificadores de cuenta
- Información técnica y del dispositivo
- Información relacionada con la IP
- Información relacionada con transacciones
- Preferencias de marketing
- Registros de consentimiento
- Otros Datos Personales enviados por el Cliente
255 no exige al Cliente que proporcione categorías de Datos Personales que no sean necesarias para los Servicios.
8Datos Personales sensibles
El Cliente no debe enviar Datos Personales sensibles o especialmente protegidos salvo que:
- los Servicios aplicables estén diseñados y autorizados para tratar dicha información;
- el Cliente disponga de una base jurídica válida para ello;
- se hayan establecido todas las salvaguardias, avisos, acuerdos y consentimientos exigidos; y
- dicho tratamiento cumpla el Contrato y la Legislación de Protección de Datos aplicable.
El Cliente es responsable de determinar si se aplican a sus datos requisitos sectoriales o reforzados.
El uso de los Servicios no acredita, por sí solo, el cumplimiento de HIPAA, GLBA, FERPA ni de ningún otro marco normativo sectorial.
9Confidencialidad
255 garantizará que el personal autorizado para tratar Datos Personales del Cliente esté sujeto a obligaciones de confidencialidad adecuadas.
El acceso a los Datos Personales se limitará al personal y a los proveedores de servicios que necesiten dicho acceso para fines legítimos relacionados con la prestación, el mantenimiento, la protección o el soporte de los Servicios.
10Medidas de seguridad
255 mantendrá medidas técnicas y organizativas razonables y adecuadas destinadas a proteger los Datos Personales del Cliente frente al acceso, la divulgación, la alteración, la destrucción o la pérdida no autorizados o ilícitos.
En función de la naturaleza de los Servicios y de los sistemas implicados, las salvaguardias pueden incluir medidas relativas a:
- Controles de acceso
- Autenticación
- Autorización
- Gestión de credenciales
- Seguridad de la red
- Seguridad de las aplicaciones
- Cifrado, cuando proceda
- Registro y supervisión
- Seguridad de la infraestructura
- Copias de seguridad y recuperación
- Gestión de vulnerabilidades
- Actualizaciones de seguridad
- Gestión de incidentes
- Controles de acceso de los empleados
- Gestión de proveedores
- Continuidad del negocio
Las medidas de seguridad pueden evolucionar con el tiempo a medida que cambien las tecnologías, las amenazas y los Servicios.
255 no reducirá sustancialmente la seguridad general de los Servicios durante el período de suscripción aplicable sin una justificación adecuada.
11Acceso a los Datos Personales
255 limitará el acceso a los Datos Personales del Cliente a las personas y los Subencargados del tratamiento que razonablemente necesiten dicho acceso para:
- Prestar los Servicios
- Mantener la infraestructura
- Prestar soporte
- Investigar incidencias técnicas
- Mantener la seguridad
- Prevenir el abuso
- Cumplir las obligaciones legales
El acceso estará sujeto a requisitos adecuados de autorización y confidencialidad.
12Subencargados del tratamiento
El Cliente autoriza de forma general a 255 a contratar Subencargados del tratamiento en la medida necesaria para prestar los Servicios.
Los Subencargados del tratamiento pueden prestar servicios como:
- Alojamiento en la nube
- Infraestructura
- Servicios de bases de datos
- Comunicaciones
- Envío de correo electrónico
- Envío de SMS
- Procesamiento de pagos
- Analítica
- Seguridad
- Atención al cliente
- Autenticación
- Integraciones
- Otros servicios técnicos
255 exigirá que los Subencargados del tratamiento que traten Datos Personales del Cliente en su nombre estén sujetos a obligaciones de protección de datos adecuadas a la naturaleza de su tratamiento.
255 sigue siendo responsable de sus obligaciones en virtud de este Anexo respecto del tratamiento realizado por sus Subencargados del tratamiento, en la medida exigida por la Legislación de Protección de Datos aplicable.
13Lista de Subencargados del tratamiento
255 puede mantener una lista actualizada de los Subencargados del tratamiento aplicables en:
www.255adv.com/legal/subprocessors
La lista debe identificar, cuando proceda:
- El nombre del Subencargado del tratamiento
- La finalidad
- El tipo de servicio
- La ubicación o la región de tratamiento, cuando sea pertinente
255 no debe incluir a un proveedor como Subencargado del tratamiento a menos que dicho proveedor trate efectivamente Datos Personales del Cliente en nombre de 255.
14Cambios en los Subencargados del tratamiento
Cuando lo exijan la Legislación de Protección de Datos aplicable o los compromisos contractuales, 255 notificará adecuadamente los cambios sustanciales que afecten a los Subencargados del tratamiento.
Si el Cliente tiene un derecho legalmente reconocido a oponerse a un nuevo Subencargado del tratamiento, el Cliente puede plantear una objeción razonable en materia de protección de datos poniéndose en contacto con:
support@255adv.com
Las partes colaborarán de buena fe para atender las inquietudes legítimas.
15Integraciones de terceros seleccionadas por el Cliente
Los Servicios pueden permitir que el Cliente conecte aplicaciones, plataformas o servicios de terceros.
Cuando el Cliente decide de forma independiente habilitar una integración de terceros, el Cliente encarga a 255 que transmita o ponga a disposición los Datos Personales pertinentes en la medida necesaria para proporcionar dicha integración.
Los servicios independientes de terceros pueden tratar información conforme a sus propios términos y políticas de privacidad.
El Cliente es responsable de evaluar los servicios de terceros que decida conectar.
16Solicitudes de los Interesados
Teniendo en cuenta la naturaleza del tratamiento y la funcionalidad disponible a través de los Servicios, 255 prestará una asistencia razonable al Cliente para responder a las solicitudes aplicables de los Interesados cuando lo exija la Legislación de Protección de Datos aplicable.
Dichas solicitudes pueden incluir solicitudes relativas a:
- Acceso
- Rectificación
- Supresión
- Portabilidad
- Limitación
- Oposición
- Derechos de exclusión
Cuando un Interesado se ponga en contacto directamente con 255 en relación con Datos Personales tratados en nombre del Cliente, 255 podrá remitir la solicitud al Cliente, salvo que la legislación aplicable exija que 255 responda directamente.
El Cliente sigue siendo responsable de determinar la respuesta adecuada a las solicitudes relativas a Datos Personales controlados por el Cliente.
17Asistencia en materia de cumplimiento
Teniendo en cuenta la naturaleza del tratamiento y la información razonablemente disponible para 255, 255 prestará una asistencia razonable al Cliente en relación con las obligaciones de protección de datos aplicables cuando lo exija la ley.
Esto puede incluir asistencia en relación con:
- La seguridad
- Las Violaciones de la Seguridad de los Datos Personales
- Las solicitudes de los Interesados
- Las evaluaciones de impacto relativas a la protección de datos
- Las consultas a las autoridades de control
La asistencia que vaya más allá de la funcionalidad estándar del Servicio podrá estar sujeta a tarifas razonables cuando lo permitan el Contrato y la legislación aplicable.
18Violación de la Seguridad de los Datos Personales
255 mantendrá procedimientos destinados a identificar los incidentes de seguridad y a responder a ellos.
Si 255 tiene conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a Datos Personales del Cliente y respecto de la cual la Legislación de Protección de Datos aplicable exija notificarlo al Cliente, 255 lo notificará al Cliente sin dilación indebida.
Cuando esté razonablemente disponible, la notificación podrá incluir información relativa a:
- La naturaleza del incidente
- Las categorías de información afectada
- Las posibles consecuencias
- Las medidas adoptadas o propuestas
- La información de contacto pertinente
255 podrá facilitar la información por fases a medida que se disponga de más detalles.
La notificación de un incidente de seguridad no constituye un reconocimiento de culpa ni de responsabilidad.
El Cliente es responsable de determinar si la ley exige notificarlo a personas, autoridades reguladoras, clientes u otras partes, salvo que la legislación aplicable disponga otra cosa.
19Devolución y supresión de los datos
Tras la terminación o expiración de los Servicios aplicables, el Cliente puede perder el acceso a los Datos Personales del Cliente.
Cuando esté disponible, el Cliente debe exportar la información que desee conservar antes de la terminación de la cuenta.
Tras la terminación y con sujeción a la legislación aplicable, 255 suprimirá o devolverá los Datos Personales del Cliente de conformidad con:
- El Contrato
- La funcionalidad del Servicio
- Los plazos de conservación aplicables
- Las obligaciones legales
- Los requisitos de seguridad
- Los procedimientos de copia de seguridad
255 podrá conservar Datos Personales cuando lo exija o lo permita la legislación aplicable.
Los datos contenidos en copias de seguridad pueden permanecer hasta que se supriman o se sobrescriban de acuerdo con los procesos aplicables de conservación de copias de seguridad.
20Portabilidad y exportación de los datos
Cuando los Servicios lo admitan, el Cliente puede exportar determinados Datos del Cliente mediante la funcionalidad disponible.
El Cliente es responsable de realizar las exportaciones necesarias antes de dar por terminada su cuenta.
255 no garantiza que todas las categorías de información puedan exportarse en todos los formatos, salvo que así lo exijan expresamente la legislación aplicable o un acuerdo.
21Transferencias internacionales de datos
El Cliente reconoce que 255 y sus Subencargados del tratamiento autorizados pueden tratar Datos Personales en los Estados Unidos y en otras jurisdicciones.
Cuando una transferencia internacional requiera un mecanismo de transferencia legalmente reconocido, las partes utilizarán un mecanismo adecuado según lo exija la Legislación de Protección de Datos aplicable.
22Transferencias desde el Espacio Económico Europeo
Cuando se transfieran Datos Personales del Cliente sujetos al GDPR (Reglamento General de Protección de Datos, RGPD) desde el Espacio Económico Europeo a un país que no se beneficie de una decisión de adecuación aplicable, las partes utilizarán un mecanismo de transferencia adecuado cuando se exija.
Esto puede incluir las Cláusulas Contractuales Tipo aplicables de la Comisión Europea («CCT»).
Cuando las CCT sean legalmente exigibles, se incorporarán a este Anexo o se formalizarán por separado, según corresponda.
Las partes cooperarán razonablemente en relación con las medidas complementarias exigidas por la legislación aplicable.
23Transferencias desde el Reino Unido
Cuando se transfieran internacionalmente Datos Personales sujetos a la legislación de protección de datos del Reino Unido y se requiera un mecanismo de transferencia adecuado, las partes utilizarán un mecanismo aplicable legalmente reconocido.
Esto puede incluir el Anexo de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum) u otro mecanismo de transferencia aprobado, cuando corresponda.
24Leyes estatales de privacidad de EE. UU.
Cuando 255 trate Datos Personales en nombre del Cliente y la ley estatal de privacidad de EE. UU. aplicable considere al Cliente como Empresa o Responsable del tratamiento y a 255 como Proveedor de Servicios, Contratista o Encargado del tratamiento, 255 tratará dichos Datos Personales de forma coherente con los requisitos contractuales aplicables.
Cuando corresponda, 255 no:
- Venderá Datos Personales del Cliente a cambio de una contraprestación monetaria
- Conservará, utilizará ni divulgará Datos Personales del Cliente fuera de los fines permitidos por el Contrato y la legislación aplicable
- Combinará Datos Personales del Cliente con otra información cuando lo prohíba la legislación aplicable
255 tratará los Datos Personales del Cliente para los fines limitados y especificados descritos en el Contrato, en este Anexo y en las instrucciones documentadas del Cliente.
25Requisitos de privacidad de California
Cuando la California Consumer Privacy Act, modificada por la California Privacy Rights Act («CCPA/CPRA»), se aplique al tratamiento en virtud de este Anexo, las partes pretenden que 255 actúe como Proveedor de Servicios o Contratista, según corresponda, respecto de la Información Personal del Cliente tratada en nombre del Cliente.
255 tratará dicha Información Personal únicamente para los fines comerciales limitados y especificados permitidos por el Contrato, este Anexo y la legislación aplicable.
255 no venderá ni compartirá Información Personal del Cliente, en el sentido en que la legislación aplicable de California define dichos términos, salvo en la medida permitida por la ley y por las instrucciones documentadas del Cliente.
255 notificará al Cliente si determina que ya no puede cumplir las obligaciones aplicables en virtud de esta sección, cuando lo exija la ley.
El Cliente puede adoptar las medidas razonables y adecuadas permitidas por la legislación aplicable para contribuir a garantizar que 255 trate la Información Personal del Cliente de forma coherente con las obligaciones del Cliente.
26Auditorías e información sobre cumplimiento
Previa solicitud razonable y cuando lo exija la Legislación de Protección de Datos aplicable, 255 pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones como Encargado del tratamiento o Proveedor de Servicios.
Cuando lo exija la ley, 255 podrá permitir auditorías razonables, con sujeción a los siguientes elementos adecuados:
- Protecciones de confidencialidad
- Requisitos de seguridad
- Limitaciones del alcance
- Preaviso
- Requisitos de programación
- Protección de otros clientes
- Protección de la información confidencial de propiedad exclusiva
Las partes deben recurrir en primer lugar a la documentación, las certificaciones, los informes o los cuestionarios disponibles cuando estos satisfagan razonablemente el requisito aplicable.
27Solicitudes gubernamentales y legales
255 podrá divulgar Datos Personales cuando lo exijan la legislación aplicable, una orden judicial, una citación u otra solicitud gubernamental jurídicamente vinculante.
Cuando esté legalmente permitido y resulte apropiado, 255 podrá notificar al Cliente antes de divulgar Datos Personales del Cliente en respuesta a dicha solicitud.
255 podrá impugnar, cuando proceda, las solicitudes que considere razonablemente ilícitas o excesivas.
28Ausencia de venta de Datos Personales del Cliente
255 no adquiere la titularidad de los Datos Personales del Cliente por el mero hecho de tratarlos a través de los Servicios.
255 no venderá Datos Personales del Cliente a cambio de una contraprestación monetaria mientras actúe como Encargado del tratamiento o Proveedor de Servicios del Cliente.
Cualquier tratamiento independiente realizado por 255 como Responsable del tratamiento se rige por nuestra Política de privacidad y por la Legislación de Protección de Datos aplicable.
29Titularidad de los datos
En la relación entre el Cliente y 255, el Cliente conserva todos los derechos que posee sobre los Datos del Cliente.
Este Anexo no transfiere a 255 la titularidad de los Datos del Cliente.
El Cliente concede a 255 únicamente los derechos razonablemente necesarios para tratar los Datos del Cliente con el fin de prestar, proteger, mantener y dar soporte a los Servicios y cumplir las obligaciones legales aplicables.
30Información comercial confidencial
Los Datos del Cliente pueden contener información comercial confidencial además de Datos Personales.
255 tratará dicha información de acuerdo con las obligaciones de confidencialidad aplicables contenidas en el Contrato.
31Responsabilidad
La responsabilidad de cada parte derivada de este Anexo o relacionada con él está sujeta a las limitaciones y exclusiones de responsabilidad aplicables contenidas en el Contrato, salvo en la medida en que la Legislación de Protección de Datos aplicable prohíba dichas limitaciones.
32Vigencia y terminación
Este Anexo entra en vigor cuando se aplica al tratamiento en virtud de un Contrato entre el Cliente y 255.
Permanece en vigor mientras 255 trate Datos Personales del Cliente sujetos al Anexo.
Las disposiciones que, por su naturaleza, deban subsistir tras la terminación seguirán vigentes durante el tiempo necesario para cumplir las obligaciones legales o contractuales aplicables.
33Orden de prelación
En caso de conflicto en materia de protección de datos entre:
- la legislación imperativa aplicable;
- los mecanismos de transferencia legalmente exigidos;
- este Anexo; y
- el Contrato,
prevalecerá el requisito de mayor prioridad en la medida de dicho conflicto.
34Cambios en este Anexo
255 puede actualizar este Anexo para reflejar cambios en:
- La legislación aplicable
- Los requisitos normativos
- Los Servicios
- Las prácticas de seguridad
- Las actividades de tratamiento
- Los acuerdos con Subencargados del tratamiento
Los cambios sustanciales que afecten a los derechos de protección de datos del Cliente se comunicarán cuando lo exijan la legislación aplicable o los compromisos contractuales.
La fecha de «Última actualización» reflejará la revisión más reciente.
35Contacto
Las preguntas relativas a este Anexo, la privacidad, la seguridad o cuestiones de tratamiento de datos pueden dirigirse a:
255 Advertising Agency & Marketing LLC
Domicilio social
400 E Royal Lane, Suite 104
Irving, TX 75039
United States
Correo electrónico de privacidad y soporte
Sitio web
Centro de soporte
Apéndice 1: Detalles del tratamiento
En el Anexo de tratamiento de datos recomiendo que haya un Apéndice formal al final:
Elemento
Detalles
Responsable del tratamiento / Empresa
El Cliente de 255 correspondiente
Encargado del tratamiento / Proveedor de Servicios
255 Advertising Agency & Marketing LLC
Objeto
Tratamiento necesario para prestar los Servicios de 255 contratados
Duración
Duración del Contrato aplicable más la conservación permitida o exigida
Finalidad
Prestar, proteger, mantener, dar soporte y mejorar los Servicios contratados
Interesados
Clientes, leads, contactos, empleados, usuarios, visitantes del sitio web, participantes en citas y otras personas cuyos datos envíe el Cliente
Datos Personales
Información de contacto, datos del CRM, comunicaciones, citas, formularios, identificadores de cuenta, información sobre el consentimiento, datos técnicos y otra información enviada por el Cliente
Datos sensibles
Únicamente cuando se admitan y autoricen expresamente y estén legalmente permitidos
Operaciones de tratamiento
Recopilación, almacenamiento, organización, recuperación, transmisión, comunicación, automatización, modificación, exportación y supresión
Frecuencia
Continua o según la inicie o configure el Cliente
Conservación
Durante el período del Servicio y el plazo de conservación aplicable
Apéndice 2: Medidas técnicas y organizativas
No incluimos certificaciones de seguridad que no existan. Solo indicamos lo que 255 puede demostrar realmente.
Categorías que deben documentarse:
Control de acceso
Acceso basado en funciones, autenticación de cuentas, controles de acceso administrativo y restricción del acceso en función de las necesidades operativas, cuando se hayan implantado.
Protección de datos
Protección adecuada de los datos en tránsito y en reposo en función de la arquitectura y los servicios utilizados.
Seguridad de la infraestructura
Medidas de seguridad del alojamiento, la red, la infraestructura y el entorno proporcionadas directamente por 255 y por los proveedores de infraestructura aplicables.
Seguridad de las aplicaciones
Prácticas de desarrollo seguro, gestión de dependencias, corrección de vulnerabilidades y acceso a producción, cuando se hayan implantado.
Registro y supervisión
Registro y supervisión operativos y de seguridad adecuados.
Copias de seguridad y recuperación
Procedimientos de copia de seguridad y recuperación adecuados a los Servicios.
Respuesta a incidentes
Procesos para investigar, contener, corregir y comunicar los incidentes de seguridad aplicables.
Gestión de proveedores
Evaluación razonable y controles contractuales para los Subencargados del tratamiento que manejan Datos Personales del Cliente.
Seguridad del personal
Restricciones de confidencialidad y de acceso para el personal con acceso a Datos Personales del Cliente.