Acuerdo de tratamiento de datos (DPA)

1. Objeto, marco y articulación contractual

Objeto del Acuerdo. El presente Acuerdo tiene por objeto definir las condiciones en las que el Encargado del tratamiento se compromete a llevar a cabo, por cuenta del Responsable, las operaciones de tratamiento de datos de carácter personal descritas en el Anexo 1, en el marco de la prestación del Servicio nullbot. Precisa las obligaciones y los derechos respectivos de las Partes con arreglo al artículo 28 del RGPD y, más ampliamente, a las disposiciones aplicables en materia de protección de datos de carácter personal.

Marco jurídico. El presente Acuerdo se inscribe en el marco del RGPD, en particular de sus artículos 28 (subcontratación), 32 (seguridad del tratamiento), 33 y 34 (violaciones de datos), 35 (evaluación de impacto), 36 (consulta previa) y 44 y siguientes (transferencias de datos a países terceros), así como de la ley n.° 78-17 de 6 de enero de 1978 modificada, relativa a la informática, los ficheros y las libertades.

Articulación contractual y jerarquía de los documentos. El presente Acuerdo constituye un anexo del contrato de servicios celebrado entre las Partes y forma parte integrante del mismo. Prevalece sobre cualquier estipulación contraria de los demás documentos contractuales únicamente en lo relativo al tratamiento de datos de carácter personal. En caso de contradicción entre el presente Acuerdo y las Condiciones generales de venta, las Condiciones generales de uso o la Política de privacidad, las estipulaciones del presente Acuerdo prevalecen únicamente para las cuestiones relativas a la protección de datos de carácter personal.

Aceptación. La suscripción al Servicio y su utilización implican la aceptación plena y total del presente Acuerdo por parte del Cliente actuando en calidad de Responsable.

2. Definiciones

Los términos siguientes, cuando se emplean con mayúscula inicial en el presente Acuerdo, tienen el significado indicado a continuación. Los conceptos de « datos de carácter personal », « tratamiento », « responsable del tratamiento », « encargado del tratamiento », « interesado » y « violación de la seguridad de los datos de carácter personal » se entienden en el sentido del artículo 4 del RGPD.

• «Servicio» designa el software nullbot proporcionado en modo SaaS por el Encargado, incluidos sus agentes de inteligencia artificial, sus interfaces, sus funcionalidades y sus componentes asociados.
• «Agente» designa a todo agente de inteligencia artificial implementado dentro del Servicio para ejecutar tareas y acciones por cuenta del Cliente, conforme a las configuraciones e instrucciones definidas por este.
• « Contenido del Cliente » designa el conjunto de datos, archivos, instrucciones, solicitudes, documentos e información, incluidos los datos de carácter personal, que el Cliente envía a los Agentes o incorpora al Servicio.
• «Datos de carácter personal» designa toda información relativa a una persona física identificada o identificable, tratada por el Encargado por cuenta del Responsable en el marco del presente Acuerdo.
• «Tratamiento» designa cualquier operación o conjunto de operaciones realizadas sobre datos de carácter personal, como la recogida, el registro, la organización, la estructuración, la conservación, la adaptación, la modificación, la extracción, la consulta, la utilización, la comunicación, la interconexión, la limitación, la supresión o la destrucción.
• «Responsable» o «Responsable del tratamiento» designa al Cliente, que determina los fines y los medios del tratamiento.
• «Encargado del tratamiento» designa a MARA LABS, quien trata los datos de carácter personal por cuenta del Responsable.
• «Subencargado ulterior» designa a todo tercero al que recurra el Encargado para realizar, en todo o en parte, actividades de tratamiento específicas por cuenta del Responsable.
• «Interesado» designa a la persona física identificada o identificable a la que se refieren los datos de carácter personal tratados.
• « Violación de la seguridad de los datos de carácter personal » o « Violación » designa una violación de la seguridad que ocasione, de forma accidental o ilícita, la destrucción, la pérdida, la alteración o la divulgación no autorizada de datos de carácter personal transmitidos, conservados o tratados de otra manera, o el acceso no autorizado a dichos datos.
• «CCT» designa las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea mediante su Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021, que regulan las transferencias de datos de carácter personal a terceros países.
• «RGPD» designa el Reglamento (UE) 2016/679, de 27 de abril de 2016.

3. Calidad y roles de las partes

Calidad del Cliente. El Cliente actúa en calidad de responsable del tratamiento en el sentido del artículo 4, apartado 7, del RGPD. Determina por sí solo las finalidades y los medios de los tratamientos llevados a cabo con motivo del uso del Servicio. Le corresponde, a este título, garantizar la licitud de los tratamientos que confía al Encargado del tratamiento, en particular disponer de una base jurídica adecuada en el sentido del artículo 6 del RGPD y, en su caso, de las garantías previstas en el artículo 9, así como haber cumplido sus obligaciones de información frente a los interesados.

Calidad del Encargado del tratamiento. MARA LABS actúa en calidad de encargado del tratamiento en el sentido del artículo 4, apartado 8, del RGPD. El Encargado trata los datos de carácter personal exclusivamente por cuenta del Responsable y sobre la base de sus instrucciones documentadas, de conformidad con el presente Acuerdo.

Garantías del Encargado. El Encargado declara ofrecer garantías suficientes en cuanto a la aplicación de medidas técnicas y organizativas adecuadas, de manera que el tratamiento cumpla los requisitos del RGPD y garantice la protección de los derechos de los interesados, de conformidad con el artículo 28, apartado 1, del RGPD.

Responsabilidades propias del Cliente. El Cliente es el único responsable de:

• de la licitud, la lealtad y la transparencia de los tratamientos que lleve a cabo a través del Servicio;
• de la exactitud, la calidad y la pertinencia del Contenido del Cliente enviado a los Agentes;
• del cumplimiento de sus obligaciones de información y, en su caso, de recabar el consentimiento de los interesados;
• de la definición del plazo de conservación adecuado de los datos y de la minimización de los datos remitidos al Servicio;
• de la configuración y la supervisión de los Agentes, así como de las acciones ejecutadas por estos en su nombre.

4. Descripción y alcance del tratamiento

Alcance. El Encargado del tratamiento está autorizado a tratar, por cuenta del Responsable, los datos de carácter personal necesarios para la prestación del Servicio, dentro de los límites y según las modalidades descritas en el Anexo 1 del presente Acuerdo, el cual precisa la naturaleza y la finalidad del tratamiento, su duración, el tipo de datos de carácter personal afectados y las categorías de interesados, de conformidad con el artículo 28, apartado 3, del RGPD.

Determinación por el Responsable. El alcance exacto del tratamiento resulta de las configuraciones, parametrizaciones y usos que el Cliente implementa dentro del Servicio, así como del Contenido del Cliente que somete a los Agentes. El Responsable reconoce que le corresponde definir y limitar dicho alcance, dado que el Encargado del tratamiento no tiene control sobre el contenido de los datos que el Cliente decide someter.

Evolución. El Anexo 1 podrá completarse o actualizarse para tener en cuenta la evolución del Servicio o de los usos del Cliente, sin que dicha actualización pueda ampliar el tratamiento más allá de lo necesario para la prestación del Servicio acordada entre las Partes.

5. Instrucciones documentadas del Responsable

Tratamiento sobre instrucciones documentadas. De conformidad con el artículo 28, apartado 3, letra a), del RGPD, el Encargado solo trata los datos de carácter personal siguiendo instrucciones documentadas del Responsable, incluso en lo que respecta a las transferencias de datos de carácter personal a un tercer país o a una organización internacional, salvo que esté obligado a ello en virtud del derecho de la Unión o del derecho del Estado miembro que le sea aplicable. En tal caso, el Encargado informará al Responsable de dicha obligación jurídica antes del tratamiento, salvo que el derecho en cuestión prohíba tal información por razones importantes de interés público.

Forma de las instrucciones. Constituyen instrucciones documentadas del Responsable: el presente Acuerdo y sus anexos, el contrato de servicios, las configuraciones realizadas por el Cliente dentro del Servicio, el Contenido del Cliente sometido a los Agentes, así como toda instrucción adicional formalizada por escrito (incluso por correo electrónico o a través de la interfaz del Servicio) y dirigida al Encargado del tratamiento.

Instrucciones manifiestamente ilícitas. El Encargado del tratamiento informará inmediatamente al Responsable si, en su opinión, una instrucción constituye una infracción del RGPD o de otras disposiciones del derecho de la Unión o del derecho de los Estados miembros relativas a la protección de datos. En tal caso, el Encargado del tratamiento tendrá derecho a suspender la ejecución de la instrucción en cuestión hasta su confirmación o modificación por el Responsable.

Ausencia de uso para fines propios. El Encargado del Tratamiento se prohíbe tratar los datos de carácter personal con fines distintos a los necesarios para la ejecución del presente Acuerdo y la prestación del Servicio, y en particular explotarlos por cuenta propia o por cuenta de terceros.

6. Confidencialidad de las personas autorizadas a tratar los datos

Compromiso de confidencialidad. De conformidad con el artículo 28, apartado 3, letra b), del RGPD, el Encargado del tratamiento se asegurará de que las personas autorizadas a tratar los datos de carácter personal se comprometan a respetar la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad.

Habilitación y limitación de los accesos. El Encargado del tratamiento se asegura de que el acceso a los datos de carácter personal esté estrictamente limitado a los miembros de su personal y a las personas autorizadas que necesiten acceder a ellos para el desempeño de sus funciones, conforme al principio de necesidad de conocer y de mínimo privilegio.

Concienciación y formación. El Encargado del Tratamiento vela por que las personas autorizadas a tratar los datos de carácter personal reciban la formación y la concienciación necesarias en materia de protección de datos de carácter personal y de seguridad de la información.

Permanencia del compromiso. La obligación de confidencialidad subsiste tras el cese de funciones de las personas afectadas y tras la finalización del presente Acuerdo.

7. Medidas de seguridad (artículo 32)

Obligación de seguridad. De conformidad con el artículo 28, apartado 3, letra c), y el artículo 32 del RGPD, el Encargado implementa las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad acorde al riesgo, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y las finalidades del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas.

Criterios de apreciación. Las medidas implementadas tienen en cuenta, en la medida necesaria:

• de la seudonimización y el cifrado de los datos de carácter personal;
• medios que permitan garantizar la confidencialidad, la integridad, la disponibilidad y la resiliencia constantes de los sistemas y de los servicios de tratamiento;
• medios para restablecer la disponibilidad de los datos de carácter personal y el acceso a los mismos en plazos adecuados en caso de incidente físico o técnico;
• de un procedimiento destinado a probar, analizar y evaluar regularmente la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Detalle de las medidas. Las medidas técnicas y organizativas implementadas por el Encargado del tratamiento se describen en el Anexo 2 del presente Acuerdo. Estas medidas podrán evolucionar con el tiempo, siempre que no se reduzca el nivel de seguridad.

Reparto de responsabilidades. El Responsable sigue siendo responsable de la implementación de las medidas de seguridad que corresponden a su propio ámbito de control, en particular la gestión de las credenciales y autorizaciones de sus usuarios, la seguridad de sus propios sistemas de información y la minimización de los datos enviados al Servicio.

8. Recurso a subencargados del tratamiento

Autorización general. De conformidad con el artículo 28, apartados 2 y 4, del RGPD, el Responsable autoriza de manera general al Encargado a recurrir a subencargados ulteriores para la ejecución de actividades de tratamiento específicas necesarias para la prestación del Servicio. La lista de los subencargados ulteriores autorizados en la fecha del presente Acuerdo figura en el Anexo 3.

Información previa y derecho de oposición. El Encargado informa al Responsable de cualquier cambio previsto relativo a la incorporación o sustitución de un subencargado, por cualquier medio apropiado (en particular mediante la publicación de una actualización del Anexo 3 e información en el sitio o dentro del Servicio), dando así al Responsable la posibilidad de formular objeciones frente a dichos cambios en un plazo razonable. En caso de objeción legítima y motivada del Responsable, las Partes se esforzarán por encontrar una solución. A falta de solución, el Responsable podrá resolver la parte del Servicio afectada por el recurso al subencargado litigioso, en las condiciones previstas en el contrato.

Obligaciones impuestas a los subencargados ulteriores. De conformidad con el artículo 28, apartado 4, del RGPD, cuando el Encargado recurra a un subencargado ulterior, le impondrá, mediante contrato u otro acto jurídico, las mismas obligaciones en materia de protección de datos que las establecidas en el presente Acuerdo, en particular la obligación de ofrecer garantías suficientes en cuanto a la aplicación de medidas técnicas y organizativas apropiadas.

Responsabilidad. El Encargado del tratamiento sigue siendo plenamente responsable ante el Responsable del tratamiento del cumplimiento, por el subencargado ulterior, de sus obligaciones en materia de protección de datos. Cuando el subencargado ulterior no cumpla sus obligaciones, el Encargado del tratamiento sigue siendo plenamente responsable ante el Responsable del tratamiento del cumplimiento por el subencargado ulterior de dichas obligaciones.

9. Asistencia para el ejercicio de los derechos de los interesados

Obligación de asistencia. De conformidad con el artículo 28, apartado 3, letra e), del RGPD, el Encargado ayuda al Responsable, mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, a cumplir con su obligación de dar respuesta a las solicitudes que le presenten los interesados con el fin de ejercer sus derechos.

Derechos afectados. La asistencia se refiere al conjunto de derechos previstos en el capítulo III del RGPD, en particular el derecho de acceso, de rectificación, de supresión, de limitación del tratamiento, de portabilidad de los datos, así como el derecho de oposición.

Transmisión de las solicitudes. Si un interesado dirige directamente al Encargado del tratamiento una solicitud de ejercicio de sus derechos relativa a un tratamiento realizado por cuenta del Responsable, el Encargado del tratamiento transmite sin demora dicha solicitud al Responsable y se abstiene de responderla él mismo, salvo instrucción contraria del Responsable.

Medios puestos a disposición. En la medida en que el Servicio lo permita, el Encargado pone a disposición del Responsable las funcionalidades y herramientas que le permiten responder a las solicitudes de los interesados.

10. Asistencia en materia de seguridad, violaciones, evaluaciones de impacto (EIPD) y consulta previa

Obligación general de asistencia. De conformidad con el artículo 28, apartado 3, letra f), del RGPD, el Encargado del tratamiento asiste al Responsable para garantizar el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone el Encargado del tratamiento.

Seguridad del tratamiento (artículo 32). El Encargado del tratamiento asiste al Responsable en el cumplimiento de los requisitos de seguridad establecidos en el artículo 32 del RGPD, en particular comunicándole la información relativa a las medidas técnicas y organizativas implementadas.

Notificación de violaciones (artículos 33 y 34). El Encargado asiste al Responsable en el cumplimiento de sus obligaciones de notificación de una violación de datos de carácter personal a la autoridad de control y, en su caso, de comunicación de dicha violación a los interesados, en las condiciones previstas en el apartado «Notificación de las violaciones de datos de carácter personal» del presente Acuerdo.

Evaluación de impacto (artículo 35). El Encargado del tratamiento asiste al Responsable, cuando sea necesario y en la medida de la información de la que disponga, en la realización de una evaluación de impacto relativa a la protección de datos (EIPD) sobre los tratamientos efectuados mediante el Servicio.

Consulta previa (artículo 36). El Encargado asiste al Responsable, en su caso, en el marco de la consulta previa a la autoridad de control prevista en el artículo 36 del RGPD.

Coste de la asistencia. La asistencia prevista en este apartado se presta teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone el Encargado. Cuando las solicitudes de asistencia excedan de lo razonablemente incluido en el Servicio, el Encargado podrá facturar al Responsable los costes razonables en que incurra por ello, previa información al respecto.

11. Notificación de violaciones de datos de carácter personal

Información al Responsable. El Encargado notifica al Responsable toda violación de datos de carácter personal a la mayor brevedad posible tras tener conocimiento de ella, con el fin de permitir al Responsable cumplir, en su caso, con su obligación de notificación a la autoridad de control en el plazo de setenta y dos (72) horas previsto en el artículo 33 del RGPD.

Contenido de la notificación. En la medida de la información de que dispone, el Encargado del tratamiento comunica al Responsable, en su caso de forma escalonada:

• la descripción de la naturaleza de la violación, incluyendo, si es posible, las categorías y el número aproximado de personas afectadas y de registros afectados;
• las consecuencias probables de la vulneración;
• las medidas adoptadas o propuestas para remediar la violación y, en su caso, atenuar sus consecuencias negativas;
• los datos de contacto de un punto de contacto ante el cual se puede obtener información adicional.

Cooperación. El Encargado del tratamiento coopera con el Responsable y adopta las medidas razonables para ayudar en la investigación, la limitación y la resolución de la violación. Salvo obligación legal en contrario, el Encargado del tratamiento no realizará ninguna notificación a la autoridad de control ni a los interesados por cuenta del Responsable, salvo instrucción expresa de este último.

12. Transferencias fuera de la Unión Europea

Principio. El Encargado del tratamiento no realizará ninguna transferencia de datos de carácter personal a un país tercero a la Unión Europea o a una organización internacional sin haber informado previamente al Responsable y sin haber implementado las garantías adecuadas previstas en el capítulo V del RGPD.

Garantías apropiadas. Algunos subencargados ulteriores a los que recurre el Encargado están establecidos fuera del Espacio Económico Europeo, en particular en los Estados Unidos. Las transferencias a estos subencargados ulteriores se rigen por las Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea en su Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021, y, en su caso, por cualquier otro mecanismo de transferencia reconocido como válido (en particular, decisión de adecuación o certificación en virtud de un marco de protección de datos reconocido).

Medidas adicionales. Cuando sea necesario, el Encargado aplica, o vela por que los subencargados correspondientes apliquen, medidas adicionales apropiadas (técnicas, organizativas y contractuales) para garantizar un nivel de protección de los datos de carácter personal sustancialmente equivalente al garantizado dentro de la Unión Europea.

Información al Responsable. A petición de este, el Encargado del Tratamiento comunicará al Responsable la información relativa a las garantías establecidas para regular las transferencias. La lista de subencargados posteriores y su ubicación figuran en el Anexo 3.

13. Auditorías e inspecciones

Puesta a disposición de la información. De conformidad con el artículo 28, apartado 3, letra h), del RGPD, el Encargado pone a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en el artículo 28 del RGPD y para permitir la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor por él designado, y contribuye a dichas auditorías.

Modalidades de la auditoría. El Responsable podrá, a su cargo, hacer que se realice una auditoría del cumplimiento por parte del Encargado de sus obligaciones en virtud del presente Acuerdo, en las siguientes condiciones:

• la auditoría se realiza sobre la base de un preaviso escrito razonable, que no podrá ser inferior a treinta (30) días naturales, salvo en caso de violación de datos comprobada o de solicitud de una autoridad de control;
• la auditoría se lleva a cabo durante las horas y días hábiles y de manera que no perturbe de forma desproporcionada la actividad del Encargado;
• la auditoría se limita a una (1) vez por período de doce (12) meses, salvo circunstancias excepcionales (violación comprobada, solicitud de una autoridad de control);
• el auditor designado por el Responsable no debe ser un competidor del Encargado del tratamiento y debe estar sujeto a una obligación de confidencialidad;
• las constataciones e informaciones obtenidas con motivo de la auditoría son estrictamente confidenciales.

Documentación y certificaciones. El Encargado del tratamiento podrá cumplir su obligación de demostrar la conformidad poniendo a disposición del Responsable la documentación pertinente, los informes de auditoría, certificaciones o acreditaciones de que disponga, cuando dichos elementos permitan justificar razonablemente el cumplimiento de sus obligaciones.

Costes. Los costes relacionados con la realización de la auditoría corren por cuenta del Responsable. El tiempo razonablemente dedicado por el Encargado del tratamiento a la asistencia y al acompañamiento de la auditoría podrá facturarse al Responsable, previa información, cuando exceda de lo razonablemente incluido en el Servicio.

14. Destino de los datos al finalizar el tratamiento

Elección del Responsable. De conformidad con el artículo 28, apartado 3, letra g), del RGPD, al término de la prestación de servicios relativa al tratamiento, el Encargado, según la elección del Responsable, suprimirá o devolverá todos los datos de carácter personal al Responsable y destruirá las copias existentes, salvo que el Derecho de la Unión o el Derecho del Estado miembro exija la conservación de los datos de carácter personal.

Plazos. El Responsable dispone de un plazo razonable, que no podrá ser inferior a treinta (30) días naturales a contar desde el término de la prestación, para ejercer su elección de restitución o supresión. A falta de instrucción del Responsable a la expiración de dicho plazo, el Encargado del tratamiento procederá a la supresión de los datos de carácter personal.

Condiciones de restitución. En caso de restitución, los datos se devuelven al Responsable en un formato estructurado y de uso habitual, en la medida de las funcionalidades de exportación del Servicio.

Supresión. La supresión se realiza en un plazo razonable, incluso ante los subencargados ulteriores implicados, y afecta a las copias existentes, sin perjuicio de las obligaciones legales de conservación y de las copias de seguridad sujetas a un ciclo de borrado automático conforme a una rotación determinada.

Certificación. A petición del Responsable, el Encargado certifica por escrito la supresión efectiva de los datos de carácter personal.

15. Responsabilidad, garantía y reparto entre las partes

Principio de responsabilidad. Cada Parte responde de los daños causados por el tratamiento cuando no haya respetado las obligaciones del RGPD que le incumben específicamente o cuando haya actuado al margen de las instrucciones lícitas del Responsable o en contra de ellas, de conformidad con el artículo 82 del RGPD.

Responsabilidad del Encargado del tratamiento. El Encargado del tratamiento solo será responsable de los daños causados por el tratamiento derivados del incumplimiento de sus propias obligaciones en virtud del presente Acuerdo o de las obligaciones que le incumben específicamente como encargado del tratamiento en el sentido del RGPD.

Responsabilidad del Responsable. El Responsable garantiza al Encargado frente a cualquier reclamación, acción o solicitud de terceros, incluidos los interesados y las autoridades de control, derivada de un incumplimiento por parte del Responsable de sus propias obligaciones, en particular en materia de licitud de los tratamientos, información a los interesados, base jurídica, minimización de datos y licitud del Contenido del Cliente sometido a los Agentes.

Limitación de responsabilidad. Las limitaciones y exclusiones de responsabilidad previstas en las Condiciones generales de venta se aplican al presente Acuerdo, en la medida permitida por el derecho aplicable y sin perjuicio de las disposiciones imperativas del RGPD relativas a la reparación de los daños sufridos por los interesados.

16. Duración y resolución del acuerdo

Duración. El presente Acuerdo entra en vigor en la fecha de aceptación por el Cliente y permanece vigente durante toda la duración del contrato de servicios en virtud del cual el Encargado trata datos de carácter personal por cuenta del Responsable.

Carácter accesorio. El presente Acuerdo constituye un accesorio del contrato de servicios. Finaliza automáticamente al término del contrato de servicios, sin perjuicio de las estipulaciones relativas al destino de los datos al término del tratamiento y de las obligaciones cuya naturaleza implica que sobrevivan a la finalización del Acuerdo (en particular la confidencialidad).

Supervivencia de determinadas obligaciones. Las obligaciones de confidencialidad, de supresión o de restitución de los datos y de cooperación en caso de solicitud de una autoridad de control sobreviven a la finalización del presente Acuerdo durante el tiempo necesario para su ejecución.

17. Disposiciones varias

Jerarquía de los documentos. En caso de contradicción entre las disposiciones del presente Acuerdo y las de los demás documentos contractuales relativos al tratamiento de datos de carácter personal, prevalecerán las disposiciones del presente Acuerdo. Para cualquier cuestión no relacionada con la protección de datos, siguen siendo aplicables las Condiciones generales de venta y las Condiciones generales de uso.

Nulidad parcial. Si una o varias estipulaciones del presente Acuerdo fueran declaradas nulas, ilícitas o inaplicables, las demás estipulaciones conservarían toda su fuerza y alcance. Las Partes se esforzarán por sustituir la estipulación inválida por una estipulación válida que persiga un objetivo equivalente.

Modificación. El Encargado podrá verse en la necesidad de actualizar el presente Acuerdo, en particular para tener en cuenta la evolución de la normativa aplicable, las directrices de las autoridades de control o del Servicio. El Responsable será informado de ello por cualquier medio adecuado.

Derecho aplicable y jurisdicción. El presente Acuerdo se rige por el derecho francés y el derecho de la Unión Europea. Cualquier controversia relativa a su interpretación o ejecución será competencia de los tribunales determinados de conformidad con las Condiciones generales de venta, sin perjuicio de las normas imperativas de competencia, en particular las que protegen a los interesados.

18. Anexo 1 — Descripción del tratamiento

El presente Anexo precisa los elementos del tratamiento exigidos por el artículo 28, apartado 3, del RGPD. El alcance efectivo del tratamiento depende de los usos y configuraciones del Cliente, así como del Contenido del Cliente sometido a los Agentes.

19. Anexo 2 — Medidas técnicas y organizativas de seguridad

El Encargado del tratamiento aplica las siguientes medidas técnicas y organizativas, de conformidad con el artículo 32 del RGPD. Estas medidas pueden evolucionar, sin que ello suponga una disminución del nivel de seguridad.

El Responsable sigue siendo responsable de las medidas de seguridad que corresponden a su propia esfera, en particular la gestión de sus credenciales y la seguridad de sus propios sistemas.

20. Anexo 3 — Lista de subencargados posteriores autorizados

El Responsable autoriza el recurso a los siguientes subencargados del tratamiento, a la fecha del presente Acuerdo. Toda modificación de esta lista será objeto de información previa al Responsable, quien dispone de un derecho de oposición en las condiciones previstas en el presente Acuerdo.

Para cualquier información adicional relativa a los subencargados ulteriores y a las garantías que regulan las transferencias, el Responsable puede dirigir una solicitud por correo postal al domicilio social del Encargado del tratamiento. Se habilitará una dirección de correo electrónico de contacto dedicada en cuanto se active el dominio, y se publicará aquí.