Acuerdo de Tratamiento de Datos

Última actualización: Agosto, 2025.

1. Sobre este DPA

Este Acuerdo de Tratamiento de Datos («DPA«) se incorpora por referencia al Contrato Marco de Servicios disponible en https://www.simetrik.com/legal/master-services-agreement o celebrado entre el Cliente y Simetrik mediante un acuerdo firmado u Orden de Pedido (“Contrato”). Este DPA forma parte integral del Contrato y regula el Tratamiento de Datos Personales por parte de Simetrik en nombre del Cliente.

2. Definiciones

Los términos en mayúscula no definidos en el presente tendrán el significado establecido en el Contrato.

3. Roles de las Partes

3.1. Las Partes reconocen y acuerdan que:

1. El Cliente actúa como Responsable del Tratamiento. Es el único responsable de determinar qué Datos Personales se incorporan en los Servicios en la Nube, cómo deben ser Tratados y con qué fines.
2. El Cliente garantiza contar con todas las autorizaciones, consentimientos y bases legales necesarios para permitir que Simetrik Trate los Datos Personales del Cliente.
3. Simetrik actúa como Encargado y únicamente Tratará los Datos Personales del Cliente en nombre del Cliente conforme a las instrucciones documentadas de este, salvo que la ley exija lo contrario. En tal caso, Simetrik informará previamente al Cliente salvo prohibición legal, y notificará de inmediato si, a su juicio, alguna instrucción infringe las Leyes Aplicables.
4. Simetrik no vende ni comparte Datos Personales del Cliente (según los términos “vender/compartir” definidos en la CCPA). No conservará, usará ni divulgará Datos Personales del Cliente para fines distintos de la prestación de los Servicios en la Nube, el cumplimiento de la ley o lo expresamente permitido por el Contrato y las instrucciones documentadas del Cliente.

3.2. Los Servicios en la Nube se prestan bajo un modelo SaaS: el Cliente aporta sus propios datos y controla en gran medida la carga y uso directo de los Datos del Cliente en los Servicios en la Nube. El Cliente acepta y entiende que Simetrik no monitoriza los Datos del Cliente ni el uso que el Cliente haga de ellos, pero puede acceder a los Datos del Cliente según sea necesario para prestar los Servicios en la Nube, resolver incidencias de soporte o técnicas, garantizar la seguridad e integridad, o cuando la ley lo exija. Salvo prohibición legal, Simetrik accederá a los Datos del Cliente a petición explícita del Cliente o según sea necesario para los fines antes indicados. Es responsabilidad exclusiva del Cliente garantizar que los Datos del Cliente se recopilan y transmiten a Simetrik en cumplimiento de las Leyes Aplicables y, en particular, contar con una base legal de Tratamiento e informar debidamente a los Titulares sobre la recolección y Tratamiento de sus Datos Personales. El Cliente, en su uso de los Servicios en la Nube, Tratará Datos Personales conforme a las Leyes Aplicables.

4. Obligaciones Generales sobre Datos Personales

4.1.  Cada Parte cumplirá sus obligaciones bajo las Leyes Aplicables respecto del Tratamiento de Datos Personales.

4.2. Si la ley exige a Simetrik Tratar Datos Personales de modo distinto a las instrucciones del Cliente, Simetrik lo informará al Cliente antes de que dicho Tratamiento ocurra, salvo que la ley aplicable lo prohíba por razones de interés público importante; en tal caso, Simetrik notificará al Cliente tan pronto como la ley lo permita.

4.3. Los empleados o agentes de Simetrik con acceso a Datos Personales (i) están sujetos a obligaciones de confidencialidad o a una obligación legal adecuada de secreto; (ii) Tratarán Datos Personales solo conforme a las instrucciones del Cliente, salvo que las Leyes Aplicables dispongan lo contrario; y (iii) recibirán formación según sea necesario respecto de las obligaciones de Simetrik bajo este DPA y las Leyes Aplicables.

4.4. Simetrik no publicará, divulgará ni permitirá el acceso de terceros a ningún Dato Personal, salvo de conformidad con el Contrato y este DPA (incluido lo necesario para mantener y prestar los Servicios en la Nube y a Subencargados según este DPA), con el consentimiento del Cliente o cuando sea necesario para cumplir la ley u orden válida y vinculante de una autoridad gubernamental (como citación o mandamiento judicial).

4.5. A solicitud del Cliente, Simetrik proporcionará la cooperación y asistencia razonables necesarias para que el Cliente cumpla su obligación de realizar una evaluación de impacto de protección de datos relacionada con el uso de los Servicios en la Nube, o cualquier consulta previa que el Cliente deba efectuar según las Leyes Aplicables, teniendo en cuenta la naturaleza del Tratamiento y en la medida en que el Cliente no tenga acceso a la información pertinente y tal información esté disponible para Simetrik.

4.6. A solicitud escrita del Cliente, Simetrik prestará asistencia razonable en caso de una investigación o requerimiento de cualquier regulador, incluida una Autoridad de Control, si y en la medida en que se relacione con Datos Personales. El Cliente reembolsará los costos razonables y documentados por asistencia que exceda la operación estándar de los Servicios en la Nube. Simetrik adoptará las medidas razonablemente solicitadas por el Cliente para ayudarlo a cumplir sus obligaciones en relación con dicha investigación o requerimiento.

5. Subencargados

5.1. Debido a la naturaleza basada en la nube de los Servicios en la Nube, Simetrik contrata a Subencargados para apoyar su desempeño. Se requiere que estos Subencargados garanticen, como mínimo, protecciones y salvaguardas consistentes con este DPA.

5.2. Una lista actual de Subencargados se mantiene en:  https://trust.simetrik.com/.

5.3. Simetrik podrá nombrar nuevos Subencargados siempre que notifique al Cliente de dicho nombramiento (incluyendo el nombre y la ubicación del Subencargado relevante y las actividades que realizará) con al menos treinta (30) días de antelación a la contratación del Subencargado, mediante la actualización del sitio de Subencargados o por otro aviso por escrito.. 

5.4. El Cliente acepta que Simetrik puede utilizar Subencargados para cumplir con sus obligaciones contractuales bajo este DPA o para proporcionar ciertos servicios en su nombre, como la prestaci n de servicios de soporte.

5.5.  El Cliente podrá rescindir las Órdenes de Pedido aplicables con respecto únicamente a los Servicios en la Nube que no puedan ser proporcionados por Simetrik sin el uso del nuevo Subencargado objetado, mediante una notificación por escrito a Simetrik, y dicha rescisión será efectiva a la conclusión del ciclo de facturación actual, según lo establecido en el Contrato.

5.6. Cuando Simetrik contrate a un Subencargado para llevar a cabo actividades de Tratamiento específicas (en nombre del Cliente), lo hará mediante un contrato por escrito que prevea obligaciones de protección de datos sustancialmente similares a las que obligan a Simetrik en virtud de este DPA con respecto a la protección de Datos Personales en la medida en que sean aplicables a la naturaleza de los Servicios en la Nube proporcionados por dicho Subencargado. Simetrik se toma la privacidad en serio y lleva a cabo la debida diligencia apropiada en todos sus Subencargados, de acuerdo con los estándares de privacidad de sus certificaciones internacionales.

6. Transferencia Internacional de Datos

6.1. Simetrik podrá transferir Datos Personales del Cliente a países fuera del país de origen, siempre que dichas transferencias cumplan con las Leyes Aplicables.

6.2. Cuando sea necesario, dichas transferencias se regirán por salvaguardias apropiadas, incluidas las Cláusulas Contractuales Tipo (y, cuando corresponda, la adenda del Reino Unido u otro mecanismo aprobado).

6.3. Las ubicaciones actuales de Tratamiento de Simetrik se describen en su Trust Center (https://trust.simetrik.com/) y pueden actualizarse periódicamente.

7. Medidas de Seguridad

7.1. Simetrik implementará y mantendrá medidas técnicas y organizativas apropiadas («TOMs«) para proteger los Datos Personales del Cliente, incluyendo::

1. Cifrado en tránsito y en reposo;
2. Control de acceso basado en roles;
3. Monitorización y registro de acceso a datos;
4. Pruebas de penetración y evaluaciones de riesgos regulares.

7.2.Simetrik mantendrá las siguientes certificaciones durante la vigencia del Contrato: ISO 27001, ISO 27701, ISO 27018, SOC 1, SOC 2, SOC 3, PCI DSS (o estándares sucesores/equivalentes).

7.3. Simetrik podrá implementar medidas adicionales que estarán disponibles en el Trust Center de Simetrik (https://trust.simetrik.com/).

8. Derechos de los Titulares de Datos

8.1. Simetrik asistirá al Cliente en la respuesta a solicitudes de los Titulares de Datos, incluyendo acceso, rectificación, supresión y portabilidad de datos, según lo exijan las Leyes Aplicables.

8.2. Si Simetrik recibe una solicitud de un Titular de Datos directamente, la reenviará de inmediato al Cliente a los datos de contacto proporcionados en el Contrato, a menos que esté legalmente prohibido de hacerlo. Las solicitudes pueden enviarse a través de dataprivacy@simetrik.com. Simetrik apoyará al Cliente, en la medida legalmente permitida y técnicamente factible, en el cumplimiento de dichas solicitudes dentro de los plazos requeridos por las Leyes Aplicables. Esto puede incluir la recuperación, eliminación o corrección de datos, o la confirmación de si se están tratando ciertos datos. Si el Titular de Datos es un usuario de los servicios del Cliente, el Cliente sigue siendo responsable de verificar la identidad del solicitante y de determinar la respuesta apropiada.

8.3. El Cliente es responsable de responder a una comunicación de protección de datos recibida directamente por el Cliente utilizando su propio acceso a los Datos Personales relevantes. Si el Cliente no puede acceder a los Datos Personales relevantes después de realizar esfuerzos razonables, Simetrik, a solicitud del Cliente, proporcionará asistencia razonable al Cliente para responder a cualquier comunicación de este tipo recibida directamente por el Cliente en la medida en que la respuesta a dicha comunicación sea requerida bajo las Leyes Aplicables. En la medida legalmente permitida, el Cliente será responsable de los costos razonables y documentados derivados de la provisión de dicha asistencia por parte de Simetrik que exceda la operación estándar de los Servicios en la Nube.

9. Notificación por Vulneración de Datos

9.1. Simetrik notificará al Cliente sin demora indebida después de tomar conocimiento de una Vulneración de Datos Personales.

9.2. La notificación al Cliente se realizará dentro de las setenta y dos (72) horas siguientes a que se tenga conocimiento de la Vulneración de Datos Personales e incluirá, en la medida en que se conozca en el momento de la notificación:

1. un resumen de la naturaleza de la Vulneración de Datos Personales;
2. la fecha y hora del incidente o su detección;
3. las categorías de Datos Personales y Titulares de Datos afectados;
4. las probables consecuencias de la vulneración;
5. las medidas adoptadas o propuestas para mitigar dicha vulneración y evitar su recurrencia;
6. un punto de contacto para obtener más información.

9.2.1. Si no toda la información está disponible en el momento de la notificación inicial, Simetrik proporcionará actualizaciones sin demora indebida a medida que se disponga de nuevos detalles.

9.3. Simetrik cooperará de buena fe con el Cliente para apoyar cualquier investigación, remediación o notificación regulatoria requerida relacionada con una Vulneración de Datos Personales.

10. Eliminación y Devolución de Datos

10.1. Devolución y Eliminación de Datos Personales. Tras la terminación o expiración del Contrato, Simetrik, a solicitud escrita del Cliente y sujeto a cualquier obligación legal o regulatoria de retención, eliminará o devolverá los Datos Personales Tratados en nombre del Cliente.

10.2. Simetrik sigue un proceso estructurado de eliminación de datos para garantizar la remoción segura y rastreable de los Datos del Cliente, incluyendo:

a. Solicitud Formal y Validación. Simetrik requiere una solicitud escrita del Cliente para iniciar el proceso de eliminación de datos. La solicitud es validada por el equipo de Simetrik para confirmar que se cumplen todas las obligaciones contractuales y si se debe devolver algún dato al Cliente antes de la eliminación.

b. Eliminación de Cuentas y Espacios de Trabajo. Todas las cuentas de Servicios en la Nube y los espacios de trabajo asociados creados para el Cliente se eliminan, incluidos todos los Datos Personales almacenados en ellos. Si el Cliente decide no participar en el proceso de eliminación, Simetrik puede proceder con la eliminación después de un período de gracia definido, en cuyo caso se considera que el Cliente ha aceptado el resultado del proceso de eliminación.

c. Terminación de Integraciones. Simetrik deshabilitará y eliminará cualquier flujo de datos automatizado (integraciones) establecido para el Cliente.

d. Eliminación de datos almacenados.

• Bases de datos. Los objetos de la base de datos (incluidos usuarios y roles) se eliminarán permanentemente dentro de los 15 días calendario posteriores al cierre. El proceso se registra y documenta.
• Almacenamiento de objetos. La carpeta del espacio de trabajo del Cliente se elimina, y se toma y archiva una instantánea de la eliminación como evidencia.

e)  Evidencia e Informes.

• Simetrik mantiene registros internos del proceso de eliminación, incluidos informes de cierre, evidencia de eliminación y registros de auditoría para demostrar el cumplimiento.
• Los espacios de trabajo están segregados lógicamente por cliente y nunca se reutilizan, lo que garantiza una estricta separación de datos entre clientes

10.3. Si alguna Ley Aplicable prohíbe la devolución o eliminación de Datos Personales, Simetrik continuará garantizando el cumplimiento de este DPA y solo Tratará Datos Personales en la medida y durante el tiempo que lo exija la Ley Aplicable.1

10.4. La eliminación de datos se llevará a cabo sin demora después de la fecha efectiva de terminación o a solicitud escrita del Cliente en cualquier momento posterior a la terminación, sujeto a las Secciones 10.1 a 10.3. Para mayor claridad, la eliminación no exime ni afecta ninguna tarifa u obligación de pago acumulada bajo el Contrato.

11. Auditoría

11.1. Simetrik utiliza auditores externos para validar la idoneidad de sus estándares y controles de seguridad. Las actividades de auditoría: (i) se realizarán al menos anualmente; (ii) serán realizadas por profesionales de seguridad externos independientes, elegidos y costeados por Simetrik; y (iii) darán lugar a la generación de un informe de auditoría, que se considerará Información Confidencial de Simetrik.

A solicitud escrita del Cliente, Simetrik proporcionará al Cliente un informe confidencial que resuma los registros establecidos en la Sección 11.1. anterior para que el Cliente pueda verificar razonablemente el cumplimiento de sus obligaciones bajo este DPA por parte de Simetrik.

11.2. El Cliente podrá auditar razonablemente, limitado a una vez cada doce (12) meses, a menos que lo exijan las Leyes Aplicables o una Autoridad de Control, o tras una Vulneración de Datos Personales material, el cumplimiento de este DPA por parte de Simetrik (cada una, una “Auditoría del Cliente”), sujeta a las siguientes condiciones:

1. Alcance y Asistencia. En la medida requerida por las Leyes Aplicables, incluyendo cuando lo exija la Autoridad de Control del Cliente, el Cliente o la Autoridad de Control del Cliente podrán realizar auditorías más frecuentes de los procedimientos relevantes para la protección de los Datos Personales del Cliente. Simetrik contribuirá a dichas Auditorías del Cliente proporcionando al Cliente o a la Autoridad de Control del Cliente la información y la asistencia razonablemente necesarias para llevar a cabo la Auditoría del Cliente, incluidos los registros relevantes de las actividades de Tratamiento aplicables a los Servicios en la Nube.
2. Auditores Terceros. Si un tercero va a realizar la Auditoría del Cliente, este tercero debe ser acordado mutuamente por el Cliente y Simetrik (excepto si dicho tercero es una Autoridad de Control competente). Simetrik no denegará de manera irrazonable su consentimiento a un auditor tercero solicitado por el Cliente. El tercero debe firmar un acuerdo de confidencialidad por escrito aceptable para Simetrik antes de llevar a cabo la Auditoría del Cliente.
3. Plan y Notificación. Para solicitar una Auditoría del Cliente, el Cliente debe presentar un plan de auditoría detallado propuesto a Simetrik con al menos cuatro (4) semanas de antelación a la fecha de auditoría propuesta. El plan de auditoría propuesto debe describir el alcance, la duración y la fecha de inicio propuestos de la auditoría. Simetrik revisará el plan de auditoría propuesto y proporcionará al Cliente cualquier inquietud o pregunta (por ejemplo, cualquier solicitud de información que pudiera comprometer las políticas de seguridad, privacidad, empleo u otras políticas relevantes de Simetrik). Simetrik trabajará cooperativamente con el Cliente para acordar un plan de auditoría final. Antes del inicio de cualquier Auditoría del Cliente, el Cliente y Simetrik acordarán mutuamente el alcance, el momento y la duración de la Auditoría del Cliente.
4. Satisfacción mediante Documentación. Simetrik puede satisfacer las solicitudes de auditoría proporcionando documentación relevante que demuestre el cumplimiento de sus obligaciones de seguridad de la información y privacidad. Esta documentación puede incluir, entre otras, certificaciones como ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 27018, PCI DSS, así como informes de auditoría SOC 1 Tipo II y SOC 2 Tipo II, que solo podrán compartirse con el Cliente bajo un acuerdo de confidencialidad, y el informe SOC 3, que está disponible públicamente. En caso de que el Cliente considere necesaria una revisión o auditoría adicional, Simetrik estará dispuesto a revisar, evaluar y coordinar conjuntamente dicha solicitud con el Cliente. Simetrik también podrá satisfacer solicitudes de cuestionarios de seguridad razonables de alcance comercialmente razonable.
5. Forma y Restricciones. Cualquier Auditoría del Cliente debe llevarse a cabo durante el horario comercial habitual (o, si se acuerda mutuamente una revisión en el sitio, en la instalación aplicable), sujeta al plan de auditoría final acordado y a las políticas de salud, seguridad, protección u otras políticas relevantes de Simetrik, y no podrá interferir irrazonablemente con las actividades o las operaciones comerciales de Simetrik. Nada en esta Sección requerirá que Simetrik incumpla sus obligaciones bajo las Leyes Aplicables o incumpla sus obligaciones de confidencialidad, seguridad o privacidad con respecto a clientes, empleados o terceros. Simetrik podrá restringir el acceso a información sensible y requerir un acuerdo de confidencialidad específico para la auditoría.
6. Informes y Confidencialidad. El Cliente proporcionará a Simetrik cualquier informe de auditoría generado en relación con cualquier Auditoría del Cliente, a menos que lo prohíban las Leyes Aplicables o lo indique de otro modo una Autoridad de Control. El Cliente podrá utilizar los informes de auditoría únicamente con el fin de cumplir con los requisitos de auditoría reglamentaria del Cliente y/o confirmar el cumplimiento de los requisitos de este DPA. Los informes de auditoría son Información Confidencial de las Partes según los términos del Contrato.
7. Costos. Cualquier Auditoría del Cliente correrá por cuenta del Cliente. Las Partes negociarán de buena fe con respecto a cualquier cargo u honorario en el que Simetrik pueda incurrir para proporcionar asistencia con una Auditoría del Cliente que requiera el uso de recursos diferentes o adicionales a los requeridos para la prestación de los Servicios en la Nube. Antes del inicio de una Auditoría del Cliente, el Cliente y Simetrik acordarán mutuamente la tasa de reembolso por la cual el Cliente será responsable por el tiempo dedicado a dicha Auditoría del Cliente. Todas las tasas de reembolso serán razonables, teniendo en cuenta los recursos gastados por Simetrik.
8. Remota por defecto. Todas y cada una de las Auditorías del Cliente se llevarán a cabo de forma remota. Las Partes reconocen que Simetrik opera en un entorno totalmente remoto y, en consecuencia, todas las auditorías se realizarán a través de medios digitales seguros, como reuniones virtuales, plataformas para compartir documentos y acceso remoto a sistemas relevantes, según sea razonablemente necesario. No se requerirá ni se impondrá ninguna auditoría in situ, a menos que las Partes lo acuerden mutuamente por escrito con antelación.

1.  Responsabilidad

12.1. Las Partes acuerdan que la responsabilidad bajo este DPA está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el Contrato.

2.  Varios

13.1. En caso de conflicto entre el DPA y el Contrato, el DPA prevalecerá con respecto a asuntos de protección de datos.

13.2. Este DPA permanecerá en vigor hasta que, y expirará automáticamente tras, la devolución o eliminación de todos los Datos Personales por parte de Simetrik y cualquier Subencargado aplicable.

13.3. Cualquier modificación a este DPA debe acordarse por escrito.

13.4. Si un tribunal u organismo administrativo de jurisdicción competente considera que alguna disposición de este DPA es inválida o inaplicable, la invalidez o inaplicabilidad de dicha disposición no afectará a ninguna otra disposición de este DPA, y todas las disposiciones no afectadas por dicha invalidez o inaplicabilidad permanecerán en pleno vigor y efecto.

Anexo I: Detalles del Procesamiento de Datos.

• Objeto: Prestación de servicios SaaS según se define en el Contrato.
• Duración: Vigencia del Contrato.
• Naturaleza y Propósito: Alojamiento, almacenamiento, procesamiento y transferencia de datos para la prestación de servicios.
• Categorías de Titulares de Datos: Empleados, usuarios finales, clientes o socios del Cliente.
• Categorías de Datos Personales: Nombre, detalles de contacto, credenciales de usuario, datos de uso, datos transaccionales y otros datos cargados por el Cliente.

Anexo II: Medidas Técnicas y Organizacionales (TOMs)

Anexo III: Lista de Subprocesadores

Anexo IV: Cláusulas Contractuales Tipo (Transferencias Internacionales UE y Reino Unido)

Sección A – Cláusulas Contractuales Tipo de la Unión Europea (2021/914/UE)

Las presentes Cláusulas se aplican cuando el Cliente se encuentra en el Espacio Económico Europeo (EEE) o está sujeto de otro modo al Reglamento General de Protección de Datos (RGPD), y transfiere Datos Personales a Simetrik, ubicado fuera del EEE, de conformidad con el artículo 46(2)(c) del RGPD.

Las Partes acuerdan por la presente suscribir los siguientes módulos de las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea el 4 de junio de 2021:

Módulo 2: Responsable a Encargado

Opciones y especificaciones aplicables:

• Cláusula 7 (Cláusula de adhesión): Incluida
  
• Cláusula 9 (Subencargados): Opción 2 — Autorización general con un preaviso de treinta (30) días
  
• Cláusula 11 (Vías de recurso): No incluida (no aplicable a Encargados)
  
• Cláusula 17 (Ley aplicable): Leyes de los Países Bajos
  
• Cláusula 18 (Jurisdicción): Tribunales de Ámsterdam, Países Bajos
  

Anexos I, II y III de las Cláusulas Contractuales Tipo

Los Anexos I, II y III de las presentes Cláusulas se incorporan por referencia al presente DPA de la siguiente manera:

• Anexo I: Detalles de la transferencia – conforme al Anexo I del DPA
  
• Anexo II: Medidas técnicas y organizativas – conforme al Anexo II del DPA,
  
• Anexo III: Subencargados – conforme al Anexo III del DPA.
  

Sección B – Adenda del Reino Unido (International Data Transfer Addendum a las SCC de la UE, Versión B1.0)

Esta sección será aplicable cuando el Cliente esté sujeto a la legislación de protección de datos del Reino Unido y transfiera Datos Personales a Simetrik, ubicado fuera del Reino Unido.

Las Partes acuerdan aplicar la Adenda del Reino Unido a las Cláusulas Contractuales Tipo de la UE, según lo emitido por la Information Commissioner’s Office (ICO) del Reino Unido, con las siguientes especificaciones:

Parte 1 – Tablas 1 a 4

• Tabla 1 (Partes): Según lo establecido en el Contrato y el presente DPA
  
• Tabla 2 (Cláusulas Contractuales Tipo): Las SCC incorporadas anteriormente, Módulo 2 (Responsable a Encargado)
  
• Tabla 3 (Apéndices): Conforme a los Anexos I–III del presente DPA
  
• Tabla 4 (Cláusulas opcionales):
  No se selecciona la opción: “El importador podrá dar por terminada la Adenda según lo establecido en la Sección 19”
  

Parte 2 – Cláusulas obligatorias

Las cláusulas obligatorias de la Adenda del Reino Unido aplicarán en su totalidad