Data Processing AgreementAcuerdo de Tratamiento de Datos

PartiesPartes

Controller ("Customer"): [Customer legal name], [registered address], [registration number].Responsable ("Cliente"): [Razón social del Cliente], [domicilio social], [número de registro].

Processor ("Certifyd"): Grupo Barrdega, S.A., owner of Certifyd™, Avenida de los Periodistas, PH Leaf Tower, Ciudad de Panamá, Republic of Panama.Encargado ("Certifyd"): Grupo Barrdega, S.A., propietaria de Certifyd™, Avenida de los Periodistas, PH Leaf Tower, Ciudad de Panamá, República de Panamá.

This agreement supplements the Certifyd Terms of Service or other agreement under which the Customer uses the Service (the "Main Agreement"). If they conflict on the processing of personal data, this agreement prevails.Este acuerdo complementa los Términos de Servicio de Certifyd u otro acuerdo en virtud del cual el Cliente utiliza el Servicio (el "Acuerdo Principal"). En caso de conflicto sobre el tratamiento de datos personales, prevalece este acuerdo.

1. Subject matter and roles1. Objeto y funciones

The Customer uses the Service to register attendees, issue, deliver and verify digital certificates and badges. For the personal data of the Customer's attendees and recipients, the Customer is the controller and Certifyd is the processor, processing that data only to provide the Service. The details of the processing are in Annex 1.El Cliente utiliza el Servicio para registrar asistentes y emitir, entregar y verificar certificados e insignias digitales. Respecto de los datos personales de los asistentes y destinatarios del Cliente, el Cliente es el responsable y Certifyd es el encargado, que trata esos datos únicamente para prestar el Servicio. Los detalles del tratamiento figuran en el Anexo 1.

2. Instructions2. Instrucciones

Certifyd processes the personal data only on the Customer's documented instructions. The Main Agreement, this agreement and the Customer's use and configuration of the Service are those instructions. Certifyd will tell the Customer if, in its opinion, an instruction breaks applicable data protection law.Certifyd trata los datos personales únicamente siguiendo las instrucciones documentadas del Cliente. El Acuerdo Principal, este acuerdo y el uso y la configuración que el Cliente haga del Servicio constituyen dichas instrucciones. Certifyd informará al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos aplicable.

3. Confidentiality3. Confidencialidad

Certifyd ensures that the people it authorizes to process the personal data are bound by confidentiality.Certifyd garantiza que las personas a las que autoriza a tratar los datos personales están sujetas a un deber de confidencialidad.

4. Security4. Seguridad

Certifyd applies the technical and organizational measures described in Annex 2. It may improve them over time but will not reduce the overall level of protection.Certifyd aplica las medidas técnicas y organizativas descritas en el Anexo 2. Puede mejorarlas con el tiempo, pero no reducirá el nivel general de protección.

5. Sub-processors5. Subencargados

The Customer authorizes the sub-processors listed in Annex 3. Certifyd will inform the Customer by email before adding or replacing a sub-processor, giving the Customer [number] days to object on reasonable data protection grounds. Certifyd imposes on each sub-processor data protection obligations equivalent to those in this agreement and remains responsible for its sub-processors.El Cliente autoriza a los subencargados enumerados en el Anexo 3. Certifyd informará al Cliente por correo electrónico antes de incorporar o sustituir un subencargado, y le concederá [número] días para oponerse por motivos razonables de protección de datos. Certifyd impone a cada subencargado obligaciones de protección de datos equivalentes a las de este acuerdo y sigue siendo responsable de sus subencargados.

6. Data subject requests and assistance6. Solicitudes de los interesados y asistencia

The Customer can view, correct, export and delete its attendees' and recipients' data in the Service. Where the Customer needs more help to answer a data subject request, or with a data protection impact assessment, Certifyd will provide reasonable assistance on written request. If Certifyd receives a request directly from one of the Customer's data subjects, it will refer that person to the Customer.El Cliente puede consultar, corregir, exportar y eliminar los datos de sus asistentes y destinatarios en el Servicio. Cuando el Cliente necesite más ayuda para atender una solicitud de un interesado, o para una evaluación de impacto relativa a la protección de datos, Certifyd prestará una asistencia razonable previa solicitud por escrito. Si Certifyd recibe una solicitud directamente de un interesado del Cliente, remitirá a esa persona al Cliente.

7. Personal data breaches7. Violaciones de la seguridad de los datos personales

Certifyd will notify the Customer without undue delay after becoming aware of a personal data breach affecting the Customer's data, and will give the information it has that the Customer needs to meet its own notification duties.Certifyd notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad que afecte a los datos del Cliente, y le facilitará la información de que disponga y que el Cliente necesite para cumplir sus propias obligaciones de notificación.

8. Return and deletion8. Devolución y eliminación

During the term the Customer can export and delete its data in the Service. When the Main Agreement ends, Certifyd will, at the Customer's written choice, return the Customer's personal data or delete it within [number] days of the request, unless law requires it to keep a copy. Automatic deletion on a fixed schedule is not yet available in the Service, so deletion at the end of the relationship is carried out on the Customer's written request.Durante la vigencia, el Cliente puede exportar y eliminar sus datos en el Servicio. Al finalizar el Acuerdo Principal, Certifyd, a elección del Cliente comunicada por escrito, devolverá los datos personales del Cliente o los eliminará en un plazo de [número] días desde la solicitud, salvo que la ley le exija conservar una copia. El Servicio todavía no ofrece eliminación automática según un calendario fijo, por lo que la eliminación al final de la relación se realiza a solicitud escrita del Cliente.

9. Information and audits9. Información y auditorías

On written request, Certifyd will provide the information reasonably needed to show compliance with this agreement, including written answers to the Customer's security questionnaire. Certifyd does not currently hold third-party security certifications. Any other form of audit, including its scope, timing and costs, is to be agreed between the parties: [counsel to complete].Previa solicitud por escrito, Certifyd facilitará la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo, incluidas respuestas por escrito al cuestionario de seguridad del Cliente. Actualmente Certifyd no cuenta con certificaciones de seguridad de terceros. Cualquier otra forma de auditoría, incluidos su alcance, calendario y costes, deberá acordarse entre las partes: [a completar por los asesores legales].

10. International transfers10. Transferencias internacionales

The Service is hosted in the United States (Annex 3). Where the Customer's data protection law requires a transfer mechanism, the parties will attach the appropriate one, for example the European Commission's Standard Contractual Clauses: [counsel to complete].El Servicio está alojado en Estados Unidos (Anexo 3). Cuando la normativa de protección de datos del Cliente exija un mecanismo de transferencia, las partes adjuntarán el adecuado, por ejemplo las Cláusulas Contractuales Tipo de la Comisión Europea: [a completar por los asesores legales].

11. Term, liability and law11. Vigencia, responsabilidad y legislación

This agreement lasts as long as Certifyd processes the Customer's personal data. Liability and governing law follow the Main Agreement unless the parties agree otherwise here: [counsel to complete].Este acuerdo se mantiene vigente mientras Certifyd trate datos personales del Cliente. La responsabilidad y la legislación aplicable se rigen por el Acuerdo Principal, salvo que las partes acuerden otra cosa aquí: [a completar por los asesores legales].

Annex 1: Details of the processingAnexo 1: Detalles del tratamiento

• Data subjects: the Customer's event attendees, certificate and badge recipients, and the Customer's own users of the Service.Interesados: los asistentes a los eventos del Cliente, los destinatarios de certificados e insignias y los propios usuarios del Servicio del Cliente.
• Personal data: names, email addresses, answers to the Customer's registration questions, certificate and badge contents, verification codes, and records of email delivery, opens and clicks and of certificate views and downloads.Datos personales: nombres, correos electrónicos, respuestas a las preguntas de registro del Cliente, contenido de certificados e insignias, códigos de verificación y registros de entrega, apertura y clics de correos y de consultas y descargas de certificados.
• Special categories: none intended; the Customer should not collect them through registration questions.Categorías especiales: ninguna prevista; el Cliente no debe recopilarlas mediante las preguntas de registro.
• Purpose and nature: storing, generating, emailing, publishing for verification and deleting the data, to provide the Service.Finalidad y naturaleza: almacenar, generar, enviar por correo, publicar para verificación y eliminar los datos, para prestar el Servicio.
• Duration: the term of the Main Agreement, then as in section 8.Duración: la vigencia del Acuerdo Principal y, después, lo indicado en la cláusula 8.

Annex 2: Security measuresAnexo 2: Medidas de seguridad

• All traffic to the Service is encrypted in transit (HTTPS); sign-in cookies are secure, HTTP-only and same-site.Todo el tráfico hacia el Servicio se cifra en tránsito (HTTPS); las cookies de sesión son seguras, HTTP-only y same-site.
• Passwords are stored only as salted hashes; accounts lock for a period after repeated failed sign-ins, and sign-in and other endpoints are rate-limited.Las contraseñas solo se almacenan como hashes con sal; las cuentas se bloquean temporalmente tras varios intentos fallidos de inicio de sesión, y el inicio de sesión y otros puntos de acceso tienen límite de frecuencia.
• API keys and refresh tokens are stored only as hashes; API keys carry limited permission scopes.Las claves de API y los tokens de actualización solo se almacenan como hashes; las claves de API tienen permisos limitados.
• Each customer account can only reach its own data; access by Certifyd staff to a customer's account is limited to authorized staff and recorded in an audit log.Cada cuenta de cliente solo puede acceder a sus propios datos; el acceso del personal de Certifyd a la cuenta de un cliente está limitado al personal autorizado y queda registrado en un registro de auditoría.

Annex 3: Authorized sub-processorsAnexo 3: Subencargados autorizados

Provided by Microsoft Corporation, except Google sign-in, which is provided by Google LLC. The current list, with what each service does, is kept on our Data Protection page.Prestados por Microsoft Corporation, salvo el inicio de sesión de Google, que presta Google LLC. La lista vigente, con lo que hace cada servicio, se mantiene en nuestra página de Protección de Datos.

• Microsoft Azure App Service: hosting and file storage (United States)alojamiento y almacenamiento de archivos (Estados Unidos)
• Microsoft Azure Virtual Machines (SQL Server): database (United States)base de datos (Estados Unidos)
• Azure Communication Services (Email): sending emails (Microsoft Azure; region available on request)envío de correos (Microsoft Azure; región disponible previa solicitud)
• Azure Monitor Application Insights: application logs and error monitoring (Microsoft Azure; region available on request)registros de la aplicación y supervisión de errores (Microsoft Azure; región disponible previa solicitud)
• Microsoft sign-in (Microsoft Entra ID / Microsoft account): only for users who choose to sign in with MicrosoftInicio de sesión de Microsoft (Microsoft Entra ID / cuenta Microsoft): solo para usuarios que eligen iniciar sesión con Microsoft
• Google sign-in (Google LLC): only for users who choose to sign in with GoogleInicio de sesión de Google (Google LLC): solo para usuarios que eligen iniciar sesión con Google

SignaturesFirmas

For the Customer: [name], [title], [date], [signature]Por el Cliente: [nombre], [cargo], [fecha], [firma]

For Grupo Barrdega, S.A. (Certifyd): [name], [title], [date], [signature]Por Grupo Barrdega, S.A. (Certifyd): [nombre], [cargo], [fecha], [firma]