Apéndice de procesamiento de datos de clientes de Couchbase Capella Cloud

El presente apéndice sobre tratamiento de datos (el "DPA") forma parte del Contrato Principal de Servicios de Capella, u otro acuerdo entre el Cliente y Couchbase que rija el uso del Servicio en la Nube por parte del Cliente ("Acuerdo"), entre Couchbase, Inc. ("Couchbase") y la parte identificada como el "Cliente" en el Acuerdo ("Cliente") (cada uno de ellos un "Fiesta" y juntos, el "Fiestas”). The effective date of this DPA is the effective date of the Agreement, or if executed separately, the date of the last signature below (“Fecha de entrada en vigor").

El presente APD describe los compromisos de las Partes relativos al tratamiento de Datos Personales en relación con el uso del Servicio en la Nube por parte del Cliente. En caso de conflicto entre los términos del Acuerdo y los términos del presente APD, prevalecerán los términos del presente APD en la medida de dicho conflicto. Cualquier término en mayúsculas no definido en el presente APD tendrá el significado que se le atribuye en el Acuerdo.

El presente Acuerdo se actualizó por última vez el 26 de septiembre de 2022.

Las Partes acuerdan lo siguiente:

1. 1. Definiciones. Los siguientes términos en mayúsculas, cuando se utilicen en el presente APD, tendrán los significados correspondientes que se indican a continuación:
a. "Legislación aplicable en materia de protección de datos" se refiere a todas las leyes, reglamentos, normas, ordenanzas y otros decretos mundiales de privacidad y protección de datos aplicables a los Datos Personales, incluyendo (pero sin limitarse a): (i) las Leyes Europeas de Protección de Datos; y (ii) todas las leyes y normativas de los Estados Unidos, incluida la Ley de Privacidad del Consumidor de California de 2018 (California Civil Code §§ 1798.100 et seq ("CCPA"), en su versión modificada, sustituida o reemplazada.

b. "Datos del cliente" significa cualquier Dato Personal procesado por Couchbase en nombre del Cliente como proveedor de servicios o procesador (según corresponda) en relación con el Servicio en la Nube, como se describe más particularmente en el Anexo A de esta DPA.

c. "EEE"los Estados miembros de la Unión Europea, más Islandia, Liechtenstein y Noruega.

d. "Legislación europea sobre protección de datos": i) el Reglamento 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos) ("GDPR"); (ii) la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas ("Directiva sobre privacidad electrónica"); (iii) cualquier aplicación nacional aplicable de (i) y (ii); (iv) la Ley Federal Suiza de Protección de Datos de 19 de junio de 1992 y su Ordenanza ("FDPA suizo"); y (v) con respecto al Reino Unido, la Ley de Protección de Datos de 2018 y cualquier legislación nacional aplicable que sustituya o convierta en legislación nacional el GDPR, la Directiva sobre privacidad electrónica o cualquier otra ley relativa a los datos y la privacidad como consecuencia de la salida del Reino Unido de la Unión Europea (colectivamente, "Legislación británica sobre protección de datos"); en cada caso, con sus modificaciones, sustituciones o reemplazos.

e. "Cláusulas tipo” means, depending on the circumstances unique to any particular Customer, any of the following: (i) the standard contractual clauses for processors as approved by the European Commission pursuant to its decision 2021/914 (the “2021 Cláusulas contractuales tipo"), y (ii) el apéndice sobre transferencia internacional de datos del Reino Unido a las cláusulas contractuales tipo de la Comisión de la UE, versión B1.0, en vigor a partir del 21 de marzo de 2022, ("IDTA REINO UNIDO"), denominadas alternativamente Cláusulas Contractuales Tipo, que se incorporan por referencia y forman parte del presente APD.

f. "Datos personales"toda información relativa a una persona física identificada o identificable y que esté protegida como "datos personales", "información personal" o "información personalmente identificable" en virtud de la legislación aplicable en materia de protección de datos.

g. "Incidente de seguridadPor "Incidente de Seguridad" se entenderá cualquier violación de la seguridad que conduzca a la destrucción accidental o ilegal, pérdida, alteración, divulgación no autorizada o acceso a los Datos del Cliente transmitidos, almacenados o procesados de otro modo por Couchbase y/o sus Subprocesadores en relación con la prestación del Servicio en la Nube. Las Partes reconocen y acuerdan que "Incidente de Seguridad" no incluirá intentos fallidos o actividades que no comprometan la seguridad de los Datos del Cliente, incluyendo intentos fallidos de inicio de sesión, pings, escaneos de puertos, ataques de denegación de servicio y otros ataques de red en firewalls o sistemas en red.

h. "SubprocesadorSubprocesador" significa cualquier procesador contratado por Couchbase o sus Afiliados para ayudar en el cumplimiento de sus obligaciones con respecto a la prestación del Servicio en la Nube de conformidad con el Acuerdo o este DPA. Los subprocesadores pueden incluir terceros o Afiliados de Couchbase, pero excluirán a cualquier empleado, contratista o consultor de Couchbase.

i. Los términos "controlador", "procesador" y "tratamiento"tendrán el significado que se les atribuye en el RGPD, y "proceso", "procesa" y "procesado"se interpretarán en consecuencia; y los términos "empresa", "proveedor de servicios" y "vender"tendrán el significado que se les da en la CCPA.

2. Función y alcance del tratamiento
a. Alcance. Sujeto a la Sección 2(b), esta DPA se aplica en la medida en que Couchbase procese como procesador o proveedor de servicios (según corresponda) cualquier Dato del Cliente protegido por las Leyes de Protección de Datos Aplicables.

b. Papel de las partes. The parties acknowledge and agree that (i) with respect to the processing of Customer Data, Customer is the relevant business, controller or processor (as applicable) of such  Customer Data, and Couchbase is a service provider, processor or subprocessor (as applicable) on behalf of Customer, as further described in Annex A of this DPA; and (ii) with respect to Personal Data included in any technical usage data Couchbase collects in connection with Customer’s use of the Cloud Service (“Datos de uso"), Couchbase es la empresa pertinente o responsable del tratamiento de los Datos de Uso y tratará los Datos de Uso de conformidad con la política de privacidad de Couchbase disponible en https://www.couchbase.com/privacy-policy. Cada una de las Partes cumplirá con todas las leyes, normas y reglamentos que le sean aplicables y vinculantes en la ejecución de este DPA, incluyendo cualquier Ley de Protección de Datos Aplicable. Con respecto a los Datos de Uso, Couchbase procesará dichos datos en cumplimiento únicamente de las Secciones 8(a)(iii) y (iv), en la medida en que sean aplicables.

c. Tratamiento de datos personales por parte de Couchbase. Couchbase acuerda que procesará los Datos del Cliente únicamente para los fines descritos en la DPA y de conformidad con las instrucciones legales documentadas del Cliente. Las partes acuerdan que el Acuerdo (incluyendo esta DPA) establece las instrucciones completas y finales del Cliente a Couchbase en relación con el procesamiento de los Datos del Cliente y el procesamiento fuera del alcance de estas instrucciones (si las hubiera) requerirá un acuerdo previo por escrito entre el Cliente y Couchbase. Sin perjuicio de la Sección 2(d) (Responsabilidades del Cliente), Couchbase notificará al Cliente por escrito, a menos que se le prohíba hacerlo en virtud de las Leyes de Protección de Datos Aplicables, y podrá suspender el procesamiento de los Datos del Cliente, si tiene conocimiento o cree que cualquier instrucción de procesamiento de datos del Cliente viola las Leyes de Protección de Datos Aplicables.

d. Responsabilidades del cliente. El Cliente es responsable de la legalidad del procesamiento de los Datos del Cliente bajo o en conexión con el Acuerdo. El Cliente declara y garantiza que (i) ha proporcionado, y seguirá proporcionando, toda la notificación y obtenido, y seguirá obteniendo, todos los consentimientos, permisos y derechos necesarios en virtud de las Leyes de Protección de Datos Aplicables para que Couchbase procese legalmente los Datos del Cliente para los fines contemplados en el Acuerdo (incluido este DPA); (ii) ha cumplido con todas las Leyes de Protección de Datos Aplicables como controlador y/o negocio de Datos del Cliente para la recolección y provisión a Couchbase y sus Sub-procesadores de dichos Datos del Cliente; y (iii) se asegurará de que sus instrucciones de procesamiento cumplan con las leyes aplicables (incluyendo las Leyes de Protección de Datos Aplicables) y que el procesamiento de Datos del Cliente por Couchbase de acuerdo con las instrucciones del Cliente no causará que Couchbase incumpla las Leyes de Protección de Datos Aplicables.

e. Datos agregados. No obstante lo anterior o cualquier disposición en contrario en el Acuerdo (incluyendo este DPA), el Cliente reconoce que Couchbase y sus Afiliados tendrán derecho a recopilar y crear información anonimizada, agregada y/o desidentificada (según lo definido por las Leyes de Protección de Datos Aplicables) para su propio negocio legítimo.

3. Subprocesamiento
a. Subprocesadores autorizados. El Cliente reconoce y acepta que Couchbase puede contratar Subprocesadores para procesar los Datos del Cliente en nombre del Cliente. Los Sub-procesadores actualmente contratados por Couchbase y autorizados por el Cliente están listados en el sitio web de Couchbase (actualmente publicado en https://info.couchbase.com/cloud-subprocessors.html). Por lo menos quince (15) días antes de cualquier adición de un nuevo subprocesador, Couchbase actualizará el sitio web aplicable y proporcionará al Cliente una notificación de dicha actualización a través del mecanismo proporcionado en dicho sitio web de Couchbase, excepto que si Couchbase cree razonablemente que la contratación de un nuevo Subprocesador de forma acelerada es necesaria para proteger la confidencialidad, integridad o disponibilidad de los Datos del Cliente o evitar una interrupción material del Servicio en la Nube, Couchbase en su lugar dará tal aviso tan pronto como sea razonablemente posible.

4. Seguridad y auditorías
a. Medidas de seguridad.  Couchbase implementará y mantendrá medidas de seguridad técnicas y organizativas apropiadas diseñadas para proteger los Datos del Cliente bajo su control de Incidentes de Seguridad y para preservar la seguridad y confidencialidad de los Datos del Cliente, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, alcance, contexto y fines del tratamiento ("Medidas de seguridad"). Dichas Medidas de Seguridad incluirán, como mínimo, aquellas medidas descritas en el Anexo B de este DPA. Couchbase se asegurará de que cualquier persona que esté autorizada por Couchbase para procesar los Datos del Cliente en virtud de esta DPA estará bajo una obligación apropiada de confidencialidad (ya sea un deber contractual o legal).

b. Actualización de las medidas de seguridad. El Cliente reconoce que las Medidas de Seguridad están sujetas al progreso y desarrollo técnico y que Couchbase puede actualizar o modificar las Medidas de Seguridad de vez en cuando, siempre que dichas actualizaciones y modificaciones no resulten en la degradación de la seguridad general del Servicio en la Nube adquirido por el Cliente.

c. Responsabilidades de seguridad del cliente. Sin perjuicio de lo anterior, el Cliente acepta que, salvo lo dispuesto en el presente APD, el Cliente implementará y mantendrá medidas de seguridad técnicas y organizativas apropiadas diseñadas para proteger de Incidentes de Seguridad y preservar la seguridad y confidencialidad de los Datos del Cliente mientras estén bajo su dominio y control. El Cliente es responsable de (i) proteger la seguridad de todas las credenciales del Cliente utilizadas para acceder al Servicio en la Nube; (ii) asegurar el Entorno en la Nube del Cliente y cualquier Sistema del Cliente (con medidas que incluyan, sin limitación, la rotación periódica de las claves de acceso y otras medidas estándar del sector para impedir el acceso no autorizado); (iii) realizar copias de seguridad y asegurar los Datos del Cliente bajo el control del Cliente dentro del Entorno en la Nube del Cliente u otro sistema controlado por el Cliente; y (iv) revisar la información puesta a disposición por Couchbase en relación con la seguridad y privacidad de los datos y tomar una determinación independiente sobre si el Servicio en la Nube cumple con los requisitos del Cliente y las obligaciones legales en virtud de la Ley de Protección de Datos Aplicable.

d. Respuesta a incidentes de seguridad. En la medida requerida por las Leyes de Protección de Datos Aplicables, al tener conocimiento de un Incidente de Seguridad, Couchbase notificará al Cliente sin demora indebida a través de los Servicios en la Nube y deberá: (i) para ayudar al Cliente en relación con cualquier notificación de violación de datos personales que el Cliente esté obligado a realizar en virtud de las Leyes de Protección de Datos Aplicables, Couchbase incluirá en dicha notificación al Cliente información oportuna relacionada con el Incidente de Seguridad a medida que se conozca, según lo solicite razonablemente el Cliente, teniendo en cuenta la naturaleza del Servicio en la Nube, la información disponible para Couchbase y cualquier restricción para divulgar la información, como la confidencialidad; y (ii) tomar rápidamente las medidas, consideradas necesarias y razonables por Couchbase, para contener, investigar y remediar cualquier Incidente de Seguridad, en la medida en que la remediación esté dentro del control razonable de Couchbase. La notificación de Couchbase o la respuesta a un Incidente de Seguridad bajo esta Sección 4(d) no se interpretará como un reconocimiento por parte de Couchbase de cualquier culpa o responsabilidad con respecto al Incidente de Seguridad. Las obligaciones establecidas en este documento no se aplicaran a Incidentes de Seguridad en la medida en que sean causados por el Cliente o sus Usuarios Autorizados.

e. Auditorías de seguridad. Couchbase shall provide written responses (on a confidential basis) to all reasonable written requests for information made by Customer related to Couchbase’s processing of Customer Data, including responses to information security and audit questionnaires that are necessary to confirm Couchbase’s compliance with this DPA, provided that Customer shall not exercise this right more than once in any twelve (12) month rolling period.  Notwithstanding the foregoing, Customer may also exercise such audit right in the event Customer is expressly requested or required to provide this information to a data protection authority, or Couchbase has experienced a Security Incident, or on another reasonably similar basis.

5. Transferencias internacionales
a. Lugares de procesamiento. Customer acknowledges and agrees that Couchbase may transfer and process Customer Data to and in the United States and anywhere else in the world where Couchbase, its Affiliates or its Sub-processors maintain data processing operations.  Couchbase shall at all times ensure such transfers are made in compliance with the requirements of Applicable Data Protection Laws and this DPA.

b. Mecanismos de transferencia. Si, en cualquier momento, las Leyes de Protección de Datos Aplicables requieren que se tomen medidas adicionales para permitir la transferencia de Datos del Cliente según lo establecido en este DPA (incluyendo, sin limitación, la ejecución o re-ejecución de las Cláusulas Contractuales Estándar 2021 o IDTA del Reino Unido como un documento separado y/o la celebración de cláusulas adicionales de transferencia transfronteriza), y / o los mecanismos de transferencia en este DPA (incluyendo, sin limitación, como se establece en la Sección 8 a continuación) son modificados, sustituidos, derogados o terminados de otro modo en virtud de la Ley de Protección de Datos Aplicable, entonces el Cliente y Couchbase acuerdan trabajar juntos de buena fe para tomar todas las medidas razonablemente necesarias para permitir una transferencia en cumplimiento de las Leyes de Protección de Datos Aplicables.

6. Supresión de datos de clientes.
a. El Servicio en la nube proporcionará al Cliente controles que el Cliente podrá utilizar para eliminar o recuperar los Datos del cliente durante el plazo de vigencia de forma coherente con la funcionalidad del Servicio en la nube.

b. Por la presente, el Cliente autoriza a Couchbase, a la terminación o expiración del Acuerdo, o en caso de terminación o suspensión del Servicio en la Nube de conformidad con el Acuerdo, a eliminar todos los Datos del Cliente (incluidas las copias) en su posesión o control de conformidad con el Acuerdo, con la salvedad de que este requisito no se aplicará en la medida en que Couchbase esté obligado por la legislación aplicable a conservar algunos o todos los Datos del Cliente.

7. Derechos de las personas y cooperación
a. Solicitudes de los interesados. The Cloud Service provide Customer with a number of controls, including security features and functionalities, that Customer may use to retrieve, correct, delete or restrict Customer Data, as described in any documentation applicable to the Cloud Service. Without prejudice to Section 4(a), Customer may use these controls as technical and organizational measures to assist it in connection with its obligations under Applicable Data Protection Laws, including its obligations relating to responding to requests from data subjects. To the extent that Customer is unable to independently access the relevant Customer Data within the Cloud Service, Couchbase shall, taking into account the nature of the processing, provide reasonable cooperation to assist Customer to respond to any requests from individuals or applicable data protection authorities relating to the processing of Customer Data under the Agreement.  In the event that any such request is made to Couchbase directly, Couchbase shall not respond to such communication directly without Customer’s prior authorization, unless legally compelled to do so. If Couchbase is required to respond to such a request, Couchbase shall promptly notify Customer and provide it with a copy of the request unless legally prohibited from doing so.

b. Citaciones y órdenes judiciales. Si una agencia de aplicación de la ley envía a Couchbase una demanda de Datos del Cliente (por ejemplo, a través de una citación u orden judicial), Couchbase dará al Cliente un aviso razonable de la demanda para permitir al Cliente buscar una orden de protección u otro remedio apropiado a menos que Couchbase esté legalmente prohibido de hacerlo.

8. Condiciones específicas de la jurisdicción
a. Europa. En la medida en que los Datos del Cliente estén sujetos a las Leyes Europeas de Protección de Datos, se aplicarán los siguientes términos además de los términos del resto de este APD:
i. Obligaciones del subencargado del tratamiento. Couchbase deberá: (A) celebrar un acuerdo por escrito con cada Subencargado del tratamiento en el que se impongan condiciones de protección de datos que exijan al Subencargado del tratamiento proteger los datos personales según el estándar exigido por la Ley europea de protección de datos aplicable y el presente APD; y (B) seguir siendo responsable de su cumplimiento de las obligaciones del presente APD y de cualquier acto u omisión del Subencargado del tratamiento que provoque el incumplimiento por parte de Couchbase de cualquiera de sus obligaciones en virtud del presente APD.
ii. Objeciones a los subprocesadores. Customer may object in writing to Couchbase’s appointment of a new Sub-processor on reasonable grounds relating to data protection (e.g. if making Customer Data available to the Sub-processor may violate European Data Protection Law or weaken the protections for such Customer Data) by notifying Couchbase promptly in writing within five (5) calendar days of receipt of notice from Couchbase in accordance with Section 3(a) above.  Such notice shall explain the reasonable grounds for the objection and the parties shall discuss such concerns in good faith with a view to achieving commercially reasonable resolution.  If no such resolution can be reached, Couchbase will, at its sole discretion, either not appoint Sub-processor, or permit Customer to suspend or terminate the affected Cloud Service in accordance with the termination provisions in the Agreement without liability to either party (but without prejudice to any fees incurred by Customer prior to suspension or termination). Unless an objection is made as set forth in this Section 8(a)(ii), Customer consents to Couchbase’s use of sub-processors as described in this DPA.
iii. Transferencias de datos. En la medida en que Couchbase procese (o haga que se procese) cualquier dato personal protegido por las Leyes Europeas de Protección de Datos en un tercer país no reconocido por proporcionar una protección adecuada de los datos personales (como se describe en las Leyes Europeas de Protección de Datos), entonces los términos y condiciones del Anexo C (Transferencia de datos) y el Cliente (como exportador de datos) se considerará que ha entrado en las Cláusulas Modelo con Couchbase (como importador de datos) y Couchbase se compromete a cumplir y procesar los Datos del Cliente en el cumplimiento de las Cláusulas Modelo, que se incorporan en su totalidad por referencia y forman parte integrante de este DPA. A los efectos de las descripciones en las Cláusulas Modelo: (A) Couchbase se compromete a que es un "importador de datos" y el Cliente es el "exportador de datos" (a pesar de que el Cliente puede ser una entidad situada fuera del EEE o el Reino Unido), (B) Anexo A y Anexo B de este DPA sustituirá el Apéndice 1 y Apéndice 2 de las Cláusulas Modelo. No es la intención de ninguna de las partes, ni el efecto de este DPA, contradecir o restringir ninguna de las disposiciones establecidas en las Cláusulas Modelo. En consecuencia, si y en la medida en que las Cláusulas Modelo entren en conflicto con cualquier disposición de este DPA, las Cláusulas Modelo prevalecerán en la medida de dicho conflicto. Las Cláusulas Modelo no se aplicarán a los Datos del Cliente que no se transfieran, ni directamente ni mediante transferencia ulterior, fuera del EEE o del Reino Unido.
iv. Mecanismo alternativo de transferencia. Si y en la medida en que Couchbase adopte una solución alternativa de exportación de datos para la transferencia de Datos del Cliente según lo prescrito por las Leyes Europeas de Protección de Datos aplicables ("Mecanismo alternativo de transferencia"), se aplicará en su lugar el Mecanismo Alternativo de Transferencia (pero sólo en la medida en que dicho Mecanismo Alternativo de Transferencia se aplique a la transferencia).
v. Evaluación de impacto de la protección de datos. En la medida en que Couchbase sea requerido bajo la Ley Europea de Protección de Datos aplicable, Couchbase proporcionará la información razonablemente solicitada con respecto al procesamiento de datos personales de Couchbase bajo el Acuerdo para permitir al Cliente llevar a cabo evaluaciones de impacto de protección de datos o consultas previas con las autoridades de supervisión según lo requerido por la ley.
vi. Transferencias de datos desde el Reino Unido. Cuando la transferencia de datos personales esté sujeta a la legislación del Reino Unido (incluido el Reglamento General de Protección de Datos del Reino Unido), las partes están de acuerdo:
1. Las disposiciones de la IDTA, incluida la Parte 2 "Cláusulas Obligatorias", se aplicarán en su totalidad;
2. A efectos de la Tabla 1 de la IDTA del Reino Unido, los nombres de las partes, sus funciones y sus datos figurarán en el Anexo C adjunto;
3. A efectos de las Tablas 2 y 3 de la IDTA del Reino Unido, se aplicarán las Cláusulas Contractuales Tipo 2021 incorporadas al presente APD por referencia, incluida la información que figura en los Anexos adjuntos.
4. A efectos de la Tabla 4 de la IDTA del Reino Unido, cualquiera de las partes podrá poner fin a la IDTA del Reino Unido si, tras un esfuerzo de buena fe de las partes por modificar el presente APD, las partes no consiguen llegar a un acuerdo mutuo.

b. California. En la medida en que los Datos del Cliente estén sujetos a la CCPA, las partes acuerdan que el Cliente es una empresa y que designa a Couchbase como su proveedor de servicios para procesar los Datos del Cliente según lo permitido por el Acuerdo (incluida esta DPA) y la CCPA, o para fines acordados de otro modo por escrito (la "Fines permitidos"). El Cliente y Couchbase acuerdan que: (i) Couchbase no retendrá, usará o divulgará información personal para ningún propósito que no sean los Propósitos Permitidos; (ii) Los Datos del Cliente no fueron vendidos a Couchbase y Couchbase no "venderá" información personal (según lo definido por la CCPA); (iii) Couchbase no retendrá, usará o divulgará información personal fuera de la relación comercial directa entre el Cliente y Couchbase; y (iv) Couchbase puede desidentificar o agregar información personal en el curso de la prestación del Servicio en la Nube. Couchbase certifica que entiende las restricciones establecidas en esta Sección 8(b) y que las cumplirá.

9. 9. Limitación de responsabilidad
a. Each Party’s and all of its Affiliates’ liability, taken together in the aggregate, arising out of or related to this DPA (including the Model Clauses) whether in contract, tort (including negligence) or under any other theory of liability, shall be subject to the limitations and exclusions of liability in the Agreement, and any reference in provisions to the liability of a party means the aggregate liability of that party and all of its Affiliates under and in connection with the Agreement and this DPA together.

b. Except where Applicable Data Protection Laws require a Customer Affiliate to exercise a right or seek any remedy under this DPA against Couchbase directly by itself, the parties agree that (i) solely the Customer entity that is the contracting party to the Agreement shall exercise any right or seek any remedy any Customer Affiliate may have under this DPA on behalf of its Affiliates, and (ii) the Customer that is the contracting party to the Agreement shall exercise any such rights under this DPA not separately for each Affiliate individually but in a combined manner for all of its Affiliates together.

10. Varios
a. Salvo por los cambios introducidos por el presente APD, el Acuerdo permanece inalterado y en pleno vigor y efecto.

b. El presente APD podrá ejecutarse por duplicado, cada uno de los cuales se considerará un original, pero todos juntos constituirán un único y mismo instrumento.

c. Si alguna disposición o disposición parcial del presente APD es o deviene inválida, ilegal o inaplicable, se considerará suprimida, pero ello no afectará a la validez y aplicabilidad del resto del APD.

d. El presente APD se regirá e interpretará de conformidad con las disposiciones sobre legislación aplicable y jurisdicción contenidas en el Acuerdo, salvo que la legislación europea sobre protección de datos disponga otra cosa.

 

Anexo A
Descripción del tratamiento de datos

Este Anexo A forma parte de la DPA y describe (i) el procesamiento que Couchbase realizará de los Datos del Cliente como procesador o subprocesador en nombre del Cliente como controlador o procesador, según corresponda, y (ii) las transferencias de Datos de Uso que Couchbase realizará como controlador.

1) Datos del cliente
Duración
La duración del tratamiento de datos en virtud del presente APD es hasta la terminación del Acuerdo de conformidad con sus términos, más el período comprendido entre la expiración del Acuerdo y la supresión de los datos personales por parte de Couchbase de conformidad con los términos del Acuerdo (incluido el presente APD).

Categorías de datos
Los datos personales que se tratarán se refieren a las siguientes categorías de datos (especifique):
● Datos personales en el Contenido del cliente o el Contenido de soporte: Datos Personales incluidos en contenidos o datos proporcionados por o en nombre del Cliente o de los Usuarios Autorizados por o a través del Servicio en la Nube.

Categorías especiales de datos (si procede)
Las partes no tienen intención de tratar datos de categoría especial en virtud del Acuerdo.

Interesados
Los datos personales que se van a tratar se refieren a las siguientes categorías de interesados (especifíquese):
Los sujetos de datos incluyen individuos sobre los que se proporcionan datos a Couchbase a través del Servicio en la Nube por o bajo la dirección del Cliente, incluidos los Usuarios Autorizados. Los sujetos de datos pueden incluir clientes, empleados, proveedores y usuarios finales del Cliente.

Operaciones de tratamiento
Los datos personales serán objeto de las siguientes actividades básicas de tratamiento (especifíquese):
● processing to provide the Cloud Service in accordance with the Agreement;
● procesamiento para realizar cualquier trámite necesario para la ejecución del Acuerdo;
● el procesamiento iniciado por el Cliente en su uso del Servicio en la nube; y
● procesamiento para cumplir con otras instrucciones razonables proporcionadas por el Cliente (por ejemplo, a través de correo electrónico o tickets de soporte) que sean coherentes con los términos del Acuerdo.

Frecuencia
Los datos personales pueden transferirse continuamente.

2) Datos de uso
Duración
Los Datos de Uso se transfieren y mantienen durante el plazo del Acuerdo pertinente más el período durante el cual los Datos de Uso son necesarios para los esfuerzos comerciales legítimos de Couchbase. Algunos registros agregados y anónimos de las acciones de los usuarios pueden conservarse de forma permanente.

Categorías de datos
Los datos personales que se transferirán se refieren a las siguientes categorías de datos (especifique):
●  Datos personales en los datos de uso: Los Datos de Uso pueden incluir información de la cuenta de usuario, incluyendo el ID de la cuenta y la dirección de correo electrónico; información de identificación personal, incluyendo la dirección IP; información de empleo; información de contacto; información del navegador y metadatos.

Categorías especiales de datos (si procede)
Las partes no tienen intención de transferir datos de categoría especial en virtud del Acuerdo.

Interesados
Los datos personales que se van a tratar se refieren a las siguientes categorías de interesados (especifíquese):
●  Data subjects may include Customer, Customer’s employees and other Authorized Users and any other permitted collaborators.

Operaciones de tratamiento
Los datos personales serán objeto de las siguientes actividades básicas de tratamiento (especifíquese):
●  Processing to provide and administer the products, services and support;
●  Processing to derive insights in order to improve the products, services and support and support business development;
●  Processing to engage and respond to customer questions, perform marketing and sales activities, and analyze business metadata.

Frecuencia
Los datos personales pueden transferirse continuamente.

 

Anexo B
Medidas de seguridad

Este Anexo describe las Medidas de Seguridad de Couchbase. El Cliente reconoce que el Servicio en la Nube opera de conformidad con un modelo de responsabilidad compartida, que requiere, entre otras cosas, que el Cliente tome ciertas medidas tales como la protección de la seguridad del Contenido del Cliente (que permanece almacenado dentro del entorno del Cliente bajo su control). Si y en la medida en que Couchbase procese Datos del Cliente en nombre del Cliente en relación con el Servicio en la Nube o transfiera cualquier Dato de Uso sujeto a las Cláusulas Contractuales Estándar, Couchbase implementará y mantendrá las siguientes Medidas de Seguridad:

Medidas de cifrado de datos
Todos los datos de los clientes se cifran en tránsito mediante TLS 1.2 (o superior) y en reposo mediante cifrado AES-256.
● Los portátiles de los empleados están encriptados mediante cifrado AES-256 de disco completo.
Todas las credenciales se cifran en tránsito mediante TLS 1.2 (o superior) y se cifran en reposo.
● Las claves de cifrado se rotan anualmente y son almacenadas y gestionadas por el proveedor de servicios en la nube seleccionado por el Cliente.

Medidas de disponibilidad y recuperabilidad
● Couchbase mantiene planes y procedimientos de Recuperación de Desastres y Continuidad del Negocio que están diseñados para garantizar razonablemente la disponibilidad del Servicio en la Nube.
● La oferta de Couchbase Capella se despliega en centros de datos distribuidos geográficamente operados por proveedores de servicios de nube pública reconocidos en el sector, como Amazon (AWS), Microsoft (Azure) y Google (GCP) (según corresponda).
● La redundancia está integrada en la infraestructura del sistema que soporta la oferta de Couchbase Capella. En caso de que falle un sistema primario, la infraestructura redundante en otra zona de disponibilidad está configurada para ocupar su lugar.
● Las copias de seguridad se almacenan en entornos controlados dentro de la infraestructura de la nube. El acceso lógico a los datos de las copias de seguridad está restringido al personal adecuado y se guarda en un almacenamiento de alta disponibilidad.
● Anualmente, se realiza una prueba de restauración de copias de seguridad en la que el personal de operaciones restaura una copia de seguridad a partir de una instantánea para garantizar que los datos podrían recuperarse en caso de incidente.

Medidas de seguridad de la organización
● Couchbase ha establecido un Sistema de Gestión de Seguridad de la Información (SGSI) formal con el fin de proteger la confidencialidad, integridad y disponibilidad de la oferta de Couchbase Capella y los sistemas de información, y para garantizar la eficacia de los controles de seguridad sobre los datos y los sistemas de información.
● Los empleados deben recibir formación anual en materia de lucha contra el soborno y la corrupción, ética y código de conducta, uso de información privilegiada, privacidad global de datos y concienciación sobre seguridad.
● Los empleados deben firmar acuerdos de no divulgación y confidencialidad en el momento de su contratación.
Existen políticas y procedimientos formales para las actividades de incorporación y desincorporación de empleados. Se definen y aplican procesos de provisión y desprovisión de cuentas.
● El acceso de los empleados se elimina en caso de cese o se ajusta según sea necesario como resultado de un cambio de función.
● Se aplica la autenticación multifactor (MFA) para acceder a los recursos críticos y de producción.
● Se aplican los requisitos de complejidad de las contraseñas.
● Se aplica la segregación de responsabilidades y funciones para reducir las oportunidades de modificación o uso indebido no autorizado o no intencionado.
● Couchbase mantiene firmados acuerdos de confidencialidad con terceros.
Las redes de Couchbase están segregadas por niveles de confianza y protegidas por cortafuegos.

Medidas de registro y control
● Se habilita el registro de actividades de usuario, excepciones, fallos y eventos de seguridad de la información. Los registros se conservan, según sea necesario.
● Solo los empleados autorizados de Couchbase pueden acceder a todos los registros y existen controles de acceso para evitar accesos no autorizados.
● El acceso de escritura a los datos de registro está estrictamente prohibido. Las instalaciones de registro y la información de registro están protegidas contra la manipulación y el acceso no autorizado mediante el uso de controles de acceso y medidas de seguridad.
● Couchbase dispone de varias medidas de supervisión para generar alertas de seguridad e identificar actividades irregulares.
● El equipo de operaciones de Couchbase Capella revisa regularmente las alertas de seguridad y su configuración subyacente para asegurarse de que funcionan según lo previsto y de que los controles se modifican a medida que cambian las condiciones.

Medidas de control de acceso
● Couchbase implementa las mejores prácticas de seguridad y utiliza una arquitectura de seguridad basada en roles en toda la base de datos, la red y las capas de aplicación, y sigue estrictamente los principios de mínimo privilegio al otorgar acceso a sistemas clave.
● Couchbase ha definido funciones y roles de trabajo para apoyar la adecuada segregación de funciones.
● El acceso a los entornos operativos, de producción y de recuperación ante desastres está protegido mediante el uso de cuentas de usuario únicas, contraseñas seguras, uso de autenticación multifactor (MFA), acceso basado en funciones y principio de mínimos privilegios.
Las claves de acceso utilizadas por las aplicaciones de producción de Couchbase (por ejemplo, las claves de acceso de AWS) solo son accesibles para el personal autorizado. Se rotan (cambian) según sea necesario (por ejemplo, en virtud de un aviso de seguridad o una salida de personal) y al menos una vez al año.
● Se registra la actividad de los usuarios en entornos operativos, incluido el acceso, la modificación o la eliminación de datos.
● Las solicitudes de autorización y el aprovisionamiento se registran, rastrean y auditan.
● Se despliegan cortafuegos de aplicaciones web (WAF), además de los cortafuegos basados en red.

Medidas de seguridad física
● La oferta de Couchbase Capella se despliega en centros de datos distribuidos geográficamente operados por proveedores de servicios de nube pública reconocidos en el sector, como Amazon (AWS), Microsoft (Azure) y Google (GCP) (según corresponda).
● Se restringe y gestiona el acceso físico a todas las instalaciones que contienen datos sensibles.
● Todas las instalaciones de recursos de información (por ejemplo, armarios de red y almacenes) están protegidas físicamente en proporción a la criticidad o importancia de su función.
● El acceso a las instalaciones de recursos de información se concede únicamente al personal de la empresa y a los contratistas cuyas responsabilidades laborales requieran el acceso a dichas instalaciones.
● Todas las instalaciones de recursos de información que permiten el acceso a visitantes están configuradas para realizar un seguimiento del acceso de los visitantes con un registro de inicio de sesión.
● Los registros de acceso con tarjeta y los registros de visitantes de las instalaciones de recursos de información se conservan para su revisión rutinaria en función de la criticidad de los recursos de información que se protegen.
● Los equipos están protegidos para reducir los riesgos derivados de amenazas ambientales, peligros y oportunidades de acceso no autorizado.

Configuraciones seguras del sistema
● Couchbase has a Change Management policy and procedure in place.
● Couchbase monitoriza los cambios en los sistemas en alcance para asegurar que se sigue el proceso estándar aplicable y para mitigar cualquier riesgo de cambios no detectados en producción. Los cambios se rastrean en el sistema de gestión de cambios.
● Access Control policy and procedures are in place to prevent unauthorized changes.
● Mobile device management controls are in place.

Gobernanza
● Couchbase ha establecido un Sistema de Gestión de Seguridad de la Información (SGSI) formal con el fin de proteger la confidencialidad, integridad y disponibilidad de la oferta de Couchbase Capella y los sistemas de información, y para garantizar la eficacia de los controles de seguridad sobre los datos y los sistemas de información.
● Couchbase cuenta con una política de seguridad de la información documentada y aprobada, que incluye documentación de apoyo.
● La autoridad y responsabilidad de gestionar el programa de seguridad de la información de Couchbase ha sido delegada al Grupo de Seguridad de la Información y Cumplimiento, que está autorizado por la alta dirección para tomar las acciones necesarias para establecer, implementar y gestionar el programa de seguridad de la información de Couchbase.

Conformidad
● Couchbase is audited by an independent third-party auditor and has achieved SOC 2 Type 1 compliance, attesting to our commitment to controls that safeguard the confidentiality and availability of information stored and processed in the Couchbase Capella service.

Acceso mínimo a los datos
● Se realizan evaluaciones de privacidad relacionadas con la implantación de nuevos productos/servicios y el tratamiento de datos personales por terceros.
● La recogida de datos se limita a los fines del tratamiento (o a los datos que el cliente decida facilitar).
● Existen medidas de seguridad para proporcionar únicamente el acceso mínimo necesario para realizar las funciones requeridas.
● Se identifican los requisitos de conservación de datos
● Access to personal data is restricted to the personnel  involved in the processing, adhering to the “need to know” principle, and according to defined roles and responsibilities of the individuals.

Medidas de rendición de cuentas
● Customer Privacy Assessments are required when introducing any new product/service that involves processing of personal data.
● Data protection impact assessments are part of any new processing initiative.

Solicitudes de acceso de los interesados
● Data subjects are eligible to request the export of their personal data in an industry standard format.
● Existen procesos que permiten a las personas ejercer sus derechos de privacidad (por ejemplo, el derecho de supresión o el derecho a la portabilidad de datos), tal y como se describe en la Política de Privacidad de Couchbase disponible públicamente.

Couchbase seguirá analizando las recientes orientaciones del Consejo Europeo de Protección de Datos sobre medidas complementarias para cumplir el requisito de adecuación del RGPD, así como cualquier otra que emitan las autoridades europeas de protección de datos a medida que vayan surgiendo.

 

Anexo C
Transferencia de datos

Este Anexo establece los términos y condiciones que se aplican cuando el uso del Servicio en la Nube por parte del Cliente requiere un mecanismo de transferencia ulterior para transferir legalmente datos personales desde una jurisdicción a Couchbase ubicada fuera de esa jurisdicción.

1. Las Cláusulas Contractuales Tipo 2021. Para las transferencias de datos sujetas al GDPR y/o a la FDPA suiza, se aplicarán las Cláusulas Contractuales Tipo 2021 de la siguiente manera:
a. El Módulo Uno (Controlador a Controlador) se aplicará cuando el Cliente sea un controlador de los Datos de Uso y Couchbase sea un controlador de los Datos de Uso.
b. El Módulo Dos (Controlador a Procesador) se aplicará cuando el Cliente sea un controlador de los Datos del Cliente y Couchbase sea un procesador de los Datos del Cliente;
c. El Módulo Tres (Procesador a Procesador) se aplicará cuando el Cliente sea un procesador de los Datos del Cliente y Couchbase sea un subprocesador de los Datos del Cliente;
d. Para cada módulo, cuando proceda:
(i) en la Cláusula 7, se aplicará la cláusula de acoplamiento opcional y las partes cooperarán de buena fe para tomar las medidas necesarias para aplicar las Cláusulas Contractuales Tipo 2021 a otra parte;
(ii) en la Cláusula 9, se aplicará la Opción 2, y el plazo de notificación previa de los cambios de subencargado del tratamiento será el establecido en la Sección 3 (Subtratamiento) del presente APD;
(iii) en la cláusula 11, no se aplicará el lenguaje opcional;
(iv) en la Cláusula 17 (Opción 1), las Cláusulas Contractuales Tipo 2021 se regirán por la legislación del Estado miembro de la UE en el que esté establecido el Exportador de Datos y, en su defecto, por la legislación irlandesa; siempre que, con respecto a cualquier transferencia de datos sujeta a la legislación sobre protección de datos de un país no perteneciente al EEE en el que la autoridad competente haya aprobado el uso de las Cláusulas Contractuales Tipo 2021 (incluida, entre otros, Suiza) (un "País de adopción"), las Cláusulas Contractuales Tipo 2021 se regirán por las leyes de protección de datos del País de Adopción.
(v) en la Cláusula 18(b), los litigios se resolverán ante los tribunales del Estado miembro de la UE en el que esté establecido el Exportador de Datos y, en su defecto, ante los tribunales de la República de Irlanda; siempre que, con respecto a cualquier transferencia de datos sujeta a las leyes de protección de datos de un País de Adopción, cualquier litigio derivado de las Cláusulas Contractuales Tipo 2021 sea resuelto por los tribunales del País de Adopción.
(vi) En la parte A del anexo I:
Data Exporter:  Customer and authorized affiliates of Customer.
Contact Details:  Customer’s email address(es) specified as the relevant account to receive communications under the Cloud Service
Data Exporter Role:  Customer is the controller or processor of Customer Data, as applicable, and controller of Usage Data
Actividades relevantes para los datos transferidos: Recepción de software y servicios de Couchbase y afiliados
Signature & Date:  By entering into the Agreement and DPA, Data Exporter is deemed to have signed these Standard Contractual Clauses incorporated herein, including their Annexes, as of the Effective Date of the DPA.
Data Importer:  Couchbase, Inc.
Datos de contacto: Equipo jurídico de Couchbase - legal@couchbase.com
Papel del importador de datos: Couchbase es el procesador o subprocesador de los Datos del cliente, según corresponda, y controlador de los Datos de uso.
Actividades relevantes para los datos transferidos: Suministro de software y servicios
Firma y fecha: Al suscribir el Acuerdo y el APD, se considera que el Importador de Datos ha firmado las presentes Cláusulas Contractuales Tipo, incorporadas al presente documento, incluidos sus Anexos, a partir de la Fecha de Entrada en Vigor del APD.
(vii) En la parte B del anexo I:
Las categorías de interesados se describen en el anexo A de la presente DPA.
Los datos sensibles transferidos se describen en el anexo A de la presente DPA.
La frecuencia de la transferencia es continua mientras dure el Acuerdo.
La naturaleza del tratamiento se describe en el anexo A de la presente DPA.
La finalidad del tratamiento se describe en el anexo A de la presente DPA.
El periodo de tratamiento se describe en el anexo A de la presente DPA.
Para las transferencias a subencargados del tratamiento, el objeto, la naturaleza y la duración del tratamiento se indican en https://info.couchbase.com/cloud-subprocessors.html
(viii) In Annex I, Part C: The supervisory authority of the EU member state specified in Section 1(d)(iv) above shall act as competent supervisory authority; provided that with respect to any transfers of data subject to the data protection laws of an Adopting Country, the supervisory authority is the data protection authority of the Adopting Country.
(ix) El Anexo B del presente APD hace las veces de Anexo II de las Cláusulas Contractuales Tipo.

4. Términos contradictorios. En la medida en que exista algún conflicto entre las Cláusulas Contractuales Tipo y cualesquiera otros términos del presente APD, prevalecerán las disposiciones de las Cláusulas Contractuales Tipo.