Anexo de tratamiento de datos de Reconstruct

Versión: 11 de octubre de 2026.

Estas son nuestras condiciones estándar del Anexo de tratamiento de datos (DPA) para clientes cuyos datos personales tratamos siguiendo sus instrucciones. El DPA entra en vigor cuando ambas partes lo firman y complementa el contrato de servicio identificado en la copia firmada. Ver esta página no constituye la celebración de un DPA. Contacte con [email protected] para acordar un DPA para su servicio.

Las partes son el cliente identificado en el contrato de servicio firmado (Cliente) y Cryptify Corporation, 8 The Green, STE R, Dover, DE 19901, USA (Proveedor).

1. Alcance y funciones

Este DPA solo se aplica a los datos personales que el Proveedor trata siguiendo instrucciones documentadas del Cliente para prestar los servicios acordados (Datos personales del cliente). El Cliente actúa como responsable del tratamiento, o como encargado autorizado por su responsable; el Proveedor actúa, respectivamente, como encargado o subencargado. Cada parte cumple la legislación de protección de datos aplicable a su función.

Las actividades independientes del Proveedor sobre cuentas, facturación, seguridad y catálogo público se rigen por la legislación aplicable y la Política de privacidad. El Proveedor no debe utilizar los Datos personales del cliente para publicar su propio catálogo, publicidad, entrenamiento de modelos de uso general ni mejoras del producto no relacionadas bajo este DPA.

2. Instrucciones y confidencialidad

El Proveedor trata los Datos personales del cliente solo conforme a instrucciones documentadas, incluidas las transferencias internacionales, salvo exigencia legal. Informa al Cliente de esa exigencia antes del tratamiento salvo prohibición legal. Le informa con prontitud si considera que una instrucción infringe la legislación de protección de datos aplicable y suspende la instrucción afectada mientras las partes lo resuelven.

El Cliente es responsable de la recopilación legal, la transparencia y la autoridad para ordenar el tratamiento. El Proveedor garantiza que el personal autorizado esté sujeto a confidencialidad y acceda solo según lo necesario para sus funciones. El Cliente no puede enviar categorías especiales de datos, datos de infracciones penales ni de menores salvo evaluación y acuerdo expresos en el Anexo A.

3. Seguridad

El Proveedor aplica las medidas técnicas y organizativas del Anexo B, adecuadas a los riesgos conforme a la ley aplicable, y no reduce sustancialmente el nivel de protección acordado durante la vigencia. Las partes evalúan medidas adicionales antes de modificar sustancialmente los datos de entrada, la escala o los métodos de tratamiento.

4. Subencargados

El Cliente concede autorización general por escrito para los subencargados identificados en el Anexo C cumplimentado. El Proveedor avisa por escrito con al menos 30 días de antelación antes de añadir o sustituir un subencargado, permitiendo al Cliente oponerse por motivos razonables de protección de datos. Las partes buscan una solución; si no es posible antes del cambio, el Cliente puede terminar el tratamiento o servicio afectado y recibir el reembolso proporcional de los importes prepagados no utilizados de ese servicio, sujeto al contrato principal y a la ley imperativa. El Proveedor no transfiere los datos afectados al subencargado propuesto mientras siga sin resolverse una oposición presentada en plazo.

El Proveedor impone a los subencargados obligaciones de protección de datos sustancialmente equivalentes y sigue siendo responsable ante el Cliente de su cumplimiento según exige la legislación aplicable. Solo los subencargados cubiertos por la autorización del Cliente pueden tratar sus Datos personales.

5. Asistencia e incidentes

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, el Proveedor ayuda al Cliente con las solicitudes de los interesados y las obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consultas a reguladores. Remite las solicitudes relativas a los Datos personales del cliente y no responde sobre el fondo salvo instrucción o exigencia legal.

El Proveedor avisa al Cliente sin dilación indebida cuando conoce una violación de datos personales que afecta a los Datos personales del cliente. Las notificaciones describen los hechos disponibles, los datos o interesados afectados, las consecuencias probables, las medidas de mitigación y un contacto; la información puede facilitarse por fases sin dilación indebida. El Proveedor coopera en la contención, investigación y subsanación; la notificación no implica admisión de responsabilidad.

6. Transferencias internacionales

Las partes identifican cada transferencia restringida, sus funciones y su destino en el Anexo D y aplican un mecanismo válido antes de transferir. Las transferencias internacionales incluyen el acceso desde otro país y las transferencias posteriores a subencargados, según corresponda.

Cuando sea necesario, las partes incorporan al DPA firmado las Cláusulas Contractuales Tipo de la Comisión Europea 2021/914 aplicables y cualquier Anexo del Reino Unido, Acuerdo Internacional de Transferencia de Datos o adaptación suiza aplicable. Los módulos, opciones y anexos correspondientes se acuerdan con el Cliente. Estos instrumentos se formalizan por separado y no se incorporan por el mero hecho de ver esta página. Las partes cooperan en las evaluaciones de transferencia y medidas complementarias. Las condiciones imperativas de transferencia prevalecen sobre condiciones incompatibles de este DPA o del contrato principal.

7. Devolución y eliminación

A elección del Cliente, el Proveedor devuelve o elimina los Datos personales del cliente al finalizar el servicio correspondiente, elimina las copias existentes salvo obligación legal de conservarlas y confirma la actuación si se solicita. El Anexo A establece el formato de exportación, los plazos de los sistemas activos y la caducidad de las copias de seguridad. Los datos conservados legalmente se aíslan y solo se tratan para la finalidad exigida. Las copias restauradas deben volver a aplicar las eliminaciones. Los Anexos A–D específicos del cliente forman parte del DPA firmado y definen el tratamiento, las medidas de seguridad, los subencargados y las transferencias acordados.

8. Información y auditorías

El Proveedor facilita la información necesaria para demostrar el cumplimiento y permite y contribuye a auditorías, incluidas inspecciones, del Cliente o de un auditor independiente autorizado. Las partes coordinan un alcance proporcionado, confidencialidad y preaviso razonable sin impedir los derechos imperativos de auditoría, las investigaciones urgentes de incidentes ni el acceso de autoridades de control. Pueden utilizarse pruebas existentes si son suficientes. Cualquier certificación en la que se base el servicio se identifica en el contrato firmado.

9. Prevalencia y firmas

Este DPA prevalece sobre las disposiciones incompatibles de tratamiento del contrato principal; los instrumentos imperativos de transferencia prevalecen sobre ambos. Nada limita los derechos legales de los interesados ni las facultades de las autoridades. Las disposiciones de responsabilidad comercial solo se aplican en la medida compatible con la ley y los instrumentos de transferencia aplicables.

El DPA lo formalizan representantes autorizados del Cliente y del Proveedor. La copia firmada identifica a los representantes y las fechas de firma.

Anexo A — Descripción y ciclo de vida del tratamiento

Anexo B — Medidas técnicas y organizativas acordadas

El anexo específico del cliente describe las medidas de seguridad acordadas, incluidos acceso y acceso privilegiado; aislamiento de inquilinos; protección en tránsito y almacenamiento; gestión de claves y secretos; minimización; registros y ocultación de datos; gestión de vulnerabilidades y parches; copias de seguridad y restauración; gestión de incidentes; confidencialidad del personal; eliminación; revisión de subencargados; y verificación de esas medidas. Cualquier certificación acordada se identifica por separado.

Anexo C — Subencargados autorizados

La copia firmada enumera la entidad jurídica, actividad, categorías de datos, países y mecanismo de transferencia de cada subencargado. La lista incluye los proveedores autorizados a tratar los datos de ese cliente y puede ser más limitada que la lista pública de proveedores.

Anexo D — Transferencias

La copia firmada identifica cada transferencia, exportador e importador, países, instrumento de transferencia y medidas complementarias. Las transferencias se limitan a las cubiertas por el anexo acordado y las garantías aplicables.