Acuerdo de Dropbox Business

Fecha de publicación: 14 de septiembre de 2016

El presente Acuerdo de Dropbox Business (el "Acuerdo") se celebra entre Dropbox International Unlimited Company si tu organización tiene sede fuera de los Estados Unidos, Canadá y México ("Norteamérica") o, si tu organización se encuentra en Norteamérica, entre Dropbox, Inc., una corporación de Delaware ("Dropbox") y la organización que acepta estas condiciones (el "Cliente"). Este Acuerdo regula el acceso al software cliente y los servicios de Dropbox Business (en conjunto, "Dropbox Business"), así como los Servicios beta a tu disposición (en conjunto con Dropbox Business, los "Servicios"). Al hacer clic en "Acepto", firmar el contrato de los Servicios o usar los Servicios, el Cliente estará aceptando este Acuerdo.

En la medida en que Dropbox, Inc., en nombre del Cliente, procese Datos del Cliente sujetos a la normativa nacional que aplica la Directiva de Protección de Datos de la UE (95/46/CE) ("Leyes de Protección de Datos de la UE"), al hacer clic en "Acepto", estás aceptando las Cláusulas contractuales tipo de la UE con Dropbox, Inc. para la transferencia de datos personales a los encargados del tratamiento recogidos en el Programa 1.

Si aceptas este Acuerdo y Programa 1 (si procede) para el uso de los Servicios por parte de una organización, aceptas en nombre de esa organización. Debes tener la autoridad para vincular la organización a estos términos, de lo contrario, no debes registrarte para los Servicios.

1. Servicios.
   1. Provisión de Servicios. El Cliente y los usuarios de la cuenta del Cliente en los Servicios ("Usuarios finales") podrán acceder y utilizar los Servicios según las disposiciones de este Acuerdo.
   2. Instalaciones y procesamiento de datos. Dropbox utilizará, como mínimo, las medidas de seguridad técnicas y organizativas estándar del sector para transferir, almacenar y procesar los Datos del Cliente. Estas medidas están diseñadas para proteger la integridad de los Datos del Cliente y salvaguardarlos contra cualquier acceso, uso o procesamiento no autorizado de los Datos del Cliente. El Cliente acepta que Dropbox podrá transferir, almacenar y procesar los Datos del Cliente en Estados Unidos y ubicaciones que estén fuera del país del Cliente. En la medida en que los Datos del Cliente están sujetos a las Leyes de Protección de datos de la UE y son procesados por Dropbox como encargado del tratamiento en nombre del Cliente (como responsable del tratamiento), Dropbox usará y procesará tales Datos del Cliente siguiendo las instrucciones del Cliente con el fin de proporcionar los Servicios y satisfacer las obligaciones de Dropbox especificadas en el Acuerdo. "Datos del Cliente" hace referencia a los Datos almacenados y a los Datos de cuenta. "Datos almacenados" hace referencia a los archivos y los datos estructurados enviados a los Servicios por parte del Cliente o los Usuarios finales. "Datos de cuenta" hace referencia a la información de contacto y de la cuenta enviada a los Servicios por parte del Cliente o los Usuarios finales.
   3. Modificaciones en los Servicios. Dropbox podría actualizar los Servicios cada cierto tiempo. Si Dropbox modifica los Servicios de forma que reduzca significativamente su funcionalidad, Dropbox informará al Cliente a través de la dirección de correo asociada a su cuenta.
   4. Software. Algunos Servicios permiten al Cliente descargar software de Dropbox que podría actualizarse automáticamente. El Cliente solo podrá utilizar el software para acceder a los Servicios. Si algún componente del software se ofrece bajo una licencia de código abierto, Dropbox pondrá la licencia a disposición del Cliente y las disposiciones de dicha licencia podrían anular expresamente algunas de las condiciones de este Acuerdo.
   5. Servicios beta. Dropbox puede proveer funciones o productos que están en fase de prueba y evaluación. Los productos y funciones se identifican como alfa, beta, vista previa, de acceso preliminar o evaluación (o palabras o frases con un significado similar) (en conjunto, "Servicios beta"). Con independencia de cualquier disposición en sentido contrario en este Acuerdo o en el Programa 1, se aplican las siguientes condiciones a todos los Servicios beta: (a) se puede usar o rechazar el uso de cualquier Servicio beta; (b) los Servicios beta pueden ser incompatibles y pueden cambiarse en cualquier momento sin previo aviso; (c) la disponibilidad y fiabilidad de los Servicios beta puede no ser comparable a Dropbox Business; (d) los Servicios beta no están sujetos a las mismas medidas de seguridad y auditoría a las que Dropbox Business está sujeto; y (e) DROPBOX NO ASUMIRÁ NINGUNA RESPONSABILIDAD DERIVADA DE O RELACIONADA CON LOS SERVICIOS BETA (EL USO CORRE A RIESGO DEL USUARIO).
2. Obligaciones del Cliente.
   1. Cumplimiento. El Cliente es responsable del uso de los Servicios por parte de los Usuarios finales. El Cliente y sus Usuarios finales deben utilizar los Servicios de forma que cumplan la Política de uso aceptable. El Cliente obtendrá de los Usuarios finales cualquier consentimiento necesario para permitir que los Administradores realicen las acciones descritas en este Acuerdo y para que Dropbox pueda proporcionar los Servicios. El Cliente cumplirá todas las leyes y disposiciones legales aplicables al uso de los Servicios, en caso de que existan.
   2. Administración de los Servicios por parte del Cliente. El Cliente podrá designar a Usuarios finales como "Administradores" a través de la Consola de administración. Los Administradores tendrán la posibilidad de acceder, revelar, restringir o eliminar los Datos del Cliente de las cuentas de los Servicios. Los Administradores también podrán supervisar, restringir o cancelar el acceso a las cuentas de los Servicios. Las responsabilidades de Dropbox no se extienden a la gestión o administración interna de los Servicios. El Cliente será responsable de: (i) proteger la confidencialidad de las contraseñas y las cuentas de los Administradores; (ii) gestionar el acceso a las cuentas de los Administradores; y (iii) garantizar que el uso de los Servicios por parte de los Administradores cumpla lo establecido en este Acuerdo. El Cliente reconoce que si el Cliente adquiere los Servicios a través de un distribuidor y delega a cualquier empleado de tal distribuidor el rol de Administrador de la cuenta de los Servicios del Cliente, tal distribuidor podría controlar la información de la cuenta, incluidos los Datos del Cliente, y acceder a la cuenta de los Servicios del cliente tal y como se ha indicado previamente.
   3. Uso y acceso no autorizado. El cliente impedirá el uso no autorizado de los Servicios por parte de sus Usuarios finales y pondrá fin a cualquier uso no autorizado de los Servicios. Los Servicios no pueden ser utilizados por Usuarios finales menores de 13 años. El Cliente se asegurará de no permitir que ninguna persona menor de 13 años haga uso de los Servicios. El Cliente notificará de inmediato a Dropbox cualquier uso o acceso no autorizado a los Servicios.
   4. Usos restringidos. El Cliente no (i) venderá, revenderá ni alquilará los Servicios; (ii) utilizará los Servicios para actividades en las que el uso o un fallo de los Servicios pueda provocar daños físicos, muertes o lesiones; ni (iii) aplicará ingeniería inversa a los Servicios ni ayudará a nadie a hacerlo, a menos que esta restricción esté prohibida por la ley.
   5. Solicitudes de terceros.
      1. El término "Solicitudes de terceros" se refiere a la solicitud de terceros de registros relativos al uso de los Servicios de un Usuario final, incluida la información de la cuenta de un Usuario final o Cliente. Las Solicitudes de terceros pueden incluir órdenes de registro válidas, órdenes judiciales, citaciones, o cualquier otro tipo de solicitud para la que haya consentimiento escrito de los Usuarios finales que permita revelar información.
      2. El Cliente será responsable de responder a las Solicitudes de terceros mediante su propio acceso a la información. El Cliente se esforzará por obtener la información necesaria para responder a las Solicitudes de terceros, y solo se pondrá en contacto con Dropbox si no puede obtener tal información a pesar de intentarlo con la debida diligencia.
      3. Dropbox realizará un esfuerzo comercialmente razonable, en la medida en que la ley lo permita y según las condiciones de una Solicitud de terceros, para: (A) notificar de inmediato al Cliente de que Dropbox ha recibido una Solicitud de terceros; (B) cumplir las solicitudes comercialmente razonables del Cliente respecto a su esfuerzo por oponerse a una Solicitud de terceros; y (C) proporcionar al Cliente la información o las herramientas que necesite para responder a la Solicitud de terceros (si el Cliente no es capaz de obtener la información de otro modo). Si el Cliente no responde diligentemente a una Solicitud de terceros, Dropbox podrá hacerlo, aunque no estará obligado a ello.
3. Servicios de terceros. Si el Cliente utiliza algún servicio de terceros con los Servicios (como servicios que utilicen la API de Dropbox): (a) Dropbox no será responsable de ningún acto u omisión de terceros, incluido el uso o acceso a la información del Cliente o el Usuario final; y (b) Dropbox no garantiza ni proporciona asistencia a ningún servicio proporcionado por un tercero.
4. Suspensión.
   1. De cuentas de Usuario final por parte de Dropbox. Si un Usuario final (i) infringe este Acuerdo; o (ii) utiliza los Servicios de un modo que Dropbox crea de buena fe que provocará responsabilidades, Dropbox podría solicitar al Cliente que suspenda o cancele la cuenta de Usuario final en cuestión. Si el Cliente no suspende o cancela la cuenta de Usuario final con la debida diligencia, Dropbox podría hacerlo por iniciativa propia.
   2. Emergencias de seguridad. A pesar de cualquier otra disposición de este Acuerdo, si se produce una Emergencia de seguridad, Dropbox podría suspender automáticamente el uso de los Servicios. Dropbox realizará todos los esfuerzos comercialmente razonables para limitar la suspensión al efecto mínimo necesario para evitar o solucionar la Emergencia de seguridad. Por "Emergencia de seguridad" se entenderá: (i) un uso de los Servicios que altere o pueda alterar los Servicios, el uso de los Servicios por parte de otros clientes o la infraestructura empleada para proporcionar los Servicios; y (ii) el acceso no autorizado a los Servicios por parte de terceros.
5. Derechos de propiedad intelectual.
   1. Derechos reservados. Excepto según lo establecido en este documento, este Acuerdo no concede (i) a Dropbox ningún Derecho de propiedad intelectual sobre los Datos del Cliente; ni (ii) al Cliente ningún Derecho de propiedad intelectual sobre los Servicios o las marcas comerciales o cualquier otro elemento de la marca de Dropbox. "Derechos de propiedad intelectual" hace referencia a los derechos actuales y futuros en todo el mundo en relación con derechos de patentes, copyright, secretos comerciales, marcas registradas, derechos morales y similares.
   2. Permiso limitado. El Cliente concede a Dropbox exclusivamente los derechos limitados razonablemente necesarios para que Dropbox pueda ofrecer sus Servicios (por ejemplo, alojar los Datos almacenados). Este permiso también se extiende a los afiliados y terceros de confianza con los que Dropbox colabore para ofrecer los Servicios (por ejemplo, el proveedor que se utilice para procesar los pagos).
   3. Sugerencias. Dropbox podrá, según su propio criterio y con cualquier fin, usar, modificar e incorporar a sus productos y servicios, licencias y sublicencias, cualquier información, comentario o sugerencia que el Cliente o los Usuarios finales envíen a Dropbox o publiquen en los foros de Dropbox, sin obligación alguna al respecto hacia el Cliente.
   4. Lista de clientes. Dropbox podría incluir el nombre del Cliente en una lista de clientes de Dropbox en nuestro sitio web o en materiales promocionales.
6. Tarifas y pagos.
   1. Tarifas. El Cliente pagará y autorizará a Dropbox o al distribuidor de Dropbox el cobro de todas las tarifas aplicables mediante el método de pago seleccionado por el Cliente. Las tarifas no serán reembolsables excepto en los casos que determine la ley. El Cliente es responsable de proporcionar a Dropbox o al distribuidor de Dropbox información de contacto y facturación precisa y completa. Dropbox podrá suspender o cancelar los Servicios si se produce cualquier retraso en el pago.
   2. Renovaciones automáticas y pruebas. SI LA CUENTA DE UN CLIENTE ESTÁ CONFIGURADA CON LA RENOVACIÓN AUTOMÁTICA O EN UN PERIODO DE PRUEBA, DROPBOX (O EL DISTRIBUIDOR DE DROPBOX) PODRÁ APLICAR UN CARGO AUTOMÁTICAMENTE AL FINAL DE LA PRUEBA O A EFECTOS DE RENOVACIÓN, A MENOS QUE EL CLIENTE NOTIFIQUE A DROPBOX (O AL DISTRIBUIDOR DEL CLIENTE SI PROCEDE) QUE QUIERE CANCELAR O INHABILITAR LA RENOVACIÓN AUTOMÁTICA. Dropbox podría revisar las tarifas del Servicio proporcionando al Cliente un aviso previo al cobro con una antelación mínima de 30 días.
   3. Impuestos. El Cliente es responsable de pagar todos los impuestos aplicables. Dropbox o el distribuidor del Cliente cobrará impuestos en caso de que se esté obligado a ello. Si la ley exige que el Cliente practique retenciones de impuestos, el Cliente deberá proporcionar a Dropbox o al distribuidor del Cliente un recibo oficial de impuestos o cualquier otra documentación pertinente.
   4. Órdenes de compra. Si el Cliente requiere el uso de una orden de compra o un número de orden de compra, el Cliente (i) debe proporcionar el número de orden de compra en el momento de la compra; y (ii) acepta que los términos y las condiciones de una orden de compra del Cliente no se aplicarán a este Acuerdo y serán nulos. Si el Cliente adquiere el producto a través de un distribuidor, los términos y condiciones del distribuidor del Cliente o incluidos en una orden de compra entre el Cliente y su distribuidor que entren en conflicto con el Acuerdo de Dropbox Business se declararán nulos.
7. Vigencia y cancelación.
   1. Vigencia. Este Acuerdo permanecerá vigente hasta que termine o se cancele la suscripción del Cliente a los Servicios, o bien hasta que finalice el Acuerdo.
   2. Cancelación por incumplimiento. Tanto Dropbox como el Cliente podrán cancelar el Acuerdo si: (i) la otra parte incumple formalmente el Acuerdo y no solventa tal incumplimiento en un plazo de 30 días a partir de que se le comunique por escrito; o (ii) la otra parte cesa en su actividad comercial o se somete a un procedimiento de bancarrota no resuelto en menos 90 días.
   3. Efectos de la cancelación. En caso de cancelación de este Acuerdo: (i) los derechos otorgados al Cliente por parte de Dropbox se extinguirán de inmediato (excepto por lo establecido en esta sección); (ii) Dropbox proporcionará al Cliente acceso a su cuenta a las tarifas vigentes en ese momento para que el Cliente pueda exportar sus Datos almacenados; y (iii) tras un periodo de tiempo comercialmente razonable, Dropbox podría eliminar los Datos almacenados de la cuenta del Cliente. Las siguientes secciones sobrevivirán a la cancelación o caducidad de este Acuerdo: 2(e) (Solicitudes de terceros), 5 (Derechos de propiedad intelectual), 6 (Tarifas y pagos), 7(c) (Efectos de la cancelación), 8 (Indemnización), 9 (Renuncias), 10 (Limitación de responsabilidad) y 12 (Varios).
8. Indemnización.
   1. Por parte del Cliente. El Cliente indemnizará, defenderá y protegerá a Dropbox ante cualquier responsabilidad, daño y coste (incluidos los costes de acuerdos judiciales y las minutas razonables de abogados) que origine una reclamación de terceros contra Dropbox y sus afiliados respecto a: (i) los Datos del Cliente; (ii) un uso de los Servicios por parte del Cliente que infrinja este Acuerdo; o (iii) un uso de los Servicios por parte de los Usuarios finales del Cliente que infrinja este Acuerdo.
   2. Por parte de Dropbox. Dropbox indemnizará, defenderá y protegerá al Cliente ante cualquier responsabilidad, daño y coste (incluidos los costes de acuerdos judiciales y las minutas razonables de abogados) que origine una reclamación de terceros contra el Cliente, en la medida en que se base en una alegación de que la tecnología empleada por Dropbox para proporcionar sus Servicios al Cliente infringe o usa indebidamente algún copyright, secreto comercial, patente en EE. UU. o marca comercial de dicho tercero. Dropbox no tendrá en ningún caso obligación ni responsabilidad alguna bajo esta sección en relación con: (i) el uso de los Servicios con alguna modificación o en combinación con materiales no proporcionados por Dropbox; o (ii) cualquier contenido, información o datos que proporcionen el Cliente, los Usuarios finales u otros terceros.
   3. Posible infracción. Si Dropbox cree que los Servicios infringen o podría argumentarse que infringen Derechos de propiedad intelectual de terceros, Dropbox podría: (i) obtener, corriendo Dropbox con los gastos, el derecho a que el Cliente siga usando los Servicios; (ii) proporcionar una funcionalidad sustitutiva equivalente que no infrinja ningún derecho; o (iii) modificar los Servicios de modo que dejen de infringir tales derechos. Si Dropbox estima que las opciones descritas en esta sección no son comercialmente razonables, Dropbox podría suspender o cancelar el uso por parte del Cliente de los Servicios afectados (con un reembolso prorrateado de las tarifas prepagadas por los Servicios).
   4. General. La parte indemnizada notificará diligentemente a la otra parte de la reclamación y colaborará con ella para defenderla. La parte indemnizante tendrá todo el control y la autoridad sobre la defensa, excepto por lo siguiente: (i) cualquier acuerdo judicial que requiera que la parte indemnizada admita responsabilidad requerirá un consentimiento previo por escrito, que no se retrasará ni retendrá más allá de lo razonable; y (ii) la otra parte podrá unirse a la defensa con su propio asesoramiento, corriendo dicha parte con los gastos. LAS INDEMNIZACIONES INDICADAS SERÁN LA ÚNICA COMPENSACIÓN DE DROPBOX Y DEL CLIENTE BAJO ESTE ACUERDO EN CASO DE INFRACCIÓN DE LA OTRA PARTE DE LOS DERECHOS DE PROPIEDAD INTELECTUAL DE UN TERCERO.
9. Renuncias. LOS SERVICIOS SE PROPORCIONAN "TAL CUAL". EN LA MEDIDA EN QUE LA LEY LO PERMITA, EXCEPTO POR LO EXPRESAMENTE ESTABLECIDO EN ESTE ACUERDO, NI EL CLIENTE NI DROPBOX NI SUS AFILIADOS, PROVEEDORES O DISTRIBUIDORES OFRECEN NINGUNA GARANTÍA DE NINGUNA CLASE, IMPLÍCITA, OBLIGATORIA O DE NINGÚN OTRO TIPO, LO QUE INCLUYE LAS GARANTÍAS DE COMERCIABILIDAD, ADECUACIÓN PARA UN FIN CONCRETO O NO INFRACCIÓN. EL CLIENTE SERÁ EL RESPONSABLE DEL MANTENIMIENTO DE LOS DATOS ALMACENADOS Y DE REALIZAR LAS COPIAS DE SEGURIDAD PERTINENTES.
10. Limitación de responsabilidad.
    1. Limitación de responsabilidad indirecta. EN LA MEDIDA EN QUE LA LEY LO PERMITA, EXCEPTO POR LAS OBLIGACIONES DE INDEMNIZACIÓN DE DROPBOX O EL CLIENTE, NI EL CLIENTE, NI DROPBOX O SUS AFILIADOS, PROVEEDORES O DISTRIBUIDORES SERÁN RESPONSABLES BAJO ESTE ACUERDO DE (I) DAÑOS INDIRECTOS, ESPECIALES, INCIDENTALES, RESULTANTES, EJEMPLARES NI PUNITIVOS; NI (II) PÉRDIDAS DE USO, NEGOCIOS, INGRESOS O BENEFICIOS (EN CADA CASO, DE FORMA DIRECTA NI INDIRECTA), INCLUSO EN CASO DE QUE LA PARTE CONOCIERA O ESTUVIERA OBLIGADA A CONOCER LA POSIBILIDAD DE TALES DAÑOS, E INCLUSO AUNQUE UNA COMPENSACIÓN NO LOGRE SATISFACER SU FINALIDAD ESENCIAL.
    2. Limitación del importe de la responsabilidad. EN LA MEDIDA EN QUE LA LEY LO PERMITA, LA RESPONSABILIDAD TOTAL DE DROPBOX BAJO ESTE ACUERDO NO SUPERARÁ EN NINGÚN CASO LA CANTIDAD INFERIOR ENTRE ESTAS DOS POSIBILIDADES: 100.000 USD O LA CANTIDAD PAGADA POR EL CLIENTE POR LOS SERVICIOS DURANTE LOS DOCE MESES ANTERIORES AL SUCESO QUE HAYA PROVOCADO LA RESPONSABILIDAD.
11. Disputas.
    1. Resolución informal. Dropbox desea solucionar los problemas del Cliente antes de que sea necesario recurrir a medidas legales formales. Antes de proceder a una acción legal, ambas partes acuerdan intentar resolver la disputa poniéndose en contacto con la otra parte mediante los procedimientos de notificación descritos en la sección 12(e). Si una disputa no se resuelve en un plazo de 30 días a partir de la notificación, el Cliente o Dropbox podrán iniciar un procedimiento legal formal.
    2. Acuerdo de arbitraje. El Cliente y Dropbox aceptan resolver cualquier reclamación relacionada con este Acuerdo o con los Servicios mediante un proceso de arbitraje final y vinculante, excepto en los casos descritos a continuación. La American Arbitration Association (AAA) administrará el arbitraje según sus reglas de arbitraje comercial. El arbitraje se celebrará en San Francisco (CA) o en cualquier otra ubicación que ambas partes acuerden por escrito.
    3. Excepción al Acuerdo de arbitraje. Las partes podrán recurrir a un procedimiento legal en los tribunales federales o estatales de San Francisco, California, sin intentar primero resolver la disputa mediante los procesos informales descritos anteriormente, solo en caso de que sea necesario tomar medidas judiciales para impedir el abuso o uso no autorizado de los Servicios o infracciones de Derechos de propiedad intelectual. Dropbox y el Cliente aceptan someterse a la jurisdicción de dichos tribunales.
    4. RESTRICCIÓN DE ACCIONES CONJUNTAS. El Cliente solo podrá resolver las disputas con Dropbox a título individual, y no podrá realizar reclamaciones en demandas conjuntas, consolidadas o a través de representación. No está permitido recurrir a arbitrajes conjuntos, acciones conjuntas, acciones generales con abogados privados ni a la consolidación con otros arbitrajes.
12. Varios.
    1. Modificación de las condiciones. Dropbox puede revisar este Acuerdo cada cierto tiempo, cuya versión más reciente siempre estará publicada en el sitio web de Dropbox Business. Si a juicio de Dropbox, alguna revisión es especialmente significativa, Dropbox se lo notificará al Cliente (por ejemplo, mediante un mensaje a la dirección de correo electrónico asociada a la cuenta correspondiente). Se podrían publicar otras revisiones en el blog o en la página de condiciones de Dropbox, y el Cliente es responsable de consultar estas publicaciones regularmente. Al seguir accediendo a los Servicios o utilizándolos una vez entren en vigor las revisiones, el Cliente estará aceptando cumplir el Acuerdo revisado. Si el Cliente no acepta las condiciones revisadas del Acuerdo, podrá cancelar los Servicios en un plazo de 30 días a partir de que reciba la notificación del cambio.
    2. Acuerdo completo. El Acuerdo, que incluye la factura del Cliente y el formulario de pedido con Dropbox (si es pertinente), constituye el acuerdo completo entre el Cliente y Dropbox respecto a los asuntos tratados en él, y sustituye y reemplaza a cualquier acuerdo o trato anterior o simultáneo, ya sea oral o por escrito, sobre los aspectos tratados en este Acuerdo. Si existe un conflicto entre los documentos que constituyen este Acuerdo, los documentos tendrán el siguiente orden de prioridad: la factura de Dropbox, el formulario de pedido de Dropbox y el Acuerdo.
    3. Ley aplicable. EL ACUERDO SE REGIRÁ SEGÚN LAS LEYES DE CALIFORNIA, EXCEPTO EN LA MEDIDA EN QUE ENTREN EN CONFLICTO CON LOS PRINCIPIOS LEGALES APLICABLES.
    4. Divisibilidad. Las disposiciones no aplicables se modificarán para reflejar la intención de las partes, y exclusivamente en la medida en que sea necesario para aplicarlas. Las restantes disposiciones del Acuerdo seguirán plenamente vigentes.
    5. Notificaciones. Las notificaciones deberán realizarse por mensajería urgente, aérea o de primera clase, y se considerarán realizadas en el momento en que se reciban. Las notificaciones para el Cliente también podrán enviarse a la dirección de correo electrónico asociada, y se considerarán realizadas en el momento en que se envíen. Las notificaciones para Dropbox deberán enviarse a Dropbox, Inc., apartado de correos 77767, San Francisco, CA 94107, con una copia para el departamento legal.
    6. Dispensa. Una dispensa de cualquier incumplimiento no supone una dispensa de cualquier incumplimiento subsiguiente.
    7. Transferencia. El Cliente no podrá transferir ni traspasar ninguna parte de este Acuerdo sin el consentimiento por escrito de Dropbox. Dropbox no podrá transferir este Acuerdo sin avisar previamente al Cliente, excepto en el caso de que Dropbox transfiera el Acuerdo o cualquier derecho u obligación correspondiente a una empresa filial o en relación con una fusión, adquisición, reorganización corporativa o por la venta de todos o la mayor parte de sus activos. En tal caso, Dropbox no tendrá obligación de proporcionar un aviso. Cualquier otro intento de transferencia o traspaso se considerará nulo.
    8. No representación. Dropbox y el Cliente no son representantes ni socios legales, sino contratistas independientes.
    9. Fuerza mayor. Excepto en lo que respecta a las obligaciones de pago, ni Dropbox ni el Cliente serán responsables por una acción inadecuada en la medida en que sea provocada por una situación más allá de su control razonable (por ejemplo, desastres naturales, actos de guerra o terrorismo, revueltas, huelgas, acciones gubernamentales o problemas que afecten a la red global de Internet).
    10. Ningún tercero beneficiario. Ningún tercero será beneficiario de este Acuerdo. Sin que esto suponga limitaciones para esta sección, los Usuarios finales de un Cliente no son terceros beneficiarios de los derechos del Cliente bajo este Acuerdo.
    11. Restricciones de exportación. La exportación y reexportación de los Datos del Cliente mediante los Servicios podrían estar controladas por las normativas de la administración de exportaciones de los Estados Unidos o cualquier otra restricción de exportación o embargo aplicable. Los Servicios no podrán utilizarse en Corea del Norte, Cuba, Irán, Siria, Sudán ni ningún otro país sujeto a embargo de los Estados Unidos. El Cliente no debe utilizar los Servicios infringiendo restricciones de exportación o embargos en vigor aplicados por los Estados Unidos o cualquier otra jurisdicción aplicable. Además, el Cliente deberá asegurarse de que los Servicios no se proporcionen a personas del grupo de órdenes de denegación, la lista de entidades o la lista de nacionalidades especialmente designadas de los Estados Unidos.

A efectos del Artículo 26, apartado 2, de la Directiva 95/46/CE para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países que no garanticen una adecuada protección de los datos.

Nombre de la entidad exportadora de los datos: Cliente parte del Acuerdo de Dropbox Business con Dropbox International Unlimited Company
(en lo sucesivo, el exportador de datos)

Y

Nombre de la entidad importadora de los datos: Dropbox, Inc.
Dirección: 333 Brannan Street, San Francisco, CA 94107, EE. UU.
(en lo sucesivo, el importador de datos)

cada una de ellas "la parte"; conjuntamente "las partes",

ACUERDAN las siguientes Cláusulas contractuales (en lo sucesivo, las Cláusulas) con objeto de ofrecer garantías suficientes respecto de la protección de la vida privada y los derechos y libertades fundamentales de las personas para la transferencia por el exportador de datos al importador de datos de los datos personales especificados en el Apéndice 1.

A los efectos de las presentes cláusulas:

1. 'datos personales', 'categorías especiales de datos', 'procesamiento', 'responsable del procesamiento', 'encargado del procesamiento', 'interesado' y 'autoridad de control' tendrán el mismo significado que en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, del 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al procesamiento de datos personales y a la libre circulación de estos datos;¹;
2. por 'exportador de datos' se entenderá el responsable del procesamiento que transfiera los datos personales;
3. por 'importador de datos' se entenderá el encargado del procesamiento que convenga en recibir del exportador datos personales para su posterior procesamiento en nombre de este, de conformidad con sus instrucciones y de los términos de las Cláusulas, y que no esté sujeto al sistema de un tercer país por el que se garantice la protección adecuada en el sentido del Artículo 25(1) de la Directiva 95/46/CE;
4. por 'subencargado del procesamiento' se entenderá cualquier encargado del procesamiento contratado por el Importador de datos o por cualquier otro subencargado de este que convenga en recibir del importador de datos, o de cualquier otro subencargado de este, datos personales exclusivamente para las posteriores actividades de tratamiento que se hayan de llevar a cabo en nombre del exportador de datos, de conformidad con sus instrucciones, los términos de las Cláusulas y los términos del contrato que se haya concluido por escrito;
5. por 'legislación de protección de datos aplicable' se entenderá la legislación que protege los derechos y libertades fundamentales de las personas y, en particular, su derecho a la vida privada respecto del procesamiento de los datos personales, aplicable al responsable del tratamiento en el Estado miembro en que está establecido el exportador de datos;
6. por 'medidas de seguridad técnicas y organizativas' se entenderán las destinadas a proteger los datos personales contra su destrucción accidental o ilícita o su pérdida accidental, su alteración, divulgación o acceso no autorizados, especialmente cuando el tratamiento suponga la transmisión de los datos por redes, o cualquier otra forma ilícita de procesamiento. 

Los detalles de la transferencia, en particular, las categorías especiales de los datos personales, quedan especificados si procede en el Apéndice 1, que forma parte integrante de las presentes Cláusulas.

1. Los interesados podrán exigir al exportador de datos el cumplimiento de la presente Cláusula, las letras b) a i) de la Cláusula 4, las letras a) a e) y g) a j) de la Cláusula 5, los apartados 1 y 2 de la Cláusula 6, la Cláusula 7, el apartado 2 de la Cláusula 8 y las Cláusulas 9 a 12, como terceros beneficiarios.
2. Los interesados podrán exigir al importador de datos el cumplimiento de la presente Cláusula, las letras a) a e) y g) de la Cláusula 5, la Cláusula 6, la Cláusula 7, el apartado 2 de la Cláusula 8 y las Cláusulas 9 a 12, cuando el exportador de datos haya desaparecido de facto o haya cesado de existir jurídicamente, a menos que cualquier entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de contrato o por ministerio de la ley y a resultas de lo cual asuma los derechos y las obligaciones del exportador de datos, en cuyo caso los interesados podrán exigirlos a dicha entidad.
3. Los interesados podrán exigir al subencargado del procesamiento de datos el cumplimiento de la presente Cláusula, las letras a) a e) y g) de la Cláusula 5, la Cláusula 6, la Cláusula 7, el apartado 2 de la Cláusula 8 y las Cláusulas 9 a 12, en aquellos casos en que ambos, el exportador de datos y el importador de datos, hayan desaparecido de facto o hayan cesado de existir jurídicamente o sean insolventes, a menos que cualquier entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de contrato o por ministerio de la ley, a resultas de lo cual asuma los derechos y las obligaciones del exportador de datos, en cuyo caso los Interesados podrán exigirlos a dicha entidad. Dicha responsabilidad civil del subencargado del tratamiento se limitará a sus propias operaciones de tratamiento de datos con arreglo a las Cláusulas. Dicha responsabilidad civil del subencargado del tratamiento se limitará a sus propias operaciones de tratamiento de datos con arreglo a las Cláusulas.
4. Las partes no se oponen a que los interesados estén representados por una asociación u otras entidades, si así lo desean expresamente y lo permite el Derecho nacional.

El exportador de datos acuerda y garantiza lo siguiente:

1. el procesamiento de los datos personales, incluida la propia transferencia, ha sido efectuado y seguirá efectuándose de conformidad con las normas pertinentes de la legislación de protección de datos aplicable (y, si procede, se ha notificado a las autoridades correspondientes del Estado miembro de establecimiento del exportador de datos) y no infringe las disposiciones legales o reglamentarias en vigor en dicho Estado miembro;
2. ha dado al importador de datos, y dará durante la prestación de los servicios de procesamiento de los datos personales, instrucciones para que el procesamiento de los datos personales transferidos se lleve a cabo exclusivamente en nombre del exportador de datos y de conformidad con la legislación de protección de datos aplicable y con las Cláusulas;
3. el importador de datos ofrecerá garantías suficientes en lo que respecta a las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 del presente contrato;
4. ha verificado que, de conformidad con la legislación de protección de datos aplicable, dichas medidas resultan apropiadas para proteger los datos personales contra su destrucción accidental o ilícita o su pérdida accidental, su alteración, divulgación o acceso no autorizados, especialmente cuando el tratamiento suponga la transmisión de los datos por redes, o contra cualquier otra forma ilícita de tratamiento y que dichas medidas garantizan un nivel de seguridad apropiado a los riegos que entraña el tratamiento y la naturaleza de los datos que han de protegerse, habida cuenta del estado de la técnica y del coste de su aplicación;
5. asegurará que dichas medidas se lleven a la práctica;
6. si la transferencia incluye categorías especiales de datos, se habrá informado a los interesados, o serán informados antes de que se efectúe aquella, o en cuanto sea posible, de que sus datos podrían ser transferidos a un tercer país que no proporciona la protección adecuada en el sentido de la Directiva 95/46/CE;
7. enviará la notificación recibida del importador de datos o de cualquier subencargado del procesamiento de datos a la autoridad de control de la protección de datos, de conformidad con la letra b) de la Cláusula 5 y el apartado 3 de la cláusula 8, en caso de que el exportador de datos decida proseguir la transferencia o levantar la suspensión;
8. pondrá a disposición de los interesados, previa petición de estos, una copia de las Cláusulas, a excepción del Apéndice 2, y una descripción sumaria de las medidas de seguridad, así como una copia de cualquier contrato para los servicios de subtratamiento de los datos que debe efectuarse de conformidad con las Cláusulas, a menos que las Cláusulas o el contrato contengan información comercial, en cuyo caso podrá eliminar dicha información comercial;
9. que, en caso de subtratamiento, la actividad de tratamiento se llevará a cabo de conformidad con la Cláusula 11 por un subencargado del tratamiento que proporcionará por lo menos el mismo nivel de protección de los datos personales y los derechos de los interesados que el importador de datos en virtud de las presentes Cláusulas; y
10. que asegurará que las letras a) a i) de la Cláusula 4 se lleven a la práctica.

El importador de datos acuerda y garantiza lo siguiente:

1. tratará los datos personales transferidos solo en nombre del exportador de datos, de conformidad con sus instrucciones y las Cláusulas. En caso de que no pueda cumplir estos requisitos por la razón que fuere, informará de ello sin demora al exportador de datos, en cuyo caso este estará facultado para suspender la transferencia de los datos o rescindir el contrato;
2. no tiene motivos para creer que la legislación que le es de aplicación le impida cumplir las instrucciones del exportador de datos y sus obligaciones a tenor del contrato y que, en caso de modificación de la legislación que pueda tener un impotente efecto negativo sobre las garantías y obligaciones estipuladas en las Cláusulas, notificará al exportador de datos dicho cambio en cuanto tenga conocimiento de él, en cuyo caso este estará facultado para suspender la transferencia de los datos o rescindir el contrato;
3. ha puesto en práctica las medidas de seguridad técnicas y organizativas que se indican en el Apéndice 2 antes de efectuar el tratamiento de los datos personales transferidos;
4. notificará sin demora al exportador de datos sobre:
   1. toda solicitud jurídicamente vinculante de divulgar los datos personales presentada por una autoridad encargada de la aplicación de ley a menos que esté prohibido, por ejemplo, por el Derecho penal para preservar la confidencialidad de una investigación levada a cabo por una de dichas autoridades,
   2. todo acceso accidental o no autorizado, y
   3. toda solicitud sin respuesta recibida directamente de los interesados, a menos que se le autorice;
5. tratará adecuadamente en los períodos de tiempo prescritos todas las consultas del exportador de datos relacionadas con el tratamiento que este realice de los datos personales sujetos a transferencia y se atendrá a la opinión de la autoridad de control en lo que respecta al tratamiento de los datos transferidos;
6. ofrecerá a petición del exportador de datos sus instalaciones de tratamiento de datos para que se lleve a cabo la auditoría de las actividades de tratamiento cubiertas por las Cláusulas. Esta será realizada por el exportador de datos o por un organismo de inspección, compuesto por miembros independientes con las cualificaciones profesionales necesarias y sujetos a la confidencialidad, seleccionado por el exportador de datos y, cuando corresponda, de conformidad con la autoridad de control;
7. pondrá a disposición de los Interesados, previa petición de estos, una copia de las Cláusulas, o de cualquier contrato existente para el subtratamiento de los datos, a menos que las cláusulas o el contrato contengan información comercial, en cuyo podrá eliminar dicha información comercial, a excepción del Apéndice 2 que será sustituido por una descripción sumaria de las medidas de seguridad, en aquellos casos en que el interesado no pueda obtenerlas directamente del exportador de datos;
8. que, en caso de subtratamiento de los datos, habrá informado previamente al exportador de datos y obtenido previamente su consentimiento por escrito;
9. que los servicios de tratamiento por el subencargado del tratamiento se llevarán a cabo de conformidad con la Cláusula 11;
10. enviará sin demora al exportador de datos una copia de cualquier acuerdo con el subencargado del tratamiento que concluya con arreglo a las Cláusulas.

1. Las partes acuerdan que los interesados que hayan sufrido daños como resultado del incumplimiento de las obligaciones mencionadas en la Cláusula 3 o en la Cláusula 11 por cualquier parte o subencargado del tratamiento tendrán derecho a percibir una indemnización del exportador de datos para el daño sufrido.
2. En caso de que el interesado no pueda interponer contra el exportador de datos la demanda de indemnización a que se refiere el apartado 1 debido al incumplimiento por parte del importador de datos o su subencargado de sus obligaciones impuestas en la Cláusulas 3 o en la Cláusula 11, por haber desaparecido de facto, cesado de existir jurídicamente o ser insolvente, el importador de datos acepta que el interesado pueda demandarle a él en el lugar del exportador de datos, a menos que cualquier entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de contrato o por ministerio de la ley, en cuyo caso los interesados podrán exigir sus derechos a dicha entidad.
   El importador de datos no podrá basarse en un incumplimiento del subencargado del tratamiento de sus obligaciones para eludir sus propias responsabilidades.
3. En caso de que el interesado no pueda interponer contra el exportador de datos la demanda de indemnización a que se refiere el apartado 1 y 2 por incumplimiento por parte del importador de datos o su subencargado de sus obligaciones impuestas en la Cláusula 3 o en la Cláusula 11, por haber desaparecido de facto, cesado de existir jurídicamente o ser insolvente, el importador de datos acepta que el Interesado pueda demandarle a él en el lugar del exportador de datos, a menos que cualquier entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos en virtud de contrato o por ministerio de la ley, en cuyo caso los interesados podrán exigir sus derechos a dicha entidad. La responsabilidad del subencargado del tratamiento se limitará a sus propias operaciones de tratamiento de datos con arreglo a las presentes Cláusulas.

1. El importador de datos acuerda que, si el interesado invoca en su contra derechos de tercero beneficiario o reclama una indemnización por daños y perjuicios con arreglo a las Cláusulas, aceptará la decisión del interesado de: 
   1. someter el conflicto a mediación por parte de una persona independiente o, si procede, por parte de la autoridad de control;
   2. someter el conflicto a los tribunales del Estado miembro de establecimiento del exportador de datos.
2. Las partes acuerdan que las opciones del interesado no obstaculizarán sus derechos sustantivos o procedimentales a obtener reparación de conformidad con otras disposiciones de Derecho nacional o internacional.

Cláusula 8

Cooperación con las autoridades de control

1. El exportador de datos acuerda depositar una copia del presente contrato ante la autoridad de control si así lo requiere o si el depósito es exigido por la legislación de protección de datos aplicable.
2. Las partes acuerdan que la autoridad de control está facultada para auditar al importador, o a cualquier subencargado, en la misma medida y condiciones en que lo haría respecto del exportador de datos conforme a la legislación de protección de datos aplicable.
3. El importador de datos informará sin demora al exportador de datos en el caso de que la legislación existente aplicable a él o a cualquier subencargado no permita auditar al importador ni a los subencargados, con arreglo al apartado 2. En tal caso, el importador de datos estará autorizado a adoptar las medidas previstas en la letra (b) de la Cláusula 5.

Las Cláusulas se regirán por la legislación del Estado miembro de establecimiento del exportador de datos.

Las partes se comprometen a no variar o modificar las presentes Cláusulas. Esto no excluye que las partes añadan Cláusulas relacionadas con sus negocios en caso necesario siempre que no contradigan las Cláusulas.

1. El importador de datos no subcontratará ninguna de sus operaciones de procesamiento llevadas a cabo en nombre del exportador de datos con arreglo a las Cláusulas sin previo consentimiento por escrito del exportador de datos. Si el importador de datos subcontrata sus obligaciones con arreglo a las Cláusulas, con el consentimiento del exportador de datos, lo hará exclusivamente mediante un acuerdo escrito con el subencargado del tratamiento de datos, en el que se le impongan a este las mismas obligaciones impuestas al Importador de datos con arreglo a las Cláusulas³. En los casos en que el subencargado del tratamiento de datos no pueda cumplir sus obligaciones de protección de los datos con arreglo a dicho acuerdo escrito, el importador de datos seguirá siendo plenamente responsable frente al exportador de datos del cumplimiento de las obligaciones del subencargado del tratamiento de datos con arreglo a dicho acuerdo.
2. El contrato escrito previo entre el importador de datos y el subencargado del tratamiento contendrá asimismo una Cláusula de tercero beneficiario, tal como se establece en la Cláusula 3, para los casos en que el interesado no pueda interponer la demanda de indemnización a que se refiere el apartado 1 de la Cláusula 6 contra el exportador de datos o el importador de datos por haber estos desaparecido de facto, cesado de existir jurídicamente o ser insolventes, y ninguna entidad sucesora haya asumido la totalidad de las obligaciones jurídicas del exportador de datos o del importador de datos en virtud de contrato o por ministerio de la ley. Dicha responsabilidad civil del subencargado del tratamiento se limitará a sus propias operaciones de tratamiento de datos con arreglo a las Cláusulas.
3. Las disposiciones sobre aspectos de la protección de los datos en caso de subcontratación de operaciones de procesamiento a que se refiere el apartado 1 se regirán por la legislación del Estado miembro de establecimiento del exportador de datos.
4. El exportador de datos conservará la lista de los acuerdos de subtratamiento celebrados con arreglo a las Cláusulas y notificados por el importador de datos de conformidad con la letra j) de la Cláusula 5, lista que se actualizará al menos una vez al año. La lista estará a disposición de la autoridad de control de protección de datos del exportador de datos.

Obligaciones una vez finalizada la prestación de los servicios de tratamiento de los datos personales

1. Las partes acuerdan que, una vez finalizada la prestación de los servicios de tratamiento de los datos personales, el importador y el subencargado deberán, a discreción del exportador, o bien devolver todos los datos personales transferidos y sus copias, o bien destruirlos por completo y certificar esta circunstancia al exportador, a menos que la legislación aplicable al importador le impida devolver o destruir total o parcialmente los datos personales transferidos. En tal caso, el importador de datos garantiza que guardará el secreto de los datos personales transferidos y que no volverá a someterlos a tratamiento.
2. El importador de datos y el subencargado garantizan que, a petición del exportador o de la autoridad de control, pondrá a disposición sus instalaciones de tratamiento de los datos para que se lleve a cabo la auditoría de las medidas mencionadas en el apartado 1.

Los términos en mayúscula utilizados en los apartados A, B y C y los Apéndices, pero no definidos en las Cláusulas, tendrán el significado establecido en el Acuerdo de Dropbox Business entre el exportador de datos y Dropbox International Unlimited Company.

1. Auditoría de seguridad. El importador de datos mantiene las certificaciones ISO/IEC 27001:2013 e ISO/IEC 27018:2014, emitidas por un auditor independiente. El importador de datos seguirá sometiéndose a auditorías ISO/IEC 27001:2013 e ISO/IEC 27018 sistemáticas para mantener tales certificaciones para los Servicios durante su duración. El importador de datos también se somete regularmente a auditorías de Service Organization Control 2 (SOC 2) de tipo II. De acuerdo a las obligaciones de confidencialidad del importador de datos y no más de una vez al año, el importador de datos proporcionará al exportador de datos una copia del informe SOC 2 de tipo II previa petición por escrito. El importador de datos pondrá nuevos informes SOC 2 a disposición a medida que estén listos de acuerdo a los requisitos de confidencialidad del importador de datos. El importador de datos revisa sistemáticamente sus organizaciones de subservicio externas, que se someten a auditorías para la obtención de las certificaciones Standards for Attestation Engagements No. 16 (SSAE 16) / International Standard on Assurance Engagements No. 3402 (ISAE 3402) Service Organization Control 1 (SOC 1) de tipo II o Service Organization Control 2 (SOC 2) de tipo II que evalúan el diseño y la eficacia de sus políticas de seguridad, procedimientos y controles.

   El exportador de datos acepta que las obligaciones del importador de datos expuestas en esta Sección A satisfacen plenamente los derechos de auditoría incluidos en la Cláusula 5(f) y la Cláusula 12 (2) de las Cláusulas.

2. Subtratamiento de datos. El importador de datos tal vez implique a otras empresas para proporcionar partes limitadas de los Servicios (incluidos servicios de asistencia) en nombre del importador de datos, y el exportador de datos acepta que el importador de datos subcontrate el procesamiento de datos personales a subencargados tal y como se describe en las Cláusulas. El importador de datos se asegurará de que cualquier subencargado solo acceda y utilice los datos personales con el fin de proporcionar los Servicios tal y como se especifica en un acuerdo escrito entre el importador de datos y el subencargado. El exportador de datos acepta que cualquier requisito aplicable al importador de datos recogido en las Cláusulas con respecto a los acuerdos con subencargados deberá cumplirse por completo siempre y cuando el acuerdo de subtratamiento entre el importador de datos y el subencargado proporcione al menos el nivel de protección de datos exigido en el Acuerdo de Dropbox Business.
3. Responsabilidad. Las Cláusulas estarán sujetas a las limitaciones y exenciones de responsabilidad descritas en la sección "Limitación de responsabilidad" del Acuerdo de Dropbox Business, de tal forma que la responsabilidad total del importador de datos y Dropbox International Unlimited Company, en conjunto, no superará la responsabilidad establecida en el Acuerdo de Dropbox Business. Para que no haya lugar a dudas, el exportador de datos no tendrá derecho a reclamar al importador de datos y Dropbox International Unlimited Company en relación a la misma pérdida.

El presente Apéndice forma parte integrante de las Cláusulas y deberá ser cumplimentado y suscrito por las partes.

Los Estados miembros podrán completar o especificar, de conformidad con sus procedimientos nacionales, cualquier información que deba incluirse en el presente Apéndice.

Exportador de datos

El exportador de datos es (especifique brevemente sus actividades correspondientes a la transferencia):

El Cliente del Acuerdo de Dropbox Business con Dropbox International Unlimited Company.

Importador de datos

El importador de datos es (especifique brevemente sus actividades correspondientes a la transferencia):

Dropbox, Inc., proveedor global de servicios en la nube para particulares y empresas. Dropbox, Inc., ofrece a sus afiliados sitio web, software y aplicaciones para móviles que permiten a los usuarios almacenar archivos, sincronizar archivos entre diferentes dispositivos y colaborar con otros usuarios. También es posible acceder al servicio de Dropbox, Inc., mediante interfaces de programación de aplicaciones (API).

Interesados

Los datos personales transferidos se refieren a las siguientes categorías de datos (especifíquense):

El exportador de datos y los afiliados y usuarios finales del exportador de datos, incluidos los empleados, consultores y contratistas del exportador de datos, así como cualquier particular que colabore o comparta datos con dichos usuarios finales que hacen uso de los servicios proporcionados por el importador de datos.

Categorías de datos

Los datos personales transferidos se refieren a las siguientes categorías de datos (especifíquense):

Los usuarios finales que identifiquen información y datos de la organización (tanto en línea como sin conexión), así como los documentos, imágenes y otro contenido o datos en formato electrónico almacenados o transmitidos por los usuarios finales a través de los servicios del importador de datos.

Operaciones de tratamiento

Los datos personales transferidos serán sometidos a las operaciones básicas de tratamiento siguientes (especifíquense):

El importador de datos o sus subencargados del tratamiento usarán y procesarán los datos personales, y el exportador de datos exige al importador de datos que utilice y procese los datos personales para ofrecer los Servicios establecidos en el Acuerdo de Dropbox Business.

El presente Apéndice forma parte integrante de las Cláusulas y deberá ser cumplimentado y suscrito por las partes.

Descripción de las medidas de seguridad técnicas y organizativas puestas en práctica por el importador de datos de conformidad con la letra d) de la Cláusula 4 y la letra c) de la Cláusula 5 (o documento o legislación adjuntos):

Contacto de Privacidad de Datos

Es posible ponerse en contacto con el responsable de privacidad de datos del importador de datos mediante la dirección privacy@dropbox.com.

Medidas de seguridad

El importador de datos ha implementado y mantendrá garantías administrativas, técnicas y físicas para proteger datos personales tal y como se describe en más detalle en el Informe de seguridad de Dropbox Business (disponible a partir de la Fecha de entrada en vigor en: https://www.dropbox.com/…/Security_Whitepaper.pdf) y descritas además a continuación. El importador de datos podrá actualizar estas medidas de seguridad de vez en cuando, con la versión más reciente disponible en la anterior URL (u otra URL facilitada por el importador de datos), con la condición de que el importador de datos notifique al exportador de datos si el importador de datos actualiza las medidas de seguridad de forma que se reduzcan materialmente las funciones de seguridad administrativas, técnicas o físicas descritas en ella o en el presente Apéndice 2.

1. Seguridad del servicio
   1. Arquitectura de Dropbox. El diseño del servicio del importador de datos incluye varias capas de protección que abarcan la transferencia de datos, el cifrado, la configuración de red y los controles a nivel de aplicación; todo ello distribuido en una infraestructura segura y ampliable. Los usuarios finales del servicio del importador de datos pueden acceder a los archivos y carpetas en cualquier momento desde los clientes de escritorio, web y móvil. Todos estos clientes se conectan a servicios seguros para proporcionar acceso a archivos, permiten compartir archivos con otros usuarios y actualizan los dispositivos vinculados cuando se añaden, modifican o eliminan archivos. Existe la posibilidad de utilizar y acceder al servicio a través de diferentes interfaces. Cada una de ellas tiene funciones y configuraciones de seguridad que procesan y protegen los datos a la vez que garantizan la facilidad de acceso.
   2. Fiabilidad. El servicio del importador de datos está desarrollado con diversas capas de redundancia para su protección frente a pérdida de datos y para asegurar la disponibilidad.
   3. Cifrado. Para proteger los datos en tránsito entre el exportador y el importador de datos, el importador de datos emplea las tecnologías Secure Sockets Layer (SSL)/Transport Layer Security (TLS) para la transferencia de datos, creando un túnel seguro protegido por un cifrado con Advanced Encryption Standard (AES) de 128 bits o superior. Los datos de los archivos utilizan el cifrado AES de 256 bits. La infraestructura de administración de claves de cifrado del importador de datos está diseñada con controles de seguridad operativos, técnicos y de procedimientos, con acceso muy limitado a las claves. La generación, el intercambio y el almacenamiento de las claves de cifrado se distribuyen para que el procesamiento esté descentralizado.
   4. Características de administración para usuarios. Los usuarios finales del servicio del importador de datos tienen la posibilidad de restaurar archivos perdidos y recuperar versiones anteriores de sus archivos, lo que garantiza que sea posible supervisar y recuperar los cambios realizados en esos archivos. El servicio del importador de datos permite utilizar un procedimiento de autenticación de dos pasos que añade una capa adicional de protección.
   5. Centros de datos. Los sistemas corporativos y de producción del importador de datos están alojados en centros de datos de subservicios de terceros situados en los Estados Unidos. El importador de datos analiza todos los informes de Service Organization Control (SOC, control de organización de servicio) 1 y/o SOC 2 de los centros de datos de estas organizaciones como mínimo una vez al año para garantizar el control de la seguridad.
2. Seguridad de información.
   1. Políticas. El importador de datos ha establecido un completo conjunto de políticas de seguridad que definen aspectos como los siguientes: seguridad de la información, seguridad física respuesta a incidentes, acceso lógico, acceso físico a producción, gestión de cambios y asistencia. Revisamos y volvemos a aprobar estas políticas al menos una vez al año. Se notifica al personal del importador de datos de las actualizaciones que se realicen a estas políticas y se le proporciona formación de seguridad.
   2. Política de empleados y acceso. Las políticas internas del importador de datos requieren procedimientos de incorporación que incluyen lo siguiente: control de antecedentes (según lo permitido por la legislación local), confirmación de políticas de seguridad, comunicación de actualizaciones en las políticas de seguridad y acuerdos de confidencialidad. Cuando un empleado o contratista abandona la empresa, todos los accesos de empleado se eliminan de inmediato. El importador de datos emplea controles de acceso técnicos y políticas internas para impedir que los empleados o contratistas accedan de forma arbitraria a los archivos y para restringir el acceso a los metadatos y a otros datos acerca de las cuentas de los usuarios finales. Para proteger la privacidad y la seguridad del usuario final, solo un pequeño número de empleados o contratistas tiene acceso al entorno en el que se almacenan los archivos de los usuarios finales. Los supervisores mantendrán un registro de la solicitud, de la justificación y de la aprobación del acceso, que será concedido por el personal pertinente.
   3. Seguridad de la red. El importador de datos dispone de técnicas de supervisión y seguridad de la red que están diseñadas para ofrecer múltiples capas de protección y defensa. El importador de datos emplea técnicas de protección estándar del sector, como cortafuegos, supervisión de la seguridad de la red y sistemas de detección de intrusiones, a fin de garantizar que solo el tráfico permitido pueda llegar a la infraestructura del importador de datos.
   4. Administración de cambios. El importador de datos garantiza que los cambios en seguridad se autoricen antes de su implementación en los entornos de producción. Los cambios en el código fuente son iniciados por desarrolladores que quieren realizar mejoras en la aplicación o el servicio del importador de datos. Los cambios en la infraestructura del importador de datos están restringidos exclusivamente al personal autorizado. Todos los cambios realizados a nivel de la aplicación de los servicios deben someterse a procedimientos de pruebas de control de calidad automáticos para verificar que cumplen los requisitos de seguridad. Si un cambio supera correctamente los procedimientos de control de calidad, termina por aplicarse.
   5. Conformidad. El importador de datos, sus centros de datos y su proveedor de servicios gestionados se someten a auditorías sistemáticas de seguridad realizadas por terceros independientes. El importador de datos seguirá sometiéndose a auditorías sistemáticas de ISO/IEC 27001:2013 y ISO/IEC 27018:2014. El importador de datos también revisa los informes SOC 1 y/o SOC 2 de todas las organizaciones que prestan servicios. En caso de que no esté disponible el informe SOC 1 y/o SOC 2 de alguna de estas organizaciones, el importador de datos realiza inspecciones de seguridad en las instalaciones para verificar que los controles de seguridad físicos, de entorno y operativos aplicables cumplen los criterios de control y requisitos contractuales. El importador de datos evalúa cualquier certificación o estándar de conformidad adicional que los proveedores de subservicios faciliten al importador de datos de manera regular.
3. Seguridad física
   1. Infraestructura. El acceso físico a las instalaciones del entorno de producción de las organizaciones que prestan sus servicios está restringido al personal autorizado por el importador de datos, según sea necesario para realizar su trabajo. Cualquier persona que requiera un acceso adicional a las instalaciones del entorno de producción tendrá que recibir dicho acceso mediante la aprobación expresa de los supervisores correspondientes.
   2. Oficina. El importador de datos dispone de un equipo de seguridad físico que es responsable de aplicar la política de seguridad física y supervisar la seguridad de la oficina corporativa del importador de datos. El acceso a las zonas donde se encuentran los servidores corporativos está restringido al personal autorizado a través de funciones de acceso elevado, que se otorgan mediante el sistema de identificaciones.