Revisado el 4 de octubre de 2026.
Este Anexo de Procesamiento de Datos («DPA») forma parte de los Términos de Servicio o de un acuerdo escrito («Acuerdo») entre AI Psychometrics Inc. («la Empresa») y el Cliente. Se refiere a los datos personales que la Empresa procesa por cuenta del Cliente al prestar los servicios contratados de evaluación de candidatos, informes y servicios relacionados («Datos Personales del Cliente»). No cubre los datos de cuentas empresariales, facturación y consulta del sitio web controlados por la Empresa, salvo acuerdo explícito. La aceptación requiere un esquema completo de procesamiento y transferencia. La mera publicación no constituye la aceptación del Cliente ni satisface un requisito imperativo de transferencia.
1. Definiciones, orden y roles
«Ley de Protección de Datos» designa la ley de privacidad y seguridad aplicable a este procesamiento en los mercados que se prevé admitir: la República de Corea, Australia, Singapur, los Estados Unidos y Canadá, incluidas, cuando corresponda, la Ley de Protección de Información Personal de Corea («PIPA»), la Privacy Act 1988 de Australia y los Principios de Privacidad Australianos («APP»), la Personal Data Protection Act 2012 de Singapur («PDPA»), la ley federal o provincial de privacidad de Canadá y la ley federal o estatal de EE. UU. aplicable. El RGPD y el RGPD del Reino Unido pueden resultar pertinentes para una ruta de procesamiento de la UE o el Reino Unido aprobada por separado, pero no se activan por el soporte de idiomas de la interfaz. «Subencargado» designa a un tercero contratado por la Empresa para procesar Datos Personales del Cliente. «Violación de Datos Personales» designa una violación de la seguridad que resulte en la destrucción, pérdida o alteración accidental o ilícita, o en la revelación o el acceso no autorizados a Datos Personales del Cliente. «SCC» designa las Cláusulas Contractuales Tipo 2021/914 de la Comisión Europea cuando se incorporen válidamente. Los roles jurídicos definidos toman su significado de la ley correspondiente: las etiquetas de responsable y encargado del RGPD no sustituyen al consignante y consignatario de la PIPA ni a los deberes de la organización responsable de Canadá. En el módulo de Corea se utilizan los términos responsable del tratamiento (consignante) y consignatario. El Cliente determina normalmente los fines de contratación y actúa como responsable o consignante; la Empresa procesa normalmente esos datos para el Cliente. Si el Cliente actúa por cuenta de otro responsable, declara que tiene facultades para designar a la Empresa como subencargado. Este DPA prevalece sobre el Acuerdo en lo relativo a los Datos Personales del Cliente, incluida la Sección 12 de los Términos en la medida allí expresamente acordada; las condiciones imperativas de transferencia y los derechos legales locales prevalecen sobre las condiciones contradictorias del presente. El Límite Reforzado de privacidad y seguridad (denominado en versiones anteriores como «Super-Límite») se declara en la Sección 12 de los Términos y en la Sección 12 de este DPA con la misma cifra y alcance. Ninguna asignación contractual elimina los deberes directos que la ley impone a cualquiera de las partes.
2. Instrucciones y límites de uso
Las instrucciones documentadas del Cliente consisten en el Acuerdo, un Anexo 1 completado, la configuración autorizada del Servicio y las instrucciones escritas posteriores aceptadas por la Empresa. La Empresa procesa únicamente siguiendo esas instrucciones para prestar, proteger y dar soporte al Servicio, incluidas las transferencias aprobadas, salvo que la ley exija otra cosa; informará primero al Cliente salvo que esté prohibido. La Empresa informará con prontitud al Cliente si considera que una instrucción infringe la Ley de Protección de Datos aplicable y puede pausar el procesamiento afectado mientras las partes lo resuelven. El Cliente es responsable del fundamento jurídico, de las notificaciones exactas a los candidatos y de las opciones exigidas, del uso laboral justo y lícito y de la autorización de cualquier responsable previo. La Empresa no venderá ni compartirá Datos Personales del Cliente para publicidad conductual de contexto cruzado, no los usará para la decisión de contratación de otro cliente ni entrenará un modelo de un proveedor con ellos fuera de un acuerdo documentado, expreso y lícito. Toda desidentificación, incluidas la seudonimización y la anonimización, debe cumplir la ley aplicable; la seudonimización por sí sola no elimina este DPA. La Empresa realizará la investigación opcional seudonimizada de funcionamiento diferencial de los ítems (DIF) únicamente con una finalidad documentada, una elección u otro fundamento lícito, separación de los registros operativos, límites de acceso y un proceso de retención y eliminación que cumpla la Sección 9. Las insignias públicas de los candidatos y la investigación opcional requieren instrucciones y opciones definidas por separado; una invitación a una evaluación no es por sí sola una instrucción de publicar una credencial.
3. Detalles del procesamiento y personal
El Anexo 1 establece el objeto, la finalidad, la duración, los interesados, los tipos de datos y las operaciones. La Empresa limita el acceso del personal a quienes tienen una necesidad legítima, les vincula a la confidencialidad y les proporciona formación adecuada en privacidad y seguridad. El Cliente controla cuáles de sus usuarios y socios autorizados pueden acceder a su cuenta de cliente. El acceso a la cuenta de cliente se controla mediante la pertenencia en la base de datos y las políticas RLS aplicables. La administración privilegiada y la compartición pública requieren controles separados; no se afirma ninguna certificación de aislamiento de todo el servicio.
4. Seguridad
La Empresa implementará medidas técnicas y organizativas apropiadas según el riesgo, incluidas las medidas del Anexo 2. Las medidas pueden mejorar sin disminuir sustancialmente la protección global. La Empresa no promete certificación SOC 2 ni ISO. La Empresa pondrá razonablemente a disposición la información de seguridad existente para ayudar a la revisión lícita del Cliente, con sujeción a confidencialidad, y registrará las medidas de seguridad aplicables en el Anexo 2.
5. Subencargados
El Cliente otorga a la Empresa una autorización general por escrito para contratar a los Subencargados verificados enumerados en el Anexo 3 completado y, con sujeción al proceso de notificación y objeción de esta Sección, a las incorporaciones o sustituciones posteriores de rutina. La Empresa sigue siendo responsable de su procesamiento correspondiente y garantizará que las obligaciones escritas aplicables protejan los Datos Personales del Cliente. Antes de que un Subencargado nuevo o sustituto de rutina procese Datos Personales del Cliente, la Empresa notificará al Cliente con al menos 30 días naturales de antelación por correo electrónico al contacto de seguridad o legal designado y a través de la lista mantenida en el portal. El Cliente puede objetar por motivos documentados de protección de datos dentro de los 15 días naturales siguientes a la recepción de esa notificación. La Empresa y el Cliente trabajarán de buena fe para encontrar una alternativa razonable. Si no hay una alternativa razonable disponible, el Cliente puede terminar únicamente el servicio afectado y recibir el reembolso del importe pagado por los Créditos comprados no utilizados de ese servicio, calculado conforme a las condiciones de reembolso del Acuerdo; los demás servicios y tarifas no se ven afectados. Una sustitución urgente necesaria por seguridad o continuidad puede notificarse tan pronto como sea posible, con el motivo de la urgencia y la misma vía de objeción; la ley imperativa y cualquier requisito de autorización más estricto siguen prevaleciendo. La reconsignación según la PIPA requiere el consentimiento del consignante conforme a la ley aplicable; la autorización general no prevalece sobre una instrucción más estricta ni sobre un requisito local. El Anexo 3 debe identificar las entidades contratantes reales, las tareas, las categorías de datos, los países de procesamiento y de acceso de soporte, la retención y las salvaguardas de transferencia antes de la aceptación. Stripe u otros procesadores de cuentas pertenecen a este DPA solo en la medida en que procesen Datos Personales del Cliente.
6. Procesamiento en el extranjero y transferencias
La Empresa y los Subencargados aprobados solo pueden procesar datos en los países y por las rutas de transferencia revelados con exactitud en el Anexo 3 completado. El Cliente y la Empresa cooperarán en la revelación exigida, los fundamentos jurídicos y las salvaguardas; el Cliente sigue siendo responsable de sus propias notificaciones a los candidatos y de las instrucciones de transferencia lícitas, mientras que la Empresa proporciona datos exactos sobre destinatarios y procesamiento. Para las transferencias restringidas del EEE, las partes pueden firmar por separado o incorporar válidamente el módulo correcto de las SCC 2021/914 (responsable a encargado o encargado a encargado), completar los anexos oficiales, elegir una ley y un fuero apropiados y realizar la evaluación complementaria cuando se requiera. Las transferencias al Reino Unido necesitan el Addendum del Reino Unido u otro mecanismo lícito; las transferencias a Suiza necesitan una adaptación específica de la jurisdicción. Una mera referencia a las SCC con países y anexos incompletos no se presenta como un mecanismo de transferencia eficaz. Para Corea, determine el fundamento aplicable del artículo 28-8 para cada transferencia, con los datos de destinatario, país, finalidad, retención y negativa cuando el fundamento y la ley los exijan; el consentimiento es un fundamento posible, no un requisito general para toda transferencia. La notificación de transferencia debe distinguir además entre provisión en el extranjero, consignación y almacenamiento, y considerar las transferencias posteriores. Una ejecución en Seúl no elimina otras rutas en el extranjero. Para Australia y Singapur, utilice los módulos específicos del Anexo 4 y complete sus destinatarios, países, fines, salvaguardas y rutas de transferencia reales antes de procesar allí. Otros mercados, incluidos Japón y China, necesitan un suplemento aprobado por separado y un fundamento lícito documentado antes de la incorporación; la mera mención de la APPI o la PIPL no activa un mercado. Para los datos canadienses, la organización responsable debe utilizar medios contractuales u otros para una protección comparable y abordar la transparencia del acceso extranjero conforme a la ley aplicable. Cada parte cumplirá las obligaciones específicas del país aplicables a su rol. Las ubicaciones conocidas de cómputo y almacenamiento figuran en el Anexo 3. La región de cómputo o almacenamiento no identifica los países de acceso de soporte de los proveedores ni establece una retención cero.
7. Asistencia y derechos
Teniendo en cuenta el procesamiento y la información disponible, la Empresa asistirá razonablemente al Cliente con el acceso, la rectificación, la supresión, la oposición, la portabilidad, la seguridad, la evaluación de violaciones, las evaluaciones de impacto y las consultas de reguladores cuando corresponda. Si una persona pregunta directamente a la Empresa sobre Datos Personales del Cliente, la Empresa verificará y remitirá o coordinará con el Cliente, salvo que la ley exija una actuación directa. La Empresa atenderá esas solicitudes sin demora indebida, con sujeción a los plazos legales aplicables. La asistencia no estándar solo puede cobrarse con una tarifa acordada previamente, salvo para subsanar un incumplimiento de la Empresa. El Cliente decide su respuesta de contratación y la revisión humana; la Empresa proporciona la información de sistema disponible, pero no afirma una validación ni una auditoría de sesgo completadas que no haya realizado.
8. Violación de Datos Personales
Los informes y las consultas de seguimiento pueden enviarse a help@ai-psychometrics.com. La Empresa notificará al Cliente sin demora indebida y, en cualquier caso, dentro de las 72 horas siguientes a tener conocimiento de una Violación de Datos Personales que afecte a Datos Personales del Cliente. La notificación se enviará al titular de la cuenta y al contacto de seguridad designado mediante el procedimiento de notificación acordado. La notificación inicial incluirá los hechos disponibles sobre la naturaleza de la violación, los registros afectados, las consecuencias probables, la contención y el contacto de seguimiento; no necesita esperar a una investigación completa. La Empresa proporcionará actualizaciones sustanciales a medida que se verifiquen los hechos, adoptará medidas razonables de contención e investigación y asistirá al Cliente con las notificaciones legalmente exigidas. El Cliente debe mantener datos de contacto exactos. Cada parte conserva sus deberes legales directos y puede hacer una notificación legalmente exigida; ningún plazo contractual amplía un período imperativo más corto ni permite retrasar una notificación exigida sin demora indebida.
9. Devolución, retención y eliminación de datos
La Empresa conservará los datos de evaluación de los candidatos durante un período predeterminado de hasta tres años (1.095 días), con sujeción a las instrucciones del Cliente y a la ley aplicable. La Empresa documentará el hecho de inicio de cada categoría, cualquier configuración del Cliente más corta acordada y las excepciones de retención lícitas en el Anexo 1. Tras la solicitud escrita de devolución o eliminación del Cliente o la terminación del Servicio, la Empresa proporcionará una ventana de exportación de 30 días para los Datos Personales del Cliente que pueda proporcionar lícitamente y eliminará los datos correspondientes de los sistemas activos y de las copias de seguridad dentro de los períodos verificados indicados en el Anexo 1 para cada sistema y categoría. La Empresa solo indicará un período en el Anexo 1 después de verificar el ciclo de eliminación real del sistema o Subencargado correspondiente. La Empresa volverá a aplicar la eliminación a las copias restauradas y coordinará las obligaciones correspondientes con sus procesadores.
Estas obligaciones cubren las respuestas en bruto, las evaluaciones, los informes individuales y de cohorte, el almacenamiento de objetos, las insignias, los registros de auditoría y de bandeja de salida, los artefactos de terceros y las copias de seguridad. La Empresa protegerá los datos conservados, limitará el acceso y el uso, identificará cualquier retención lícita o conservación justificada cuando esté permitido y eliminará los datos cuando el fundamento termine. La Empresa proporcionará un registro de eliminación basado en hechos tras comprobar los sistemas correspondientes. Los datos DIF seudonimizados aprobados por separado se conservarán durante no más de 12 meses, se mantendrán separados de los registros principales de evaluación y se eliminarán cuando venza el período aprobado. La investigación opcional requiere su fundamento jurídico aplicable y el consentimiento cuando se requiera. La Empresa mantendrá actualizado el esquema de categorías del Anexo 1.
10. Información, auditorías y supervisión regulatoria
La Empresa proporcionará la información razonablemente necesaria para demostrar el cumplimiento y permitirá las auditorías o inspecciones exigidas por la ley aplicable, con sujeción a una notificación previa razonable, la seguridad, la confidencialidad y la protección de los datos de otros clientes. Salvo que la ley aplicable o un regulador exijan otra cosa, una auditoría comenzará con una revisión remota de documentos y respuestas escritas; se solicitará con una notificación escrita de al menos 30 días naturales y no más de una vez en cada período de 12 meses (salvo tras una Violación de Datos Personales confirmada); se realizará bajo condiciones escritas de confidencialidad; y correrá a cargo del Cliente, incluidos los costes razonables y documentados de la Empresa por apoyarla. Una inspección in situ solo tiene lugar cuando la revisión remota no pueda satisfacer un requisito de la ley aplicable. Las partes pueden acordar un alcance y una asignación de costes distintos que no obstruyan una auditoría legal, una investigación posterior a una violación ni una solicitud de supervisión. La Empresa corregirá los incumplimientos sustanciales verificados. Los acuerdos de auditoría no deben obstruir la supervisión ni los derechos de auditoría legales imperativos. La Empresa cooperará con las solicitudes lícitas de los reguladores protegiendo a los demás clientes.
11. Solicitudes gubernamentales y modelos
La Empresa evaluará las solicitudes lícitas de autoridades públicas, revelará únicamente lo que la ley exija y notificará al Cliente cuando esté legalmente permitido. La Empresa evaluará cada solicitud gubernamental conforme a la ley aplicable y a las condiciones de este DPA. Cuando un proveedor de modelos procese Datos Personales del Cliente, la Empresa procurará condiciones de servicio y configuraciones apropiadas para la finalidad declarada y revelará el uso real del proveedor y las condiciones de entrenamiento y retención, en lugar de garantizar que toda función de una API tenga retención cero. Una configuración habilitada en una organización no es una prueba para todas las rutas. El Cliente debe evitar enviar información que la tarea del modelo no necesite.
12. Responsabilidad, duración e idioma
Las disposiciones de responsabilidad del Acuerdo se aplican únicamente en la medida en que sean lícitas y no contrarias a las SCC imperativas ni a los derechos legales locales. Para las reclamaciones entre las partes contratantes, el Límite General equivale a las tarifas efectivamente pagadas por el Cliente a la Empresa por el Servicio durante los 12 meses inmediatamente anteriores al hecho que dio lugar a la reclamación, sin mínimo de 100 USD. Las reclamaciones entre las partes derivadas del incumplimiento de la confidencialidad, de las obligaciones de seguridad o de este DPA están sujetas a un único Límite Reforzado total (denominado en versiones anteriores como «Super-Límite») igual al mayor de (a) dos veces el Límite General o (b) 15.000 USD, sin acumularse al Límite General. Estas definiciones y niveles reflejan la Sección 12 de los Términos; las exclusiones de los Términos por fraude, dolo, negligencia grave, tarifas impagadas y responsabilidad irrenunciable siguen vigentes. Ningún límite altera las condiciones válidas de las SCC ni los derechos independientes de una persona o de un regulador. Este DPA se aplica mientras la Empresa procese Datos Personales del Cliente cubiertos por él, y los deberes de protección subsisten hasta la devolución o la eliminación verificada y el fin de las copias conservadas lícitamente. Idioma. Este DPA está redactado en inglés, que es el idioma rector de este acuerdo. Toda traducción se proporciona únicamente para conveniencia. Cuando el Cliente se encuentre en Corea, Quebec u otra jurisdicción cuya ley imperativa exija una versión o notificación en el idioma local, la Empresa pondrá esa versión a disposición antes de la aceptación, y el Cliente confirma con su aceptación que ha tenido la oportunidad de revisarla y de obtener asesoramiento, y que acepta quedar vinculado por la versión en inglés. Nada de lo dispuesto en esta Sección limita la ley imperativa que exija que una cláusula, notificación o consentimiento se proporcione en un idioma determinado ni la que otorgue prioridad al texto en el idioma local. Las notificaciones a personas físicas, incluidas las notificaciones de privacidad, surten efecto en el idioma en que se proporcionan a esas personas. Un Cliente situado en Quebec confirma que las partes han exigido expresamente que este acuerdo y todos los documentos relacionados se redacten en inglés, y la Empresa proporcionará una traducción al francés previa solicitud.
Anexo 1. Descripción del procesamiento
Partes. Cliente: identidad y contacto de seguridad/privacidad en el Pedido. Empresa: AI Psychometrics Inc., help@ai-psychometrics.com.
Objeto y finalidad. Invitaciones, alojamiento de evaluaciones Theta AI/Titan AI, entrega de ítems, puntuación, registros de integridad de respuestas, informes individuales y de cohorte, uso compartido autorizado por el Cliente y soporte. El procesamiento de insignias de candidatos sigue una elección separada; los programas de empleadores/socios tienen registros de estado separados.
Operaciones. Recopilación, almacenamiento, entrega, adaptación de ítems, evaluación estadística/de modelos, puntuación, generación de informes, revelación limitada, exportación y eliminación.
Interesados. Candidatos invitados y usuarios del Cliente en la medida en que sus datos constituyan contenido controlado por el Cliente; titulares de insignias opcionales cuando el Cliente instruya la credencial.
Datos. Nombre/identificador/correo electrónico, registros de rol e invitación, respuestas incluido texto libre, ítems presentados, tiempos, estado, puntuaciones, bandas, justificación, registros de integridad, informes, registros de IP/sesión/acceso, consentimiento y estado de insignias. El texto libre puede incluir incidentalmente datos sensibles.
Duración y calendario. La Empresa aplicará el período predeterminado de retención de tres años (1.095 días), la ventana de exportación de 30 días y los períodos verificados de eliminación de sistemas activos y copias de seguridad indicados en el Anexo 1 conforme a la Sección 9. La Empresa documentará el hecho de inicio de cada categoría, las excepciones lícitas y cualquier configuración del Cliente más corta acordada, coordinará la eliminación por los procesadores y volverá a aplicar la eliminación tras la restauración. Una ruta de procesamiento o transferencia que requiera datos adicionales o un fundamento jurídico no comenzará hasta que se cumplan esos requisitos.
Procesamiento independiente. La consulta del sitio web controlada por la Empresa, la facturación de cuentas y los deberes independientes de seguridad/legales se describen por separado en la Política de Privacidad.
Anexo 1A. Calendario de categorías
Invitaciones, respuestas en bruto, estado de puntuación. La Empresa documentará el hecho de inicio de finalización o retirada y aplicará los períodos de retención y eliminación de la Sección 9, con sujeción a conservaciones lícitas.
Informes individuales, PDF de cohorte y almacenamiento de objetos. La Empresa documentará el hecho de inicio de generación del informe, eliminará los bytes de los archivos y las referencias relacionadas, y cerrará los enlaces de uso compartido asociados conforme a la Sección 9.
Registros de insignias, consentimiento y registros públicos de baja («tombstones»). La Empresa distinguirá la retirada del vencimiento, pondrá fin a la exhibición pública según la elección del titular y conservará únicamente un registro de auditoría limitado y lícitamente justificado.
Registros de cuenta/facturación y pagos. La Empresa aplicará el período de retención legal y contable aplicable a cada registro. Los períodos de retención de candidatos no sustituyen implícitamente esas obligaciones legales.
Registros de acceso/seguridad, bandejas de salida de correo y artefactos temporales de procesadores. La Empresa documentará cada hecho de inicio y período de retención aplicables, aplicará la obligación de eliminación correspondiente y coordinará la eliminación por los proveedores.
Copias de seguridad y copias restauradas. La Empresa aplicará el período verificado de copias de seguridad indicado en el Anexo 1, con sujeción a excepciones lícitas, y volverá a aplicar la eliminación a las copias restauradas. La Empresa probará el procedimiento y conservará un registro.
Anexo 2. Medidas de seguridad
La Empresa utilizará controles de acceso basados en roles, transporte cifrado y almacenamiento privado para los Datos Personales del Cliente. La Empresa mantendrá y probará los procedimientos de restauración de copias de seguridad, eliminación a la terminación y respuesta de seguridad, documentará las pruebas y corregirá los defectos identificados. La Empresa no reducirá sustancialmente la protección global proporcionada por sus medidas de seguridad.
Los informes de incidentes, las solicitudes de reembolso y los recursos sobre insignias pueden enviarse a help@ai-psychometrics.com. Los compromisos de notificación de las Secciones 5 y 8 siguen sin cambios.
Anexo 3. Proveedores de servicios y procesamiento internacional
El servicio utiliza Vercel para el alojamiento; Supabase para la autenticación, la base de datos y el almacenamiento de archivos; Google Cloud para el tiempo de ejecución de evaluaciones; OpenAI para el procesamiento de modelos; GitHub para el código fuente, los trabajos y los artefactos temporales; Neon para las bases de datos de evaluaciones; Resend para el correo electrónico transaccional; y Stripe para el procesamiento de pagos. Stripe está dentro de este DPA únicamente en la medida en que procese Datos Personales del Cliente en lugar de datos de facturación independientes de la Empresa. Groq no está incluido como procesador activo.
Las ubicaciones conocidas de cómputo de evaluaciones incluyen Corea del Sur y Estados Unidos. El procesamiento de bases de datos y otros servicios incluye Estados Unidos. Estas ubicaciones de cómputo/almacenamiento no establecen todos los países de acceso de soporte de los proveedores ni de transferencias posteriores. La Empresa establecerá las restricciones de acceso de soporte y de transferencias posteriores exigidas con sus proveedores antes de la transferencia correspondiente. Los datos de destinatario, categoría de datos, finalidad, retención y transferencia lícita aplicables deben completarse antes de aceptar una ruta que los requiera.
La política de cambio de proveedor y de oposición de la Sección 5 sigue sin cambios.
Anexo 4. Suplementos de legislación local (cada uno activado únicamente para un mercado aprobado)
Ningún suplemento de país se activa por el mero hecho de incluir su encabezado aquí. Para un mercado aprobado, la Empresa y el Cliente documentarán los roles, notificaciones, categorías de datos, instrumento de transferencia exigido, contacto y ruta real, derechos locales y mecanismos de idioma/asentimiento de ese mercado; el Pedido aceptado debe identificar el suplemento aplicable. Los módulos de mercado planeados son: consignación y transferencias internacionales bajo la PIPA de Corea; Privacy Act 1988 y APP de Australia; PDPA de Singapur; Canadá, incluidos los requisitos provinciales aplicables; y normas federales/estatales/locales de empleo y privacidad de Estados Unidos. El RGPD de la UE/EEE y las SCC oficiales (módulo correcto y anexos completos), el Addendum del Reino Unido, Japón y China no se activan por esta lista de mercados; necesitan una aprobación separada si se propone una oferta o ruta de datos relevante. La designación de cinco mercados no significa que ningún módulo esté operativamente completado.
Módulo de consignación bajo la PIPA de Corea (para un mercado aprobado)
El Cliente es el consignante y la Empresa la consignataria para el trabajo del Anexo 1 cuando la PIPA sea aplicable. El procesamiento fuera de la finalidad consignada está prohibido; las protecciones técnicas y organizativas figuran en el Anexo 2 finalizado; el Cliente puede supervisar e inspeccionar conforme a la Sección 10 en lo aplicable; la reconsignación requiere el consentimiento exigido del Cliente y la extensión de obligaciones; la responsabilidad por daños de cada parte sigue la ley imperativa y el Acuerdo válido en la medida lícita. El Cliente publica los datos de la consignación exigidos por ley, utilizando descripciones exactas de proveedores y trabajos que la Empresa proporcione. Cualquier deber directo de la Empresa como consignataria subsiste.
(a) Terminología. En este módulo, el Cliente es el consignante, la Empresa la consignataria y los Subencargados son reconsignatarios.
(b) Notificación de violación. Para los Datos Personales del Cliente sujetos a la PIPA, la Empresa notificará al Cliente sin demora indebida y, en cualquier caso, dentro de las 72 horas siguientes a tener conocimiento de una Violación de Datos Personales, o de un acceso no autorizado a sistemas que procesan Datos Personales del Cliente que pueda haberla producido, con la información entonces disponible.
(c) Consentimiento de reconsignación. El Cliente consiente en la aceptación a los Subencargados enumerados en el Anexo 3. El procedimiento de notificación y oposición de la Sección 5 es el procedimiento mediante el cual se solicita y se otorga el consentimiento del Cliente a la reconsignación conforme al artículo 26, párrafo 6, de la PIPA; un Subencargado añadido tras el período de notificación sin una oposición documentada oportuna se considera consentido, y si el Cliente se opone, se aplica el recurso de resolución de la Sección 5.
(d) Uso para fines propios de la Empresa. La Empresa no utilizará los Datos Personales del Cliente sujetos a la PIPA para sus propios fines de investigación o mejora de productos, incluida la investigación DIF seudonimizada, salvo que (i) el Cliente lo haya autorizado por escrito identificando la finalidad y el fundamento jurídico bajo la PIPA (incluido el artículo 28-2 cuando se invoque), y (ii) toda transferencia resultante a la Empresa fuera de Corea tenga un fundamento válido conforme al artículo 28-8 de la PIPA. La provisión a la Empresa para sus propios fines se trata como provisión a un tercero, no como procesamiento o almacenamiento consignado.
(e) Datos seudonimizados y anonimizados. Los datos seudonimizados siguen siendo Datos Personales del Cliente bajo este DPA. Datos anonimizados significa datos a partir de los cuales ya no pueda identificarse a una persona física; solo pueden crearse por instrucción escrita del Cliente.
Módulo Privacy Act 1988 / APP de Australia (para un mercado aprobado)
Para un Cliente o candidato australiano cuando sean aplicables la Privacy Act 1988 y los APP, cada parte desempeñará su propio rol legal y proporcionará o apoyará las notificaciones de recopilación y los procesos de acceso/rectificación exigidos. El Cliente debe identificar la finalidad lícita de la evaluación y proporcionar la información de recopilación y de revelación en el extranjero exigida para su rol. La Empresa proporcionará al Cliente información exacta sobre los destinatarios aprobados en el extranjero, los destinos reales, los subcontratistas posteriores y las salvaguardas para que la entidad APP correspondiente pueda evaluar el APP 8 y otras obligaciones aplicables; la Empresa exigirá contractualmente una protección adecuada a sus propios subencargados y asistirá razonablemente en las evaluaciones de seguridad y de violaciones de datos notificables. Para cada ruta, las partes determinarán si un destinatario obtiene acceso fuera del control efectivo de la entidad reveladora (ordinariamente una revelación) o si una disposición de almacenamiento estrictamente controlada sigue siendo un uso, y si se aplica realmente alguna excepción del APP 8.2. Ni el alojamiento en el extranjero ni el uso de un contratista resuelven por sí solos esa clasificación. Bajo el régimen de Notifiable Data Breaches, una violación elegible sospechada exige una evaluación pronta y una violación elegible depende en general de un daño grave probable. Si la Empresa y el Cliente poseen conjuntamente la información afectada, cada uno puede tener obligaciones legales, aunque una evaluación coordinada y una notificación válida pueden cumplir los pasos comunes del régimen; su plan de incidentes debe designar un responsable de evaluación y notificación, una vía de intercambio de información y un sustituto si el responsable falla. El plan de incidentes identificará los roles y responsabilidades de respuesta aplicables. Cada parte evaluará su condición bajo la Privacy Act y cumplirá el APP 8 cuando corresponda. La ruta de datos exacta, las responsabilidades, la lista de destinatarios en el extranjero, el contacto de reclamaciones y el idioma de las notificaciones deben completarse y revisarse antes del uso.
Módulo PDPA de Singapur (para un mercado aprobado)
Para un Cliente o candidato de Singapur cuando la PDPA sea aplicable, el Cliente identifica sus finalidades y el fundamento aplicable de notificación/consentimiento para la recopilación y evaluación de candidatos; la Empresa procesa según instrucciones documentadas y adopta la protección, la limitación de retención y los controles de acceso apropiados para su rol. La Empresa proporcionará información real sobre destinatarios y destinos en el extranjero, y las partes documentarán las obligaciones contractuales exigidas de protección comparable antes de una transferencia, teniendo en cuenta la Obligación de Limitación de Transferencias de la PDPA. Para el procesamiento únicamente como intermediario de datos bajo la PDPA, la Empresa debe notificar al Cliente sin demora indebida una vez que tenga fundamentos creíbles para creer que se produjo una violación; la organización contratante evalúa la notificabilidad y realiza cualquier notificación exigida a la PDPC o a las personas. Cuando la Empresa procese para un fin independiente propio, evaluará por separado sus propios deberes legales directos. La Empresa y el Cliente mantendrán el flujo de notificación legal aplicable. La Empresa y el Cliente documentarán los roles, notificaciones, salvaguardas de transferencia, destinatarios y plazos aplicables antes del procesamiento correspondiente.
Módulo PIPEDA / legislación provincial de Canadá (para un mercado aprobado)
Cuando se aplique la PIPEDA federal o una ley provincial pertinente de privacidad del sector privado, el Cliente identifica las finalidades y el fundamento de notificación o consentimiento para la recopilación y evaluación de candidatos, sigue siendo responsable de las decisiones bajo su control y pone a disposición los contactos de derechos y reclamaciones. La Empresa proporcionará su inventario verificado de flujos de datos y subencargados, vinculará a cada proveedor de servicios pertinente a condiciones adecuadas de confidencialidad, seguridad y uso restringido, y asistirá al Cliente con el acceso/rectificación, la evaluación de incidentes y la devolución o eliminación. La Empresa mantendrá una protección comparable, identificará los subcontratistas y jurisdicciones pertinentes y documentará los acuerdos de retención y salida para la ruta de procesamiento canadiense aplicable. A los efectos de la PIPEDA y la legislación provincial aplicable, la información desidentificada o seudonimizada se trata como información personal salvo que no exista una posibilidad seria de que pueda identificarse a una persona a partir de ella, sola o en combinación con otra información disponible.
Para una violación cubierta por la PIPEDA en un procesador externo, la organización principal tiene ordinariamente el control y la responsabilidad de notificación, aviso a las personas afectadas y registro; la Empresa debe proporcionarle los hechos con prontitud y evaluar cualquier deber directo derivado de datos controlados por la Empresa o de un rol de procesamiento distinto. El registro de violaciones incluye incidentes sean o no notificables, mientras que la notificación/aviso a las personas depende de un riesgo real de daño significativo. Estas asignaciones de roles deben verificarse frente a la relación real, incluida cualquier ley provincial. Una ruta de Columbia Británica, Quebec u otra provincia debe verificarse por separado respecto de sus requisitos aplicables en lugar de tratarse como idéntica a la PIPEDA. Las partes reales, las ubicaciones de los candidatos, los procesadores, los países y cualquier anexo provincial quedan por completar.
Módulo federal, estatal y local de Estados Unidos (para un mercado aprobado)
El Cliente identificará la ubicación de contratación y el uso de cualquier puntuación, clasificación o umbral antes del uso y proporcionará las notificaciones a candidatos legalmente exigidas, las vías de ajustes razonables, la revisión humana y los procedimientos alternativos. La Empresa proporcionará las limitaciones de uso del producto disponibles, la información de versiones y la evidencia documentada de auditorías, si la hubiera, sin afirmar una auditoría de sesgo ni un estudio de validez laboral completados. Las partes determinarán si se aplica al flujo de trabajo desplegado alguna norma local específica sobre herramientas automatizadas de decisión de empleo, ley estatal de privacidad/biometría o norma sobre entrevistas en vídeo, y asignarán las notificaciones, auditorías y tareas de respuesta mediante un calendario escrito. Una etiqueta como «apoyo a la decisión» no resuelve la clasificación real de la herramienta. Este suplemento ni declara el cumplimiento de la Ley Local 144 de la Ciudad de Nueva York ni afirma que se haya desplegado ninguna función de voz/vídeo o biométrica; la Empresa notificará con exactitud cualquier función de ese tipo antes de su uso.