Objeto, ámbito y orden de prelación

Este acuerdo de tratamiento de datos (el «Acuerdo») se incorpora al contrato de servicios entre POYNTIA, S.L. («Poyntia») y el cliente (el «Contrato») y regula el tratamiento de los datos personales que Poyntia trata por cuenta del cliente al prestarle los servicios (los «Servicios»), conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD) y al art. 33 de la Ley Orgánica 3/2018 (LOPDGDD).

El Acuerdo no se aplica a los datos personales que Poyntia trata como responsable del tratamiento (por ejemplo, los de quien visita poyntia.com, nos escribe o es un contacto profesional de nuestra actividad comercial), que se rigen por la Política de privacidad.

En materia de protección de datos, si hay contradicción prevalece, por este orden: (1) las cláusulas contractuales tipo, cuando se apliquen (sección «Transferencias internacionales»); (2) este Acuerdo; (3) el Contrato.

Definiciones

Los términos «responsable», «encargado», «subencargado», «interesado», «datos personales», «tratamiento», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado del art. 4 del RGPD. Además:

• Datos Personales del Cliente: los datos personales que el cliente (o quien actúe en su nombre) entrega a Poyntia, o a los que Poyntia accede, en el marco de los Servicios, y los que se generen a partir de ellos.
• Legislación de Protección de Datos: el RGPD, la LOPDGDD y cualquier otra norma de protección de datos aplicable al tratamiento, incluida, cuando proceda, la California Consumer Privacy Act con las modificaciones de la California Privacy Rights Act (la «CCPA»; Cal. Civ. Code § 1798.100 y siguientes) y las leyes estatales equivalentes de Estados Unidos.
• Cláusulas Tipo: las cláusulas contractuales tipo del anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021.
• Anexo del Proyecto: el documento que las partes firman para cada proyecto con datos reales y que completa los anexos I y III de este Acuerdo (datos concretos, entorno, nube y modelo de inteligencia artificial).

Roles e instrucciones

El cliente es el responsable del tratamiento de los Datos Personales del Cliente y Poyntia es su encargada. Si el cliente actúa a su vez como encargado de un tercero responsable, Poyntia es subencargada y el cliente declara que cuenta con la autorización de ese responsable.

Poyntia tratará los Datos Personales del Cliente únicamente para prestar los Servicios y siguiendo las instrucciones documentadas del cliente, también respecto de las transferencias a un tercer país. Son instrucciones documentadas el Contrato, este Acuerdo, el Anexo del Proyecto y las indicaciones que el cliente dé por escrito (incluido el correo electrónico) o mediante la configuración de los Servicios. Si Poyntia considera que una instrucción infringe la Legislación de Protección de Datos, se lo comunicará de inmediato al cliente y podrá suspender su ejecución hasta que se confirme o se modifique (art. 28.3 RGPD, último párrafo).

El cliente es responsable de que el tratamiento tenga una base jurídica, de informar a los interesados y de que los datos que entrega a Poyntia puedan tratarse conforme a la ley. El cliente no entregará categorías especiales de datos (art. 9 RGPD) ni datos de condenas e infracciones penales (art. 10 RGPD), ni datos de menores, salvo que el Anexo del Proyecto lo prevea expresamente.

Obligaciones de Poyntia como encargada

Poyntia se compromete a:

• Tratar sólo para prestar los Servicios. No tratará los Datos Personales del Cliente para ninguna otra finalidad, y en particular no los usará para entrenar, ajustar ni mejorar modelos de inteligencia artificial propios ni de terceros. Sólo empleará modelos de inteligencia artificial a través de cuentas o contratos que prohíban el entrenamiento con el contenido del cliente, que constarán en el Anexo del Proyecto.
• Garantizar la confidencialidad. Las personas autorizadas a tratar los datos estarán obligadas a mantener la confidencialidad, por contrato o por una obligación legal equivalente, y sólo accederán a los datos que necesiten para prestar los Servicios (art. 28.3.b y art. 29 RGPD).
• Aplicar las medidas de seguridad del art. 32 RGPD descritas en el anexo II.
• Respetar las condiciones de los subencargados de la sección «Subencargados».
• Asistir al cliente en la atención de los derechos de los interesados, en la seguridad del tratamiento, en la notificación de violaciones de seguridad, en las evaluaciones de impacto y en las consultas previas a la autoridad de control (arts. 32 a 36 RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
• Suprimir o devolver los datos al terminar los Servicios (sección «Supresión y devolución»).
• Demostrar el cumplimiento y permitir auditorías (sección «Cumplimiento y auditorías»).
• Llevar un registro de las actividades de tratamiento que realiza por cuenta del cliente (art. 30.2 RGPD) y cooperar con la autoridad de control cuando lo requiera (art. 31 RGPD).
• No vender ni compartir los Datos Personales del Cliente, ni comunicarlos a terceros salvo a los subencargados autorizados o cuando la ley lo exija. Si una autoridad le requiere los datos, Poyntia lo notificará al cliente antes de responder, salvo que la ley se lo prohíba.

Subencargados

El cliente concede a Poyntia una autorización general para contratar subencargados, con las condiciones siguientes (art. 28.2 y 28.4 RGPD):

• Lista. Los subencargados autorizados para cada proyecto son los que figuren en el anexo III y en el Anexo del Proyecto. Ningún subencargado queda autorizado por defecto para tratar datos de clientes. La lista de proveedores de poyntia.com y del correo está en la página de Subencargados.
• Contrato. Poyntia suscribirá con cada subencargado un contrato que le imponga las mismas obligaciones de protección de datos que este Acuerdo y seguirá siendo plenamente responsable ante el cliente del cumplimiento de sus obligaciones.
• Aviso. Poyntia comunicará al cliente por correo electrónico, con al menos 30 días de antelación, la incorporación o la sustitución de un subencargado.
• Oposición. Durante ese plazo, el cliente puede oponerse por motivos razonables de protección de datos, por escrito y explicándolos. Si no se opone, se entiende que acepta el cambio. Si se opone, las partes buscarán de buena fe una solución en un plazo de 30 días (por ejemplo, no usar al nuevo subencargado para los datos del cliente, o que el cliente deje de enviar los datos que dependan de él). Si no se alcanza, el cliente podrá resolver, sin penalización, la parte de los Servicios afectada, y Poyntia le reembolsará la parte ya pagada que corresponda al periodo no prestado.

Derechos de los interesados

Si Poyntia recibe directamente una solicitud de un interesado sobre los Datos Personales del Cliente, se la trasladará al cliente en un plazo máximo de cinco días hábiles y no la responderá por sí misma salvo que el cliente se lo indique o la ley lo exija. Poyntia asistirá al cliente con las medidas técnicas y organizativas adecuadas para que pueda atender esos derechos (art. 28.3.e RGPD).

Seguridad

Poyntia aplicará las medidas técnicas y organizativas del anexo II, adecuadas al riesgo (art. 32 RGPD), y no las reducirá de forma significativa durante el Contrato. Las medidas adicionales de cada proyecto (entorno, cuenta de nube, claves de cifrado, retención en el proveedor del modelo, acceso del equipo de soporte) se pactan en el Anexo del Proyecto. El cliente es responsable de la seguridad de su propio entorno, de sus credenciales y de la configuración que haga de los Servicios.

Violaciones de seguridad

Poyntia notificará al cliente, por correo electrónico a la dirección que figure en el Anexo del Proyecto, cualquier violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a que tenga conocimiento de ella (art. 33.2 RGPD). Poyntia buscará dejar al cliente margen para cumplir su propio plazo de 72 horas ante la autoridad de control.

La notificación describirá, en la medida en que Poyntia disponga de la información, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto (art. 33.3 RGPD). Si no puede darse toda a la vez, se facilitará por fases y sin más dilación. Poyntia tomará medidas para contener y remediar la violación y cooperará con el cliente. Corresponde al cliente decidir si notifica a la autoridad de control y a los interesados; Poyntia no hará ninguna comunicación pública sobre la violación que nombre al cliente sin su acuerdo, salvo que la ley la exija.

Cumplimiento y auditorías

Poyntia pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de este Acuerdo y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el cliente o por un auditor que éste designe (art. 28.3.h RGPD), con estas condiciones: aviso previo de 30 días; bajo confidencialidad; en horario laboral y sin perturbar de forma irrazonable la actividad de Poyntia; a cargo del cliente; y como máximo una vez cada doce meses, salvo que haya habido una violación de la seguridad o lo exija una autoridad de control.

Poyntia no dispone hoy de informes de auditoría de terceros (por ejemplo, SOC 2 o ISO/IEC 27001). Si los obtiene, los pondrá a disposición del cliente. Mientras tanto, la página de Seguridad describe el estado real de las normas y de los controles.

Transferencias internacionales

Poyntia está establecida en España. Sólo transferirá Datos Personales del Cliente fuera del Espacio Económico Europeo si el destino cuenta con una de las garantías del capítulo V del RGPD y conforme a las instrucciones del cliente. En particular:

• Subencargados fuera del EEE. Cuando un subencargado esté en un país sin decisión de adecuación o no esté amparado por ella, Poyntia suscribirá con él las Cláusulas Tipo (módulo tres, de encargado a encargado) y pondrá a disposición del cliente una copia que se lo pida, con los secretos comerciales omitidos. Cuando el subencargado esté certificado en el Marco de Privacidad de Datos UE–EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023), podrá apoyarse en él, y Poyntia mantendrá las Cláusulas Tipo como respaldo.
• Datos entregados a un cliente fuera del EEE. Si Poyntia devuelve o pone a disposición Datos Personales del Cliente a un cliente establecido fuera del EEE que no esté sujeto al RGPD, se aplicará el módulo cuatro (de encargado a responsable) de las Cláusulas Tipo, que las partes acuerdan incorporar.
• Reino Unido y Suiza. Si el tratamiento está sujeto a la ley de protección de datos del Reino Unido o a la suiza, se aplicarán, además, la adenda internacional de transferencia de datos del Reino Unido (versión B1.0) o las adaptaciones que exija la autoridad suiza.

Cuando se apliquen las Cláusulas Tipo, las partes acuerdan: la cláusula 7 (cláusula de incorporación) no se aplica; en la cláusula 9, opción 2 (autorización general), con el plazo de aviso de 30 días de la sección «Subencargados»; en la cláusula 11, no se aplica la redacción opcional; en la cláusula 13, la autoridad de control competente es la Agencia Española de Protección de Datos; en la cláusula 17, opción 1, rige la ley española; en la cláusula 18, los juzgados y tribunales de Murcia (España). Los anexos de las Cláusulas Tipo son los anexos I, II y III de este Acuerdo y del Anexo del Proyecto. Si hay contradicción entre las Cláusulas Tipo y este Acuerdo, prevalecen las Cláusulas Tipo.

Supresión y devolución

Al terminar los Servicios, y como máximo en los 30 días siguientes, Poyntia, a elección del cliente, devolverá los Datos Personales del Cliente en un formato estructurado y de uso común o los suprimirá, y suprimirá las copias existentes, incluidas las que tengan sus subencargados (art. 28.3.g RGPD). Las copias de seguridad se eliminarán conforme a su ciclo ordinario de rotación, sin que los datos vuelvan a tratarse para ninguna otra finalidad. A petición del cliente, Poyntia confirmará la supresión por escrito.

Si una norma de la Unión o de un Estado miembro exige conservar determinados datos, Poyntia se lo comunicará al cliente, los conservará sólo durante el tiempo que la norma exija, seguirá protegiéndolos conforme a este Acuerdo y no los tratará para otra finalidad. La retención de los datos por el proveedor del modelo de inteligencia artificial se rige por el Anexo del Proyecto: Poyntia no promete una retención nula, y informará al cliente de la que aplique el proveedor elegido antes de tratar datos reales.

Estados Unidos: CCPA y leyes estatales

Cuando la CCPA o una ley estatal equivalente se aplique a los Datos Personales del Cliente, el cliente es la «empresa» (business) y Poyntia su «proveedor de servicios» (service provider) o «contratista», y se aplican, además, estas reglas:

• Poyntia sólo tratará esa información personal para los fines comerciales concretos y limitados que se indican en el anexo I (prestar los Servicios).
• Poyntia no venderá ni compartirá esa información personal, ni la conservará, usará o comunicará para ningún fin distinto de esos fines comerciales ni fuera de la relación comercial directa con el cliente, ni la combinará con información personal que reciba de otras fuentes o recoja de su propia interacción con los interesados, salvo en los casos que la CCPA permita.
• Poyntia cumplirá las obligaciones que la CCPA le imponga y ofrecerá el mismo nivel de protección de la privacidad que ésta exige. Avisará al cliente en un plazo máximo de cinco días hábiles si determina que ya no puede cumplir esas obligaciones.
• El cliente podrá adoptar medidas razonables y adecuadas para comprobar que Poyntia usa la información de forma coherente con las obligaciones del cliente y, si descubre un uso no autorizado, para detenerlo y remediarlo.
• Los subencargados que traten esa información estarán obligados por escrito a las mismas restricciones.
• Poyntia declara que entiende las restricciones anteriores y que las cumplirá.

Responsabilidad

La responsabilidad de cada parte derivada de este Acuerdo está sujeta a las limitaciones y exclusiones del Contrato, salvo en lo que la ley no permita limitar o excluir y sin perjuicio de los derechos de los interesados frente al responsable y al encargado conforme al art. 82 del RGPD.

Duración, ley aplicable y modificaciones

Este Acuerdo entra en vigor con el Contrato y dura mientras Poyntia trate Datos Personales del Cliente, hasta su supresión o devolución. Se rige por la ley española y, salvo lo dispuesto en las Cláusulas Tipo, las partes se someten a los juzgados y tribunales de Murcia (España). Poyntia podrá actualizar este texto estándar para reflejar cambios legales o de los Servicios, con un aviso de 30 días a los clientes con Contrato vigente; los cambios que reduzcan la protección de los datos no se aplicarán a un cliente sin su acuerdo escrito. Si alguna cláusula fuera nula, las demás seguirán vigentes. Este Acuerdo se publica en español y en inglés; si hay discrepancia, prevalece la versión española.

Contacto y versión

Privacidad

privacidad@poyntia.com

Consultas generales

info@poyntia.com

Véanse también la Política de privacidad, la lista de subencargados y las Condiciones de uso.

Purpose, scope and order of precedence

This data processing agreement (the “Agreement”) is incorporated into the services agreement between POYNTIA, S.L. (“Poyntia”) and the customer (the “Contract”) and governs the processing of the personal data that Poyntia processes on the customer’s behalf when providing the services (the “Services”), in accordance with Article 28 of Regulation (EU) 2016/679 (GDPR) and Article 33 of Organic Law 3/2018 (LOPDGDD).

The Agreement does not apply to the personal data that Poyntia processes as a controller (for example, that of people who visit poyntia.com, write to us or are business contacts in our commercial activity), which is governed by the Privacy policy.

On data protection, if there is a conflict the following prevails, in this order: (1) the standard contractual clauses, where they apply (section “International transfers”); (2) this Agreement; (3) the Contract.

Definitions

The terms “controller”, “processor”, “subprocessor”, “data subject”, “personal data”, “processing”, “personal data breach” and “supervisory authority” have the meaning given in Article 4 GDPR. In addition:

• Customer Personal Data: the personal data that the customer (or anyone acting on its behalf) provides to Poyntia, or to which Poyntia has access, in connection with the Services, and the data generated from it.
• Data Protection Law: the GDPR, the LOPDGDD and any other data protection rule applicable to the processing, including, where relevant, the California Consumer Privacy Act as amended by the California Privacy Rights Act (the “CCPA”; Cal. Civ. Code § 1798.100 et seq.) and equivalent US state laws.
• Standard Clauses: the standard contractual clauses in the annex to Commission Implementing Decision (EU) 2021/914 of 4 June 2021.
• Project Annex: the document the parties sign for each project with real data and that completes Annexes I and III of this Agreement (specific data, environment, cloud and artificial intelligence model).

Roles and instructions

The customer is the controller of the Customer Personal Data and Poyntia is its processor. If the customer in turn acts as a processor for a third-party controller, Poyntia is a subprocessor and the customer states that it has that controller’s authorisation.

Poyntia will process the Customer Personal Data only to provide the Services and following the customer’s documented instructions, including with regard to transfers to a third country. Documented instructions are the Contract, this Agreement, the Project Annex and the directions the customer gives in writing (including email) or through the configuration of the Services. If Poyntia considers that an instruction infringes Data Protection Law, it will inform the customer immediately and may suspend its execution until it is confirmed or changed (Article 28(3) GDPR, last paragraph).

The customer is responsible for ensuring that the processing has a legal basis, for informing data subjects and for ensuring that the data it provides to Poyntia may be processed in accordance with the law. The customer will not provide special categories of data (Article 9 GDPR) or data on criminal convictions and offences (Article 10 GDPR), or data of minors, unless the Project Annex expressly provides for it.

Poyntia’s obligations as processor

Poyntia undertakes to:

• Process only to provide the Services. It will not process the Customer Personal Data for any other purpose, and in particular will not use it to train, fine-tune or improve artificial intelligence models of its own or of third parties. It will only use artificial intelligence models through accounts or contracts that prohibit training on the customer’s content, which will be recorded in the Project Annex.
• Ensure confidentiality. The persons authorised to process the data will be bound by confidentiality, by contract or by an equivalent legal obligation, and will only access the data they need to provide the Services (Article 28(3)(b) and Article 29 GDPR).
• Apply the security measures of Article 32 GDPR described in Annex II.
• Respect the subprocessor conditions in the section “Subprocessors”.
• Assist the customer in handling data subjects’ rights, in the security of processing, in notifying personal data breaches, in data protection impact assessments and in prior consultations with the supervisory authority (Articles 32 to 36 GDPR), taking into account the nature of the processing and the information available to it.
• Delete or return the data when the Services end (section “Deletion and return”).
• Demonstrate compliance and allow audits (section “Compliance and audits”).
• Keep a record of the processing activities it carries out on the customer’s behalf (Article 30(2) GDPR) and cooperate with the supervisory authority when requested (Article 31 GDPR).
• Not sell or share the Customer Personal Data, or disclose it to third parties except to authorised subprocessors or where the law requires it. If an authority requests the data from Poyntia, Poyntia will notify the customer before responding, unless the law prohibits it.

Subprocessors

The customer grants Poyntia general authorisation to engage subprocessors, on the following conditions (Article 28(2) and 28(4) GDPR):

• List. The subprocessors authorised for each project are those listed in Annex III and in the Project Annex. No subprocessor is authorised by default to process client data. The list of providers for poyntia.com and email is on the Subprocessors page.
• Contract. Poyntia will enter into a contract with each subprocessor imposing on it the same data protection obligations as this Agreement and will remain fully liable to the customer for the performance of its obligations.
• Notice. Poyntia will notify the customer by email, at least 30 days in advance, of the addition or replacement of a subprocessor.
• Objection. During that period, the customer may object on reasonable data protection grounds, in writing and explaining them. If it does not object, it is deemed to accept the change. If it objects, the parties will work in good faith to find a solution within 30 days (for example, not using the new subprocessor for the customer’s data, or the customer ceasing to send the data that depends on it). If none is reached, the customer may terminate, without penalty, the part of the Services affected, and Poyntia will refund the prepaid portion corresponding to the period not provided.

Data subjects’ rights

If Poyntia directly receives a request from a data subject concerning the Customer Personal Data, it will forward it to the customer within five business days at most and will not respond to it itself unless the customer instructs it to or the law requires it. Poyntia will assist the customer with appropriate technical and organisational measures so that it can handle those rights (Article 28(3)(e) GDPR).

Security

Poyntia will apply the technical and organisational measures in Annex II, appropriate to the risk (Article 32 GDPR), and will not materially reduce them during the Contract. Additional measures for each project (environment, cloud account, encryption keys, retention at the model provider, access by the support team) are agreed in the Project Annex. The customer is responsible for the security of its own environment, for its credentials and for how it configures the Services.

Security breaches

Poyntia will notify the customer, by email to the address stated in the Project Annex, of any personal data breach affecting the Customer Personal Data without undue delay and in any event within 48 hours of becoming aware of it (Article 33(2) GDPR). Poyntia will aim to leave the customer room to meet its own 72-hour deadline to the supervisory authority.

The notification will describe, to the extent Poyntia has the information, the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences, the measures taken or proposed and a point of contact (Article 33(3) GDPR). If it cannot all be provided at once, it will be provided in phases and without further delay. Poyntia will take steps to contain and remedy the breach and will cooperate with the customer. It is for the customer to decide whether to notify the supervisory authority and data subjects; Poyntia will make no public statement about the breach that names the customer without its agreement, unless the law requires it.

Compliance and audits

Poyntia will make available to the customer the information necessary to demonstrate compliance with this Agreement and will allow for and contribute to audits, including inspections, conducted by the customer or by an auditor it appoints (Article 28(3)(h) GDPR), on these conditions: 30 days’ prior notice; under confidentiality; during business hours and without unreasonably disrupting Poyntia’s activity; at the customer’s expense; and at most once every twelve months, unless there has been a security breach or a supervisory authority requires it.

Poyntia does not currently hold third-party audit reports (for example, SOC 2 or ISO/IEC 27001). If it obtains them, it will make them available to the customer. In the meantime, the Security page describes the real status of the standards and the controls.

International transfers

Poyntia is established in Spain. It will only transfer Customer Personal Data outside the European Economic Area if the destination has one of the safeguards of Chapter V GDPR and in accordance with the customer’s instructions. In particular:

• Subprocessors outside the EEA. Where a subprocessor is in a country without an adequacy decision, or is not covered by it, Poyntia will enter into the Standard Clauses with it (module three, processor to processor) and will make a copy available to a customer that asks for it, with trade secrets redacted. Where the subprocessor is certified under the EU–U.S. Data Privacy Framework (Commission Implementing Decision (EU) 2023/1795 of 10 July 2023), it may rely on it, and Poyntia will keep the Standard Clauses as a fallback.
• Data provided to a customer outside the EEA. If Poyntia returns or makes available Customer Personal Data to a customer established outside the EEA that is not subject to the GDPR, module four (processor to controller) of the Standard Clauses will apply, which the parties agree to incorporate.
• United Kingdom and Switzerland. If the processing is subject to UK or Swiss data protection law, the UK International Data Transfer Addendum (version B1.0) or the adaptations required by the Swiss authority will apply in addition.

Where the Standard Clauses apply, the parties agree: Clause 7 (docking clause) does not apply; in Clause 9, option 2 (general authorisation), with the 30-day notice period in the section “Subprocessors”; in Clause 11, the optional wording does not apply; in Clause 13, the competent supervisory authority is the Spanish Data Protection Agency (AEPD); in Clause 17, option 1, Spanish law governs; in Clause 18, the courts of Murcia (Spain). The annexes to the Standard Clauses are Annexes I, II and III of this Agreement and of the Project Annex. If the Standard Clauses and this Agreement conflict, the Standard Clauses prevail.

Deletion and return

When the Services end, and within 30 days at most, Poyntia will, at the customer’s choice, return the Customer Personal Data in a structured, commonly used format or delete it, and will delete existing copies, including those held by its subprocessors (Article 28(3)(g) GDPR). Backups will be removed according to their ordinary rotation cycle, without the data being processed again for any other purpose. At the customer’s request, Poyntia will confirm deletion in writing.

If a Union or Member State rule requires certain data to be kept, Poyntia will tell the customer, will keep it only for as long as the rule requires, will keep protecting it under this Agreement and will not process it for any other purpose. Retention of the data by the artificial intelligence model provider is governed by the Project Annex: Poyntia does not promise zero retention, and will inform the customer of the retention the chosen provider applies before processing real data.

United States: CCPA and state laws

Where the CCPA or an equivalent state law applies to the Customer Personal Data, the customer is the “business” and Poyntia its “service provider” or “contractor”, and these rules also apply:

• Poyntia will process that personal information only for the specific and limited business purposes stated in Annex I (providing the Services).
• Poyntia will not sell or share that personal information, or retain, use or disclose it for any purpose other than those business purposes or outside the direct business relationship with the customer, or combine it with personal information it receives from other sources or collects from its own interactions with data subjects, except as the CCPA permits.
• Poyntia will comply with the obligations the CCPA imposes on it and will provide the same level of privacy protection it requires. It will notify the customer within five business days at most if it determines that it can no longer meet those obligations.
• The customer may take reasonable and appropriate steps to ensure that Poyntia uses the information in a manner consistent with the customer’s obligations and, if it discovers unauthorised use, to stop and remediate it.
• Subprocessors that process that information will be bound in writing by the same restrictions.
• Poyntia certifies that it understands the above restrictions and will comply with them.

Liability

Each party’s liability arising out of this Agreement is subject to the limitations and exclusions in the Contract, except to the extent the law does not allow them to be limited or excluded and without prejudice to data subjects’ rights against the controller and the processor under Article 82 GDPR.

Term, governing law and changes

This Agreement takes effect with the Contract and lasts for as long as Poyntia processes Customer Personal Data, until its deletion or return. It is governed by Spanish law and, subject to the Standard Clauses, the parties submit to the courts of Murcia (Spain). Poyntia may update this standard text to reflect changes in the law or the Services, with 30 days’ notice to customers with a Contract in force; changes that reduce the protection of the data will not apply to a customer without its written agreement. If any clause is void, the others remain in force. This Agreement is published in Spanish and English; if they differ, the Spanish version prevails.

Contact and version

Privacy

privacidad@poyntia.com

General enquiries

info@poyntia.com

See also the Privacy policy, the list of subprocessors and the Terms of use.