Acuerdo de Transferencia internacional de datos personales

Acuerdo de Transferencia internacional de datos personales con motivo de la cesión de datos personales en el marco del Brand Protection Program ofrecido por Mercado Libre

Entre, por una parte, Mercado Libre (en adelante, “el Exportador de datos”) y, por otra, Miembro del Programa Brand Protection Program (“en adelante, el Importador de datos”), en conjunto “las partes”, convienen el presente acuerdo de transferencia internacional de datos personales, sometiéndose  a los términos y condiciones que se detallan a continuación.

Cláusula 1) Definición de términos

A los efectos del presente acuerdo se entenderá por los siguientes términos:

a) “datos personales”, “datos sensibles”, “tratamiento” y “titular del dato”, tendrán el mismo significado que el establecido en las Leyes de Protección de Datos Personales.

b) “autoridad” o “autoridad de control”, se entenderá:

  • Argentina: Agencia de Acceso a la Información Pública
  • Brasil: Autoridade Nacional de Proteção de Dados
  • Colombia: Superintendencia de Industria y Comercio
  • Costa Rica: Agencia para la Protección de Datos de la Persona
  • México: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos
  • Nicaragua: Dirección de Protección de Datos Personales
  • Panamá: Autoridad Nacional de Transparencia y Acceso a la Información
  • Perú: Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales
  • Uruguay: Unidad Reguladora y de Control de Datos Personales

c) “exportador”, el responsable del tratamiento que transfiera los datos personales;

d) “importador”, el responsable del tratamiento radicado fuera de la jurisdicción del Exportador de datos, que reciba los datos personales, procedentes del Exportador de datos, para su tratamiento de conformidad con los términos del presente.


e) “leyes de protección de datos personales”, la Ley General de Protección de Datos de Brasil (LGPD), Ley Federal N° 13.709/2018, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México, Ley N° 25.326 de Argentina, Ley N° 1.581 de Colombia, Ley N° 18.331 de Uruguay, Ley N° 29.733 del Perú, Ley N° 172 de República Dominicana, Ley 8.968 de Costa Rica, Ley 81 de Panamá, Ley 787 de Nicaragua, Ley 19.628 de Chile y cualquier otra norma relativa a la protección de los datos personales que pueda resultar aplicable.

Cláusula 2) Características específicas y finalidad del tratamiento

La finalidad y otros detalles específicos de la transferencia se especifican en el Anexo A, que forma parte del presente acuerdo.

Cláusula 3) Obligaciones del Exportador de datos

El Exportador de datos acuerda y garantiza lo siguiente:

a) La recopilación, el tratamiento y la transferencia de los datos personales se han efectuado y efectuarán de conformidad con las leyes de Protección de Datos Personales y manifiesta que ha cumplido en informar a los titulares de los datos que su información personal podría ser transferida a un tercer país con niveles inferiores de protección de datos a los existentes en la ley del país de establecimiento del Exportador de datos.

b) En caso de ejercicio por parte del titular de los datos de los derechos que le otorgan las leyes de Protección de Datos Personales, respecto del tratamiento de sus datos personales previstos en el presente acuerdo, en especial sus derechos de acceso, rectificación, supresión, dará respuesta al mismo respetando los plazos de ley y disponiendo los medios para tal fin. Responderá, en los plazos dispuestos por las leyes de Protección de Datos Personales, las consultas de los titulares de los datos y de la autoridad relativas al tratamiento de los datos personales por parte del Importador.

c) Ha realizado esfuerzos razonables para determinar que el Importador de datos es capaz de cumplir las obligaciones pactadas en el presente acuerdo. A tal efecto, el Exportador podrá solicitar al Importador la contratación de un seguro de responsabilidad para eventuales perjuicios ocasionados con motivo del tratamiento previsto.

Cláusula 4) Obligaciones del Importador de datos

El Importador de datos acuerda y garantiza lo siguiente:

a) Disponer las medidas de seguridad y confidencialidad necesarias y efectivas para evitar la adulteración, pérdida, consulta o tratamiento no autorizado de los datos, y que permitan detectar desviaciones, intencionales o no, ya sea que los riesgos provengan de la acción humana o del medio técnico utilizado verificando que no sean inferiores a las dispuestas por la normativa vigente, de manera tal que garanticen el nivel de seguridad apropiado a los riesgos que entraña el tratamiento y a la naturaleza de los datos que han de protegerse;

b) dispondrá de procedimientos que garanticen que todo acceso a los datos transferidos se realizará por personal autorizado para ello, estableciendo niveles de acceso y claves, quienes cumplirán con el deber de confidencialidad y seguridad de los mismos, suscribiendo convenios a tales fines.

c) que ha verificado que la legislación local no impide el cumplimiento de las obligaciones, garantías y principios previstos en el presente acuerdo relativos al tratamiento de los datos personales y los derechos de sus titulares, e informará al Exportador de datos en forma inmediata en caso de tener conocimiento de la existencia de alguna disposición de esta índole;

d) tratará los datos personales para los fines descritos en el Anexo A;

e) comunicará al Exportador de datos un punto de contacto dentro de su organización autorizado a responder a las consultas que guarden relación con el tratamiento de datos personales y cooperará de buena fe con el exportador de datos, el titular del dato y la autoridad respecto de tales consultas dentro de los plazos previstos en las leyes de Protección de Datos Personales. En caso de que el Exportador de datos haya cesado de existir jurídicamente, o si así lo hubieran acordado las partes, el Importador de datos asumirá las tareas relativas al cumplimiento de las disposiciones de la letra b) de la cláusula 3;

f) pondrá a disposición, a solicitud del Exportador de datos o la autoridad competente, toda la documentación necesaria, relativa al tratamiento de los datos personales involucrados, para su revisión, auditoría o certificación, a los efectos de determinar si se cumplen las garantías y los compromisos previstos en el presente acuerdo;

g) tratará los datos personales de conformidad con las leyes de Protección de Datos Personales;

h) notificará sin demora al exportador de datos sobre: i) toda solicitud jurídicamente vinculante de ceder datos personales presentada por una autoridad competente, a menos que esté prohibido por la normativa aplicable (en la medida que no excedan lo necesario en una sociedad democrática siguiendo las pautas del epígrafe siguiente, punto 2), ii) todo acceso accidental o no autorizado, iii) toda solicitud sin respuesta recibida directamente de los titulares de los datos, a menos que se le autorice;

i) no cederá ni transferirá los datos personales a terceros excepto que  la cesión sea requerida por ley o autoridad competente, en la medida que no exceda lo necesario en una sociedad democrática, por ejemplo, cuando constituya una medida necesaria para la salvaguardia de la seguridad del Estado, la defensa, la seguridad pública, la prevención, la investigación, la detección y la represión de infracciones penales o administrativas, o la protección del titular del dato o de los derechos y libertades de otras personas.

Al recibir la solicitud señalada en el punto i), el Importador deberá de manera inmediata: a) verificar que la autoridad solicitante ofrezca garantías adecuadas en relación al cumplimiento de lo dispuesto en las Leyes de Protección de Datos Personales y de los derechos de acceso, rectificación, supresión y demás derechos conferidos a los titulares de datos en las Leyes de Protección de Datos Personales; salvo en los siguientes casos y condiciones: i) previstos por las leyes de Protección de Datos Personales o mediante decisión fundada en la protección de la defensa de la Nación, el orden y la seguridad públicos, o la protección de los derechos e intereses de terceros, ii) mediante resolución fundada y notificada al afectado, cuando pudieran obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones sujetas a control estatal y relativas al orden público, como ser: tributarias o previsionales, el desarrollo de funciones de control de la salud y del medio ambiente, la investigación de delitos penales y la verificación de infracciones administrativas; sin perjuicio de ello, se deberá brindar el acceso a los datos en la oportunidad en que el afectado tenga que ejercer su derecho de defensa; y b) en caso que la autoridad no otorgue u ofrezca las garantías indicadas en el punto a) inmediato anterior, prevalecerá la ley aplicable al Exportador de datos, por lo que el Importador procederá a suspender el tratamiento en dicho país reintegrando los datos al Exportador según las instrucciones que éste le imparta y notificando este último a la autoridad de control.

j) atenderá los pedidos que reciba del titular del dato (en su caso del exportador cuando actúe a su solicitud) respecto de los derechos conferidos por las Leyes de Protección de Datos Personales sobre el tratamiento de los datos personales previstos en el presente acuerdo—en su carácter de tercero beneficiario—, en especial sus derechos de acceso, rectificación, supresión y demás derechos contenidos en las Leyes de Protección de Datos Personales, respetando los plazos allí dispuestos y disponiendo los medios para tal fin. El Importador responderá las consultas de los titulares de los datos y de la autoridad —también en carácter de tercero beneficiario— relativas al tratamiento de los datos personales que realiza.

k) destruirá, certificando tal hecho, los datos personales objeto de la transferencia cuando se produzca alguna de las siguientes circunstancias: 1) resolución del presente acuerdo; 2) imposibilidad de cumplimiento de las disposiciones establecidas en las Leyes de Protección de Datos Personales; 3) extinción de la finalidad por la que se transmitieron. Si a dicho momento la legislación nacional o la reglamentación local aplicable al Importador no le permitiera devolver o destruir dichos datos en forma total o parcial, el Importador se compromete a informar el plazo legal previsto y guardar el secreto sobre los mismos y a no volver a someterlos a tratamiento. En caso que dicho plazo de conservación sea contrario a los principios de protección de datos personales aplicables al caso, no se reiterará la transferencia resolviéndose el acuerdo, al ser una causal de incumplimiento; y si se verificara tal condición durante la ejecución del acuerdo, éste deberá resolverse reintegrando los datos al Exportador conforme a las instrucciones que éste le imparta.

l) llevará registro del cumplimiento de las obligaciones asumidas en la presente cláusula, cuyo informe estará disponible a pedido del Exportador o la autoridad.

Cláusula 5) Responsabilidad y terceros beneficiarios

a) Cada una de las partes deberá responder ante los titulares de los datos por los daños que le hubiese provocado como resultado de la afectación de derechos reconocidos en este acuerdo en los términos previstos por las Leyes de Protección de Datos Personales, sus normas reglamentarias y derecho de fondo del país de establecimiento del Exportador de datos. 
b) Los titulares de los datos, podrán exigir al Importador, en carácter de terceros beneficiarios, el cumplimiento de las Leyes de Protección de Datos Personales aplicables al tratamiento de sus datos personales, conforme a las obligaciones y responsabilidades asumidas por las partes en el presente acuerdo, en particular lo relativo a los derechos de acceso, rectificación, supresión y demás derechos contenidos en dichas normas. A tal fin, se someten a la jurisdicción del país de establecimiento del Exportador del dato, tanto en sede judicial como administrativa. En aquellos casos en que se alegue incumplimiento por parte del Importador de datos, el titular del dato podrá requerir al Exportador que emprenda acciones apropiadas a fin de cesar dicho incumplimiento.

c) El Importador acepta que la autoridad de control ejerza sus facultades respecto del tratamiento de datos que asume a su cargo, con los límites y facultades que le otorgan las Leyes de Protección de Datos Personales, aceptando sus facultades de control y sanción, otorgándole a tales fines, en lo que resulte pertinente, el carácter de tercero beneficiario. Las tareas de auditoría podrán ser realizadas tanto por personal de la autoridad de control como por terceras personas idóneas por ella designadas para dicho acto o autoridades locales de competencias análogas en colaboración con la autoridad.

El Importador de datos informará sin demora al Exportador de datos en el caso de que la legislación existente aplicable a él o a cualquier subencargado no permita auditar al Importador ni a los subencargados.

d) En caso que el Importador revoque, o no cumpla no obstante ser intimado por el Exportador otorgando un plazo perentorio de CINCO (5) días hábiles, con los derechos y facultades reconocidos a terceros beneficiarios en esta cláusula, tal hecho será causal de resolución automática del presente acuerdo.

e) Las partes no se oponen a que los titulares de los datos estén representados por una asociación u otras entidades previstas por la ley del país de establecimiento del Exportador de los datos. 

Cláusula 6) Legislación aplicable y jurisdicción

El presente acuerdo se regirá por las leyes de Protección de Datos Personales, sus normas reglamentarias y otras normas emitidas por la Autoridad de Control y entenderán en caso de conflicto vinculado a la protección de datos personales en la jurisdicción judicial y administrativa del país del establecimiento del Exportador de los datos. 

Cláusula 7) Resolución de conflictos con los titulares de los datos o con la autoridad

a) En caso de conflicto o de reclamación interpuesta contra una o ambas partes por un titular del dato o por la autoridad en relación con el tratamiento de datos personales, una parte informará a la otra sobre esta circunstancia y ambas cooperarán con objeto de alcanzar una solución lo antes posible y dentro de los plazos fijados por las Leyes de Protección de Datos Personales, participando activamente en cualquier proceso obligatorio.

b) Las partes acuerdan atender cualquier procedimiento de mediación que haya sido iniciado por un titular del dato o por la autoridad. Si deciden participar en el procedimiento no vinculante, podrán hacerlo a distancia (p. ej. por teléfono u otros medios electrónicos).

c) Cada una de las partes se compromete a acatar cualquier decisión de los tribunales competentes o de la autoridad cuyas decisiones sean finales y contra la que no pueda entablarse recurso alguno.

Cláusula 8) Resolución del Acuerdo

a) En caso que el Importador de datos incumpla las obligaciones que le incumben en virtud de las presentes cláusulas, el Exportador de datos deberá suspender temporalmente la transferencia de datos personales al Importador hasta que se subsane el incumplimiento en plazo perentorio que le fije según la gravedad del hecho, notificando de dicho hecho a la Autoridad de Control.

b) El acuerdo se tendrá por resuelto, y así deberá declararlo el Exportador previa intervención de la autoridad de control, en caso de que: i) la transferencia de datos personales al Importador de datos haya sido suspendida temporalmente por el Exportador de datos durante un período de tiempo superior a TREINTA (30) días corridos de conformidad con lo dispuesto en la letra a); ii) el cumplimiento por parte del Importador de datos del presente acuerdo y la ley aplicable sean contrarios a disposiciones legales o reglamentarias en el país de importación; iii) el Importador de datos incumpla de forma sustancial o persistente cualquier garantía o compromiso previstos en las presentes cláusulas; iv) una decisión definitiva y firme, contra la que no pueda entablarse recurso alguno de un tribunal del país de establecimiento del Exportador de los datos o de la Autoridad de Control, que establezca que el Importador o el Exportador de datos han incumplido el acuerdo; o v) el Exportador de datos, sin perjuicio del ejercicio de cualquier otro derecho que le pueda asistir contra el Importador de datos, podrá resolver las presentes cláusulas cuando: se haya solicitado la administración judicial o la liquidación del Importador de datos, ya sea a título personal o como empresario y dicha solicitud no haya sido desestimada en el plazo previsto al efecto con arreglo a la legislación aplicable; se emita una orden de liquidación; se designe a un administrador para algunos de sus activos; se nombre un síndico de la quiebra; el Importador de datos haya solicitado la declaración de concurso de acreedores; o se encuentre en una situación análoga ante cualquier jurisdicción. En los casos contemplados en los incisos i), ii), o iv), también podrá proceder a la resolución el Importador de datos sin necesidad de intervención de la autoridad de control.

c) Las partes acuerdan que la resolución del presente acuerdo por motivo que fuere no las eximirá del cumplimiento de las obligaciones y condiciones relativas al tratamiento de los datos personales transferidos.

 

ANEXO A

1- Categorías de titulares de los datos cuya Información será transferida: 
Usuarios de Mercado Libre, denunciados por el Exportador de Datos en el marco del Programa Brand Protection Program.


2- Naturaleza y categorías de los datos que pueden ser transferidos: datos identificatorios y de contacto, tales como:

  • Nombre
  • Apellido
  • E-mail
  • Teléfono
  • País
  • Domicilio
  • CUIT/DNI

3- Finalidad del tratamiento al que serán sometidos los datos: 
colaborar con el Exportador de los datos para que pueda ejercer sus derechos de propiedad intelectual o industrial por fuera de la plataforma de Mercado Libre y facilitar la resolución de disputas.

¿Te fue útil la información?