Acuerdo de Tratamiento de Datos (DPA)

El presente Acuerdo de Tratamiento de Datos (el "Acuerdo" o "DPA") se celebra entre:

• SMTM LAB LLC, sociedad de responsabilidad limitada constituida conforme a las leyes del Estado de Florida, Estados Unidos, con domicilio en 9826 Introduction Way, Orlando, FL 32832, Estados Unidos, que opera la plataforma AgentsPayouts ("SMTM" o el "Encargado"); y
• la Agencia (también denominada el "Cliente" en los Términos y Condiciones de Uso), es decir, la entidad legal o el agente de viajes independiente que contrata el Servicio y cuyos datos de identificación constan en su cuenta de AgentsPayouts (la "Agencia" o el "Responsable").

SMTM y la Agencia se denominan conjuntamente las "Partes" y, en forma individual, una "Parte".

Este Acuerdo forma parte de los Términos y Condiciones de Uso de AgentsPayouts (los "Términos") y los complementa en todo lo relativo al tratamiento de Datos Personales que SMTM realiza por cuenta de la Agencia.

1. Definiciones

1.1. Los términos con mayúscula inicial no definidos en este Acuerdo tienen el significado que les asignan los Términos.

1.2. A los fines de este Acuerdo:

a) "Legislación de Protección de Datos": toda norma de protección de datos personales o privacidad que resulte aplicable al tratamiento objeto de este Acuerdo, incluyendo, en la medida en que resulten aplicables: (i) el Reglamento (UE) 2016/679 ("RGPD"); (ii) el RGPD tal como se incorpora al derecho del Reino Unido y la Data Protection Act 2018 ("RGPD del Reino Unido"); (iii) la Ley Federal de Protección de Datos de Suiza ("LPD suiza"); (iv) las leyes estatales de privacidad de los Estados Unidos, incluyendo la California Consumer Privacy Act, modificada por la California Privacy Rights Act ("CCPA"), y la legislación del Estado de Florida; y (v) las leyes de protección de datos de otros países en los que la Agencia opere.

b) "Datos Personales": toda información sobre una persona física identificada o identificable, o que la legislación aplicable califique como dato o información personal.

c) "Datos Personales de la Agencia": los Datos Personales que SMTM trata por cuenta y bajo las instrucciones de la Agencia al prestar el Servicio, descritos en el Anexo I. No incluyen los Datos Personales respecto de los cuales SMTM actúa como Responsable independiente conforme a la cláusula 2.3.

d) "Tratamiento" o "tratar": cualquier operación o conjunto de operaciones realizadas sobre Datos Personales, por procedimientos automatizados o no, tales como recolección, registro, organización, conservación, consulta, utilización, comunicación, supresión o destrucción.

e) "Responsable del Tratamiento", "Encargado del Tratamiento", "Titular de los Datos" y "Autoridad de Control": tienen el significado que les asigna la Legislación de Protección de Datos aplicable. Cuando dicha legislación utilice términos equivalentes (por ejemplo, "business" y "service provider" en la CCPA, o "controller" y "processor" en otras leyes estatales de EE. UU.), se entenderán incluidos.

f) "Cliente Final": el viajero, cliente o potencial cliente de la Agencia cuyos datos se cargan en la plataforma, incluidos sus acompañantes o integrantes de su grupo familiar.

g) "Usuario": toda persona autorizada por la Agencia para acceder a la plataforma (administradores y agentes), conforme a los Términos.

h) "Subencargado": todo tercero contratado por SMTM que trate Datos Personales de la Agencia para la prestación del Servicio.

i) "Incidente de Seguridad de Datos Personales": toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales de la Agencia, o la comunicación o el acceso no autorizados a dichos datos, mientras se encuentren bajo el control de SMTM o de sus Subencargados.

j) "SCC de la UE": las cláusulas contractuales tipo para la transferencia de datos personales a terceros países aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, o las que las sustituyan.

k) "Adenda del Reino Unido": la International Data Transfer Addendum to the EU Commission Standard Contractual Clauses emitida por la Information Commissioner's Office (ICO) del Reino Unido conforme a la sección 119A de la Data Protection Act 2018, o el instrumento que la sustituya.

2. Objeto y roles de las Partes

2.1. Objeto. Este Acuerdo regula las obligaciones de las Partes respecto del Tratamiento de los Datos Personales de la Agencia que SMTM realiza al prestar el Servicio AgentsPayouts (aplicación web y aplicación móvil).

2.2. Datos de viajeros y Clientes Finales. Respecto de los datos de viajeros y Clientes Finales tratados por cuenta y bajo las instrucciones de la Agencia, la Agencia actúa como Responsable del Tratamiento y SMTM como Encargado del Tratamiento. La Agencia es responsable de contar con una base legal válida y de proporcionar los avisos de privacidad y obtener los consentimientos o autorizaciones que resulten exigibles.

2.3. SMTM como Responsable independiente. SMTM podrá actuar como Responsable independiente respecto de los datos que trate para administrar cuentas, facturación, seguridad, prevención de fraude, registros de auditoría y cumplimiento de sus propias obligaciones legales, incluyendo, a modo de ejemplo: los datos de las cuentas de los Usuarios (nombre, correo electrónico, rol, credenciales, factores de autenticación), los datos de facturación de la suscripción, los registros de acceso y de auditoría, la evidencia de aceptación de documentos legales, las comunicaciones de soporte y los datos agregados o desidentificados conforme a la cláusula 4.4. Dicho tratamiento se rige por la Política de Privacidad de AgentsPayouts y no por este Acuerdo.

2.4. Usuarios de la Agencia. Los Usuarios actúan bajo la autoridad de la Agencia. La Agencia es responsable de autorizar y revocar sus accesos y de asegurar que traten los Datos Personales conforme a la cláusula 5.2 de los Términos, la Política de Uso y Confidencialidad y las instrucciones de la Agencia.

2.5. Agente independiente. Cuando el Cliente sea un agente de viajes independiente que contrata el Servicio a título propio, se le aplicará este Acuerdo en su condición de Responsable del Tratamiento respecto de los datos de sus Clientes Finales.

3. Duración

3.1. Este Acuerdo entra en vigor en la fecha en que un representante autorizado de la Agencia lo acepta conforme a la cláusula 20 y permanece vigente mientras SMTM trate Datos Personales de la Agencia, incluyendo el período posterior a la terminación de los Términos durante el cual se realicen la devolución y eliminación previstas en la cláusula 13.

3.2. Las obligaciones que por su naturaleza deban subsistir (en particular, confidencialidad, eliminación, auditoría y responsabilidad) continuarán vigentes tras la terminación.

4. Finalidad e instrucciones documentadas

4.1. Finalidad. SMTM tratará los Datos Personales de la Agencia únicamente para prestar, mantener, proteger y dar soporte al Servicio conforme a los Términos, este Acuerdo y las instrucciones documentadas de la Agencia, incluyendo el registro de reservas y ventas, el cálculo y la liquidación de comisiones, la gestión de clientes, propuestas, leads y recordatorios, el envío de notificaciones y correos transaccionales, y las demás funciones del Servicio que la Agencia decida utilizar.

4.2. Instrucciones documentadas. Constituyen instrucciones documentadas de la Agencia: (a) los Términos y este Acuerdo; (b) la configuración y el uso que la Agencia y sus Usuarios realicen de las funcionalidades del Servicio; y (c) cualquier otra instrucción razonable que la Agencia comunique por escrito y que sea compatible con el Servicio. Las instrucciones adicionales que impliquen costos o desarrollos no previstos podrán estar sujetas a acuerdo entre las Partes.

4.3. Instrucciones ilícitas. SMTM informará a la Agencia sin demora si, a su juicio, una instrucción infringe la Legislación de Protección de Datos, y podrá suspender su ejecución hasta que la Agencia la confirme o modifique. SMTM no está obligada a realizar una revisión jurídica de las instrucciones de la Agencia.

4.4. Datos agregados o desidentificados. SMTM podrá generar información agregada o desidentificada a partir del uso del Servicio para mantener, proteger y mejorar el Servicio, siempre que dicha información no identifique, ni pueda razonablemente utilizarse para identificar, a la Agencia, a sus Usuarios o a los Clientes Finales. SMTM adoptará medidas razonables para no reidentificar dicha información.

4.5. Obligación legal. SMTM podrá tratar Datos Personales de la Agencia cuando así lo exija la ley aplicable. En tal caso, informará a la Agencia de esa exigencia antes del tratamiento, salvo que la ley lo prohíba.

4.6. Prohibiciones. SMTM no venderá ni compartirá con fines de publicidad conductual entre contextos los Datos Personales de la Agencia, ni los utilizará para fines propios distintos de los previstos en este Acuerdo.

5. Obligaciones de la Agencia

5.1. La Agencia declara y garantiza que:

a) cuenta con una base legal válida para el tratamiento de los Datos Personales que carga o permite cargar en la plataforma, y se encarga de proporcionar los avisos de privacidad y obtener los consentimientos o autorizaciones que resulten exigibles;

b) carga únicamente datos adecuados, pertinentes y limitados a lo razonablemente necesario para gestionar viajes, reservas, ventas, comisiones y demás actividades autorizadas;

c) cuando los datos correspondan a menores de edad, se asegura de que hayan sido proporcionados por un padre o madre, tutor, representante legal o adulto legalmente autorizado para gestionar la reserva, según corresponda conforme a la legislación aplicable, y los limita a lo razonablemente necesario para gestionar el viaje;

d) no carga ni permite cargar información que la plataforma no solicite expresamente, incluyendo números completos de pasaporte o documentos de identidad, números de Seguro Social, datos completos de tarjetas de pago, códigos de seguridad, credenciales de acceso, información médica, biométrica, religiosa u otras categorías especiales o sensibles de datos. Los campos de preferencias, notas y observaciones no deben utilizarse para registrar este tipo de información;

e) cuando utilice funcionalidades de comunicación comercial con Clientes Finales que el Servicio ofrezca en el futuro, será responsable de obtener y registrar el consentimiento u otra base legal exigible para dichas comunicaciones; y

f) sus instrucciones a SMTM cumplen con la Legislación de Protección de Datos.

5.2. La Agencia es responsable de la configuración de los accesos de sus Usuarios, de la revocación oportuna de los accesos de quienes dejen de estar autorizados y de la exactitud de los datos que carga.

6. Confidencialidad del personal

6.1. SMTM garantiza que las personas autorizadas para tratar Datos Personales de la Agencia (empleados, contratistas o personal de soporte) (a) acceden a ellos únicamente en la medida necesaria para prestar el Servicio, dar soporte, mantener la seguridad o cumplir la ley; y (b) están sujetas a obligaciones de confidencialidad contractuales o legales adecuadas que subsisten tras la finalización de su relación con SMTM.

6.2. El acceso de soporte a la cuenta de la Agencia (incluida la función de visualización como Usuario) se realizará solo cuando sea necesario para atender una solicitud de la Agencia, investigar un incidente o mantener el Servicio, quedará registrado y las acciones realizadas se identificarán como efectuadas por el soporte de AgentsPayouts.

7. Seguridad

7.1. Teniendo en cuenta el estado de la técnica, los costos de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos de las personas, SMTM implementará y mantendrá medidas técnicas y organizativas razonables y apropiadas para proteger los Datos Personales de la Agencia, que incluyen, como mínimo, las descritas en el Anexo II.

7.2. SMTM podrá actualizar dichas medidas siempre que la actualización no reduzca de manera significativa el nivel general de protección.

7.3. La Agencia reconoce que es responsable de las medidas de seguridad bajo su control, incluyendo la custodia de las credenciales de sus Usuarios, el uso de autenticación de dos factores cuando esté disponible, la seguridad de los dispositivos desde los cuales se accede al Servicio y la protección de los datos que exporte o descargue de la plataforma.

7.4. Ninguna medida de seguridad es infalible. SMTM no garantiza la ausencia absoluta de incidentes, sin perjuicio de sus obligaciones conforme a este Acuerdo y la Legislación de Protección de Datos.

8. Incidentes de Seguridad de Datos Personales

8.1. Notificación. SMTM notificará a la Agencia sin demora indebida tras tomar conocimiento de un Incidente de Seguridad de Datos Personales y, en todo caso, procurará hacerlo dentro de las cuarenta y ocho (48) horas siguientes.

8.2. Contenido. La notificación incluirá, en la medida en que esté disponible en ese momento: (a) la naturaleza del incidente, incluyendo, cuando sea posible, las categorías y el número aproximado de Titulares y registros afectados; (b) un punto de contacto; (c) las consecuencias probables; y (d) las medidas adoptadas o propuestas para remediar el incidente y mitigar sus efectos. La información podrá proporcionarse en etapas sin demora indebida adicional.

8.3. Canal. La notificación se enviará al correo electrónico del administrador o del contacto de la Agencia registrado en su cuenta. La Agencia es responsable de mantener dicho contacto actualizado. La Agencia y sus Usuarios pueden comunicar a SMTM incidentes reales o sospechados a [email protected].

8.4. Cooperación. SMTM adoptará medidas razonables para contener, investigar y mitigar el incidente, y cooperará razonablemente con la Agencia para que esta cumpla sus obligaciones de notificación a autoridades y Titulares.

8.5. Sin reconocimiento de responsabilidad. La notificación de un incidente no implica, por sí misma, reconocimiento de culpa o responsabilidad por parte de SMTM.

8.6. Comunicaciones a terceros. Salvo que la ley lo exija, SMTM no notificará directamente a los Titulares ni a las Autoridades de Control respecto de los Datos Personales de la Agencia sin consultar previamente a la Agencia, quien, como Responsable, decide sobre dichas notificaciones.

8.7. Los incidentes ocasionados por la Agencia o sus Usuarios (por ejemplo, credenciales compartidas o comprometidas) no se considerarán incumplimientos de SMTM, sin perjuicio de la colaboración razonable que SMTM preste.

9. Derechos de los Titulares de los Datos

9.1. Teniendo en cuenta la naturaleza del tratamiento, SMTM asistirá a la Agencia mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para que esta responda a las solicitudes de ejercicio de derechos de los Titulares (acceso, rectificación, supresión, oposición, limitación, portabilidad y equivalentes).

9.2. Las funcionalidades del Servicio permiten a la Agencia consultar, corregir, exportar y eliminar los datos de sus Clientes Finales. Cuando la Agencia no pueda atender una solicitud por esos medios, podrá requerir asistencia a [email protected].

9.3. Si SMTM recibe directamente una solicitud de un Titular relativa a Datos Personales de la Agencia, la remitirá a la Agencia sin demora indebida cuando pueda identificarla, y no responderá directamente salvo para indicar al Titular que se dirija a la Agencia, o salvo que la ley lo exija o la Agencia lo autorice.

9.4. La asistencia que exceda lo razonable o que no pueda prestarse mediante las funcionalidades del Servicio podrá estar sujeta a un cargo razonable acordado previamente.

10. Evaluaciones de impacto y consultas previas

SMTM proporcionará a la Agencia, a solicitud de esta y teniendo en cuenta la naturaleza del tratamiento y la información disponible, asistencia razonable para la realización de evaluaciones de impacto relativas a la protección de datos y, en su caso, para consultas previas a Autoridades de Control, en la medida en que la Agencia no disponga de la información necesaria por otros medios (por ejemplo, este Acuerdo, sus Anexos o la documentación del Servicio).

11. Subencargados

11.1. Autorización general. La Agencia otorga a SMTM una autorización general para contratar Subencargados. La lista de Subencargados vigente a la fecha de este Acuerdo figura en el Anexo III y se mantendrá actualizada en la sección 4 de la Política de Privacidad (https://www.agentspayouts.com/es/privacy).

11.2. Obligaciones. SMTM celebrará con cada Subencargado un acuerdo escrito que le imponga obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo, en la medida aplicable a la naturaleza del servicio prestado. SMTM seguirá siendo responsable frente a la Agencia por el cumplimiento de las obligaciones de sus Subencargados conforme a este Acuerdo.

11.3. Aviso de cambios. SMTM informará a la Agencia de cualquier incorporación o sustitución prevista de Subencargados con una antelación mínima de quince (15) días, mediante actualización de la página indicada y aviso por correo electrónico o dentro de la plataforma a los administradores de la Agencia.

11.4. Derecho de oposición. La Agencia podrá oponerse a un nuevo Subencargado por motivos razonables relacionados con la protección de datos, notificándolo por escrito a [email protected] dentro del plazo de aviso. Las Partes procurarán de buena fe una solución. Si no fuera posible, la Agencia podrá terminar el Servicio afectado mediante aviso escrito y tendrá derecho al reembolso de las tarifas prepagadas correspondientes al período no utilizado posterior a la terminación.

11.5. Urgencias. Cuando sea necesario sustituir un Subencargado con urgencia por razones de seguridad o continuidad del Servicio, SMTM podrá hacerlo e informará a la Agencia lo antes posible, conservando la Agencia su derecho de oposición.

12. Transferencias internacionales

12.1. Ubicación. SMTM es una sociedad de los Estados Unidos y los Datos Personales de la Agencia se tratan principalmente en infraestructura ubicada en los Estados Unidos, así como en las ubicaciones de los Subencargados indicadas en el Anexo III.

12.2. Garantías. SMTM solo realizará o permitirá transferencias internacionales de Datos Personales de la Agencia conforme a la Legislación de Protección de Datos aplicable.

12.3. Transferencias desde el EEE. En la medida en que la Agencia esté sujeta al RGPD respecto de los Datos Personales de la Agencia y estos se transfieran a SMTM en un país que no cuente con una decisión de adecuación (y SMTM no esté certificada bajo el EU-U.S. Data Privacy Framework para dicha transferencia), las Partes acuerdan que las SCC de la UE, Módulo Dos (Responsable a Encargado), quedan incorporadas por referencia a este Acuerdo y se consideran celebradas entre la Agencia, como exportador de datos, y SMTM, como importador de datos, con las selecciones indicadas en el Anexo IV.

12.4. Transferencias desde el Reino Unido. En la medida en que se aplique el RGPD del Reino Unido, las SCC de la UE se complementan con la Adenda del Reino Unido conforme al Anexo V.

12.5. Transferencias desde Suiza. En la medida en que se aplique la LPD suiza, las SCC de la UE se aplican con las adaptaciones indicadas en el Anexo IV, apartado 4.

12.6. Otras jurisdicciones. Cuando otra legislación aplicable a la Agencia exija un instrumento específico para la transferencia (por ejemplo, cláusulas modelo de una autoridad latinoamericana), las Partes cooperarán de buena fe para suscribirlo.

12.7. Prelación. En caso de conflicto entre este Acuerdo y las SCC de la UE o la Adenda del Reino Unido, prevalecerán estas últimas en lo que respecta a las transferencias que regulan.

12.8. Transferencias ulteriores. SMTM podrá transferir Datos Personales de la Agencia a Subencargados ubicados fuera del país de origen siempre que se cumplan las cláusulas 11 y 12.

13. Devolución y eliminación

13.1. Exportación. Mientras los Términos estén vigentes, la Agencia puede exportar sus datos mediante las funcionalidades del Servicio. Tras la terminación, SMTM mantendrá la posibilidad de exportación o, a solicitud de la Agencia, entregará una copia de los Datos Personales de la Agencia en un formato de uso común, durante un período de treinta (30) días ("Período de Devolución").

13.2. Eliminación. Finalizado el Período de Devolución, SMTM eliminará o anonimizará los Datos Personales de la Agencia de sus sistemas activos dentro de los treinta (30) días siguientes, salvo que la ley aplicable exija su conservación.

13.3. Copias de seguridad. Los Datos Personales de la Agencia contenidos en copias de seguridad se eliminarán conforme a los ciclos ordinarios de rotación de dichas copias, en un plazo máximo de noventa (90) días desde la eliminación en los sistemas activos. Mientras permanezcan en copias de seguridad, seguirán protegidos conforme a este Acuerdo y no se tratarán activamente salvo para restaurar el Servicio.

13.4. Conservación por obligación legal o de SMTM. SMTM podrá conservar (a) los datos respecto de los cuales actúa como Responsable independiente conforme a la cláusula 2.3; y (b) los Datos Personales de la Agencia que deba conservar por ley o para el ejercicio o la defensa de reclamaciones, en cuyo caso limitará su tratamiento a dichas finalidades y aplicará este Acuerdo mientras los conserve.

13.5. Constancia. A solicitud escrita de la Agencia, SMTM confirmará por escrito la eliminación.

13.6. Eliminación durante la vigencia. Los datos que la Agencia o sus Usuarios eliminen en el Servicio durante la vigencia se eliminarán de los sistemas activos inmediatamente o dentro de un plazo razonable y de las copias de seguridad conforme a la cláusula 13.3.

14. Información y auditorías

14.1. SMTM pondrá a disposición de la Agencia, a solicitud razonable, la información necesaria para demostrar el cumplimiento de las obligaciones previstas en este Acuerdo y en el artículo 28 del RGPD u obligaciones equivalentes, incluyendo este Acuerdo, sus Anexos, la descripción de sus medidas de seguridad, respuestas razonables a cuestionarios de seguridad y, cuando estén disponibles, los informes de certificación o auditoría de sus Subencargados.

14.2. Si la información anterior no resulta suficiente para demostrar el cumplimiento, o si una Autoridad de Control lo requiere, la Agencia podrá realizar, por sí o mediante un auditor independiente sujeto a confidencialidad y que no sea competidor de SMTM, una auditoría razonable, sujeta a las siguientes condiciones: (a) aviso escrito con al menos treinta (30) días de antelación, salvo requerimiento de autoridad o Incidente de Seguridad de Datos Personales; (b) no más de una vez cada doce (12) meses, salvo los casos anteriores; (c) en horario hábil, sin afectar de manera desproporcionada las operaciones de SMTM ni la seguridad o confidencialidad de otros clientes; (d) limitada a los sistemas y registros relevantes para el tratamiento de los Datos Personales de la Agencia; y (e) a cargo de la Agencia, salvo que la auditoría revele un incumplimiento material de SMTM.

14.3. Las auditorías de las instalaciones de los Subencargados se regirán por los derechos de auditoría que dichos Subencargados otorguen a SMTM, y SMTM podrá satisfacerlas mediante los informes que estos pongan a disposición.

14.4. Los resultados de las auditorías serán información confidencial de SMTM.

15. Responsabilidad

15.1. La responsabilidad de cada Parte derivada de este Acuerdo o relacionada con él se rige por las limitaciones y exclusiones de responsabilidad de los Términos, en la máxima medida permitida por la ley aplicable.

15.2. Nada de lo dispuesto en este Acuerdo limita (a) los derechos de los Titulares conforme a las SCC de la UE o la Legislación de Protección de Datos cuando dichos derechos no puedan limitarse por contrato; ni (b) la responsabilidad que, conforme a la ley aplicable, no pueda limitarse o excluirse.

16. Cooperación con autoridades

Cada Parte cooperará razonablemente con la otra en relación con requerimientos o investigaciones de Autoridades de Control referidos al tratamiento objeto de este Acuerdo. Si SMTM recibe un requerimiento legalmente vinculante de una autoridad pública para acceder a Datos Personales de la Agencia, notificará a la Agencia, salvo que la ley lo prohíba, y procurará limitar la divulgación a lo estrictamente exigido.

17. Leyes estatales de privacidad de los Estados Unidos

En la medida en que el tratamiento esté sujeto a la CCPA u otras leyes estatales de privacidad de los Estados Unidos, se aplicarán además los términos del Anexo VI.

18. Orden de prelación

En caso de conflicto o inconsistencia, se aplicará el siguiente orden de prelación: (1) las SCC de la UE y la Adenda del Reino Unido, cuando resulten aplicables y solo respecto de las transferencias que regulan; (2) este Acuerdo y sus Anexos; (3) los Términos; y (4) la Política de Privacidad. La Política de Privacidad es un aviso informativo y no modifica las obligaciones contractuales de las Partes respecto de los Datos Personales de la Agencia.

19. Ley aplicable y jurisdicción

19.1. Este Acuerdo se rige por las leyes del Estado de Florida, Estados Unidos, y cualquier controversia se someterá a los tribunales indicados en los Términos, salvo que la Legislación de Protección de Datos o las SCC de la UE o la Adenda del Reino Unido exijan otra ley o jurisdicción, en cuyo caso prevalecerán en lo que exijan.

19.2. Las SCC de la UE se rigen por la ley y la jurisdicción indicadas en el Anexo IV, y la Adenda del Reino Unido por las indicadas en el Anexo V.

20. Aceptación, modificaciones y disposiciones generales

20.1. Aceptación por representante autorizado. Este Acuerdo se acepta electrónicamente, una sola vez por cada Agencia, por una persona que declara tener autoridad para obligar legalmente a la Agencia. Al aceptar, dicha persona declara: "Declaro que tengo autoridad para obligar legalmente a (nombre de la Agencia) y acepto en su nombre los Términos y Condiciones de Uso y el Acuerdo de Tratamiento de Datos." Si la persona no tiene dicha autoridad, no debe aceptar.

20.2. Registro. SMTM conservará evidencia de la aceptación (Usuario, Agencia, rol, identificador de versión del documento, copia inmutable o hash del texto, idioma, fecha y hora UTC, dirección IP, user agent y la declaración de autoridad), y pondrá a disposición de la Agencia la versión aceptada para su descarga o conservación.

20.3. Agencias existentes. Este Acuerdo se aplica también a las Agencias que hubieran contratado el Servicio antes de su publicación, a partir de su aceptación.

20.4. Modificaciones. SMTM podrá modificar este Acuerdo (a) para cumplir cambios en la Legislación de Protección de Datos o requerimientos de autoridades; (b) para reflejar cambios en el Servicio o en los Subencargados conforme a la cláusula 11; o (c) por otros motivos, siempre que no reduzcan de manera significativa la protección de los Datos Personales de la Agencia. Las modificaciones materiales se notificarán con al menos treinta (30) días de antelación y requerirán nueva aceptación por un representante autorizado cuando corresponda. Las modificaciones no afectarán las SCC de la UE incorporadas, salvo para reflejar versiones sustitutivas aprobadas por la autoridad competente.

20.5. Divisibilidad. Si alguna disposición se declara inválida, las demás seguirán vigentes y la disposición inválida se interpretará en el sentido más próximo a la intención de las Partes que resulte válido.

20.6. Avisos. Los avisos a SMTM se dirigirán a [email protected] (protección de datos y derechos de los Titulares), [email protected] (incidentes) o al domicilio de SMTM indicado en el encabezamiento.

ANEXO I — DESCRIPCIÓN DEL TRATAMIENTO

A. Partes

• Responsable / exportador de datos: la Agencia identificada en la cuenta de AgentsPayouts. Contacto: el administrador registrado en la cuenta. Actividades: uso del Servicio para gestionar su actividad de agencia de viajes. Rol: Responsable del Tratamiento.
• Encargado / importador de datos: SMTM LAB LLC, 9826 Introduction Way, Orlando, FL 32832, EE. UU. Contacto: [email protected]. Actividades: prestación del Servicio AgentsPayouts. Rol: Encargado del Tratamiento.

B. Categorías de Titulares de los Datos

1. Clientes Finales de la Agencia (viajeros, clientes y potenciales clientes).

2. Acompañantes e integrantes del grupo familiar de los Clientes Finales, que pueden incluir menores de edad.

3. Leads o personas interesadas registradas por la Agencia.

4. Usuarios de la Agencia (administradores y agentes), en la medida en que sus datos aparezcan en los registros comerciales de la Agencia (por ejemplo, como agente asignado a una venta, en liquidaciones de comisiones o en reportes). Los datos de cuenta de los Usuarios son tratados por SMTM como Responsable independiente conforme a la cláusula 2.3.

5. Personas de contacto de proveedores turísticos registrados por la Agencia, si los hubiera.

C. Categorías de Datos Personales

1. Datos de identificación y contacto del Cliente Final: nombre y apellido, correo electrónico, teléfono, fecha de nacimiento, notas u observaciones cargadas por la Agencia.

2. Grupo familiar y acompañantes: nombre, parentesco y, en forma opcional, fecha de nacimiento.

3. Documentación de viaje: únicamente la fecha de vencimiento del pasaporte del Cliente Final y de sus acompañantes. El Servicio no solicita ni está diseñado para almacenar el número de pasaporte ni de otro documento de identidad.

4. Preferencias e indicadores de viaje: preferencias e indicadores seleccionados por la Agencia o derivados de las reservas registradas, como proveedores, productos, tipos de viaje, aerolíneas o meses de viaje frecuentes, incluyendo lo que el Cliente Final prefiere o evita, seleccionados del catálogo de proveedores de la Agencia o de una lista predefinida. Estos campos no pueden utilizarse para registrar información médica, religiosa u otros datos sensibles.

5. Datos de reservas y ventas: proveedor, producto o unidad, números de reserva o confirmación, fechas de reserva y de viaje, destino, importes de venta, comisiones y datos asociados, estado de la venta y archivos adjuntos (por ejemplo, comprobantes o vouchers en PDF).

6. Propuestas: contenido de propuestas o cotizaciones preparadas para Clientes Finales, incluyendo las compartidas mediante enlace.

7. Leads: nombre, datos de contacto, interés de viaje y notas.

8. Recordatorios y tareas: contenido de recordatorios asociados a Clientes Finales o reservas.

9. Consentimientos de comunicación comercial (funcionalidad futura): registro de la existencia, fecha y alcance del consentimiento del Cliente Final para recibir comunicaciones de la Agencia.

10. Datos de Usuarios dentro de registros comerciales: nombre del agente, comisiones y liquidaciones asociadas a sus ventas.

D. Datos sensibles o categorías especiales

El Servicio no está diseñado para tratar categorías especiales de datos ni datos sensibles, y la Agencia se compromete a no cargarlos (cláusula 5.1.d). Datos de menores: el Servicio puede tratar datos limitados de menores (nombre, parentesco y, opcionalmente, fecha de nacimiento y fecha de vencimiento del pasaporte) incluidos en reservas cargadas por la Agencia, conforme a la cláusula 5.1.c. Restricciones y garantías aplicadas: las del Anexo II.

E. Frecuencia de la transferencia

Continua, mientras la Agencia utilice el Servicio.

F. Naturaleza del tratamiento

Alojamiento, almacenamiento, organización, consulta, cálculo (comisiones y métricas), visualización, generación de reportes y documentos, envío de correos electrónicos transaccionales y notificaciones push, copias de seguridad, soporte técnico y eliminación.

G. Finalidad

Prestar el Servicio a la Agencia conforme a los Términos: gestión de ventas, reservas, comisiones y liquidaciones de agentes; gestión de clientes, acompañantes, preferencias, propuestas, leads y recordatorios; reportes; notificaciones; soporte; seguridad y continuidad del Servicio.

H. Período de conservación

Durante la vigencia de los Términos, según la configuración y las eliminaciones que realice la Agencia, y posteriormente conforme a la cláusula 13.

I. Transferencias a Subencargados

Según el Anexo III, con el objeto, la naturaleza y la duración allí indicados.

ANEXO II — MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Las siguientes medidas describen el estado del Servicio a la fecha de este Acuerdo.

1. Cifrado

• Cifrado en tránsito mediante TLS para el acceso a la aplicación web, la aplicación móvil y las APIs.
• Cifrado en reposo provisto por la infraestructura de base de datos y almacenamiento del proveedor de hosting.
• Las copias de seguridad lógicas que SMTM conserva fuera de la infraestructura del proveedor se cifran antes de almacenarse.

2. Control de acceso y aislamiento entre Agencias

• Arquitectura multi-inquilino con aislamiento por Agencia aplicado en la base de datos mediante políticas de seguridad a nivel de fila (RLS).
• Control de acceso basado en roles (agente, administrador, superadministrador de la plataforma) aplicado en el servidor.
• Las credenciales con privilegios elevados (por ejemplo, claves de servicio de la base de datos) solo se utilizan en el servidor y no se exponen a los navegadores ni a la aplicación móvil; cuando se utilizan, se aplican verificaciones adicionales de pertenencia a la Agencia.
• Autenticación de dos factores (TOTP) disponible.
• Protección contra bots (CAPTCHA) en el inicio de sesión y en los formularios públicos, cuando está activada.
• Gestión de sesiones con cookies de autenticación y control de sesiones inválidas o vencidas.

3. Minimización por diseño

• El Servicio no incluye campos para número de pasaporte, documento de identidad, número de Seguro Social ni datos completos de tarjetas de pago.
• Los datos de tarjetas de pago de la suscripción son recibidos directamente por el procesador de pagos y no pasan por los servidores de SMTM.
• El monitoreo de errores se configura para no enviar datos personales por defecto, y las grabaciones de sesión ante errores ocultan el texto y bloquean los elementos multimedia.

4. Registro y trazabilidad

• Registros de auditoría de acciones relevantes dentro del Servicio.
• El acceso de soporte a cuentas de clientes queda registrado y las modificaciones realizadas se identifican como efectuadas por el soporte de AgentsPayouts.

5. Disponibilidad, copias de seguridad y recuperación

• Copias de seguridad automáticas provistas por el proveedor de base de datos.
• Copias de seguridad lógicas diarias adicionales, cifradas, con verificación y alertas de monitoreo.
• Monitoreo de disponibilidad y alertas.

6. Seguridad en el desarrollo y la operación

• Control de versiones y revisión de cambios; despliegues automatizados a un entorno de pruebas (stage) antes de producción.
• Migraciones de base de datos versionadas y verificaciones automáticas antes de cada despliegue.
• Gestión de dependencias con revisión periódica de vulnerabilidades conocidas.
• Separación entre entornos de pruebas y producción.
• Protección perimetral, DNS y mitigación de ataques mediante el proveedor de red.

7. Medidas organizativas

• Acceso del personal limitado a lo necesario y sujeto a obligaciones de confidencialidad.
• Procedimiento de respuesta a incidentes con canales de reporte ([email protected]) y notificación conforme a la cláusula 8.
• Selección de Subencargados con prácticas de seguridad reconocidas y acuerdos de tratamiento de datos.
• Políticas de Uso y Confidencialidad aceptadas individualmente por cada persona con acceso a la plataforma.

8. Medidas a cargo de la Agencia

• Gestión de altas y bajas de Usuarios, custodia de credenciales, uso de autenticación de dos factores cuando esté disponible y seguridad de los dispositivos y de los datos exportados.

ANEXO III — SUBENCARGADOS

Lista vigente a la fecha de esta versión del Acuerdo.

A. Subencargados que tratan Datos Personales de la Agencia

B. Proveedores respecto de los cuales SMTM actúa como Responsable independiente (informativo)

No tratan Datos Personales de la Agencia; se informan por transparencia:

ANEXO IV — CLÁUSULAS CONTRACTUALES TIPO DE LA UE (SELECCIONES)

Aplicable solo cuando corresponda conforme a la cláusula 12.3.

1. Módulo: Módulo Dos (Responsable a Encargado).

2. Selecciones:

• Cláusula 7 (cláusula de incorporación): se incluye.
• Cláusula 9(a) (subencargados): Opción 2, autorización general por escrito, con el plazo de aviso previo previsto en la cláusula 11.3 de este Acuerdo.
• Cláusula 11(a) (reparación): no se incluye la opción de organismo independiente de resolución de conflictos.
• Cláusula 13 (supervisión): la Autoridad de Control competente será la del Estado miembro en que esté establecido el exportador de datos o, si el exportador no está establecido en la UE y ha designado un representante conforme al artículo 27.1 del RGPD, la del Estado miembro en que esté establecido dicho representante; en su defecto, la del Estado miembro en que se encuentren los Titulares cuyos datos se transfieren.
• Cláusula 17 (ley aplicable): Opción 2, la ley del Estado miembro en que esté establecido el exportador de datos; si dicha ley no reconoce derechos a terceros beneficiarios, la ley de Irlanda.
• Cláusula 18 (foro): los tribunales del Estado miembro cuya ley se aplique conforme a la cláusula 17.

3. Anexos de las SCC: el Anexo I.A y I.B de las SCC se completan con el Anexo I de este Acuerdo; el Anexo I.C con el apartado 2 anterior (cláusula 13); el Anexo II de las SCC con el Anexo II de este Acuerdo; y el Anexo III de las SCC con el Anexo III de este Acuerdo.

4. Suiza: cuando la transferencia esté sujeta a la LPD suiza: (a) la autoridad de control competente será el Encargado Federal de Protección de Datos e Información (FDPIC) en lo que respecta a dichas transferencias; (b) las referencias al RGPD se entenderán hechas a la LPD suiza; (c) el término "Estado miembro" no se interpretará de forma que impida a los Titulares que residen habitualmente en Suiza ejercer sus derechos ante los tribunales de su lugar de residencia; y (d) la ley aplicable y el foro serán los indicados en el apartado 2, salvo que la LPD suiza exija otra cosa.

5. Medidas complementarias:

ANEXO V — REINO UNIDO

Aplicable cuando la transferencia esté sujeta al RGPD del Reino Unido.

1. Se incorpora por referencia la Adenda del Reino Unido (versión B1.0, en vigor desde el 21 de marzo de 2022, o la que la sustituya), que se considera celebrada entre la Agencia (exportador) y SMTM (importador).

2. Tabla 1 (Partes): según el Anexo I.A de este Acuerdo.

3. Tabla 2 (SCC seleccionadas): las SCC de la UE aprobadas, Módulo Dos, con las selecciones del Anexo IV.

4. Tabla 3 (información de los apéndices): Anexos I, II y III de este Acuerdo.

5. Tabla 4 (terminación al cambiar la Adenda): pueden terminar tanto el importador como el exportador.

6. Alternativamente, si las Partes lo acuerdan por escrito, podrá utilizarse el International Data Transfer Agreement (IDTA) de la ICO.

ANEXO VI — LEYES ESTATALES DE PRIVACIDAD DE LOS ESTADOS UNIDOS

Aplicable en la medida en que el tratamiento de Datos Personales de la Agencia esté sujeto a la CCPA o a otras leyes estatales de privacidad de los Estados Unidos.

1. California (CCPA/CPRA). Cuando la Agencia sea una "business" y SMTM un "service provider" conforme a la CCPA, SMTM:

a) tratará la información personal únicamente para los fines comerciales limitados y especificados en el Anexo I (prestación del Servicio);

b) no venderá ni compartirá ("sell" o "share") la información personal;

c) no conservará, usará ni divulgará la información personal (i) para fines distintos de los especificados en este Acuerdo, incluido cualquier fin comercial propio, ni (ii) fuera de la relación comercial directa entre SMTM y la Agencia, salvo lo permitido por la CCPA;

d) no combinará la información personal recibida de la Agencia con información personal recibida de otras fuentes o recolectada en su propia interacción con los consumidores, salvo lo permitido por la CCPA;

e) cumplirá las obligaciones aplicables de la CCPA y otorgará el mismo nivel de protección de la privacidad que esta exige;

f) notificará a la Agencia si determina que ya no puede cumplir sus obligaciones conforme a la CCPA;

g) reconoce el derecho de la Agencia a adoptar medidas razonables y apropiadas para asegurar que SMTM use la información personal de manera coherente con las obligaciones de la Agencia y, previa notificación, para detener y remediar el uso no autorizado; y

h) exigirá a sus Subencargados obligaciones equivalentes.

SMTM certifica que comprende y cumplirá las restricciones de este apartado.

2. Otras leyes estatales con régimen de responsable y encargado (por ejemplo, Virginia, Colorado, Connecticut, Utah, Texas, Oregón y otras que adopten un régimen similar). Cuando resulten aplicables, SMTM: a) tratará los datos conforme a las instrucciones de la Agencia; b) garantizará que cada persona que los trate esté sujeta a un deber de confidencialidad; c) eliminará o devolverá los datos al término del Servicio, salvo que la ley exija su conservación; d) pondrá a disposición de la Agencia la información necesaria para demostrar el cumplimiento; e) permitirá evaluaciones razonables conforme a la cláusula 14 o proporcionará un informe de evaluación independiente; y f) contratará Subencargados mediante contrato escrito con obligaciones equivalentes y dará a la Agencia la oportunidad de oponerse conforme a la cláusula 11.

3. Florida.

a) Ley de Protección de Información de Florida (Fla. Stat. § 501.171): en su carácter de tercero que trata información por cuenta de la Agencia, SMTM notificará a la Agencia los incidentes de seguridad conforme a la cláusula 8, y en todo caso dentro del plazo máximo previsto por dicha ley, y le proporcionará la información razonablemente necesaria para que la Agencia cumpla sus propias obligaciones de notificación.

b) Florida Digital Bill of Rights (Fla. Stat. § 501.701 y siguientes): en la medida en que la Agencia sea un "controller" sujeto a dicha ley, SMTM cumplirá las obligaciones de "processor" previstas en ella, que se consideran cubiertas por las cláusulas 4, 6, 7, 9, 11, 13 y 14 de este Acuerdo.