Anexo sobre procesamiento de datos de Fair Isaac

Este Anexo de Procesamiento de Datos de Fair Isaac ("DPA") forma parte del Acuerdo entre Fair Isaac y el Cliente en virtud del cual Fair Isaac proporciona al Cliente los servicios descritos en el Acuerdo (los "Servicios"). Este DPA se aplica en la medida en que Fair Isaac Procese los Datos Personales del Cliente (según se define en el presente documento) en relación con la prestación de los Servicios al Cliente en virtud del Acuerdo. En caso de conflicto entre los términos del Acuerdo (y cualquier anexo al mismo) y este DPA, prevalecerán los términos de este DPA. A menos que se defina en este DPA, los términos en mayúsculas tendrán los mismos significados establecidos en el Acuerdo y, salvo que se indique lo contrario, el término "Cliente" incluirá al Cliente y sus Afiliados Autorizados.

1. Definiciones

“"Acuerdo" se refiere colectivamente al acuerdo entre el Cliente y Fair Isaac que hace referencia a este DPA y en virtud del cual Fair Isaac presta Servicios al Cliente, y todos los pedidos, formularios de pedido, suscripciones, declaraciones de trabajo, órdenes de trabajo, órdenes de compra, enmiendas y otros anexos relacionados con dicho acuerdo.

“Leyes de Protección de Datos aplicables" se refiere al Reglamento General de Protección de Datos de la Unión Europea 2016/679 ("GDPR"), la Ley de Protección de Datos del Reino Unido de 2018 y la Ley General de Protección de Datos del Reino Unido ("GDPR del Reino Unido"), la Ley General de Protección de Datos de Brasil, la Ley Federal #13,709/2018 ("LGPD"), la Ley de Privacidad del Consumidor de California, Código Civil de California § 1.798,1 y siguientes ("CCPA") según enmendada por la Ley de Derechos de Privacidad de California ("CPRA"), y/o cualquier otra ley de protección de datos o privacidad de otros países o jurisdicciones en la medida en que sea aplicable al Tratamiento de Datos Personales en virtud del Acuerdo.

“"Afiliado Autorizado" se refiere a un Afiliado Cliente que está autorizado a utilizar los Servicios en virtud del Acuerdo y que no ha firmado su propio acuerdo por separado para los Servicios de Fair Isaac.

“"Controlador" significa la entidad que determina los fines y medios del Tratamiento de Datos Personales.

“"Datos Personales del Cliente" se refiere a cualquier Dato Personal enviado por o en nombre del Cliente en virtud del Acuerdo en relación con los Servicios.

“"Interesado" se refiere a la persona física identificada o identificable a la que se refieren los Datos Personales.

“"Datos anonimizados" se refiere a los datos personales a los que se les ha despojado de todos los identificadores directos o que se encuentran en una forma que no identifica y no puede utilizarse para identificar a una persona física.

“"Datos personales" se refiere a cualquier información que identifique, se relacione, describa, sea razonablemente capaz de asociarse con, o pueda vincularse razonablemente, directa o indirectamente, con una persona física en particular, o según se defina de otro modo en las Leyes de Protección de Datos Aplicables. Los Datos personales incluyen, en la medida en que corresponda, "datos personales" tal como se definen en el RGPD, el RGPD del Reino Unido y la LGPD; "información personal" tal como se define en la CCPA; "información personal no pública" según se define en la Ley Gramm-Leach-Bliley, 15 U.S.C. § 6801 et seq.; y "datos del titular de la tarjeta" según la definición del Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI). Los Datos Personales no incluyen los Datos Anonimizados.

“"Violación de Datos Personales" significa una violación de la seguridad que conduce a la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilegal de Datos Personales.

“"Tratamiento" o "Tratamiento" se refiere a cualquier operación o conjunto de operaciones que se realice sobre Datos Personales o conjuntos de Datos Personales, ya sea por medios automatizados o no, como la recopilación, el registro, la organización, la estructuración, el almacenamiento, la adaptación o la alteración, la extracción, la consulta, el uso, la divulgación por transmisión, la difusión o cualquier otra forma de puesta a disposición, la alineación o combinación, la restricción, la supresión o la destrucción.

“"Procesador" se refiere a la entidad que procesa datos personales en nombre del controlador e incluye un "proveedor de servicios" según se define en la CCPA.

“"Autoridades Reguladoras" se refiere a cualquier agencia gubernamental o autoridad reguladora responsable de la supervisión o el cumplimiento de una ley, estatuto o reglamento aplicable a la seguridad o privacidad de los Datos Personales del Cliente.

“"Datos Personales Sensibles" se refiere a los Datos Personales relacionados con el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos con el fin de identificar de forma unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual u orientación sexual de una persona física, u otros Datos Personales similares que se definen como "datos personales especiales" o "datos personales sensibles" o término equivalente en virtud de las Leyes de Protección de Datos Aplicables.

“"Subprocesador" se refiere a cualquier otro Procesador contratado por Fair Isaac (incluyendo cualquier Afiliado de Fair Isaac) para Procesar los Datos Personales del Cliente.

2. Tratamiento de los datos personales del cliente

2.1. Objeto, naturaleza y finalidad del tratamiento. En relación con la prestación de los Servicios al Cliente por parte de Fair Isaac en virtud del Acuerdo, el Cliente o terceros que actúen en nombre del Cliente pueden enviar Datos Personales para su Procesamiento por parte de Fair Isaac. Fair Isaac puede alojar, almacenar, computar, transmitir o Procesar de otro modo los Datos Personales del Cliente con el fin de prestar los Servicios al Cliente en virtud del Acuerdo.

2.2. Funciones de las partes. Fair Isaac actuará como Procesador y el Cliente actuará como Controlador con respecto a cualquier Dato Personal del Cliente Procesado por Fair Isaac.

2.3. Duración del tratamiento. Fair Isaac procesará los Datos Personales del Cliente durante la vigencia del Acuerdo o según las instrucciones del Cliente o lo acuerden por escrito las partes.

2.4. Categorías de interesados. Las categorías de Interesados son determinadas por el Cliente según lo establecido en la Sección B del Anexo 1 de este DPA. Si el Cliente no ha completado la Sección B del Anexo 1 de este DPA, se considerará que el Cliente ha declarado que las categorías de interesados  incluyen: (i) empleados, consumidores, clientes y/o usuarios finales del Cliente; (ii) Usuarios Autorizados del Cliente; y (iii) otras personas cuyos Datos Personales estén incluidos en los Datos Personales del Cliente de conformidad con los términos, el alcance y el propósito del Acuerdo.

2.5. Tipos de datos personales. Los tipos de Datos Personales del Cliente son determinados por el Cliente y se establecen con más detalle en la Sección B del Anexo 1 de este DPA. Si el Cliente no ha completado la Sección B del Anexo 1 de este DPA, se considerará que el Cliente ha declarado que los tipos de Datos Personales pueden incluir, entre otros, los siguientes tipos de Datos Personales: (i) nombre, dirección comercial, cargo, datos de contacto; y (ii) la dirección IP y los datos de cookies; y (iii) cualquier otro Dato Personal procesado en el curso de los Servicios como Datos Personales del Cliente de conformidad con los términos, el alcance y el propósito del Acuerdo.

2.6. Instrucciones de procesamiento. Fair Isaac procesará los Datos Personales del Cliente únicamente según las instrucciones del Cliente, según lo establecido en el Acuerdo u otras instrucciones escritas y según lo permitan las Leyes de Protección de Datos Aplicables. Si Fair Isaac recibe Datos Anonimizados del Cliente o en su nombre, o crea Datos Anonimizados por instrucción del Cliente o con el permiso del Cliente, Fair Isaac (i) tomará las medidas razonables para garantizar que la Información Anonimizada no pueda asociarse con un Sujeto de Datos o un hogar, (ii) se compromete a mantener y utilizar los Datos Anonimizados en forma anonimizada, y (iii) no intentar volver a identificar los Datos anonimizados, excepto con el único propósito de determinar si los procesos de desidentificación de Fair Isaac (suponiendo que Fair Isaac fue responsable de la desidentificación) cumplen con los requisitos de las Leyes de Protección de Datos Aplicables.

3. Obligaciones del responsable del tratamiento. El Cliente reconoce que determina y controla las categorías y los tipos de Datos Personales del Cliente enviados para su Procesamiento por parte de Fair Isaac. El Cliente declara y garantiza que (i) el Cliente solo enviará para su Procesamiento por parte de Fair Isaac Datos Personales del Cliente que sean consistentes con los términos, el alcance y el propósito del Acuerdo, (ii) el Cliente ha proporcionado todas las divulgaciones y obtenido todos los consentimientos requeridos por las Leyes de Protección de Datos Aplicables, y (iii) el Cliente está autorizado y permitido por las Leyes de Protección de Datos Aplicables para enviar los Datos Personales del Cliente para su Procesamiento por parte de Fair Isaac. En ningún caso el Cliente enviará Datos Personales Confidenciales para su Procesamiento por parte de Fair Isaac sin previo aviso a Fair Isaac y sin la autorización previa de Fair Isaac.

4. Obligaciones del Encargado del Tratamiento. Fair Isaac cumplirá con las Leyes de Protección de Datos Aplicables y brindará el mismo nivel de protección a los Datos Personales del Cliente que exige las Leyes de Protección de Datos Aplicables. Fair Isaac notificará inmediatamente al Cliente si determina que ya no puede cumplir con sus obligaciones de cumplir con las Leyes de Protección de Datos Aplicables. Fair Isaac procesará los Datos Personales del Cliente únicamente en la medida en que lo permita el Acuerdo, según las instrucciones del Cliente de conformidad con la Sección 2,6 de este DPA, o en la medida en que lo permitan las Leyes de Protección de Datos Aplicables. Fair Isaac no podrá: (i) vender ningún Dato Personal del Cliente; (ii) recopilar, usar, divulgar, compartir o retener cualquier Dato Personal del Cliente para cualquier propósito (incluido un propósito comercial) que no sea el propósito limitado y específico de proporcionar los Servicios en virtud del Acuerdo o según lo permitan las Leyes de Protección de Datos Aplicables; (iii) recopilar, usar, divulgar, compartir o retener cualquier Dato Personal del Cliente fuera de la relación comercial directa con el Cliente que no sea lo permitido por las Leyes de Protección de Datos Aplicables; o (iv) combinar cualquier Dato Personal del Cliente con cualquier Dato Personal que Fair Isaac reciba de o en nombre de cualquier persona o entidad que no sea el Cliente, o que Fair Isaac recopile de sus propias interacciones con los Interesados, salvo lo permitido por las Leyes de Protección de Datos Aplicables. Fair Isaac reconoce y certifica que comprende y cumplirá con las restricciones establecidas en esta Sección 4.

5. Confidencialidad. Fair Isaac mantendrá la confidencialidad de los Datos Personales del Cliente y no los divulgará a terceros sin previo aviso y autorización del Cliente, excepto cuando sea necesario para prestar los Servicios en virtud del Acuerdo, según lo permita el Acuerdo o según lo permitan las Leyes de Protección de Datos Aplicables u otra ley aplicable. Fair Isaac limitará el acceso a los Datos Personales del Cliente al personal de Fair Isaac que sea necesario para el Procesamiento y exigirá que dicho personal de Fair Isaac proteja la confidencialidad de los Datos Personales del Cliente de conformidad con los términos de este DPA.

6. Seguridad. Fair Isaac implementará y mantendrá medidas técnicas y organizativas razonables diseñadas para proporcionar el nivel de seguridad para el Procesamiento de los Datos Personales del Cliente que sea adecuado a los riesgos generales involucrados en el Procesamiento, teniendo en cuenta el estado de la técnica y los costos de implementación en relación con los riesgos y la naturaleza de los Datos Personales del Cliente. Las medidas implementadas y mantenidas por Fair Isaac en virtud de esta Sección 6 incluirán las medidas establecidas en el Acuerdo y el Acuerdo de Seguridad de la Información de Fair Isaac establecido en el Acuerdo.

7. Subprocesamiento

7.1. Autorización. Por el presente, el Cliente otorga una autorización general por escrito para que Fair Isaac contrate a cualquiera de los Subprocesadores enumerados en el Acuerdo y/o en la lista mantenida en https://www.fico.com/en/subprocessors (y cualquier página web sucesora designada por Fair Isaac con notificación al Cliente) (la "Página Web"). Fair Isaac celebrará contratos por escrito con cualquier Subprocesador que imponga obligaciones que sean sustancialmente las mismas que las requeridas de Fair Isaac en virtud de este DPA. Fair Isaac seguirá siendo plenamente responsable ante el Cliente por cualquier incumplimiento de este DPA que sea causado por el acto u omisión de cualquier Subprocesador, pero solo en la medida en que Fair Isaac hubiera sido responsable de dicho acto u omisión si hubiera sido causado por Fair Isaac.

7.2. Cambios y objeciones. Fair Isaac puede designar a un Subprocesador nuevo o reemplazar uno existente mediante la actualización de la lista en la página web. El Cliente se registrará en la Página Web para recibir notificaciones electrónicas de actualizaciones de la lista seleccionando Suscribirse en la Página Web. El Cliente puede oponerse a la designación por parte de Fair Isaac de un Subprocesador nuevo o de reemplazo por motivos razonables relacionados con la protección de datos notificando a Fair Isaac por escrito por correo electrónico a privacyteam@fico.com dentro de los diez (10) días calendario posteriores a la recepción de la notificación de conformidad con esta Sección. En tal caso, Fair Isaac deberá: (a) trabajar con el Cliente para abordar las objeciones del Cliente a su satisfacción razonable; o (b) instruir al Subprocesador para que no procese los Datos Personales del Cliente; o (c) sin perjuicio de cualquier disposición en contrario en el Acuerdo, notificar al Cliente su opción de rescindir este Acuerdo y este DPA dentro de los catorce (14) días calendario posteriores a la notificación de Fair Isaac. Si el Cliente no se opone dentro de los diez (10) días calendario siguientes a una actualización de la lista, entonces la adición de cualquier nuevo o reemplazo de cualquier Subprocesador se considerará aceptada por el Cliente.

8. Solicitudes de los interesados. El Cliente se compromete a mantener recursos suficientes para que pueda cumplir de forma independiente con sus obligaciones de responder a: (i) cualquier solicitud de un Interesado que ejerza cualquier derecho en virtud de las Leyes de Protección de Datos Aplicables (incluidos los derechos de acceso, corrección, objeción, supresión y portabilidad de datos, según corresponda); y (ii) cualquier otra correspondencia, consulta o queja recibida de, sobre o en nombre de un Sujeto de datos. En el caso de que el Cliente no pueda responder de forma independiente debido a que Fair Isaac está en posesión de información relevante que no está en posesión del Cliente, Fair Isaac proporcionará asistencia comercialmente razonable al Cliente en relación con la respuesta del Cliente. En el caso de que dicha solicitud, correspondencia, consulta o queja se realice directamente a Fair Isaac, Fair Isaac informará de inmediato al Cliente.

9. Violación de datos personales. Fair Isaac notificará al Cliente dentro del período de tiempo requerido por la ley aplicable, y en ningún caso más de cuarenta y ocho (48) horas, después de que Fair Isaac tenga conocimiento de cualquier Violación de Datos Personales que afecte los Datos Personales del Cliente. Fair Isaac proporcionará información y cooperación razonables al Cliente para que el Cliente pueda cumplir con sus obligaciones legales en relación con cualquier Violación de Datos Personales. Fair Isaac investigará la Violación de Datos Personales sin demoras indebidas y tomará todas las medidas y acciones razonablemente necesarias dentro del control de Fair Isaac para detener y prevenir los efectos adicionales de dicha Violación de Datos Personales, incluida la implementación de medidas técnicas y organizativas adicionales razonables, y mantendrá informado al Cliente de todos los desarrollos materiales relacionados con la misma.

10. Cooperación. Previo aviso razonable del Cliente, Fair Isaac le proporcionará al Cliente la información en su poder que sea razonablemente necesaria para que el Cliente demuestre el cumplimiento conforme a las Leyes de Protección de Datos Aplicables con respecto al Procesamiento de Datos Personales del Cliente por parte de Fair Isaac. Las obligaciones en virtud de esta Sección 10 incluyen, entre otras, proporcionar asistencia y cooperación razonables al Cliente en relación con (i) cualquier evaluación de impacto de protección de datos (EIPD) u obligaciones similares que puedan ser requeridas en virtud de las Leyes de Protección de Datos Aplicables, y (ii) solicitudes de las Autoridades Reguladoras. El Cliente tiene derecho a tomar las medidas razonables y apropiadas para ayudar a garantizar que Fair Isaac Procese los Datos Personales del Cliente de manera consistente con las Leyes de Protección de Datos Aplicables, incluyendo, sin limitación, el derecho, previa notificación, de detener y remediar cualquier Procesamiento no autorizado de los Datos Personales del Cliente.

11. Auditorías. Previo aviso razonable del Cliente y sujeto a un acuerdo de confidencialidad acordado entre las partes, Fair Isaac pondrá a disposición (a cargo exclusivo del Cliente) para su inspección o revisión por parte del Cliente, y discutirá con el Cliente, resúmenes de las auditorías internas e informes de pruebas de Fair Isaac que se relacionan con el Procesamiento de Datos Personales del Cliente por parte de Fair Isaac. Además, previa notificación razonable por parte del Cliente y tras la ejecución de una declaración escrita de trabajo u otro acuerdo entre las partes (incluido el pago por parte del Cliente de todos los honorarios y gastos incurridos por Fair Isaac), Fair Isaac permitirá al personal del Cliente o a terceros que actúen en nombre del Cliente el acceso razonable a las instalaciones, equipos, procesos y personal de Fair Isaac con el fin de inspeccionar o auditar el Procesamiento de Datos Personales del Cliente por parte de Fair Isaac. El Cliente deberá pagar por todo el tiempo que Fair Isaac dedique a estas actividades para respaldar las auditorías del Cliente contempladas en este DPA a las tarifas por hora de Fair Isaac vigentes en ese momento, más cualquier gasto de bolsillo. En ningún caso el Cliente tendrá acceso a ningún Dato Personal relacionado con otros clientes de Fair Isaac.

12. Eliminación o devolución de datos personales. En la medida en que los Datos Personales del Cliente estén en posesión y control de Fair Isaac y el Cliente no tenga la capacidad de recuperar o eliminar dichos Datos Personales del Cliente, al finalizar o vencer el Acuerdo, Fair Isaac (a elección del Cliente) destruirá o devolverá permanentemente al Cliente todos los Datos Personales del Cliente que estén en posesión o bajo el control de Fair Isaac. Fair Isaac puede retener los Datos Personales del Cliente en la medida en que lo permita el Acuerdo o las Leyes de Protección de Datos Aplicables. Todos los Datos Personales del Cliente almacenados en los sistemas de copia de seguridad y archivo de Fair Isaac serán destruidos como parte del proceso normal de destrucción de datos de Fair Isaac. Si el Cliente requiere que Fair Isaac elimine archivos específicos de los sistemas de copia de seguridad, el Cliente es responsable de todos los costos asociados con la recuperación, recarga y eliminación de dichos archivos por parte de Fair Isaac.

13. Transferencias internacionales de datos personales. Las partes cumplirán con los requisitos de las Leyes de Protección de Datos Aplicables con respecto a la transferencia internacional de Datos Personales del Cliente. En la medida en que los Datos Personales del Cliente se transfieran desde el país de origen a otro país que no haya sido determinado para proporcionar niveles adecuados de protección de Datos Personales por la autoridad de protección de datos aplicable, las partes celebrarán e implementarán las garantías de transferencia apropiadas aprobadas por la autoridad de protección de datos aplicable cuando así lo exijan las Leyes de Protección de Datos Aplicables de acuerdo con esta Sección 13.

13.1. Transferencias internacionales de datos personales del EEE. Para las transferencias internacionales aplicables de Datos Personales del Cliente originadas en la Unión Europea, el Espacio Económico Europeo y/o sus estados miembros ("EEE") a un tercer país, las partes acuerdan implementar el Módulo 2 de las Cláusulas Contractuales Tipo ("CCT") de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, que se establecen en la Decisión de Ejecución (UE) 2021/914 de la Comisión de 4 de junio, 2021 (según pueda ser enmendado, reemplazado o reemplazado por Fair Isaac de vez en cuando). El Cliente actuará como "Exportador de Datos" y Fair Isaac actuará como "Importador de Datos" tal como se definen esos términos en las CCT. Este DPA incorpora el Módulo 2 de las CCT por referencia cuando corresponda, y se considera que las partes han aceptado y ejecutado el Módulo 2 de las CCT, incluidos los anexos asociados. El contenido del Anexo I del Módulo 2 de las CCT se incluye en el Anexo 1 de este DPA. El contenido del Anexo II de las CCT se incluye en el Anexo 2 del presente DPA. Las partes acuerdan además las siguientes opciones de aplicación en el marco de las CCT:

(i) Cláusula 7: Las partes optan por no incluir la cláusula de acoplamiento opcional.

(ii) Cláusula 9(a): Las partes eligen la Opción 2, "Autorización General por Escrito" y el proceso y el período de tiempo para la notificación previa de los cambios del Subprocesador serán los establecidos en la Sección 7,2 de este DPA.

(iii) Cláusula 11(a): Las partes optan por no incluir el lenguaje opcional relacionado con el uso de un organismo independiente de resolución de disputas.

iv) Cláusula 13: La autoridad de control del Estado miembro en el que esté establecido el representante en el sentido del artículo 27, apartado 1, del Reglamento (UE) n.º 2016/679, tal como se indica en el anexo I.C, actuará como autoridad de control competente. El contenido del anexo I.C de las CCT se incluye en el anexo 1 del presente DPA.

(v) Cláusula 17: Las partes seleccionan la opción 1 y especifican la ley de Irlanda.

(vi) Cláusula 18(b): Las partes especifican los tribunales de Irlanda.

13.2. Transferencias internacionales de datos personales suizos. Para las transferencias internacionales aplicables de Datos Personales del Cliente que se originen en Suiza a un tercer país, las partes acuerdan implementar el Módulo 2 de las CCT, con el Cliente actuando como Exportador de Datos y Fair Isaac como Importador de Datos, junto con las modificaciones necesarias promulgadas por el Comisionado Federal de Protección e Información de Datos de Suiza ("FDPIC"). Las partes incorporan y adoptan el Módulo 2 de las CCT en lo que respecta a las transferencias internacionales aplicables de Datos Personales Suizos exactamente de la misma manera establecida en la Sección 13,1 anterior, sujeto a lo siguiente:

(i) Cláusula 13: El FDPIC será la autoridad supervisora competente.

(ii) Cláusula 18: La elección del foro y la jurisdicción por parte de las partes no puede interpretarse como una prohibición a los Interesados en Suiza de demandar por sus derechos en Suiza.

13.3. Transferencias internacionales de datos personales del Reino Unido. Para las transferencias internacionales aplicables de Datos Personales del Cliente que se originen en el Reino Unido ("RU") a un tercer país, las partes acuerdan implementar el Módulo 2 de las CCT, con el Cliente actuando como Exportador de Datos y Fair Isaac como Importador de Datos, según lo modificado por las cláusulas obligatorias de la adenda (disponible en https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf y cualquier sucesor o ubicación relacionada designada por la Oficina del Comisionado de Información del Reino Unido ("ICO")) ("Anexo de transferencia del Reino Unido"), que se incorpora al presente mediante esta referencia. La información requerida en los cuadros 1 y 3 de la adenda sobre transferencias del Reino Unido se incluye en el anexo 1 de este DPA. En cuanto a la Tabla 4 del Anexo de Transferencia del Reino Unido, las partes seleccionan tanto al Importador como al Exportador con respecto a la terminación del Anexo de Transferencia del Reino Unido en las condiciones establecidas en la Sección 19 del Anexo de Transferencia del Reino Unido. Las partes adoptan el Módulo 2 de las CCT, modificado por el Anexo de Transferencia del Reino Unido, en cuanto a las transferencias internacionales aplicables de Datos Personales del Reino Unido exactamente de la misma manera establecida en la Sección 13,1 anterior, sujeto a lo siguiente:

(i) Cláusula 13: La ICO será la autoridad supervisora competente.

(ii) Cláusula 17: Las CCT, modificadas por el Anexo de Transferencia del Reino Unido, se regirán por las leyes de Inglaterra y Gales.

(iii) Cláusula 18: Las partes acuerdan que cualquier disputa que surja de las CCT, modificada por el Anexo de Transferencia del Reino Unido, será resuelta por los tribunales de Inglaterra y Gales. Un Sujeto de Datos del Reino Unido también puede iniciar acciones legales contra el Exportador de Datos y/o el Importador de Datos ante los tribunales de cualquier país del Reino Unido. Las partes acuerdan someterse a la jurisdicción de dichos tribunales.

13.4. Cuando las CCT se apliquen de conformidad con las Secciones 13.1, 13,2 y 13,3 de este DPA, esta Sección establece las interpretaciones de las partes de sus respectivas obligaciones en virtud de disposiciones específicas de las CCT, como se identifica a continuación. Cuando una Parte cumpla con las interpretaciones que se exponen a continuación, la otra Parte considerará que esa Parte ha cumplido con sus compromisos en virtud de las CCT:

(a) cuando el Cliente sea en sí mismo un Procesador de Datos Personales que actúe en nombre de un controlador externo y Fair Isaac deba interactuar directamente con dicho controlador externo (lo que incluye notificar u obtener autorizaciones de dicho controlador externo), Fair Isaac puede interactuar únicamente con el Cliente y el Cliente será responsable de enviar las notificaciones necesarias y obtener las autorizaciones necesarias de dicho controlador externo;

(b) la certificación de eliminación descrita en la Cláusula 16(d) de las CCT será proporcionada por Fair Isaac al Cliente previa solicitud formal por escrito del Cliente;

(c) a los efectos de la Cláusula 15(1)(a) de las CCT, Fair Isaac notificará al Cliente y no a los Interesados pertinentes en caso de solicitudes de acceso gubernamentales, y el Cliente será el único responsable de notificar a los Interesados pertinentes según sea necesario; Y

(d) teniendo en cuenta la naturaleza del Procesamiento, el Cliente acepta que es poco probable que Fair Isaac tenga conocimiento de que los Datos Personales procesados por Fair Isaac son inexactos o están desactualizados. En la medida en que Fair Isaac tenga conocimiento de dichos Datos Personales inexactos u obsoletos, informará al Cliente de conformidad con la Cláusula 8,4 de las CCT.

13.5. Mecanismos alternativos de transferencia. Si y en la medida en que un tribunal de jurisdicción competente o una autoridad supervisora con autoridad vinculante ordene (por cualquier motivo) que no se pueda confiar en las medidas descritas en este DPA para transferir legalmente los Datos Personales del Cliente a Fair Isaac, entonces las partes cooperarán razonablemente para acordar tomar cualquier acción que pueda ser razonablemente necesaria para implementar medidas adicionales o un mecanismo de transferencia alternativo que permita la transferencia legal de dichos Datos personales del cliente.

14. Generalidades

14.1. Este DPA no puede ser modificado excepto por acuerdo posterior por escrito de las partes.

14.2. Este DPA se regirá e interpretará de acuerdo con la ley aplicable y las disposiciones de jurisdicción del Acuerdo, a menos que las Leyes de Protección de Datos Aplicables exijan lo contrario.

14.3. Las obligaciones impuestas a cada una de las partes en virtud de este DPA y las CCT subsistirán mientras Fair Isaac procese los datos personales del cliente en nombre del cliente.

14.4. Si alguna de las partes de este DPA se considera inaplicable, la validez de todas las partes restantes no se verá afectada.

14.5. Las obligaciones de Fair Isaac establecidas en este DPA también se extenderán a los Afiliados Autorizados, sujeto a las siguientes condiciones: (a) el Cliente es el único responsable de comunicar cualquier instrucción de procesamiento en nombre de sus Afiliados Autorizados; (b) el Cliente será responsable del cumplimiento de este DPA por parte de los Afiliados Autorizados y de todos los actos y/u omisiones por parte de un Afiliado Autorizado con respecto a las obligaciones del Cliente en virtud de este DPA; y (c) si un Afiliado Autorizado pretende hacer valer una demanda, acción, pleito, reclamo, procedimiento o de otro modo legal contra Fair Isaac ("Reclamación del Afiliado Autorizado"), el Cliente deberá presentar dicha Reclamación del Afiliado Autorizado directamente contra Fair Isaac en nombre de dicho Afiliado Autorizado, a menos que las Leyes de Protección de Datos Aplicables exijan que el Afiliado Autorizado sea parte de dicho reclamo, y todas las Reclamaciones de Afiliados Autorizados se considerarán reclamaciones realizadas por el Cliente y estarán sujetas a cualquier restricción de responsabilidad establecida en el Acuerdo, incluida cualquier limitación agregada de responsabilidad.

14.6. Sin perjuicio de cualquier disposición en contrario en el Acuerdo o en este DPA y en la medida máxima permitida por la ley, la responsabilidad de cada parte y de todas sus Filiales, en conjunto, que surja de o esté relacionada con este DPA (incluidos todos los Anexos del presente), las CCT o cualquier acuerdo de protección de datos en relación con el Acuerdo (si lo hubiera), ya sea por contrato, agravio o bajo cualquier otra teoría de responsabilidad, permanecerá sujeto al Artículo de limitación de responsabilidad del Acuerdo (sin que, para evitar dudas, se haga efectiva cualquier exclusión o excepción a dicho Artículo que haga que dicha limitación sea inaplicable) y cualquier referencia en dicho Artículo a la responsabilidad de una parte significa la responsabilidad agregada de esa parte y todas sus Filiales en virtud del Acuerdo y este DPA, incluyendo todos los Anexos al presente.

14.7. Este DPA está sujeto a cambios por parte de Fair Isaac en cualquier momento mediante la publicación de una versión revisada en el sitio web de https://www.fico.com/en/legal ("Sitio web de FICO") o mediante un aviso por escrito de dichos cambios al Cliente. Cualquier cambio a este DPA entrará en vigencia a partir de la fecha de "Última actualización" a la que se hace referencia en el sitio web de FICO o en el aviso por escrito, según corresponda. El Cliente ha revisado y está de acuerdo con este DPA, y el uso continuado de los Servicios por parte del Cliente después de la fecha de "Última actualización" constituirá la aceptación y el acuerdo del Cliente con todos esos cambios.

Anexo 1 del Anexo de Protección de Datos de Fair Isaac

Detalles del procesamiento para la transferencia internacional de datos personales

A. LISTA DE PARTES:

Exportador de datos:

Importador de datos:

B. DESCRIPCIÓN DE LA TRANSFERENCIA:

C. AUTORIDAD DE CONTROL COMPETENTE:

La autoridad de supervisión competente se establece en las subpartes pertinentes de la sección 13 de la DPA.

Anexo 2 del Anexo de Protección de Datos

Medidas de seguridad técnicas y organizativas para la transferencia internacional de datos personales

Las medidas técnicas y organizativas implementadas por el Importador de Datos se establecen en el Acuerdo y/o en el Acuerdo de Seguridad de la Información de Fair Isaac adjunto o al que se hace referencia en el Acuerdo.