Válido desde: 10 de septiembre de 2026

Preámbulo

Este Acuerdo de Procesamiento de Datos ("APD") se celebra entre Kolsetu GmbH ("Procesador") y el Cliente ("Controlador") de conformidad con el Art. 28 del RGPD y forma parte integral del Contrato para la prestación de la plataforma Elba AI y servicios relacionados ("Acuerdo"). Este APD se aplica tanto a los clientes empresariales como a los de autoservicio de la plataforma Elba.

Nota sobre el alcance: Este APD rige el procesamiento por parte de Kolsetu de los Datos Personales del Cliente en su calidad de Procesador. Kolsetu también procesa datos personales de los usuarios de la plataforma (administradores y operadores) en su calidad de Controlador; dicho procesamiento se describe en la Política de Privacidad del Producto de Kolsetu disponible en la página de inicio (www.kolsetu.com).

El Controlador determina los fines y los medios del procesamiento aquí descritos. El Procesador procesa los datos personales únicamente siguiendo las instrucciones documentadas del Controlador y para ningún otro fin.

Los términos en mayúsculas utilizados pero no definidos en este APD tienen los significados establecidos en los Términos y Condiciones Generales, los Términos de Servicio de Elba aplicables (Términos de Servicio Empresarial o Términos de Autoservicio, según corresponda) y, cuando se haya ejecutado un Formulario de Pedido, el Formulario de Pedido.

1. Definiciones

En este APD, los siguientes términos tienen los significados que se detallan a continuación. Los términos no definidos aquí tienen los significados establecidos en el Art. 4 del RGPD o en el Acuerdo.

2. General

2.1 Roles. Las partes reconocen que el Controlador actúa como responsable del tratamiento de datos y el Procesador actúa como encargado del tratamiento de datos en el sentido de las Leyes de Protección de Datos aplicables. El Procesador procesa los Datos Personales del Cliente únicamente en nombre del Controlador.

2.2 Instrucciones. El Controlador instruye al Procesador para que procese los Datos Personales del Cliente en la medida necesaria para la prestación de los Servicios y el cumplimiento de sus derechos y obligaciones en virtud del Acuerdo. Las instrucciones se establecen inicialmente en este APD y pueden ser modificadas posteriormente por el Controlador por escrito.

2.3 CCPA. Con respecto a los Datos Personales del Cliente que constituyen "información personal" a efectos de la Ley de Privacidad del Consumidor de California ("CCPA"), el Procesador no deberá: (a) vender ni compartir la información personal; (b) retener, utilizar o divulgar la información personal para ningún fin distinto de los fines comerciales especificados en el Acuerdo o según lo permitido por la CCPA; (c) retener, utilizar o divulgar la información personal fuera de la relación comercial directa entre el Procesador y el Controlador; o (d) combinar la información personal recibida del Controlador con información personal recibida o recopilada de otras fuentes, excepto según lo permitido por la CCPA. El Procesador certifica que comprende y cumplirá estas restricciones.

3. Detalles del Procesamiento (Art. 28(3) RGPD)

3.1 Materia y Duración del Tratamiento

El Procesador procesa los Datos Personales del Cliente durante la vigencia del Acuerdo, o hasta que el Controlador indique lo contrario, únicamente con el fin de prestar los Servicios.

3.2 Naturaleza y Finalidad del Procesamiento

El Procesador procesa los Datos Personales del Cliente en relación con:

• La prestación y operación de la plataforma de automatización de voz Elba AI

• El procesamiento de interacciones de voz, generación de transcripciones y entrega de análisis de conversaciones

• Orquestación omnicanal (voz, chat, correo electrónico, SMS, WhatsApp) en nombre del Controlador

• Integraciones con los sistemas empresariales del Controlador, incluidos CRM, ERP, telefonía y plataformas de comunicación, a través de conectores nativos, API REST y framework de webhooks, según lo configure el Controlador

• Gestión de cuentas de usuario, control de acceso y autenticación

• Monitorización de seguridad, prevención de fraudes y gestión de incidentes

• Soporte al cliente y resolución de problemas técnicos

3.3 Categorías de Datos Personales

Dependiendo del caso de uso y la configuración del Controlador, el Procesador puede procesar:

• Información de contacto (nombre, número de teléfono, dirección de correo electrónico)

• Grabaciones de voz y datos de audio derivados

• Transcripciones de conversaciones y registros de interacciones

• Registros de servicio al cliente y datos de casos

• Credenciales de cuenta y datos de autenticación

• Datos de uso, registros de sesión y metadatos de actividad

• Datos de sistemas empresariales integrados según lo configure el Controlador

3.4 Categorías de Sujetos de Datos

Los sujetos de datos pueden incluir:

• Clientes finales del Controlador que interactúan con la plataforma Elba

• Empleados del Controlador y usuarios autorizados de la plataforma

• Otras personas cuyos datos se procesan a través de integraciones configuradas por el Controlador

3.5 Datos Sensibles

El Procesador procesa categorías especiales de datos personales en el sentido del Art. 9 del RGPD únicamente siguiendo las instrucciones documentadas del Controlador.

El Controlador es el único responsable de garantizar que cualquier envío de datos de categorías especiales a los Servicios esté respaldado por una base jurídica válida en virtud del Art. 9 del RGPD, que se cumplan todas las condiciones aplicables para dicho procesamiento y que se disponga de las salvaguardias necesarias.

Las medidas técnicas y organizativas establecidas en el Anexo 2 se aplican a dicho procesamiento y se implementan teniendo en cuenta la naturaleza y el riesgo del procesamiento, incluido el procesamiento de categorías especiales de datos personales cuando sea aplicable.

3.6 Frecuencia y Transferencia

Los Datos Personales del Cliente se transfieren al Procesador periódicamente durante la vigencia del Acuerdo, dependiendo de cómo el Controlador utilice los Servicios.

4. Obligaciones del Procesador

4.1 Instrucciones de Procesamiento

4.1.1 Procesar los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Controlador, a menos que la ley aplicable exija lo contrario. En tales casos, el Procesador informará al Controlador antes del procesamiento, a menos que hacerlo esté prohibido por la ley.

4.1.2 Si el Procesador considera que una instrucción infringe las Leyes de Protección de Datos, informará inmediatamente al Controlador de sus preocupaciones legales y podrá suspender la instrucción hasta su resolución.

4.2 Confidencialidad

4.2.1 Garantizar que todo el personal autorizado para procesar Datos Personales del Cliente esté sujeto a obligaciones de confidencialidad apropiadas (ya sean contractuales o legales) y reciba la formación pertinente en protección de datos.

4.3 Seguridad

4.3.1 Implementar y mantener medidas técnicas y organizativas apropiadas (MTO) según se establece en el Anexo 2 para garantizar un nivel de seguridad adecuado al riesgo, incluido lo exigido por el Art. 32 del RGPD. El Procesador puede actualizar las MTO de vez en cuando, siempre que dichas actualizaciones no resulten en una degradación del nivel general de seguridad.

4.4 Subprocesadores

4.4.1 No contratará un nuevo subprocesador ni modificará sustancialmente la función de un subprocesador existente sin proporcionar una notificación previa por escrito (mínimo 30 días hábiles) al Controlador. La lista de subprocesadores en la Sección 6 de este DPA constituye el registro autorizado y actual de los subprocesadores aprobados.

4.4.2 Garantizará que cualquier subprocesador contratado esté obligado por obligaciones de protección de datos no menos protectoras que las de este DPA, mediante contrato u otro acto jurídico. El Procesador sigue siendo plenamente responsable del cumplimiento de las obligaciones de protección de datos de sus subprocesadores.

4.5 Obligaciones de Procesamiento de IA

4.5.1 Exclusión del entrenamiento de IA. Ni el Procesador ni ninguno de sus subprocesadores utilizarán Datos Personales del Cliente —incluidas grabaciones de voz, transcripciones, datos de conversaciones o cualquier dato derivado de ellos— para entrenar, ajustar o mejorar cualquier modelo de IA o aprendizaje automático de propósito general. Esta restricción se aplica independientemente de si los datos han sido seudonimizados. El Procesador garantizará que se impongan restricciones equivalentes contractualmente a todos los subprocesadores de IA.

4.5.2 Minimización de datos para inferencia de IA. Cuando los Datos Personales del Cliente se transmitan a subprocesadores de IA para procesamiento de inferencia, el Procesador garantizará que solo se transmita el mínimo de datos necesarios para la solicitud de inferencia específica. Los subprocesadores de IA no conservarán los Datos Personales del Cliente más allá de la duración de la sesión de inferencia, excepto cuando lo exija la ley aplicable.

4.5.3 Datos biométricos. El Procesador no deriva identificadores biométricos ni huellas de voz de las grabaciones de voz procesadas a través de la plataforma Elba y no procesa grabaciones de voz como datos biométricos en el sentido del Art. 9 del RGPD o disposiciones equivalentes según las Leyes de Protección de Datos aplicables. Las grabaciones de voz se procesan únicamente con fines de transcripción, análisis de intenciones y análisis de conversaciones, tal como se describe en el Anexo I-B.

4.6 Derechos de los Interesados

4.6.1 Asistir al Controlador en el cumplimiento de sus obligaciones de responder a las solicitudes de los Interesados en virtud del Capítulo III del RGPD (derechos de acceso, rectificación, supresión, restricción, portabilidad y oposición). Las solicitudes recibidas directamente por el Procesador de los Interesados se remitirán al Controlador sin demora indebida y, en cualquier caso, dentro de los cinco (5) días hábiles. El Procesador no responderá directamente a las solicitudes de los Interesados sin la autorización previa del Controlador, a menos que esté legalmente obligado a hacerlo.

4.7 Asistencia Regulatoria

4.7.1 Asistir al Controlador para garantizar el cumplimiento de los Arts. 32-36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa con las autoridades de control), teniendo en cuenta la naturaleza del procesamiento y la información disponible para el Procesador.

4.7.2 Cuando el Controlador deba proporcionar información a una autoridad de control competente, prestará asistencia razonable al Controlador, a cargo del Controlador, proporcionando dicha información en la medida en que esté en posesión del Procesador.

4.8 Devolución y Eliminación de Datos

4.8.1 A elección del Controlador, eliminará o devolverá todos los Datos Personales del Cliente tras la terminación de los Servicios y eliminará las copias existentes, a menos que la legislación de la Unión o de los Estados miembros exija su conservación. La eliminación se completará en un plazo de 30 días a partir de la terminación o de la instrucción del Controlador. La confirmación por escrito de la eliminación estará disponible previa solicitud.

4.9 Auditoría e Información

4.9.1 El Procesador pondrá a disposición del Controlador toda la información razonablemente necesaria para demostrar el cumplimiento del Artículo 28 del RGPD y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Controlador o un auditor autorizado por el Controlador.

Cuando sea razonablemente suficiente para demostrar el cumplimiento, las partes buscarán primero satisfacer las solicitudes de auditoría a través de las certificaciones independientes actuales del Procesador o informes de auditoría y respuestas por escrito a cuestionarios razonables de seguridad de la información.

El Controlador proporcionará un aviso previo por escrito de al menos 30 días hábiles para una auditoría, a menos que se requiera un aviso más corto razonablemente después de una Violación de Datos Personales, cuando existan motivos razonables para sospechar un incumplimiento material de este DPA, o cuando lo exija una autoridad de control competente o la ley aplicable. Las auditorías normalmente no se realizarán más de una vez al año, a menos que se aplique alguna de estas circunstancias.

Las auditorías se llevarán a cabo durante el horario comercial normal, sujetas a los requisitos apropiados de confidencialidad y seguridad, y de manera diseñada para minimizar la interrupción de las operaciones del Procesador y para proteger la confidencialidad y seguridad de los datos de otros clientes.

5. Obligaciones del Controlador

5.1 Cumplir con todas las Leyes de Protección de Datos aplicables con respecto a los Datos Personales del Cliente. El Controlador no utilizará los Servicios de manera que viole las Leyes de Protección de Datos.

5.2 Declarar y garantizar que tiene una base legal válida en virtud del Art. 6 del RGPD (y el Art. 9 cuando sea aplicable) para todos los datos personales presentados al Procesador, y para cualquier transferencia de Datos Personales del Cliente al Procesador. El Controlador notificará inmediatamente al Procesador si se produce algún cambio en las bases legales para el procesamiento.

5.3 Garantizar que se hayan proporcionado todos los avisos requeridos y, cuando sea necesario, se hayan obtenido todos los consentimientos requeridos de los Interesados en relación con el procesamiento realizado en virtud de este DPA.

5.4 Tener la responsabilidad exclusiva de la exactitud, calidad y legalidad de los Datos Personales del Cliente y de los medios por los cuales el Controlador los adquiere.

5.5 Informar de inmediato al Procesador de cualquier consulta o queja recibida de un Interesado o autoridad de control relacionada con el procesamiento de Datos Personales del Cliente en virtud de este DPA.

5.6 Consentimiento general del subprocesador. El Controlador otorga autorización escrita general para que el Procesador contrate subprocesadores y afiliados del Procesador en el procesamiento de Datos Personales del Cliente, sujeto al procedimiento de notificación y objeción en la Sección 6.

6. Subprocesadores

6.1 La lista autorizada de subprocesadores contratados por el Procesador a la fecha de entrada en vigor de este DPA se establece en el Anexo I-C. Cualquier cambio en los subprocesadores está sujeto al procedimiento de notificación y objeción en las cláusulas 6.2 y 6.3, y da lugar a la emisión de una nueva versión del Anexo I-C al Controlador.

6.2 El Procesador proporcionará un aviso previo por escrito de al menos 30 días hábiles sobre cualquier adición o reemplazo previsto de subprocesadores. El Controlador podrá, dentro de los 10 días hábiles posteriores a la recepción de dicha notificación, objetar a un subprocesador nuevo o de reemplazo por motivos sustanciados de protección de datos ("Razones Legítimas"). Si el Controlador no notifica al Procesador una objeción dentro de este período, se considerará que el Controlador ha aceptado el nuevo subprocesador.

6.3 Si el Controlador plantea una objeción, el Procesador colaborará con el Controlador de buena fe para abordar las Razones Legítimas. Si las partes no llegan a un acuerdo dentro de los 20 días hábiles posteriores a la recepción de la objeción por parte del Procesador, el Controlador podrá, mediante notificación por escrito, rescindir los componentes del servicio que requieran el uso del subprocesador propuesto.

6.4 El Procesador sigue siendo plenamente responsable ante el Controlador del rendimiento de protección de datos de todos los subprocesadores.

6.5 Proveedores de IA suministrados por el cliente. Cuando el Controlador configure los Servicios para utilizar proveedores de modelos de IA de terceros bajo las propias cuentas y acuerdos del Controlador (incluidas, entre otras, las claves API de LLM auto-suministradas), el Controlador es el único responsable del cumplimiento de las Leyes de Protección de Datos aplicables con respecto a dichos proveedores, incluida la celebración de cualquier acuerdo de procesamiento de datos requerido. Dichos proveedores no son subprocesadores del Procesador y no están cubiertos por este DPA.

7. Transferencias Internacionales

7.1 El procesamiento de inferencia de LLM de Datos Personales del Cliente realizado por el Procesador se lleva a cabo a través de Azure OpenAI Service dentro de la región de la UE de Azure.

Otro procesamiento necesario para la prestación de los Servicios, incluidos los servicios de voz a texto, texto a voz y procesamiento de voz relacionado, puede ser realizado por los Subprocesadores identificados en el Anexo I-C.

Cuando los Datos Personales del Cliente se transfieran a un tercer país fuera del EEE, el Procesador garantizará que la transferencia cumpla con el Capítulo V del RGPD basándose en un mecanismo de transferencia aplicable, que incluye:

(a) una decisión de adecuación adoptada por la Comisión Europea;

(b) las Cláusulas Contractuales Tipo de la UE adoptadas de conformidad con la Decisión de Ejecución (UE) 2021/914 de la Comisión; o

(c) cuando sea aplicable, el Marco de Privacidad de Datos UE-EE. UU. establecido por la Decisión de Ejecución (UE) 2023/1795 de la Comisión.

7.2 Precedencia del mecanismo de transferencia. Cuando sea aplicable más de un mecanismo de transferencia legal a una transferencia, el Procesador podrá basarse en el mecanismo de transferencia apropiado para el Subprocesador y la transferencia relevantes, tal como se identifica en el Anexo I-C.

7.3 El Procesador lleva a cabo evaluaciones de impacto de transferencia cuando lo exigen las Leyes de Protección de Datos aplicables en relación con las transferencias de Datos Personales del Cliente a subprocesadores de terceros países. La información relevante sobre dichas evaluaciones se pondrá a disposición del Controlador previa solicitud razonable por escrito, sujeta a las restricciones apropiadas de confidencialidad y seguridad.

8. Seguridad

El Procesador implementa y mantiene medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente contra la destrucción, pérdida, alteración, divulgación o acceso accidental o ilícito. Los detalles completos se establecen en el Anexo 2. Las medidas clave incluyen:

• Cifrado de Datos Personales del Cliente en tránsito y en reposo utilizando algoritmos estándar de la industria

• Controles de acceso basados en roles y autenticación multifactor para todo acceso privilegiado

• Aislamiento lógico de inquilinos: los datos de cada cliente se procesan en un entorno dedicado y lógicamente aislado

• Pruebas de penetración regulares y gestión continua de vulnerabilidades por parte de proveedores cualificados

• Procedimientos documentados de detección, respuesta y escalada de incidentes

• Formación sobre protección de datos del personal y selección adecuada de antecedentes

• Disposiciones de continuidad del negocio y recuperación ante desastres, probadas al menos anualmente

• Supervisión de subprocesadores para garantizar estándares equivalentes de protección de datos en toda la cadena de suministro

9. Notificación de Violación de Datos Personales

9.1 En caso de una Violación de Datos Personales, el Procesador notificará al Responsable del Tratamiento sin demora indebida y, en cualquier caso, dentro de las 48 horas siguientes a su conocimiento.

9.2 La notificación incluirá, en la medida de lo conocido: la naturaleza de la violación; las categorías y el número aproximado de interesados afectados; las categorías y el número aproximado de registros afectados; las consecuencias probables; y las medidas adoptadas o propuestas. Cuando la información completa no esté disponible en la notificación inicial, se proporcionará por fases sin demora indebida.

9.3 El Procesador documentará todas las violaciones y medidas de remediación de acuerdo con el Art. 33(5) del RGPD.

10. Solicitudes de Divulgación Gubernamental

10.1 El Procesador ha implementado medidas para regular la divulgación de Datos Personales del Cliente a entidades gubernamentales. Estas medidas exigen que el Procesador considere sus obligaciones de cumplir con cualquier orden o demanda gubernamental y sus obligaciones legales de proteger los Datos Personales del Cliente.

10.2 En la medida permitida por la ley, el Procesador notificará sin demora al Responsable del Tratamiento cualquier solicitud legalmente vinculante de divulgación de Datos Personales del Cliente por parte de una autoridad policial o gubernamental antes de responder a dicha solicitud. Si el Procesador no tiene permiso para notificar al Responsable del Tratamiento, buscará permiso para hacerlo o pedirá a la autoridad emisora que busque la información directamente del Responsable del Tratamiento.

10.3 El Procesador impugnará una orden o demanda gubernamental cuando sea apropiado y existan motivos legales válidos. Si se requiere la producción para cumplir con una orden judicial o demanda válida, el Procesador divulgará la cantidad mínima de Datos Personales del Cliente necesaria para cumplir.

10.4 Con respecto a los datos personales de residentes del EEE, el Procesador cumple con las obligaciones establecidas en las SCC de la UE con respecto a las solicitudes de acceso gubernamental.

11. Evaluaciones de Impacto sobre la Protección de Datos

Cuando una actividad de procesamiento sea susceptible de resultar en un alto riesgo para los derechos y libertades de los interesados, el Procesador proporcionará asistencia razonable al Responsable del Tratamiento en la realización de una Evaluación de Impacto sobre la Protección de Datos (EIPD) en virtud del Art. 35 del RGPD, incluso proporcionando información sobre sus actividades de procesamiento y medidas de seguridad.

12. Responsabilidad

12.1 La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones establecidas en los T&C. Las reclamaciones presentadas en virtud de este DPA estarán sujetas a los términos y condiciones del Acuerdo, incluidas las exclusiones y limitaciones establecidas en el mismo; siempre que ninguna de las partes tenga responsabilidad limitada en virtud del Acuerdo con respecto a los derechos de cualquier interesado en virtud de las Leyes de Protección de Datos donde dicha limitación esté prohibida por la ley aplicable.

12.2 En caso de conflicto entre el Acuerdo y este DPA, prevalecerán las disposiciones de este DPA.

13. Plazo y Terminación

Este DPA entra en vigor tras la firma (o, cuando el Acuerdo se ejecute a través de una Orden de Compra, tras la ejecución de la Orden de Compra) y permanece en vigor durante la duración del Acuerdo. Tras la terminación del Acuerdo, este DPA se termina automáticamente. Las obligaciones en las Secciones 4.2 (confidencialidad), 4.8 (devolución y eliminación de datos) y 9 (notificación de violación) sobrevivirán a la terminación.

14. Misceláneo

14.1 Ley aplicable. Este DPA se rige por las leyes de la República Federal de Alemania. Las disputas están sujetas a las disposiciones de resolución de disputas de los T&C.

14.2 Modificaciones. Las modificaciones de este DPA requieren forma escrita. En caso de conflicto, este DPA prevalece sobre el Acuerdo.

14.3 Notificaciones. Todas las notificaciones en virtud de este DPA se enviarán a las direcciones proporcionadas en el Acuerdo.

14.4 Divisibilidad. Si alguna disposición de este DPA se considera inválida o inaplicable, las disposiciones restantes continuarán en pleno vigor y efecto.

14.5 SCC. En la medida en que las SCC de la UE entren en conflicto con alguna disposición de este DPA, las SCC prevalecerán en la medida de dicho conflicto. No es la intención de las partes contradecir o restringir ninguna disposición de las SCC.

14.6 Idioma y traducciones. Este DPA está disponible en inglés y alemán, ambos han sido revisados para su precisión legal. El texto en inglés es la versión autorizada para todos los fines, incluida la interpretación, la resolución de disputas y la aplicación. Las traducciones a otros idiomas pueden publicarse solo para facilitar la referencia y no tienen efecto legal. En caso de cualquier inconsistencia entre el texto en inglés y cualquier traducción, prevalece el texto en inglés.

15. Contacto

Contacto de Privacidad: privacy@kolsetu.com

Dirección: Kolsetu GmbH, Gaensemarkt 33, 20354 Hamburgo, Alemania

Anexo I-A Partes

Responsable del Tratamiento

Nombre: Según se define en la Orden de Compra, o según se proporcione durante el registro de la cuenta para clientes de autoservicio

Dirección: Según se define en la Orden de Compra, o según se proporcione durante el registro para clientes de autoservicio

Contacto: Según se define en la Orden de Compra, o según se proporcione durante el registro para clientes de autoservicio

Firma: Los clientes empresariales aceptan este DPA firmando una Orden de Compra u otro acuerdo que incorpore o haga referencia a este DPA. Los clientes de autoservicio aceptan este DPA completando el registro de la cuenta y aceptando los Términos de Autoservicio de Elba.

Rol: Responsable del Tratamiento

Procesador

Nombre: Kolsetu GmbH

Dirección: Gaensemarkt 33, 20354 Hamburgo, Alemania (HRB 191266)

Contacto de Privacidad: privacy@kolsetu.com

Rol: Procesador

Nota: Dado que Kolsetu GmbH está establecida en Alemania (EEE), la relación principal entre responsable y procesador no requiere Cláusulas Contractuales Tipo de la UE. Las SCC solo se aplican a las transferencias posteriores a subprocesadores de terceros, según se establece en la tabla de subprocesadores en la Sección 6 y el Anexo I-C.

Anexo I-B Descripción del Procesamiento

Autoridad Supervisora

La autoridad supervisora competente es la Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), de conformidad con la Cláusula 13 de las SCC, ya que Kolsetu GmbH está establecida en Hamburgo, Alemania.

Anexo I-C Lista de Subprocesadores

Este Anexo enumera todos los subprocesadores contratados por Kolsetu GmbH en la fecha de entrada en vigor de este DPA. Los cambios en esta lista están sujetos al procedimiento de notificación y objeción descrito en la Sección 6. Se emitirá una nueva versión de este Anexo al Controlador cuando cambien los acuerdos con los subprocesadores.

Anexo 2 Medidas Técnicas y Organizativas (MTO)

Kolsetu GmbH mantiene un sistema de gestión de seguridad de la información certificado según ISO/IEC 27001:2022.

Teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas, Kolsetu implementa y mantiene medidas técnicas y organizativas diseñadas para garantizar un nivel de seguridad adecuado al riesgo de conformidad con el artículo 32 del RGPD.

Las siguientes medidas se aplican, según corresponda a los Servicios y al tratamiento de que se trate:

Kolsetu puede actualizar estas medidas de vez en cuando para reflejar los desarrollos tecnológicos, las amenazas en evolución o los cambios en los Servicios, siempre que dichas actualizaciones no reduzcan materialmente el nivel general de protección de los Datos Personales del Cliente.