Acuerdo de procesamiento de datos

JOIN se ha fijado la misión de conectar a candidatos y empresas en todo el mundo. Las empresas pueden utilizar la plataforma JOIN en https://join.com/ (en lo sucesivo denominada “Plataforma”) para publicar vacantes y gestionar las solicitudes recibidas en un lugar central.

JOIN presta servicios a la Empresa de conformidad con el acuerdo de servicios celebrado entre las partes (“Servicios”). Los Servicios incluyen, en particular, la posibilidad de que la Empresa publique ofertas de empleo y gestione los procedimientos de solicitud correspondientes en la Plataforma mediante una herramienta de gestión basada en web. En el contexto de los Servicios, los datos personales controlados por la Empresa son tratados por JOIN en calidad de encargado del tratamiento según lo definido por la legislación de protección de datos vigente.

Los datos personales podrán ser tratados por JOIN como responsable del tratamiento según lo definido por la legislación de protección de datos vigente. Para más información, consulte la política de privacidad de JOIN.

Este ATD tiene como objetivo proteger a las partes contra el uso indebido de los datos personales tratados para los Servicios, garantizar la protección de datos por parte de JOIN en relación con los datos personales que la Empresa le ha comunicado, y cumplir con los requisitos legales aplicables.

Salvo que se acuerde expresamente lo contrario, este ATD formará parte de todo acuerdo de servicios entre la Empresa y JOIN. Este ATD, incluidos todos los apéndices, también especifica las obligaciones de protección de datos de las partes derivadas del acuerdo de servicios subyacente, de la siguiente manera:

1. Las siguientes disposiciones solo se aplican a los Servicios que se califiquen como tratamiento de datos en el marco del acuerdo de servicios.
2. Cuando este ATD utilice los términos definidos en el RGPD o la FADP, según corresponda, dichos términos tendrán el mismo significado que en dicha ley. Este ATD se leerá e interpretará a la luz de las disposiciones del Reglamento General de Protección de Datos de la UE (“RGPD”) y de la Ley Federal Suiza de Protección de Datos (“FADP”), según corresponda. Este ATD no se interpretará de manera que entre en conflicto con los derechos y obligaciones previstos en el RGPD o la FADP, según corresponda, ni que perjudique los derechos o libertades fundamentales de los interesados.

1. En virtud de este ATD, JOIN tratará los datos personales exclusivamente en nombre de la Empresa y de conformidad con sus instrucciones. Esto incluye en particular los servicios de tratamiento que JOIN presta a la Empresa para los Servicios de conformidad con el acuerdo de servicios. En este acuerdo de servicios y en el apartado 4, las partes han especificado los detalles de conformidad con el artículo 28(3) y (4) del RGPD y el artículo 9 de la FADP, en particular el objeto y la duración del tratamiento de datos, así como el manejo, la naturaleza y el propósito del tratamiento de datos previsto, el tipo de datos y los afectados.
2. El tratamiento de datos por parte de JOIN en nombre de la Empresa se lleva a cabo de conformidad con el art. 28 del RGPD y el art. 9 de la FADP, con respecto a cada ley solo si y en la medida en que sea aplicable a la respectiva actividad de tratamiento. La Empresa sigue siendo siempre la entidad responsable del tratamiento de datos.
3. Sin perjuicio de las disposiciones del RGPD o de la FADP, según corresponda, en caso de que JOIN incumpla sus obligaciones en virtud de este ATD, la Empresa podrá instruir a JOIN para que suspenda temporalmente el tratamiento de datos personales hasta que este último cumpla con este ATD o se resuelva el contrato. JOIN informará sin demora a la Empresa en caso de que no pueda cumplir con este ATD, por cualquier motivo. JOIN informará inmediatamente a la Empresa si las instrucciones impartidas por la Empresa, en opinión de JOIN, infringen las disposiciones aplicables de protección de datos de la Unión, de los Estados miembros o de Suiza.
4. Este ATD permanecerá en pleno vigor y efecto mientras el acuerdo de servicios subyacente permanezca en vigor. Toda disposición de este ATD que, de forma expresa o implícita, deba entrar en vigor o permanecer en vigor tras la terminación del acuerdo de servicios subyacente con el fin de proteger los datos personales permanecerá en pleno vigor y efecto.

Las disposiciones de este ATD son parte integrante del acuerdo de servicios entre las partes y prevalecen sobre los demás acuerdos contractuales de las partes en materia de protección de datos, en particular sobre otros contratos que contengan disposiciones que se desvíen de las de este ATD en detrimento de la Empresa. La cláusula 1.1 no se ve afectada. Las disposiciones de este ATD no se aplican al tratamiento de datos personales que JOIN, como responsable del tratamiento, proporciona a la Empresa o a cualquier otro usuario individual. La responsabilidad de cada parte derivada de este ATD o relacionada con el mismo estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el acuerdo de servicios celebrado entre las partes.

Las partes acuerdan por la presente que la finalidad del tratamiento de datos es la prestación de los Servicios por parte de JOIN conforme al acuerdo de servicios. El alcance y la naturaleza de la recopilación, el tratamiento y/o el uso de datos personales están determinados por las disposiciones del acuerdo de servicios, así como por los Servicios efectivamente utilizados por la Empresa.

Los interesados afectados por el tratamiento de datos personales en el marco del acuerdo de servicios incluyen:

• candidatos para puestos publicados por la Empresa a través de la Plataforma; y
• empleados de la Empresa que utilizan la Plataforma en nombre de la Empresa.

Los siguientes tipos de datos se ven especialmente afectados por el tratamiento por encargo:

• Datos personales de los candidatos (por ejemplo, nombre, título, grado académico, fecha de nacimiento, número de teléfono, dirección de correo electrónico),
• los datos transmitidos por los solicitantes (datos del solicitante; currículum vitae, referencias, certificados, etc.),
• toda la información relacionada con el proceso de solicitud registrada en los Servicios y la Plataforma de JOIN, como los mensajes enviados a través de la Plataforma, la información sobre el proceso de solicitud y el progreso de un candidato en el proceso de solicitud registrado en nuestra Plataforma, o las preguntas que se formulan como parte del proceso de solicitud y que se registran en nuestra Plataforma,
• datos generados mediante el uso de los Servicios, como metadatos, incluida información sobre cuánto tiempo dura un proceso de solicitud, cuántos candidatos han presentado su solicitud y hasta qué punto ha llegado un candidato en el proceso de solicitud,
• datos generados a través de interacciones con los Servicios, como las respuestas proporcionadas a las preguntas formuladas por los candidatos, los datos registrados por la propia Empresa que no han sido eliminados en la Plataforma y los mensajes de contacto con los candidatos o JOIN,
• Datos personales (por ejemplo, nombre, cargo, dirección de correo electrónico, número de teléfono, dirección comercial) y datos de acceso (por ejemplo, nombre de usuario y contraseña) de los empleados de la Empresa.

Si estos datos se tratan como parte de otros Servicios de JOIN en los que JOIN actúa como responsable del tratamiento, esto no tiene lugar en el ámbito de este ATD. Se hace referencia a la política de privacidad de JOIN.

1. La Empresa es la única responsable de evaluar la admisibilidad del tratamiento de datos llevado a cabo por JOIN en nombre de la Empresa y de salvaguardar los derechos de los interesados. La Empresa es responsable, en particular pero no exclusivamente, de (1) cumplir las obligaciones de información en materia de protección de datos con respecto a los candidatos, (2) obtener y documentar la base jurídica necesaria de los candidatos para el tratamiento de los datos por parte de la Empresa o JOIN de conformidad con la legislación de protección de datos vigente, y (3) cumplir los plazos de supresión aplicables al respectivo proceso de solicitud.
2. Como responsable del tratamiento, la Empresa tiene derecho en todo momento a emitir instrucciones sobre la naturaleza, el alcance y el procedimiento del tratamiento de datos llevado a cabo en nombre de la Empresa. Las instrucciones verbales deben ser confirmadas por la Empresa por escrito (incluido el correo electrónico). JOIN confirmará sin demora la recepción y ejecución de dichas instrucciones e informará a la Empresa si, en su opinión, una instrucción infringe la legislación de protección de datos aplicable.
3. Si la Empresa lo considera necesario, podrán nombrarse personas autorizadas para emitir instrucciones. La información debe ser facilitada por escrito por la Empresa. En el caso de que se produzca un cambio en las personas autorizadas para emitir instrucciones en la Empresa, esta informará a JOIN de ello con suficiente antelación, nombrando en cada caso a la nueva persona o personas.
4. La Empresa informará a JOIN si se detectan errores o irregularidades en relación con el tratamiento de datos personales por parte de JOIN.
5. La Empresa tiene derecho a comprobar el cumplimiento de las medidas de seguridad técnicas y organizativas adoptadas por JOIN de conformidad con el apartado 9 antes del inicio del tratamiento de datos y, posteriormente, a intervalos regulares, pero no más de una vez al año, previa notificación con al menos 30 días de antelación, durante el horario comercial normal y teniendo en cuenta los intereses de JOIN. La Empresa también puede encargar esta verificación a un tercero, siempre que éste haya celebrado previamente un acuerdo de confidencialidad. La Empresa está obligada a abonar la remuneración a las personas encargadas de la aplicación de estas medidas.
6. La Empresa está obligada a informar a JOIN sobre incidentes de protección de datos u otras infracciones de la legislación de protección de datos vigente que afecten a las actividades de tratamiento de JOIN.
7. La Empresa informará a JOIN sin demora si tiene conocimiento de medidas específicas adoptadas por las autoridades de supervisión que afecten a la Empresa, en particular medidas de investigación por parte de las autoridades, siempre que esto afecte al tratamiento de datos para la Empresa y que la Empresa no esté obligada a mantener la confidencialidad.

1. Tratamiento de datos. JOIN está obligado a tratar los datos personales en virtud de este ATD únicamente de conformidad con este acuerdo y/o el acuerdo de servicios subyacente y las instrucciones de la Empresa.

2. Derechos de los interesados. JOIN ayudará a la Empresa en la medida de lo posible en el cumplimiento de los derechos de los interesados, en particular en lo que respecta a la rectificación, la limitación del tratamiento y la supresión, la notificación y el suministro de información.

   JOIN, siguiendo las instrucciones de la Empresa, rectificará, suprimirá o limitará el tratamiento de los datos personales tratados en nombre de la Empresa. Esta obligación no se aplica a los datos personales que JOIN trata como responsable del tratamiento como parte de los servicios que ofrece a través de la Plataforma.

   Si un interesado se pone en contacto directamente con JOIN para solicitar la rectificación, supresión o limitación del tratamiento de sus datos personales, JOIN remitirá esta solicitud a la Empresa de inmediato tras su recepción. La Empresa seguirá siendo responsable de la ejecución de las solicitudes.

3. Obligaciones de control interno. JOIN implementará las medidas de control adecuadas, como auditorías internas, concepto de protección de datos, etc., para garantizar que los datos personales tratados en virtud de este ATD se traten de conformidad con este acuerdo y las instrucciones correspondientes.

4. Deber de información. JOIN, como encargado del tratamiento, informará a la Empresa si, según su propia evaluación, una instrucción vulnera las normativas legales. JOIN tendrá entonces derecho a suspender la ejecución de la instrucción correspondiente hasta que sea modificada por la Empresa. Esto no justifica por ello la obligación de JOIN de verificar o notificar.

   JOIN notificará a la Empresa cualquier violación de la seguridad de los datos personales relativa a datos tratados por JOIN (“Violación de la Seguridad de los Datos Personales”) a más tardar 48 horas después de tener conocimiento de la misma. Dicha notificación incluirá, como mínimo:

   1. una descripción de la naturaleza de la violación (incluidas, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);
   2. las posibles consecuencias de la violación; y
   3. las medidas adoptadas o propuestas para hacer frente a la violación y mitigar sus posibles efectos adversos.

   Si el acceso a los datos personales que la Empresa ha transmitido a JOIN para el tratamiento de datos se ve amenazado por medidas adoptadas por terceros (por ejemplo, medidas adoptadas por un administrador concursal, confiscación por parte de las autoridades fiscales, etc.), JOIN está obligado a notificarlo a la Empresa.

   JOIN solo transmitirá información a una parte que solicite información previo acuerdo con la Empresa, salvo que JOIN esté obligado a facilitar información por medidas gubernamentales o resoluciones judiciales.

   Cuando una Violación de la Seguridad de los Datos Personales resulte del compromiso, la pérdida o la divulgación no autorizada de las credenciales, los sistemas o el personal propios de la Empresa, JOIN actúa estrictamente como encargado del tratamiento y sus obligaciones se limitan a notificar a la Empresa de conformidad con este ATD. JOIN no tendrá ninguna obligación de realizar notificaciones en nombre de la Empresa. JOIN podrá decidir, por sí solo o a petición de la Empresa, notificar a los interesados la existencia de una violación para que dichos interesados puedan adoptar las medidas necesarias para mitigar los riesgos y evitar nuevos accesos no autorizados a la infraestructura de JOIN.

5. Creación de un registro de tratamiento. A petición, JOIN ayudará a la Empresa a elaborar una lista de las actividades de tratamiento en el ámbito del ATD y el tratamiento de datos que está teniendo lugar, y proporcionará la información necesaria de manera adecuada.

   JOIN también mantendrá su propio registro de todas las categorías de actividades de tratamiento llevadas a cabo en nombre de la Empresa de conformidad con las disposiciones de la legislación de protección de datos vigente.

6. Obligaciones de notificación y cooperación. JOIN ayudará a la Empresa, a petición, en:

   1. el cumplimiento de sus obligaciones de notificación;
   2. la obligación de llevar a cabo Evaluaciones de Impacto relativas a la Protección de Datos;
   3. las obligaciones de notificar y comunicar violaciones de la seguridad de los datos personales;
   4. cualquier consulta previa con las autoridades de supervisión.

7. Lugar del tratamiento de datos. Salvo que las partes acuerden lo contrario, el tratamiento y uso de los datos por parte de JOIN tiene lugar en Suiza, la Unión Europea o en otro estado parte del Acuerdo sobre el Espacio Económico Europeo. Cualquier traslado de las actividades de tratamiento de datos de JOIN a un tercer país solo está permitido si se respetan los requisitos especiales del Capítulo V del RGPD o la Sección 2 de la FADP. La Empresa acepta que, cuando JOIN contrate a un subencargado del tratamiento de conformidad con este acuerdo para llevar a cabo actividades de tratamiento específicas (en nombre de la Empresa) en un tercer país y esas actividades de tratamiento impliquen la transferencia de datos personales en el sentido del RGPD o la FADP, según corresponda, JOIN y el subencargado del tratamiento podrán utilizar las cláusulas contractuales tipo adoptadas por la Comisión sobre la base del artículo 46(2) del RGPD con el fin de cumplir los requisitos del Capítulo V del RGPD, siempre que se cumplan las condiciones para el uso de dichas cláusulas y siempre que una evaluación interna haya concluido que dicha transferencia cumple el nivel de protección de datos del RGPD y la FADP.

8. Supresión de datos personales tras la terminación del acuerdo. Tras la terminación del acuerdo de servicios, JOIN está obligado a suprimir todos los datos personales tratados en nombre de la Empresa y a certificar a la Empresa que así lo ha hecho, así como a suprimir las copias existentes, salvo que el Derecho de la Unión, de los Estados miembros o de Suiza exija la conservación de los datos personales. Esta obligación de supresión no se aplica a los datos personales que JOIN trata como responsable del tratamiento como parte de los servicios que ofrece a través de la Plataforma.

1. JOIN pondrá a disposición de la Empresa toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este ATD y que se derivan directamente del RGPD o de la FADP y, a petición de la Empresa, permitirá y contribuirá a revisiones de los archivos de datos y de la documentación o a auditorías de las actividades de tratamiento cubiertas por este ATD, en particular si existen indicios de incumplimiento. La Empresa podrá optar por realizar la auditoría por sí misma, encargar, a su propia costa, a un auditor independiente, o basarse en una auditoría independiente encargada por JOIN. Cuando JOIN encargue una auditoría, deberá asumir los costes del auditor independiente. Los derechos de auditoría, acceso e inspección de la Empresa en virtud de este apartado 9.1 se limitan únicamente a los registros de JOIN (incluidos, entre otros, los registros de actividades de tratamiento de datos personales y los registros de destinatarios de datos personales) y no se aplican a las instalaciones físicas de JOIN. Cualquier auditoría y solicitud de información se limitará a la información necesaria para los fines de este ATD y tendrá debidamente en cuenta las obligaciones de confidencialidad de JOIN y su interés legítimo en proteger los secretos comerciales.
2. JOIN ayudará a la Empresa en la realización de los controles en la medida de sus posibilidades y proporcionará aclaraciones rápidas y completas cuando sea necesario.
3. JOIN aceptará cualquier medida de control por parte de la autoridad de supervisión de protección de datos si existe obligación legal de hacerlo. Informará a la Empresa de conformidad con el apartado 8.4 tras la notificación o el conocimiento de la aplicación de la medida de control y otras consultas o investigaciones de la autoridad de supervisión de protección de datos, en la medida en que las medidas o consultas puedan afectar al tratamiento de datos que JOIN presta a la Empresa y JOIN no esté legalmente obligado a mantener la confidencialidad.
4. A petición, JOIN confirmará por escrito el cumplimiento de las medidas técnicas y organizativas especificadas en el Apéndice 1, así como la certificación ISO 27001:2022 de JOIN.

1. JOIN tiene derecho a encargar a subencargados del tratamiento el tratamiento de datos de conformidad con las siguientes disposiciones:

   • JOIN selecciona cuidadosamente a los subencargados del tratamiento en función de su idoneidad y fiabilidad y garantiza que el respectivo subencargado del tratamiento ofrezca un nivel adecuado de protección de datos.
   • JOIN está obligado a celebrar acuerdos contractuales con los subencargados del tratamiento de conformidad con los acuerdos vigentes en la relación entre la Empresa y JOIN, y a garantizar que cualquier instrucción complementaria de la Empresa también se aplique a los subencargados del tratamiento.
   • JOIN informará a la Empresa en formato de texto con suficiente antelación, es decir, a más tardar 30 días antes del inicio del subencargo previsto, de cualquier cambio previsto en relación con la participación o sustitución de otros encargados del tratamiento enumerados en el Apéndice 2, dando así a la Empresa la oportunidad de oponerse a dichos cambios antes de la contratación del subencargado del tratamiento en cuestión. Dicha oposición no deberá plantearse de forma injustificada. Si la Empresa no se opone a dichos cambios, los cambios se considerarán aprobados.
2. JOIN proporcionará a la Empresa, a petición, una copia del acuerdo de tratamiento celebrado con el subencargado del tratamiento, siempre y en la medida en que esto no sea contrario a los intereses de JOIN.
3. JOIN, en el momento de la celebración del acuerdo, cooperará con los subencargados del tratamiento nombrados en el Apéndice 2 en el cumplimiento del acuerdo, a cuyo encargo la Empresa da su consentimiento expreso.

1. JOIN está obligado a mantener la confidencialidad y el secreto de datos cuando trate datos para la Empresa.
2. JOIN solo utilizará empleados u otros agentes auxiliares para cumplir el acuerdo que estén suficientemente comprometidos con el secreto de datos o la confidencialidad al manejar los datos personales proporcionados y que hayan sido debidamente informados sobre los requisitos de protección de datos.

1. JOIN implementa las MTO descritas en el Apéndice 1.
2. Durante la vigencia de la relación contractual, JOIN adoptará todas las medidas necesarias para garantizar la seguridad de los datos y del tratamiento, teniendo en cuenta en particular los estándares tecnológicos actuales, así como para reducir las posibles consecuencias desfavorables para los interesados. Con el fin de poder garantizar siempre un nivel de seguridad adecuado para el tratamiento de datos, JOIN garantizará que las medidas implementadas sean revisadas regularmente y, si es necesario, actualizadas. JOIN es libre de realizar aquellos cambios en las medidas técnicas y organizativas que aumenten el nivel de seguridad acordado. JOIN informará a la Empresa de los cambios realizados en estas medidas con suficiente antelación.
3. JOIN está certificado conforme a la norma ISO 27001:2022.

1. JOIN podrá, ocasionalmente, modificar este ATD. JOIN notificará a la Empresa con al menos 30 días de antelación antes de que dicho cambio sea aplicable a la Empresa (“Fecha de Entrada en Vigor”). Una modificación surtirá efecto en la Fecha de Entrada en Vigor sin necesidad de acuerdo adicional de la Empresa cuando (cada una, un “Cambio Automático”): (a) sea exigida por la legislación de protección de datos aplicable, una autoridad de supervisión, un tribunal, o un cambio en las cláusulas contractuales tipo o en cualquier mecanismo de transferencia que las suceda; (b) refleje un cambio en el Apéndice 1 o el Apéndice 2, que se rigen por los apartados 12 y 10 respectivamente; (c) sea aclaratoria o corrija un error manifiesto; o (d) no reduzca sustancialmente la protección otorgada a los datos personales tratados en nombre de la Empresa, ni los derechos de la Empresa en virtud de este ATD. Cualquier otra modificación surtirá efecto en la Fecha de Entrada en Vigor salvo que la Empresa se oponga previamente por escrito. La oposición deberá identificar la modificación objetada e indicar por qué la Empresa considera que no se trata de un Cambio Automático. Cuando se presente una oposición conforme, las partes procurarán llegar a un acuerdo de buena fe durante 30 días.
2. Todas las declaraciones de las partes, en particular las notificaciones, anuncios, declaraciones y demás información que deba transmitirse a la otra parte, deben constar por escrito para ser válidas. A efectos aclaratorios, “por escrito” incluye la firma electrónica y otras comunicaciones de texto, como el correo electrónico.

1. En caso de cualquier inconsistencia entre las disposiciones de este acuerdo y las disposiciones del acuerdo de servicios, prevalecerán las disposiciones de este acuerdo.
2. Este ATD está disponible en más de una versión lingüística. En caso de discrepancia entre la versión en inglés de este ATD y cualquier versión traducida, y en la medida en que lo permita la legislación aplicable, prevalecerá la versión en inglés.
3. Este ATD se rige e interpreta de conformidad con el derecho material suizo, con exclusión de sus normas de conflicto de leyes y de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías (CISG). El tribunal ordinario del domicilio social de JOIN tiene competencia exclusiva para todas las disputas que surjan de este ATD o en relación con el mismo.

Tim Ruffner, CEO y Fundador de JOIN Solutions

15 de septiembre de 2026

JOIN implementa y mantiene medidas técnicas y organizativas diseñadas para proteger los datos personales tratados en relación con los Servicios contra la destrucción accidental o ilícita, la pérdida, la alteración, la divulgación no autorizada, el acceso no autorizado y otras formas de tratamiento ilícitas o no autorizadas.

Estas medidas se implementan sobre una base de riesgo, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas.

JOIN revisa y actualiza sus medidas técnicas y organizativas según corresponda con el fin de mantener un nivel de seguridad adecuado al riesgo y de reflejar los cambios en los requisitos legales, los Servicios y el estado de la técnica. Dichas medidas están destinadas a respaldar el marco de gestión de la seguridad de la información de JOIN y las obligaciones de protección de datos aplicables.

1. Gobernanza de la seguridad de la información

JOIN mantiene un marco de gestión de la seguridad de la información que incluye políticas documentadas, responsabilidades asignadas, procesos de evaluación y tratamiento de riesgos, y una revisión periódica de los riesgos relevantes de seguridad y privacidad.

JOIN mantiene procedimientos y controles documentados relativos a áreas como la gestión de accesos, la respuesta a incidentes, el desarrollo seguro, la gestión de vulnerabilidades, la continuidad del negocio, la supervisión de proveedores y la protección de datos.

El personal con responsabilidades relevantes respecto a los datos personales de los clientes está sujeto a obligaciones de confidencialidad y recibe formación en seguridad y protección de datos adecuada a su función.

2. Seguridad y confidencialidad del personal

JOIN aplica procesos de incorporación, cambio de función y salida adecuados a cada función para el personal con acceso potencial a sistemas o datos personales tratados como parte de los Servicios.

El acceso se concede en función de la necesidad operativa y del principio de mínimo privilegio, y el personal está obligado a cumplir los requisitos internos de seguridad y confidencialidad de JOIN.

JOIN adopta medidas razonables para garantizar que el personal autorizado comprenda sus responsabilidades en relación con la información confidencial, la protección de datos y el uso aceptable de los sistemas.

3. Seguridad física y del entorno

JOIN se basa principalmente en sistemas e infraestructuras alojados en la nube para el tratamiento y almacenamiento de los datos personales de los clientes. La seguridad física y del entorno de la infraestructura de alojamiento subyacente es gestionada por el proveedor de infraestructura en la nube correspondiente en el marco de su propio programa de seguridad y sus compromisos contractuales.

JOIN aplica medidas proporcionadas de seguridad física y de protección de dispositivos para los entornos de oficina y de trabajo remoto relevantes para sus operaciones comerciales.

Este anexo no describe los controles específicos de infraestructura que son operados exclusivamente por proveedores de nube externos, salvo que dichos controles formen parte del entorno gestionado por el proveedor que respalda los Servicios.

4. Gestión de identidades y accesos

El acceso a los sistemas y a los datos personales de los clientes está restringido a personas autorizadas con una necesidad operativa legítima. JOIN utiliza procesos de gestión de accesos diseñados para garantizar que los derechos de acceso se asignen, modifiquen y revoquen de manera controlada.

JOIN utiliza identidades de usuario únicas cuando corresponde, restringe el acceso privilegiado al personal autorizado y aplica controles de autenticación robustos, incluida la autenticación multifactor para los sistemas críticos cuando sea técnicamente compatible y apropiado.

JOIN mantiene procesos para la gestión de credenciales, las revisiones de acceso, los permisos basados en roles y la revocación oportuna del acceso tras un cambio de función o la terminación de la relación laboral.

5. Acceso de los clientes y separación de datos

Los servicios de JOIN están diseñados para separar lógicamente los datos de un cliente de los datos de otros clientes y para garantizar que los usuarios solo puedan acceder a los datos y funciones para los que están autorizados.

JOIN mantiene la separación entre entornos de producción y de no producción cuando resulte apropiado por motivos operativos y de seguridad.

Cuando se traten datos personales en relación con actividades de prueba, soporte, resolución de problemas o mantenimiento, dicho tratamiento se limitará a lo necesario y estará sujeto a restricciones de acceso y salvaguardias adecuadas.

6. Cifrado y comunicaciones seguras

JOIN aplica el cifrado en tránsito de los datos personales transmitidos a través de redes públicas utilizando protocolos de comunicación seguros conforme a los estándares del sector.

JOIN aplica el cifrado en reposo en los sistemas de producción controlados por JOIN utilizados para almacenar de forma persistente los datos personales de los clientes. Cuando los datos personales de los clientes se traten o almacenen a través de servicios de terceros, JOIN se basa en las medidas de seguridad y salvaguardias contractuales aplicables del proveedor correspondiente.

Las claves criptográficas, los secretos, las credenciales de autenticación y los datos de configuración sensibles relacionados se gestionan mediante procesos controlados diseñados para restringir el acceso y la divulgación no autorizados.

7. Desarrollo seguro y gestión de cambios

JOIN mantiene procesos de desarrollo y gestión de cambios diseñados para reducir el riesgo de seguridad durante el diseño, el desarrollo, las pruebas, el despliegue y la operación de los Servicios.

Los cambios en los sistemas de producción están sujetos a procedimientos adecuados de revisión, prueba y aprobación proporcionados a la naturaleza y el riesgo del cambio. JOIN también mantiene la separación entre las actividades de desarrollo, prueba y producción cuando resulte apropiado.

Las consideraciones de seguridad se incorporan al ciclo de vida del software, incluida la corrección de vulnerabilidades, la gestión de dependencias, el tratamiento de defectos y la publicación controlada de cambios.

8. Gestión de vulnerabilidades, dispositivos finales (endpoints) y proveedores

JOIN mantiene procesos para identificar, evaluar, priorizar y corregir las vulnerabilidades que afecten a los sistemas bajo su control. Las actualizaciones y parches de seguridad se aplican en función del riesgo, la gravedad y los requisitos operativos.

JOIN aplica medidas de seguridad de dispositivos finales (endpoints) y de gestión de dispositivos adecuadas a los dispositivos gestionados por la empresa utilizados en relación con los Servicios.

Antes de contratar a proveedores o subencargados del tratamiento relevantes que puedan tratar datos personales de los clientes, JOIN lleva a cabo la diligencia debida apropiada y exige salvaguardias contractuales adecuadas a los servicios prestados y a los requisitos legales aplicables. JOIN gestiona a los subencargados del tratamiento de conformidad con el Acuerdo de procesamiento de datos aplicable.

9. Registro, supervisión y gestión de incidentes

JOIN mantiene medidas de registro y supervisión para los sistemas relevantes con el fin de respaldar la supervisión de la seguridad, la operación del servicio, la resolución de problemas, la investigación de incidentes y la respuesta a los mismos.

El acceso a dichos registros está restringido al personal autorizado, y los períodos de conservación se determinan de acuerdo con los requisitos operativos, de seguridad, legales y contractuales. JOIN mantiene un proceso de gestión de incidentes que abarca la identificación, evaluación, escalado, contención, corrección y seguimiento posterior de los incidentes de seguridad y operativos relevantes para los Servicios.

En caso de una violación de la seguridad de los datos personales, JOIN notificará al cliente correspondiente de conformidad con el ATD, y proporcionará una cooperación razonable y la información disponible relevante para respaldar la investigación, la mitigación y el cumplimiento de las obligaciones de notificación aplicables.

10. Disponibilidad, copias de seguridad, recuperación y supresión de datos

JOIN mantiene medidas diseñadas para respaldar la disponibilidad, la resiliencia y la capacidad de recuperación de los Servicios, incluidas medidas de copia de seguridad, recuperación, supervisión del servicio y continuidad operativa adecuadas a los Servicios y a su infraestructura subyacente.

Los mecanismos de copia de seguridad y recuperación se prueban periódicamente o se validan de otro modo de acuerdo con los requisitos operativos, y JOIN mantiene procesos de continuidad del negocio y recuperación destinados a respaldar la restauración tras incidentes operativos o de seguridad importantes.

Tras la terminación de la relación contractual correspondiente, JOIN suprime los datos personales de los clientes de conformidad con el acuerdo aplicable y las instrucciones documentadas del cliente, salvo cuando la conservación sea exigida por la legislación aplicable. Los procesos de supresión están diseñados para eliminar los datos personales de los sistemas activos y para gestionar los datos residuales en las copias de seguridad de conformidad con los procesos de conservación y supresión aplicables.

¿Preguntas sobre este acuerdo, nuestros subencargados o una solicitud de derechos del interesado? Contacte con nuestro equipo legal en [email protected] o a través de join.com/contact.