Términos de Seguridad y Tratamiento de Datos de los Productos de Apigee (para Clientes)

Última modificación: 28 de enero del 2019

Esta versión del documento no está actualizada y se facilita únicamente para archivarse. Ver la versión actual

El cliente que acepta estos términos (el "Cliente") y Google LLC (anteriormente conocida como Google Inc.), Google Ireland Limited, Google Asia Pacific Pte. Ltd., Google Australia Pty Ltd. o cualquier otra entidad que controle, sea controlada por o esté bajo el control común de Google LLC (en adelante, "Google"), han suscrito un contrato en virtud del cual Google ha aceptado proporcionar Servicios de Cloud al Cliente (en adelante, el "Contrato").

Estos Términos de Seguridad y Tratamiento de Datos de los Productos de Apigee, incluidos sus apéndices (los "Términos"), entrarán en vigor y sustituirán a los términos de seguridad y tratamiento de datos aplicables anteriormente a partir de la Fecha de Entrada en Vigor de los Términos (tal y como se define más abajo).

Estos Términos complementan el Contrato. Si el Contrato se ha suscrito sin conexión, estos Términos sustituyen a cualquier cláusula del Contrato que rija el tratamiento, la seguridad o la privacidad de los Datos del Cliente.

1. Introducción

Estos Términos reflejan el acuerdo entre las partes con respecto a los términos que rigen el tratamiento y la seguridad de los Datos de los Clientes en virtud del Contrato.

2. Definiciones

2.1 Los términos en mayúscula utilizados en estos Términos que no estén definidos tendrán el significado establecido en el Contrato. En estos Términos, a menos que se indique lo contrario:

• Controles de Seguridad Adicionales hace referencia a los recursos, las características, las funciones o los controles de seguridad que el Cliente puede usar como prefiera o según lo determine, como la consola de administración y otras características o funciones de los Servicios de Cloud, como los mapas de valores de clave cifrados, el registro y la monitorización, la gestión de identidades y accesos, el enmascaramiento de datos y la limitación de la frecuencia.
• Consola de Administración hace referencia a las consolas o herramientas online que Google pone a disposición del Cliente para administrar los Servicios de Cloud.
• Límite de Responsabilidad Acordado significa el importe monetario o basado en pagos máximo por el que se limita la responsabilidad de una parte en virtud del Contrato, ya sea por periodo anual o por evento que dé lugar a la responsabilidad, según corresponda.
• Entidad Asociada tiene el significado definido en el Contrato y, si no se define en él, hace referencia a cualquier entidad que, directa o indirectamente, controla una parte, está controlada por una parte o comparte el control con ella, donde "control" hace referencia a que una de las partes controle más del cincuenta por ciento del derecho de voto o a que esta parte posea más del cincuenta por ciento de las participaciones.
• Solución Alternativa de Transferencia hace referencia a un mecanismo (distinto de las Cláusulas Contractuales Tipo) que permite la transferencia legal de datos personales a un tercer país de conformidad con los artículos 45 o 46 del RGPD (por ejemplo, el Escudo de Privacidad UE-EE.UU.).
• Servicios Auditados hace referencia a los Servicios en la Nube, excluidos los Servicios en la Nube que se hayan retirado de acuerdo con la Política de Retirada de Productos de Apigee.
• Servicios de Cloud hace referencia a las ofertas de servicio de Edge Cloud, tal como se describen en http://apigee.com/about/specification-sheets.
• Datos del Cliente hace referencia a los datos proporcionados por el Cliente, o en nombre de este, o por los usuarios finales del Cliente a través de los Servicios de Cloud con una cuenta de Google del Cliente.
• Datos Personales del Cliente son los datos personales que forman parte de los Datos del Cliente.
• Incidente de Datos hace referencia a una brecha de seguridad de Google que lleva a una situación accidental o ilegítima de destrucción, pérdida, alteración, acceso sin autorización o divulgación no autorizada de Datos Personales del Cliente alojados en los sistemas que Google gestiona o controla de forma alguna. No se consideran "Incidentes de Datos" los intentos fallidos o actividades que no comprometan la seguridad de los Datos Personales del Cliente, incluidos los intentos fallidos de inicio de sesión, pings, exploraciones de puertos, ataques de denegación de servicio y otros ataques de red a los cortafuegos o sistemas en red.
• Política de Desactivación de Productos de Apigee hace referencia a la política de desactivación de los Productos de Apigee identificados en https://docs.apigee.com/deprecation.
• EEA significa Espacio Económico Europeo.
• Legislación de Protección de Datos Europea hace referencia, según corresponda, a: (a) el RGPD; o (b) la Ley Federal de Protección de Datos de Suiza del 19 de junio de 1992.
• RGPD hace referencia al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, del 27 de abril del 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
• Auditor Externo de Google hace referencia a un auditor externo independiente cualificado elegido por Google, cuya identidad en el momento de la auditoría revelará al Cliente.
• Proveedor de Infraestructura tiene el significado indicado en la sección 5.3 (Proveedores de Infraestructura).
• Certificación ISO 27001 significa una certificación ISO/IEC 27001:2013 o una certificación comparable para los Servicios Auditados.
• Certificación ISO 27017 significa una certificación ISO/IEC 27017:2015 o una certificación comparable para los Servicios Auditados.
• La certificación ISO 27018 significa una certificación ISO/IEC 27018:2014 o una certificación comparable para los Servicios Auditados.
• Cláusulas Contractuales Tipo o CCTs significa las cláusulas de protección de datos estándar para la transferencia de datos personales a Encargados del Tratamiento establecidos en terceros países que no aseguren un nivel adecuado de protección de datos, tal como se describe en el artículo 46 del RGPD.
• Legislación de Protección de Datos no Europea hace referencia a la legislación de protección de datos o de privacidad en vigor fuera del Espacio Económico Europeo y de Suiza.
• Dirección de Correo Electrónico de Notificación hace referencia a las direcciones de correo designadas por el Cliente en la Consola de Administración, el portal de asistencia técnica o en el Formulario de Pedido o documento de pedido (según corresponda) con el fin de recibir determinadas notificaciones de Google.
• Documentación de Seguridad hace referencia a todos los documentos y la información que Google ofrece en la Sección 7.5.1 (Revisiones de Documentación de Seguridad).
• Medidas de Seguridad tiene el significado que se le da en la sección 7.1.1 (Medidas de Seguridad de Google).
• Informe SOC 2 significa un informe de control de organizaciones de servicios (SOC) 2 confidencial (u otro informe comparable) sobre los sistemas de Google que examina los controles de seguridad lógica, los controles de seguridad física y la disponibilidad del sistema, tal como lo ha elaborado el auditor externo de Google en relación con los Servicios Auditados.
• Informe SOC 3 significa un informe de control de organizaciones de servicios (SOC) 3 (u otro informe comparable) elaborado por el auditor externo de Google en relación con los Servicios Auditados.
• Subencargados del Tratamiento hace referencia a los terceros autorizados en virtud de estos Términos para tener acceso lógico a los Datos del Cliente y tratarlos con el fin de proporcionar partes de los Servicios de Cloud y de la Asistencia.
• Periodo de Vigencia hace referencia al periodo desde la Fecha de Entrada en Vigor de los Términos hasta el final de la prestación por parte de Google de los Servicios de Cloud, incluido, si procede, cualquier periodo durante el cual se pueda suspender la prestación de los Servicios de Cloud y cualquier periodo posterior a la finalización durante el cual Google pueda seguir prestando los Servicios de Cloud con fines de transición.
• Fecha de Entrada en Vigor de los Términos es la fecha en la que el Cliente aceptó los presentes Términos o en la que las partes acordaron de otro modo dichos términos.

2.2 Los términos "datos personales", "interesado", "tratamiento", "responsable del tratamiento", "encargado del tratamiento" y "autoridad de control", tal y como se utilizan en estos Términos, tienen los significados que se detallan en el RGPD, y los términos "importador de datos" y "exportador de datos" tienen los significados que se detallan en las Cláusulas Contractuales Modelo, en cada caso, independientemente de si se aplica la Legislación de Protección de Datos Europea o la Legislación de Protección de Datos No Europea.

3. Duración y modificación de estos Términos

Estos Términos entrarán en vigor en la Fecha de Entrada en Vigor de los Términos y, sin perjuicio de la expiración del Periodo de Vigencia, seguirán estando en vigor hasta que Google elimine todos los Datos de Clientes tal y como se describe en estos Términos, momento en el que expirarán automáticamente. Google solo puede cambiar estos Términos si los cambios en cuestión son necesarios para cumplir las leyes aplicables, la normativa aplicable, una orden judicial o una directriz publicada por un ente regulador o agencia gubernamentales; si los cambios en cuestión están permitidos expresamente en estos Términos; o si los cambios en cuestión:

• Sea comercialmente razonable.
• No disminuya la seguridad general de los Servicios.
• No amplíe el ámbito de tratamiento de los Datos Personales del Cliente por parte de Google ni elimine ninguna restricción de este proceso, tal y como se describe en la Sección 5.2 (Ámbito de Tratamiento) de estos Términos.
• No tenga un impacto material adverso en los derechos del Cliente establecidos en estos Términos.

Si Google realiza un cambio sustancial en estos Términos de acuerdo con esta Sección, publicará la modificación en la URL que contenga estos términos. Sin perjuicio de lo que se establezca en sentido contrario en el Contrato, una modificación de estos Términos en esta Sección no requerirá un documento escrito firmado por el Cliente y Google. Ocasionalmente, Google puede cambiar cualquier URL a la que se haga referencia en estos Términos y el contenido en cualquiera de dichas URLs.

4. Ámbito de la Legislación de Protección de Datos

4.1 Aplicación de la legislación europea. Las partes confirman y aceptan que la Legislación de Protección de Datos Europea se aplicará al tratamiento de los Datos Personales de Clientes si, por ejemplo:

• el tratamiento se lleva a cabo en el contexto de las actividades de una empresa del Cliente en el territorio del EEE, y/o
• los Datos Personales del Cliente son datos de carácter personal relacionados con interesados que se encuentran en el EEE y el tratamiento está relacionado con la prestación de bienes o servicios a dichos interesados en el EEE o la monitorización de su comportamiento en el EEE.

4.2 Aplicación de la Legislación No Europea. Las partes confirman y aceptan que la Legislación de Protección de Datos No Europea también puede aplicarse al tratamiento de los Datos Personales de Clientes.

4.3 Aplicación de los Términos. Salvo que se especifique lo contrario en estos Términos, estos Términos se aplicarán independientemente de si el tratamiento de los Datos Personales de Clientes está sujeto a la Legislación de Protección de Datos Europea o a la Legislación de Protección de Datos No Europea.

5. Tratamiento de Datos

5.1 Roles y Cumplimiento Normativo; Autorización.

5.1.1. Responsabilidades del Encargado del Tratamiento y del Responsable del Tratamiento de Datos. Si la Legislación de Protección de Datos Europea se aplica al tratamiento de los Datos Personales de Clientes, las partes confirman y aceptan lo siguiente:

• el objeto y los detalles del tratamiento se describen en el Apéndice 1;
• Google será el encargado del tratamiento de esos Datos Personales de Clientes con arreglo a la Legislación de Protección de Datos Europea.
• El Cliente será responsable o encargado, según corresponda, del tratamiento de esos Datos Personales de Clientes con arreglo a la Legislación de Protección de Datos Europea; y
• cada parte cumplirá las obligaciones que le correspondan en virtud de la Legislación de Protección de Datos Europea con respecto al tratamiento de esos Datos Personales de Clientes.

5.1.2 Autorización de un responsable del tratamiento tercero. Si la Legislación de Protección de Datos Europea se aplica al tratamiento de los Datos Personales de Clientes y el Cliente es un encargado del tratamiento, el Cliente garantiza a Google que sus instrucciones y acciones con respecto a esos Datos Personales de Clientes, incluida la designación de Google por su parte como otro encargado del tratamiento, han sido autorizadas por el responsable del tratamiento correspondiente.

5.1.3 Responsabilidades bajo la Legislación No Europea. Si se aplica la Legislación de Protección de Datos No Europea al tratamiento de los Datos Personales de Clientes de cualquier parte, las partes confirman y aceptan que la parte oportuna cumplirá con las obligaciones aplicables en virtud de dicha legislación en lo relativo al tratamiento de los Datos Personales de Clientes.

5.2 Ámbito del Tratamiento.

5.2.1 Instrucciones del Cliente. Al aceptar estos Términos, el Cliente indica a Google que trate los Datos Personales del Cliente únicamente de conformidad con la legislación aplicable: a) para proporcionar los Servicios de Cloud y la Asistencia; b) según se especifique en el uso que haga el Cliente de los Servicios de Cloud (incluida la Consola de Administración y otras funciones de los Servicios de Cloud) y la Asistencia; c) según se documente en el Contrato, incluidos estos Términos; y d) según se documente en cualquier otra instrucción escrita proporcionada por el Cliente y reconocida por Google como instrucción a efectos de estos Términos.

5.2.2 Cumplimiento de las Instrucciones por parte de Google. Google cumplirá las instrucciones descritas en la sección 5.2.1 (Instrucciones del Cliente) (incluidas las relativas a transferencias de datos), a menos que la legislación de la UE o de un Estado miembro de la UE a la que esté sujeta Google requiera otro tratamiento de los Datos Personales del Cliente por parte de Google, en cuyo caso Google informará al Cliente (a menos que dicha legislación prohíba a Google hacerlo por motivos importantes de interés público) a través de la Dirección de Correo de Notificación.

5.3 Proveedores de infraestructura. El cliente autoriza a Amazon Web Services, Inc. Acquia Inc. y Pantheon Systems, Inc. (cada una de ellas, un "Proveedor de Infraestructura"), a través de Apigee Corporation, un Subencargado del Tratamiento Afiliado de Google, para proporcionar servicios de infraestructura subyacentes en la prestación de los Servicios de Cloud.

6. Eliminación de Datos

6.1 Eliminación por parte del Cliente. Google permitirá al Cliente eliminar Datos de Clientes durante el Periodo de Vigencia de una manera que sea coherente con la funcionalidad de los Servicios de Cloud. Si el Cliente usa los Servicios de Cloud para eliminar Datos de Clientes durante el Término y el Cliente no puede recuperar dichos Datos, este uso constituirá una instrucción hacia Google para eliminar los Datos de Clientes pertinentes de los sistemas de Google, de conformidad con las leyes aplicables. Google cumplirá esta instrucción tan pronto como sea razonablemente posible y en un plazo máximo de 180 días, salvo que la legislación de la UE o de un Estado miembro de la UE exija su almacenamiento. Solo si se elimina la cuenta del Cliente se eliminarán todos los datos asociados.

6.2 Eliminación tras la Resolución. Al vencimiento del periodo de vigencia, el Cliente le da instrucciones a Google de que elimine todos los Datos de Clientes (incluidas las copias existentes) de los sistemas de Google de acuerdo con la legislación aplicable. Google cumplirá esta instrucción tan pronto como sea razonablemente posible y en un plazo máximo de 180 días, salvo que la legislación de la UE o de un Estado miembro de la UE exija su almacenamiento. Sin perjuicio de la Sección 9.1 (Acceso; Rectificación; Tratamiento Restringido; Portabilidad), el Cliente reconoce y acepta que será responsable de exportar, antes de que finalice el Periodo, los Datos de Clientes que quiera conservar después.

7. Seguridad de los Datos

7.1 Medidas, Controles y Asistencia de Seguridad de Google.

7.1.1 Medidas de Seguridad de Google. Google implementará y mantendrá medidas técnicas y organizativas para proteger los Datos del Cliente frente a la destrucción, la pérdida, la alteración, la divulgación o el acceso no autorizados, ya sean accidentales o ilícitos, tal como se describe en el Apéndice 2 (las "Medidas de Seguridad"). Tal como se describe en el Apéndice 2, las Medidas de Seguridad incluyen medidas para que el cifrado de datos personales esté disponible, para ayudar a garantizar la confidencialidad, la integridad, la disponibilidad y la resiliencia continuas de los sistemas y servicios de Google, para ayudar a restaurar el acceso oportuno a los datos personales tras un incidente y para realizar pruebas periódicas de eficacia. Google puede actualizar o modificar las Medidas de Seguridad ocasionalmente, siempre que dichas actualizaciones y modificaciones no provoquen una degradación de la seguridad general de los Servicios de Cloud.

7.1.2 Cumplimiento de las medidas de seguridad por parte del personal de Google. Google tomará las medidas adecuadas para asegurarse de que sus empleados, contratistas y Subencargados del tratamiento de datos cumplan las Medidas de Seguridad en la medida aplicable a su ámbito de actuación, lo que incluye asegurarse de que todas las personas con autorización para tratar los Datos Personales del Cliente se hayan comprometido a su confidencialidad o se encuentren bajo una obligación legal de confidencialidad.

7.1.3 Controles de Seguridad Adicionales. Además de las Medidas de Seguridad, Google ofrecerá los Controles de Seguridad Adicionales para: a) permitir al Cliente aplicar las medidas oportunas para mantener la seguridad de los Datos de Clientes; y b) proporcionar información al Cliente sobre cómo proteger, usar y acceder a los Datos de Clientes.

7.1.4 Asistencia de Seguridad de Google. El Cliente acepta que Google (teniendo en cuenta la naturaleza del tratamiento de los Datos Personales de Clientes y la información que Google tenga a su disposición) prestará asistencia al Cliente para garantizar el cumplimiento de sus obligaciones en relación con la seguridad de los datos personales y las brechas de seguridad de los datos personales, incluidas, si procede, las obligaciones del Cliente de conformidad con los artículos del 32 al 34 (inclusive) del RGPD, de las siguientes maneras:

• Implementando y manteniendo las Medidas de Seguridad de acuerdo con lo estipulado en la Sección 7.1.1 (Medidas de Seguridad de Google).
• ofreciendo los Controles de Seguridad Adicionales al Cliente de acuerdo con lo establecido en la Sección 7.1.3 (Controles de Seguridad Adicionales);
• Cumpliendo los términos de la Sección 7.2 (Incidentes de Datos);
• proporcionar al Cliente la Documentación de Seguridad, de acuerdo con lo establecido en la Sección 7.5.1 (Revisiones de la Documentación de Seguridad) y la información incluida en el Contrato, incluidos estos Términos.

7.2 Incidentes de Datos

7.2.1 Notificación de Incidentes. Si Google tiene conocimiento de un Incidente de Datos, deberá: (a) notificar el Incidente de Datos al Cliente inmediatamente y sin demora indebida tras tener conocimiento del Incidente de Datos; y (b) tomar rápidamente medidas razonables para minimizar los daños y proteger los Datos Personales del Cliente.

7.2.2 Detalles del Incidente de Datos. Las notificaciones que se hagan de conformidad con esta sección describirán, en la medida de lo posible, los detalles del Incidente de Datos, así como las medidas tomadas para mitigar los riesgos potenciales y los pasos que Google recomienda que el Cliente tome para abordar el Incidente de Datos.

7.2.3 Envío de la Notificación. Las notificaciones de cualquier Incidente de Datos se enviarán a la Dirección de Correo Electrónico de Notificación o, a discreción de Google, mediante comunicación directa (por ejemplo, por teléfono o en una reunión presencial). El Cliente es el único responsable de asegurarse de que la Dirección de Correo a Efectos de Notificaciones esté al día y sea válida.

7.2.4 Ausencia de Evaluación de los Datos Personales del Cliente por parte de Google. Google no evaluará el contenido de los Datos Personales del Cliente para identificar información sujeta a requisitos legales específicos. Sin perjuicio de las obligaciones de Google en virtud de esta Sección 7.2 (Incidentes de Datos), el Cliente es el único responsable de cumplir las leyes de notificación de incidentes aplicables al Cliente y de cumplir las obligaciones de notificación de terceros relacionadas con cualquier Incidente de Datos.

7.2.5 Ausencia de Reconocimiento de Culpa por parte de Google. La notificación o respuesta de Google a un Incidente de Datos en virtud de la presente Sección 7.2 (Incidentes de Datos) no se interpretará como un reconocimiento por parte de Google de ninguna culpa o responsabilidad con respecto al Incidente de Datos.

7.3 Responsabilidades y evaluación de la seguridad del Cliente.

7.3.1 Responsabilidades de Seguridad del Cliente. El Cliente acepta que, sin perjuicio de las obligaciones de Google en virtud de la Sección 7.1 (Medidas, controles y asistencia de seguridad de Google) y la Sección 7.2 (Incidentes de Datos):

• El Cliente es el único responsable del uso que haga de los Servicios de Cloud, lo que incluye lo siguiente:
• hacer un uso adecuado de los Servicios de Cloud y de los Controles de Seguridad Adicionales para garantizar un nivel de seguridad acorde con el riesgo de los Datos de Clientes;
• proteger las credenciales, los sistemas y los dispositivos de autenticación de la cuenta que el Cliente usa para acceder a los Servicios de Cloud;
• crear copias de seguridad de sus Datos de Clientes, según sea necesario; y
• Google no tiene la obligación de proteger las copias de los Datos del Cliente que el Cliente decida almacenar o transferir fuera de los sistemas de Google y de sus Subencargados del Tratamiento (por ejemplo, almacenamiento sin conexión o local), ni de proteger los Datos del Cliente implementando o manteniendo Controles de Seguridad Adicionales, salvo en la medida en que el Cliente haya decidido utilizarlos.

7.3.2 Evaluación de seguridad del Cliente.

• El Cliente es el único responsable de revisar la Documentación de Seguridad y de evaluar por sí mismo si los Servicios en la Nube, las Medidas de Seguridad, los Controles de Seguridad Adicionales y los compromisos de Google en virtud de esta Sección 7 (Seguridad de los Datos) satisfarán sus necesidades, incluidas las obligaciones de seguridad del Cliente en virtud de la Legislación de Protección de Datos Europea o de la Legislación de Protección de Datos No Europea, según corresponda.
• El Cliente reconoce y acepta que (teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento de los Datos Personales del Cliente, así como los riesgos para las personas físicas) las Medidas de Seguridad implementadas y mantenidas por Google, tal y como se estipula en la Sección 7.1.1 (Medidas de Seguridad de Google), proporcionan un nivel de seguridad adecuado al riesgo en relación con los Datos del Cliente.

7.4 Certificaciones e informes de seguridad. Google hará lo siguiente para evaluar y ayudar a asegurar la eficacia continua de las Medidas de Seguridad:

• Mantener las certificaciones ISO 27001, ISO 27017 e ISO 27018.
• Actualizar el informe SOC 2 y el informe SOC 3 al menos una vez cada 18 meses.

7.5 Revisiones y Auditorías de Cumplimiento

7.5.1 Revisiones de la Documentación de Seguridad. Además de la información incluida en el Contrato (incluidos estos Términos), Google pondrá a disposición del Cliente los siguientes documentos e información para que pueda revisarlos y demostrar el cumplimiento por parte de Google de sus obligaciones en virtud de estos Términos.

• los certificados emitidos en relación con la certificación ISO 27001, la certificación ISO 27017 y la certificación ISO 27018;
• el Informe SOC 3 vigente en ese momento; y
• el Informe SOC 2 vigente en ese momento, tras una solicitud del Cliente de acuerdo con la Sección 7.5.3(a).

7.5.2 Derechos de Auditoría del Cliente.

• Si se aplica la Legislación de Protección de Datos Europea al tratamiento de los Datos Personales de Clientes, Google permitirá que el Cliente o un auditor independiente designado por el Cliente realicen auditorías (incluidas inspecciones) para verificar el cumplimiento por parte de Google de sus obligaciones en virtud de estos Términos, de conformidad con la Sección 7.5.3 (Términos Empresariales Adicionales para Revisiones y Auditorías). Google colaborará en dichas auditorías tal y como se describe en la Sección 7.4 (Certificaciones e Informes de Seguridad) y en la presente Sección 7.5 (Revisiones y Auditorías de Cumplimiento).
• Si el Cliente ha aceptado las Cláusulas Contractuales Tipo tal como se describe en la Sección 10.2 (Transferencias de Datos Fuera del EEE), Google permitirá que el Cliente o un auditor independiente designado por el Cliente realicen auditorías tal como se describe en las Cláusulas Contractuales Tipo, de conformidad con la Sección 7.5.3 (Términos Comerciales Adicionales para Revisiones y Auditorías), sin perjuicio de los derechos de auditoría de una autoridad supervisora en virtud de dichas Cláusulas Contractuales Tipo.
• El Cliente también puede realizar una auditoría para verificar el cumplimiento por parte de Google de sus obligaciones en virtud de estos Términos mediante la revisión de la Documentación de Seguridad (que refleja los resultados de las auditorías realizadas por el Auditor Externo de Google).

7.5.3 Términos Comerciales Adicionales sobre Revisiones y Auditorías

• El Cliente debe enviar las solicitudes de revisión del Informe SOC 2 realizadas en virtud de la Sección 7.5.1(b) o bien solicitudes de auditoría en virtud de la Sección 7.5.2(a) o 7.5.2(b) al Equipo de Protección de Datos de Cloud de Google, tal y como se describe en la Sección 12 (Equipo de Protección de Datos de Cloud; Registros de Tratamiento).
• Cuando Google reciba una solicitud en virtud de la Sección 7.5.3(a), Google y el Cliente deberán elegir y acordar de antemano: (i) las fechas razonables y los controles de seguridad y confidencialidad aplicables a cualquier revisión del Informe SOC 2 en virtud de la Sección 7.5.1(b); y (ii) la fecha de inicio, el alcance y la duración razonables, así como los controles de seguridad y confidencialidad aplicables a cualquier auditoría en virtud de la Sección 7.5.2(a) o 7.5.2(b).
• Google puede cobrar una tarifa (basada en los costes razonables de Google) por cualquier revisión del informe SOC 2 en virtud de la Sección 7.5.1(b) o por cualquier auditoría en virtud de la Sección 7.5.2(a) o 7.5.2(b). Google proporcionará al Cliente más detalles de cualquier importe aplicable, así como la base de su cálculo, antes de cualquier revisión o auditoría. El Cliente será responsable de todas las tarifas cobradas por cualquier auditor elegido por el Cliente para que lleve a cabo dicha auditoría.
• Google puede enviar una objeción por escrito a un auditor elegido por el Cliente para que lleve a cabo una auditoría en virtud de la Sección 7.5.2(a) o 7.5.2(b) si el auditor, según la opinión razonable de Google, no está debidamente cualificado, no es un auditor independiente o es competencia de Google o por cualquier otro motivo manifiestamente inadecuado. Cualquier objeción de este tipo por parte de Google requerirá que el Cliente designe otro auditor o realice la auditoría él mismo.

7.5.4 Sin modificación de las MCCs. Nada de lo estipulado en esta Sección 7.5 (Revisiones y Auditorías de Cumplimiento) varía o modifica los derechos u obligaciones del Cliente o de Google LLC en virtud de las Cláusulas Contractuales Tipo suscritas tal y como se describe en la Sección 10.2 (Transferencias de Datos Fuera del EEE).

8. Evaluaciones de Impacto y Consultas.

El Cliente acepta que Google (teniendo en cuenta la naturaleza del tratamiento y la información que Google tenga a su disposición) le prestará asistencia para garantizar el cumplimiento de sus obligaciones en relación con las evaluaciones de impacto sobre la protección de datos y las consultas previas, incluidas, si procede, las obligaciones del Cliente de conformidad con los artículos 35 y 36 del RGPD, de las siguientes maneras:

• ofreciendo los Controles de Seguridad Adicionales, de acuerdo con la Sección 7.1.3 (Controles de Seguridad Adicionales), y la Documentación de Seguridad, de acuerdo con la Sección 7.5.1 (Revisiones de la Documentación de Seguridad); y
• proporcionando la información incluida en el Contrato, incluidas estas Condiciones.

9. Derechos del Interesado; Exportación de Datos

9.1 Acceso, rectificación, tratamiento restringido y portabilidad. Durante el Término, Google permitirá al Cliente, de una manera coherente con la funcionalidad de los Servicios de Cloud, acceder, rectificar y restringir el tratamiento de los Datos del Cliente, incluso mediante la función de eliminación proporcionada por Google, tal y como se describe en la sección 6.1 (Eliminación por parte del Cliente), así como exportar los Datos del Cliente.

9.2 Solicitudes de los Interesados

9.2.1 Responsabilidad del Cliente respecto de las Solicitudes. Durante la Vigencia, si Google recibe alguna solicitud de un interesado en relación con los Datos Personales del Cliente, Google indicará al interesado que envíe su solicitud al Cliente, y este será responsable de responder a dichas solicitudes, lo que incluye, cuando sea necesario, el uso de las funciones de los Servicios de Cloud.

9.2.2 Asistencia de Google con la Solicitud del Interesado. El Cliente acepta que Google (teniendo en cuenta la naturaleza del tratamiento de los Datos Personales de Clientes) le prestará asistencia para cumplir cualquier obligación de responder a las solicitudes de los interesados, incluida, si procede, la obligación del Cliente de responder a las solicitudes para ejercer los derechos de los interesados establecidos en el Capítulo III del RGPD, de las siguientes maneras:

• ofreciendo los Controles de Seguridad Adicionales, de acuerdo con la Sección 7.1.3 (Controles de Seguridad Adicionales); y
• cumplir los compromisos establecidos en la Sección 9.1 (Acceso, rectificación, tratamiento restringido y portabilidad) y en la Sección 9.2.1 (Responsabilidad del Cliente en relación con las Solicitudes).

10. Transferencias de Datos

10.1 Almacenamiento de Datos e Instalaciones de Tratamiento. Google podrá, de conformidad con la sección 10.2 (Transferencias de Datos Fuera del EEE), almacenar y tratar los Datos del Cliente en cualquier lugar en el que Google o sus Subencargados del Tratamiento dispongan de instalaciones.

10.2 Transferencias de Datos Fuera del EEE.

10.2.1 Obligaciones de transferencia de Google. Si el almacenamiento o el tratamiento de los Datos Personales del Cliente implica transferencias de Datos Personales del Cliente fuera del EEE y se aplica la Legislación de Protección de Datos Europea a las transferencias de dichos datos (los "Datos Personales Transferidos"), Google hará lo siguiente:

• Si el Cliente lo solicita, Google LLC, como importador de los Datos Personales Transferidos, deberá celebrar Cláusulas Contractuales Tipo con el Cliente, como exportador de dichos datos, y las transferencias deberán realizarse de conformidad con dichas Cláusulas Contractuales Tipo.
• ofrecer una Solución de Transferencia Alternativa, asegurarse de que las transferencias se realicen de conformidad con dicha Solución de Transferencia Alternativa y poner a disposición del Cliente información sobre dicha Solución de Transferencia Alternativa.

10.2.2 Obligaciones de Transferencia del Cliente. En relación con los Datos Personales Transferidos, el Cliente acepta lo siguiente:

• si, de conformidad con la Legislación de Protección de Datos Europea, Google requiere razonablemente que el Cliente suscriba Cláusulas Contractuales Tipo en relación con dichas transferencias, el Cliente lo hará; y
• si, de acuerdo con la legislación europea de protección de datos, Google requiere razonablemente que el Cliente utilice una Solución de Transferencia Alternativa ofrecida por Google y le solicita razonablemente que tome las medidas estrictamente necesarias (que pueden incluir la firma de documentos) para que dicha solución tenga pleno efecto, el Cliente lo hará.

10.3 Información sobre los centros de datos de Google. Puede consultar información sobre las ubicaciones de los centros de datos de Google en https://www.google.com/about/datacenters/inside/locations/index.html (Google puede actualizar esta URL ocasionalmente).

10.4 Divulgación de Información Confidencial que Contenga Datos Personales. Si el Cliente ha aceptado las Cláusulas Contractuales Tipo, tal y como se describe en la Sección 10.2 (Transferencias de Datos Fuera del EEE), Google, independientemente de cualquier término contrario del Contrato, se asegurará de que cualquier divulgación de la Información Confidencial del Cliente que contenga datos personales, así como cualquier notificación relacionada con dichas divulgaciones, se realice de acuerdo con las Cláusulas Contractuales Tipo.

11. Subencargados del Tratamiento

11.1 Consentimiento para la Contratación de Subencargados del Tratamiento. El Cliente autoriza específicamente la contratación en calidad de Subencargados del Tratamiento de: a) las entidades que se indican en la URL especificada en la Sección 11.2 (Información sobre los Subencargados del Tratamiento) a partir de la Fecha de Entrada en Vigor de los Términos; y b) todas las demás Empresas del Grupo Google ocasionalmente. Además, el Cliente autoriza, con carácter general, la contratación de otros terceros en calidad de Subencargados del Tratamiento ("Nuevos Terceros Subencargados del Tratamiento"). Si el Cliente ha firmado Cláusulas Contractuales Tipo tal y como se describe en la Sección 10.2 (Transferencias de Datos Fuera del EEE), las autorizaciones anteriores constituirán el consentimiento previo por escrito del Cliente para que Google LLC subcontrate el tratamiento de los Datos del Cliente, si dicho consentimiento es necesario en virtud de las Cláusulas Contractuales Tipo.

11.2 Información sobre los Subencargados del Tratamiento. La información sobre los Subencargados del Tratamiento de Google, incluidas sus funciones y ubicaciones, está disponible en https://cloud.google.com/terms/third-party-suppliers (Google puede actualizarla ocasionalmente de acuerdo con estos Términos).

11.3 Requisitos de Contratación de los Subencargados del Tratamiento. Al contratar a cualquier Subencargado del Tratamiento de Datos, Google:

• garantizará por medio de un contrato escrito que:
• El Encargado del Tratamiento solo accederá y usará los Datos del Cliente en la medida en que sea necesario para llevar a cabo las obligaciones para las que se le ha subcontratado, y lo hará con arreglo al Contrato (incluidos estos Términos) y a las Cláusulas Contractuales Tipo que haya suscrito o a la Solución de Transferencia Alternativa que haya adoptado Google, tal y como se describe en la Sección 10.2 (Transferencias de Datos Fuera del EEE); y
• Si el RGPD se aplica al tratamiento de los Datos Personales de Clientes, las obligaciones de protección de datos estipuladas en el artículo 28, apartado 3, del RGPD, tal como se describen en estas Condiciones, se imponen al Subencargado del Tratamiento; y
• Seguirá siendo totalmente responsable de todas las obligaciones subcontratadas y de todos los actos y omisiones del Subencargado del Tratamiento.

11.4 Posibilidad de Oponerse a Cambios del Subencargado del Tratamiento.

• Cuando se contrate a un Nuevo Subencargado del Tratamiento Tercero durante el Periodo, Google informará al Cliente de la contratación (incluidos el nombre y la ubicación del subencargado del tratamiento en cuestión y las actividades que llevará a cabo) al menos 30 días antes de que el Nuevo Subencargado del Tratamiento Tercero trate los Datos del Cliente. Para ello, enviará un correo a la Dirección de Correo de Notificación.
• El Cliente podrá oponerse a cualquier Nuevo Subencargado del Tratamiento Tercero resolviendo el Contrato inmediatamente mediante notificación por escrito a Google, siempre que el Cliente envíe dicha notificación en un plazo de 90 días a partir de la fecha en la que se le informe de la contratación del Subencargado del Tratamiento, tal y como se describe en la sección 11.4(a). Este derecho de resolución es el único recurso del Cliente si se opone a cualquier Nuevo Subencargado del Tratamiento Tercero.

12. Equipo de Protección de Datos de Cloud; Registros de Tratamiento.

12.1 Equipo de Protección de Datos de Cloud de Google. Si tienes un paquete de asistencia de Edge Cloud, crea una incidencia a través del portal de asistencia de Edge para ponerte en contacto con el equipo de Protección de Datos de Google Cloud. Si no es así, o como alternativa, puede ponerse en contacto con el equipo de Protección de Datos de Google Cloud rellenando el formulario disponible en https://support.google.com/cloud/contact/dpo (o a través de otros medios que Google pueda proporcionar ocasionalmente).

12.2 Registros de Tratamiento de Google. El Cliente reconoce que el RGPD exige a Google que: a) recoja y conserve registros de determinada información, incluidos el nombre y los datos de contacto de cada encargado del tratamiento o responsable del tratamiento en nombre del cual actúe Google y, si procede, del representante local y del delegado de protección de datos de dicho encargado o responsable del tratamiento; y b) ponga dicha información a disposición de las autoridades de supervisión. Por lo tanto, si el RGPD se aplica al tratamiento de los Datos Personales del Cliente, el Cliente proporcionará, cuando se le solicite, dicha información a Google a través de la Consola de Administración u otros medios proporcionados por Google, y usará la Consola de Administración u otros medios para asegurarse de que toda la información proporcionada sea precisa y esté actualizada.

13. Responsabilidad

13.1 Límite de Responsabilidad. Si se han suscrito Cláusulas Contractuales Tipo tal como se describe en la Sección 10.2 (Transferencias de Datos Fuera del EEE), la responsabilidad total combinada de cualquiera de las partes y sus Entidades Asociadas hacia la otra parte y sus Entidades Asociadas de conformidad con el Contrato y dichas Cláusulas Contractuales Tipo combinadas se limitará al Límite de Responsabilidad Acordado para la parte correspondiente, de conformidad con la Sección 13.2 (Excepciones del Límite de Responsabilidad).

13.2 Exclusiones de la Limitación de Responsabilidad. Nada de lo estipulado en la sección 13.1 (Límite de responsabilidad) afectará a los demás términos del Contrato relacionados con la responsabilidad (incluidas las exclusiones específicas de cualquier limitación de responsabilidad).

14. Beneficiarios Terceros

Sin perjuicio de lo dispuesto en el Contrato, si Google LLC no es una de las partes del Contrato, Google LLC será un tercero beneficiario de la Sección 7.5 (Revisiones y Auditorías de Cumplimiento), la Sección 11.1 (Consentimiento para la contratación de Subencargados del Tratamiento) y la Sección 13 (Responsabilidad) de estos Términos.

15. Validez de estos Términos

Sin perjuicio de lo contrario estipulado en el Contrato, en caso de conflicto o incoherencia entre estos Términos y el resto de los términos del Contrato, prevalecerán estos Términos.

Apéndice 1: Objeto y Detalles del Tratamiento de Datos

Objeto
Prestación de los Servicios en la Nube y de Asistencia al Cliente por parte de Google.

Duración del Tratamiento
El Periodo de Vigencia más el periodo desde el vencimiento del Periodo de Vigencia hasta la eliminación de todos los Datos de Clientes por parte de Google de acuerdo con estos Términos.

Naturaleza y Finalidad del Tratamiento
Google tratará los Datos Personales del Cliente con el fin de proporcionar los Servicios de Cloud y la Asistencia al Cliente de acuerdo con estos Términos.

Categorías de Datos
Datos relacionados con personas físicas proporcionados a Google a través de los Servicios de Cloud por el Cliente o por los Usuarios Finales del Cliente, o por indicación del Cliente o los Usuarios Finales del Cliente.

Interesados
Los interesados son las personas físicas cuyos datos recibe Google mediante los Servicios de Cloud por parte del Cliente o los Usuarios Finales, o por indicación del Cliente o los Usuarios Finales.

Apéndice 2: Medidas de seguridad

A partir de la Fecha de Entrada en Vigor de los Términos, Google implementará y mantendrá las Medidas de Seguridad establecidas en el presente Apéndice 2. Google puede actualizar o modificar las Medidas de Seguridad periódicamente siempre que dichas actualizaciones y modificaciones no den lugar a una degradación de la seguridad general de los Servicios de Cloud.

1. Seguridad de las redes y los centros de datos

En esta sección 1 se describe únicamente la seguridad de los centros de datos y de la red que son propiedad de Google y que gestiona Google, y no la de los subencargados del tratamiento externos ni la de los proveedores de infraestructura.

a) Centros de Datos de Google.

Infraestructura. Google cuenta con varios centros de datos repartidos por distintas zonas geográficas. Google almacena todos los datos de producción en centros de datos físicamente seguros.

Redundancia. Los sistemas de infraestructura se han diseñado para eliminar los puntos únicos de fallo y minimizar el impacto de los riesgos ambientales previstos. Circuitos duales, conmutadores, redes u otras instalaciones necesarias ayudan a proporcionar esta redundancia. Los Servicios de Cloud están diseñados para permitir a Google realizar ciertos tipos de mantenimiento preventivo y correctivo sin interrupciones. Todo el equipo y las instalaciones ambientales han documentado los procedimientos de mantenimiento preventivo que detallan el proceso y la frecuencia de ejecución de acuerdo con las especificaciones del fabricante o especificaciones internas. El mantenimiento preventivo y correctivo de los equipos del centro de datos se programa a través de un proceso de cambio estándar de acuerdo con procedimientos documentados.

Potencia. Los sistemas de suministro eléctrico del centro de datos están diseñados para ser redundantes y poder mantenerse sin tener un gran impacto en el mantenimiento continuo de las operaciones, las 24 horas del día, los 7 días de la semana. En la mayoría de los casos, se proporciona una fuente de suministro eléctrico primaria, así como una fuente alternativa, cada una de ellas de igual capacidad, para los componentes críticos de la infraestructura del centro de datos. El suministro eléctrico de reserva se proporciona mediante diversos mecanismos, como, por ejemplo, baterías de sistemas de alimentación ininterrumpida (SAI), que proporcionan constantemente una garantía fiable de suministro eléctrico en caso de apagones parciales de las compañías eléctricas, apagones completos, sobretensión, baja tensión, y condiciones de frecuencia fuera de límites. Si se interrumpe el suministro eléctrico de la compañía eléctrica, el suministro eléctrico de reserva está diseñado para proporcionar energía transitoria al centro de datos, a plena capacidad, durante un máximo de 10 minutos hasta que el sistema de generadores diésel tome el relevo. Los generadores diésel son capaces de iniciarse automáticamente en cuestión de segundos para proporcionar suficiente suministro eléctrico de emergencia para que el centro de datos funcione a plena capacidad habitualmente durante un periodo de días.

Sistemas operativos para servidores. Los servidores de Google usan una implementación personalizada basada en Linux para el entorno de aplicaciones. Los datos se almacenan utilizando algoritmos patentados para aumentar la seguridad de los datos y la redundancia. Google emplea un proceso de revisión de código para aumentar la seguridad del código utilizado para prestar los Servicios de Cloud y mejorar los productos de seguridad en entornos de producción.

Continuidad de la actividad empresarial. Google duplica datos a través de múltiples sistemas para ayudar a prevenir su destrucción accidental o pérdida. Google ha diseñado y regularmente programa y pone a prueba sus programas de continuidad de la actividad/recuperación tras fallos.

(b) Redes y transmisión de Google.

Transmisión de Datos. Los centros de datos suelen estar conectados a través de enlaces privados de alta velocidad para proporcionar una transferencia de datos segura y rápida entre los centros de datos. Estos centros están diseñados para evitar que los datos puedan ser leídos, copiados, alterados o eliminados sin autorización durante la transferencia electrónica o el transporte o mientras se están registrando en medios de almacenamiento de datos. Google transfiere datos a través de protocolos estándar de Internet.

Superficie de ataque externa. Google emplea múltiples capas de dispositivos de red y detección de intrusiones para proteger su superficie de ataque externa. Google tiene en cuenta los posibles vectores de ataque e incorpora tecnologías apropiadas diseñadas especialmente en los sistemas orientados al exterior.

Detección de intrusiones. La detección de intrusos tiene la finalidad de ofrecer datos sobre las actividades de ataque en curso y proporcionar información adecuada para responder a los incidentes. La detección de intrusos de Google implica:

• El control firme del tamaño y la composición de la superficie de ataque de Google a través de medidas preventivas.
• el empleo de controles de detección inteligentes en los puntos de entrada de datos; y
• El empleo de tecnologías que remedian de forma automática ciertas situaciones peligrosas.

Respuesta a incidentes. Google monitoriza varios canales de comunicación para detectar incidentes de seguridad y su personal de seguridad reaccionará rápidamente ante los incidentes conocidos.

Tecnologías de cifrado. Google utiliza el cifrado HTTPS (también conocido como conexión SSL o TLS) disponible. Los servidores de Google admiten el intercambio de claves criptográficas de Diffie-Hellman de curva elíptica efímera firmado con RSA y ECDSA. Estos métodos de confidencialidad directa perfecta (PFS) ayudan a proteger el tráfico y minimizan el impacto de una clave puesta en peligro o una penetración criptográfica.

2. Acceso y controles in situ

a) Controles in Situ. En esta sección 2(a) se describen únicamente los controles de los centros de datos propiedad de Google y operados por Google, y no los de los subencargados del tratamiento externos ni los de los proveedores de infraestructura.

Operaciones de seguridad in situ del centro de datos. Los centros de datos de Google mantienen un operativo de seguridad in situ responsable de todas las funciones de seguridad física del centro de datos las 24 horas del día, 7 días a la semana. El personal de operaciones de seguridad en las instalaciones controla las cámaras de circuito cerrado de televisión (CCTV) y todos los sistemas de alarma. El personal del operativo de seguridad in situ realiza patrullas internas y externas del centro de datos con regularidad.

Procedimientos de acceso al centro de datos. Google mantiene procedimientos formales de acceso para permitir el acceso físico a los centros de datos. Los centros de datos están ubicados en instalaciones que requieren acceso con llave de tarjeta electrónica, con alarmas que están vinculadas al operativo de seguridad en las instalaciones. Todas las personas que accedan al centro de datos deben identificarse, así como mostrar un documento acreditativo al operativo de seguridad en las instalaciones. Solo se permite la entrada a los centros de datos a los empleados, contratistas y visitantes autorizados. Solo se les permite a los empleados y contratistas autorizados solicitar la tarjeta electrónica de llave de acceso a estas instalaciones. Las solicitudes de acceso a los centros de datos con tarjetas electrónicas de llave deben llevarse a cabo por correo electrónico y requieren la aprobación del superior del solicitante y del director del centro de datos. Todas las demás personas que necesiten acceder temporalmente a un centro de datos deben: i) obtener la aprobación de los responsables del centro de datos con antelación para acceder al centro de datos y a las zonas internas concretas que quieran visitar; ii) registrarse en el operativo de seguridad in situ; y iii) hacer referencia a un registro de acceso al centro de datos aprobado que identifique a la persona en cuestión como autorizada.

Dispositivos de seguridad in situ del centro de datos. Los centros de datos de Google utilizan una llave de tarjeta electrónica y un sistema de control de acceso biométrico que están vinculados a un sistema de alarma. El sistema de control de acceso controla y registra la llave de tarjeta electrónica de cada persona y cuándo accede a las puertas del perímetro, zona de envío y recepción, y otras áreas críticas. La actividad y los intentos de acceso no autorizados y fallidos se registran en el sistema de control de acceso y se investigan, según corresponda. El acceso autorizado a las operaciones comerciales y los centros de datos está restringido en función de las zonas y las responsabilidades del cometido de la persona. Las puertas contra incendios en los centros de datos están dotadas de alarmas. Hay cámaras de CCTV en funcionamiento tanto dentro como fuera de los centros de datos. La ubicación de las cámaras se ha diseñado para cubrir las áreas estratégicas que incluyen, entre otras, el perímetro, las puertas del edificio del centro de datos y la zona de envío/recepción. El personal del operativo de seguridad in situ se encarga de la monitorización, el registro y el control de los equipos de CCTV. Los equipos de CCTV están conectados con cables de seguridad por todos los centros de datos. Las cámaras graban en las instalaciones con grabadoras de vídeo digital las 24 horas del día, 7 días a la semana. Los registros de vigilancia se conservan durante un máximo de 30 días en función de la actividad.

b) Control de Acceso.

Personal de seguridad de la infraestructura. Google tiene y mantiene una política de seguridad para su personal que requiere su capacitación en materia de seguridad como parte del paquete de capacitación de su personal. El personal de seguridad de la infraestructura de Google es responsable de la monitorización continua de la infraestructura de seguridad de Google, de la revisión de los Servicios en la nube y de responder a los incidentes de seguridad.

Control de acceso y gestión de privilegios. Los administradores del Cliente deben autenticar su identidad a través de un sistema de autenticación central o por medio de un sistema de inicio de sesión único para administrar los Servicios en la Nube.

Procesos y Políticas de Acceso a Datos Internos: Política de Acceso. Los procesos y las políticas de acceso a datos internos de Google están diseñados para evitar que personas y/o sistemas no autorizados tengan acceso a los sistemas utilizados para tratar datos personales. Google diseña sus sistemas para (i) permitir que solo las personas autorizadas accedan a los datos a los que estén autorizadas a acceder; y (ii) asegurarse de que los datos personales no puedan ser leídos, copiados, modificados o retirados sin autorización durante su tratamiento, uso y después de su registro. Los sistemas están diseñados para detectar cualquier acceso indebido. Google emplea un sistema de gestión de acceso centralizado para controlar el acceso del personal a los servidores de producción, y solo permite el acceso a un número limitado de personal autorizado. LDAP, Kerberos y un sistema propietario que utiliza certificados SSH están diseñados para proporcionar a Google mecanismos de acceso seguros y flexibles. Estos mecanismos están diseñados para otorgar solo derechos de acceso aprobados a los hosts del sitio, registros, datos e información de configuración. Google requiere el uso de identificaciones de usuario únicas, contraseñas seguras, autenticación de dos factores y listas de acceso cuidadosamente controladas para minimizar el posible uso no autorizado de cuentas. La concesión o modificación de derechos de acceso se basa en: las responsabilidades laborales del personal autorizado; los requisitos de las funciones laborales necesarios para realizar las tareas autorizadas; las necesidades concretas de información. La concesión o modificación de derechos de acceso debe también estar en conformidad con las políticas y capacitación de acceso a datos internos de Google. Las aprobaciones se gestionan mediante herramientas de flujo de trabajo que conservan registros de auditoría de todos los cambios. Se registra el acceso a los sistemas para crear un registro de auditoría para dirimir responsabilidades. Cuando se emplean contraseñas para la autenticación (por ejemplo, para acceder a las estaciones de trabajo), se implementan, al menos, políticas de contraseñas que siguen las prácticas estándar del sector. Estos estándares incluyen restricciones a la reutilización de contraseñas y requisitos mínimos de seguridad de la contraseña. Para acceder a información extremadamente sensible (por ejemplo, datos de tarjetas de crédito), Google emplea tokens de hardware.

3. Datos

a) Almacenamiento, aislamiento y registro de datos. Google almacena los datos en un entorno multicliente. Los datos y la arquitectura del sistema de archivos se replican en varios centros de datos propiedad de Google o gestionados por Google que están dispersos geográficamente. Google también aísla lógicamente los datos del Cliente. El Cliente tendrá control sobre políticas de datos compartidos específicas. Esas políticas, de acuerdo con la funcionalidad de los Servicios de Cloud, permitirán al Cliente determinar las opciones para compartir datos en productos aplicables a los usuarios del Cliente con fines específicos. El Cliente puede optar por usar determinadas funciones de registro que Google ponga a su disposición mediante los Servicios.

(b) Discos fuera de servicio y Política de borrado de discos en los centros de datos de Google. Los discos que contienen datos pueden experimentar problemas de rendimiento, errores o fallos de hardware que provoquen que se retiren ("Disco Retirado"). Todos los Discos Retirados están sujetos a una serie de procesos de destrucción de datos (la "Política de Borrado de Discos") antes de abandonar las instalaciones de Google para reutilizarse o destruirse. Los discos retirados se borran en un proceso de varios pasos y al menos dos validadores independientes verifican que se ha realizado al completo. Los resultados del borrado se registran por el número de serie del disco fuera de servicio para su seguimiento. Finalmente, el Disco Retirado borrado se entrega al inventario para su reutilización y redistribución. Si, debido a un fallo de hardware, el Disco Retirado no puede borrarse, se almacena de forma segura hasta que pueda ser destruido. Todas las instalaciones se someten a auditorías periódicas para monitorizar el cumplimiento de la Política de Borrado de Discos.

4. Seguridad del personal

Se exige del personal de Google que se comporte de una manera coherente con las directrices de la empresa respecto a la confidencialidad, la ética empresarial, el uso apropiado y las normas profesionales. Google lleva a cabo comprobaciones razonables de los antecedentes en la medida en que esté legalmente permitido y de conformidad con la legislación laboral y las disposiciones legales locales aplicables.

Se exige al personal que otorgue un acuerdo de confidencialidad y debe acusar recibo de las políticas de confidencialidad y privacidad de Google, así como cumplirlas. Se proporciona formación en seguridad al personal. Se exige al personal que trata los Datos de Clientes que satisfaga requisitos adicionales en función de su puesto (por ejemplo, con certificados). El personal de Google no tratará los Datos de Clientes sin autorización.

5. Seguridad de los Subencargados del tratamiento de datos

Antes de incorporar a los Subencargados del tratamiento, Google lleva a cabo una auditoría de sus prácticas de seguridad y privacidad para asegurarse de que proporcionan un nivel de seguridad y privacidad adecuado a su acceso a los datos y al alcance de los servicios para los que se les contrata. Una vez que Google haya evaluado los riesgos que presenta el Subencargado del Tratamiento, en ese momento sujeto a los requisitos descritos en la Sección 11.3 (Requisitos de Contratación de los Subencargados del Tratamiento) de estos Términos, el Subencargado deberá acceder a los términos contractuales de seguridad, confidencialidad y privacidad correspondientes.