Correspondencia de la Adenda sobre Tratamiento de Datos de Cloud: leyes de privacidad de los estados de EE. UU.

Minimización y limitación del propósito

La recogida y el uso de la información personal de un consumidor por parte de una empresa deben limitarse a lo que sea razonablemente necesario para lograr los objetivos para los que se recogió o trató la información personal.

Los clientes deciden qué información introducir en los servicios, qué servicios usar, cómo usarlos y con qué finalidad. Google se compromete a acceder solo a los datos del cliente o a utilizarlos para prestar, proteger y monitorizar los servicios de acuerdo con los términos del contrato. 

Estados aplicables: CA, CO, CT, DE, FL, IN, MT, OR, TN, TX y VA

Referencia a la CDPA: sección 5.2 (Cumplimiento de las instrucciones del cliente) y sección 7.1.2 (Acceso y cumplimiento) de los Términos Generales de la CDPA.

Seguridad de los datos

Las empresas deben establecer, implementar y mantener prácticas razonables de seguridad de los datos en los ámbitos administrativo, técnico y físico para proteger la confidencialidad, la integridad y la accesibilidad de los datos personales.

Además de las medidas de seguridad que se describen en el Apéndice 2 de la CDPA, Google proporciona funciones que permiten a los clientes implementar medidas de protección adicionales para proteger la información personal. Para ello, puede que sea necesario configurar adecuadamente las funciones en la nube que están bajo el control del cliente.

Google gestiona la seguridad de su infraestructura (es decir, el hardware, el software, las redes y las instalaciones que sustentan los servicios). Google reconoce que las instituciones deben revisar nuestros controles internos como parte de su evaluación de riesgos. Como ayuda, Google se somete a diversas auditorías de terceros independientes al menos una vez al año para verificar nuestras operaciones y controles internos de manera independiente. Google se compromete a cumplir los siguientes estándares internacionales clave durante el periodo de vigencia del contrato:

• ISO/IEC 27001:2013 (sistemas de gestión de la seguridad de la información)
• SOC 2
• SOC 3

Google también proporciona a los clientes información detallada sobre sus prácticas de seguridad en:

• Página de seguridad de la infraestructura
• Informe sobre seguridad
• Informe sobre seguridad nativa de la nube
• Página Descripción general del diseño de seguridad de la infraestructura
• Página de recursos de seguridad
• Página de recursos de cumplimiento de Cloud

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia a la CDPA: Sección 7.1 (Medidas de seguridad, controles y asistencia de Google), Sección 7.3 (Responsabilidades y evaluación de la seguridad del Cliente) y Sección 7.4 (Certificaciones de cumplimiento y informes de SOC) de los Términos Generales, y Apéndice 2 (Medidas de seguridad) de la CDPA.

Discriminación por el ejercicio de derechos

Las empresas no pueden discriminar a los consumidores que ejercen sus derechos.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia del CDPA: N/A

Procesamiento discriminatorio

Una empresa no puede tratar datos personales en contravención de las leyes estatales y federales que prohíben la discriminación ilegal contra los consumidores.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CO, CT, DE, FL, IA, IN, MT, TN, TX y VA

Referencia del CDPA: N/A 

Requisitos de consentimiento o exclusión voluntaria para el tratamiento de datos sensibles

Una empresa no puede tratar datos sensibles de un consumidor sin obtener su consentimiento o, en el caso de un menor conocido, de conformidad con la COPPA.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia del CDPA: N/A 

Otras obligaciones relativas al consentimiento

Una empresa no puede usar los datos recogidos por un dispositivo (por ejemplo, mediante reconocimiento facial o de voz) con fines de vigilancia sin el consentimiento de la persona afectada.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: FL

Referencia del CDPA: N/A 

Menores de edad: consentimiento para la venta, el intercambio y la publicidad dirigida

Una empresa no puede tratar los datos personales de un menor de edad para publicidad personalizada o para una venta sin su consentimiento.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CA, CT, MT y OR

Referencia del CDPA: N/A 

Aviso en la colección

Una empresa debe proporcionar a los consumidores una notificación en el momento de recoger la información personal o antes de hacerlo.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CA

Referencia del CDPA: N/A 

Aviso de privacidad

Las empresas deben proporcionar a los consumidores un aviso de privacidad en el que se explique cómo se van a tratar sus datos personales y cuáles son sus derechos como consumidores.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia del CDPA: N/A

Otras obligaciones de transparencia

La información que se da a los consumidores debe ser accesible y comprensible.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CA, CO y FL

Referencia del CDPA: N/A

Divulgación de las ventas y la publicidad dirigida

Una empresa debe informar de las ventas de información personal o de publicidad personalizada y ofrecer la posibilidad de darse de baja.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia del CDPA: N/A

Tratamiento de datos desidentificados y seudonimizados

Una empresa que utilice datos anonimizados debe tomar medidas razonables para asegurarse de que dichos datos no se puedan asociar a un consumidor y exigir a los receptores de esos datos anonimizados que cumplan esta obligación.

Esta es una responsabilidad del cliente en función de sus propias operaciones comerciales. Google se compromete a acceder solo a los datos del cliente o a utilizarlos para prestar, proteger y monitorizar los servicios de acuerdo con los términos del contrato.

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia a la CDPA: sección 5.2 (Cumplimiento de las instrucciones del cliente) de los Términos Generales de la CDPA.

Evaluación de la protección de datos

Una empresa debe llevar a cabo una evaluación de protección de datos para determinadas actividades de tratamiento.

Google se compromete a ofrecer una cooperación y asistencia razonables a los clientes para que puedan llevar a cabo sus evaluaciones de impacto de la protección de datos. Si utilizas Google Cloud Platform o los servicios de Google Workspace, consulta la página de recursos de EIPDs de Google para obtener más información sobre qué es una EIPD y si necesitas una para usar esos servicios.

Estados aplicables: CO, CT, DE, FL, IN, MT, OR, TN, TX, UT y VA

Referencia de la CDPA: sección 8 (Evaluación y asesoramiento sobre el impacto) de los Términos generales de la CDPA.

Restricción a la reventa de información personal

Un tercero no podrá vender información personal que le haya sido vendida por una empresa.

Google no vende los datos de tus clientes, ni ahora ni nunca. Google solo accederá a los datos del cliente, o los utilizará, para prestar, proteger y monitorizar los servicios de acuerdo con los términos del contrato.

Estados aplicables: CA

Referencia a la CDPA: sección 5.2 (Cumplimiento de las instrucciones del cliente) de los Términos Generales de la CDPA.

Requisitos de formación y mantenimiento de registros

Las empresas deben formar a sus empleados para que puedan gestionar las consultas de los consumidores y conservar los registros de las solicitudes y respuestas de los consumidores durante 24 meses.

Es responsabilidad del cliente en función de sus propias operaciones comerciales.

Estados aplicables: CA

Referencia a la CDPA: sección 12.2 (Registros de tratamiento de Google) de los Términos Generales de la CDPA.

Requisitos contractuales que se aplican a los proveedores de servicios o los contratistas en todas las ventas, las comunicaciones o las divulgaciones de información personal

Una empresa que vende información personal de un consumidor debe firmar un contrato con el tercero que cumpla ciertos requisitos.

Google no compra ni vende datos personales de clientes a terceros. Además, exige a sus subcontratistas que se ciñan a los altos estándares que aplica. En concreto, Google requiere que los subcontratistas respeten su contrato contigo y que solo accedan y utilicen tus datos para cumplir sus obligaciones. Además, Google sigue siendo responsable de las obligaciones subcontratadas.

Estados aplicables: CA

Referencia a la CDPA: sección 11.3 (requisitos de vinculación de los subencargados del tratamiento) de los Términos Generales de la CDPA.

Estado del responsable o del encargado del tratamiento de datos

Determinar si una parte es responsable o encargada del tratamiento de datos en relación con un tratamiento concreto de los datos personales depende de los hechos y del contexto en que los datos deben tratarse.

En lo que respecta a Google Cloud, Google actúa como encargado del tratamiento de los datos personales de los clientes. Los clientes serán responsables o encargados del tratamiento de los datos, según corresponda.

Estados aplicables: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia a la CDPA: sección 4.1 (roles de las partes) de los Términos Generales de la CDPA.

Requisito contractual

Un contrato entre un responsable y un encargado del tratamiento de datos debe regir los procedimientos de tratamiento de datos del encargado en lo que respecta al tratamiento realizado en nombre del responsable.

El contrato del cliente, que incluye la Adenda sobre Tratamiento de Datos de Cloud, rige los procedimientos de tratamiento de datos de Google en relación con el tratamiento en nombre del cliente.

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia a la CDPA: apéndice 1 (cuestión y detalles del tratamiento de datos) de la CDPA.

Limitaciones en el uso de datos

En un contrato entre un responsable y un encargado del tratamiento de datos deben establecerse las instrucciones para el tratamiento de datos, la naturaleza y la finalidad del tratamiento, el tipo de datos que se van a tratar, la duración del tratamiento y los derechos y las obligaciones de ambas partes.

Google se compromete a tratar los datos personales de los clientes únicamente de acuerdo con la CDPA, incluido el apéndice 1, que describe la cuestión y la duración del tratamiento, la naturaleza y el propósito del tratamiento y las categorías de los datos. 

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia a la CDPA: sección 5.2 (cumplimiento de las instrucciones del cliente) y sección 7.1.2 (acceso y cumplimiento) de los Términos Generales, y apéndice 1 (asunto y detalles del tratamiento de datos) de la CDPA.

Imponer un deber de confidencialidad a los empleados

El contrato entre el responsable y el encargado del tratamiento de datos debe asegurar que todas las personas que traten datos personales estén sujetas a un deber de confidencialidad.

Los clientes pueden acceder a sus datos (incluidos los de sus usuarios finales) en Google Cloud en cualquier momento. Si Google recibe una solicitud de un individuo (por ejemplo, un usuario final del cliente) relativa a los datos personales del cliente, nuestro equipo de Privacidad le recomendará al solicitante que te envíe la solicitud a ti como cliente de Google Cloud. Los clientes de Google Cloud pueden responder a estas solicitudes según sus procedimientos y requisitos internos.

Estados aplicables: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia a la CDPA: sección 7.1.2 (acceso y cumplimiento) de los Términos Generales y sección 4 (seguridad del personal) del apéndice 2 (medidas de seguridad) de la CDPA.

Requisito de auditoría

El contrato entre el responsable y el encargado del tratamiento de datos debe asegurar que el encargado proporcione a la empresa información para demostrar el cumplimiento de las obligaciones del encargado, cuando se le solicite, y que se someta a auditorías independientes cada año mediante el uso de marcos de control aceptados.

Google ayuda a los clientes a cumplir los requisitos poniendo a su disposición la documentación de seguridad pertinente para que la revisen y sometiéndose a diversas auditorías de terceros independientes al menos una vez al año para verificar de forma independiente sus operaciones y controles internos. La página Administrador de informes de cumplimiento de Google te permite acceder bajo demanda y de forma sencilla a estos recursos esenciales de cumplimiento sin coste adicional. Entre los recursos clave se incluyen nuestros últimos certificados ISO/IEC, los informes sobre los estándares de cumplimiento y los autodiagnósticos.

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX y VA

Referencia a la CDPA: sección 7.4 (certificados de cumplimiento e informes SOC) y sección 7.5 (revisiones y auditorías de cumplimiento) de los Términos Generales de la CDPA.

Asistencia con las obligaciones de los responsables del tratamiento de datos

El encargado del tratamiento debe cumplir las instrucciones de la empresa y ayudarla a responder a las solicitudes relativas a los derechos de los consumidores teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado.

Google se compromete a ayudar a los clientes con las solicitudes de los consumidores que se mencionan en la sección 9 de los Términos Generales de la CDPA.

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX y VA

Referencia a la CDPA: consulta las respuestas en las secciones Derechos de los consumidores y Responsabilidades de la empresa o del responsable del tratamiento de datos, incluidas más arriba. Sección 9 (acceso; derechos de los interesados; exportación de datos) y Sección 9.2.2 (ayuda de Google para las solicitudes de los interesados) de los Términos Generales de la CDPA.

Asistencia con las obligaciones de los responsables del tratamiento de datos

El encargado del tratamiento debe cumplir las instrucciones de la empresa y ayudarla a cumplir sus obligaciones en relación con la seguridad del tratamiento de los datos personales y la notificación de brechas de seguridad teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado.

Google implementa y mantiene medidas técnicas, organizativas y físicas para proteger los datos de los clientes frente a la divulgación o el acceso no autorizados. Google proporciona a los clientes una notificación y los detalles de un incidente de datos de inmediato y sin demora injustificada. Google también pone a disposición de los clientes controles de seguridad adicionales. 

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TX, UT y VA

Referencia a la CDPA: sección 7.1 (medidas de seguridad, controles y asistencia de Google), sección 7.1.4 (asistencia de seguridad de Google), sección 7.2 (incidentes de datos), sección 7.2.1 (notificación de incidentes) y sección 7.3 (responsabilidades y evaluación de seguridad del cliente) de los Términos Generales, y apéndice 2 (medidas de seguridad) de la CDPA.

Asistencia con las obligaciones de los responsables del tratamiento de datos

Teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado del tratamiento, este último se ajustará a las instrucciones de la empresa y la ayudará a proporcionar la información necesaria para llevar a cabo evaluaciones de protección de datos.

Google se compromete a ayudar a los clientes con las evaluaciones de protección de datos en la sección 8 de los Términos Generales de la CDPA. Además, Google mantiene un centro de recursos de EIPD para ayudar a los clientes de Google Cloud Platform y Google Workspace.

Estados aplicables: CA, CO, CT, DE, FL, IN, MT, OR, TX y VA

Referencia a la CDPA: sección 8 (evaluaciones y consultas sobre el impacto) de los Términos Generales de la CDPA.

Derecho de objeción de los subcontratistas

No se puede involucrar a un subcontratista que trate datos personales, a menos que la empresa tenga la oportunidad de oponerse.

Google proporciona a los clientes una notificación que incluye información sobre la vinculación de nuevos subencargados del tratamiento y la oportunidad de oponerse resolviendo el contrato por conveniencia. Dada la naturaleza de uno a muchos de nuestros servicios, Google no puede implementar un proceso de aprobación para cada cliente. Google exige a los subcontratistas que se ciñan a los altos estándares que aplica. Además, Google sigue siendo responsable de las obligaciones subcontratadas. En concreto, Google requiere que los subcontratistas respeten su contrato contigo y que solo accedan y utilicen tus datos para cumplir sus obligaciones.

Estados aplicables: CO, CT y DE 

Referencia a la CDPA: sección 11.1 (consentimiento para involucrar a subencargados del tratamiento), sección 11.3 (requisitos para involucrar a subencargados del tratamiento) y sección 11.4 (oportunidad de oponerse a subencargados del tratamiento) de los Términos Generales de la CDPA.

Eliminar o devolver los datos tras rescindir o completar los servicios

El contrato entre el responsable y el encargado del tratamiento debe asegurar que el encargado devuelva o destruya todos los datos personales del cliente al finalizar la prestación de los servicios.

Google eliminará todos los datos del cliente (incluidos los datos personales) al finalizar el periodo de vigencia de acuerdo con la legislación aplicable y en un plazo máximo de 180 días. Puedes consultar más información sobre el proceso de eliminación de datos y los compromisos de Google en la CDPA y en la documentación sobre la eliminación de datos en Google Cloud.

Estados aplicables: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX y VA

Referencia a la CDPA: sección 6.1 (eliminación por parte del cliente) y sección 6.2 (devolución o eliminación al finalizar el plazo) de los Términos Generales de la CDPA.

Notificar al responsable del tratamiento de datos si ya no se pueden cumplir las obligaciones

El encargado del tratamiento debe notificar a la empresa si determina que ya no puede cumplir las obligaciones que estipula la CCPA.

Google notificará a los clientes si no puede cumplir las obligaciones que estipula la CCPA, a menos que la legislación aplicable prohíba el envío de la notificación correspondiente.

Estados aplicables: CA

Referencia a la CCPA: sección 3 (cumplimiento) de la subsección de la CCPA en el apéndice 3 (legislación específica sobre privacidad) de la CDPA.