Asignación del Anexo de Tratamiento de Datos de Google Cloud: Leyes de privacidad estatales de EE.UU.

Minimización y limitación de propósitos

La recopilación y el uso de la información personal de un consumidor por parte de una empresa deben limitarse a lo que sea razonablemente necesario para lograr los fines para los que se recopiló o procesó la información personal.

Los clientes deciden qué información poner en los servicios y qué servicios usar, cómo usarlos y con qué fin. Google se compromete a acceder a los datos del cliente o a usarlos solo para proporcionar, proteger y supervisar los servicios de acuerdo con las condiciones del contrato. 

Estados donde se aplica: CA, CO, CT, DE, FL, IN, MT, OR, TN, TX, VA

Referencia del CDPA: Artículo 5.2 (Cumplimiento de las Instrucciones del Cliente) y Artículo 7.1.2 (Acceso y Cumplimiento) de las Condiciones Generales del CDPA.

Seguridad de los datos

Las empresas deben establecer, implementar y mantener prácticas de seguridad de los datos razonables de carácter administrativo, técnico y físico para proteger la confidencialidad, integridad y accesibilidad de los datos personales.

Además de las medidas de seguridad descritas en el Apéndice 2 del CDPA, Google proporciona funcionalidad para que los clientes implementen protecciones adicionales para proteger la información personal, lo que puede requerir la configuración adecuada de las funciones en la nube bajo la administración del cliente.

Google administra la seguridad de su infraestructura (es decir, el hardware, el software, las redes y las instalaciones que respaldan los servicios). Google reconoce que los clientes necesitan revisar nuestros controles internos como parte de su evaluación de riesgos. Para brindar ayuda, Google se somete a varias auditorías externas independientes una vez por año como mínimo para proporcionar una verificación independiente de nuestras operaciones y nuestros controles internos. Google se compromete a cumplir con los siguientes estándares internacionales clave durante el plazo de nuestro contrato contigo:

• ISO/IEC 27001:2013 (Sistema de Administración de Seguridad de la Información)
• SOC 2
• SOC 3

Google también brinda información detallada a los clientes sobre nuestras prácticas de seguridad en estos recursos:

• Página de seguridad de la infraestructura
• Informe de seguridad
• Informe de seguridad nativa de la nube
• Página de descripción general del diseño de seguridad de la infraestructura
• Página de recursos de seguridad
• Página de recursos de cumplimiento de Cloud

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referencia del CDPA: Artículo 7.1 (Medidas de Seguridad, Controles y Asistencia de Google), Artículo 7.3 (Responsabilidades y Evaluación de la Seguridad del Cliente), Artículo 7.4 (Certificaciones de Cumplimiento e Informes SOC) de las Condiciones Generales y Apéndice 2 (Medidas de Seguridad) del CDPA.

Discriminación por ejercicio de derechos

Las empresas no pueden discriminar a los consumidores que ejercen sus derechos.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referencia de CDPA: N/A

Procesamiento discriminatorio

Una empresa no puede procesar datos personales en violación de las leyes estatales y federales que prohíben la discriminación ilegal contra los consumidores.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CO, CT, DE, FL, IA, IN, MT, TN, TX, VA

Referencia de CDPA: N/A 

Requisitos de consentimiento y de revocación de consentimiento para datos sensibles

Una empresa no puede procesar datos sensibles de un consumidor sin obtener su consentimiento o, en el caso de un menor conocido, de conformidad con la COPPA.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia de CDPA: N/A 

Otras obligaciones de consentimiento

Una empresa no puede usar los datos recopilados por un dispositivo (p. ej., a través de reconocimiento de voz o facial) para vigilancia sin consentimiento.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: FL

Referencia de CDPA: N/A 

Menores: Consentimiento para ventas, uso compartido y publicidad segmentada

Una empresa no puede procesar los datos personales de un menor para publicidad segmentada o una venta sin consentimiento.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CA, CT, MT, OR

Referencia de CDPA: N/A 

Aviso en la recolección

Una empresa debe proporcionar a los consumidores un aviso en el momento de la recopilación de información personal o antes de ello.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CA

Referencia de CDPA: N/A 

Aviso de Privacidad

Las empresas deben proporcionar a los consumidores un aviso de privacidad en el que se explique cómo se procesarán sus datos personales y sus derechos como consumidores.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referencia de CDPA: N/A

Otras obligaciones de transparencia

Las divulgaciones a los consumidores deben ser accesibles y comprensibles.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CA, CO, FL

Referencia de CDPA: N/A

Divulgación de ventas y publicidad segmentada

Una empresa debe divulgar las ventas de información personal o publicidad segmentada y ofrecer la posibilidad de inhabilitar la opción.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia de CDPA: N/A

Procesamiento de datos desidentificados y datos seudónimos

Una empresa que use datos desidentificados debe tomar medidas razonables para garantizar que dichos datos no se puedan asociar con un consumidor y exigir a los destinatarios de dichos datos anonimizados que cumplan con esta obligación.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales. Google se compromete a acceder a los datos del cliente o a usarlos solo para proporcionar, proteger y supervisar los servicios de acuerdo con las condiciones del contrato.

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referencia del CDPA: Artículo 5.2 (Cumplimiento de las Instrucciones del Cliente) de las Condiciones Generales del CDPA.

Evaluaciones de protección de datos

Una empresa debe realizar una evaluación de protección de datos para ciertas actividades de procesamiento.

Google se compromete a brindar cooperación y asistencia razonables a los clientes para realizar sus evaluaciones de impacto de protección de datos. Para Google Cloud Platform o los Servicios de Google Workspace, consulta la página de recursos de DPIA de Google para obtener más información sobre qué es una DPIA y si necesitas una para usar esos servicios.

Estados donde se aplica: CO, CT, DE, FL, IN, MT, OR, TN, TX, UT, VA

Referencia del CDPA: Artículo 8 (Evaluaciones y Consultas de Impacto) de las Condiciones Generales del CDPA.

Restricción sobre la reventa de información personal

Un tercero no venderá la información personal que le vendió una empresa.

Google no vende los datos de tus clientes, nunca. Google solo accederá a los datos del cliente o los usará para proporcionar, proteger y supervisar los servicios de acuerdo con las condiciones del contrato.

Estados donde se aplica: CA

Referencia del CDPA: Artículo 5.2 (Cumplimiento de las Instrucciones del Cliente) de las Condiciones Generales del CDPA.

Requisitos de capacitación y registro

Las empresas deben capacitar a los empleados para que respondan las consultas de los consumidores y mantener registros de las solicitudes y respuestas de los consumidores durante 24 meses.

Esta es una responsabilidad del cliente según sus propias operaciones comerciales.

Estados donde se aplica: CA

Referencia del CDPA: Artículo 12.2 (Registros de Procesamiento de Google) de las Condiciones Generales del CDPA.

Requisitos contractuales para todas las ventas, divulgaciones o comunicaciones de información personal a proveedores de servicios o contratistas

Una empresa que vende información personal de un consumidor debe celebrar un contrato con el tercero que incluya ciertos requisitos.

Google no compra ni vende datos personales de clientes a terceros. Google exige que nuestros subcontratistas cumplan con los mismos estándares altos que nosotros. En particular, Google exige que nuestros subcontratistas cumplan con el contrato que tenemos contigo y que solo accedan a tus datos y los usen en la medida necesaria para cumplir con las obligaciones subcontratadas, y Google seguirá siendo responsable de cualquier obligación subcontratada.

Estados donde se aplica: CA

Referencia del CDPA: Artículo 11.3 (Requisitos para la Participación de Subencargados del Procesamiento de Datos) de las Condiciones Generales del CDPA.

Estado del responsable del procesamiento de datos o el encargado del procesamiento de datos

La determinación de si una parte es un responsable del procesamiento de datos o un encargado del procesamiento de datos con respecto al procesamiento específico de datos personales es una determinación basada en hechos que depende del contexto en el que se procesarán los datos personales.

Para los fines de Google Cloud, Google actúa como encargado del procesamiento de datos de los datos personales del cliente. El Cliente es un responsable del procesamiento de datos o encargado del procesamiento de datos, según corresponda.

Estados donde se aplica: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia de la CDPA: Artículo 4.1 (Roles de las Partes) de las Condiciones Generales de la CDPA.

Requisitos del contrato

Un contrato entre un responsable y un encargado regirá los procedimientos de procesamiento de datos del encargado con respecto al procesamiento realizado en nombre del responsable.

El contrato del cliente, que incluye el Anexo de Procesamiento de Datos de Cloud, rige los procedimientos de procesamiento de datos de Google con respecto al procesamiento en nombre del cliente.

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referencia del CDPA: Anexo 1 (Cuestión y detalles del procesamiento de datos) del CDPA.

Limitaciones en el uso de datos

Un contrato entre un controlador y un procesador debe establecer instrucciones para el procesamiento de datos, la naturaleza y el propósito del procesamiento, el tipo de datos sujetos al procesamiento, la duración del procesamiento, y los derechos y obligaciones de ambas partes.

Google se compromete a procesar los datos personales del cliente únicamente de conformidad con el CDPA, incluido el Apéndice 1, en el que se describe el tema y la duración del procesamiento, la naturaleza y el propósito del procesamiento y las categorías de datos. 

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referencia del CDPA: Artículo 5.2 (Cumplimiento de las Instrucciones del Cliente) y Artículo 7.1.2 (Acceso y Cumplimiento) de las Condiciones Generales, y Apéndice 1 (Asunto y Detalles del Procesamiento de Datos) del CDPA.

Se impone un deber de confidencialidad a los empleados

El contrato entre un responsable del procesamiento de datos y un encargado del procesamiento de datos garantizará que cada persona que procese datos personales esté sujeta a un deber de confidencialidad.

Los clientes pueden acceder a sus datos (incluidos los datos de sus usuarios finales) en Google Cloud en cualquier momento. Si Google recibe una solicitud de una persona física (p. ej., un usuario final del cliente) relacionada con los datos personales del cliente, nuestro equipo de privacidad le recomendará al solicitante que te envíe la solicitud a ti, el cliente de Google Cloud. Los clientes de Google Cloud pueden tomar el control de la respuesta a estas solicitudes según sus procedimientos y requisitos internos.

Estados donde se aplica: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT y VA

Referencia del CDPA: Artículo 7.1.2 (Acceso y Cumplimiento) de las Condiciones Generales y el Artículo 4 (Seguridad del Personal) del Apéndice 2 (Medidas de Seguridad) del CDPA.

Requisito de auditoría

El contrato entre un responsable del procesamiento de datos y un encargado del procesamiento de datos garantizará que el encargado proporcione a la empresa información para demostrar el cumplimiento de las obligaciones del encargado, cuando se solicite, y que se someta a auditorías independientes anualmente mediante marcos de control aceptados.

Google ayuda a los clientes a cumplir con los requisitos de cumplimiento mediante la publicación de la documentación de seguridad pertinente para que los clientes la revisen y se somete a varias auditorías externas independientes al menos una vez al año para proporcionar una verificación independiente de nuestras operaciones y controles internos. La página Administrador de informes de cumplimiento de Google proporciona acceso fácil y a pedido a estos recursos esenciales de cumplimiento sin costo adicional. Los recursos clave incluyen nuestros certificados ISO/IEC más recientes, informes de SOC y autoevaluaciones.

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX y VA

Referencia de la CDPA: Artículo 7.4 (Certificaciones de cumplimiento e Informes SOC) y Artículo 7.5 (Opiniones y Auditorías de Cumplimiento) de las Condiciones Generales de la CDPA.

Asistencia con las obligaciones del responsable del procesamiento de datos

Un encargado del procesamiento de datos se ajustará a las instrucciones de la empresa y la asistirá en lo siguiente: teniendo en cuenta la naturaleza del procesamiento y la información disponible para el encargado, responder a las solicitudes de derechos del consumidor.

Google se compromete a asistir a los clientes con las solicitudes de los consumidores en el Artículo 9 de las Condiciones Generales del CDPA.

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX y VA

Referencia de la CDPA: Consulta las respuestas en las secciones Derechos del consumidor y Responsabilidades de las empresas y responsables del procesamiento de datos, arriba. Artículo 9 (Acceso; Derechos de los Sujetos; Exportación de Datos) y Artículo 9.2.2 (Asistencia de Google para las Solicitudes de los Sujetos) de las Condiciones Generales del CDPA.

Asistencia con las obligaciones del responsable del procesamiento de datos

Un encargado se ajustará a las instrucciones de la empresa y la asistirá en lo siguiente: teniendo en cuenta la naturaleza del procesamiento y la información disponible para el encargado, cumpliendo con sus obligaciones con respecto a la seguridad del procesamiento de los datos personales y en relación con la notificación de una violación de la seguridad.

Google implementa y mantiene medidas técnicas, organizativas y físicas para proteger los datos del cliente contra la divulgación o el acceso no autorizados. Google notifica a los clientes sobre un incidente de datos y les proporciona detalles sobre este con rapidez y sin demora. Google también pone a disposición de los clientes controles de seguridad adicionales. 

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TX, UT, VA

Referencia de la CDPA: Artículo 7.1 (Medidas de Seguridad, Controles y Asistencia de Google), Artículo 7.1.4 (Asistencia de Seguridad de Google), Artículo 7.2 (Incidentes de Datos), Artículo 7.2.1 (Notificación de Incidentes) y Artículo 7.3 (Responsabilidades y Evaluación de la Seguridad del Cliente) de las Condiciones Generales, y el Apéndice 2 (Medidas de Seguridad) de la CDPA.

Asistencia con las obligaciones del responsable del procesamiento de datos

Teniendo en cuenta la naturaleza del procesamiento y la información disponible para el encargado del procesamiento de datos, este se apegará a las instrucciones de la empresa y la asistirá de la siguiente manera: proporcionando la información necesaria para realizar evaluaciones de protección de datos.

Google se compromete a ayudar a los clientes con las evaluaciones de protección de datos en el Artículo 8 de las Condiciones Generales del CDPA. Además, para Google Cloud Platform y Google Workspace, Google mantiene un centro de recursos de DPIA para ayudar a los clientes.

Estados donde se aplica: CA, CO, CT, DE, FL, IN, MT, OR, TX y VA

Referencia del CDPA: Artículo 8 (Evaluaciones y Consultas de Impacto) de las Condiciones Generales del CDPA.

Derecho de objeción del subcontratista

No se puede contratar a un subcontratista que maneje datos personales, a menos que la empresa tenga la oportunidad de oponerse.

Google proporciona a los clientes un aviso que incluye información sobre cualquier nuevo contrato de subencargado del procesamiento de datos y la oportunidad de oponerse mediante la rescisión del acuerdo. Dada la naturaleza uno a varios de nuestros servicios, Google no puede poner en funcionamiento un proceso de aprobación para cada cliente individual. Google exige que nuestros subcontratistas cumplan con los mismos estándares altos que nosotros, y Google seguirá siendo responsable de cualquier obligación subcontratada. En particular, Google exige que nuestros subcontratistas cumplan con el contrato que tenemos contigo y que solo accedan y usen tus datos en la medida necesaria para cumplir con las obligaciones subcontratadas.

Estados donde se aplica: CO, CT, DE 

Referencia de la CDPA: Artículo 11.1 (Consentimiento para la Participación de Subencargados del Procesamiento de Datos), Artículo 11.3 (Requisitos para la Participación de Subencargados del Procesamiento de Datos) y Artículo 11.4 (Oportunidad para Oponerse a los Subencargados del Procesamiento de Datos) de las Condiciones Generales de la CDPA.

Eliminación o devolución de los datos cuando se finalicen o completen los servicios

El contrato entre un responsable del procesamiento de datos y un encargado del procesamiento de datos garantizará que el encargado devuelva o destruya todos los datos personales del cliente al final de la prestación de servicios.

Google borrará todos los datos del cliente (incluidos los datos personales del cliente) al final del período de conformidad con la ley aplicable y en un plazo máximo de 180 días. Puedes encontrar más detalles sobre el proceso de eliminación de datos y los compromisos de Google en el CDPA y la documentación sobre la Eliminación de datos en Google Cloud.

Estados donde se aplica: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX y VA

Referencia del CDPA: Artículo 6.1 (Borrado por el Cliente) y Artículo 6.2 (Devolución o Eliminación cuando Finaliza el Período) de las Condiciones Generales del CDPA.

Notificación al responsable del procesamiento de datos si ya no se pueden cumplir las obligaciones

Un encargado del procesamiento de datos debe notificar a la empresa si determina que ya no puede cumplir con sus obligaciones según la CCPA.

Google notificará a los clientes si no puede cumplir con sus obligaciones en virtud de la CCPA, a menos que la ley aplicable prohíba dicha notificación.

Estados donde se aplica: CA

Referencia de la CDPA: Artículo 3 (Cumplimiento) del subartículo de la CCPA en el Apéndice 3 (Leyes de Privacidad Específicas) del CDPA.