Procesador / Proveedor de ServiciosCA Solutions LLC, 30 N Gould St Ste R # 45751, Sheridan, WY 82801
Controlador / Empresa (Cliente)[NOMBRE LEGAL Y DIRECCIÓN DEL CLIENTE]
Fecha de Vigencia[FECHA]
Acuerdo RelacionadoMSA fechado [FECHA]
SOWs Relacionadas[Número(s) de SOW]
“Controlador” significa la entidad que determina los fines y medios del procesamiento de Datos Personales. “Procesador” significa la entidad que procesa Datos Personales en nombre del Controlador. “Empresa” y “Proveedor de Servicios” tienen los significados establecidos en la Ley de Privacidad del Consumidor de California, enmendada por la CPRA (colectivamente, “CCPA”), y leyes de privacidad estatales de EE. UU. análogas. “Información Personal” y “Datos Personales” significan información relacionada con un individuo o hogar identificado o identificable, según se define en las Leyes de Protección de Datos aplicables; ambos términos se usan de manera intercambiable en este DPA. “Información Personal Sensible” significa las categorías de datos sensibles o especiales definidas en las Leyes de Protección de Datos aplicables (por ejemplo, identificadores gubernamentales, información de cuentas financieras, precisa geolocalización, datos de salud, datos biométricos, origen racial/étnico y similares). “Datos Regulados” significa datos sujetos a una protección legal reforzada (por ejemplo, PHI, datos de tarjetas de pago, datos financieros de consumidores, datos de menores). “Datos Personales del Cliente” significa Datos Personales que CA Solutions procesa en nombre del Cliente bajo el MSA. “Subprocesador” significa un tercero contratado por CA Solutions para procesar Datos Personales del Cliente. “Incidente de Seguridad” significa una violación de seguridad que conduce a la destrucción accidental o ilegal, pérdida, alteración, divulgación no autorizada o acceso a Datos Personales del Cliente procesados por CA Solutions. “Leyes de Protección de Datos” significa todas las leyes de privacidad y protección de datos aplicables al procesamiento, incluidas las leyes estatales de privacidad integrales de EE. UU. (como la CCPA y la leyes comprensivas de Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana y otros estados según se promulgaron), la HIPAA y GLBA de EE. UU. cuando correspondan, la PIPEDA de Canadá, las leyes provinciales aplicables de privacidad del sector privado, y la Ley 25 de Quebec.
Entre las partes, el Cliente es el Controlador / Negocio y CA Solutions es el Procesador / Proveedor de Servicios con respecto a los Datos Personales del Cliente. Cuando el Cliente actúa como procesador/proveedor de servicios para un controlador tercero, CA Solutions actúa como subprocesador y las obligaciones de las partes fluyen en consecuencia. CA Solutions no determina los fines o los medios del procesamiento de los Datos Personales del Cliente, excepto cuando sea necesario para proporcionar los Servicios o cumplir con la ley.
CA Solutions procesa los Datos Personales del Cliente durante la vigencia del MSA y los SOW aplicables, y hasta su devolución o eliminación conforme a la Sección 21. Los detalles del procesamiento se establecen en el Anexo A.
CA Solutions procesa los Datos Personales del Cliente únicamente para proporcionar los Servicios descritos en el MSA y los SOW (por ejemplo, construcción y operación de sitios web, agentes de IA, automatizaciones, flujos de trabajo de CRM, sistemas RAG/conocimiento, software y flujos de trabajo de comunicaciones) y según lo indique el Cliente por escrito.
[por ejemplo, clientes del Cliente, prospectos, contactos, empleados, usuarios finales — según se especifica en el Anexo A.]
[por ejemplo, identificadores, datos de contacto, datos de cuentas, datos comerciales, datos de comunicaciones — según se especifica en el Anexo A.]
CA Solutions no procesará Información Personal Sensible ni Datos Regulados a menos que esté expresamente autorizado en un SOW y, para PHI, bajo un Acuerdo de Asociación Comercial ejecutado. En ausencia de dicha autorización, el Cliente no debe enviar dichos datos.
CA Solutions procesará los Datos Personales del Cliente únicamente según las instrucciones documentadas del Cliente (incluyendo el MSA, SOWs y este DPA), a menos que la ley lo requiera, en cuyo caso CA Solutions informará al Cliente a menos que esté legalmente prohibido. CA Solutions informará al Cliente de inmediato si, a su juicio, una instrucción viola las Leyes de Protección de Datos.
CA Solutions no retendrá, utilizará ni divulgará los Datos Personales del Cliente para ningún propósito que no sea la realización de los Servicios, o según lo permita la Ley de Protección de Datos, y no combinará los Datos Personales del Cliente con datos de otras fuentes, excepto según lo permitido por la CCPA y otras Leyes de Protección de Datos.
CA Solutions no "venderá" ni "compartirá" los Datos Personales del Cliente, y no los procesará para publicidad conductual cruzada ni publicidad dirigida, según se definen esos términos en la CCPA y otras leyes de privacidad estatales de EE. UU. CA Solutions certifica que comprende y cumplirá con estas restricciones.
12.1 Casos de Uso de IA El procesamiento de Datos Personales del Cliente por IA se limita a los casos de uso descritos en el SOW aplicable y en el Anexo E.
12.2 Prohibición de Entrenamiento de Modelos CA Solutions no utilizará Datos Personales del Cliente para entrenar, ajustar o mejorar ningún modelo base de terceros, y no permitirá que Subprocesadores lo hagan, excepto con la autorización expresa por escrito del Cliente. Cuando esté disponible, CA Solutions configura a los Subprocesadores de IA para deshabilitar el entrenamiento con los datos del Cliente y minimizar la retención.
12.3 Manejo de Solicitudes y Resultados Las solicitudes, el contenido recuperado y los resultados que contienen Datos Personales del Cliente se manejan como Datos Personales del Cliente bajo este DPA.
12.4 Subprocesadores de IA Los proveedores de IA usados para procesar Datos Personales del Cliente son Subprocesadores y están listados en el Anexo C, sujetos a la Sección 16.
12.5 Revisión Humana En la medida en que los Servicios apoyen la toma de decisiones consecuentes, el Cliente es responsable de la revisión y supervisión humana según lo descrito en la Sección 10 del MSA.
12.6 Restricciones de Toma de Decisiones Automatizada CA Solutions no toma decisiones automáticas que produzcan efectos legales o de importancia similar sobre individuos. Si el Cliente configura los Servicios para hacerlo, el Cliente es responsable de los avisos, el consentimiento, las evaluaciones y los derechos individuales requeridos (incluyendo según la Ley 25 de Quebec y las normas de perfilado de los estados de EE. UU.).
CA Solutions garantizará que el personal autorizado para procesar los Datos Personales del Cliente esté sujeto a obligaciones de confidencialidad y trate los datos únicamente según las instrucciones.
CA Solutions implementará y mantendrá medidas técnicas y organizativas apropiadas diseñadas para proteger los Datos Personales del Cliente, incluyendo, según corresponda:
Las medidas completas se detallan en el Anexo B. CA Solutions puede actualizar las medidas siempre que la protección no se vea materialmente disminuida.
Las medidas de seguridad se abordan en la Sección 14 y el Anexo B.
16.1 Subprocesadores aprobados El Cliente autoriza a CA Solutions a contratar a los Subprocesadores enumerados en el Anexo C.
16.2 Aviso de Subprocesador CA Solutions dará al Cliente al menos [NÚMERO] días de aviso (por correo electrónico o mediante una lista actualizada) antes de agregar o reemplazar un Subprocesador que procese Datos Personales del Cliente.
16.3 Proceso de Objeción El Cliente puede objetar por motivos razonables de protección de datos dentro del período de aviso; las partes trabajarán de buena fe para resolver la objeción y, si no se resuelve, el Cliente puede terminar los Servicios afectados.
16.4 Obligaciones de Descenso CA Solutions impondrá obligaciones de protección de datos a los Subprocesadores que no sean menos protectoras que este DPA y seguirá siendo responsable del desempeño de los Subprocesadores.
16.5 Lista de Subprocesadores Se mantiene una lista actual de Subprocesadores en el Anexo C y se pone a disposición del Cliente a solicitud.
17.1 Ubicaciones de Transferencia CA Solutions tiene su sede en los Estados Unidos y puede procesar Datos Personales del Cliente en los Estados Unidos y otras jurisdicciones donde operen sus Subprocesadores (ver Anexo D).
17.2 Mecanismos de Transferencia Para las transferencias sujetas a las Leyes de Protección de Datos (incluidas las transferencias de información personal canadiense), las partes implementarán medidas contractuales, organizativas y técnicas apropiadas, y el Cliente proporcionará la transparencia transfronteriza requerida a los individuos (incluido bajo PIPEDA y la Ley 25 de Quebec).
17.3 Evaluaciones de Impacto de Transferencia CA Solutions proporcionará información razonable para ayudar al Cliente con evaluaciones de impacto de transferencia o privacidad cuando sea necesario (incluidas las EIP según la Ley 25 de Quebec para transferencias fuera de Quebec).
17.4 Solicitudes de Acceso del Gobierno Si CA Solutions recibe una solicitud gubernamental legalmente vinculante para los Datos Personales del Cliente, notificará al Cliente y buscará redirigir la solicitud al Cliente, a menos que esté legalmente prohibido.
Teniendo en cuenta la naturaleza del procesamiento, CA Solutions proporcionará asistencia razonable para permitir que el Cliente responda a solicitudes individuales verificadas para acceder, corregir, eliminar, transferir, restringir, optar por no participar en la venta/compartición/publicidad dirigida, limitar el uso de datos sensibles u oponerse al procesamiento, según lo requieran las Leyes de Protección de Datos. Si CA Solutions recibe dicha solicitud directamente, cuando esté permitido, remitirá al individuo al Cliente.
CA Solutions proporcionará asistencia e información razonable para apoyar las evaluaciones de impacto en la protección de datos del Cliente, las evaluaciones de impacto en la privacidad (incluidas las PIA según la Ley 25 de Quebec) y las consultas con los reguladores, en la medida en que se relacionen con el procesamiento de CA Solutions.
20.1 Tiempo de Notificación CA Solutions notificará al Cliente sin demora indebida y, en cualquier caso, dentro de [p. ej., 72] horas, después de tener conocimiento de un Incidente de Seguridad que afecte los Datos Personales del Cliente bajo su control.
20.2 Información Requerida La notificación incluirá, en la medida de lo conocido, la naturaleza del incidente, las categorías y el número aproximado de individuos y registros afectados, las posibles consecuencias y las medidas tomadas o propuestas.
20.3 Investigación CA Solutions investigará el incidente y proporcionará actualizaciones razonables.
20.4 Mitigación CA Solutions tomará medidas razonables para mitigar y remediar el incidente.
20.5 Notificaciones al Cliente El Cliente es responsable de determinar si se debe notificar y cómo notificar a individuos, reguladores u otros, y CA Solutions asistirá razonablemente. La notificación no constituye una admisión de culpa.
Al vencimiento o terminación de los Servicios, o a solicitud escrita del Cliente, CA Solutions devolverá o eliminará los Datos Personales del Cliente dentro de un plazo razonable y certificará la eliminación a solicitud, sujeto a la Sección 22.
CA Solutions puede retener los Datos Personales del Cliente en la medida y por el período requerido por la ley, en respaldos rutinarios hasta que sean sobrescritos en el curso normal, y según sea necesario para fines de seguridad, auditoría y resolución de disputas, en cada caso continuando para protegerlos bajo este DPA.
Con previo aviso por escrito razonable, no más de una vez al año (excepto en caso de un Incidente de Seguridad o un requisito legal), y sujeto a confidencialidad, CA Solutions pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA, lo que puede incluir respuestas a un cuestionario de seguridad razonable o informes de terceros disponibles. Las auditorías in situ, si las hubiera, serán a cargo del Cliente y se programarán para minimizar la interrupción.
CA Solutions mantendrá registros de sus actividades de procesamiento según lo exijan las Leyes de Protección de Datos.
CA Solutions puede crear y usar datos desidentificados o agregados derivados de los Datos Personales del Cliente con fines de seguridad, confiabilidad y mejora del servicio, siempre que no intente reidentificar los datos, mantenga los datos en forma desidentificada y obligue contractualmente a los destinatarios a lo mismo, de manera consistente con las Leyes de Protección de Datos.
26.1 Términos de Proveedor de Servicios CCPA/CPRA CA Solutions es un Proveedor de Servicios y: procesará Información Personal únicamente para los fines comerciales especificados; no la venderá ni la compartirá; no la retendrá, usará ni divulgará fuera de la relación comercial directa o para cualquier propósito que no sean los Servicios; no la combinará con otros datos excepto según lo permitido; y cumplirá con las obligaciones aplicables de CCPA. CA Solutions certifica que entiende y cumplirá con estas restricciones.
26.2 Términos de Controlador/Procesador Para los estados que utilizan la terminología de controlador/procesador (por ejemplo, Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana y otros según lo promulgado), CA Solutions actúa como Procesador y seguirá las instrucciones del Cliente, ayudará con la seguridad y los derechos individuales, garantizará la confidencialidad, contratará Subprocesadores bajo términos de flujo descendente y pondrá a disposición información para demostrar el cumplimiento.
26.3 Términos de Datos Sensibles CA Solutions procesará Información Personal Sensible solo según las instrucciones y solo cuando esté autorizado en una SOW.
26.4 Asistencia para Optar por No Participar CA Solutions ayudará al Cliente a respetar las exclusiones de venta, compartición, publicidad dirigida y ciertos perfiles, y no procesará los datos de los que se haya optado por no participar para propósitos restringidos.
27.1 PIPEDA Cuando se aplique PIPEDA, CA Solutions procesará la información personal de acuerdo con las instrucciones del Cliente y proporcionará un nivel comparable de protección mientras la información esté bajo su custodia, apoyando las obligaciones del Cliente en materia de responsabilidad, salvaguardas y transparencia.
27.2 Leyes provinciales de privacidad del sector privado Cuando se apliquen leyes provinciales de privacidad del sector privado (por ejemplo, Alberta, Columbia Británica, Quebec), CA Solutions apoyará el cumplimiento del Cliente en la medida en que se relacione con su procesamiento.
27.3 Consideraciones de la Ley 25 de Quebec Cuando se aplica la Ley 25 de Quebec, CA Solutions: procesará la información personal solo según las instrucciones; ayudará al Cliente con evaluaciones de impacto de privacidad (incluidas las transferencias fuera de Quebec); apoyará al Cliente en sus obligaciones de confidencialidad, retención y derechos individuales (incluido el acceso, la corrección, la desindexación y la portabilidad de los datos); notificará al Cliente sobre incidentes de confidencialidad para respaldar las obligaciones de reporte del Cliente; y apoyará al Cliente en la transparencia con respecto a la toma de decisiones automatizada cuando sea aplicable.
27.4 Transparencia Transfronteriza El Cliente es responsable de informar a las personas que su información personal puede ser procesada fuera de su provincia o de Canadá, según sea necesario.
28.1 Referencia al Acuerdo de Asociado Comercial de HIPAA Si CA Solutions procesa PHI en nombre del Cliente, las partes ejecutarán un Acuerdo de Asociado Comercial separado, que regula la PHI y controla sobre este DPA en lo que respecta a la PHI.
28.2 Referencia a Salvaguardas GLBA Cuando el Cliente sea una institución financiera sujeta a la Ley Gramm-Leach-Bliley, CA Solutions mantendrá salvaguardas razonablemente diseñadas para apoyar las obligaciones del Cliente bajo la Norma de Salvaguardas GLBA para los datos bajo su control.
28.3 Exclusión de Datos de Tarjeta de Pago CA Solutions no almacena, procesa ni transmite datos de titulares de tarjetas y no es un proveedor de servicios PCI-DSS a menos que se acuerde expresamente en un SOW. El procesamiento de pagos lo manejan los procesadores de terceros del Cliente.
28.4 Suplemento de Datos de Niños CA Solutions no procesa conscientemente información personal de niños. Si un SOW involucra datos de niños, las partes acordarán controles adicionales de COPPA y los aplicables a nivel estatal/provincial antes de cualquier procesamiento de este tipo.
Las limitaciones de responsabilidad y las disposiciones de indemnización en el MSA se aplican a este DPA y a las reclamaciones derivadas del procesamiento de Datos Personales del Cliente, excepto en la medida en que una limitación esté prohibida por las Leyes de Protección de Datos.
Este DPA es efectivo mientras CA Solutions procese Datos Personales del Cliente bajo el MSA y sobrevive a la terminación hasta que se complete la devolución o eliminación.
En caso de conflicto entre este DPA y el MSA con respecto al procesamiento de Datos Personales del Cliente, este DPA prevalece. En caso de conflicto entre este DPA y un BAA ejecutado respecto a PHI, el BAA prevalece en lo que respecta a PHI.
Anexo A — Detalles del Procesamiento
Materia[Prestación de los Servicios bajo el MSA/SOWs]
DuraciónPlazo del MSA/SOWs más período de retención
Naturaleza y Propósito[Describir]
Categorías de Sujetos de Datos[Describir]
Categorías de Datos Personales[Describir]
Datos Sensibles / Regulados[Ninguno a menos que esté autorizado]
Frecuencia[Continuo / por lotes]
Anexo B — Medidas de Seguridad Medidas técnicas y organizativas detalladas: controles de acceso y principio de menor privilegio; MFA para acceso administrativo; cifrado en tránsito y (cuando sea compatible) en reposo; gestión de secretos; registro y monitoreo; gestión de vulnerabilidades y parches; SDLC seguro; copias de seguridad; revisión de seguridad de subprocesadores; y respuesta a incidentes documentada. [Adjuntar medidas detalladas específicas del compromiso.]
Anexo C — Lista de Subprocesadores
Servicio de Subprocesador Ubicación de Procesamiento Categorías de Datos
[Nombre] [p. ej., alojamiento en la nube] [Ubicación] [Categorías]
[Nombre] [p. ej., API de IA/modelo] [Ubicación] [Categorías]
[Nombre] [p. ej., CRM / mensajería] [Ubicación] [Categorías]
Anexo D — Mecanismo de Transferencia [Describir los lugares de transferencia y los mecanismos/medidas de seguridad para las transferencias transfronterizas, incluyendo cualquier transparencia y medidas de seguridad para las transferencias de Canadá a EE. UU.]
Anexo E — Detalles del Procesamiento de IA
Caso de Uso de IA[Describir]
Modelos / Proveedores[Listar]
Entrenamiento con Datos del ClienteDeshabilitado a menos que se autorice expresamente
Retención por el Proveedor de IA[Minimizada / según los términos del proveedor]
Revisión Humana[Cuando sea requerida]
CA SOLUTIONS LLC (Procesador / Proveedor de Servicios)[NOMBRE LEGAL DEL CLIENTE] (Controlador / Empresa)
FirmaFirma
Nombre / CargoNombre / Cargo
FechaFecha
Nota del abogado (vigente a junio de 2026): Veinte estados de EE. UU. han promulgado leyes de privacidad integrales; confirme cuáles se aplican según los umbrales del Cliente y actualice la Sección 26 en consecuencia. La Ley 25 de Quebec está totalmente en vigor (portabilidad de datos efectiva desde el 22 de septiembre de 2024) y conlleva un derecho privado de acción y sanciones administrativas monetarias; se requieren AIP para transferencias fuera de Quebec. Confirme el marco federal canadiense (PIPEDA / cualquier legislación sucesora) al momento de la ejecución.
Descargar PDF (en inglés)