Acuerdo de Tratamiento de Datos

1.Objeto y aplicación de este acuerdo

1.1  El Cliente utiliza los servicios en línea de quizzes, encuestas, evaluaciones y cursos de Quiz Maker (los «Servicios») con arreglo a los Términos del servicio de Quiz Maker (los «Términos»). Cuando las personas abren o responden los quizzes del Cliente, Quiz Maker trata sus datos personales por cuenta del Cliente.

1.2  El presente Acuerdo de Tratamiento de Datos («DPA») establece las condiciones de ese tratamiento conforme exige el artículo 28 del GDPR (Reglamento General de Protección de Datos de la UE, RGPD), y ofrece una base jurídica para transferir esos datos personales fuera del Espacio Económico Europeo.

1.3  Este DPA se celebra entre My Plaza Pty Ltd (ABN 58 110 054 245), que opera como Quiz Maker («Quiz Maker»), y el cliente titular de una cuenta de Quiz Maker (el «Cliente»). Forma parte de los Términos y se aplica automáticamente, sin necesidad de firma, siempre que Quiz Maker trate Datos Personales del Cliente sujetos a las Leyes de Protección de Datos. El Cliente lo acepta al aceptar los Términos.

1.4  El Cliente que necesite una copia firmada puede solicitarla a través de la página de contacto de Quiz Maker. La copia firmada contiene las mismas condiciones que este DPA.

1.5  En caso de conflicto, se aplicará el siguiente orden: en primer lugar, las CCT (cuando se apliquen); después, este DPA; y después, los Términos. En todo lo demás, los Términos siguen siendo aplicables.

2.Definiciones

Los términos utilizados en este DPA que no se definen en él (como responsable del tratamiento, encargado del tratamiento, interesado, datos personales, tratamiento y autoridad de control) tienen el significado que les atribuye el GDPR. Además:

3.Funciones y ámbito

3.1  El Cliente es el responsable del tratamiento de los Datos Personales del Cliente y Quiz Maker es su encargado del tratamiento.

3.2  Quiz Maker es el responsable del tratamiento de la información de la propia cuenta, de inicio de sesión y de facturación del Cliente, que trata con arreglo a su Política de seguridad y privacidad. Esa información no constituye Datos Personales del Cliente y este DPA no se aplica a ella.

3.3  El Cliente es responsable de contar con una base jurídica para recoger Datos Personales del Cliente a través de sus quizzes, de la información que facilita a los interesados y de los consentimientos que obtiene de ellos (incluido cualquier consentimiento necesario para cookies o tecnologías similares en sus quizzes y en los sitios web donde los inserta), y de no recoger categorías especiales de datos personales ni otros datos que los Términos prohíben, salvo que Quiz Maker lo haya aceptado por escrito.

4.Tratamiento siguiendo las instrucciones del Cliente

4.1  Quiz Maker tratará los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias a un tercer país. Las instrucciones del Cliente son este DPA, los Términos y el uso y la configuración que el Cliente haga de los Servicios (por ejemplo, publicar un quiz, elegir lo que pregunta, activar los correos electrónicos de resultados o las Funciones de IA, y exportar o eliminar envíos).

4.2  Quiz Maker solo podrá tratar los Datos Personales del Cliente de otro modo cuando así lo exija el Derecho de la Unión o de los Estados miembros que se le aplique. En tal caso, informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

4.3  Quiz Maker informará al Cliente sin demora si, en su opinión, una instrucción infringe las Leyes de Protección de Datos.

4.4  Quiz Maker no venderá los Datos Personales del Cliente, ni los utilizará para publicidad, para entrenar modelos de inteligencia artificial ni de ningún otro modo para sus propios fines, salvo para elaborar estadísticas agregadas que no identifiquen al Cliente ni a ningún interesado, tal como se describe en los Términos.

5.Confidencialidad

5.1  Quiz Maker garantizará que todas las personas a las que autorice a tratar Datos Personales del Cliente estén sujetas a una obligación de confidencialidad adecuada, y que el acceso se limite al personal que lo necesite para prestar, proteger y dar soporte a los Servicios.

6.Seguridad

6.1  Quiz Maker aplicará y mantendrá las medidas técnicas y organizativas descritas en el anexo II para proteger los Datos Personales del Cliente, conforme exige el artículo 32 del GDPR.

6.2  Quiz Maker podrá actualizar esas medidas a medida que cambien la tecnología y las amenazas, siempre que no se reduzca sustancialmente el nivel general de protección.

7.Subencargados del tratamiento

7.1  El Cliente otorga a Quiz Maker una autorización general por escrito para recurrir a Subencargados del tratamiento. Los Subencargados del tratamiento enumerados en el anexo III quedan autorizados.

7.2  Quiz Maker publica la lista actualizada de Subencargados del tratamiento como anexo III de este DPA en quiz-maker.com/Data-Processing-Agreement, y la actualizará al menos 30 días antes de añadir o sustituir a un Subencargado del tratamiento. Quiz Maker también enviará ese aviso por correo electrónico a cualquier Cliente que lo haya solicitado a través de la página de contacto.

7.3  El Cliente podrá oponerse a un nuevo Subencargado del tratamiento por motivos razonables de protección de datos dentro de esos 30 días, y las partes debatirán la oposición de buena fe. Si no puede resolverse, el Cliente podrá poner fin a los Servicios afectados y Quiz Maker le reembolsará las cuotas pagadas por adelantado correspondientes al periodo no utilizado.

7.4  Quiz Maker contratará a cada Subencargado del tratamiento mediante un contrato escrito que le imponga obligaciones de protección de datos que no sean menos protectoras que las de este DPA, y seguirá siendo plenamente responsable ante el Cliente del cumplimiento de esas obligaciones por parte de cada Subencargado del tratamiento.

8.Solicitudes de los interesados

8.1  Si Quiz Maker recibe una solicitud de un interesado relativa a Datos Personales del Cliente, la trasladará al Cliente sin dilación indebida y no responderá a ella salvo para remitir al interesado al Cliente, a menos que el Cliente autorice otra cosa.

8.2  Los Servicios permiten al Cliente ver, exportar, rectificar y suprimir por sí mismo los Datos Personales del Cliente. Cuando el Cliente no pueda hacerlo a través de los Servicios, Quiz Maker le prestará una asistencia razonable, teniendo en cuenta la naturaleza del tratamiento, para que el Cliente pueda responder a las solicitudes de ejercicio de los derechos de los interesados.

9.Violaciones de la seguridad de los datos personales

9.1  Quiz Maker notificará al Cliente cualquier Violación de la seguridad de los datos personales sin dilación indebida una vez que tenga conocimiento de ella y, cuando sea posible, en un plazo de 48 horas.

9.2  La notificación describirá, en la medida en que se conozcan en ese momento, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, sus posibles consecuencias y las medidas adoptadas o propuestas. Cuando no se conozca toda esta información a la vez, Quiz Maker la facilitará de manera gradual a medida que esté disponible.

9.3  Quiz Maker adoptará medidas razonables para contener y subsanar la violación y facilitará al Cliente la información que razonablemente necesite para cumplir sus propias obligaciones de notificación a las autoridades de control y a los interesados. La notificación de una violación no constituye un reconocimiento de culpa ni de responsabilidad.

10.Asistencia en el cumplimiento

10.1  Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, Quiz Maker prestará al Cliente una asistencia razonable en el cumplimiento de sus obligaciones en virtud de los artículos 32 a 36 del GDPR, incluidas las evaluaciones de impacto relativas a la protección de datos y la consulta previa a una autoridad de control.

11.Supresión y devolución de los datos

11.1  Mientras utilice los Servicios, el Cliente podrá exportar o suprimir los Datos Personales del Cliente en cualquier momento.

11.2  Cuando finalicen los Servicios, el Cliente dispondrá de al menos 30 días para exportar sus datos. Transcurrido ese plazo, Quiz Maker suprimirá los Datos Personales del Cliente, salvo que el Derecho de la Unión o de los Estados miembros exija su conservación.

11.3  Las copias conservadas en copias de seguridad cifradas se sobrescriben en el ciclo normal de copias de seguridad y permanecen protegidas por este DPA hasta entonces. Previa solicitud, Quiz Maker confirmará por escrito que se ha llevado a cabo la supresión.

12.Información y auditorías

12.1  Quiz Maker pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del GDPR, incluida información escrita sobre sus medidas de seguridad y respuestas a cuestionarios de seguridad razonables.

12.2  Las auditorías se llevan a cabo mediante la entrega de esa información por parte de Quiz Maker y la respuesta a las preguntas de seguimiento razonables que el Cliente formule por escrito sobre ella.

12.3  Solo podrá realizarse una inspección de las instalaciones o sistemas de Quiz Maker cuando lo exija una autoridad de control competente, o tras una Violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente. Deberá llevarla a cabo un auditor independiente sujeto a confidencialidad que no sea competidor de Quiz Maker, con un preaviso por escrito de al menos 30 días (o el plazo inferior que exija la autoridad), en horario laboral normal, a cargo del Cliente, y limitada al tratamiento de Datos Personales del Cliente. No incluirá el acceso a datos de otros clientes ni a información que comprometa la seguridad de los Servicios.

12.4  Esta cláusula establece cómo se ejercen los derechos del Cliente en virtud de la cláusula 8.9 de las CCT, y no limita las facultades de ninguna autoridad de control.

13.Transferencias internacionales

13.1  El Cliente reconoce que Quiz Maker está establecida en Australia, que los Datos Personales del Cliente se alojan en servidores situados en Estados Unidos, que pasan por la red global de Cloudflare y que los Subencargados del tratamiento del anexo III los tratan en las ubicaciones allí indicadas.

13.2  En la medida en que la transferencia de Datos Personales del Cliente por parte del Cliente a Quiz Maker constituya una transferencia a un tercer país con arreglo al capítulo V del GDPR, las CCT se incorporan a este DPA por referencia, con el Cliente como exportador de datos y Quiz Maker como importador de datos, y con las siguientes opciones:

1. Se aplica la cláusula 7 (cláusula de incorporación).
2. Cláusula 9, letra a): se aplica la opción 2 (autorización general por escrito), el plazo es de 30 días y el aviso se da según lo descrito en la cláusula 7.2 de este DPA.
3. Cláusula 11, letra a): no se aplica el texto opcional.
4. Cláusula 13: la autoridad de control competente es la indicada en el anexo I, sección C.
5. Cláusula 17: se aplica la opción 1, y la legislación aplicable es la de Irlanda.
6. Cláusula 18, letra b): los litigios se resolverán ante los órganos jurisdiccionales de Irlanda.
7. Los anexos I, II y III de las CCT se completan con los anexos I, II y III de este DPA.

13.3  Cuando Quiz Maker transfiera Datos Personales del Cliente a un Subencargado del tratamiento en un tercer país, garantizará que la transferencia esté amparada por una garantía adecuada con arreglo al capítulo V del GDPR, como las cláusulas contractuales tipo o una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU., cuando el Subencargado del tratamiento esté certificado en virtud de él).

13.4  Quiz Maker facilitará información razonable para ayudar al Cliente a evaluar la transferencia con arreglo a la cláusula 14 de las CCT, y tramitará cualquier solicitud de una autoridad pública relativa a Datos Personales del Cliente según lo establecido en la cláusula 15 de las CCT.

13.5  Cuando se aplique el UK GDPR, se aplicará el International Data Transfer Addendum (adenda británica de transferencias internacionales de datos) a las cláusulas contractuales tipo de la Comisión de la UE emitido por el UK Information Commissioner (autoridad británica de protección de datos) (versión B1.0), con sus tablas 1 a 3 completadas con los datos de este DPA y sus anexos, y cualquiera de las partes podrá ponerle fin según lo permitido por su tabla 4. Cuando se aplique la Swiss Federal Act on Data Protection, las CCT se aplicarán con el Swiss Federal Data Protection and Information Commissioner (comisionado federal suizo de protección de datos e información) como autoridad de control competente, y las referencias al GDPR se entenderán hechas a dicha ley.

14.Responsabilidad

14.1  La responsabilidad total de cada parte frente a la otra derivada de este DPA y de las CCT, o relacionada con ellos, considerada junto con todas las reclamaciones en virtud de los Términos, está sujeta a las limitaciones y exclusiones de responsabilidad de los Términos, incluida la exclusión de las pérdidas indirectas y consecuentes y el límite global de responsabilidad, en la medida en que lo permita la ley.

14.2  Nada de lo dispuesto en este DPA limita la responsabilidad de ninguna de las partes frente a los interesados en virtud de las CCT, ni ninguna responsabilidad que no pueda limitarse o excluirse por ley.

15.Duración, modificaciones y disposiciones generales

15.1  Este DPA surte efecto el 25 de agosto de 2026, o en el momento en que el Cliente acepte los Términos si es posterior, y se mantiene mientras Quiz Maker trate Datos Personales del Cliente. Las cláusulas que por su naturaleza deban subsistir tras la resolución seguirán vigentes.

15.2  Este DPA se rige por la legislación que rige los Términos, salvo las CCT, que se rigen por la legislación elegida en la cláusula 13.2. Nada de lo dispuesto en este DPA reduce los derechos de los interesados en virtud de las CCT.

15.3  Quiz Maker podrá actualizar este DPA del mismo modo en que los Términos le permiten actualizar los Términos. Una actualización no reducirá sustancialmente la protección que este DPA otorga a los Datos Personales del Cliente, salvo que lo exija un cambio en las Leyes de Protección de Datos o la adopción por la Comisión Europea de nuevas cláusulas contractuales tipo.

15.4  Si alguna disposición de este DPA es nula o inaplicable, el resto seguirá en vigor.

15.5  Cuando las partes firmen una copia de este DPA, podrá firmarse electrónicamente y en varios ejemplares, cada uno de los cuales tendrá la consideración de original.

Anexo I: Descripción del tratamiento

A. Lista de partes

B. Descripción de la transferencia

C. Autoridad de control competente

Si el Cliente está establecido en la Unión Europea, la autoridad de control del Estado miembro en el que esté establecido (o su autoridad de control principal, si tiene más de un establecimiento). Si el Cliente no está establecido en la Unión Europea pero el GDPR le es aplicable, la autoridad de control del Estado miembro en el que esté establecido su representante con arreglo al artículo 27 del GDPR o, si no está obligado a designarlo, la del Estado miembro en el que se encuentren los Participantes afectados.

Anexo II: Medidas técnicas y organizativas

Anexo III: Subencargados del tratamiento autorizados

Stripe, Inc. trata la información de facturación del propio Cliente, de la que Quiz Maker es responsable del tratamiento. No recibe Datos Personales del Cliente y no es un Subencargado del tratamiento en virtud de este DPA.