1. Alcance y roles

El Cliente determina los fines y medios esenciales del tratamiento de Datos Personales incluidos en Datos del Cliente y actúa como responsable, negocio o entidad equivalente. EMETHEL actúa como encargado, proveedor de servicios o contratista y tratará esos datos únicamente conforme a instrucciones documentadas del Cliente, este Anexo y la ley.

2. Detalles del tratamiento

3. Instrucciones y uso limitado

EMETHEL no venderá Datos Personales del Cliente ni los compartirá para publicidad conductual entre contextos. No los conservará, usará ni divulgará fuera de la relación comercial directa salvo instrucción válida o exigencia legal. Si una instrucción parece infringir la ley, EMETHEL lo notificará cuando pueda hacerlo legalmente.

4. Personal y confidencialidad

EMETHEL limitará el acceso a personas que lo necesiten para prestar o proteger el Servicio y que estén sujetas a deberes apropiados de confidencialidad y seguridad.

5. Seguridad

EMETHEL mantendrá medidas administrativas, técnicas y físicas razonables, considerando la naturaleza de los datos y riesgos. Estas podrán incluir control de acceso, autenticación, cifrado en tránsito, registro de eventos, gestión de vulnerabilidades, respaldo y recuperación según el Servicio. El Cliente debe configurar permisos, dispositivos, integraciones y conservación de manera segura.

6. Subprocesadores

El Cliente autoriza los subprocesadores publicados en Seguridad y Subprocesadores. EMETHEL impondrá obligaciones de protección coherentes con este Anexo y seguirá siendo responsable de su prestación en la medida exigida por el Acuerdo y la ley. Los cambios materiales se publicarán o comunicarán con antelación razonable cuando sea posible. El Cliente podrá objetar por motivos razonables de protección de datos; las partes buscarán una alternativa y, si no existe, podrán terminar la función afectada.

7. Incidentes de seguridad

EMETHEL investigará accesos, usos o divulgaciones no autorizados confirmados que afecten Datos Personales del Cliente y notificará al Cliente sin demora indebida después de confirmarlos, según la información disponible y las obligaciones legales. La notificación no constituye admisión de culpa. EMETHEL tomará medidas razonables de contención, mitigación y cooperación.

8. Derechos y cooperación

Considerando la naturaleza del tratamiento, EMETHEL prestará asistencia razonable para solicitudes verificadas de acceso, corrección, eliminación, portabilidad o limitación, evaluaciones de impacto y consultas regulatorias. Si una persona contacta directamente a EMETHEL sobre datos controlados por el Cliente, EMETHEL la remitirá al Cliente salvo obligación legal distinta.

9. Devolución y eliminación

Tras terminar el Servicio, el Cliente tendrá 30 días para solicitar una exportación razonable, salvo que la Orden establezca otro plazo. Después, EMETHEL podrá eliminar los datos activos. Las copias de respaldo se eliminarán conforme a ciclos técnicos y podrán conservarse cuando la ley lo exija, permaneciendo protegidas y sin uso comercial.

10. Transferencias

Los datos pueden tratarse en Estados Unidos y en ubicaciones de subprocesadores. Cuando una ley aplicable exija un mecanismo de transferencia internacional, las partes incorporarán las cláusulas o salvaguardas requeridas.

11. Auditoría e información

Previa solicitud razonable y sujeta a confidencialidad, EMETHEL facilitará información disponible para demostrar cumplimiento. Se priorizarán cuestionarios, políticas, resúmenes o informes independientes existentes. Auditorías presenciales requerirán necesidad legal, alcance acordado, aviso razonable y medidas para proteger a otros clientes y la seguridad del Servicio.

12. Leyes estatales de EE. UU.

Cuando sea aplicable, EMETHEL actuará como “service provider”, “contractor” o “processor”; tratará datos solo para los fines comerciales especificados; no combinará Datos Personales del Cliente con datos recibidos de otras fuentes salvo permiso legal; y cooperará con obligaciones razonables del Cliente. Cada parte cumplirá las leyes que le correspondan.

13. Prioridad y contacto

Si existe conflicto sobre protección de datos, este Anexo prevalece sobre el Acuerdo y una Orden, salvo que la Orden identifique expresamente la disposición que modifica. Contacto: privacy@emethel.com.

1. Scope and roles

Customer determines the essential purposes and means of processing Personal Data included in Customer Data and acts as controller, business, or equivalent entity. EMETHEL acts as processor, service provider, or contractor and will process that data only under Customer’s documented instructions, this Addendum, and law.

2. Processing details

3. Instructions and limited use

EMETHEL will not sell Customer Personal Data or share it for cross-context behavioral advertising. EMETHEL will not retain, use, or disclose it outside the direct business relationship except under a valid instruction or legal requirement. If an instruction appears unlawful, EMETHEL will notify Customer where legally permitted.

4. Personnel and confidentiality

EMETHEL will limit access to persons who need it to provide or secure the Service and who are subject to appropriate confidentiality and security duties.

5. Security

EMETHEL will maintain reasonable administrative, technical, and physical safeguards considering data nature and risk. These may include access control, authentication, encryption in transit, event logging, vulnerability management, backup, and recovery as appropriate to the Service. Customer must securely configure permissions, devices, integrations, and retention.

6. Subprocessors

Customer authorizes subprocessors listed at Security and Subprocessors. EMETHEL will impose data protection duties consistent with this Addendum and remain responsible for their performance to the extent required by the Agreement and law. Material changes will be posted or communicated with reasonable advance notice where possible. Customer may object on reasonable data-protection grounds; the parties will seek an alternative and, if none is available, may terminate the affected feature.

7. Security incidents

EMETHEL will investigate confirmed unauthorized access, use, or disclosure affecting Customer Personal Data and notify Customer without undue delay after confirmation, based on available information and legal duties. Notice is not an admission of fault. EMETHEL will take reasonable containment, mitigation, and cooperation measures.

8. Rights and cooperation

Considering the nature of processing, EMETHEL will reasonably assist with verified access, correction, deletion, portability, or restriction requests, impact assessments, and regulatory inquiries. If a person contacts EMETHEL directly about Customer-controlled data, EMETHEL will refer the person to Customer unless law requires otherwise.

9. Return and deletion

After Service termination, Customer will have 30 days to request a reasonable export unless the Order states another period. EMETHEL may then delete active data. Backups will be removed under technical cycles and may be retained where legally required, remaining protected and unavailable for commercial use.

10. Transfers

Data may be processed in the United States and subprocessor locations. Where applicable law requires an international transfer mechanism, the parties will incorporate the required clauses or safeguards.

11. Audit and information

Upon reasonable request and subject to confidentiality, EMETHEL will provide available information demonstrating compliance. Existing questionnaires, policies, summaries, or independent reports will be prioritized. On-site audits require legal necessity, agreed scope, reasonable notice, and measures protecting other customers and Service security.

12. U.S. state laws

Where applicable, EMETHEL will act as a “service provider,” “contractor,” or “processor”; process data only for specified business purposes; not combine Customer Personal Data with data from other sources except as legally permitted; and cooperate with Customer’s reasonable obligations. Each party will comply with laws applicable to it.

13. Priority and contact

If terms conflict regarding data protection, this Addendum controls over the Agreement and an Order unless the Order expressly identifies the provision it modifies. Contact: privacy@emethel.com.