Anexo de procesamiento de datos

Última actualización: September 11, 2025

Esta Adenda de Procesamiento de Datos, incluidos sus anexos (colectivamente, el "DPA"), se incorpora en cada acuerdo entre Tanium y sus clientes y socios para la provisión de los Servicios de Tanium (el "Acuerdo"). A menos que se definan específicamente en este DPA, los términos en mayúsculas utilizados en este DPA tendrán el significado establecido en el Acuerdo.

1. Definiciones.

a) "CCPA" significa la Ley de Privacidad del Consumidor de California, Cal. Civ. Código § 1798.100 et seq., según enmendada por la Ley de Derechos de Privacidad de California, y sus reglamentos de implementación.

b) "Datos Personales del Cliente" significa cualquier Dato Personal que Tanium Procesa como Procesador de Datos en el curso de la prestación, y a través del uso por parte del Cliente, de los Servicios de Tanium.

c) "Cliente" significa el cliente o socio que es parte del Acuerdo.

d) "Leyes de Protección de Datos" significa todas las leyes de protección de datos y privacidad aplicables al Procesamiento de Datos Personales bajo el Acuerdo, incluyendo, cuando corresponda, las Leyes Europeas de Protección de Datos y la CCPA.

e) "Responsable del Tratamiento de Datos" significa una entidad que determina los fines y los medios del Procesamiento de Datos Personales.

f) "Encargado del Tratamiento de Datos" significa una entidad que Procesa Datos Personales en nombre de un Responsable del Tratamiento de Datos, incluyendo, según corresponda, cualquier "proveedor de servicios" según ese término es definido por la CCPA.

g) "Leyes Europeas de Protección de Datos" significa: (i) el Reglamento 2016/679 del Parlamento Europeo y del Consejo sobre la protección de las personas físicas en lo que respecta al Procesamiento de Datos Personales y a la libre circulación de dichos datos (Reglamento General de Protección de Datos) (el "RGPD de la UE"); (ii) la Directiva de e-Privacidad de la UE (Directiva 2002/58/CE); (iii) el RGPD de la UE incorporado al derecho del Reino Unido en virtud de la sección 3 de la Ley de la Unión Europea (Retirada) del Reino Unido de 2018 (el "RGPD del Reino Unido"); (iv) la Ley Federal Suiza de Protección de Datos de 19 June 1992 (la "Ley Suiza de Protección de Datos"); y (v) todas y cada una de las leyes nacionales de protección de datos aplicables adoptadas en virtud de, conforme a o que se apliquen conjuntamente con cualquiera de (i) a (iv); en cada caso según pueda ser modificado o reemplazado de tiempo en tiempo.

h) "Datos Personales" significa cualquier información relativa a una persona física identificada o identificable.

i) "Procesamiento" significa cualquier operación o conjunto de operaciones que se realiza sobre Datos Personales o sobre conjuntos de Datos Personales, ya sea o no por medios automatizados, tales como recopilación, registro, organización, estructuración, almacenamiento, adaptación o alteración, recuperación, consulta, uso, divulgación por transmisión, difusión o cualquier otra forma de puesta a disposición, alineación o combinación, restricción, borrado o destrucción, y "Procesar", "Procesa" y "Procesado" se interpretarán en consecuencia.

j) "Transferencia Restringida" significa: (i) cuando se aplica el RGPD de la UE, una transferencia de Datos Personales desde el Espacio Económico Europeo a un país fuera del Espacio Económico Europeo que no está sujeto a una determinación de adecuación por parte de la Comisión Europea; (ii) cuando se aplica el RGPD del Reino Unido, una transferencia de Datos Personales desde el Reino Unido a cualquier otro país que no esté basada en regulaciones de adecuación conforme a la Sección 17A de la Ley de Protección de Datos del Reino Unido 2018; y (iii) cuando se aplica la Ley de Protección de Datos de Suiza, una transferencia de Datos Personales desde Suiza a cualquier otro país que no haya sido determinado como proveedor de protección de datos adecuada por el Comisionado Federal de Protección de Datos e Información u otra autoridad suiza competente.

k) "Incidente de Seguridad" significa una violación de seguridad que conduce a la destrucción accidental o ilícita, pérdida, alteración, divulgación no autorizada o acceso a los Datos Personales del Cliente.

l) "Cláusulas Contractuales Estándar" significa las cláusulas contractuales del Módulo Dos (de responsable a encargado del tratamiento) anexadas a la Decisión de Ejecución 2021/914 de la Comisión Europea de 4 June 2021 sobre cláusulas contractuales estándar para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo en la forma establecida en la Sección 6.1 de este DPA.

m) "Subencargado del Tratamiento" significa cualquier Encargado del Tratamiento de Datos contratado por Tanium para ayudar a cumplir sus obligaciones con respecto a la prestación de los Servicios de Tanium conforme al Acuerdo. Los Subencargados del Tratamiento pueden incluir terceros o Afiliados de Tanium.

n) "Tanium" significa las entidades de Tanium que son parte del Acuerdo.

o) "Tanium Services" significa el software proporcionado como un servicio alojado de Tanium, así como cualquier Servicio de Soporte para los productos de software de Tanium.

p) "UK Addendum" significa el Adéndum de Transferencia Internacional de Datos a las Cláusulas Contractuales Estándar de la Comisión de la UE (versión B1.0) emitido por la Oficina del Comisionado de Información del Reino Unido el March 21, 2022.

2. Alcance de este DPA. Este DPA se aplica cuando y solo en la medida en que Tanium Procese Datos Personales del Cliente.

3. Relación de las Partes. Entre Tanium y el Cliente, el Cliente es el Responsable del Tratamiento de los Datos Personales del Cliente. Tanium Procesará los Datos Personales del Cliente únicamente para los fines descritos en este DPA y en el Acuerdo, y solo de conformidad con las instrucciones legales documentadas del Cliente. Las partes acuerdan que este DPA y el Acuerdo establecen las instrucciones completas y definitivas del Cliente a Tanium en relación con el Tratamiento de los Datos Personales del Cliente, y cualquier Tratamiento fuera del alcance de estas instrucciones requerirá el consentimiento previo por escrito del Cliente.

4. Tratamiento de Datos Personales por parte del Cliente. El Cliente acepta que (i) cumplirá con sus obligaciones en virtud de las Leyes de Protección de Datos con respecto a su Procesamiento de Datos Personales y cualquier instrucción de Procesamiento que emita a Tanium; y (ii) ha proporcionado aviso y obtenido (u obtendrá) todos los consentimientos y derechos necesarios en virtud de las Leyes de Protección de Datos para que Tanium procese los Datos Personales del Cliente y proporcione los Servicios de Tanium de conformidad con el Acuerdo y este DPA.

5. Detalles del Procesamiento. Los detalles del Procesamiento de Datos Personales del Cliente se establecen en el Anexo 1 de este DPA.

6. Transferencias de Datos.

6.1. Cuando la transferencia de Datos Personales del Cliente sea una Transferencia Restringida realizada desde el Espacio Económico Europeo, las Cláusulas Contractuales Estándar se incorporan a este DPA y se aplican a la transferencia de la siguiente manera:

a) Cláusula 7 (Cláusula de adhesión) – no aplica.

b) Cláusula 9 (Uso de subencargados) – Opción 2 (Autorización general por escrito) será aplicable, y el período de tiempo es el especificado en la Sección 9 de este DPA.

c) Cláusula 11 (Recurso) – el texto opcional no aplica.

d) Cláusula 17 (Ley Aplicable) – Se aplicará la Opción 1 y la ley aplicable será: (a) las leyes del país especificado en el Acuerdo si el Acuerdo se rige por las leyes de un estado miembro de la UE; o (b) las leyes de los Países Bajos si el Acuerdo se rige por las leyes de un estado no miembro de la UE.

e) Cláusula 18 (Elección de foro y jurisdicción) – la elección de foro y jurisdicción aplicable será: (a) los tribunales del país especificado en el Acuerdo si el Acuerdo se rige por las leyes de un estado miembro de la UE; o (b) los tribunales de los Países Bajos si el Acuerdo se rige por las leyes de un estado no miembro de la UE.

f) Los detalles de los Anexos I y II de las Cláusulas Contractuales Estándar se establecen en el Anexo 1 de este DPA.

6.2. Cuando la transferencia de Datos Personales del Cliente sea una Transferencia Restringida realizada desde el Reino Unido, el Adendum del Reino Unido se incorpora a este DPA y se aplica a la transferencia. Las Tablas 1, 2, y 3 del Adendum del Reino Unido se completan con la información de la Sección 6.1 anterior y el Anexo 1 de este DPA, y la Tabla 4 en la Parte 1 del Adendum del Reino Unido se completa seleccionando "Importador".

6.3. Cuando la transferencia de Datos Personales del Cliente sea una Transferencia Restringida realizada desde Suiza, las Cláusulas Contractuales Estándar se incorporan a este DPA y se aplican a la transferencia según las modificaciones de la Sección 6.1 anterior, excepto que:

a) Las referencias al "Reglamento (UE) 2016/679” se interpretan como referencias a la Ley Suiza de Protección de Datos.

b) Las referencias a artículos específicos del "Reglamento (UE) 2016/679” se reemplazan con el artículo o sección equivalente de la Ley Suiza de Protección de Datos.

c) "Unión" y "Estado Miembro" se reemplazan con "Suiza".

d) Las referencias a la "autoridad supervisora competente" y "tribunales competentes" se reemplazan con el "Comisionado Federal Suizo de Información sobre Protección de Datos" y los "tribunales competentes de Suiza".

e) La Cláusula 13(a) y la Parte C del Anexo I no se utilizan y la "autoridad supervisora competente" es el Comisionado Federal de Información sobre Protección de Datos de Suiza.

f) En la Cláusula 17, las Cláusulas Contractuales Estándar se rigen por las leyes de Suiza.

g) En la Cláusula 18, las disputas se resolverán ante los tribunales competentes de Suiza.

6.4. Cuando se apliquen las Cláusulas Contractuales Estándar:

a) El Cliente ejercerá sus derechos de auditoría en virtud de las Cláusulas Contractuales Estándar según lo establecido en la Sección 14 de este DPA.

b) Antes de iniciar una Transferencia Restringida a un Subencargado, Tanium celebrará un acuerdo con un Subencargado que contenga el Módulo Tres de las Cláusulas Contractuales Estándar (de encargado a encargado), o alternativamente, Tanium determinará que el Subencargado contará con las salvaguardas adecuadas de conformidad con los Artículos 46 o 47 del RGPD de la UE y/o del RGPD del Reino Unido (según corresponda) con respecto al tratamiento del Subencargado.

c) En caso de conflicto entre este DPA y las Cláusulas Contractuales Estándar, prevalecerán las Cláusulas Contractuales Estándar.

7. Confidencialidad del Tratamiento. Tanium garantizará que cualquier persona que autorice a Tratar los Datos Personales del Cliente protegerá los Datos Personales del Cliente de conformidad con las obligaciones de confidencialidad de Tanium en virtud del Acuerdo.

8. Seguridad.

8.1. Responsabilidades de Tanium. Tanium implementará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, tal como se describe en las medidas de seguridad que se encuentran en https://help.tanium.com/bundle/ug_cloud_cloud/page/cloud/trust_compliance.html, para proteger los Datos Personales del Cliente de un Incidente de Seguridad. Tanium puede revisar y actualizar las medidas de seguridad de vez en cuando, siempre que dichas actualizaciones no disminuyan materialmente la privacidad o seguridad general de los Datos Personales del Cliente.

8.2. Responsabilidades del Cliente. Sin perjuicio de lo anterior, el Cliente acepta que, excepto según lo dispuesto en este DPA, el Cliente es responsable del uso seguro de los Servicios de Tanium, incluida la protección de sus credenciales de autenticación de cuenta, la protección de la seguridad de los Datos Personales del Cliente durante el tránsito hacia y desde los Servicios de Tanium, y la adopción de las medidas adecuadas para cifrar o hacer copias de seguridad de forma segura de cualquier Dato Personal del Cliente proporcionado en relación con los Servicios de Tanium.

9. Subencargados. El Cliente otorga una autorización general a Tanium para contratar Subencargados terceros que Traten los Datos Personales del Cliente, siempre que: (i) Tanium mantenga una lista actualizada de sus Subencargados en https://www.tanium.com/subprocessors ("Lista de Subencargados"); (ii) Tanium imponga términos de protección de datos a cualquier Subencargado que designe, que le exijan proteger los Datos Personales del Cliente según el estándar requerido por las Leyes de Protección de Datos aplicables; y (iii) Tanium siga siendo responsable de cualquier incumplimiento de este Acuerdo causado por un acto, error u omisión de sus Subencargados. La Lista de Subencargados contiene un mecanismo para suscribirse a las notificaciones de nuevos Subencargados, y si el Cliente se suscribe, Tanium proporcionará aviso previo al Cliente de cualquier nuevo Subencargado propuesto mediante la actualización de dicha lista antes de que el nuevo Subencargado comience a Tratar cualquier Dato Personal del Cliente. El Cliente puede objetar el nombramiento o la sustitución de un Subencargado por parte de Tanium dentro de los diez (10) días siguientes a la notificación, según se muestra en la fecha de "Última actualización" de la Lista de Subencargados, siempre que dicha objeción se base en motivos razonables relacionados con la protección de los Datos Personales del Cliente y se comunique a Tanium por escrito de la manera prevista en el Acuerdo. En tales circunstancias, Tanium no designará a ese Subencargado ni le permitirá Tratar los Datos Personales del Cliente. Si tales medidas no son posibles, el Cliente podrá suspender o rescindir el Acuerdo mediante notificación previa por escrito con treinta (30) días de antelación. Dicha rescisión se considerará como una rescisión sin incumplimiento y sin perjuicio de la obligación del Cliente de pagar cualquier tarifa adeudada en virtud del Acuerdo hasta la fecha en que dicha rescisión entre en vigor. Ninguna de las partes tendrá responsabilidad adicional frente a la otra tras dicha rescisión.

10. Cooperación y Derechos de los Interesados. Los Servicios de Tanium proporcionan al Cliente controles que el Cliente puede utilizar para recuperar, corregir, eliminar o restringir los Datos Personales del Cliente. El Cliente puede utilizar estos controles para ayudarle a cumplir con sus obligaciones en virtud de las Leyes de Protección de Datos aplicables, incluidas sus obligaciones relacionadas con la respuesta a solicitudes de los interesados o de las autoridades de protección de datos aplicables. En la medida en que el Cliente no pueda acceder de forma independiente a los Datos Personales del Cliente relevantes dentro de los Servicios de Tanium, Tanium proporcionará asistencia comercialmente razonable y oportuna al Cliente para permitirle responder a: (i) cualquier solicitud de un interesado para ejercer cualquiera de sus derechos en virtud de las Leyes de Protección de Datos aplicables (incluidos sus derechos de acceso, corrección, objeción, supresión y portabilidad de datos, según corresponda); y (ii) cualquier otra correspondencia, consulta o reclamación recibida de un interesado, regulador u otro tercero en relación con el Tratamiento de los Datos Personales del Cliente. Si dicha solicitud, correspondencia, consulta o reclamación se realiza directamente a Tanium, Tanium informará de inmediato al Cliente proporcionando todos los detalles de la misma.

11. Evaluación de Impacto en la Protección de Datos. En la medida en que Tanium esté obligado en virtud de las Leyes Europeas de Protección de Datos, Tanium proporcionará información solicitada comercialmente razonable sobre los Servicios de Tanium (siendo dicha información Información Confidencial de Tanium) para permitir al Cliente llevar a cabo evaluaciones de impacto en la protección de datos o consultas previas con las autoridades de protección de datos según lo exigido por las Leyes Europeas de Protección de Datos.

12. Incidentes de Seguridad. Si Tanium tiene conocimiento de un Incidente de Seguridad, Tanium notificará al Cliente por correo electrónico sin demora indebida y proporcionará información razonable y cooperación al Cliente para que este pueda cumplir con cualquier obligación de notificación de violación de datos que pueda tener en virtud de, y de conformidad con los plazos requeridos por, las Leyes de Protección de Datos aplicables. Tanium tomará además las medidas y acciones razonablemente necesarias para remediar o mitigar los efectos del Incidente de Seguridad y mantendrá al Cliente informado cuando sea posible de todos los desarrollos materiales relacionados con el Incidente de Seguridad.

13. Eliminación o Devolución de Datos. Tras la rescisión o vencimiento del Acuerdo, Tanium, a elección del Cliente, eliminará o devolverá al Cliente todos los Datos Personales del Cliente en su posesión o control que Tanium Procese como Procesador de Datos. Si el Cliente no notifica a Tanium su elección dentro de los treinta (30) días siguientes a la rescisión o vencimiento del Acuerdo, entonces Tanium eliminará automáticamente todos los Datos Personales del Cliente en cuestión. Si Tanium tiene Datos Personales del Cliente archivados en sistemas de respaldo, entonces Tanium aislará de forma segura y protegerá los Datos Personales del Cliente de cualquier Procesamiento adicional hasta que los sistemas de respaldo eliminen dichos datos. Tanium no eliminará los Datos Personales del Cliente en la medida en que la ley exija conservar los Datos Personales del Cliente.

14. Auditoría. El Cliente reconoce que Tanium es auditado regularmente conforme a las normas aplicables por auditores independientes de terceros. A solicitud, no más de una vez en cualquier período de 12 meses, excepto cuando lo exija una autoridad supervisora competente, y sin costo adicional para el Cliente, Tanium proporcionará al Cliente una copia resumida de su(s) informe(s) de auditoría, que estará sujeta a las disposiciones de confidencialidad del Acuerdo. A solicitud y sujeto a las disposiciones de confidencialidad del Acuerdo, el Cliente puede solicitar respuestas a un cuestionario de seguridad de la información y auditoría para confirmar el cumplimiento de Tanium con las disposiciones de este DPA, siempre que el Cliente no ejerza este derecho más de una vez al año, excepto cuando lo exija una autoridad supervisora competente. Tanium y el Cliente acordarán mutuamente de antemano el alcance de la solicitud del Cliente y las fechas de inicio y finalización.

15. Disposiciones varias.

15.1. Entre las partes, la responsabilidad de cada parte que surja de o esté relacionada con este DPA está sujeta a las disposiciones de limitación de responsabilidad del Acuerdo. En ningún caso ninguna de las partes limitará su responsabilidad con respecto a cualquier interesado o autoridad de protección de datos en virtud de las Cláusulas Contractuales Estándar.

15.2. En caso de cualquier conflicto o inconsistencia entre este DPA y el Acuerdo con respecto al objeto de este DPA, prevalecerá este DPA.

15.3. Este DPA se regirá e interpretará de conformidad con la disposición de elección de ley que rige el Acuerdo, excepto cuando las Leyes de Protección de Datos aplicables exijan lo contrario.

15.4. Cuando las Cláusulas Contractuales Estándar sean aplicables, Tanium Inc. es el "importador de datos" en virtud de las Cláusulas Contractuales Estándar. Cuando la entidad de Tanium que es parte de este DPA no sea Tanium Inc., dicha entidad de Tanium está cumpliendo las obligaciones del "importador de datos" en nombre de Tanium Inc.

15.5. Sin perjuicio de cualquier limitación sobre modificación o enmienda en el Acuerdo, las partes acuerdan que Tanium puede actualizar periódicamente este DPA con el fin de mantener el cumplimiento de los cambios en las Leyes de Protección de Datos. En caso de tal cambio, Tanium publicará una versión actualizada en www.tanium.com/dpa. Ninguna de dichas actualizaciones disminuirá materialmente la privacidad o seguridad de los Datos Personales del Cliente.

Anexo 1

ANEXO I

A. LISTA DE PARTES

Exportador(es) de datos:

Importador(es) de datos:

В. DESCRIPCIÓN DE LA TRANSFERENCIA

C. AUTORIDAD DE SUPERVISIÓN COMPETENTE

ANEXO II - MEDIDAS TÉCNICAS Y ORGANIZATIVAS INCLUYENDO MEDIDAS TÉCNICAS Y ORGANIZATIVAS PARA GARANTIZAR LA SEGURIDAD DE LOS DATOS