Anexo de Cláusulas Contractuales Tipo de Cal.com
Anexo al Acuerdo de Tratamiento de Datos de Cal.com v2.3 — Versión 1.0 — Fecha de entrada en vigor: 1 de noviembre de 2026
Parte 1. Cómo se aplican las Cláusulas
1.1 Este Anexo completa las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021 (las «SCCs»), el Anexo de Transferencia Internacional de Datos del Reino Unido a las Cláusulas Contractuales Tipo de la Comisión Europea, versión B1.0, en vigor desde el 21 de marzo de 2022 (el «Anexo del Reino Unido»), y las modificaciones exigidas por el Comisionado Federal de Protección de Datos y Transparencia de Suiza para transferencias sujetas a la Ley Federal Suiza de Protección de Datos (las «Modificaciones Suizas»), todos ellos incorporados por el §12.4 del Acuerdo de Tratamiento de Datos de Cal.com (el «DPA»).
1.2 El texto de las SCCs se incorpora por referencia exactamente tal como se publicó en el Diario Oficial de la Unión Europea (DO L 199, 7.6.2021, p. 31), disponible en https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Parte 2: Cláusulas Obligatorias del Anexo Aprobado, que es la plantilla de Anexo B.1.0 emitida por el ICO y presentada ante el Parlamento de conformidad con el s119A de la Data Protection Act 2018 el 2 de febrero de 2022, según se revise conforme a la Sección 18 de dichas Cláusulas Obligatorias. Ninguno de los textos se modifica salvo mediante las opciones, elecciones y Anexos que las propias SCCs y el Anexo del Reino Unido permiten, según se establece en este Anexo.
1.3 Las SCCs se aplican a las transferencias descritas en el Anexo I.B que entren dentro de su ámbito permitido y requieran dichas garantías porque ningún otro mecanismo de transferencia válido conforme al DPA §12.2 cubre la transferencia. Podrá invocarse una decisión de adecuación válida y aplicable, incluida una que cubra la participación de Cal.com en el Data Privacy Framework pertinente, para las transferencias dentro de su ámbito. Las obligaciones existentes de las SCCs no se extinguen automáticamente; la terminación o revocación debe cumplir las SCCs y el Anexo del Reino Unido aplicables. Los derechos devengados no se ven afectados.
1.4 Las Partes suscriben las SCCs mediante la ejecución válida del Anexo I.A completado, incluso mediante una firma electrónica legalmente válida incorporada al Acuerdo o al DPA. El registro de ejecución debe identificar a las Partes, la versión aplicable del Anexo y la fecha de entrada en vigor. Previa solicitud, Cal.com proporcionará una copia de la versión vinculante entre las Partes.
1.5 Los términos definidos en el DPA tienen aquí el mismo significado. «Cliente» es el exportador de datos y «Cal.com» es el importador de datos. En caso de conflicto entre este Anexo y las SCCs, prevalecen las SCCs (DPA §12.4(j)); en caso de conflicto entre este Anexo y el DPA sobre un punto que las SCCs dejen a las Partes, prevalece este Anexo.
Parte 2. Módulos, opciones y elecciones
| Cláusula | Elección | Base en el DPA |
|---|---|---|
| Módulo | Módulo Dos (responsable a encargado) cuando el Cliente sea Responsable de los Datos Personales del Cliente. Módulo Tres (encargado a encargado) cuando el Cliente sea a su vez Encargado que actúa para un Responsable tercero. Solo se aplican las cláusulas del Módulo correspondiente. | §12.4(a) |
| Cláusula 7 — Cláusula de incorporación | Se aplica. Una entidad puede adherirse como exportador de datos o importador de datos con el acuerdo de las Partes completando el Apéndice y firmando el Anexo I.A. | §12.4(b) |
| Cláusula 8.1 (Módulo Tres) — Instrucciones | El Cliente garantiza que dispone de la autoridad y las instrucciones de cada Responsable necesarias para nombrar a Cal.com en virtud del Módulo Tres y para transmitir dichas instrucciones. Las instrucciones se gestionan de conformidad con la Cláusula 8.1 del Módulo Tres, incluidas las instrucciones del Responsable comunicadas a través del Cliente y cualquier otra instrucción documentada permitida por dicha Cláusula. | §12.4(a), §3 |
| Cláusula 8.5 — Duración del tratamiento y supresión | El tratamiento continúa durante el plazo indicado en el Anexo I.B. Al finalizar los servicios de tratamiento, el Cliente puede elegir la devolución de los datos personales seguida de la eliminación de las copias existentes, o la eliminación con certificación al Cliente, según exige la Cláusula 8.5. El DPA §10 se aplica solo en la medida en que sea compatible con dicha Cláusula. La protección continúa hasta que se complete la devolución o eliminación; la conservación exigida legalmente se rige por la Cláusula 8.5. | §10 |
| Cláusula 8.6 — Seguridad | Las medidas técnicas y organizativas son las del Anexo II. La notificación de brechas de seguridad de los Datos Personales sigue el DPA §8. | §5, §8 |
| Cláusula 8.9 — Documentación y cumplimiento (auditorías) | Los derechos de auditoría se ejercen según se describe en el DPA §11 (primero información e informes de cumplimiento, y auditoría in situ o remota cuando estos sean insuficientes o una autoridad de control lo exija). Esto describe cómo se ejerce el derecho de auditoría conforme a la Cláusula 8.9 y no lo restringe. | §11 |
| Cláusula 9(a) — Uso de subencargados | Opción 2: autorización general por escrito. Plazo de notificación: notificación previa por escrito antes de que un Subencargado nuevo o sustituto empiece a tratar datos, realizada con la mayor antelación razonablemente posible para que el exportador de datos tenga tiempo suficiente para oponerse (DPA §6.3). Las Partes acuerdan que este es el plazo a efectos de la Cláusula 9(a). La lista de Subencargados es la Lista de Subencargados vigente en trust.cal.com, mencionada en el Anexo III. El derecho de oposición del Cliente es el del DPA §6.4. | §12.4©, §6.3–6.4 |
| Cláusula 11(a) — Reparación | La redacción opcional relativa al organismo independiente de resolución de disputas no se aplica. Los interesados pueden presentar reclamaciones ante Cal.com en [email protected], ante la autoridad de control competente y ante los tribunales conforme a la Cláusula 18. | §12.4(d) |
| Cláusula 13 — Supervisión | La autoridad de control competente se determina conforme a la Cláusula 13(a), tal como se indica en el Anexo I.C. | §12.4(e) |
| Cláusula 15 — Acceso por autoridades públicas | Las Cláusulas 15.1 y 15.2 rigen el acceso de autoridades públicas a los datos personales transferidos en virtud de las SCCs. El DPA §13.1 confirma el cumplimiento por parte de Cal.com de dichas Cláusulas y no las limita. | §13.1 |
| Cláusula 17 — Ley aplicable | Opción 1. Las SCCs se rigen por la legislación de Irlanda. | §12.4(f) |
| Cláusula 18(b) — Foro | Los tribunales de Irlanda. La Cláusula 18© (derecho del interesado a demandar en el Estado miembro de residencia habitual) no se ve afectada. | §12.4(f) |
| Responsabilidad (Cláusula 12) | Nada en el DPA ni en el Acuerdo limita la responsabilidad de cualquiera de las Partes frente a los interesados en virtud de las CCT (DPA §15). Las limitaciones de responsabilidad del Acuerdo no excluyen ni limitan la responsabilidad regida por la Cláusula 12 de las CCT. La responsabilidad por otras reclamaciones sigue rigiéndose por el Acuerdo, sujeta a la legislación imperativa aplicable. | §15 |
Parte 3. Anexo I
A. Lista de las Partes
Exportador de datos
| Elemento | Detalles |
|---|---|
| Nombre | El Cliente identificado en el Acuerdo (la entidad o persona titular de la cuenta de Cal.com) |
| Dirección | Según conste en la cuenta de Cal.com del Cliente o en el Formulario de pedido |
| Contacto | El nombre, cargo y datos de contacto de la persona de contacto registrados en el Acuerdo, el Formulario de pedido o la cuenta del Cliente e incorporados a este Anexo. |
| Actividades relevantes para la transferencia | Uso de los Servicios de Cal.com para ofrecer, programar, gestionar y celebrar reuniones y comunicaciones relacionadas con los usuarios del Cliente, los asistentes a reuniones y otros Interesados descritos en el Anexo I.B |
| Rol | Módulo Dos: responsable del tratamiento. Módulo Tres: encargado del tratamiento (actuando por cuenta de los Responsables que dan instrucciones al Cliente) |
| Firma y fecha | Según conste en el registro de ejecución que incorpora el Anexo I.A completado en virtud de la Parte 1.4 |
Importador de datos
| Elemento | Detalles |
|---|---|
| Nombre | Cal.com, Inc. |
| Dirección | 2261 Market Street #4382, San Francisco, CA 94114, United States |
| Contacto | Felix Kolodziej, responsable de seguridad de la información (ISO), [email protected] (A/A: Privacidad) |
| Actividades relevantes para la transferencia | Prestación, operación, soporte, mantenimiento, seguridad y mejora de los Servicios de Cal.com según se describen en el Anexo I.B |
| Rol | Encargado del tratamiento (Módulo Dos); subencargado del tratamiento respecto del Cliente como encargado del tratamiento (Módulo Tres) |
| Firma y fecha | Según conste en el registro de ejecución que incorpora el Anexo I.A completado en virtud de la Parte 1.4 |
B. Descripción de la transferencia
| Elemento | Detalles |
|---|---|
| Categorías de interesados | Usuarios, administradores, empleados y contratistas del Cliente; clientes potenciales, clientes y otros contactos del Cliente; asistentes a reuniones, personas que hacen reservas e invitados; y otras personas físicas cuyos datos personales el Cliente o sus Usuarios autorizados envíen a los Servicios (Anexo 1 del DPA) |
| Categorías de datos personales | Datos de cuenta y perfil; datos de disponibilidad; nombres, direcciones de correo electrónico, números de teléfono; datos de reserva, incluidos títulos de reuniones, descripciones, horas, ubicaciones, notas, listas de invitados, respuestas a preguntas de reserva y motivos de reprogramación o cancelación; datos de soporte; datos técnicos como dirección IP, datos de dispositivo y navegador, y registros de uso; y otros datos personales que el Cliente decida enviar a través de los Servicios |
| Datos sensibles | No se requieren categorías especiales de datos personales para usar los Servicios. El Cliente solo puede enviarlas a través de los campos que configure (por ejemplo, preguntas de reserva); cuando lo haga, se aplicarán las medidas del Anexo II. El Cliente es responsable de establecer la base jurídica necesaria y cualquier condición aplicable para el tratamiento de categorías especiales de datos personales. La Información Sanitaria Protegida que requiera un Acuerdo de Asociado Comercial solo puede enviarse en virtud de un BAA firmado que cubra los Servicios pertinentes. El permiso en otra parte del Acuerdo no sustituye a un BAA requerido |
| Frecuencia de la transferencia | Continua, durante la vigencia del Acuerdo |
| Naturaleza del tratamiento | Recogida, almacenamiento, organización, recuperación, consulta, uso, transmisión siguiendo las instrucciones del Cliente, soporte, supervisión de seguridad, copia de seguridad, restauración, supresión y otros tratamientos necesarios para prestar los Servicios |
| Finalidad de la transferencia y del tratamiento posterior | Proporcionar al Cliente funcionalidades de programación, reservas, cuenta, comunicación, vídeo, integración, soporte y otras funcionalidades de producto relacionadas, de conformidad con el Acuerdo y las instrucciones documentadas del Cliente |
| Periodo de conservación | Durante la prestación de los servicios de tratamiento y, posteriormente, solo en la medida necesaria para completar la devolución o supresión exigida por la Cláusula 8.5, o para la conservación exigida por la ley según lo permitido por dicha Cláusula. Información de conservación: al menos 30 días para la exportación tras la terminación (DPA §10.2); supresión normalmente dentro de los 90 días posteriores a ese periodo (DPA §10.3); copias de seguridad eliminadas conforme al calendario ordinario de conservación de copias de seguridad de Cal.com y protegidas hasta entonces (DPA §10.4) |
| Transferencias a (sub)encargados del tratamiento | Objeto, naturaleza y duración: los Subencargados de la Lista de Subencargados en trust.cal.com (Anexo III) tratan Datos Personales del Cliente para los fines indicados allí (alojamiento y almacenamiento, entrega de contenidos, entrega de correo electrónico y SMS, vídeo, pagos, herramientas de soporte, analítica de producto, funciones de AI y operaciones internas), durante el plazo de Cal.com —su contratación de cada Subencargado durante la vigencia del Acuerdo |
C. Autoridad de control competente
| Situación | Autoridad de control competente |
|---|---|
| El Cliente está establecido en un Estado miembro del EEE | La autoridad de control de ese Estado miembro (Cláusula 13(a), primer párrafo) |
| El Cliente no está establecido en el EEE, pero cuenta con un representante con arreglo al artículo 27(1) GDPR | La autoridad de control del Estado miembro en el que está establecido el representante |
| El Cliente no está establecido en el EEE, está sujeto al artículo 3(2) GDPR y está exento de nombrar a un representante con arreglo al artículo 27(2) GDPR | La autoridad de control del Estado miembro en el que se encuentren los interesados cuyos datos se transfieren, según se determine con arreglo a la Cláusula 13(a), tercer párrafo |
| Transferencias sujetas al UK GDPR | El Information Commissioner del Reino Unido (véase la Parte 6) |
| Transferencias sujetas a la Swiss FADP | El Swiss Federal Data Protection and Information Commissioner (véase la Parte 7) |
La autoridad de control competente específica determinada con arreglo a la Cláusula 13(a) se identifica en la información específica del Cliente incorporada a este Anexo.
Parte 4. Anexo II — Medidas técnicas y organizativas
Este Anexo describe las medidas que Cal.com aplica conforme al DPA §5 y la Cláusula 8.6. Está estructurado según los encabezados del Anexo II de las SCC. Cal.com puede actualizar estas medidas conforme al DPA §5.3, siempre que la seguridad general de los Servicios no se vea reducida de forma material. Cal.com —su inventario de controles y sus informes de auditoría independientes están disponibles en trust.cal.com; las medidas siguientes, y no el inventario de controles, constituyen la descripción contractual a efectos de la Cláusula 8.6.
| Área | Medidas |
|---|---|
| Seudonimización y cifrado | Cifrado en tránsito mediante TLS para las conexiones a los Servicios. Cifrado en reposo para la base de datos de producción (Amazon RDS, claves gestionadas en AWS KMS), sus copias de seguridad y el almacenamiento de objetos, mediante el cifrado gestionado del proveedor de alojamiento (AES-256). Los controles de cifrado propios de los Subencargados se evalúan en la evaluación de riesgos de proveedores indicada a continuación |
| Confidencialidad, integridad, disponibilidad y resiliencia | Control de acceso basado en roles y privilegio mínimo para los sistemas de producción; inicio de sesión único y autenticación multifactor para el acceso del personal a sistemas de producción y administración; separación de los entornos de producción, staging y desarrollo; protección DDoS y firewall de aplicaciones web en el perímetro de red |
| Capacidad para restaurar la disponibilidad y el acceso tras un incidente | Copias de seguridad diarias automatizadas de las bases de datos de producción con recuperación a un punto en el tiempo, cifradas y con acceso restringido; procedimientos de restauración documentados y probados periódicamente; plan de respuesta ante incidentes con roles definidos, niveles de gravedad y pasos de comunicación, incluida la notificación al Cliente conforme al DPA §8 |
| Pruebas, valoración y evaluación periódicas | Pruebas de penetración independientes por terceros del entorno de producción, realizadas periódicamente; escaneo automatizado de vulnerabilidades; supervisión del cumplimiento frente a los conjuntos de controles ISO 27001 y SOC 2 a través de Cal.com —su plataforma de cumplimiento; informes de auditoría independientes disponibles para los Clientes bajo NDA a través de trust.cal.com; revisión de los cambios de código antes del despliegue |
| Identificación y autorización de usuarios | Cuentas únicas para todo el personal; MFA obligatorio para el acceso a producción, consolas en la nube y repositorios de código; acceso concedido según la necesidad de saber y revisado al menos trimestralmente; acceso revocado al cambiar de rol o al dejar la empresa como parte del proceso de baja |
| Protección de datos durante la transmisión | Cifrado en tránsito para los datos enviados hacia y desde los Servicios; claves API para integraciones del Cliente; cargas útiles de webhooks firmadas cuando el Cliente configura un secreto de webhook; las integraciones de calendario, vídeo y otros terceros usan OAuth o credenciales emitidas por el proveedor |
| Protección de datos durante el almacenamiento | Cifrado en reposo según lo anterior; acceso a la base de datos restringido a los servicios de la aplicación y a ingenieros designados a través de canales auditados; sin datos de producción en entornos de desarrollo o prueba salvo datos seudonimizados o sintéticos |
| Seguridad física de las ubicaciones de tratamiento | Cal.com no opera sus propios centros de datos. La seguridad física la proporcionan los Subencargados de alojamiento (AWS y Vercel), cuyos servicios relevantes están cubiertos por informes SOC 2 Type II y certificaciones ISO 27001 dentro de sus respectivos alcances de aseguramiento |
| Registro de eventos | Registro centralizado de eventos de aplicación, infraestructura y administración; registros de servidores de infraestructura conservados durante 365 días para investigaciones de seguridad; registro de auditoría de reservas a nivel de aplicación para organizaciones en las que esté habilitada la auditoría de reservas |
| Configuración del sistema, incluida la configuración predeterminada | Gestión de cambios conforme a los controles ISO 27001 y SOC 2 de Cal.comsus controles ISO 27001 y SOC 2: los cambios en producción se revisan y superan comprobaciones automatizadas antes del despliegue |
| Gobierno y gestión de TI interna y seguridad de TI | Políticas de seguridad de la información aprobadas por la dirección y revisadas anualmente; un responsable designado de seguridad y cumplimiento; formación en concienciación sobre seguridad para todo el personal al incorporarse y anualmente; compromisos de confidencialidad para todo el personal con acceso a Datos Personales del Cliente (DPA §4); evaluación de riesgos de proveedores antes de contratar a un Subencargado |
| Certificación y aseguramiento de procesos y productos | Certificación ISO/IEC 27001:2022 (certificado n.º 122217, Prescient Security LLC, válida hasta el 30 de octubre de 2028, sujeta a auditorías anuales de seguimiento; alcance: el sistema de gestión de seguridad de la información que respalda la plataforma de programación Cal.com, incluida la infraestructura alojada en AWS); informe SOC 2 Type II sobre los criterios de Seguridad (periodo más reciente del 21 de noviembre de 2024 al 30 de abril de 2026, Prescient Assurance LLC); ambos disponibles para los Clientes bajo NDA a través de trust.cal.com; mapeo de controles HIPAA mantenido para Clientes BAA |
| Minimización de datos | El Cliente puede configurar preguntas y campos de reserva mediante la funcionalidad disponible de los Servicios. Los datos recogidos dependen de los campos seleccionados, las funciones habilitadas y las integraciones. |
| Calidad de los datos | Los usuarios pueden ver y corregir datos mediante la funcionalidad disponible para su rol. Cal.com ayuda al Cliente con otras solicitudes de rectificación aplicables conforme al DPA §7. |
| Conservación limitada de datos | Supresión y devolución conforme al DPA §10; supresión iniciada por el Cliente de reservas y datos de participantes a través de los Servicios; grabaciones y transcripciones de Cal Video almacenadas en almacenamiento de objetos controlado por Cal.com y eliminadas cuando el Cliente las elimina a ellas o a la reserva, o previa solicitud; grabaciones de salas independientes de cal.video eliminadas automáticamente según el calendario de conservación de Cal.com; las copias de seguridad se purgan conforme al calendario ordinario de conservación de copias de seguridad |
| Responsabilidad proactiva | Registros de actividades de tratamiento y contrataciones de Subencargados; registro documentado de incidentes y brechas; certificación de supresión e información de cumplimiento proporcionadas según lo exigido por las Cláusulas 8.5 y 8.9 |
| Portabilidad y supresión de datos | Exportación mediante la funcionalidad disponible de los Servicios o API; cualquier otra devolución requerida de datos personales se gestiona conforme a la Cláusula 8.5 y el DPA §10 en la medida en que sea compatible con dicha Cláusula; supresión de cuenta y datos a solicitud del Cliente; certificación de supresión al Cliente según lo exigido por la Cláusula 8.5 |
| Medidas de asistencia al responsable del tratamiento | Herramientas y procesos para ayudar al Cliente a responder a solicitudes de los Interesados (DPA §7), realizar DPIA (DPA §9) y obtener información de cumplimiento e informes de auditoría (DPA §11) |
| Medidas impuestas a los Subencargados | Cada Subencargado está sujeto a un acuerdo por escrito que impone obligaciones de protección de datos no menos protectoras que el DPA y las SCCs, incluidas garantías para transferencias ulteriores (DPA §6.5); los Subencargados se evalúan antes de su contratación y se supervisan; el Cliente recibe aviso previo por escrito de Subencargados nuevos o de reemplazo y puede oponerse (DPA §6.3–6.4) |
Parte 5. Anexo III — Lista de Subencargados
La lista vigente y autorizada de Subencargados, incluidos los nombres de las entidades, ubicaciones y finalidades, se publica en trust.cal.com y se actualiza de conformidad con el DPA §6.3. Cal.com proporciona el aviso por escrito requerido por la Cláusula 9(a), mediante un método electrónico documentado conforme al DPA §6.3, antes de añadir o sustituir a un Subencargado para el tratamiento correspondiente. A efectos de la Cláusula 9(a), conforme al Módulo Dos, el Cliente concede a Cal.com una autorización general por escrito para contratar Subencargados de la lista acordada en trust.cal.com en la fecha en que las SCCs entren en vigor entre las Partes. Conforme al Módulo Tres, la contratación de esos Subencargados requiere la autorización general por escrito del Responsable correspondiente. Las adiciones o sustituciones quedan sujetas a la Cláusula 9(a) y al DPA §6.3–6.4 en la medida en que sea compatible con dicha Cláusula.
Dado que se aplica la Opción 2 de la Cláusula 9(a), este Anexo no reproduce la lista.
La Lista de Subencargados identifica las ubicaciones de tratamiento pertinentes para los Datos Personales del Cliente. El país de constitución de un Subencargado no indica dónde trata los datos. Los cambios siguen sujetos a los requisitos aplicables de aviso y autorización. Los proveedores utilizados solo para fines propios de Cal.com no son Subencargados y no se enumeran: análisis y publicidad del sitio web de marketing (Google Analytics/GTM, X Ads), el CRM propio de Cal.comsu propio CRM (HubSpot), y las aplicaciones que el Cliente conecta a su propia cuenta de terceros (Zapier, Dub, Close.com, aplicaciones de GA4/GTM), respecto de las cuales el Cliente es el responsable que da instrucciones directamente a ese proveedor.
Parte 6. Adenda del Reino Unido — tablas completadas
Tabla 1: Partes. Fecha de inicio: la fecha en que las SCCs entren en vigor entre las Partes conforme a la Parte 1.4. Exportador e Importador: según se identifican en el Anexo I.A, complementado con el nombre comercial de cada Parte si es diferente, la dirección registrada o dirección principal aplicable, y el número de registro oficial si lo hubiera. Contactos clave: el cargo y los datos de contacto registrados para cada Parte. Firma: de conformidad con la sección 2 de la Adenda del Reino Unido y el registro de firma aplicable.
Tabla 2: SCCs seleccionadas, Módulos y Cláusulas seleccionadas. Las SCCs de la UE aprobadas, incluida la Información del Apéndice, tal como se completan mediante este Anexo: Módulo Dos o Módulo Tres según corresponda conforme a la Parte 2; se aplica la Cláusula 7; no se aplica el texto opcional de la Cláusula 11; Cláusula 9(a) Opción 2 con el plazo de aviso indicado en la Parte 2 (DPA §6.3); Cláusulas 17 y 18 según la Parte 2, sujeto a la sección 15 de la Adenda del Reino Unido (que sustituye las leyes y tribunales de Inglaterra y Gales para los asuntos regidos por la Adenda del Reino Unido). Cláusula de adhesión: se aplica. ¿Se combinan datos personales recibidos del importador con datos personales recopilados por el exportador? No.
Tabla 3: Información del Apéndice. Anexo 1A: como en la Parte 3.A. Anexo 1B: como en la Parte 3.B. Anexo II: como en la Parte 4. Anexo III: como en la Parte 5.
Tabla 4: Terminación de esta Adenda cuando cambie la Adenda Aprobada. El Importador podrá terminar la Adenda del Reino Unido según lo establecido en su sección 19.
Para las transferencias del Reino Unido, las referencias en las SCCs al GDPR, a la legislación de los Estados miembros y a la autoridad de control se interpretan según lo establecido en la Adenda del Reino Unido; la autoridad de control competente es el Comisionado de Información del Reino Unido.
Parte 7. Modificaciones suizas
Para las transferencias sujetas a la Ley Federal Suiza de Protección de Datos (“FADP”):
(a) las referencias al GDPR se interpretan como referencias a la FADP, y las referencias a la legislación de protección de datos de la UE o de los Estados miembros como referencias a la legislación suiza de protección de datos correspondiente, sin modificar la ley aplicable contractual ni la elección de foro del apartado (d), en la medida en que la transferencia esté sujeta exclusivamente a la FADP; cuando una transferencia esté sujeta tanto al GDPR como a la FADP, las SCCs se aplican en paralelo conforme a ambas;
(b) el Comisionado Federal Suizo de Protección de Datos e Información es competente para las transferencias regidas por la FADP; cuando también se aplique el GDPR, la autoridad competente identificada conforme a la Cláusula 13 para asuntos del GDPR seguirá siendo competente;
© el término “Estado miembro” no se interpreta de forma que excluya a los interesados en Suiza de demandar por sus derechos en su lugar de residencia habitual en Suiza conforme a la Cláusula 18©;
(d) la ley aplicable y el foro conforme a las Cláusulas 17 y 18 siguen siendo los indicados en la Parte 2, salvo que la legislación suiza imperativa exija lo contrario.
Parte 8. Particularidades del Módulo Tres
Cuando el Cliente actúe como Encargado para un Responsable tercero:
(a) el Cliente confirma que el Responsable ha autorizado la contratación de Cal.com como subencargado y la transferencia conforme a las SCCs, y que el Cliente trasladará las instrucciones del Responsable, incluidas las instrucciones sobre solicitudes de interesados, eliminación y auditorías, a través de los canales del DPA;
(b) Las notificaciones deben llegar a los destinatarios exigidos por cada disposición aplicable de las SCCs. El Cliente reenviará las notificaciones cuando las SCCs le asignen esa responsabilidad. Cal.com notificará directamente al Responsable cuando las SCCs lo exijan, incluso conforme a la Cláusula 8.6© cuando sea apropiado y viable. Cualquier acuerdo de notificación autorizado a través del Cliente deberá preservar los derechos del Responsable y los plazos exigidos por las SCCs.
© El Cliente indemnizará a Cal.com frente a reclamaciones del Responsable derivadas de la falta de autoridad del Cliente o de instrucciones que Cal.com reciba a través del Cliente (DPA §12.4(a)). Esta indemnización no limita las obligaciones ni la responsabilidad de Cal.com en virtud de las SCCs.