Apéndice de procesamiento de datos

Última versión: V 4.1 (actual)

Título completo: Apéndice de procesamiento de datos de VORTEX

ID del documento: ISMS-DPA-001

Versión: 4.1

Fecha de entrada en vigor: 28 de julio de 2026

Clasificación: Público

Alineación con la normativa aplicable: RGPD, RGPD del Reino Unido (DUAA 2025), Ley Federal de Protección de Datos de Suiza (FADP, 2023), Ley de Protección de Información Personal y Documentos Electrónicos de Canadá (PIPEDA)/Ley 25 de Quebec, Ley de Protección de Datos Personales de Taiwán (PDPA, 2025), Ley de Protección de la Información Personal de Japón (APPI), Ley de Privacidad de Australia de 1988 (2024); Reglamento de Inteligencia Artificial de la UE (Reglamento 2024/1689), Ley de Privacidad de Nueva Zelanda de 2020 y Código de Privacidad para el Procesamiento Biométrico de 2025, ISO/IEC 27701:2025, ISO/IEC 27018:2025, ISO/IEC 27017:2015, ISO/IEC 27001:2022

1. Partes, funciones y alcance

Este Apéndice de procesamiento de datos ("DPA") se incorpora por referencia al Acuerdo de usuario final de VORTEX v2.1 (End User Agreement, "EUA") de conformidad con su Sección 5. Para todos los asuntos relacionados con el procesamiento y la protección de datos personales, este DPA prevalece sobre el EUA (según la Sección 9.8 del EUA, Orden de prelación).

Responsable del tratamiento de datos: el cliente de VORTEX ("Usuario", según se define en el EUA), quien determina los fines y medios del procesamiento.

Encargado del tratamiento de datos: VIVOTEK Inc., 6F, No. 192, Lian-Cheng Rd., Zhonghe Dist., New Taipei City 235, Taiwán (República de China), el proveedor del servicio VSaaS de VORTEX.

VIVOTEK procesa los datos personales exclusivamente bajo las instrucciones documentadas del Responsable del tratamiento. En la medida en que VIVOTEK procese datos personales para sus propios fines legítimos (facturación, administración de cuentas, análisis anonimizados), VIVOTEK actúa como Responsable del tratamiento independiente. Estos fines se indican en la Política de privacidad de VIVOTEK (VIV-ISP-PL01).

1.1 Normativas aplicables

Este DPA garantiza el cumplimiento de las siguientes normativas: el RGPD de la UE (incluido el paquete Ómnibus Digital donde se haya adoptado), el RGPD del Reino Unido (DUAA 2025), la Ley Federal de Protección de Datos de Suiza (FADP, revisada en 2023), la Ley de Protección de Información Personal y Documentos Electrónicos de Canadá (PIPEDA) y la Ley 25 de Quebec, la Ley de Protección de Datos Personales de Taiwán (PDPA, y sus enmiendas de 2025; Comisión de Protección de Datos Personales), la Ley de Protección de la Información Personal de Japón (APPI), la Ley de Privacidad de Australia de 1988 (modificada en 2024), la Ley de Privacidad de Nueva Zelanda de 2020 y el Código de Privacidad para el Procesamiento Biométrico de 2025, y las normas ISO/IEC 27701:2025, 27018:2025, 27017:2015, 27001:2022.

2. Responsabilidades del Responsable del tratamiento

El Responsable del tratamiento es el principal responsable de la legalidad y adecuación de todas las actividades de vigilancia. El Responsable del tratamiento declara y garantiza lo siguiente:

1. Que cuenta con un fundamento legal válido para cada categoría de procesamiento y es responsable de realizar DPIA cuando sea necesario.
2. Que cumplirá con todos los requisitos aplicables de notificación, señalización y transparencia para la videovigilancia.
3. Que ha seleccionado su centro de datos en la nube entre las opciones disponibles (Anexo A, Sección A.2), ha considerado la recomendación de VIVOTEK de seleccionar la región de centro de datos que coincida con la ubicación de sus cámaras/NVR y asume la responsabilidad de las implicaciones en materia de protección de datos de su selección. Una vez que se selecciona durante el proceso de configuración inicial, la asignación del centro de datos no se puede modificar. Si el Responsable del tratamiento se suscribe al Reconocimiento facial con IA, además, garantiza lo siguiente: (i) que cuenta con un fundamento legal válido en virtud del art. 9(2) (consentimiento explícito, interés público sustancial o reclamaciones legales); (ii) que ha completado una DPIA específica para el reconocimiento facial; (iii) que comprende que, para la detección en tiempo real en el borde, el Responsable del tratamiento es el único responsable del control y VIVOTEK no actúa como procesador de datos; (iv) que cumple con las obligaciones de los responsables de la implementación establecidas en el Reglamento de Inteligencia Artificial de la UE, si corresponde; (v) que, para las implementaciones en el Reino Unido, tiene debidamente en cuenta el Código de Prácticas sobre Cámaras de Vigilancia (Surveillance Camera Code of Practice) (Ley de Protección de las Libertades [Protection of Freedoms Act] de 2012, art. 33[5]) y la guía de la Oficina del Comisionado de Información (Information Commissioner's Office, ICO) sobre tecnologías de reconocimiento facial, y cumple con las condiciones establecidas en la sección 10 y en el Anexo 1 de la DPA de 2018 para el procesamiento de datos biométricos; (vi) que, cuando se utilicen funciones de lista blanca/lista negra, se asegurará de que las entradas de la lista de vigilancia sean estrictamente necesarias, proporcionadas, que se revisen periódicamente y se eliminen cuando ya no se requieran.
4. Que comprende que es responsable de gestionar los períodos de conservación del Archivo en la nube de conformidad con los principios de limitación de almacenamiento aplicables (p. ej., el artículo 5(1)(e) del RGPD). El Responsable del tratamiento determina el período de retención para los datos del Archivo en la nube y es responsable de eliminar el contenido archivado cuando ya no sea necesario para el propósito original.
5. Que, cuando acceda a contenido desde fuera de la jurisdicción de los interesados (por ejemplo, un Responsable del tratamiento con sede en EE. UU. que visualiza cámaras en sitios de la UE), ha evaluado si dicho acceso constituye una transferencia restringida y ha implementado los mecanismos adecuados para su propio acceso.
6. Que no usará VORTEX para ninguno de los usos prohibidos definidos en la Sección 9.
7. La suscripción a una función complementaria de VORTEX (incluida la de Reconocimiento facial con IA) constituye una instrucción de procesamiento documentada a los efectos del art. 28(3)(a). Para el Reconocimiento facial con IA, VIVOTEK actúa como Encargado del tratamiento de los datos para lo siguiente: (i) la gestión de perfiles basada en la nube (sincronización de listas blancas/negras entre cámaras); y (ii) el procesamiento de vectores posterior a la búsqueda a través de AI Hub (Transferencia 2). La detección en tiempo real basada en el borde (detección de rostros, coincidencia y decisiones de control de acceso) se ejecuta en el hardware de la cámara del Responsable del tratamiento; sin embargo, los datos de perfil (plantillas biométricas y metadatos asociados) se cargan en el centro de datos en la nube seleccionado por el Responsable para la gestión centralizada de listas blancas/listas negras. Este procesamiento en la nube está cubierto por la Transferencia 1.
8. Las instrucciones de procesamiento deberán cumplir con las leyes de protección de datos aplicables. VIVOTEK no se hace responsable de las infracciones derivadas de instrucciones que no cumplan con la normativa. Si VIVOTEK considera que una instrucción infringe la legislación aplicable, informará de inmediato al Responsable del tratamiento y podrá suspender el procesamiento de los datos afectados hasta que la instrucción sea retirada o se confirme su legalidad.
9. Cuando VIVOTEK esté obligado a procesar datos personales en virtud del Derecho de la Unión o de los Estados miembros al cual está sujeto, VIVOTEK informará al Responsable del tratamiento de ese requisito legal antes de llevar a cabo el procesamiento, a menos que dicho Derecho prohíba tal información por razones importantes de interés público.
10. Las obligaciones específicas de cada jurisdicción (el aviso de transparencia de la ley PIPEDA, la evaluación de impacto en la privacidad [Privacy Impact Assessment, PIA] de Quebec, el Código de Privacidad para el Procesamiento Biométrico de Nueva Zelanda, la información sobre la acción civil por intromisión ilegítima en la privacidad en Australia, la notificación a la Comisión de Protección de Datos Personales [PDPC] de Taiwán y los requisitos de la ley FADP de Suiza) se detallan en el Anexo D.

3. Descripción del procesamiento

VORTEX es una plataforma de videovigilancia como servicio (VSaaS) basada en la nube. Los datos de contenido de vigilancia se almacenan tanto localmente en el equipo del Responsable del tratamiento (tarjeta SD de la cámara, NVR) como en la infraestructura en la nube de VIVOTEK, en el centro de datos regional seleccionado por el Responsable del tratamiento.

El Responsable del tratamiento selecciona un centro de datos en la nube durante el proceso de configuración inicial. VIVOTEK recomienda seleccionar la región de centro de datos que coincida con la ubicación física de las cámaras y el NVR del Responsable del tratamiento (por ejemplo, Fráncfort para las cámaras ubicadas en la UE). La arquitectura de almacenamiento detallada, las opciones de centro de datos, los servicios en la nube, las rutas de acceso remoto (transmisión directa frente a servicio de retransmisión), el procesamiento de IA/análisis, los perfiles de los niveles de licencia, los períodos de retención y las categorías de datos se establecen en el Anexo A.

VIVOTEK también proporciona un Servicio opcional de procesamiento de datos vectoriales/embeddings a través del cual los embeddings generados por IA y los números de identificación de vehículos (VIN) se transfieren al Proveedor de servicios de bases de datos en la nube (EE. UU.) para la búsqueda de similitud vectorial. Los detalles se encuentran en la Sección A.5 del Anexo A.

El procesamiento es exclusivo para: el alojamiento en la nube y el almacenamiento de contenido de vigilancia; el monitoreo de seguridad y la detección de eventos; el análisis con IA (cuando esté habilitado); la operación, el mantenimiento y el soporte técnico del servicio; y la recuperación, reproducción y exportación de contenido. No se realiza ningún procesamiento para elaboración de perfiles comerciales, análisis de comportamiento ni publicidad. El consentimiento para el uso con fines de marketing NO será una condición para proporcionar VORTEX. VIVOTEK puede crear y utilizar datos agregados y completamente anonimizados a partir de los cuales no se identifique ni se pueda identificar a ninguna persona (estándar del considerando 26 del RGPD) para mejorar el servicio, realizar investigaciones sobre seguridad y con fines estadísticos. Dichos datos dejarán de ser datos personales y quedarán fuera del alcance de este DPA. Las plantillas biométricas, los vectores de características para el reconocimiento facial y los embeddings derivados de imágenes faciales (secciones A.5 y A.9 del Anexo A) están excluidos de esta excepción y no se utilizarán para crear dichos conjuntos de datos anonimizados.

4. Gestión de subencargados del tratamiento

VIVOTEK podrá contratar subencargados del tratamiento para que procesen datos personales en nombre del Responsable del tratamiento bajo un modelo de autorización general por escrito. La lista actual de subencargados se establece en el Anexo C y está disponible en https://www.vivotek.com/es/user_agreement/data_processing_addendum?tab=Lista_de_subencargados_del_tratamiento.

1. VIVOTEK avisará con al menos treinta (30) días de anticipación antes de contratar a un nuevo subencargado del tratamiento o reemplazar a uno existente.
2. El Responsable del tratamiento podrá oponerse en un plazo de quince (15) días. Si no se llega a una solución, el Responsable del tratamiento puede rescindir el contrato sin penalización alguna.
3. VIVOTEK impondrá obligaciones equivalentes de protección de datos a todos los subencargados mediante un contrato por escrito.
4. VIVOTEK será responsable de los incumplimientos de los subencargados del tratamiento, con sujeción a lo dispuesto en la Sección 17.
5. VIVOTEK puede actualizar el Anexo C para reflejar los cambios en los subencargados del tratamiento. Dichas actualizaciones están sujetas al mecanismo de notificación y objeción anterior.

5. Medidas de seguridad

VIVOTEK implementa medidas técnicas y organizativas adecuadas para proteger los datos personales contra la destrucción, pérdida, alteración, así como contra la divulgación o el acceso no autorizados, ya sea de forma accidental o ilegal. Los compromisos clave incluyen: cifrado de los datos almacenados y en tránsito, autenticación multifactor, control de acceso basado en roles, registro exhaustivo de auditoría, análisis periódicos de vulnerabilidades y pruebas de penetración, aislamiento de datos en entornos multiinquilino, capacitación del personal y obligaciones de confidencialidad, y certificaciones de terceros (ISO 27001, ISO 27701, ISO 27018, IEC 62443-4-1). Las medidas específicas se detallan en el Anexo B.

VIVOTEK puede actualizar el Anexo B para reflejar las mejoras en las medidas de seguridad. Las actualizaciones no reducirán el nivel general de protección.

6. Notificación de violaciones de datos

1. Requisito mínimo: VIVOTEK deberá notificar al Responsable del tratamiento de los datos dentro de las setenta y dos (72) horas posteriores a la confirmación de una violación. Los procedimientos internos de VIVOTEK tienen como objetivo realizar la notificación en un plazo de veinticuatro (24) horas, lo que supera este compromiso.
2. La notificación incluye la naturaleza de la violación, el alcance, las consecuencias, las medidas tomadas y los datos de contacto de la persona designada.
3. VIVOTEK mantendrá un registro documentado de cada vulneración y preservará las pruebas forenses durante al menos noventa (90) días.
4. VIVOTEK deberá cooperar con las obligaciones de notificación del Responsable del tratamiento a las autoridades de supervisión y a los titulares de los datos.
5. Los plazos y umbrales para la notificación de infracciones específicos de cada jurisdicción (incluidos el plazo de 24 horas previsto en la ley PDPA de Taiwán, el informe preliminar en un plazo de tres a cinco días de la ley APPI de Japón, el criterio de riesgo real de daño significativo (RROSH) de la ley PIPEDA de Canadá, el umbral de "riesgo elevado" de la ley FADP de Suiza y la ley DUAA del Reino Unido) se establecen en el Anexo D.
6. Los informes normativos que presenta VIVOTEK en virtud de las leyes de ciberseguridad de productos (incluidos los informes conforme a los artículos 14 a 16 de la Ley de Ciberresiliencia a ENISA y los CSIRT nacionales, según la Sección 5A.6 del EUA) son independientes de las obligaciones de notificación que se le deben al Responsable del tratamiento de los datos en virtud de esta Sección 6, y no las modifican ni las aceleran.

7. Derechos de los titulares de los datos

VIVOTEK deberá ayudar al Responsable del tratamiento a cumplir con las obligaciones de los derechos de los titulares de los datos. El plazo de respuesta será de quince (15) días. El Responsable del tratamiento debe verificar la identidad de los titulares de los datos antes de dar instrucciones a VIVOTEK para que actúe. Cuando una solicitud de ejercicio de derechos sea manifiestamente infundada o excesiva (art. 12(5) del RGPD), VIVOTEK puede cobrar una tarifa razonable por los costos administrativos o negarse a actuar, previo acuerdo con el Responsable del tratamiento. Los mecanismos técnicos para tratar solicitudes de ejercicio de derechos específicas relacionadas con las grabaciones de video (identificación, exportación y eliminación de las grabaciones) están sujetos a la verificación de identidad del Responsable del tratamiento. VIVOTEK no responderá a solicitudes de ejercicio de derechos directas sin la autorización del Responsable del tratamiento, a menos que así lo exija la ley. Las herramientas estándar de autoservicio se proporcionan sin cargo. El procesamiento manual se facturará conforme a las tarifas de los servicios profesionales, previa presentación de una estimación de costos.

8. Transferencias de datos internacionales

El perfil de transferencias de datos internacionales depende del centro de datos en la nube y de la configuración del servicio seleccionados por el Responsable del tratamiento:

1. Responsables del tratamiento de datos de la UE o el EEE que seleccionaron Fráncfort: El contenido de la nube permanece en la UE. Estos son los elementos sujetos a transferencias transfronterizas: (a) datos operativos que pasan por la plataforma de aplicaciones US-West-2; (b) embeddings/vectores que se transfieren al Proveedor de servicios de bases de datos en la nube (EE. UU.) (lo cual está cubierto por el Anexo 1 [sección de AI Hub]); (c) servicio de retransmisión a través de US-West-2 si NAT está deshabilitado (procesamiento transitorio, sin retención de datos); (d) acceso remoto por parte del personal de VIVOTEK de Taiwán. Estos elementos están cubiertos por el Módulo 2 de las SCC de la UE (Anexo 1).
2. Responsables del tratamiento de datos de la UE o el EEE que seleccionaron un centro de datos fuera de la UE: TODO el contenido en la nube está sujeto a transferencias transfronterizas. Se aplica la cobertura íntegra de las SCC. VIVOTEK recomienda encarecidamente seleccionar un centro de datos que coincida con la ubicación de las cámaras/NVR.
3. Responsables del tratamiento de datos del Reino Unido: Se aplica el Documento de transferencia internacional de datos del Reino Unido (Anexo 2), que refleja el criterio de "mantener un nivel de protección que no sea significativamente inferior" de la ley DUAA de 2025.
4. Responsables del tratamiento de datos de Suiza: Se aplican las SCC de la UE adaptadas a la legislación suiza (Anexo 3, Documento sobre transferencias internacionales de datos de Suiza). El Comisionado Federal de Protección de Datos e Información (Federal Data Protection and Information Commissioner, FDPIC) es la autoridad de control competente. Los titulares de datos suizos pueden presentar reclamaciones ante los tribunales suizos. Si los destinatarios en EE. UU. están certificados en virtud del Marco de Privacidad de Datos Suiza-EE. UU., dicha certificación proporciona un fundamento jurídico adicional para la transferencia de datos. Los requisitos de los artículos 16 y 17 de la FADP de Suiza se cumplen mediante las SCC y medidas suplementarias.
5. Responsables del tratamiento de datos de Japón: Se aplican las salvaguardas contractuales del artículo 28 de la ley APPI. El contenido en Tokio permanece en Japón.
6. Responsables del tratamiento de datos de Australia/Nueva Zelanda: Cumplimiento de APP 8/IPP 12. El contenido en Sídney permanece en Australia.
7. Responsables del tratamiento de datos de Canadá: Se sigue el modelo de responsabilidad conforme a la ley PIPEDA: no se requieren SCC; este DPA sirve como salvaguarda contractual según el principio 4.1.3 de la ley PIPEDA. Se requiere la evaluación de impacto en la privacidad (PIA) de la Ley 25 de Quebec antes de la transferencia.
8. Responsables del tratamiento de datos de EE. UU./LATAM: Todos los datos se mantienen en la región US-West-2. No se requiere un mecanismo de transferencia transfronteriza para EE. UU.
9. Servicio de retransmisión: Cuando no es posible establecer una conectividad directa a través de NAT, las transmisiones de video/audio se realizan a través del servidor de retransmisión de VIVOTEK en la región US-West-2 de AWS. Este almacenamiento es transitorio (sin almacenamiento persistente). El Responsable del tratamiento puede evitar la retransmisión habilitando NAT. Actualmente, la retransmisión solo se realiza a través de la región US-West-2; se prevé implementar el servicio de retransmisión en otras regiones. La transferencia a través del servicio de retransmisión está cubierta por el Anexo regional aplicable del Responsable del tratamiento (1, 2 o 3).
10. Acceso transfronterizo por parte del Responsable del tratamiento: Cuando los usuarios del Responsable del tratamiento acceden a contenido desde fuera de la jurisdicción de los titulares de los datos (p. ej., transmisión directa desde cámaras de la UE a un navegador de EE. UU.), esa es una transferencia propia del Responsable. VIVOTEK proporciona controles de restricción geográfica, controles de acceso basados en roles (RBAC), registros de auditoría y controles de exportación para respaldar el cumplimiento.
11. Evaluación de impacto de las transferencias (TIA): VIVOTEK ha realizado una TIA que evalúa el marco legal de EE. UU. (sección 702 de la Ley de Vigilancia de Inteligencia Extranjera [Foreign Intelligence Surveillance Act, FISA], la Ley de Aclaración del Uso Legal de Datos en el Extranjero [Clarifying Lawful Overseas Use of Data Act, CLOUD Act] y la Orden Ejecutiva 14086). La TIA está disponible para los Responsables del tratamiento de datos que la soliciten.
12. Las medidas complementarias se detallan en la sección B.11 del Anexo B.

9. Usos prohibidos y restricciones de datos

9.1 Usos intencionales prohibidos. El Responsable del tratamiento de los datos no utilizará VORTEX para lo siguiente: (a) creación de perfiles sistemática basada en atributos de datos de categorías especiales; (b) vigilancia encubierta en el lugar de trabajo sin notificación al empleado; (c) identificación biométrica masiva sin un fundamento legal válido y una DPIA documentada; (d) reconocimiento facial en tiempo real para las fuerzas del orden sin autorización por escrito; (e) puntuación social, análisis emocional con fines discriminatorios o vigilancia policial predictiva; (f) tratamiento de datos biométricos de menores sin el consentimiento de sus padres/tutores cuando sea necesario; (g) identificación biométrica remota en tiempo real en espacios de acceso público, excepto donde esté explícitamente autorizado en virtud de las excepciones establecidas en el artículo 5(1)(h) del Reglamento de Inteligencia Artificial de la UE y esté documentado en una instrucción de procesamiento firmada; (h) uso de funciones de listas blancas/negras de reconocimiento facial para restringir el acceso a un sitio de forma discriminatoria por motivos de raza, origen étnico, religión, género, discapacidad o cualquier otra característica protegida.

9.2 Captura incidental. Las partes reconocen que la videovigilancia implica inherentemente la captura incidental de datos de categorías especiales. El procesamiento de VIVOTEK se limita al almacenamiento, la transmisión, la transcodificación, la indexación y la visualización. VIVOTEK no clasifica ni elabora perfiles basados en atributos de categorías especiales. El Responsable del tratamiento es el único responsable de evaluar los requisitos relativos a la realización de una DPIA.

9.3 Restricciones de tipos de datos. El Responsable del tratamiento no transmitirá a VORTEX ningún dato que no esté relacionado con el servicio de vigilancia (registros médicos, antecedentes penales, registros financieros no relacionados, archivos de personal, datos privilegiados). Si dichos datos se transmiten en incumplimiento de esta cláusula, VIVOTEK no será responsable, y el Responsable del tratamiento indemnizará a VIVOTEK conforme a la Sección 18.

10. Privacidad desde el diseño y controles de divulgación

• La configuración predeterminada proporciona el nivel más alto de privacidad (el reconocimiento facial está desactivado de forma predeterminada).

• VIVOTEK no divulgará datos personales a ningún tercero sin la autorización del Responsable del tratamiento, a menos que lo exija la ley.
• Solicitudes de acceso de autoridades gubernamentales: VIVOTEK deberá (a) notificar al Responsable del tratamiento sin demora, a menos que esté prohibido hacerlo; (b) impugnar la solicitud cuando sea razonable hacerlo; (c) divulgar solo la cantidad mínima de información requerida.
• VIVOTEK mantendrá un registro de todas las divulgaciones de información de identificación personal a terceros, que estará disponible para el Responsable del tratamiento cuando este lo solicite.
• VIVOTEK proporcionará documentación sobre la responsabilidad compartida, información de apoyo para el cumplimiento normativo y orientación sobre configuraciones que protejan la privacidad.

11. Vigencia, terminación y eliminación de datos

Este DPA seguirá siendo válido mientras el EUA esté activo. Recuperación: disponible treinta (30) días después de la terminación para la exportación de datos sin cargo. Eliminación: en un plazo de treinta (30) días adicionales (sesenta [60] en total). Se puede solicitar una certificación escrita de la eliminación de datos. Los formatos de exportación no estándar pueden incurrir en tarifas razonables. La exclusión de datos anonimizados (Sección 3) y las Secciones 2, 6, 14, 17, 18 permanecen vigentes tras la terminación.

12. Auditoría e inspección

Se puede realizar una (1) auditoría por período de doce meses, previa notificación por escrito con una antelación mínima de treinta (30) días. Auditores externos: Se exigirá la firma de un acuerdo de confidencialidad (Non-Disclosure Agreement, NDA); no se permitirá la participación de competidores y deberán realizarse durante el horario laboral. VIVOTEK puede satisfacer las solicitudes a través de certificados ISO 27001, certificados ISO 27701/27018 (cuando estén disponibles) o informes SOC 2 Tipo II. VIVOTEK cooperará con las inspecciones regulatorias en virtud de la legislación aplicable.

13. Cooperación para las DPIA

VIVOTEK proporcionará asistencia razonable para las DPIA, particularmente, en cuanto a la vigilancia pública/semipública, el procesamiento de datos biométricos y el monitoreo a gran escala. El Responsable del tratamiento conserva la responsabilidad principal en relación con las DPIA.

14. Confidencialidad

Todo el personal está sujeto a obligaciones de confidencialidad. El acceso a la información se debe limitar exclusivamente a quienes necesiten conocerla. Se deberá completar una capacitación anual específica sobre privacidad. Confidencialidad mutua: El Responsable del tratamiento tratará la información de seguridad de VIVOTEK como confidencial. Las obligaciones de confidencialidad seguirán vigentes tras la terminación por tres (3) años.

15. Gestión de quejas

VIVOTEK deberá mantener canales de quejas accesibles, acusar recibo de las mismas en un plazo de treinta (30) días y responderlas sin demora indebida.

16. Legislación aplicable

16.1 Si el Responsable del tratamiento se encuentra en la Unión Europea, el Reino Unido, Suiza, Japón, Australia, Nueva Zelanda o Canadá, este DPA se rige por las leyes de Irlanda, con independencia de sus disposiciones sobre conflictos de leyes.

16.2 Si el Responsable del tratamiento se encuentra en Taiwán (República de China), este DPA se rige por las leyes de la República de China (Taiwán).

16.3 Para todas las demás jurisdicciones, este DPA se rige por las leyes del Estado de California, Estados Unidos, con independencia de sus disposiciones sobre conflictos de leyes.

16.4 Cuando un Anexo aplicable (Anexos 1, 2 o 3) especifique una legislación aplicable diferente para asuntos dentro del alcance de ese Anexo, las disposiciones de la legislación aplicable del Anexo prevalecerán para esos asuntos.

16.5 Las disputas que surjan de este DPA estarán sujetas a las disposiciones de resolución de disputas establecidas en el EUA (Sección 9.4). En caso de que este DPA continúe siendo vigente tras la rescisión del EUA (durante el período de eliminación de datos), las disputas se resolverán ante los tribunales correspondientes a la legislación aplicable especificada anteriormente.

16.6 Esta sección se entenderá sin perjuicio de las leyes de protección de datos obligatorias aplicables en la jurisdicción del Responsable del tratamiento. Ninguna disposición de esta sección limita los derechos de los titulares de los datos o de las autoridades de control en virtud de la legislación aplicable.

17. Limitación de responsabilidad

17.1 Límite general. Excepto por lo dispuesto en las Secciones 17.2 a 17.4, la responsabilidad total de cada parte derivada de este DPA o relacionada con él no excederá las tarifas totales pagadas por el Responsable del tratamiento por VORTEX en los doce (12) meses inmediatamente anteriores al evento que haya dado origen a la responsabilidad.

17.2 Límite ampliado para reclamaciones de protección de datos. Para las reclamaciones que surjan del incumplimiento de este DPA por parte de VIVOTEK, el incumplimiento por parte de VIVOTEK de implementar las medidas de seguridad descritas en el Anexo B, o una violación de datos personales causada por VIVOTEK, la responsabilidad total de VIVOTEK no será superior a dos (2) veces el monto descrito en la Sección 17.1. Las obligaciones de indemnización de VIVOTEK en virtud de la Sección 18 están sujetas a esta Sección 17.2.

17.3 Multas administrativas. Cada parte es la única responsable de las multas administrativas que le imponga una autoridad de control o reguladora competente con respecto a sus propias infracciones. Una parte puede recuperar los montos correspondientes a dichas multas de la otra parte solo en la medida en que la multa sea el resultado directo y principal del incumplimiento de este DPA por parte de la otra parte; cualquier recuperación de este tipo de VIVOTEK estará sujeta al límite establecido en la Sección 17.2. Las obligaciones de indemnización del Responsable del tratamiento en virtud de la Sección 18 (incluidas las instrucciones ilegales, las implementaciones que no cumplan con los requisitos y los usos prohibidos) no están sujetas a los límites de esta Sección 17.

17.4 Responsabilidades no sujetas a un límite. Nada de lo establecido en esta Sección 17 limita o excluye las responsabilidades por conducta dolosa o negligencia grave, fraude, muerte o lesiones personales, o cualquier responsabilidad que no pueda limitarse o excluirse en virtud de la legislación aplicable, incluida la responsabilidad hacia los titulares de los datos según la Cláusula 12 del Anexo aplicable (SCC de la UE).

17.5 Canalización exclusiva. Las reclamaciones derivadas del acceso no autorizado a los Datos personales de los Usuarios o de su divulgación no autorizada (tal como se definen en el EUA) se rigen exclusivamente por este DPA, incluidas esta Sección 17 y la Sección 18, y no se clasificarán como incumplimientos de las obligaciones de confidencialidad en virtud del EUA o de este DPA con el fin de evitar los límites establecidos en esta Sección 17.

17.6 Exclusión de daños. Ninguna de las partes será responsable por daños indirectos, incidentales, especiales, consecuentes o punitivos.

18. Indemnización

El Responsable del tratamiento indemnizará a VIVOTEK por las reclamaciones que surjan de: instrucciones ilegales, implementaciones que no cumplan con la normativa, usos prohibidos o incumplimientos de la legislación aplicable. VIVOTEK indemnizará al Responsable del tratamiento por las reclamaciones derivadas de lo siguiente: El incumplimiento de este DPA por parte de VIVOTEK, el incumplimiento por parte de VIVOTEK de la obligación de implementar las medidas de seguridad descritas en el Anexo B, o el acceso o la divulgación no autorizados causados por la negligencia o conducta dolosa de VIVOTEK. La indemnización estará sujeta a la notificación oportuna de la reclamación, el control razonable de la defensa y la cooperación entre las partes.

19. Cuestiones de fuerza mayor

Ninguna de las partes será responsable por los incumplimientos que escapen a su control razonable. La parte afectada deberá notificar dichas cuestiones a la otra sin demora. Si transcurren más de sesenta (60) días, se podrá rescindir el contrato.

20. Contacto designado para asuntos de privacidad

VIVOTEK designa al gerente del Sistema de Gestión de Seguridad de la Información como contacto principal para asuntos de privacidad para los Responsables del tratamiento de datos de VORTEX.

Correo electrónico: privacy@vivotek.com

Dirección: 6F, No. 192, Lian-Cheng Rd., Zhonghe Dist., New Taipei City 235, Taiwán (República de China)

Cuando la ley lo exija, VIVOTEK designará a un Delegado de Protección de Datos (DPO) y comunicará sus datos de contacto. Para los Responsables del tratamiento de datos de Suiza: se designará a un representante en Suiza si así lo exige el art. 14 de la FADP.

21. Documentos de referencia

• Acuerdo de usuario final de VORTEX v2.1 (EUA): incorpora este DPA por referencia (Sección 5 del EUA)

• Política de privacidad de VIVOTEK (VIV-ISP-PL01 v2.0): elaborada de conformidad con la Política de seguridad de la información y protección de datos personales del Grupo Delta (DEI-DIS-PL01)

• Schedule 1: Cláusulas contractuales tipo (SCC) de la UE (ISMS-DPA-001-SCH1): Servicio principal + AI Hub opcional

• Schedule 2: Documento de transferencia internacional de datos del Reino Unido (ISMS-DPA-001-SCH2): autónomo (SCC de la UE + adaptaciones del Reino Unido)

• Schedule 3: Documento de transferencia internacional de datos de Suiza (ISMS-DPA-001-SCH3): autónomo (SCC de la UE + adaptaciones de la FADP de Suiza)

• Schedule 4: Términos de las funciones de IA, Reglamento de IA de la UE (ISMS-DPA-001-SCH4): condicional; entra en vigor al activarse una función de IA cubierta

• Evaluación de impacto de las transferencias (ISMS-DPA-001-TIA): disponible a pedido

• Referencia técnica de protección de datos de VORTEX (ISMS-DPA-001-REF): disponible a pedido para auditores y DPO

22. Control de documentos y actualizaciones de anexos

El cuerpo de este DPA se revisará anualmente o cuando se produzcan cambios normativos importantes. VIVOTEK podrá actualizar los Anexos A a D para reflejar cambios en las actividades de procesamiento, las medidas técnicas, los subencargados del procesamiento o los requisitos normativos. VIVOTEK proporcionará un aviso con al menos treinta (30) días de anticipación sobre los cambios sustanciales en cualquier Anexo. La versión actual de cada Anexo se encuentra disponible en https://www.vivotek.com/es/user_agreement/data_processing_addendum. Para los cambios en los subencargados del tratamiento en particular, se aplica el mecanismo de notificación y objeción de la Sección 4.

Próxima revisión: Julio de 2027 o ante un cambio regulatorio importante.

(Anexos del DPA y otros anexos relacionados a pedido)

Para obtener documentos del DPA o realizar consultas, comuníquese con nosotros. VIVOTEK

Lista de subencargados del tratamiento

Versión actual — Última actualización: 28 de julio de 2026 (mantenida de acuerdo con el Apéndice de procesamiento de datos de VORTEX v4.1, Anexo C)

En esta página, se enumeran los subencargados del tratamiento contratados por VIVOTEK Inc. para procesar datos personales contenidos en los Datos del Usuario en nombre del Responsable del tratamiento en relación con el servicio VORTEX, donde VIVOTEK actúa como Encargado del tratamiento. Esta lista constituye el Anexo C del Apéndice de procesamiento de datos de VORTEX (disponible en https://www.vivotek.com/es/user_agreement/data_processing_addendum) y se rige por su Sección 4 (Gestión de subencargados del tratamiento). Los destinatarios de los Datos del Servicio, para los cuales VIVOTEK actúa como Responsable del tratamiento, se enumeran por separado en la Política de privacidad de VORTEX (disponible en  https://www.vivotek.com/es/user_agreement/vortex?tab=Pol%C3%ADtica_de_privacidad).

Subencargados del tratamiento actuales

El personal de ingeniería y soporte de VIVOTEK ubicado en Taiwán (República de China) puede acceder a los datos personales en cualquier centro de datos regional para realizar tareas de resolución de problemas, mantenimiento y soporte a través de una VPN cifrada. Este acceso está sujeto a controles de acceso basados en roles (RBAC), registros de auditoría, autenticación multifactor (MFA) y obligaciones de confidencialidad.

Complemento avanzado de IA (Apéndice de procesamiento de datos, Anexo A, Sección A.11): la inferencia se ejecuta en el hardware de la cámara del Responsable del tratamiento (edge) y no involucra a ningún subencargado más allá de los enumerados anteriormente. Cualquier contratación futura de un proveedor de modelos de IA externo estará sujeta al mecanismo de notificación y objeción establecido en la Sección 4 (aviso de 30 días) antes de entrar en vigencia.

Actualizaciones, notificación y mecanismo de objeción

Según la Sección 4 del Apéndice de procesamiento de datos, VIVOTEK puede contratar subencargados del tratamiento de datos bajo un modelo de autorización general por escrito, y esta lista puede actualizarse para reflejar los cambios en los subencargados. Dichas actualizaciones están sujetas al siguiente mecanismo:

• VIVOTEK avisará con al menos treinta (30) días de anticipación antes de contratar a un nuevo subencargado del tratamiento o reemplazar a uno existente.
• El Responsable del tratamiento podrá oponerse en un plazo de quince (15) días. Si no se llega a una solución, el Responsable del tratamiento puede rescindir el contrato sin penalización alguna.
• VIVOTEK impondrá obligaciones equivalentes de protección de datos a todos los subencargados mediante un contrato por escrito.
• VIVOTEK será responsable de los incumplimientos de los subencargados del tratamiento, con sujeción a lo dispuesto en la Sección 17 del Anexo de procesamiento de datos.

Las transferencias internacionales a los subencargados del tratamiento mencionados anteriormente se realizan en virtud de los mecanismos de transferencia establecidos en el Apéndice de procesamiento de datos (Sección 7 y Anexo B) y sus Anexos relativos a las transferencias.

Fecha de entrada en vigor de este Anexo: 29 de abril de 2026. Última actualización: 28 de julio de 2026.

Si tiene preguntas sobre esta lista, presente una solicitud de ejercicio de derechos de titular de los datos y escriba a Privacy@vivotek.com.