Privacy and Security Terms

¿El Proveedor o Kyndryl tendrán acceso a la Información de contacto comercial de la otra parte?

Si es así, los Artículos I (Información Profesional de Contacto) y X (Cooperación, Verificación y Resolución) se aplican a ese acceso.

Ejemplos:

El Proveedor utiliza nombres, direcciones de correo electrónico y números de teléfono de empleados de Kyndryl o del Cliente para soporte o mantenimiento.
Kyndryl utiliza nombres y direcciones de correo electrónico de los empleados del Proveedor para la autenticación de acceso a un Sistema corporativo.

Nota:

Si el Proveedor proporciona mantenimiento o soporte, el Proveedor puede tener acceso a información adicional a la BCI (p. ej., archivos de registro con o sin Datos Personales), en cuyo caso el Proveedor también marcará la casilla debajo del punto 2 (si tendrá acceso a Datos Personales) y el punto 3 (en caso de que tenga acceso a Datos No Personales).
Si el Proveedor procesa datos de los empleados de Kyndryl, también marcará la casilla en el punto 2 (en caso de que tenga acceso a los Datos personales).

Artículo I, Información Profesional de Contacto

Este artículo se aplica si el Proveedor o Kyndryl tratan la BCI de la otra parte.

1.1 Kyndryl y el Proveedor pueden tratar la BCI de la otra parte donde hagan negocios en relación con la prestación de Servicios y Entregable por parte del Proveedor.

1.2 Cualquiera de las partes:

(a) deberá abstenerse de usar o revelar la BCI de la otra parte para cualquier otro propósito (para mayor claridad, ninguna de las partes venderá la BCI de la otra parte ni usará o revelará la BCI de la otra parte con ninguna finalidad empresarial sin el consentimiento previo por escrito de la otra parte y, cuando sea necesario, el consentimiento previo por escrito de los Titulares de datos afectados), y

(b) eliminará, modificará, corregirá, devolverá, proporcionará información sobre el Procesamiento de, restringirá el Procesamiento de, o tomará cualquier otra acción razonablemente solicitada con respecto a la BCI de la otra parte sin demora, previa solicitud por escrito de la otra parte, cuando se produzca el uso no autorizado de la información personal y la parte desee detener el procesamiento y corregir la situación.

1.3 Las partes no establecen una relación conjunta de Responsable del Tratamiento con respecto a la BCI de cada una de ellas y ninguna cláusula del Documento Transaccional se considerará o interpretará como una indicación de intención de establecer una relación conjunta de Responsable del Tratamiento.

1.4 La Declaración de privacidad de Kyndryl en https://www.kyndryl.com/us/en/privacy contiene detalles adicionales sobre el procesamiento de la BCI de Kyndryl.

1.5 El Proveedor ha implementado y mantendrá medidas de seguridad técnicas y organizativas para proteger la BCI de Kyndryl frente a pérdida, destrucción, alteración, revelación accidental o no autorizada, acceso accidental o no autorizado y procesamiento ilegal.

1.6 Cuando el Proveedor tome conocimiento de cualquier Incumplimiento de Seguridad que involucre la BCI de Kyndryl, notificará de inmediato a Kyndryl (en ningún caso deberá hacerlo después de las 48 horas). El Proveedor enviará dicha notificación a cyber.incidents@kyndryl.com. El Proveedor proporcionará a Kyndryl la información solicitada de manera razonable sobre dicha infracción y el estado de las actividades de corrección y restauración que haya emprendido. A modo de ejemplo, la información solicitada razonablemente puede incluir registros que demuestren acceso privilegiado, administrativo y de otro tipo a Dispositivos, sistemas o aplicaciones, imágenes forenses de Dispositivos, sistemas o aplicaciones y otros elementos similares, en la medida que sean relevantes con la infracción o las actividades de reparación y restauración del Proveedor.

1.7 Cuando el Proveedor solo trate la BCI de Kyndryl y no tenga acceso a ningún otro dato o material de ningún tipo ni a ningún Sistema corporativo de Kyndryl, este Artículo y el Artículo X (Cooperación, Verificación y Resolución) son los únicos artículos que se aplican al Procesamiento.

Artículo X, Cooperación, Verificación y Resolución

Este artículo se aplica si el Proveedor proporciona algún Servicio o Entregable a Kyndryl.

1. Cooperación del Proveedor

1.1 Si Kyndryl tiene motivos para sospechar que algún Servicio o Entregable puede haber contribuido, está contribuyendo o contribuirá a algún problema de ciberseguridad, el Proveedor cooperará con cualquier consulta de Kyndryl con respecto a dicha sospecha, incluida una respuesta oportuna y de manera completa a las solicitudes de información, ya sea a través de documentos, otros registros, entrevistas al Personal del Proveedor relevante o similares.

1.2 Las partes acuerdan: (a) proporcionarse, a petición, entre sí dicha información adicional, (b) ejecutar y entregarse mutuamente cualquier otro tipo de documentación, y (c) llevar a cabo otras acciones, todo aquello que la otra parte pueda razonablemente solicitar con el fin de ejecutar la intencionalidad de estas Condiciones y los documentos mencionados en estas Condiciones. Por ejemplo, si Kyndryl lo solicita, el Proveedor proporcionará oportunamente las condiciones centradas en la privacidad y la seguridad de sus contratos escritos con Subencargados del Tratamiento y subcontratistas, incluida, cuando el Proveedor tenga derecho a hacerlo, la concesión de acceso a los contratos en sí.

1.3 Si Kyndryl lo solicita, el Proveedor proporcionará oportunamente información sobre los países donde se fabricaron, desarrollaron u obtuvieron de otro modo sus Entregables y los componentes de los Entregables.

2. Verificación (como se usa a continuación, "Instalación" significa una ubicación física donde el Proveedor hospeda, procesa o accede a los Materiales de Kyndryl)

2.1 El Proveedor mantendrá un registro auditable que demuestre la conformidad con estas Condiciones.

2.2 Kyndryl, propiamente o mediante un auditor externo, puede, con 30 días de notificación previa por escrito al Proveedor, verificar la conformidad del Proveedor con estas Condiciones, incluido el acceso a cualquier Instalación o Instalaciones para tales fines, aunque Kyndryl no accederá a ningún centro de datos donde el Proveedor trate los Datos de Kyndryl a menos que tenga una buena razón para creer que con ello proporcionará alguna información relevante. El Proveedor cooperará con la verificación de Kyndryl, incluida la respuesta oportuna y de manera completa a las solicitudes de información, ya sea a través de documentos, otros registros, entrevistas con el Personal del Proveedor relevante o similares. El Proveedor puede ofrecer una prueba de cumplimiento de un código de conducta aprobado o una certificación del sector, o proporcionar información para demostrar el cumplimiento de estas Condiciones, para su consideración por parte de Kyndryl.

2.3 No se realizará una verificación más de una vez en un período de 12 meses, a menos que: (a) Kyndryl esté validando la resolución de sospechas del Proveedor derivada de una verificación previa durante el 12.º mes o (b) haya surgido un Incumplimiento de Seguridad y Kyndryl quiera verificar el cumplimiento de las obligaciones relevantes para la infracción. En cualquier caso, Kyndryl proporcionará la misma notificación previa por escrito de 30 días como se especifica en el Apartado 2.2 anterior, pero la urgencia de abordar un Incumplimiento de Seguridad puede requerir que Kyndryl realice una verificación con menos de 30 días de notificación previa por escrito.

2.4. Un regulador u otro Responsable del Tratamiento puede ejercer los mismos derechos que Kyndryl en los Apartados 2.2 y 2.3, bajo el supuesto de que un regulador puede ejercer cualquier derecho adicional que tenga según la legislación vigente.

2.5 Si Kyndryl tiene una base razonable para concluir que el Proveedor no cumple con ninguna de estas Condiciones (ya sea que dicha base surja de una verificación bajo estas Condiciones o no), el Proveedor corregirá de inmediato dicho incumplimiento.

3. Programa contra la Falsificación

3.1 Si los Entregables del Proveedor incluyen componentes electrónicos (por ejemplo, unidades de disco duro, unidades de estado sólido, memoria, unidades centrales de procesamiento, dispositivos lógicos o cables), el Proveedor mantendrá y seguirá un programa documentado de prevención de posibles falsificaciones para, en primer lugar, evitar que el Proveedor proporcione componentes falsificados a Kyndryl y, en segundo lugar, detectar y corregir de inmediato cualquier caso en que el Proveedor proporcione componentes falsificados por error a Kyndryl. El Proveedor impondrá esta misma obligación de mantener y seguir un programa documentado de prevención de posibles falsificaciones en todos sus proveedores que proporcionen componentes electrónicos incluidos en los Entregables del Proveedor a Kyndryl.

4. Resolución

4.1 Si el Proveedor no cumple con cualquiera de sus obligaciones en virtud de estas Condiciones, y ese incumplimiento causa un Incumplimiento de seguridad, el Proveedor corregirá la anomalía en su ejecución y corregirá el efecto nocivo del Incumplimiento de seguridad, con las instrucciones y el cronograma que Kyndryl estime razonables. Sin embargo, si el incumplimiento de seguridad surge del suministro por parte del Proveedor de un Servicio alojado de múltiples inquilinos y, en consecuencia, afecta a muchos clientes del Proveedor, incluida Kyndryl, entonces el Proveedor, dada la naturaleza del incumplimiento de seguridad, corregirá oportuna y adecuadamente la falla en su desempeño, y subsanar los efectos dañinos del incumplimiento de seguridad, al mismo tiempo que se presta la debida consideración a cualquier aportación de Kyndryl sobre dichas correcciones y subsanación. Sin perjuicio de lo anterior, el Proveedor deberá notificar a Kyndryl sin demoras injustificadas si ya no puede cumplir con las obligaciones establecidas por la ley de protección de datos aplicable.

4.2 Kyndryl tendrá derecho a participar en la reparación de cualquier incumplimiento de seguridad a la que se hace referencia en la Sección 4.1, según lo considere apropiado o necesario, y el Proveedor será responsable de sus costos y gastos para corregir su desempeño y de los costos y gastos de reparación que las partes deben incurrir con respecto a dicho incumplimiento de seguridad.

4.3 A modo de ejemplo, los costos y gastos de corrección asociados con un Incumplimiento de Seguridad podrían incluir los derivados de detectar e investigar un Incumplimiento de Seguridad, determinar las responsabilidades bajo la legislación y las normativas aplicables, proporcionar notificaciones de incumplimiento, establecer y mantener centros de atención telefónica, prestar Servicios de supervisión y restauración de crédito, recargar datos, corregir defectos del producto (incluido a través del Código fuente u otros desarrollos), retener a terceros para ayudar con las actividades anteriores u otras actividades relevantes, y otros costos y gastos que sean necesarios para corregir los efectos nocivos del Incumplimiento de Seguridad. Para mayor claridad, los costos y gastos de corrección no incluirían la pérdida de ganancias, negocios, valor, ingresos, previsiones o ahorros anticipados de Kyndryl.

¿El Proveedor tendrá acceso a los Datos personales?

Si es así, los Artículos II (Medidas Técnicas y Organizativas, Seguridad de los Datos), III (Privacidad), VIII (Medidas Técnicas y Organizativas, Seguridad General) y X (Cooperación, Verificación y Resolución) se aplican al acceso.

Ejemplos:

El Proveedor accede a los Datos Personales en su entrega de cualquier Servicio Alojado para uso interno de Kyndryl o uso por parte de los Clientes, o ambos.
El Proveedor proporciona Servicios médicos o relacionados con la atención médica, Servicios de marketing o Servicios relacionados con beneficios profesionales o recursos humanos, y al hacerlo accede a Datos Personales.
El Proveedor accede a los archivos de registro que contienen Datos Personales para prestar Servicios de Soporte.

Artículo II, Medidas Técnicas y Organizativas, Seguridad de los Datos

Este Artículo se aplica si el Proveedor trata datos de Kyndryl, que no sean BCI de Kyndryl. El Proveedor cumplirá los requisitos de este Artículo proporcionando todos los Servicios y Entregables, y al hacerlo protegerá los Datos de Kyndryl contra pérdida, destrucción, alteración, revelación accidental o no autorizada, acceso accidental o no autorizado, y formas ilegales de Tratamiento. Los requisitos de este Artículo se extienden a todas las aplicaciones, plataformas e infraestructura de TI que el Proveedor opera o administra para proporcionar Entregables y Servicios, incluidos todos los entornos de desarrollo, pruebas, alojamiento, soporte, operaciones y centros de datos.

1. Uso de Datos

1.1 El Proveedor no puede agregar a los Datos de Kyndryl ni incluir con los Datos de Kyndryl ninguna otra información o dato, incluidos los Datos personales, sin el consentimiento previo por escrito de Kyndryl, y el Proveedor no puede usar los Datos de Kyndryl de ninguna forma, agregada o de otro modo, para ningún otro fin que no sea prestar Servicios y Entregables (a modo de ejemplo, al Proveedor no se le permite usar o reutilizar los Datos de Kyndryl para evaluar la eficacia o los medios para mejorar las soluciones del Proveedor, para la investigación y el desarrollo para crear nuevas soluciones, o para generar informes sobre las soluciones del Proveedor). A menos que se permita expresamente en el Documento Transaccional, el Proveedor tiene prohibido Vender Datos de Kyndryl.

1.2 El Proveedor no incorporará ninguna tecnología de seguimiento web en los Entregables o como parte de los Servicios (estas tecnologías incluyen HTML5, almacenamiento local, etiquetas o tokens de terceros y web beacons) a menos que esté expresamente permitido en el Documento transaccional.

2. Confidencialidad y Solicitudes de Terceros

2.1 El Proveedor no revelará los Datos de Kyndryl a ningún tercero, a menos que Kyndryl lo autorice previamente por escrito. Si una autoridad pública, incluido cualquier regulador, exige acceso a los Datos de Kyndryl (por ejemplo, si el Gobierno de los EE. UU. dicta una orden de seguridad nacional que afecta al Proveedor para obtener los Datos de Kyndryl), o si la ley requiere una revelación de los Datos de Kyndryl, el Proveedor notificará a Kyndryl por escrito dicha demanda o requisito y brindará a Kyndryl una oportunidad razonable para impugnar cualquier revelación (si la ley prohíbe la notificación, el Proveedor tomará las medidas que razonablemente considere apropiadas para impugnar la prohibición y revelación de los Datos de Kyndryl a través de acciones judiciales u otros medios).

2.2 El Proveedor garantiza a Kyndryl que: (a) solo los empleados que necesiten acceso a los Datos de Kyndryl para prestar Servicios o Entregables tendrán ese acceso, y posteriormente solo en la medida necesaria para proporcionar dichos Servicios y Entregables; y (b) sus empleados tienen obligaciones vinculantes de confidencialidad en virtud de las cuales solo pueden usar y revelar los Datos de Kyndryl según lo permitido en estas Condiciones.

3. Devolución o eliminación de datos de Kyndryl

3.1 El Proveedor, a elección de Kyndryl, eliminará o devolverá los Datos de Kyndryl a Kyndryl al terminar o vencer el Documento transaccional, o con anterioridad a petición de Kyndryl. Si Kyndryl requiere la eliminación, el Proveedor, de acuerdo con las Prácticas Recomendadas del Sector, hará que los datos sean ilegibles y no puedan reensamblarse o reconstruirse, y certificará la eliminación a Kyndryl. Si Kyndryl requiere la devolución de los Datos de Kyndryl, el Proveedor lo hará bajo un programa razonable de Kyndryl y según las instrucciones escritas razonables de Kyndryl.

Artículo III, Privacidad

Este Artículo se aplica si el Proveedor trata Datos Personales de Kyndryl.

1. Tratamiento

1.1 Kyndryl designa al Proveedor como Procesador para tratar los Datos personales de Kyndryl con el único objetivo de proporcionar los Entregables y los Servicios de acuerdo con las instrucciones de Kyndryl, incluidas las contenidas en estas Condiciones, el Documento transaccional y el acuerdo base asociado entre las partes. Si el Proveedor no acepta una instrucción, Kyndryl puede rescindir la parte afectada de los Servicios mediante notificación por escrito. Si el Proveedor considera que una instrucción infringe una ley de protección de datos, el Proveedor lo notificará a Kyndryl de inmediato y dentro de cualquier plazo temporal que requiera la legislación pertinente. Si el Proveedor no cumple con cualquiera de sus obligaciones en virtud de estas Condiciones y ese incumplimiento provoca un uso no autorizado de Información personal o, en general, en cualquier caso de uso no autorizado de Información personal, Kyndryl tendrá derecho a detener el procesamiento, corregir la falla y subsanar los efectos dañinos del uso no autorizado, con las instrucciones y el cronograma que Kyndryl estime razonables.

1.2 El Proveedor cumplirá toda la legislación de protección de datos aplicable a los Servicios y Entregables.

1.3 Un Suplemento del Documento transaccional, o el Documento transaccional en sí, establece lo siguiente con respecto a los Datos de Kyndryl:

(a) categorías de los titulares de datos

(b) tipos de datos personales de Kyndryl;

(c) acciones de datos y actividades de procesamiento;

(d) duración y frecuencia del procesamiento; y

(e) una lista de Subprocesadores.

2. Medidas Técnicas y Organizativas

2.1 El Proveedor implementará y mantendrá las medidas técnicas y organizativas establecidas en el Artículo II (Medidas Técnicas y Organizativas, Seguridad de los Datos) y el Artículo VIII (Medidas Técnicas y Organizativas, Seguridad General), y con ello garantizará un nivel de seguridad adecuado al riesgo que sus Servicios y Entregables presentan. El Proveedor certifica y comprende las restricciones del Artículo II, este Artículo III y el Artículo VIII, y las cumplirá.

3. Solicitudes y Derechos de los Interesados

3.1 El Proveedor notificará a Kyndryl de inmediato (según un calendario que permita a Kyndryl y a cualquier otro Controlador cumplir sus obligaciones legales) sobre cualquier solicitud de un Titular de datos para ejercer cualquier derecho del Titular de datos (por ejemplo, rectificación, eliminación o bloqueo de datos) con respecto a los Datos personales de Kyndryl. El Proveedor también puede dirigir de inmediato a un Interesado que realice dicha solicitud a Kyndryl. El Proveedor no responderá a las solicitudes de los titulares de datos a menos que lo exija la legislación o que Kyndryl lo requiera por escrito.

3.2 Si Kyndryl está obligado a proporcionar información sobre los Datos personales de Kyndryl a Otros controladores u otros terceros (por ejemplo, Titulares de datos o reguladores), el Proveedor ayudará a Kyndryl proporcionando información y llevando a cabo otras acciones razonables que Kyndryl solicite, según un cronograma que permita a Kyndryl responder oportunamente a dichos Otros controladores o terceros.

4. Subprocesadores

4.1 El Proveedor enviará a Kyndryl un aviso por escrito antes de incluir a un nuevo Subprocesador o de ampliar el alcance del Procesamiento por parte de un Subprocesador existente, y dicho aviso escrito deberá identificar el nombre del Subprocesador y describir el alcance nuevo o ampliado del Procesamiento. Kyndryl puede oponerse a cualquier nuevo Subprocesador o la ampliación en el alcance del mismo por motivos razonables en cualquier momento, y si lo hace, las partes trabajarán juntas de buena fe para abordar la objeción de Kyndryl. Sujeto al derecho de Kyndryl de oponerse en cualquier momento, el Proveedor puede nombrar el nuevo Subprocesador o ampliar el alcance del Procesamiento del Subprocesador existente si Kyndryl no ha presentado ninguna objeción dentro del plazo de 30 días posterior a la fecha del aviso por escrito del Proveedor.

4.2 El Proveedor impondrá las obligaciones de protección de datos, seguridad y certificación establecidas en estas Condiciones a cada Subprocesador aprobado antes de que un Subprocesador trate los Datos de Kyndryl. El Proveedor es plenamente responsable ante Kyndryl por el cumplimiento de las obligaciones de cada Subprocesador.

5. Procesamiento de Datos Transfronterizo

Según su uso a continuación:

País adecuado refiere a un país que proporciona un nivel adecuado de protección de datos con respecto a la transferencia relevante de conformidad con las leyes de protección de datos aplicables o las decisiones de los reguladores.

Importador de datos refiere a un Procesador o a un Subprocesador que no está establecido en un País adecuado.

Cláusulas contractuales tipo de la UE ("SCC de la UE") refiere a las Cláusulas contractuales tipo de la UE (Decisión de la Comisión 2021/914) con cláusulas opcionales aplicadas, excepto la opción 1 de la Cláusula 9(a) y la opción 2 de la Cláusula 17, como se publicó oficialmente en https://commission.europa.eu/publications/standard-contractual-clauses-international-transfers_en

Cláusulas contractuales tipo de Serbia ("SCC de Serbia") refiere a las Cláusulas contractuales tipo de Serbia tal como fueron adoptadas por el "Comisionado de Serbia para la información de importancia pública y la protección de datos personales", publicadas en https://www.poverenik.rs/images/stories/dokumentacija-nova/podzakonski-akti/Klauzulelat.docx.

Cláusulas contractuales tipo (“SCC”) refiere a las cláusulas contractuales requeridas por la legislación de protección de datos aplicable para la transferencia de Datos personales a los Procesadores que no están establecidos en Países adecuados.

El apéndice sobre transferencia internacional de datos del Reino Unido a las cláusulas contractuales tipo de la Comisión de la UE ("Apéndice del Reino Unido") significa el apéndice sobre transferencia internacional de datos del Reino Unido a las cláusulas contractuales tipo de la comisión de la UE, publicado oficialmente en https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

Anexo suizo a las cláusulas contractuales tipo de la Comisión de la UE ("Anexo suizo") refiere a las cláusulas contractuales de las cláusulas contractuales tipo de la Comisión de la UE que se aplican de conformidad con la decisión de la Autoridad Suiza de Protección de Datos ("FDPIC") y en cumplimiento de la Ley Federal Suiza sobre Protección de Datos ("FADP").

5.1 El Proveedor no transferirá ni revelará (ni siquiera por acceso remoto) ningún Dato personal de Kyndryl a nivel transfronterizo sin el consentimiento previo por escrito de Kyndryl. Si Kyndryl proporciona dicho consentimiento, las partes cooperarán para garantizar el cumplimiento de la legislación de protección de datos aplicable. Si esta legislación requiere las SCC, el Proveedor incorporará de inmediato las SCC a solicitud de Kyndryl.

5.2 En relación con las SCC de la UE:

(a) Si el Proveedor no está establecido en un País adecuado: Por la presente, el Proveedor formaliza las SCC de la UE como Importador de datos con Kyndryl, y el Proveedor celebrará acuerdos por escrito con cada Subprocesador aprobado, de acuerdo con la Cláusula 9 de las SCC de la UE, y proporcionará a Kyndryl copias de esos acuerdos a solicitud de parte.

(i) El Módulo 1 de las CEC de la UE no se aplica a menos que las partes acuerden lo contrario por escrito.

(ii) El Módulo 2 de los EU SCC se aplica cuando Kyndryl es un controlador y el Módulo 3 se aplica cuando Kyndryl es un procesador. De acuerdo con la Cláusula 13 de las SCC de la UE, cuando se apliquen los Módulos 2 o 3, las partes acuerdan que (1) los SCC de la UE se regirán por la ley del estado miembro de la UE donde se encuentre la autoridad de supervisión competente y (2) cualquier disputa que surja de las SCC de la UE se ventilará en los tribunales del estado miembro de la UE donde se encuentre la autoridad de supervisión competente. Si dicha ley en (1) no permite los derechos de terceros beneficiarios, las SCC de la UE se regirán por la ley de los Países Bajos y cualquier disputa que surja de las SCC de la UE según (2) será resuelta por el tribunal de Ámsterdam en los Países Bajos.

(b) Si ambas partes, el Proveedor y Kyndryl, están establecidas en un País adecuado, el Proveedor actuará como Exportador de datos y participará en las SCC de la UE con cada Subprocesador aprobado en un País no adecuado. El Proveedor realizará la Evaluación de impacto de la transferencia (TIA) requerida y notificará a Kyndryl sin demora indebida sobre (1) cualquier necesidad de aplicar medidas complementarias y (2) las medidas aplicadas. Previa solicitud, el Proveedor proporcionará a Kyndryl los resultados de la TIA y cualquier información necesaria para comprender y evaluar los resultados. En caso de que Kyndryl no esté de acuerdo con los resultados de la TIA de los Proveedores o con las medidas complementarias aplicadas, Kyndryl y el Proveedor trabajarán juntos para encontrar una solución factible. Kyndryl conserva el derecho de suspender o rescindir los servicios de los Proveedores en cuestión sin compensación. Para evitar dudas, esto no exime a los Subprocesadores del Proveedor de la obligación de convertirse en parte de las SCC de la UE con Kyndryl o sus Clientes, como se describe en la sección 5.2 (d) a continuación.

(c) Si el Proveedor está establecido en el Espacio Económico Europeo y Kyndryl es un Controlador que no está sujeto al Reglamento General de Protección de Datos 2016/679, se aplica el Módulo 4 de las SCC de la UE y, por la presente, el Proveedor formaliza las SCC de la UE como exportador de datos con Kyndryl. Si se aplica el Módulo 4 de las SCC de la UE, las partes acuerdan que los SCC de la UE se regirán por la ley de los Países Bajos y cualquier disputa que surja de las SCC de la UE será resuelta por el tribunal de Ámsterdam en los Países Bajos.

(d) Si Otros controladores, como Clientes o filiales, solicitan ser parte de las SCC de la UE de conformidad con la "cláusula de acoplamiento" en la Cláusula 7, por la presente el Proveedor acepta dicha solicitud.

(e) Las Medidas técnicas y organizativas necesarias para completar el Anexo II de las SCC de la UE se pueden encontrar en las presentes Condiciones, el Documento transaccional en sí y el acuerdo base asociado entre las partes.

(f) En caso de conflicto entre las SCC de la UE y estas Condiciones, prevalecerán las SCC de la UE.

5.3 En cuanto a el/los apéndice(s) del Reino Unido:

a. Si el Proveedor no está establecido en un País Adecuado: (i) el Proveedor celebra por la presente un apéndice en el Reino Unido con Kyndryl como importador para adjuntar a los CCE de la UE establecidos anteriormente (según corresponda, en función de las circunstancias de las actividades de procesamiento); y (ii) el Proveedor celebrará acuerdos por escrito con cada Subprocesador aprobado, y proporcionará a Kyndryl copias de dichos acuerdos si se le solicita.

(b) Si el Proveedor está establecido en un País Adecuado, y Kyndryl es un Controlador no sujeto al Reglamento General de Protección de Datos del Reino Unido (incorporado a la legislación del Reino Unido en virtud de la Ley de la Unión Europea (Retirada) de 2018), entonces el Proveedor celebra por la presente el/los apéndice(s) del Reino Unido como exportador con Kyndryl para adjuntar a los CCE de la UE establecidos en la Sección 5.2(b) anterior.

c. Si otros Controladores, como los clientes o las filiales, solicitan ser parte de el/los apéndice(s) del Reino Unido, el Proveedor acepta por la presente dicha solicitud.

d. La información del apéndice (tal y como se establece en la Tabla 3) en el/los apéndice(s) del Reino Unido se puede encontrar en los CCE de la UE aplicables, en estas Condiciones, en el propio Documento de la Transacción y en el acuerdo base asociado entre las partes. Ni Kyndryl ni el Proveedor pueden poner fin a el/los apéndice(s) del Reino Unido cuando ésta(s) cambia(n).

e. En caso de conflicto entre el/los apéndice(s) del Reino Unido y estas Condiciones, prevalecerá(n) el/los apéndice(s) del Reino Unido.

5.4 Con respecto a los SCC serbios:

a. Si el Proveedor no está establecido en un País adecuado: (i) por el presente documento, el Proveedor formaliza las SCC de Serbia con Kyndryl actuando en nombre del Proveedor como Procesador; y (ii) el Proveedor firmará acuerdos por escrito con cada Suprocesador aprobado, de conformidad con el Artículo 8 de las SCC de Serbia, y proporcionará a Kyndryl copias de dichos acuerdos, a petición.

b. Si el Proveedor está establecido en un País adecuado, mediante el presente, el Proveedor formaliza las SCC de Serbia con Kyndryl actuando en nombre de cada Suprocesador ubicado en un País no adecuado. Si el Proveedor no puede proceder de ese modo para ningún Suprocesador, proporcionará a Kyndryl las SCC de Serbia firmadas por el Subprocesador para la posterior rúbrica de Kyndryl antes de permitir que el Subprocesador procese los Datos personales de Kyndryl.

c. Las SCC de Serbia entre Kyndryl y el Proveedor funcionará como SCC de Serbia entre el Controlador y el Procesador o como un acuerdo escrito back-to-back entre el "procesador" y el "subprocesador", según lo requieran los hechos. En caso de conflicto entre las SCC de Serbia y estos Términos, prevalecerán las SCC de Serbia.

d. La información necesaria para completar los Apéndices 1 a 8 de las CEC de Serbia con el fin de regir la transferencia de Datos Personales a un País no Adecuado se puede encontrar en estos Términos y en el Anexo del Documento de Transacción, o en el Documento de Transacción en sí.

5.5. En cuanto al(los) Anexo(s) de Suiza:

En el caso y en la medida en que una transferencia de Datos personales de Kyndryl en virtud de la sección 5.1. esté sujeta a la Ley Federal Suiza sobre Protección de Datos ("FADP"), las SCC de la UE acordadas en la Sección 5.2. de estos Términos regirán la transferencia, con las siguientes enmiendas para adoptar el estándar RGPD para datos personales suizos:

Las referencias al Reglamento General de Protección de Datos ("RGPD") se entenderán también como referencias a las disposiciones equivalentes de la FADP,
el Comisionado Federal de Protección de Datos e Información de Suiza es la autoridad de control competente según la Cláusula 13 y el Anexo I.C de las SCC de la UE

La ley suiza como ley aplicable en caso de que la transferencia esté sujeta exclusivamente a la FADP y
El término "estado miembro" en la Cláusula 18 de las SCC de la UE se ampliará para incluir a Suiza con el fin de permitir que los titulares de datos suizos ejerzan sus derechos en su lugar de residencia habitual.

Para evitar dudas, nada de lo anterior pretende disminuir de modo alguno el nivel de protección de datos proporcionado por las SCC de la UE, sino solo extender este nivel de protección a los titulares de datos suizos. Si y en la medida en que este no sea el caso, prevalecerán las SCC de la UE.

6. Asistencia y Registros

6.1 Teniendo en cuenta la naturaleza del Procesamiento, el Proveedor ayudará a Kyndryl mediante la adopción de medidas técnicas y organizativas adecuadas a cumplir las obligaciones asociadas con las solicitudes y los derechos del Titular de datos. El Proveedor también ayudará a Kyndryl a garantizar el cumplimiento de las obligaciones relacionadas con la seguridad del Procesamiento, la notificación y comunicación de un Incumplimiento de seguridad y la creación de evaluaciones de impacto en la protección de datos, incluida la consulta previa con el regulador responsable, si es necesario, teniendo en cuenta la información disponible para el Proveedor.

6.2 El Proveedor mantendrá un registro actualizado del nombre y los datos de contacto de cada Subprocesador, incluido cada delegado de protección de datos y representante del Subprocesador. Previa solicitud, el Proveedor proporcionará este registro a Kyndryl bajo una programación que permita a Kyndryl responder oportunamente a cualquier demanda de un Cliente u otro tercero.

Artículo VIII, Medidas Técnicas y Organizativas, Seguridad General

Este artículo se aplica si el Proveedor proporciona algún Servicio o Entregables a Kyndryl, a menos que el Proveedor solo tenga acceso a la BCI de Kyndryl para proporcionar esos Servicios y Entregables (por ejemplo, el Proveedor no tratará otros Datos de Kyndryl ni tendrá acceso a cualquier otro tipo de Materiales de Kyndryl o a cualquier sistema corporativo), los únicos Servicios y Entregables del Proveedor consisten en entregar Software Local a Kyndryl, o el Proveedor proporciona todos sus Servicios y Entregables bajo un modelo de aumento de personal de conformidad con el Artículo VII, incluida su Sección 1.7.

El Proveedor cumplirá los requisitos de este Artículo y al hacerlo protegerá: (a) los Materiales de Kyndryl contra pérdida, destrucción, alteración, revelación accidental o no autorizada, y accidental o acceso no autorizado, (b) los Datos de Kyndryl frente a formas ilegales de procesamiento y (c) la Tecnología de Kyndryl frente a formas ilegales de Manejo. Los requisitos de este Artículo se extienden a todas las aplicaciones, plataformas e infraestructura de TI que el Proveedor opere o gestione para proporcionar Entregables y Servicios y en el Manejo de Tecnologías de Kyndryl, incluidos todos los entornos de desarrollo, prueba, alojamiento, soporte, operaciones y centros de datos.

1. Políticas de Seguridad

1.1 El Proveedor mantendrá y seguirá las políticas y prácticas relativas a la seguridad de TI que formen parte del negocio del Proveedor, sean obligatorias para todos los empleados del Proveedor y sean coherentes con las Prácticas Recomendadas del Sector.

1.2 El Proveedor revisará sus políticas y prácticas de seguridad de TI como mínimo una vez al año y realizará modificaciones de las mismas según sea necesario para proteger los Materiales de Kyndryl.

1.3 El Proveedor actualizará y seguirá sus requisitos obligatorios de verificación de empleabilidad en las nuevas contrataciones y ampliará tales requisitos a todo el Personal del Proveedor y a las filiales bajo propiedad integral del Proveedor. Dichos requisitos incluirán comprobaciones de antecedentes penales, según lo permitido por la legislación vigente, la validación de la prueba de identidad y las comprobaciones adicionales que el Proveedor estime oportunas. El Proveedor repetirá y revalidará estos requisitos periódicamente, según considere necesario.

1.4 El Proveedor proporcionará una formación sobre seguridad y privacidad a sus empleados anualmente, y requerirá que todos los empleados certifiquen cada año que van a cumplir con las políticas éticas del Proveedor respecto a la conducta empresarial, la confidencialidad y la seguridad, como se establece en el código de conducta del Proveedor o en documentos similares. El Proveedor proporcionará una formación complementaria sobre procesos y políticas al personal con acceso administrativo a los componentes de los Servicios, Entregables o Materiales de Kyndryl, que será específica para su función y el soporte de los Servicios, Entregables y Materiales de Kyndryl, y necesaria para mantener la conformidad y las certificaciones necesarias.

1.5 El Proveedor diseñará medidas de seguridad y privacidad para proteger y mantener la disponibilidad de los Materiales de Kyndryl, incluido mediante su implementación, mantenimiento y cumplimiento de las políticas y los procedimientos que requieren privacidad y seguridad por diseño, ingeniería segura y operaciones seguras, para todos los Servicios y Entregables y para todo el Manejo de Tecnologías de Kyndryl.

2. Incidentes de Seguridad

2.1 El Proveedor mantendrá y seguirá las políticas de respuesta a incidentes conforme a las Prácticas Recomendadas del Sector para la administración de incidentes de seguridad informática.

2.2 El Proveedor investigará cualquier acceso no autorizado o uso no autorizado de los Materiales de Kyndryl y definirá y ejecutará un plan de respuesta adecuado.

2.3 Cuando el Proveedor tome conocimiento de cualquier Incumplimiento de Seguridad, notificará de inmediato a Kyndryl (en ningún caso deberá hacerlo después de las 48 horas). El Proveedor enviará dicha notificación a cyber.incidents@kyndryl.com. El Proveedor proporcionará a Kyndryl la información solicitada de manera razonable sobre dicha infracción y el estado de las actividades de corrección y restauración que haya emprendido. A modo de ejemplo, la información solicitada razonablemente puede incluir registros que demuestren acceso privilegiado, administrativo y de otro tipo a Dispositivos, sistemas o aplicaciones, imágenes forenses de Dispositivos, sistemas o aplicaciones y otros elementos similares, en la medida que sean relevantes con la infracción o las actividades de reparación y restauración del Proveedor.

2.4 El Proveedor proporcionará asistencia razonable a Kyndryl en el cumplimiento de las obligaciones legales (incluida la obligación de notificar a los reguladores o los titulares de datos) de Kyndryl, las filiales de Kyndryl y los Clientes (y sus respectivos clientes y filiales) en relación con un Incumplimiento de Seguridad.

2.5 El Proveedor no informará ni notificará a ningún tercero que un Incumplimiento de seguridad se relacione directa o indirectamente con Kyndryl o Materiales de Kyndryl a menos que Kyndryl lo apruebe por escrito o cuando así lo exija la ley. El Proveedor notificará a Kyndryl por escrito antes de distribuir cualquier notificación requerida legalmente a cualquier tercero, donde la notificación revelaría directa o indirectamente la identidad de Kyndryl.

2.6 En caso de producirse un Incumplimiento de Seguridad que surja del incumplimiento por parte del Proveedor de cualquier obligación bajo estas Condiciones:

(a) el Proveedor será responsable de los costos incurridos por el Proveedor, así como de los costos reales en que incurra Kyndryl, al notificar el Incumplimiento de Seguridad a los reguladores correspondientes, otros organismos gubernamentales y los organismos autorreguladores de la industria pertinente, los medios (si lo requiere la legislación aplicable), titulares de datos, Clientes, etc.,

(b) si Kyndryl lo solicita, el Proveedor establecerá y mantendrá a su cargo un centro de atención telefónica para responder a las preguntas de los titulares de datos sobre el Incumplimiento de Seguridad y sus consecuencias, durante 1 año después de la fecha en que dichos titulares de datos hayan sido notificados acerca del Incumplimiento de Seguridad, o según lo requiera cualquier legislación de protección de datos aplicable, lo que brinde mayor protección. Kyndryl y el Proveedor trabajarán juntos para crear los scripts y otros materiales que utilizará el personal del centro de atención telefónica para responder a las consultas. Alternativamente, mediante notificación escrita al Proveedor, Kyndryl puede establecer y mantener su propio centro de atención telefónica, en lugar de que lo establezca el Proveedor, y el Proveedor reembolsará a Kyndryl los costos reales en que incurra Kyndryl para establecer y mantener dicho centro de atención telefónica, y

(c) el Proveedor reembolsará a Kyndryl los costos reales en que incurra Kyndryl al prestar Servicios de supervisión y restauración de crédito durante 1 año después de la fecha en que las personas afectadas por el Incumplimiento que elijan registrarse para recibir estos servicios hayan sido notificadas acerca del Incumplimiento de Seguridad, o según lo requiera cualquier legislación de protección de datos aplicable, lo que brinde mayor protección.

3. Seguridad física y Control de entrada (como se usa a continuación, "Instalaciones" significa una ubicación física donde el Proveedor hospeda, procesa o accede de otro modo a Materiales de Kyndryl).

3.1 El Proveedor efectuará los controles de entrada física adecuados, como barreras, puntos de entrada controlados con tarjeta, cámaras de vigilancia y recepcionistas, para impedir la entrada no autorizada a las Instalaciones.

3.2 El Proveedor requerirá una aprobación autorizada para acceder a las Instalaciones y áreas controladas dentro de las Instalaciones, incluido cualquier acceso temporal, y limitará el acceso según la función profesional y la necesidad empresarial. Si el Proveedor otorga acceso temporal, su empleado autorizado escoltará al visitante mientras esté en las Instalaciones y las áreas controladas.

3.3 El Proveedor implementará controles de acceso físico, incluidos los controles de acceso de varios factores que serán coherentes con las Prácticas Recomendadas del Sector, para restringir adecuadamente la entrada a las áreas controladas dentro de las Instalaciones, registrará todos los intentos de entrada y guardará dichos registros durante un año como mínimo.

3.4 El Proveedor revocará el acceso a las Instalaciones y áreas controladas dentro de las Instalaciones (a) tras la separación de un empleado autorizado del Proveedor o (b) cuando el empleado autorizado del Proveedor ya no tenga una necesidad empresarial de acceso. El Proveedor llevará a cabo los procedimientos formales de terminación de la relación laboral que incluyen la eliminación de las listas de control de acceso y la devolución de los identificadores de acceso físicos.

3.5 El Proveedor tomará precauciones para proteger toda la infraestructura física utilizada para dar soporte a los Servicios y Entregables y el Manejo de Tecnologías de Kyndryl frente a amenazas medioambientales, tanto naturales como artificiales, como temperatura ambiental excesiva, incendios, inundaciones, humedad, robo y vandalismo.

4. Acceso, Intervención, Transferencia y Control de Segregación de Funciones

4.1 El Proveedor mantendrá la arquitectura de seguridad documentada de las redes que gestiona en su operativa de los Servicios, su provisión de Entregables y su Manejo de Tecnologías de Kyndryl. El Proveedor revisará de forma independiente la arquitectura de red y utilizará medidas para evitar las conexiones de red no autorizadas a sistemas, aplicaciones y dispositivos de red, para el cumplimiento de las normas de segmentación segura, aislamiento y defensa en profundidad. El Proveedor no puede utilizar tecnología inalámbrica en sus alojamientos y operaciones de Servicios Hospedados; de lo contrario, el Proveedor puede utilizar tecnología de red inalámbrica en su prestación de los Servicios y los Entregables y en su Manejo de Tecnologías de Kyndryl, pero el Proveedor deberá cifrar y requerir una autenticación segura para dichas redes inalámbricas.

4.2 El Proveedor actualizará las medidas diseñadas para separar lógicamente e impedir la exposición o el acceso a Materiales de Kyndryl de personas no autorizadas. Asimismo, el Proveedor mantendrá un aislamiento adecuado de sus entornos productivos y no productivos u otros entornos y, si los Materiales de Kyndryl ya existen en un entorno no productivo o se transfieren posteriormente a un entorno no productivo (por ejemplo, para reproducir un error), el Proveedor se asegurará de que las protecciones de seguridad y privacidad en el entorno no productivo sean equivalentes a las del productivo.

4.3 El Proveedor cifrará los Materiales de Kyndryl en tránsito y en reposo (a menos que el Proveedor demuestre de forma razonable a Kyndryl que el cifrado de los Materiales de Kyndryl en reposo es técnicamente inviable). El Proveedor también cifrará todos los soportes físicos, si existen, como los que contienen archivos de copia de seguridad. El Proveedor actualizará los procedimientos documentados para la generación, emisión, distribución, almacenamiento, rotación, revocación, recuperación, copia de seguridad, destrucción, acceso y uso de claves seguras asociados con el cifrado de datos. El Proveedor se asegurará de que los métodos criptográficos específicos utilizados para dicho cifrado se alineen con las Prácticas Recomendadas del Sector como, por ejemplo, NIST SP 800-131a.

4.4 Si el Proveedor requiere acceso a Materiales de Kyndryl, el Proveedor restringirá y limitará dicho acceso al nivel mínimo necesario para la prestación y el soporte de los Servicios y los Entregables. El Proveedor requerirá que dicho acceso, incluido el acceso administrativo a los componentes subyacentes (por ejemplo, acceso con privilegios), será individual, se basará en cargos y estará sujeto a aprobación y validación regular por parte del Personal del Proveedor autorizado conforme a los principios de separación de funciones. El Proveedor mantendrá medidas adecuadas para identificar y eliminar cuentas redundantes e iniciativas. El Proveedor también revocará las cuentas con acceso privilegiado dentro del plazo de veinticuatro (24) horas posteriores a la separación del titular de la cuenta o a la solicitud por parte de Kyndryl o cualquier empleado del Proveedor autorizado, como el director del titular de la cuenta.

4.5 De conformidad con las Prácticas Recomendadas del Sector, el Proveedor mantendrá medidas técnicas que impongan tiempo de espera en sesiones inactivas, bloqueo de cuentas tras diversos intentos fallidos de inicio de sesión, autenticación con contraseña o frase de contraseña fuerte, así como medidas que requieran la transferencia y el almacenamiento seguros de estas contraseñas y frases de contraseñas. Asimismo, el Proveedor utilizará la autenticación de multifactores para todo acceso con privilegios no basado en contraseña a los Materiales de Kyndryl.

4.6 El Proveedor supervisará el uso del acceso con privilegios y mantendrá la información de seguridad y las medidas de gestión de eventos diseñadas para (a) identificar la actividad y el acceso no autorizados; (b) facilitar una respuesta adecuada y oportuna a la actividad y el acceso no autorizados; y (c) habilitar las auditorías del Proveedor, Kyndryl (de acuerdo con sus derechos de verificación de estas Condiciones y derechos de auditoría de este Documento Transaccional o base asociada u otro acuerdo relacionado entre las partes) y otros de acuerdo con la política documentada del Proveedor.

4.7 El Proveedor mantendrá registros en los que incorporará, de conformidad con las Prácticas Recomendadas del Sector, todos los accesos o actividades administrativas, de usuarios o de otro tipo para o con respecto a los sistemas utilizados para prestar Servicios o Entregables y en el Manejo de Tecnologías de Kyndryl (y proporcionará esos registros a Kyndryl, a petición). El Proveedor mantendrá medidas diseñadas para la protección en caso de acceso no autorizado, modificación y destrucción accidental o deliberada de estos registros.

4.8 El Proveedor mantendrá medidas informáticas de protección para los sistemas que posee o gestiona, incluidos los sistemas de usuario final, y que utilice para prestar Servicios o Entregables o en el Manejo de Tecnologías de Kyndryl, y estas medidas de protección incluirán lo siguiente: los cortafuegos de puntos finales, el cifrado de disco completo, las tecnologías de detección y respuesta de punto final basadas en firmas y no basadas en firmas para detectar malware y amenazas persistentes avanzadas, los bloqueos de pantalla basados en tiempo y las soluciones de gestión de puntos finales que impongan tanto la configuración de seguridad como los requisitos de parches. Asimismo, el Proveedor implementará controles técnicos y operativos que garanticen que solo los sistemas de usuario final conocidos y de confianza puedan utilizar las redes del Proveedor.

4.9 De conformidad con las Prácticas Recomendadas del Sector, el Proveedor mantendrá protecciones para los entornos de centro de datos donde existan o se traten Materiales de Kyndryl. Dichas protecciones incluyen detección y prevención de intrusiones, y mitigación y contramedidas de ataques de denegación de servicio.

5. Integridad de Sistemas y Servicio y Control de Disponibilidad

5.1 El Proveedor (a) realizará evaluaciones de riesgos de seguridad y evaluación de vulnerabilidades al menos una vez al año, (b) llevará a cabo pruebas de intrusión y evaluaciones de vulnerabilidades, incluido el escaneo de seguridad automatizado de aplicaciones y sistemas y los pirateos éticos manuales, antes del lanzamiento en producción y anualmente a partir del mismo, (c) presentará un tercero independiente y cualificado para la realización de pruebas de penetración coherentes con las Prácticas Recomendadas del Sector al menos una vez al año, y estas pruebas incluirán pruebas manuales y automatizadas, (d) efectuará tareas de gestión automatizada y verificación rutinaria del cumplimiento de los requisitos de la configuración de seguridad de cada componente de los Servicios y los Entregables con respecto a su Manejo de Tecnologías de Kyndryl; y (e) corregirá las vulnerabilidades identificadas o el incumplimiento de los requisitos de la configuración de seguridad según el riesgo asociado, la posibilidad de explotación y el impacto. El Proveedor llevará a cabo los pasos razonables para evitar la interrupción de los Servicios durante la realización de las pruebas, evaluaciones y escaneos, así como durante la ejecución de las actividades de corrección. Si Kyndryl lo solicita, el Proveedor proporcionará a Kyndryl un resumen escrito de las actividades de pruebas de intrusión más recientes del Proveedor, cuyo informe incluirá como mínimo el nombre de las ofertas cubiertas por la prueba, el número de sistemas o aplicaciones en ámbito para las pruebas, las fechas de las pruebas, las metodologías utilizas en ellas y un resumen de alto nivel de los resultados.

5.2 El Proveedor mantendrá sus políticas y procedimientos diseñados para gestionar los riesgos asociados con la aplicación de cambios a los Servicios o Entregables o al Manejo de Tecnologías de Kyndryl. Antes de implementar dicho cambio, incluidos los sistemas, las redes y los componentes subyacentes afectados, el Proveedor documentará en una solicitud de cambio registrada: (a) una descripción y el motivo del cambio, (b) detalles y programación de implementación, (c) una declaración de riesgo que aborde el impacto en los Servicios y Entregables, clientes de los Servicios o Materiales de Kyndryl, (d) el resultado esperado, (e) plan de reversión y (f) aprobación por parte de los empleados autorizados del Proveedor.

5.3 El Proveedor mantendrá un inventario de todos los activos de TI que utiliza para operar los Servicios, proporcionar Entregables y el Manejo de Tecnologías de Kyndryl. El Proveedor supervisará y gestionará de forma continuada el estado (incluida la capacidad) y la disponibilidad de dichos activos de TI, Servicios, Entregables y Tecnologías de Kyndryl, incluidos los componentes subyacentes de dichos activos, Servicios, Entregables y Tecnologías de Kyndryl.

5.4 El Proveedor construirá todos los sistemas que utiliza en el desarrollo o la operación de Servicios y Entregables y en el Manejo de Tecnologías de Kyndryl a partir de líneas base de seguridad o imágenes de seguridad del sistema predefinidas, que cumplirán las Prácticas Recomendadas del Sector, como los indicadores del Centro de Seguridad de Internet (CIS).

5.5 Sin limitación de las obligaciones del Proveedor o los derechos de Kyndryl bajo el Documento Transaccional o el acuerdo base asociado entre las partes con respecto a la continuidad del negocio, el Proveedor evaluará por separado cada Servicio y Entregable y cada sistema de TI utilizado en el Manejo de Tecnologías de Kyndryl en relación con los requisitos de continuidad empresarial y TI y la recuperación tras desastre ("disaster recovery") de conformidad con las directrices documentadas de gestión de riesgos. El Proveedor garantizará que cada Servicio, Entregable y sistema de TI tenga, en la medida en que se especifique en la evaluación de riesgos, planes de recuperación tras desastre y continuidad del negocio validados anualmente, mantenidos, documentados y definidos por separado conforme a las Prácticas Recomendadas del Sector. El Proveedor garantizará que dichos planes estén diseñados para ofrecer los tiempos de recuperación que se establecen en el Apartado 5.6, a continuación.

5.6 Los objetivos de punto de recuperación específicos ("RPO”) y los objetivos de tiempo de recuperación (“RTO”) en relación con un Servicio Alojado son: 24 horas de RPO y 24 horas de RTO; no obstante, el Proveedor cumplirá con cualquier RPO o RTO de menor duración para el que Kyndryl se haya comprometido con un Cliente, inmediatamente después de que Kyndryl notifique al Proveedor por escrito dicho RPO o RTO de menor duración (un correo electrónico se considera por escrito). En lo que respecta a los demás Servicios proporcionados por el Proveedor a Kyndryl, el Proveedor garantizará que sus planes de continuidad empresarial y recuperación tras desastre estén diseñados para proporcionar un RPO y RTO que permitan al Proveedor cumplir todas sus obligaciones con Kyndryl bajo este Documento Transaccional y el acuerdo base asociado entre las partes, y estas Condiciones, incluidas sus obligaciones de proporcionar pruebas, soporte y mantenimiento.

5.7 El Proveedor mantendrá medidas diseñadas para evaluar, probar y aplicar parches de advertencia de seguridad a los Servicios y Entregables y sus sistemas, redes, aplicaciones y componentes subyacentes asociados en el ámbito de dichos Servicios y Entregables, así como los sistemas, redes, aplicaciones y componentes subyacentes utilizados en el Manejo de Tecnologías de Kyndryl. Tras determinar que un parche de advertencia de seguridad es aplicable y adecuado, el Proveedor implementará dicho parche conforme con las directrices documentadas de evaluación del riesgo y la gravedad. La implementación del Proveedor de parches de advertencia de seguridad estará sujeta a su política de gestión de cambios.

5.8 Si Kyndryl tiene una base razonable para considerar que el hardware o el software que el Proveedor proporciona a Kyndryl puede contener elementos intrusivos, como spyware, malware o código malicioso, el Proveedor cooperará oportunamente con Kyndryl en la investigación y solución de las sospechas de Kyndryl.

6. Aprovisionamiento de Servicio

6.1 El Proveedor dará soporte a los métodos comunes de autenticación federada del sector para cualquier cuenta de usuario o Cliente de Kyndryl, y el Proveedor seguirá las Prácticas Recomendadas del Sector en la autenticación de dichas cuentas de Usuario o Cliente de Kyndryl (como el inicio de sesión único de diversos factores de gestión centralizada de Kyndryl, utilizando OpenID Connect o SAML).

7. Subcontratistas. Sin limitación de las obligaciones del Proveedor o los derechos de Kyndryl bajo el Documento Transaccional o el acuerdo base asociado entre las partes con respecto a la retención de subcontratistas, el Proveedor se asegurará de que cualquier subcontratista que realice trabajos para el Proveedor haya instituido controles de gestión para cumplir los requisitos y obligaciones que estas Condiciones imponen al Proveedor.

8. Soporte Físico. El Proveedor saneará de forma segura los soportes físicos para su reutilización antes de dicha reutilización y destruirá los soportes físicos que se van a reutilizar, de conformidad con las Prácticas Recomendadas del Sector para el saneamiento de soportes.