ACUERDO DE PROTECCIÓN DE DATOS DE CRITEO

PREÁMBULO

El presente Acuerdo de Protección de Datos de Criteo (en adelante, el “APD”) complementa las Condiciones Generales de Servicio de Criteo (en adelante, las “Condiciones”) y las Condiciones Específicas de Servicio de Criteo pertinentes o cualquier otro acuerdo aplicable con el Cliente (colectivamente, el “Acuerdo”), incorporándose al Acuerdo entre Criteo y el Cliente para la prestación de los correspondientes Servicios.

Este APD describe las obligaciones de protección de datos y seguridad del Cliente y Criteo SA (RCS 484 786 249), salvo cuando la audiencia seleccionada por el Cliente se encuentre en los Estados Unidos de América, en cuyo caso el presente ADP será vinculante para el Cliente y para Criteo Corp. con respecto a cualquier tratamiento de datos personales realizado en relación con la prestación de los Servicios pertinentes, y descrito en el Aviso de privacidad de anuncios de Criteo, disponible en http://www.criteo.com/privacy, incluido el Tratamiento de los Datos de Servicio únicamente en la medida en que dichos datos contengan Datos Personales, de conformidad con los requisitos de la Legislación de Protección de Datos.

1 Definiciones

Todos los términos que comiencen por mayúscula y no estén definidos en el presente ADP tendrán el significado que se les atribuye en el Acuerdo.

“Autoridad reguladora” se refiere al poder público u organismo gubernamental aplicable responsable de supervisar el cumplimiento de la Ley de protección de datos, incluyendo sin limitación: la Comisión Nacional de la Informática y las Libertades de Francia – CNIL – (la autoridad reguladora de Criteo); la Oficina del Comisionado de Información del Reino Unido; la Agencia de Protección de la Privacidad de California; o también los procuradores generales del estado de EE. UU.

“Consentimiento” se refiere a cualquier indicación libremente dada, específica, informada e inequívoca, a través de una declaración o una acción afirmativa clara del consentimiento del Interesado al Tratamiento de Datos Personales.

“Compartición” significa compartir, alquilar, ceder, divulgar, difundir, poner a disposición, transferir o, de cualquier otro modo, comunicar la Información Personal de una persona a un Tercero para fines de publicidad conductual entre contextos (según se define en la CCPA), haya o no una contraprestación económica u otra contraprestación de valor.

“Datos personales” se refiere a cualquier información que identifique, se relacione con, describa o sea susceptible de asociarse o vincularse razonablemente con una persona física identificada o identificable, un Interesado (o, cuando proceda conforme a la Legislación de Protección de Datos aplicable, un hogar), tratada en relación con la prestación de los Servicios correspondientes. El término incluye conceptos similares según se definen en la Legislación de Protección de Datos aplicable, como “Información Personal” e “Información de identificación personal.”

“Ley de Protección de Datos” significa todas las leyes y reglamentos presentes y futuros relativos al Tratamiento de Datos Personales, incluyendo sin limitación (a) el Reglamento General de Protección de Datos de la Unión Europea (“RGPD UE”), (b) la Directiva ePrivacy y cualquier ley nacional que la transponga o implemente, (c) la Ley de Protección de Datos del Reino Unido de 2018 y el RGPD (“RGPD del Reino Unido”), (d) la Ley de Privacidad del Consumidor de California (“CCPA”), modificada por la Ley de Derechos de Privacidad de California de 2020, (e) cualquier otra ley estatal estadounidense de protección de datos o de privacidad, incluidas, entre otras, las leyes de Virginia, Colorado, Connecticut, Utah, Oregón, Texas, Montana, Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Indiana, Kentucky, Maryland, Minnesota, Rhode Island, Tennessee y cualquier ley estatal futura o modificada; (f) la Lei Geral de Proteção de Dados brasileña (“LGPD”), (g) la Ley japonesa de Protección de la Información Personal (“APPI”), (h) la Ley de Protección de la Información Personal de Corea (“PIPA”), todas ellas en la medida en que hayan sido implementadas en cada jurisdicción correspondiente, así como cualquier normativa que las modifique, sustituya o resulte equivalente.

“Responsable del tratamiento” se refiere a la persona física o jurídica, autoridad pública, agencia u otro organismo que, sola o conjuntamente con otras, determina los fines y medios del Tratamiento de Datos personales. El término incluye conceptos similares según se definen en la Legislación de Protección de Datos aplicable, como “Empresa.”

“Tercero” significa la persona física o jurídica que recibe Información Personal de la Empresa para sus propias finalidades independientes y que no ha sido contratada por la Empresa como Proveedor de Servicios ni como contratista.

“Tratamiento” se refiere a cualquier operación o conjunto de operaciones que se realice en Datos personales o en conjuntos de Datos personales, ya sea por medios automatizados o no, como la recogida, el registro, la organización, estructuración, conservación, adaptación o alteración, recuperación, consulta, el uso, la comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, el cotejo o la combinación, limitación, supresión o destrucción.

“Venta” significa vender, alquilar, ceder, divulgar, difundir, poner a disposición, transferir o, de cualquier otro modo, comunicar Información Personal a un Tercero, ya sea verbalmente, por escrito, por medios electrónicos o por cualquier otro medio, a cambio de una contraprestación económica u otra contraprestación de valor, o según se defina en la Legislación de Protección de Datos.

“Violación de la seguridad de los Datos personales”

3.1 Cada Parte cumplirá, y tendrá que ser capaz de demostrar el cumplimiento de, sus respectivas obligaciones en virtud de la Ley de Protección de Datos y de conformidad con este APD.

3.2 Cada Parte declara y garantiza que: (i) no hará ni omitirá hacer nada que, mediante el uso de Datos Personales, sitúe a la otra Parte en infracción de la Bulk Data Transfer Rule; (ii) no es una persona cubierta (“covered person”, según se define en la Bulk Data Transfer Rule) ni está directa o indirectamente controlada por una persona cubierta; (iii) no se encuentra ubicada en un país de preocupación (“country of concern”, según se define en la Bulk Data Transfer Rule), ya sea por la presencia de una oficina o de personal; y (iv) se asegurará de que ningún Dato Personal asociado a Interesados estadounidenses se transfiera o resulte accesible, directa o indirectamente, a una persona cubierta o a un país de preocupación de forma que no se mantenga el pleno cumplimiento de la Bulk Data Transfer Rule por ambas Partes. Si una Parte es una persona extranjera (“foreign person”, según se define en la Bulk Data Transfer Rule) pero no una persona cubierta, deberá informar de inmediato a la otra Parte y al Departamento de Justicia de los EE. UU. de cualquier vulneración conocida o sospechada de las declaraciones anteriores, de conformidad con el 28 C.F.R. § 202.302. A petición escrita de una Parte, la otra Parte hará que un representante debidamente autorizado de dicha Parte firme una certificación que acredite el cumplimiento de esta sección y de la Bulk Data Transfer Rule. Por “Bulk Data Transfer Rule” se entenderán las “Provisions Pertaining to Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern or Covered Persons” (28 C.F.R. Parte 202) emitidas por el Departamento de Justicia de los EE. UU., según sean modificadas periódicamente, junto con toda la orientación que emita dicho Departamento y cualquier normativa comparable.

4 Autorizaciones

4.1 Una Parte no divulgará Datos personales a la otra Parte, excepto cuando la Parte divulgadora garantice que esta divulgación cumple con la Ley de Protección de Datos y que ha cumplido con cualquier requisito aplicable de información, notificación o de autorización o consentimiento del poder público o los Interesados pertinentes, con respecto a cualesquiera Datos personales que proporcione la Parte divulgadora a la otra Parte.

4.2 Nada de lo contenido en este APD prohibirá o limitará los derechos de Criteo a llevar a cabo la anonimización o deidentificación (según se define en la Ley de Protección de Datos) de los Datos personales tratados en relación con el Acuerdo, y en la medida en que lo exija la Ley de protección de datos, el Cliente autoriza por el presente a Criteo a ejecutar técnicas de anonimización en cumplimiento de la Ley de protección de datos. En aras de la claridad, los datos resultantes de la anonimización o de-identificación (según se define en la CCPA) no están sujetos a este APD. En tal caso, Criteo deberá: (i) adoptar medidas razonables para garantizar que los datos seudonimizados o desidentificados no puedan asociarse a una persona física o a un hogar; (ii) comprometerse públicamente a mantener y utilizar dichos datos exclusivamente en forma desidentificada y a no intentar reidentificarlos, salvo que la Ley de Protección de Datos lo permita expresamente; y (iii) obligar contractualmente a cualquier destinatario de dichos datos desidentificados, incluidos los subencargados, a cumplir los requisitos establecidos en la presente cláusula.

5 Cooperación

5.1 Las Partes cooperarán para cumplir con la Ley de protección de datos y con sus obligaciones conforme al presente APD.

5.2 Las Partes conservarán la documentación correspondiente sobre las actividades de Tratamiento llevadas a cabo por cada una de ellas y sobre su cumplimiento de la Ley de protección de datos y de este APD.

5.3 En caso de investigación, procedimiento, solicitud formal de información o documentación, o cualquier suceso similar en relación con una autoridad de protección de datos y en relación con el Tratamiento de Datos Personales en el marco de los Servicios, las Partes tratarán de forma inmediata y adecuada las consultas de la otra Parte relacionadas con el Tratamiento de Datos personales en virtud del Acuerdo.

5.4 En caso de cualquier modificación a la Ley de protección de datos o la promulgación de una nueva, las Partes de mutuo acuerdo realizarán las modificaciones o revisiones necesarias a este APD.

6 Delegados de protección de datos

(b) Tendrá en cuenta todos los principios de protección de datos previstos en la Ley de protección de datos, incluidos, entre otros, los principios de limitación de la finalidad, minimización de datos, precisión, limitación de conservación, seguridad, integridad y confidencialidad, transparencia y protección de Datos personales por diseño y por defecto.

(c) Mantendrá registros del Tratamiento de los Datos personales bajo su responsabilidad.

(d) Ejecutará medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad correspondiente a los riesgos que presenta el Tratamiento de los Datos personales que lleva a cabo (incluido, para el Cliente, en relación con las Propiedades digitales del Cliente), en particular para proteger los Datos personales contra la destrucción accidental o ilícita o la pérdida o alteración accidental, así como la divulgación o acceso no autorizados.

(e) Tomará todas las medidas necesarias para abordar cualquier Violación de la Seguridad de los Datos personales relacionada con los Datos personales que trata, mitigar sus efectos, prevenir posteriores infracciones de la seguridad de los datos personales y, cuando sea necesario, informará de ello a la(s) Autoridad(es) Reguladoras y a los Interesados.

(f) Cooperará en la preparación de las evaluaciones de impacto relativas a la protección de datos que sean necesarias.

(g) Llevará a cabo cualquier evaluación, consulta y/o notificación a las Autoridades Reguladoras o a los Interesados.

(h) Gestionará las solicitudes y/o quejas de los Interesados que reciba, en particular solicitudes relacionadas con el ejercicio de sus derechos en virtud de la Ley de protección de datos, incluidos los derechos de acceso, rectificación, supresión y objeción y el derecho a retirar el Consentimiento. Cuando una Parte reciba una solicitud de derecho de un Interesado con respecto a Datos personales tratados por la otra Parte, dicha Parte receptora remitirá al Interesado a la política de privacidad de la otra Parte explicando cómo ejercer su solicitud de derecho con dicha otra Parte, a fin de permitir que dicha otra Parte responda directamente a la solicitud del Interesado.

8 Obligaciones de Criteo

8.1 Criteo será el único responsable, de acuerdo con y en la medida requerida por la Ley de protección de datos, de incluir un enlace a la página de Política de Privacidad de Criteo (www.criteo.com/privacy), que incluirá información para los Interesados sobre cómo desactivar el Servicio Criteo (e insertará un enlace de “exclusión voluntaria”) en todos los anuncios publicados en las Propiedades digitales del Cliente.

9 Obligaciones del Cliente

9.1 El Cliente será el único responsable, de acuerdo con y en la medida requerida por la Ley de protección de datos, de:

(b) proporcionar un aviso adecuado en las Propiedades digitales del Cliente para cualquier Tratamiento de Datos personales pertinente por parte de Criteo, incluido un enlace a la política de privacidad de Criteo (www.criteo.com/privacy);

(c) recoger y documentar el Consentimiento o los procedimientos de exclusión del Tratamiento, según corresponda, obtenidas de los Interesados;

(d) implementar mecanismos de elección para solicitar y obtener un Consentimiento válido de los Interesados u ofrecer mecanismos de exclusión válidos (opt-out), según lo exija y de conformidad con la Ley de Protección de Datos y, cuando proceda, con los requisitos específicos de las Autoridades Reguladoras;

(e) cuando conforme a la Ley de Protección de Datos, el Cliente esté obligado a obtener un Consentimiento válido con carácter previo al Tratamiento de Datos Personales en el marco de los Servicios, ofrecer a los Interesados el derecho a retirar dicho Consentimiento;

(f) cuando, conforme a la Ley de Protección de Datos, el Cliente esté obligado a ofrecer mecanismos de exclusión válidos (opt-out) con carácter previo al Tratamiento de Datos Personales en el marco de los Servicios, ofrecer a los Interesados el derecho a excluirse de la Venta y la Compartición de sus Datos Personales y del uso de dichos Datos Personales con fines de publicidad conductual entre contextos;

(g) solicitar nuevamente el Consentimiento de los Interesados una vez haya expirado el período de validez de dicho Consentimiento (según lo previsto en la Legislación de Protección de Datos);

(h) cuando proceda, el Cliente declara y garantiza que cada uno de sus socios tecnológicos publicitarios terceros cuyo espacio publicitario en Propiedades Digitales se pone a la venta a través de la Plataforma de Criteo (cada uno, un “Proveedor Tercero con Consentimiento”) cumple íntegramente lo dispuesto en el presente ADP; y

(i) proporcionar sin demora a Criteo, previa solicitud y en cualquier momento, la prueba de que el Consentimiento de un Interesado ha sido obtenido por el Cliente.

Última actualización: Mayo 2026