Declaración de Coupa sobre el marco de privacidad de datos

Declaración sobre el marco de privacidad de datos

conforme al marco de privacidad de datos UE-EE. UU., a su ampliación al Reino Unido y al marco de privacidad de datos Suiza-EE. UU.

Coupa (según se define más adelante) cumple el marco de privacidad de datos entre la Unión Europea y los Estados Unidos (DPF UE-EE. UU.), la ampliación de dicho marco al Reino Unido y el marco de privacidad de datos entre Suiza y los Estados Unidos (DPF Suiza-EE. UU.), conforme a lo estipulado por el Departamento de Comercio de los Estados Unidos. Coupa ha certificado ante el mencionado Departamento que se atiene a los principios del marco de privacidad de datos entre la Unión Europea y los Estados Unidos (principios del DPF UE-EE. UU.) en lo que respecta al tratamiento de los datos personales recibidos de la Unión Europea al amparo del DPF UE-EE. UU. y del Reino Unido (y Gibraltar) al amparo de la ampliación del DPF UE-EE. UU. al Reino Unido. Asimismo, Coupa ha certificado ante el Departamento de Comercio de los Estados Unidos que se atiene a los principios del marco de privacidad de datos entre Suiza y los Estados Unidos (principios del DPF Suiza-EE. UU.) en lo que respecta al tratamiento de los datos personales recibidos de Suiza al amparo del DPF Suiza-EE. UU.

En la presente declaración sobre el DPF, «Coupa», «nosotros», «nuestro», «nos» y las formas verbales en la primera persona del plural hacen referencia a Coupa Software Inc. y a las siguientes entidades de Coupa con sede en Estados Unidos:

• LLamasoft LLC
• Opex Analytics LLC
• Cirtuo, Inc.

Para obtener más información sobre el programa del marco de privacidad de datos («DPF») y para consultar la certificación de Coupa, visite https://www.dataprivacyframework.gov/

Ámbito de aplicación

En la presente declaración sobre el marco de privacidad de datos (en adelante, DPF), se describen los principios del DPF y se explica cómo los cumple Coupa.

Esta declaración sobre el DPF se aplica a los datos personales que Coupa transfiere desde el Espacio Económico Europeo (EEE), el Reino Unido y/o Suiza a los Estados Unidos de América al amparo del DPF UE-EE. UU., la ampliación del DPF UE-EE. UU. al Reino Unido y el DPF Suiza-EE. UU., conforme a lo establecido por el Departamento de Comercio de los Estados Unidos. En caso de conflicto entre las disposiciones de la presente declaración sobre el DPF y los principios del DPF UE-EE. UU. y/o los principios del DPF Suiza-EE. UU., prevalecerán los principios.

Asimismo, puede consultar la política de privacidad de Coupa para obtener más información sobre cómo recopilamos, utilizamos, comunicamos y protegemos los datos personales que usted nos envía, y sobre las transferencias transfronterizas de datos que realizamos y las medidas que adoptamos para proteger esos datos personales. En caso de conflicto entre las disposiciones de la política de privacidad de Coupa y los principios del DPF UE-EE. UU. y/o los principios del DPF Suiza-EE. UU., prevalecerán los principios.

Cómo nos referimos a los datos personales que tratamos y a los que se aplica esta declaración

«Datos personales» significa, a los efectos de la presente declaración, cualquier información relativa a una persona física identificada o identificable. En los principios del DPF y la presente declaración, se utilizan diversos términos definidos en la normativa aplicable en materia de privacidad de datos.

«Normativa aplicable en materia de privacidad de datos» puede comprender: (i) el Reglamento general de protección de datos (2016/679) de la Unión Europea («RGPD»), (ii) otras leyes de protección de datos aplicables en los Estados miembros del EEE, (iii) la Ley de Protección de Datos de 2018 del Reino Unido, y/o (iv) la Ley Federal Suiza sobre Protección de Datos («FADP»).

Recopilamos, conservamos, utilizamos y compartimos «datos personales empresariales» y «datos personales de recursos humanos». Lo que entendemos por estos términos es lo siguiente:

Los «datos personales empresariales» son aquellos datos personales que permiten identificar y autenticar a las personas que trabajan para nosotros o con nosotros, así como a quienes proporcionamos bienes o servicios, coordinarse y/o comunicarse con ellas, recibir sus comunicaciones o facilitar la comunicación entre ellas. Entre estas personas se incluyen, sin carácter exhaustivo, los miembros del personal, agentes, contratistas, clientes, proveedores, usuarios de nuestros bienes y servicios, y otros individuos con quienes, o por mediación de quienes, hacemos o podríamos hacer negocios, o en cuyo beneficio desarrollamos nuestra actividad. Los datos personales empresariales comprenden, entre otros, datos de contacto e identificación, información sobre ubicación y planes de viaje, información sobre los bienes y/o servicios que nos proporcionarán o que les proporcionaremos, las aplicaciones utilizadas y la forma y el alcance del uso de estas aplicaciones, así como datos de directorio, como su nombre, número de teléfono (móvil y/o fijo), número de fax, dirección de correo electrónico, dirección postal, usuario, dirección IP, fotografía, idiomas hablados, cargo, función en la empresa y sistemas o procesos que las personas están autorizadas a utilizar.

Los «datos personales de recursos humanos» son la información relativa a la administración de personal y las prestaciones que una o varias empresas de Coupa utilizan para evaluar, contratar y/o retener a empleados y/o contratistas directos o indirectos, para gestionar la relación laboral o contractual con ellos y/o para recibir sus servicios o prestarles servicios, tanto si se está considerando a estos empleados y/o contratistas como posibles incorporaciones para trabajar para una o varias empresas de Coupa, o en beneficio de estas, como si ya lo hacen o lo han hecho.

Cómo cumplimos los principios del DPF

En los siguientes apartados se da cuenta de cómo protegen los datos los principios del DPF y de cómo se ajustan a esos principios las políticas y prácticas de Coupa.

Principio 1: notificación

• Participamos en el DPF UE-EE. UU., en la ampliación del DPF UE-EE. UU. al Reino Unido y en el DPF Suiza-EE. UU. y en esta declaración sobre el DPF se explica cómo lo hacemos. Para consultar la lista del DPF y obtener más información sobre el marco, consulte la lista del marco de privacidad de datos.
• Recopilamos datos personales empresariales y datos personales de recursos humanos, conforme a las definiciones anteriores. Todas las empresas de Coupa recopilan los datos mencionados.
• Las filiales estadounidenses de Coupa que figuran a continuación también cumplen de la misma manera los principios del DPF.
  • LLamasoft LLC
  • Opex Analytics LLC
• Nos comprometemos a someter a dichos principios todos los datos personales recibidos del EEE, del Reino Unido y de Suiza, respectivamente, al amparo del DPF.
• Recopilamos datos personales por los motivos siguientes:
  1. A fin de poder contactar con los titulares de los datos y/o de que estos puedan ponerse en contacto entre sí con fines comerciales.
  2. A fin de proporcionar bienes o servicios a los titulares de los datos y/o a sus organizaciones, y/o recibir bienes o servicios de ellos y/o de sus organizaciones.
  3. A fin de supervisar el uso de nuestros bienes y servicios a efectos de mantenimiento, mejora y cumplimiento contractual.
  4. A fin de facilitar al personal, a los agentes y/o a los contratistas acceso a los sistemas y a las bases de datos necesarios para desempeñar su labor.
  5. A fin de gestionar eficazmente los recursos humanos, ofrecer oportunidades a las personas y, en general, facilitar asesoramiento y análisis sobre nuestras relaciones laborales y contractuales con quienes forman, han formado o podrían formar parte de nuestra plantilla y/o prestarnos servicios como contratistas.
• Para ponerse en contacto con nosotros, utilice los datos que figuran en el apartado «Cómo ponerse en contacto con Coupa» situado más abajo.
• Podríamos divulgar información personal a terceros concretos para propósitos específicos, conforme a lo descrito en la política de privacidad de Coupa y lo explicado en más detalle a continuación:
  1. Personas con quienes mantenemos relaciones comerciales. Podríamos facilitar datos personales a terceras partes que intervienen en el suministro o la recepción de bienes y/o servicios, a fin de colaborar en dicho suministro o recepción.
  2. Proveedores externos. Podríamos facilitar datos personales a proveedores de servicios externalizados que desempeñan funciones de apoyo a nuestra actividad empresarial. Ello puede incluir el tratamiento y almacenamiento de datos, la administración de sistemas y otras funciones similares.
  3. Sucesores. Si vendemos o transferimos de cualquier otro modo la totalidad o una parte de nuestro negocio, o si estudiamos la posibilidad de hacerlo, podríamos transferir los datos personales asociados al negocio vendido o transferido, o cuya venta o transferencia se esté considerando, al comprador efectivo o potencial, o a cualquier otro cesionario, o bien podríamos compartirlos con él.
  4. Cumplimiento de exigencias legales. Podríamos compartir datos personales cuando consideremos que estamos obligados por ley a atender las solicitudes de información por parte de fuerzas y cuerpos de seguridad, organismos públicos, tribunales u otros terceros.
  5. Facilitamos información personal a terceros para cumplir los fines expuestos.
  6. Información anonimizada. Si anonimizamos los datos personales, podríamos ponerlos a disposición de cualquier persona y para cualquier fin.
• Tiene usted derecho a saber qué datos personales suyos poseemos. Puede acceder a esos datos personales poniéndose en contacto con nosotros mediante las indicaciones que figuran más abajo, en el apartado «Cómo ponerse en contacto con Coupa».
• Puede decidir qué datos personales suyos conservamos y cómo los utilizamos. Para leer más al respecto, consulte el punto Principio 2: elección.
• Coupa se compromete a resolver toda reclamación relacionada con la recopilación o el uso de datos personales. Las personas que quieran formular una consulta o reclamación respecto a la declaración de Coupa sobre el DPF primero deben ponerse en contacto con nosotros en la dirección siguiente:
  • Oficina de privacidad
    Coupa Software, Inc.
    [email protected]
• Estamos sujetos a las facultades de investigación y ejecución de la Comisión Federal de Comercio de los Estados Unidos (la «FTC»). Aquí puede obtener más información sobre la función de la FTC en la ejecución del DPF.
• En determinadas circunstancias, tiene usted derecho a recurrir a un arbitraje vinculante. Para obtener más información sobre las condiciones del arbitraje vinculante, puede consultar el sitio web del DPF.
• Divulgaremos datos personales en respuesta a las solicitudes legales de las autoridades públicas, incluyendo requerimientos de seguridad nacional o de aplicación de la ley.
• Si transferimos datos personales a un tercero y dicha transferencia, o un acto u omisión de dicho tercero, ocasiona una vulneración de los principios, responderemos por la transferencia y/o el acto u omisión, salvo que demostremos que no somos responsables del hecho causante del daño.

Principio 2: elección

• Tiene usted derecho a decidir (opt-out u oposición) si sus datos personales (i) son comunicados o no a un tercero, o si (ii) son utilizados o no para un fin que difiera sustancialmente de los fines para los que se recopilaron originalmente o para los que usted haya dado su autorización posteriormente.
• Si desea ejercer su derecho de oposición, solo tiene que comunicárnoslo mediante los datos que figuran en el apartado «Cómo ponerse en contacto con Coupa».
• La normativa aplicable en materia de privacidad de datos contempla varias excepciones al derecho de oposición, por ejemplo, en el caso de los contratos en ejecución de los que somos parte, los casos en los que la ley nos obliga a conservar dicha información o en otros supuestos. Cuando la legislación aplicable nos permita conservar y seguir utilizando dicha información y así lo hagamos, lo haremos únicamente en la medida en la que la legislación lo permita o exija.
• Si se pone en contacto con nosotros para ejercer su derecho de oposición, le explicaremos las opciones disponibles y atenderemos su solicitud de conformidad con los principios y la legislación aplicable.
• La posibilidad antes descrita de oponerse al tratamiento no regirá en los casos en que compartimos los datos personales con un tercero que actúa como nuestro agente (por ejemplo, un proveedor que presta servicios que nos ayudan a desarrollar nuestra actividad empresarial). En esas circunstancias, no facilitamos sus datos personales a terceros, salvo que hayamos suscrito un contrato con ellos que los obligue a cumplir los principios.
• Solicitaremos su expreso consentimiento (opt-in o aceptación explícita) si relacionamos información delicada y esta va a ser (i) divulgada a un tercero o (ii) utilizada para fines distintos de aquellos para los que se recopiló originalmente o para los que se haya dado permiso posterior mediante el ejercicio del consentimiento expreso. También consideramos delicados los datos personales que recibimos de terceros cuando estos así los identifican y los tratan como tales.

Principio 3: responsabilidad por las transferencias ulteriores

• Cuando transferimos datos personales a un tercero que actúa como responsable del tratamiento, cumplimos los principios de notificación y elección según lo indicado anteriormente.
• Además, en los contratos que suscribimos con estos terceros que actúan como responsables del tratamiento, se estipula que dichos datos solo pueden tratarse para fines limitados y específicos, acordes con el consentimiento otorgado por la persona y que el tercero responsable del tratamiento ofrecerá el mismo nivel de protección que el establecido en los principios y nos avisará si llega a la conclusión de que no puede seguir cumpliendo esa obligación. Dichos contratos establecen que, cuando el tercero responsable del tratamiento llegue a tal conclusión, dejará de tratar los datos o adoptará otras medidas razonables y adecuadas para subsanar la situación.
• Cuando transferimos datos personales a un tercero que actúa como agente, (i) transferimos dichos datos únicamente para fines concretos y limitados; (ii) exigimos, normalmente por contrato, al menos el mismo nivel de protección de la privacidad que establecen los principios; (iii) adoptamos medidas razonables y adecuadas para velar por que el agente efectivamente trate los datos personales transferidos de conformidad con las obligaciones de la organización en virtud de los principios; (iv) exigimos al agente que nos informe si concluye que ya no puede cumplir su obligación de proporcionar el mismo nivel de protección exigido por los principios; (v) adoptamos, previo aviso —incluyendo lo previsto en el punto (iv)—, medidas razonables y adecuadas para detener y subsanar cualquier tratamiento no autorizado; y (vi) proporcionamos al Departamento de Comercio de Estados Unidos, si así lo solicita, un resumen o una copia compulsada de las cláusulas pertinentes en materia de privacidad de nuestro contrato con dicho agente.

Principio 4: seguridad

• Adoptamos medidas razonables y adecuadas para proteger los datos personales frente a pérdidas, usos indebidos y accesos, divulgación, alteración o destrucción no autorizados, teniendo debidamente en cuenta los riesgos que entraña el tratamiento y la naturaleza de dichos datos. Para ello, seguimos prácticas y políticas internas concebidas para cumplir esos requisitos.

Principio 5: integridad de los datos y limitación de los fines

• Tratamos los datos personales necesarios para llevar a cabo nuestra actividad empresarial. Solo tratamos la información personal de forma pertinente y compatible con los fines para los que la recopilamos o para los que el titular de los datos haya dado permiso con posterioridad.
• Adoptamos medidas razonables para garantizar que los datos personales sean correctos y útiles para el uso previsto, y estén completos y actualizados.
• Nos regiremos por los principios mientras conservemos los datos personales.
• Salvo que los principios permitan lo contrario, destruiremos o anonimizaremos los datos personales cuando dejen de responder a los susodichos fines del tratamiento y/o cuando deje de haber una base jurídica para su tratamiento.

Principio 6: acceso

• Facilitamos a los titulares de los datos el acceso a los datos personales que obran en nuestro poder y que les conciernen, y les ayudaremos a corregir, modificar o eliminar dichos datos cuando sean incorrectos o cuando se hayan tratado contraviniendo los principios. Si desea ponerse en contacto con nosotros para acceder a su información, puede hacerlo mediante los datos que figuran en el apartado «Cómo ponerse en contacto con Coupa».
• Nos reservamos el derecho a limitar dicho acceso y la consiguiente actividad cuando la carga o los gastos que conlleve facilitarlo resulten desproporcionados en comparación con los riesgos para su privacidad entrañados por el caso concreto o cuando el acceso pudiera vulnerar los derechos de terceros.

Principio 7: recurso, aplicación y responsabilidad

• De conformidad con el DPF UE-EE. UU., la ampliación del DPF UE-EE. UU. al Reino Unido y el DPF Suiza-EE. UU., Coupa se compromete a resolver las reclamaciones relativas a la recopilación o al uso que hacemos de información personal. Quienes tengan alguna consulta o reclamación sobre el tratamiento que hacemos de los datos personales recibidos al amparo del DPF UE-EE. UU., la ampliación del DPF UE-EE. UU. al Reino Unido o el DPF Suiza-EE. UU. primero deberán ponerse en contacto con Coupa en:
  • Oficina de privacidad
    Coupa Software, Inc.
    [email protected]
• De conformidad con el DPF UE-EE. UU., la ampliación del DPF UE-EE. UU. al Reino Unido y el DPF Suiza-EE. UU., Coupa se compromete a colaborar con el grupo de expertos constituido por las autoridades de protección de datos de la UE (DPA), la Oficina del Comisionado de Información del Reino Unido (ICO) y el Comisionado Federal de Protección de Datos e Información de Suiza (FDPIC), respectivamente, y a cumplir sus recomendaciones en relación con las reclamaciones no resueltas relativas a nuestro tratamiento de los datos personales de recursos humanos recibidos al amparo del DPF UE-EE. UU., la ampliación del DPF UE-EE. UU. al Reino Unido y el DPF Suiza-EE. UU. en el contexto de la relación laboral.
• De conformidad con el DPF UE-EE. UU., la ampliación del DPF UE-EE. UU. al Reino Unido y el DPF Suiza-EE. UU., Coupa se compromete a remitir a JAMS, proveedor de servicios de resolución alternativa de litigios con sede en Estados Unidos, las reclamaciones no resueltas relacionadas con el tratamiento que damos a los datos personales recibidos al amparo de dichos marcos. Si no acusamos recibo oportunamente de su reclamación relacionada con los principios del DPF o si no la hemos resuelto de forma satisfactoria, puede informarse o presentar una reclamación en JAMS. Podrá acceder a los servicios de JAMS de forma gratuita.
• En determinadas circunstancias, tiene usted derecho a recurrir a un arbitraje vinculante. Para obtener más información sobre las condiciones del arbitraje vinculante, puede consultar el sitio web del DPF.
• El directivo identificado en nuestra certificación del DPF (que se puede consultar buscando nuestra empresa en https://www.dataprivacyframework.gov/) se encarga de verificar que nuestras declaraciones son veraces y que se han implantado las prácticas de privacidad. Es quien ostenta la autoridad necesaria para desempeñar tales funciones. Asimismo, de acuerdo con nuestras políticas y procedimientos, nuestro personal debe gestionar las reclamaciones y los incumplimientos conforme a lo establecido en los principios.
• El personal que infrinja nuestra política de privacidad será sometido a un proceso disciplinario. En nuestros procedimientos, recogidos en los manuales, las descripciones de puestos de trabajo, las políticas y los avisos pertinentes, se hace constar nuestro cumplimiento de los principios y se prevén las sanciones oportunas en caso de incumplimiento por parte de nuestro personal y nuestros agentes.
• Atenderemos sin demora todas las solicitudes de información relativas al DPF que formule cualquier organismo público competente y nos ocuparemos de que nuestros mecanismos de recurso independientes hagan lo propio. Asimismo, responderemos a las reclamaciones de las autoridades de los Estados miembros de la UE, del Reino Unido o de Suiza conforme a lo exigido por los principios.
• Nos responsabilizaremos del cumplimiento de los principios por parte de nuestros agentes en relación con todos los datos personales que recibimos en virtud del DPF. Exigimos a nuestros agentes, por contrato u otros medios, que cumplan los principios al tratar dichos datos personales. Seremos responsables de dicho tratamiento y seguiremos siéndolo, salvo que demostremos que no somos responsables del evento causante del daño.
• Si, a raíz de un incumplimiento, somos objeto de una resolución de la FTC o de un tribunal, haremos públicas las secciones pertinentes relacionadas con el DPF de cualquier informe sobre cumplimiento o evaluación presentado ante la FTC, en la medida en que sea compatible con las obligaciones de confidencialidad.

Cómo ponerse en contacto con Coupa

Puede ponerse en contacto con nosotros por los medios siguientes:

Oficina de privacidad
Coupa Software, Inc.
[email protected]