Anexo de tratamiento de datos

Esta Adenda de Tratamiento de Datos (la “DPA”) se celebra entre Bailar, Inc., una sociedad de Delaware (sucesora por conversión estatutaria, con efecto a partir del 4 de mayo de 2026, de Bailar LLC, una sociedad de responsabilidad limitada de Florida) (“Bailar,” el “Encargado”) y el cliente que ha aceptado los Términos Maestros de Estudios de Bailar o que de otro modo ha contratado con Bailar el uso del Servicio para Estudios de Bailar o de cualquier API de Bailar asociada (el “Cliente,” el “Responsable”). La DPA forma parte de, y complementa, el acuerdo entre las partes (el “Acuerdo Principal”) y rige el tratamiento por Bailar de datos personales en nombre del Cliente en conexión con el uso por el Cliente del Servicio para Estudios de Bailar.

Cuando el Acuerdo Principal de las partes no requiera una DPA — por ejemplo, cuando Bailar y el Cliente actúen como responsables independientes de los datos personales de consumidores que fluyen a través del marketplace de Bailar — esta DPA aplica únicamente al conjunto limitado de actividades para las cuales el Cliente determina los fines y los medios del tratamiento y Bailar actúa según las instrucciones documentadas del Cliente. La carga por el Cliente de una lista de contactos, un padrón de clientes existentes, registros de asistencia u otros Datos Controlados por el Estudio en el Servicio para Estudios constituye instrucción documentada suficiente para que Bailar comience el tratamiento conforme a esta DPA.

1. DEFINICIONES

1.1 “Ley de Protección de Datos Aplicable” significa todas las leyes y reglamentos aplicables al tratamiento de datos personales conforme al Acuerdo Principal, incluyendo: el Reglamento General de Protección de Datos de la UE (Regulation (EU) 2016/679, “RGPD de la UE”); el Reglamento General de Protección de Datos del Reino Unido y la Data Protection Act 2018 (“RGPD del Reino Unido”); la Ley Federal Suiza de Protección de Datos (“Swiss FADP”); la California Consumer Privacy Act, según enmendada por la California Privacy Rights Act (Cal. Civ. Code §§ 1798.100 et seq., la “CCPA”); la Personal Information Protection and Electronic Documents Act de Canadá (“PIPEDA”); la Ley respecto de la protección de la información personal en el sector privado de Quebec (“Ley 25 de Quebec”); la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México (“LFPDPPP”); y cualquier otra ley de privacidad o de protección de datos aplicable a una parte en conexión con el Acuerdo Principal.

1.2 Los términos no definidos de otro modo en esta DPA — incluyendo “responsable,” “encargado,” “datos personales,” “interesado,” “tratamiento,” “subencargado,” “negocio,” “proveedor de servicios,” “venta” y “compartición” — tienen el significado que se les asigna en la Ley de Protección de Datos Aplicable. Las referencias a “responsable” incluyen “negocio” conforme a la CCPA; las referencias a “encargado” incluyen “proveedor de servicios” conforme a la CCPA.

1.3 “Datos Personales del Cliente” significa los datos personales que Bailar trata en nombre del Cliente conforme a esta DPA, según se describen con más detalle en el Anexo I.

2. ROLES Y ALCANCE

2.1 Respecto de los Datos Personales del Cliente, el Cliente es el responsable (o, conforme a la CCPA, el negocio) y Bailar es el encargado (o, conforme a la CCPA, el proveedor de servicios).

2.2 Bailar tratará los Datos Personales del Cliente únicamente según las instrucciones documentadas del Cliente (incluyendo a través del panel de Estudio, las llamadas a la API y las opciones de configuración que el Cliente elija), para los fines limitados y especificados establecidos en el Anexo I, y según sea necesario para cumplir con la Ley de Protección de Datos Aplicable. Si la ley exige a Bailar tratar los Datos Personales del Cliente de otro modo, Bailar informará al Cliente de ese requisito legal antes del tratamiento, salvo que la ley prohíba tal notificación por motivos importantes de interés público.

2.3 Bailar no (a) venderá ni compartirá Datos Personales del Cliente en el sentido de la CCPA o de cualquier ley estatal de privacidad equivalente; (b) conservará, usará ni divulgará Datos Personales del Cliente fuera de la relación comercial directa entre Bailar y el Cliente; (c) combinará Datos Personales del Cliente con datos personales que Bailar reciba de cualquier otra fuente para fines ajenos a la finalidad comercial documentada; ni (d) usará Datos Personales del Cliente para entrenar modelos fundacionales de IA de propósito general de terceros para su venta comercial o sublicencia.

2.4 Bailar informará de inmediato al Cliente si, a juicio de Bailar, una instrucción del Cliente infringe la Ley de Protección de Datos Aplicable.

3. PERSONAL Y CONFIDENCIALIDAD

Bailar se asegurará de que el personal autorizado para tratar Datos Personales del Cliente se haya comprometido a la confidencialidad o esté sujeto a una obligación legal adecuada de confidencialidad, y de que el acceso se limite al personal que necesite acceso para los fines documentados.

4. MEDIDAS DE SEGURIDAD

4.1 Bailar implementará y mantendrá medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo del tratamiento, teniendo en cuenta el estado de la técnica, los costos de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Estas medidas se describen en el Anexo II.

4.2 Las medidas están sujetas al progreso y desarrollo técnico. Bailar puede actualizarlas cada cierto tiempo, siempre que las actualizaciones no reduzcan de forma sustancial el nivel general de seguridad de los Datos Personales del Cliente.

5. SUBENCARGADOS

5.1 El Cliente otorga a Bailar una autorización general para contratar subencargados para tratar Datos Personales del Cliente, sujeta a las condiciones de esta Sección 5. La lista actual de subencargados de Bailar se publica en bailar.site/legal/subprocessors y se incorpora a esta DPA por referencia.

5.2 Antes de contratar a un nuevo subencargado (distinto de un sucesor de un subencargado existente en una reorganización rutinaria), Bailar dará al Cliente un aviso previo de al menos treinta (30) días actualizando la lista publicada de subencargados (o, si el Cliente se ha registrado para notificaciones de cambios, enviando un correo electrónico al contacto registrado). Durante el período de aviso, el Cliente puede oponerse al nuevo subencargado por motivos razonables de protección de datos escribiendo a [email protected]. Si las partes no pueden resolver la objeción dentro de los treinta (30) días siguientes a su recepción, el Cliente puede rescindir la porción afectada del Acuerdo Principal (sin penalización distinta del pago de las tarifas debidas por los servicios ya prestados).

5.3 Bailar impondrá a cada subencargado, mediante contrato escrito, obligaciones de protección de datos sustancialmente equivalentes a las impuestas a Bailar conforme a esta DPA. Bailar permanece responsable ante el Cliente por los actos y omisiones de sus subencargados respecto de los Datos Personales del Cliente.

6. TRANSFERENCIAS INTERNACIONALES DE DATOS

6.1 Bailar está establecido en los Estados Unidos y trata Datos Personales del Cliente en los Estados Unidos y en otros países donde operan sus subencargados (según se enumeran en bailar.site/legal/subprocessors).

6.2 UE / EEE, Reino Unido, Suiza. Cuando se transfieran Datos Personales del Cliente desde el EEE, el Reino Unido o Suiza a un país que no haya recibido una decisión de adecuación, las partes incorporan las Cláusulas Contractuales Tipo de la Comisión Europea para la transferencia de datos personales a terceros países (Commission Implementing Decision (EU) 2021/914, las “CCT de la UE”), según se enmienden cada cierto tiempo. Para estos fines, aplica el Módulo 2 (responsable a encargado); el Cliente es el exportador de datos y Bailar es el importador de datos. Se incorpora la cláusula opcional de adhesión (docking); la autoridad de control es la autoridad principal del Cliente (o, cuando el Cliente no tenga ninguna, la Comisión Irlandesa de Protección de Datos). Para las transferencias del Reino Unido, las partes también incorporan la UK International Data Transfer Addendum emitida por el Information Commissioner’s Office. Para las transferencias suizas, las partes incorporan las CCT / complementos equivalentes de la Swiss FADP.

6.3 Canadá y Quebec. Para las transferencias desde Canadá y Quebec, Bailar ha evaluado los regímenes de protección de datos de las jurisdicciones de destino de conformidad con el Principio 4.1.3 de la PIPEDA y el Artículo 17 de la Ley 25 de Quebec, y se apoya en salvaguardas contractuales con cada subencargado y en las medidas técnicas del Anexo II.

6.4 Otras transferencias. Cuando la Ley de Protección de Datos Aplicable de otra jurisdicción exija un mecanismo específico de transferencia, las partes negociarán de buena fe para incorporar ese mecanismo.

7. ASISTENCIA AL RESPONSABLE

7.1 Bailar, teniendo en cuenta la naturaleza del tratamiento, asistirá al Cliente mediante medidas técnicas y organizativas adecuadas (en la medida de lo posible) para cumplir las obligaciones del Cliente de responder a las solicitudes de los interesados que ejerzan sus derechos conforme a la Ley de Protección de Datos Aplicable.

7.2 Bailar asistirá al Cliente en el cumplimiento de las obligaciones de seguridad, notificación de violaciones, evaluación de impacto relativa a la protección de datos y consulta previa del Cliente conforme a la Ley de Protección de Datos Aplicable (incluidos los Artículos 32 a 36 del RGPD y sus equivalentes), teniendo en cuenta la naturaleza del tratamiento y la información disponible para Bailar.

8. NOTIFICACIÓN DE VIOLACIONES

Bailar notificará al Cliente sin dilación indebida (y, en cualquier caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de una violación de datos personales que involucre Datos Personales del Cliente) enviando un correo electrónico al contacto administrativo registrado del Cliente y, cuando esté razonablemente disponible para Bailar, al correo electrónico de la cuenta de Stripe Connect del Cliente. La notificación incluirá, en la medida en que entonces se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas para abordar la violación. Bailar proporcionará información adicional a medida que esté disponible.

9. AUDITORÍAS

9.1 Bailar pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de esta DPA, incluyendo mediante la entrega de los informes de auditoría de clase SOC 2 más recientes (o evaluaciones independientes equivalentes) de sus subencargados clave que Bailar reciba, y de la propia descripción general de seguridad de Bailar, a solicitud razonable del Cliente.

9.2 Cuando la información descrita en la Sección 9.1 no sea suficiente para demostrar el cumplimiento, el Cliente puede, con aviso razonable y no más de una vez por año calendario (salvo cuando lo exija una investigación de una autoridad de protección de datos), realizar una auditoría (o mandatar a un auditor independiente de terceros para que realice una auditoría) del tratamiento por Bailar de los Datos Personales del Cliente, a costa del Cliente, durante el horario laboral normal y sujeta a un compromiso razonable de confidencialidad.

10. DEVOLUCIÓN Y ELIMINACIÓN

Al terminar el Acuerdo Principal y a opción del Cliente, Bailar, dentro de treinta (30) días, devolverá los Datos Personales del Cliente al Cliente (en un formato estructurado, de uso común y lectura mecánica) o los eliminará. Bailar podrá conservar Datos Personales del Cliente posteriormente únicamente (a) en copias de seguridad cifradas de recuperación ante desastres durante la ventana móvil de 90 días descrita en la Política de Privacidad, tras la cual se rotan y se retiran; (b) en forma agregada o desidentificada que no identifique a ningún interesado; o (c) cuando la conservación sea exigida por la ley.

11. ORDEN DE PRELACIÓN Y VIGENCIA

11.1 Esta DPA aplica durante la vigencia del Acuerdo Principal y sobrevive a la terminación en la medida necesaria para que Bailar cumpla la Sección 10 (Devolución y Eliminación) y cualquier obligación posterior a la terminación conforme a la Ley de Protección de Datos Aplicable.

11.2 En caso de conflicto entre esta DPA y el Acuerdo Principal, esta DPA rige respecto del tratamiento por Bailar de Datos Personales del Cliente. En caso de conflicto entre esta DPA y las CCT de la UE (cuando estén incorporadas), las CCT de la UE rigen respecto de las transferencias regidas por ellas.

ANEXO I — ALCANCE DEL TRATAMIENTO

Objeto. Prestación del Servicio para Estudios de Bailar (y de cualquier API de Bailar usada por el Cliente) al Cliente conforme al Acuerdo Principal.

Naturaleza y finalidad del tratamiento. Alojar, transmitir, mostrar, indexar, clasificar, recomendar, moderar y dar soporte operativo a los Datos Personales del Cliente dentro del Servicio para Estudios de Bailar para que el Cliente pueda operar su estudio de danza, escuela, práctica de instructor o serie de eventos; enviar comunicaciones transaccionales y de ciclo de vida en nombre del Cliente; producir analítica operativa e informes para el Cliente; y prestar soporte técnico.

Duración del tratamiento. La vigencia del Acuerdo Principal más las ventanas de conservación descritas en la Sección 10 y en la Política de Privacidad.

Categorías de interesados. Los propios estudiantes, estudiantes prospectivos, miembros, asistentes, instructores y contratistas del Cliente, y el personal del Cliente que accede al panel de Estudio.

Categorías de datos personales. Datos de identificación (nombre, datos de contacto); datos de perfil (experiencia de danza, preferencias); datos de reservas y asistencia; comunicaciones entre el Cliente y sus interesados a través del Servicio para Estudios de Bailar; metadatos de pago (el pago subyacente es procesado por Stripe conforme a los propios términos de Stripe); y cualesquiera otros datos que el Cliente elija cargar en el Servicio para Estudios.

Categorías sensibles. El Servicio para Estudios no está diseñado para tratar categorías especiales de datos personales conforme al Artículo 9 del RGPD (salud, biometría, raza, religión, orientación sexual, opinión política). El Cliente acepta no cargar dichos datos en el Servicio para Estudios sin obtener primero una confirmación por escrito de Bailar de que el Servicio es adecuado para ese uso.

ANEXO II — MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Control de acceso. Control de acceso basado en roles, inicio de sesión único para el personal de Bailar, autenticación de dos factores para las superficies sensibles, aprovisionamiento de acceso con privilegio mínimo, registro de accesos y revisión periódica de accesos.

Cifrado. Cifrado en tránsito (TLS 1.2 o superior) en todos los endpoints orientados al cliente y en el tráfico entre servicios; cifrado en reposo para las bases de datos primarias, el almacenamiento de objetos y las copias de seguridad de recuperación ante desastres (AES-256 gestionado por el proveedor o equivalente).

Seguridad de red. Segmentación de red gestionada por el proveedor de nube; cortafuegos de aplicaciones web; protección DDoS en el borde de la CDN (Cloudflare); limitación de tasa y mitigación de bots en los endpoints públicos.

Seguridad de la aplicación. Ciclo de vida de desarrollo de software seguro, revisión de código para cambios relevantes para la seguridad, escaneo de dependencias, gestión de secretos, evaluación periódica de vulnerabilidades y CI/CD automatizado con comprobaciones exigidas.

Seguridad operativa. Registro y alertas centralizados (Sentry, Slack); rastro de auditoría de las acciones administrativas; proceso documentado de respuesta a incidentes y rotación de guardia; política publicada de divulgación de vulnerabilidades (bailar.site/legal/vulnerability-disclosure) con un compromiso de puerto seguro para investigadores de buena fe.

Copia de seguridad y recuperación ante desastres. Copias de seguridad cifradas diarias de la base de datos primaria con recuperación a un punto en el tiempo; conservación móvil de 90 días; redundancia geográfica a través del proveedor de nube; procedimiento documentado de restauración.

Personal. Obligaciones de confidencialidad para todo el personal; capacitación de concientización en seguridad; verificación de antecedentes proporcional al rol; revocación inmediata del acceso al dejar el puesto.

Gestión de proveedores. Criterios de selección de subencargados que favorecen a los proveedores que ofrecen DPA estándar y atestaciones de seguridad de terceros reconocidas; proceso documentado de revisión de proveedores.

CONTACTO

Bailar, Inc.
Attn: Privacy Officer
9805 Fosbak Dr
Vienna, VA 22182
United States
[email protected]