Acuerdo de Procesamiento de Datos (DPA)

Para los propositos de este Acuerdo: **"Datos Personales"** significa cualquier informacion relacionada con una persona fisica identificada o identificable, segun se define en el Articulo 4(1) del GDPR. **"Procesamiento"** significa cualquier operacion realizada sobre Datos Personales, incluyendo recopilacion, almacenamiento, uso, divulgacion o eliminacion. **"Responsable del Tratamiento"** significa la persona fisica o juridica que determina los fines y medios del procesamiento de Datos Personales (el Cliente). **"Encargado del Tratamiento" o "Procesador"** significa la persona que procesa Datos Personales en nombre del Responsable (VEN-USA). **"Sub-encargado" o "Sub-procesador"** significa cualquier tercero contratado por el Procesador para procesar Datos Personales. **"Violacion de Datos Personales"** significa una brecha de seguridad que resulte en la destruccion, perdida, alteracion, divulgacion no autorizada o acceso a Datos Personales. **"Clausulas Contractuales Tipo" o "SCCs"** significa las clausulas tipo adoptadas por la Comision Europea para transferencias internacionales de datos (Decision 2021/914). **"Interesado"** significa la persona fisica cuyos Datos Personales son procesados.

**2.1 Aplicabilidad** Este DPA se aplica cuando VEN-USA procesa Datos Personales en nombre del Cliente como parte de: - Gestion de cotizaciones y pedidos - Procesamiento de envios y logistica internacional - Servicios de soporte al cliente - Uso de nuestra plataforma web **2.2 Rol de las Partes** - El Cliente actua como Responsable del Tratamiento - VEN-USA actua como Encargado del Tratamiento - Este DPA rige el procesamiento realizado por VEN-USA en nombre del Cliente **2.3 Jerarquia de Documentos** En caso de conflicto entre este DPA y otros acuerdos, este DPA prevalece en lo relativo a proteccion de datos.

VEN-USA se compromete a: **3.1 Procesamiento segun Instrucciones** - Procesar Datos Personales unicamente segun las instrucciones documentadas del Cliente - Informar al Cliente si considera que una instruccion infringe el GDPR - No procesar datos para fines propios **3.2 Confidencialidad** - Garantizar que el personal autorizado para procesar datos esta sujeto a obligaciones de confidencialidad - Limitar el acceso a datos al personal que lo requiera - Mantener acuerdos de confidencialidad con todos los empleados **3.3 Seguridad del Procesamiento (Art. 32 GDPR)** Implementar medidas tecnicas y organizativas apropiadas, incluyendo: - Cifrado de datos en transito (TLS 1.3) y en reposo (AES-256) - Seudonimizacion cuando sea apropiado - Capacidad de garantizar confidencialidad, integridad y disponibilidad - Capacidad de restaurar acceso a datos en caso de incidente - Procesos de evaluacion periodica de seguridad **3.4 Asistencia al Responsable** Asistir al Cliente en: - Responder a solicitudes de ejercicio de derechos de los interesados - Cumplir obligaciones de seguridad (Art. 32) - Notificacion de violaciones de datos (Art. 33-34) - Evaluaciones de impacto de proteccion de datos (Art. 35-36) **3.5 Devolucion y Eliminacion** A la finalizacion del servicio: - Devolver todos los Datos Personales al Cliente, o - Eliminarlos de forma segura, a eleccion del Cliente - Certificar por escrito la eliminacion completa

**4.1 Autorizacion General** El Cliente otorga autorizacion general para que VEN-USA contrate sub-procesadores, sujeto a las siguientes condiciones. **4.2 Lista Actual de Sub-procesadores**

**5.1 Ubicacion del Procesamiento** VEN-USA procesa datos principalmente en Estados Unidos. **5.2 Mecanismos de Transferencia** Para transferencias de datos desde la UE/EEE a paises sin decision de adecuacion, utilizamos: **Clausulas Contractuales Tipo (SCCs):** - Aplicamos las SCCs de la Comision Europea (Decision 2021/914) - Modulo 2: Responsable a Encargado (Controller to Processor) - Las SCCs se incorporan por referencia a este DPA **EU-US Data Privacy Framework:** - Trabajamos con proveedores certificados bajo el DPF cuando esta disponible **5.3 Medidas Suplementarias** Ademas de las SCCs, implementamos: - Cifrado de extremo a extremo para datos en transito - Cifrado AES-256 para datos en reposo - Controles de acceso basados en roles - Registros de auditoria completos - Evaluaciones de impacto de transferencias (TIA) **5.4 Solicitud de Acceso Gubernamental** En caso de recibir una solicitud de acceso gubernamental: - Notificaremos al Cliente (si esta legalmente permitido) - Impugnaremos solicitudes excesivas o ilegales - Proporcionaremos solo el minimo de datos legalmente requeridos **5.5 Copia de SCCs** El Cliente puede solicitar una copia ejecutada de las SCCs contactando: privacidad@ven-usa.com

VEN-USA implementa las siguientes medidas de seguridad: **6.1 Seguridad Fisica** - Centros de datos con certificacion SOC 2 e ISO 27001 - Control de acceso biometrico y con tarjeta - Vigilancia 24/7 y deteccion de intrusos - Proteccion contra incendios y control ambiental **6.2 Seguridad de Red** - Firewalls de aplicacion web (WAF) - Sistemas de deteccion y prevencion de intrusiones (IDS/IPS) - Segmentacion de red - Monitoreo continuo de trafico **6.3 Seguridad de Datos** - Cifrado TLS 1.3 para datos en transito - Cifrado AES-256 para datos en reposo - Gestion segura de claves (HSM) - Copias de seguridad cifradas con retencion geograficamente distribuida **6.4 Control de Acceso** - Autenticacion multifactor (MFA) obligatoria - Principio de minimo privilegio - Revision periodica de accesos - Revocacion inmediata al cesar funciones **6.5 Seguridad de Aplicaciones** - Desarrollo seguro (SDLC) - Pruebas de penetracion anuales - Escaneo automatizado de vulnerabilidades - Actualizaciones de seguridad regulares **6.6 Gestion de Personal** - Verificacion de antecedentes - Formacion en seguridad y privacidad - Politicas de uso aceptable - Acuerdos de confidencialidad **6.7 Continuidad del Negocio** - Plan de recuperacion ante desastres - RTO (Recovery Time Objective): 4 horas - RPO (Recovery Point Objective): 1 hora - Pruebas de recuperacion semestrales

**7.1 Notificacion al Cliente** VEN-USA notificara al Cliente sin demora indebida, y en cualquier caso dentro de 48 horas desde el conocimiento de una Violacion de Datos Personales que afecte a datos del Cliente. **7.2 Contenido de la Notificacion** La notificacion incluira, en la medida disponible: - Descripcion de la naturaleza de la violacion - Categorias y numero aproximado de interesados afectados - Categorias y numero aproximado de registros afectados - Nombre y datos de contacto del DPO o punto de contacto - Descripcion de las consecuencias probables - Medidas adoptadas o propuestas para remediar la violacion **7.3 Asistencia en la Investigacion** VEN-USA cooperara plenamente con el Cliente en: - Investigacion de la violacion - Preparacion de notificaciones a autoridades (Art. 33 GDPR) - Preparacion de comunicaciones a interesados (Art. 34 GDPR) - Implementacion de medidas correctivas **7.4 Documentacion** Mantendremos un registro de todas las violaciones de datos, incluyendo: - Hechos relacionados con la violacion - Efectos de la violacion - Medidas correctivas adoptadas **7.5 Contacto de Emergencia** Para reportar incidentes de seguridad: seguridad@ven-usa.com Linea de emergencia 24/7: +1 (954) 954-6826

**8.1 Asistencia al Cliente** VEN-USA asistira al Cliente en el cumplimiento de sus obligaciones de responder a solicitudes de ejercicio de derechos de los interesados, incluyendo: - **Derecho de Acceso** (Art. 15): Proporcionar informacion sobre datos procesados - **Derecho de Rectificacion** (Art. 16): Corregir datos inexactos - **Derecho de Supresion** (Art. 17): Eliminar datos cuando corresponda - **Derecho de Limitacion** (Art. 18): Restringir el procesamiento - **Derecho de Portabilidad** (Art. 20): Proporcionar datos en formato estructurado - **Derecho de Oposicion** (Art. 21): Cesar procesamiento especifico **8.2 Procedimiento** - El Cliente gestionara directamente las solicitudes de interesados - VEN-USA redirigira al Cliente cualquier solicitud recibida directamente - Responderemos a solicitudes de asistencia dentro de 10 dias habiles - Las solicitudes complejas pueden requerir tiempo adicional **8.3 Costes** La asistencia basica se proporciona sin coste adicional. Solicitudes que requieran esfuerzo extraordinario podran estar sujetas a tarifas razonables.

**9.1 Derecho de Auditoria** El Cliente tiene derecho a: - Solicitar informacion sobre cumplimiento - Realizar auditorias o inspecciones - Encargar auditorias a terceros independientes **9.2 Procedimiento de Auditoria** - Solicitud por escrito con 30 dias de antelacion - Alcance acordado mutuamente - Realizacion durante horario comercial normal - Medidas de confidencialidad aplicables - El auditor firmara NDA si es necesario **9.3 Certificaciones y Reportes** VEN-USA proporciona evidencia de cumplimiento mediante: - Certificaciones ISO 27001 de proveedores de infraestructura - Reportes SOC 2 Type II (disponibles bajo NDA) - Resultados de pruebas de penetracion (resumen ejecutivo) - Politicas de seguridad documentadas **9.4 Costes de Auditoria** - Auditorias documentales: sin coste - Auditorias in-situ: costes razonables del tiempo de personal de VEN-USA - Auditorias adicionales (mas de 1 anual): sujetas a negociacion de costes

**10.1 Responsabilidad del Procesador** VEN-USA sera responsable de los danos causados por el procesamiento unicamente cuando: - No haya cumplido las obligaciones especificas del GDPR para procesadores - Haya actuado fuera o en contra de las instrucciones legales del Cliente **10.2 Indemnizacion** Cada parte indemnizara a la otra por: - Multas administrativas derivadas de su incumplimiento - Reclamaciones de terceros por violacion de sus obligaciones bajo este DPA - Costes legales razonables de defensa **10.3 Limitaciones** Las limitaciones de responsabilidad del acuerdo principal se aplican a este DPA, excepto cuando la ley aplicable lo prohiba (p.ej., dano intencional o negligencia grave). **10.4 Seguro** VEN-USA mantiene seguro de responsabilidad profesional y ciber-seguro con cobertura adecuada para sus operaciones.

**11.1 Vigencia** Este DPA permanece vigente durante toda la duracion del Acuerdo Principal entre las partes. **11.2 Terminacion del Procesamiento** A la terminacion del Acuerdo Principal: 1. VEN-USA cesara inmediatamente el procesamiento de nuevos datos 2. Dentro de 30 dias, el Cliente elegira entre: a) Devolucion de todos los Datos Personales, o b) Eliminacion segura de todos los datos 3. VEN-USA certificara por escrito el cumplimiento **11.3 Retencion Post-Terminacion** VEN-USA puede retener datos unicamente cuando: - La ley aplicable lo requiera (obligaciones fiscales, etc.) - Sea necesario para defensa legal En estos casos, los datos permaneceran protegidos bajo este DPA. **11.4 Supervivencia** Las clausulas de confidencialidad, responsabilidad y aquellas que por su naturaleza deban sobrevivir, continuaran vigentes tras la terminacion.

**12.1 Ley Aplicable** Este DPA se rige por las leyes del Estado de Florida, EE.UU., sin perjuicio de la aplicacion del GDPR para interesados en la UE. **12.2 Jurisdiccion** Los tribunales del Condado de Miami-Dade, Florida, tendran jurisdiccion exclusiva, excepto para reclamaciones relacionadas con derechos bajo GDPR que pueden presentarse ante tribunales de la UE. **12.3 Modificaciones** Este DPA puede modificarse mediante acuerdo escrito de ambas partes. Las actualizaciones para cumplimiento legal se comunicaran con 30 dias de antelacion. **12.4 Integridad del Acuerdo** Este DPA, junto con las SCCs incorporadas y el Acuerdo Principal, constituye el acuerdo completo sobre proteccion de datos entre las partes. **12.5 Divisibilidad** Si alguna disposicion es declarada invalida, las demas permanecen en vigor. **12.6 Contacto para este DPA** Email: privacidad@ven-usa.com Direccion: Attn: Data Protection Officer VEN-USA International Trade Corp. 2000 NW 89th Place Doral, FL 33172, USA

**A.1 Categorias de Interesados** - Empleados y representantes del Cliente - Clientes finales del Cliente - Proveedores y contactos comerciales del Cliente **A.2 Categorias de Datos Personales** - Datos de identificacion (nombre, cargo) - Datos de contacto (email, telefono, direccion) - Datos de empresa (nombre, RIF/NIF) - Datos transaccionales (pedidos, facturas) - Datos de envio (direcciones, referencias de tracking) - Datos tecnicos (IP, logs de acceso) **A.3 Datos Sensibles** No se procesan categorias especiales de datos (Art. 9 GDPR) bajo este acuerdo. **A.4 Finalidades del Procesamiento** - Gestion de cotizaciones y pedidos - Coordinacion de envios internacionales - Facturacion y documentacion comercial - Soporte al cliente - Cumplimiento de obligaciones legales **A.5 Duracion del Procesamiento** - Datos activos: durante la relacion comercial - Datos de transacciones: 7 anos (obligaciones fiscales) - Datos de soporte: 3 anos - Ver Politica de Privacidad para detalles completos