Acuerdo de Tratamiento de Datos de Cal.com

Versión 2.3 — Fecha de entrada en vigor: 1 de noviembre de 2026

Este Acuerdo de Tratamiento de Datos («DPA») forma parte del acuerdo que rige el uso de los Servicios por parte del Cliente («Acuerdo») entre el cliente identificado en el Acuerdo («Cliente») y Cal.com, Inc. («Cal.com»). El Cliente y Cal.com son, cada uno, una «Parte» y, conjuntamente, las «Partes». Sujeto a lo dispuesto en el §14.2, este DPA se aplica a todas las cuentas y planes del Cliente regidos por el Acuerdo y pasa a ser vinculante según lo dispuesto en el §16.4. La incorporación de este DPA a un acuerdo marco de servicios no incorpora las Condiciones del Servicio del sitio web de Cal.com a dicho acuerdo.

1. Alcance y roles

1.1 Este DPA se aplica cuando Cal.com trata Datos personales por cuenta del Cliente al prestar los Servicios.

1.2 En relación con los Datos personales del Cliente, el Cliente actúa como Responsable del tratamiento o como Encargado del tratamiento por cuenta de otro Responsable, según corresponda, y Cal.com actúa, en consecuencia, como Encargado o Subencargado del tratamiento del Cliente. En relación con los datos personales que Cal.com trata para sus propios fines, incluidos la administración de cuentas, la facturación, el marketing, la seguridad y el cumplimiento normativo, Cal.com actúa como Responsable independiente, según se describe en la Política de Privacidad de Cal.com.

1.3 Este DPA no rige el tratamiento realizado por servicios de terceros que el Cliente seleccione, conecte o configure y que Cal.com no opere como parte de los Servicios, por ejemplo el calendario, el proveedor de videoconferencias, CRM, webhooks, SMTP o automatización propios del Cliente. Sigue aplicándose al tratamiento por parte de Cal.com de los Datos personales del Cliente al proporcionar integraciones con esos servicios. El Cliente es responsable de su relación con esos terceros, de las instrucciones que les dé y de su uso lícito. Las funciones que Cal.com proporciona como parte de los Servicios, incluidas las funciones prestadas a través de Subencargados, como vídeo alojado por Cal.com y correo electrónico transaccional, siguen estando cubiertas por este DPA.

1.4 El Cliente no debe enviar, subir ni poner de otro modo a disposición a través de los Servicios ninguna Información Sanitaria Protegida, salvo que se haya suscrito un Business Associate Agreement («BAA») que cubra los Servicios pertinentes entre el Cliente y Cal.com. El Cliente es responsable de cualquier Información Sanitaria Protegida enviada incumpliendo esta sección. El Cliente puede tratar Datos personales sujetos al artículo 9 del GDPR o a una protección reforzada equivalente conforme a la Legislación Aplicable de Protección de Datos a través de la funcionalidad proporcionada en virtud del Acuerdo, siempre que el Cliente sea responsable de determinar que cuenta con una base jurídica y cualquier condición requerida para hacerlo, y de configurar los Servicios adecuadamente para esos datos.

1.5 Cuando el Cliente haya suscrito un BAA, el BAA prevalecerá en caso de conflicto entre este DPA y el BAA en relación con el uso, la divulgación, la privacidad o la seguridad de la Información Sanitaria Protegida (según se define en el BAA). Este DPA seguirá rigiendo todos los demás Datos personales del Cliente y cubrirá cualquier vacío que el BAA no aborde.

2. Definiciones e interpretación

«Legislación Aplicable de Protección de Datos» significa las leyes de protección de datos y privacidad aplicables al tratamiento de los Datos personales del Cliente, incluidas, cuando proceda, el GDPR, el UK GDPR, la Ley Federal Suiza de Protección de Datos, las Leyes Estatales de Privacidad de EE. UU. y las leyes de desarrollo o complementarias.

«Datos personales del Cliente» significa los Datos personales tratados por Cal.com por cuenta del Cliente en relación con los Servicios.

«EEE» significa el Espacio Económico Europeo.

«DPA Suscrito» significa un acuerdo de tratamiento de datos, distinto de este DPA, que el Cliente y Cal.com hayan firmado ambos.

«GDPR» significa el Reglamento (UE) 2016/679.

«Violación de Datos Personales» tiene el significado establecido en el GDPR.

«SCCs» significa las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021.

«Modificaciones Suizas» significa las modificaciones a las SCCs exigidas por el Comisionado Federal Suizo de Protección de Datos e Información para transferencias sujetas a la Ley Federal Suiza de Protección de Datos.

«Anexo del Reino Unido» significa el Anexo Internacional de Transferencia de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea emitido por el Comisionado de Información del Reino Unido en virtud de la sección 119A de la Data Protection Act 2018.

«Servicios» significa los servicios alojados de Cal.com de programación, reservas, vídeo, comunicación, integración y servicios relacionados proporcionados en virtud del Acuerdo.

«Subencargado» significa un tercero contratado por Cal.com para tratar Datos personales del Cliente por cuenta de Cal.com en relación con los Servicios. Los proveedores que tratan datos personales únicamente para los propios fines de Cal.com como Responsable independiente, incluidas herramientas de analítica y publicidad en el sitio web de marketing de Cal.com, no son Subencargados.

«Lista de Subencargados» significa la lista actual de Subencargados de Cal.com, disponible en trust.cal.com.

«Leyes Estatales de Privacidad de EE. UU.» significa la California Consumer Privacy Act, modificada por la California Privacy Rights Act, y otras leyes estatales estadounidenses de aplicación general que regulen el tratamiento de información personal, junto con sus reglamentos de desarrollo, en cada caso en la medida en que sean aplicables.

«BAA» significa un Business Associate Agreement, si se ha suscrito entre el Cliente y Cal.com, que rige el uso y la divulgación de Información Sanitaria Protegida en virtud de HIPAA. Cuando no haya un BAA en vigor, las referencias a un BAA en este DPA no se aplicarán.

«Responsable», «Encargado», «Interesado», «Datos personales», «Tratamiento» y términos relacionados tienen los significados establecidos en la Legislación Aplicable de Protección de Datos. En virtud de las Leyes Estatales de Privacidad de EE. UU., «Responsable» incluye «empresa», «Encargado» incluye «proveedor de servicios» y «contratista», y «Datos personales» incluye «información personal».

3. Instrucciones de tratamiento

3.1 Cal.com tratará los Datos personales del Cliente únicamente: (a) para proporcionar, proteger, respaldar, mantener y mejorar los Servicios de conformidad con el Acuerdo, este DPA, la configuración y el uso documentados de los Servicios por parte del Cliente y la legislación aplicable; (b) conforme a las instrucciones documentadas adicionales del Cliente que sean coherentes con el Acuerdo y este DPA; o © cuando lo exija la legislación aplicable, en cuyo caso Cal.com informará al Cliente de ese requisito legal antes del tratamiento, salvo que la legislación aplicable prohíba dicha notificación.

3.2 El Cliente es responsable de garantizar que sus instrucciones y su recogida, uso, divulgación y demás tratamiento de los Datos personales del Cliente a través de los Servicios cumplan la Legislación Aplicable de Protección de Datos.

3.3 El objeto, la duración, la naturaleza, los fines, las categorías de Interesados, las categorías de Datos Personales y las operaciones de tratamiento se establecen en el Anexo 1.

3.4 Si Cal.com considera que una instrucción del Cliente infringe la Legislación Aplicable en Materia de Protección de Datos, Cal.com informará sin demora al Cliente de esa opinión, y Cal.com podrá suspender la ejecución de la instrucción afectada hasta que el Cliente la confirme, modifique o retire.

4. Confidencialidad y personal

4.1 Cal.com se asegurará de que las personas autorizadas para tratar los Datos Personales del Cliente estén sujetas a obligaciones de confidencialidad adecuadas o a un deber legal de confidencialidad adecuado.

4.2 Cal.com limitará el acceso a los Datos Personales del Cliente al personal y a los Subencargados que necesiten acceso para prestar, proteger, dar soporte o mantener los Servicios.

5. Seguridad

5.1 Teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los Interesados, Cal.com implementará y mantendrá medidas técnicas y organizativas adecuadas para proteger los Datos Personales del Cliente, según exige el artículo 32 del GDPR.

5.2 Cal.com incluye, según proceda, entre sus medidas de seguridad: control de acceso y prácticas de privilegio mínimo; cifrado en tránsito y en reposo cuando corresponda; controles de autenticación, incluidos SSO y autenticación multifactor para los sistemas pertinentes; desarrollo seguro, gestión de vulnerabilidades, registros, supervisión, respuesta a incidentes, copias de seguridad y prácticas de resiliencia; y pruebas de seguridad periódicas y actividades de garantía independiente adecuadas a los Servicios.

5.3 Cal.com podrá actualizar o modificar sus medidas de seguridad ocasionalmente, siempre que los cambios no reduzcan de forma material la seguridad general de los Servicios.

6. Subencargados

6.1 Autorización general. El Cliente concede a Cal.com una autorización general por escrito para contratar Subencargados que traten los Datos Personales del Cliente para la prestación, funcionamiento, seguridad, soporte, mantenimiento y mejora de los Servicios. Cuando el Cliente actúe como Encargado, cualquier autorización del Responsable que sea necesaria deberá obtenerse y comunicarse de acuerdo con las SCCs aplicables; la autorización del Cliente no la sustituye.

6.2 Subencargados actuales. El Cliente autoriza que Cal.com use los Subencargados enumerados en la Lista de Subencargados en la fecha de entrada en vigor de este DPA.

6.3 Cambios en los Subencargados. Antes de que un Subencargado nuevo o sustituto empiece a tratar Datos Personales del Cliente, Cal.com avisará previamente por escrito al Cliente y realizará esfuerzos comercialmente razonables para dar ese aviso con suficiente antelación para que el Cliente pueda revisar el cambio y oponerse conforme a la §6.4. El aviso podrá realizarse por correo electrónico al administrador de la cuenta del Cliente o al contacto de privacidad/legal, mediante una notificación dentro del producto u otro método electrónico documentado. La mera actualización de la Lista de Subencargados no será el único método de aviso de Cal.com.

6.4 Objeciones. El Cliente podrá oponerse por escrito en un plazo razonable tras recibir el aviso y, cuando sea posible, antes de que el nuevo Subencargado empiece el tratamiento, por motivos razonables y fundamentados relacionados con la protección de datos. Las Partes trabajarán de buena fe para resolver una objeción válida. Si no existe una solución razonable y el Cliente no puede seguir usando razonablemente el Servicio afectado sin el Subencargado propuesto, el Cliente podrá dejar de usar el Servicio afectado o resolver la parte afectada del Acuerdo. Cal.com reembolsará cualquier tarifa prepagada y no utilizada por el Servicio afectado que se haya resuelto.

6.5 Obligaciones de los Subencargados. Antes de que un Subencargado trate Datos Personales del Cliente, Cal.com celebrará un acuerdo por escrito que exija al Subencargado proteger los Datos Personales del Cliente con obligaciones no menos protectoras que las aplicables a Cal.com en virtud de este DPA, según exige la Legislación Aplicable en Materia de Protección de Datos.

6.6 Responsabilidad. Cal.com seguirá siendo responsable del cumplimiento de las obligaciones de protección de datos de sus Subencargados en la medida exigida por la Legislación Aplicable en Materia de Protección de Datos.

6.7 Subencargados posteriores. Cal.com podrá permitir que sus Subencargados contraten a sus propios subencargados cuando lo permita su acuerdo con Cal.com y la Legislación Aplicable en Materia de Protección de Datos. Cal.com mantendrá la responsabilidad contractual a través de su Subencargado directo y no necesita enumerar a cada subencargado posterior como Subencargado directo de Cal.com. En la medida en que lo exija la Legislación Aplicable en Materia de Protección de Datos, Cal.com pondrá a disposición del Cliente de forma proactiva información actualizada que identifique a los Subencargados y subencargados posteriores que traten Datos Personales del Cliente, incluidos sus nombres, direcciones, personas de contacto y datos de contacto, así como el tratamiento que se les encomiende. Esta información podrá proporcionarse mediante listas de proveedores accesibles u otros recursos documentados, y se mantendrá actualizada.

6.8 Subencargados aptos para PHI. Cuando el Cliente haya firmado un BAA, Cal.com no permitirá que un Subencargado cree, reciba, mantenga o transmita Información de Salud Protegida a menos que dicho Subencargado esté vinculado por un acuerdo escrito que contenga protecciones coherentes con el BAA, incluida una restricción al uso de Información de Salud Protegida para entrenar, ajustar o mejorar cualquier modelo de inteligencia artificial o aprendizaje automático.

7. Asistencia con solicitudes de Interesados

7.1 Teniendo en cuenta la naturaleza del tratamiento, Cal.com prestará asistencia razonable al Cliente, mediante medidas técnicas y organizativas adecuadas, para permitir que el Cliente responda a las solicitudes de los Interesados.

7.2 Si Cal.com recibe una solicitud de un Interesado relativa a Datos Personales del Cliente, Cal.com notificará sin demora al Cliente, salvo que la ley lo prohíba, y no responderá a la solicitud salvo siguiendo las instrucciones documentadas del Cliente o según lo exija la legislación aplicable.

7.3 El Cliente seguirá siendo responsable de gestionar las solicitudes de los Interesados de acuerdo con su función como Responsable o Encargado y con sus obligaciones en virtud de la Legislación Aplicable en Materia de Protección de Datos. La asistencia de Cal.com se rige por este DPA y las SCCs aplicables.

8. Violaciones de Datos Personales

8.1 Cal.com notificará al Cliente sin dilación indebida después de tener conocimiento de una Violación de Datos Personales que afecte a los Datos Personales del Cliente.

8.2 Cal.com proporcionará la información de la que disponga razonablemente para ayudar al Cliente a cumplir sus obligaciones de notificación y otras obligaciones legales, incluida, cuando esté disponible: la naturaleza de la violación; las categorías y el número aproximado de Interesados y registros afectados; las consecuencias probables; las medidas adoptadas o propuestas para mitigar la violación; y un punto de contacto para obtener más información.

8.3 La información podrá proporcionarse por fases a medida que esté disponible. Cal.com cooperará razonablemente con el Cliente en la investigación, mitigación y subsanación de la Violación de Datos Personales.

8.4 Cal.com al notificar una Violación de Datos Personales, o responder a ella, no supone un reconocimiento por parte de Cal.com de culpa o responsabilidad.

9. EIPD y consulta a la autoridad de control

Teniendo en cuenta la naturaleza del tratamiento y la información disponible para Cal.com, Cal.com prestará asistencia razonable al Cliente con las evaluaciones de impacto relativas a la protección de datos y las consultas con autoridades de control exigidas por los artículos 35 y 36 del GDPR o por la Legislación Aplicable de Protección de Datos equivalente, únicamente en la medida en que la solicitud se refiera al tratamiento por parte de Cal.com de los Datos Personales del Cliente.

10. Devolución y supresión

10.1 Durante la vigencia, el Cliente podrá acceder a los Datos Personales del Cliente y exportarlos a través de los Servicios cuando la funcionalidad correspondiente esté disponible. Al finalizar los servicios de tratamiento, el Cliente podrá elegir la devolución de los Datos Personales del Cliente seguida de la supresión de las copias existentes, o su supresión, según exija la Legislación Aplicable de Protección de Datos y las CCT aplicables.

10.2 Tras la terminación o expiración de los Servicios, el Cliente dispondrá de al menos 30 días para exportar los Datos Personales del Cliente, salvo que el Cliente indique una supresión anterior o que el Acuerdo o la configuración del Cliente establezcan un periodo más largo.

10.3 Tras el periodo de exportación aplicable, Cal.com suprimirá los Datos Personales del Cliente de acuerdo con su calendario estándar de supresión, normalmente en un plazo de 90 días, salvo que la legislación aplicable exija su conservación. A petición por escrito del Cliente, Cal.com confirmará por escrito cuándo se ha completado la supresión conforme a esta sección, cuando la Legislación Aplicable de Protección de Datos lo exija o dicha confirmación esté razonablemente disponible.

10.4 Los Datos Personales del Cliente que permanezcan en copias de seguridad tras la terminación seguirán estando protegidos y quedarán fuera del uso ordinario hasta su supresión conforme al calendario de conservación de copias de seguridad aplicable. Cualquier conservación, restauración u otro tratamiento deberá estar permitido por la Legislación Aplicable de Protección de Datos y las CCT aplicables.

10.5 Esta sección no exige a Cal.com que suprima datos que trate como Responsable independiente, cuando Cal.com tenga una base jurídica y una finalidad separadas, como registros de facturación, fiscales, prevención del fraude, seguridad o cumplimiento legal.

10.6 Cuando se aplique un BAA, la devolución o destrucción de la Información Sanitaria Protegida, incluidas las copias en copias de seguridad, se regirá por dicho BAA y la legislación aplicable. Cualquier conservación continuada basada en la inviabilidad deberá cumplir esos requisitos, y las protecciones del BAA seguirán aplicándose a la Información Sanitaria Protegida conservada.

11. Auditorías e información de cumplimiento

11.1 Cal.com pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA.

11.2 Antes de solicitar una auditoría, el Cliente utilizará la documentación de cumplimiento vigente de Cal.com, incluidos informes de seguridad relevantes, certificaciones, resúmenes de auditoría, cuestionarios y respuestas por escrito, cuando dichos materiales demuestren razonablemente el cumplimiento.

11.3 Si esos materiales no son razonablemente suficientes, el Cliente podrá realizar una auditoría de las actividades de tratamiento pertinentes de Cal.com no más de una vez cada 12 meses, sujeto a: aviso previo por escrito con al menos 30 días de antelación; un alcance razonablemente relacionado con los Datos Personales del Cliente y este DPA; realización durante el horario laboral normal; medidas razonables para evitar interrupciones en las operaciones de Cal.com; un auditor independiente y cualificado sujeto a obligaciones de confidencialidad y que no sea competidor de Cal.com; y que el Cliente asuma sus propios costes, salvo que se identifique un incumplimiento material por parte de Cal.com.

11.4 Cal.com podrá oponerse a un auditor o a un plan de auditoría por motivos razonables de seguridad, confidencialidad u operativos, y trabajará de buena fe para acordar una alternativa adecuada. Los procedimientos y limitaciones de esta sección se aplican solo en la medida en que sean compatibles con la Legislación Aplicable de Protección de Datos y las CCT aplicables. No restringen una auditoría o inspección exigida por una autoridad de control competente o requerida de otro modo en virtud de dichas disposiciones.

12. Transferencias internacionales

12.1 Cal.com podrá transferir Datos Personales del Cliente fuera del EEE, Reino Unido o Suiza solo cuando cuente con un mecanismo de transferencia lícito conforme a la Legislación Aplicable de Protección de Datos.

12.2 Los mecanismos adecuados incluyen: una decisión de adecuación; las CCT, junto con el Apéndice del Reino Unido y las Modificaciones Suizas cuando proceda, según se establece en §12.4; si, y mientras Cal.com esté certificado en virtud del Marco de Privacidad de Datos UE-EE. UU. o de la Extensión del Reino Unido a dicho Marco, ese Marco; u otro mecanismo de transferencia válido reconocido por la Legislación Aplicable de Protección de Datos.

12.3 Cuando sea necesario, Cal.com implementará medidas complementarias y pondrá la información de transferencia relevante a disposición a través de la Lista de Subencargados o previa solicitud razonable.

12.4 Cláusulas Contractuales Tipo. Las CCT se aplican a las transferencias de Datos Personales del Cliente que entren dentro de su ámbito permitido y requieran esas salvaguardias porque ningún otro mecanismo de transferencia válido conforme a §12.2 cubra la transferencia. Se incorporan a este DPA y se completan mediante el Anexo de Cláusulas Contractuales Tipo de Cal.com en cal.com/dpa-scc (el «Anexo de CCT»). Las Partes las suscriben mediante ejecución válida según se especifica en el Anexo de CCT. Un cambio de mecanismo de transferencia no extingue automáticamente las obligaciones existentes de las CCT; la terminación o revocación debe cumplir los instrumentos de transferencia aplicables, y los derechos adquiridos no se ven afectados. Se aplican las siguientes elecciones:

(a) El Módulo Dos (de responsable a encargado) se aplica cuando el Cliente es Responsable de los Datos Personales del Cliente, y el Módulo Tres (de encargado a encargado) se aplica cuando el Cliente es a su vez un Encargado que actúa en nombre de un Responsable tercero. El Cliente es el «exportador de datos» y Cal.com es el «importador de datos». Cuando el Cliente actúe como Encargado, el Cliente garantiza que cuenta con la autoridad y las instrucciones de cada Responsable pertinente necesarias para nombrar a Cal.com en virtud del Módulo Tres y para transmitir esas instrucciones a Cal.com, y el Cliente indemnizará a Cal.com frente a reclamaciones de esos Responsables derivadas de la falta de dicha autoridad por parte del Cliente o de instrucciones que Cal.com reciba a través del Cliente. Esta indemnización no limita las obligaciones ni la responsabilidad de Cal.com en virtud de las CCT.

(b) Se aplica la cláusula 7 (cláusula de adhesión).

© En la Cláusula 9(a), se aplica la Opción 2 (autorización general por escrito). El plazo de preaviso es el período especificado en §6.3 y en el Anexo de las SCCs. La notificación y la autorización deben cumplir el Módulo aplicable.

(d) En la Cláusula 11(a), no se aplica la redacción opcional sobre resolución independiente de disputas.

(e) En la Cláusula 13 y el Anexo I.C, la autoridad de control competente se determina conforme a la Cláusula 13(a) y se identifica en la información específica del Cliente incorporada al Anexo I.C del Anexo de las SCCs.

(f) En la Cláusula 17, se aplica la Opción 1 y las SCCs se rigen por la legislación de Irlanda. En la Cláusula 18(b), las disputas se resuelven ante los tribunales de Irlanda.

(g) Los datos de las Partes y los registros de firma se identifican en el Anexo I.A del Anexo de las SCCs; las transferencias se describen en el Anexo I.B; las medidas de seguridad se especifican en el Anexo II; y la información y las autorizaciones de subencargados se abordan en el Anexo III y la Cláusula 9 de dicho Anexo.

(h) En el caso de transferencias sujetas al GDPR del Reino Unido que requieran esta salvaguarda, se aplica la Adenda del Reino Unido, que modifica las SCCs según se establece en ella. Las Tablas 1 a 3 se completan con la información de la Parte 6 del Anexo de las SCCs. En la Tabla 4, solo Cal.com, como Importador, podrá poner fin a la Adenda del Reino Unido según se establece en su sección 19.

(i) En el caso de transferencias sujetas a la Ley Federal Suiza de Protección de Datos, se aplican las Modificaciones suizas de la Parte 7 del Anexo de las SCCs. Cuando una transferencia esté sujeta tanto al GDPR como a dicha Ley, las SCCs se aplican en paralelo bajo ambos regímenes.

(j) Si las SCCs se modifican, sustituyen o invalidan, las Partes cooperarán de buena fe para adoptar el mecanismo sucesor o un mecanismo alternativo válido. Si existe un conflicto entre las SCCs y este DPA o el Acuerdo, prevalecen las SCCs.

13. Solicitudes gubernamentales y de autoridades policiales

13.1 En relación con los Datos Personales del Cliente transferidos en virtud de las SCCs, Cal.com cumplirá las Cláusulas 15.1 y 15.2 de las SCCs. Nada en esta sección limita las obligaciones previstas en la Legislación Aplicable en Materia de Protección de Datos ni en las SCCs, la Adenda del Reino Unido o las Modificaciones suizas aplicables.

14. Orden de prelación

14.1 Si existe un conflicto entre este DPA y el Acuerdo en relación con el tratamiento de Datos Personales del Cliente, este DPA prevalecerá en la medida de dicho conflicto. Un Formulario de Pedido firmado solo modifica una disposición de este DPA cuando identifique expresamente dicha disposición.

14.2 Cuando el Cliente y Cal.com tengan en vigor un DPA Formalizado que cubra un tratamiento concreto de Datos Personales del Cliente, dicho DPA Formalizado se aplicará a ese tratamiento en lugar de este DPA mientras siga en vigor.

15. Responsabilidad

La responsabilidad de cada Parte que se derive de este DPA o esté relacionada con él está sujeta a las exclusiones y limitaciones de responsabilidad del Acuerdo, salvo en la medida en que dichas disposiciones contradigan o menoscaben las disposiciones de responsabilidad de las SCCs, la Adenda del Reino Unido o las Modificaciones suizas aplicables, o infrinjan de otro modo la legislación aplicable. Esta excepción se aplica tanto a la responsabilidad entre las Partes como a la responsabilidad frente a los Interesados. Este DPA no crea una indemnización contractual adicional por pérdida de datos por parte de Cal.com ni una garantía de copia de seguridad o recuperación más allá de las medidas expresas descritas en §5 y el Anexo II del Anexo de las SCCs. Esto no limita dichas obligaciones expresas, la responsabilidad obligatoria ni la protección adicional frente a pérdida de datos acordada expresamente en un DPA Formalizado o un Formulario de Pedido firmado.

16. General

16.1 Notificaciones. Las notificaciones previstas en este DPA deben realizarse por escrito y pueden enviarse por correo electrónico al contacto jurídico, de privacidad o de administración de cuentas de la Parte correspondiente. Las notificaciones contractuales a Cal.com pueden enviarse a [email protected] o entregarse a Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos, A la atención de: Legal. Las solicitudes sobre privacidad pueden enviarse a [email protected].

16.2 Cambios. Cal.com podrá actualizar este DPA cuando lo exija la ley, para reflejar cambios en los Servicios o para abordar necesidades operativas. Cada versión incluye un número de versión y una fecha de entrada en vigor, y las versiones anteriores permanecen disponibles en el historial de versiones que aparece a continuación. Las actualizaciones deben realizarse de conformidad con el Acuerdo y la legislación aplicable. Cal.com notificará por escrito con una antelación razonable, a través de los canales descritos en §6.3, cualquier actualización que reduzca sustancialmente los derechos del Cliente o las obligaciones de Cal.com. Dicha actualización solo entrará en vigor tras el plazo de notificación aplicable y cualquier aceptación requerida. El Cliente podrá resolver los Servicios afectados mediante notificación por escrito antes de la fecha de entrada en vigor si no acepta dicha actualización sustancialmente perjudicial. Cualquier reembolso se limitará a los importes exigidos por la legislación aplicable o el Acuerdo. Las demás actualizaciones entrarán en vigor en el momento de su publicación únicamente en la medida permitida por el Acuerdo y la legislación aplicable. Esta sección no modifica un DPA Formalizado; las modificaciones de dicho documento se rigen por sus propios términos.

16.3 Legislación aplicable y jurisdicción. Las disposiciones del Acuerdo sobre legislación aplicable y jurisdicción se aplican a este DPA. Esto no afecta a la legislación aplicable ni al foro de las SCCs, la Adenda del Reino Unido o las Modificaciones suizas aplicables, según se especifique en el Anexo de las SCCs, ni a los derechos y obligaciones que no puedan modificarse legalmente por contrato.

16.4 Aceptación. Este DPA será vinculante cuando se incorpore válidamente a un Acuerdo vinculante para ambas Partes. Podrá utilizarse la aceptación electrónica en la medida permitida por la legislación aplicable. Los cambios en una relación contractual existente se rigen por §16.2 y el Acuerdo. La formalización de las SCCs y la Adenda del Reino Unido se rige por el Anexo de las SCCs. Previa solicitud, Cal.com podrá, a su discreción, proporcionar una copia de este DPA firmada por Cal.com para los registros del Cliente. Una copia firmada tiene los mismos términos y efecto que la versión vinculante entre las Partes y no constituye un DPA Formalizado a efectos de §14.2. Esto no limita ninguna formalización requerida ni el derecho a recibir una copia del DPA vinculante o de las SCCs aplicables.

16.5 Términos negociados. Los Clientes que compren mediante un Formulario de Pedido o un acuerdo marco de servicios con Cal.com podrán solicitar un DPA Formalizado. Cal.com no negocia ni modifica de otro modo este DPA.

Anexo 1: Detalles del tratamiento

Anexo 2: Subencargados

Cal.com mantiene su lista actual de Subencargados directos disponible en trust.cal.com. Los proveedores que traten datos personales únicamente para los fines propios de Cal.com como Responsable independiente no son Subencargados a efectos de este DPA.

Anexo 3: Leyes estatales de privacidad de EE. UU.

Este Anexo se aplica en la medida en que las Leyes de Privacidad Estatales de EE. UU. se apliquen a los Datos Personales del Cliente. Los términos tienen los significados que se les atribuyen en dichas leyes.

1. Cal.com actúa como proveedor de servicios o encargado del tratamiento para el Cliente con respecto a los Datos Personales del Cliente. El Cliente comunica esos datos a Cal.com únicamente para los fines empresariales limitados y especificados de proporcionar programación, reservas, gestión de cuentas, comunicaciones, vídeo, integraciones, soporte al cliente, mantenimiento y seguridad para los Servicios utilizados por el Cliente, según se describe con más detalle en el Anexo 1.
2. Cal.com no podrá: (a) vender ni compartir los Datos Personales del Cliente; (b) conservar, utilizar o comunicar los Datos Personales del Cliente para ningún fin, incluido un fin comercial, distinto de los fines empresariales especificados en el Acuerdo y en este DPA, o según lo permitan de otro modo las Leyes de Privacidad Estatales de EE. UU.; © conservar, utilizar o comunicar los Datos Personales del Cliente fuera de la relación comercial directa entre el Cliente y Cal.com, salvo en la medida en que lo permitan las Leyes de Privacidad Estatales de EE. UU.; o (d) combinar los Datos Personales del Cliente con información personal que Cal.com reciba de otra persona o en su nombre, o recopile a partir de sus propias interacciones con consumidores, salvo en la medida en que lo permitan las Leyes de Privacidad Estatales de EE. UU.
3. Cal.com cumplirá las obligaciones aplicables conforme a las Leyes de Privacidad Estatales de EE. UU. y proporcionará el mismo nivel de protección de la privacidad que dichas leyes exigen al Cliente. Cal.com notificará al Cliente si determina que ya no puede cumplir sus obligaciones conforme a las Leyes de Privacidad Estatales de EE. UU. El Cliente podrá tomar medidas razonables y adecuadas para ayudar a garantizar que Cal.com utilice los Datos Personales del Cliente de forma coherente con las obligaciones del Cliente conforme a las Leyes de Privacidad Estatales de EE. UU. aplicables y, previa notificación, para detener y subsanar cualquier uso no autorizado. Estos derechos se ejercen de conformidad con el §11 en la medida en que sus procedimientos y limitaciones sean coherentes con las Leyes de Privacidad Estatales de EE. UU. aplicables.
4. Cal.com hará extensivas las obligaciones de este Anexo a sus Subencargados de conformidad con el §6.5, y ayudará al Cliente a responder a las solicitudes de los consumidores de conformidad con el §7.
5. Cuando lo exijan las Leyes de Privacidad Estatales de EE. UU. aplicables, Cal.com certifica que entiende y cumplirá las restricciones de este Anexo.