Anexo de Cláusulas Contractuales Tipo de Cal.com
Anexo al Cal.com Acuerdo de Tratamiento de Datos v2.3 — Versión 1.0 — Fecha de entrada en vigor: 1 de noviembre de 2026
Parte 1. Cómo se aplican las Cláusulas
1.1 Este Anexo completa las cláusulas contractuales tipo para la transferencia de datos personales a terceros países adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021 (las «CCT»), la Adenda Internacional de Transferencia de Datos del Reino Unido a las Cláusulas Contractuales Tipo de la Comisión de la UE, versión B1.0, en vigor desde el 21 de marzo de 2022 (la «Adenda del Reino Unido»), y las modificaciones exigidas por el Comisionado Federal Suizo de Protección de Datos e Información para transferencias sujetas a la Ley Federal Suiza de Protección de Datos (las «Modificaciones suizas»), cada una incorporada por el §12.4 del Cal.com Acuerdo de Tratamiento de Datos (el «DPA»).
1.2 El texto de las CCT se incorpora por referencia exactamente tal como se publicó en el Diario Oficial de la Unión Europea (DO L 199, 7.6.2021, p. 31), disponible en https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Parte 2: Cláusulas Obligatorias de la Adenda Aprobada, que corresponde a la plantilla de Adenda B.1.0 emitida por la ICO y presentada ante el Parlamento de conformidad con el s119A de la Data Protection Act 2018 el 2 de febrero de 2022, tal como se revise conforme a la Sección 18 de dichas Cláusulas Obligatorias. Ninguno de los textos se modifica salvo mediante las opciones, elecciones y Anexos que las propias CCT y la Adenda del Reino Unido permiten, según se establece en este Anexo.
1.3 Las CCT se aplican a las transferencias descritas en el Anexo I.B que entren dentro de su ámbito permitido y requieran esas garantías porque ningún otro mecanismo de transferencia válido conforme al DPA §12.2 cubre la transferencia. Puede invocarse una decisión de adecuación válida y aplicable, incluida una que cubra la participación de Cal.com en el Data Privacy Framework pertinente, para las transferencias dentro de su ámbito. Las obligaciones existentes en virtud de las CCT no se extinguen automáticamente; su terminación o revocación debe cumplir las CCT y la Adenda del Reino Unido aplicables. Los derechos devengados no se ven afectados.
1.4 Las Partes suscriben las CCT mediante la ejecución válida del Anexo I.A completado, incluida una firma electrónica legalmente válida incorporada al Acuerdo o al DPA. El registro de ejecución debe identificar a las Partes, la versión aplicable del Anexo y la fecha de entrada en vigor. Previa solicitud, Cal.com proporcionará una copia de la versión vinculante entre las Partes.
1.5 Los términos definidos en el DPA tienen aquí el mismo significado. «Cliente» es el exportador de datos y «Cal.com» es el importador de datos. En caso de conflicto entre este Anexo y las CCT, prevalecen las CCT (DPA §12.4(j)); en caso de conflicto entre este Anexo y el DPA sobre un punto que las CCT dejen a las Partes, prevalece este Anexo.
Parte 2. Módulos, opciones y elecciones
| Cláusula | Elección | Base en el DPA |
|---|---|---|
| Módulo | Módulo Dos (responsable a encargado) cuando el Cliente sea Responsable de los Datos Personales del Cliente. Módulo Tres (encargado a encargado) cuando el Cliente sea a su vez un Encargado que actúa por cuenta de un Responsable tercero. Solo se aplican las cláusulas del Módulo aplicable. | §12.4(a) |
| Cláusula 7 — Cláusula de adhesión | Se aplica. Una entidad puede adherirse como exportador de datos o importador de datos con el acuerdo de las Partes completando el Apéndice y firmando el Anexo I.A. | §12.4(b) |
| Cláusula 8.1 (Módulo Tres) — Instrucciones | El Cliente garantiza que cuenta con la autoridad y las instrucciones de cada Responsable necesarias para nombrar a Cal.com conforme al Módulo Tres y transmitir dichas instrucciones. Las instrucciones se gestionan de conformidad con la Cláusula 8.1 del Módulo Tres, incluidas las instrucciones del Responsable comunicadas a través del Cliente y cualquier otra instrucción documentada permitida por dicha Cláusula. | §12.4(a), §3 |
| Cláusula 8.5 — Duración del tratamiento y supresión | El tratamiento continúa durante el periodo indicado en el Anexo I.B. Al finalizar los servicios de tratamiento, el Cliente puede elegir la devolución de los datos personales seguida de la eliminación de las copias existentes, o la eliminación con certificación al Cliente, según exige la Cláusula 8.5. El DPA §10 se aplica únicamente en la medida en que sea compatible con dicha Cláusula. La protección continúa hasta que se complete la devolución o la eliminación; la conservación exigida por ley se rige por la Cláusula 8.5. | §10 |
| Cláusula 8.6 — Seguridad | Las medidas técnicas y organizativas son las indicadas en el Anexo II. La notificación de Violaciones de Datos Personales se rige por el DPA §8. | §5, §8 |
| Cláusula 8.9 — Documentación y cumplimiento (auditorías) | Los derechos de auditoría se ejercen según lo descrito en el DPA §11 (primero, información e informes de cumplimiento; auditoría in situ o remota cuando estos sean insuficientes o lo exija una autoridad de control). Esto describe cómo se ejerce el derecho de auditoría conforme a la Cláusula 8.9 y no lo restringe. | §11 |
| Cláusula 9(a) — Uso de subencargados | Opción 2: autorización general por escrito. Plazo de notificación: notificación previa por escrito antes de que un Subencargado nuevo o sustituto comience el tratamiento, realizada tan pronto como sea razonablemente posible para que el exportador de datos tenga tiempo suficiente para oponerse (DPA §6.3). Las Partes acuerdan que este es el plazo a efectos de la Cláusula 9(a). La lista de Subencargados es la Lista de Subencargados vigente en trust.cal.com, mencionada en el Anexo III. El derecho de oposición del Cliente se recoge en el DPA §6.4. | §12.4©, §6.3–6.4 |
| Cláusula 11(a) — Recursos | El texto opcional sobre el organismo independiente de resolución de disputas no se aplica. Los interesados pueden presentar reclamaciones ante Cal.com en [email protected], ante la autoridad de control competente y ante los tribunales conforme a la Cláusula 18. | §12.4(d) |
| Cláusula 13 — Supervisión | La autoridad de control competente se determina conforme a la Cláusula 13(a), según se indica en el Anexo I.C. | §12.4(e) |
| Cláusula 15 — Acceso por autoridades públicas | Las Cláusulas 15.1 y 15.2 regulan el acceso de las autoridades públicas a los datos personales transferidos conforme a las CCT. El DPA §13.1 confirma el cumplimiento por parte de Cal.com de dichas Cláusulas y no las limita. | §13.1 |
| Cláusula 17 — Legislación aplicable | Opción 1. Las CCT se rigen por la ley de Irlanda. | §12.4(f) |
| Cláusula 18(b) — Foro | Los tribunales de Irlanda. La cláusula 18© (derecho del interesado a demandar en el Estado miembro de residencia habitual) no se ve afectada. | §12.4(f) |
| Responsabilidad (cláusula 12) | Nada de lo dispuesto en el DPA ni en el Acuerdo limita la responsabilidad de cualquiera de las Partes frente a los interesados en virtud de las SCCs (DPA §15). Las limitaciones de responsabilidad del Acuerdo no excluyen ni limitan la responsabilidad regulada por la cláusula 12 de las SCCs. La responsabilidad por otras reclamaciones seguirá rigiéndose por el Acuerdo, con sujeción a la legislación imperativa aplicable. | §15 |
Parte 3. Anexo I
A. Lista de las Partes
Exportador de datos
| Elemento | Detalles |
|---|---|
| Nombre | El Cliente identificado en el Acuerdo (la entidad o persona titular de la cuenta de Cal.com) |
| Dirección | Según conste en la cuenta de Cal.com del Cliente o en el Formulario de pedido |
| Contacto | El nombre, cargo y datos de contacto de la persona de contacto registrados en el Acuerdo, el Formulario de pedido o la cuenta del Cliente e incorporados a este Anexo. |
| Actividades relevantes para la transferencia | Uso de los Servicios de Cal.com para ofrecer, programar, gestionar y celebrar reuniones y comunicaciones relacionadas con los usuarios del Cliente, los asistentes a reuniones y otros interesados descritos en el Anexo I.B |
| Función | Módulo dos: responsable del tratamiento. Módulo tres: encargado del tratamiento (actuando por cuenta de los responsables del tratamiento que dan instrucciones al Cliente) |
| Firma y fecha | Según conste en el registro de ejecución que incorpora el Anexo I.A completado conforme a la Parte 1.4 |
Importador de datos
| Elemento | Detalles |
|---|---|
| Nombre | Cal.com, Inc. |
| Dirección | 2261 Market Street #4382, San Francisco, CA 94114, United States |
| Contacto | Felix Kolodziej, responsable de seguridad de la información (ISO), [email protected] (A/A: Privacidad) |
| Actividades relevantes para la transferencia | Prestación, operación, soporte, mantenimiento, seguridad y mejora de los Servicios de Cal.com según se describen en el Anexo I.B |
| Función | Encargado del tratamiento (Módulo dos); subencargado del Cliente como encargado del tratamiento (Módulo tres) |
| Firma y fecha | Según conste en el registro de ejecución que incorpora el Anexo I.A completado conforme a la Parte 1.4 |
B. Descripción de la transferencia
| Elemento | Detalles |
|---|---|
| Categorías de interesados | Usuarios, administradores, empleados y contratistas del Cliente; clientes potenciales, clientes y otros contactos del Cliente; asistentes a reuniones, personas que reservan e invitados; y otras personas cuyos datos personales el Cliente o sus Usuarios autorizados envíen a los Servicios (DPA Anexo 1) |
| Categorías de datos personales | Datos de cuenta y perfil; datos de disponibilidad; nombres, direcciones de correo electrónico, números de teléfono; datos de reserva, incluidos títulos, descripciones, horarios, ubicaciones, notas, listas de invitados, respuestas a preguntas de reserva y motivos de reprogramación o cancelación; datos de soporte; datos técnicos como dirección IP, datos del dispositivo y del navegador, y registros de uso; y otros datos personales que el Cliente decida enviar a través de los Servicios |
| Datos sensibles | No se requieren categorías especiales de datos personales para usar los Servicios. El Cliente puede enviarlas únicamente a través de los campos que configure (por ejemplo, preguntas de reserva); cuando lo haga, se aplicarán las medidas del Anexo II. El Cliente es responsable de establecer la base jurídica requerida y cualquier condición aplicable para el tratamiento de categorías especiales de datos personales. La información sanitaria protegida que requiera un Business Associate Agreement solo podrá enviarse en virtud de un BAA firmado que cubra los Servicios pertinentes. Cualquier permiso en otra parte del Acuerdo no sustituye a un BAA requerido |
| Frecuencia de la transferencia | Continua, durante la vigencia del Acuerdo |
| Naturaleza del tratamiento | Recogida, almacenamiento, organización, recuperación, consulta, uso, transmisión siguiendo las instrucciones del Cliente, soporte, supervisión de seguridad, copia de seguridad, restauración, eliminación y otros tratamientos necesarios para prestar los Servicios |
| Finalidad de la transferencia y del tratamiento posterior | Proporcionar al Cliente funcionalidades de programación, reserva, cuenta, comunicación, vídeo, integración, soporte y otras funcionalidades de producto relacionadas, de conformidad con el Acuerdo y las instrucciones documentadas del Cliente |
| Período de conservación | Durante la vigencia de los servicios de tratamiento y, posteriormente, solo en la medida necesaria para completar la devolución o eliminación exigida por la cláusula 8.5, o para la conservación exigida por la ley según lo permitido por dicha cláusula. Información de conservación: al menos 30 días para la exportación tras la rescisión (DPA §10.2); eliminación normalmente dentro de los 90 días posteriores a ese período (DPA §10.3); las copias de seguridad se eliminan conforme al calendario ordinario de retención de copias de seguridad de Cal.com y se protegen hasta entonces (DPA §10.4) |
| Transferencias a (sub)encargados del tratamiento | Objeto, naturaleza y duración: los Subencargados de la Lista de subencargados en trust.cal.com (Anexo III) tratan los Datos personales del Cliente para los fines allí indicados (alojamiento y almacenamiento, entrega de contenido, entrega de correo electrónico y SMS, vídeo, pagos, herramientas de soporte, analítica de producto, funciones de IA y operaciones internas), durante la vigencia de Cal.com contrata a cada Subencargado durante la vigencia del Acuerdo |
C. Autoridad de control competente
| Situación | Autoridad de control competente |
|---|---|
| El Cliente está establecido en un Estado miembro del EEE | La autoridad de control de ese Estado miembro (Cláusula 13(a), primer párrafo) |
| El Cliente no está establecido en el EEE, pero tiene un representante conforme al artículo 27(1) del GDPR | La autoridad de control del Estado miembro donde esté establecido el representante |
| El Cliente no está establecido en el EEE, está sujeto al artículo 3(2) del GDPR y está exento de nombrar un representante conforme al artículo 27(2) del GDPR | La autoridad de control del Estado miembro en el que se encuentren los interesados cuyos datos se transfieren, según se determine conforme a la Cláusula 13(a), tercer párrafo |
| Transferencias sujetas al UK GDPR | El Information Commissioner del Reino Unido (véase la Parte 6) |
| Transferencias sujetas a la Swiss FADP | El Comisionado Federal Suizo de Protección de Datos e Información (véase la Parte 7) |
La autoridad de control competente específica determinada conforme a la Cláusula 13(a) se identifica en la información específica del Cliente incorporada a este Anexo.
Parte 4. Anexo II — Medidas técnicas y organizativas
Este Anexo describe las medidas que Cal.com implementa conforme al DPA §5 y la Cláusula 8.6. Está estructurado según los encabezados del Anexo II de las CCT. Cal.com puede actualizar estas medidas conforme al DPA §5.3 siempre que la seguridad general de los Servicios no se vea reducida de forma sustancial. Cal.com mantiene disponibles su inventario de controles e informes de auditoría independientes en trust.cal.com; las medidas que se describen a continuación, y no el inventario de controles, constituyen la descripción contractual a efectos de la Cláusula 8.6.
| Área | Medidas |
|---|---|
| Seudonimización y cifrado | Cifrado en tránsito mediante TLS para las conexiones a los Servicios. Cifrado en reposo para la base de datos de producción (Amazon RDS, claves gestionadas en AWS KMS), sus copias de seguridad y el almacenamiento de objetos, usando el cifrado gestionado del proveedor de alojamiento (AES-256). Los controles de cifrado propios de los Subencargados se evalúan en la evaluación de riesgos de proveedores que se describe más abajo |
| Confidencialidad, integridad, disponibilidad y resiliencia | Control de acceso basado en roles y privilegio mínimo para los sistemas de producción; inicio de sesión único y autenticación multifactor para el acceso del personal a sistemas de producción y administrativos; separación de entornos de producción, pruebas y desarrollo; protección DDoS y firewall de aplicaciones web en el perímetro de red |
| Capacidad para restaurar la disponibilidad y el acceso tras un incidente | Copias de seguridad diarias automatizadas de las bases de datos de producción con recuperación a un punto en el tiempo, cifradas y con acceso restringido; procedimientos de restauración documentados y probados periódicamente; plan de respuesta a incidentes con roles, niveles de gravedad y pasos de comunicación definidos, incluida la notificación al Cliente conforme al DPA §8 |
| Pruebas, valoración y evaluación periódicas | Pruebas de penetración independientes realizadas por terceros en el entorno de producción, efectuadas periódicamente; análisis automatizado de vulnerabilidades; supervisión del cumplimiento frente a los conjuntos de controles ISO 27001 y SOC 2 mediante la plataforma de cumplimiento de Cal.com; informes de auditoría independientes disponibles para los Clientes bajo NDA a través de trust.cal.com; revisión de los cambios de código antes del despliegue |
| Identificación y autorización de usuarios | Cuentas únicas para todo el personal; MFA obligatorio para el acceso a producción, a la consola en la nube y a repositorios de código; acceso concedido según necesidad de conocer y revisado al menos trimestralmente; acceso revocado por cambio de rol o salida como parte del proceso de offboarding |
| Protección de datos durante la transmisión | Cifrado en tránsito para los datos enviados a y desde los Servicios; Claves API para integraciones del Cliente; cargas útiles de Webhooks firmadas cuando el Cliente configura un secreto de webhook; las integraciones de Calendario, vídeo y otros terceros usan OAuth o credenciales emitidas por el proveedor |
| Protección de datos durante el almacenamiento | Cifrado en reposo como se indica arriba; acceso a la base de datos restringido a los servicios de aplicación y a ingenieros identificados mediante canales auditados; sin datos de producción en entornos de desarrollo o prueba salvo datos seudonimizados o sintéticos |
| Seguridad física de las ubicaciones de tratamiento | Cal.com no opera sus propios centros de datos. La seguridad física la proporcionan los Subencargados de alojamiento (AWS y Vercel), cuyos servicios pertinentes están cubiertos por informes SOC 2 Type II y certificaciones ISO 27001 dentro de sus respectivos alcances de aseguramiento |
| Registro de eventos | Registro centralizado de eventos de aplicación, infraestructura y administración; registros de servidores de infraestructura conservados durante 365 días para investigación de seguridad; registro de auditoría de Reservas a nivel de aplicación para organizaciones en las que la auditoría de Reservas está habilitada |
| Configuración del sistema, incluida la configuración predeterminada | Gestión de cambios conforme a los controles ISO 27001 y SOC 2 de Cal.comcontroles de ISO 27001 y SOC 2: los cambios en producción se revisan y superan comprobaciones automatizadas antes del despliegue |
| Gobernanza y gestión internas de TI y seguridad de TI | Políticas de seguridad de la información aprobadas por la dirección y revisadas anualmente; un responsable designado de seguridad y cumplimiento; formación de concienciación en seguridad para todo el personal al incorporarse y anualmente; compromisos de confidencialidad para todo el personal con acceso a Datos Personales del Cliente (DPA §4); evaluación de riesgos de proveedores antes de contratar a un Subencargado |
| Certificación y aseguramiento de procesos y productos | Certificación ISO/IEC 27001:2022 (certificado n.º 122217, Prescient Security LLC, válida hasta el 30 de octubre de 2028 sujeta a auditorías anuales de seguimiento; alcance: el sistema de gestión de seguridad de la información que da soporte a la plataforma de programación de Cal.com, incluida la infraestructura alojada en AWS); informe SOC 2 Type II sobre los criterios de Seguridad (periodo más reciente: del 21 de noviembre de 2024 al 30 de abril de 2026, Prescient Assurance LLC); ambos disponibles para los Clientes bajo NDA a través de trust.cal.com; mapeo de controles HIPAA mantenido para Clientes con BAA |
| Minimización de datos | El Cliente puede configurar preguntas y campos de Reserva mediante la funcionalidad disponible de los Servicios. Los datos recopilados dependen de los campos seleccionados, las funciones habilitadas y las integraciones. |
| Calidad de los datos | Los usuarios pueden ver y corregir datos mediante la funcionalidad disponible para su rol. Cal.com ayuda al Cliente con otras solicitudes de rectificación aplicables conforme al DPA §7. |
| Conservación limitada de datos | Supresión y devolución conforme al DPA §10; supresión iniciada por el Cliente de Reservas y datos de participantes mediante los Servicios; grabaciones y transcripciones de Cal Video almacenadas en almacenamiento de objetos controlado por Cal.com y eliminadas cuando el Cliente las elimina, cuando elimina la Reserva o previa solicitud; grabaciones de salas independientes de cal.video eliminadas automáticamente conforme al calendario de conservación de Cal.com; las copias de seguridad se purgan conforme al calendario ordinario de conservación de copias de seguridad |
| Responsabilidad proactiva | Registros de actividades de tratamiento y contratación de Subencargados; registro documentado de incidentes y brechas; certificación de supresión e información de cumplimiento proporcionadas según lo exigido por las Cláusulas 8.5 y 8.9 |
| Portabilidad y supresión de datos | Exportación mediante los Servicios disponibles o la funcionalidad de API; cualquier otra devolución exigida de datos personales se gestiona conforme a la Cláusula 8.5 y al DPA §10 en la medida compatible con dicha Cláusula; supresión de cuenta y datos a solicitud del Cliente; certificación de supresión al Cliente según lo exigido por la Cláusula 8.5 |
| Medidas de asistencia al responsable del tratamiento | Herramientas y procesos para ayudar al Cliente a responder a solicitudes de interesados (DPA §7), realizar DPIA (DPA §9) y obtener información de cumplimiento e informes de auditoría (DPA §11) |
| Medidas impuestas a los Subencargados | Cada Subencargado está vinculado por un acuerdo escrito que impone obligaciones de protección de datos no menos protectoras que las del DPA y las SCCs, incluidas garantías para transferencias ulteriores (DPA §6.5); los Subencargados se evalúan antes de su contratación y se supervisan; el Cliente recibe notificación previa por escrito de los Subencargados nuevos o sustitutos y puede oponerse (DPA §6.3–6.4) |
Parte 5. Anexo III — Lista de Subencargados
La lista oficial y actual de Subencargados, incluidos los nombres de las entidades, ubicaciones y finalidades, se publica en trust.cal.com y se actualiza conforme al DPA §6.3. Cal.com proporciona la notificación por escrito requerida por la Cláusula 9(a), utilizando un método electrónico documentado conforme al DPA §6.3, antes de añadir o sustituir a un Subencargado para el tratamiento pertinente. A efectos de la Cláusula 9(a), en virtud del Módulo Dos, el Cliente concede a Cal.com una autorización general por escrito para contratar Subencargados de la lista acordada en trust.cal.com en la fecha en que las SCCs surtan efecto entre las Partes. En virtud del Módulo Tres, la contratación de esos Subencargados requiere la autorización general por escrito del Responsable pertinente. Las adiciones o sustituciones están sujetas a la Cláusula 9(a) y al DPA §6.3–6.4 en la medida en que sea coherente con dicha Cláusula.
Dado que se aplica la Opción 2 de la Cláusula 9(a), este Anexo no reproduce la lista.
La Lista de Subencargados identifica las ubicaciones de tratamiento pertinentes para los Datos Personales del Cliente. El país de constitución de un Subencargado no constituye una declaración de dónde trata los datos. Los cambios siguen sujetos a los requisitos de notificación y autorización aplicables. Los proveedores utilizados únicamente por Cal.com para sus propios fines no son Subencargados y no se incluyen: los de análisis y publicidad del sitio web de marketing (Google Analytics/GTM, X Ads), los que Cal.com usa para su propio CRM (HubSpot), y las apps que el Cliente conecta a su propia cuenta de terceros (Zapier, Dub, Close.com, apps de GA4/GTM), respecto de las cuales el Cliente es el responsable que da instrucciones directamente a ese proveedor.
Parte 6. Anexo del Reino Unido — tablas completadas
Tabla 1: Partes. Fecha de inicio: la fecha en que las SCCs surtan efecto entre las Partes conforme a la Parte 1.4. Exportador e Importador: según se identifican en el Anexo I.A, complementados con el nombre comercial de cada Parte si es diferente, el domicilio social o la dirección principal aplicable, y el número de registro oficial, si lo hubiera. Contactos clave: el cargo y los datos de contacto registrados para cada Parte. Ejecución: de conformidad con la sección 2 del Anexo del Reino Unido y el registro de ejecución aplicable.
Tabla 2: SCCs seleccionadas, Módulos y Cláusulas seleccionadas. Las SCCs de la UE aprobadas, incluida la Información del Apéndice, según se completan en este Anexo: Módulo Dos o Módulo Tres según corresponda conforme a la Parte 2; se aplica la Cláusula 7; no se aplica el lenguaje opcional de la Cláusula 11; Cláusula 9(a), Opción 2, con el periodo de notificación indicado en la Parte 2 (DPA §6.3); Cláusulas 17 y 18 según la Parte 2, sujeto a la sección 15 del Anexo del Reino Unido (que sustituye las leyes y tribunales de Inglaterra y Gales para las cuestiones regidas por el Anexo del Reino Unido). Cláusula de adhesión: se aplica. ¿Se combinan datos personales recibidos del importador con datos personales recopilados por el exportador? No.
Tabla 3: Información del Apéndice. Anexo 1A: según la Parte 3.A. Anexo 1B: según la Parte 3.B. Anexo II: según la Parte 4. Anexo III: según la Parte 5.
Tabla 4: Finalización de este Anexo cuando cambie el Anexo Aprobado. El Importador puede poner fin al Anexo del Reino Unido según lo establecido en su sección 19.
Para las transferencias del Reino Unido, las referencias en las SCCs al GDPR, la legislación de los Estados miembros y la autoridad de control se interpretan según lo establecido en el Anexo del Reino Unido; la autoridad de control competente es el Comisionado de Información del Reino Unido.
Parte 7. Modificaciones suizas
Para las transferencias sujetas a la Ley Federal Suiza de Protección de Datos (“FADP”):
(a) las referencias al GDPR se interpretan como referencias a la FADP, y las referencias a la legislación de protección de datos de la UE o de los Estados miembros como referencias a la legislación suiza de protección de datos correspondiente, sin cambiar las elecciones contractuales de ley aplicable y fuero del apartado (d), en la medida en que la transferencia esté sujeta exclusivamente a la FADP; cuando una transferencia esté sujeta tanto al GDPR como a la FADP, las SCCs se aplicarán en paralelo conforme a ambos;
(b) el Comisionado Federal Suizo de Protección de Datos e Información es competente para las transferencias regidas por la FADP; cuando también se aplique el GDPR, la autoridad competente identificada conforme a la Cláusula 13 para cuestiones del GDPR seguirá siendo competente;
© el término “Estado miembro” no se interpreta de forma que excluya a los interesados en Suiza de demandar por sus derechos en su lugar de residencia habitual en Suiza conforme a la Cláusula 18©;
(d) la ley aplicable y el fuero conforme a las Cláusulas 17 y 18 permanecen como en la Parte 2, salvo que la legislación suiza imperativa exija lo contrario.
Parte 8. Particularidades del Módulo Tres
Cuando el Cliente actúe como Encargado del tratamiento para un Responsable del tratamiento tercero:
(a) el Cliente confirma que el Responsable ha autorizado la contratación de Cal.com como subencargado y la transferencia conforme a las SCCs, y que el Cliente transmitirá las instrucciones del Responsable, incluidas las instrucciones sobre solicitudes de interesados, eliminación y auditorías, a través de los canales del DPA;
(b) Las notificaciones deben llegar a los destinatarios requeridos por cada disposición aplicable de las SCCs. El Cliente reenviará las notificaciones cuando las SCCs le asignen esa responsabilidad. Cal.com notificará directamente al Responsable cuando las SCCs lo exijan, incluso conforme a la Cláusula 8.6© cuando sea apropiado y viable. Cualquier acuerdo de notificación autorizado a través del Cliente debe preservar los derechos del Responsable y los plazos requeridos por las SCCs.
© El Cliente indemnizará a Cal.com frente a reclamaciones del Responsable derivadas de la falta de autoridad del Cliente o de instrucciones que Cal.com reciba a través del Cliente (DPA §12.4(a)). Esta indemnización no limita las obligaciones ni la responsabilidad de Cal.com en virtud de las SCCs.