Términos y Condiciones Comerciales

0. Aceptación del Acuerdo

Al (i) hacer clic en "Registrarse", "Acepto" o cualquier otro botón similar en la Consola de Negocio o en el Sitio Web de Didit, (ii) firmar un Formulario de Pedido que haga referencia a estos Términos, o (iii) acceder o utilizar los Servicios de cualquier otra forma, tú (el "Cliente") aceptas y te comprometes legalmente a cumplir este Acuerdo en nombre de la entidad legal u organización que representas.

Al aceptar este Acuerdo, el Cliente declara y garantiza que tiene plena autoridad legal para vincular a dicha entidad u organización a estos Términos y a cualquier Anexo o Formulario de Pedido relacionado. Si no tienes dicha autoridad, o si no estás de acuerdo con estos Términos, no debes utilizar ni acceder a los Servicios.

EL USO CONTINUADO DE LA PLATAFORMA DIDIT CONSTITUYE LA ACEPTACIÓN INEQUÍVOCA Y VINCULANTE DE ESTE ACUERDO EN SU TOTALIDAD.

1. Partes del Acuerdo

Las siguientes partes están involucradas en este Acuerdo:

• Proveedor de Servicios ("Didit," "nosotros," "nuestro"): la entidad de Didit que contrata con el Cliente. La entidad contratante aplicable se determina en la Sección 16.6 (Ley Aplicable y Jurisdicción):
  • Didit Identity Spain, S.L., CIF B22929327, Calle Nápoles 227, P. 1, 08013 Barcelona, España. Contrata con Clientes establecidos en la Unión Europea, Espacio Económico Europeo, Reino Unido, Suiza y América Latina.
  • Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, Estados Unidos. Contrata con Clientes establecidos en Estados Unidos, Canadá, Asia-Pacífico, Oriente Medio y todas las demás jurisdicciones no asignadas a Didit Identity Spain, S.L.
• Cliente ("tú," "tu"):

La entidad legal o persona que se registra para una cuenta en la Plataforma Didit o utiliza los Servicios. El Cliente será la parte contratante de Didit.

• Notificaciones:

Todas las notificaciones y comunicaciones formales relacionadas con este Acuerdo deben dirigirse a legal@didit.me o a la dirección física de la entidad contratante aplicable mencionada anteriormente.

2. Estructura y Orden de Precedencia

Este Acuerdo se compone de los siguientes documentos, que se interpretarán conjuntamente. En caso de conflicto entre las disposiciones de cualquiera de estos documentos, prevalecerán en el siguiente orden descendente:

1. Formularios de Pedido (documentos comerciales específicos del Cliente que detallan la adquisición de Servicios, volúmenes y precios).
2. Anexo 2, Acuerdo de Procesamiento de Datos (DPA) (que rige el procesamiento de Datos Personales).
3. Estos Términos y Condiciones de Servicio.
4. Anexo 1, Acuerdo de Nivel de Servicio (SLA) (que establece los compromisos de disponibilidad de los Servicios).

3. Tabla de Contenidos

1. Aceptación del Acuerdo
2. Partes del Acuerdo
3. Estructura y Orden de Precedencia
4. Tabla de Contenidos
5. Definiciones e Interpretaciones
6. Vigencia del Acuerdo
7. Acceso y Uso de los Servicios
8. Derechos de Propiedad Intelectual
9. Tarifas y Condiciones de Pago
10. Confidencialidad
11. Protección de Datos y Seguridad
12. Exclusión de Garantías
13. Limitación de Responsabilidad
14. Indemnización
15. Declaraciones y Garantías
16. Suspensión y Terminación
17. Disposiciones Generales

Anexo 1, Acuerdo de Nivel de Servicio (SLA) Anexo 2, Acuerdo de Procesamiento de Datos (DPA)

4. Definiciones e Interpretaciones

Para los fines de este Acuerdo, los siguientes términos tendrán los significados que se les atribuyen a continuación:

• Acuerdo: Se refiere a estos Términos y Condiciones de Servicio, junto con cualquier Formulario de Pedido, Anexo 1 (SLA) y Anexo 2 (DPA), y cualquier otra política o anexo referenciado en ellos.
• API: Se refiere a las interfaces de programación de aplicaciones proporcionadas por Didit para la integración con los Servicios.
• Consola de Negocio: Se refiere al portal de administración web de Didit, accesible a través de https://business.didit.me o cualquier otra URL que Didit pueda designar, que permite al Cliente gestionar su cuenta y los Servicios.
• Créditos: Son las unidades prepagadas denominadas en USD que el Cliente adquiere para pagar el uso de los Servicios, de acuerdo con los precios y condiciones especificados por Didit.
• Credenciales de Acceso: Incluyen, entre otras, contraseñas, claves API, tokens de autenticación o cualquier otra información de seguridad proporcionada por Didit al Cliente para acceder a los Servicios.
• Datos del Cliente: Todos los datos, incluida la Información Confidencial y los Datos Personales de los Usuarios Finales, que el Cliente o los Usuarios Autorizados envían, cargan o procesan a través de los Servicios.
• Datos Personales: Tendrá el significado atribuido en el Reglamento General de Protección de Datos (RGPD) de la UE (Reglamento (UE) 2016/679) y/o cualquier otra ley de protección de datos aplicable.
• Documentación: Se refiere a cualquier manual de usuario, especificaciones técnicas, guías de implementación, guías de API, políticas o materiales de soporte relacionados con los Servicios que Didit pone a disposición del Cliente.
• Fecha de Entrada en Vigor: La fecha en que el Cliente acepta por primera vez este Acuerdo según lo establecido en la Sección 0.
• Formulario de Pedido: Cualquier documento físico o formulario en línea que formaliza la compra de Créditos o Servicios específicos por parte del Cliente, que hace referencia a estos Términos y forma parte de este Acuerdo.
• Fuerza Mayor: Cualquier evento o circunstancia fuera del control razonable de una Parte que impida o retrase el cumplimiento de sus obligaciones bajo este Acuerdo, como actos de Dios, guerra, terrorismo, insurrección, pandemia, desastre natural, interrupciones globales de internet, escasez de energía, huelgas, sabotaje o decisiones gubernamentales.
• Información Confidencial: Toda la información no pública divulgada por una Parte a la otra, ya sea oralmente, por escrito o por medios electrónicos, que se designa como confidencial o que, por la naturaleza de la información o las circunstancias de la divulgación, debe entenderse razonablemente como confidencial. Esto incluye, entre otros, información técnica, financiera, comercial, de clientes, de precios, planes de marketing, software, código fuente y Datos del Cliente.
• Propiedad Intelectual: Incluye patentes, derechos de autor, derechos de bases de datos, derechos de diseño, marcas comerciales, nombres comerciales, know-how, secretos comerciales y cualquier otro derecho de propiedad intelectual, ya sea registrado o no registrado, y sus solicitudes, en cualquier parte del mundo.
• SDK: Se refiere a los kits de desarrollo de software proporcionados por Didit para facilitar la integración y el uso de los Servicios.
• Servicios: Se refiere a la plataforma de infraestructura de identidad y fraude de Didit, incluyendo la Consola de Negocio, APIs, SDKs, Documentación y cualquier línea de productos que Didit ponga a disposición del Cliente, incluyendo Verificación de Usuario (KYC), Verificación de Negocio (KYB), Monitoreo de Transacciones, Detección de Carteras (KYT), el Orquestador de Flujos de Trabajo, el servidor Model Context Protocol (MCP) y cualquier otro servicio que Didit pueda lanzar bajo este Acuerdo.
• Usuario Autorizado: Cualquier persona, como un empleado o contratista del Cliente, a quien el Cliente haya autorizado para acceder y utilizar los Servicios en nombre del Cliente, sujeto a los términos de este Acuerdo.
• Usuario Final: La persona física cuya identidad el Cliente busca verificar utilizando los Servicios de Didit.
• Verificación: El proceso realizado por Didit para verificar la identidad de un Usuario Final, que culmina en un resultado Aprobado o Rechazado o cualquier otro estado definido por Didit o en un Formulario de Pedido.
• Característica de Verificación: Un componente individual del flujo de verificación, como Verificación de Documento de Identidad, Detección de Vida, Coincidencia Facial, Búsqueda Facial, Detección AML, Prueba de Dirección, Lectura NFC, Validación de Base de Datos, Cuestionarios Personalizados, Verificación Telefónica, Verificación de Correo Electrónico, Análisis de Dispositivo e IP, búsquedas en registros mercantiles, extracción de UBO, datos de directivos, AML de entidades, KYC vinculado, evaluación de reglas de monitoreo de transacciones, búsquedas de detección de carteras, o cualquier otro paso discreto ofrecido por Didit en las líneas de productos.

Interpretación:

• Los títulos de las secciones son solo para conveniencia y no afectarán la interpretación de este Acuerdo.
• Las palabras en singular incluyen el plural y viceversa.
• La palabra "incluyendo" o "incluye" significa "incluyendo, sin limitación."
• Cualquier referencia a una ley o regulación se refiere a esa ley o regulación tal como esté en vigor de vez en cuando, incluyendo sus enmiendas o reemplazos.

5. Vigencia del Acuerdo

5.1 Vigencia del Acuerdo: Este Acuerdo comenzará en la Fecha de Entrada en Vigor y continuará en pleno vigor y efecto hasta que cualquiera de las Partes lo rescinda de acuerdo con la Sección 16 del presente.

5.2 Sin Compromiso Mínimo (a menos que se especifique en el Formulario de Pedido): A menos que se especifique lo contrario en un Formulario de Pedido firmado por el Cliente (por ejemplo, para planes Enterprise con compromisos de volumen), el Cliente puede dejar de usar los Servicios en cualquier momento. Sin embargo, los Créditos no utilizados no serán reembolsables bajo ninguna circunstancia, según lo establecido en la Sección 9.4. Los Formularios de Pedido que estipulen un compromiso de consumo mínimo prevalecerán sobre esta cláusula.

6. Acceso y Uso de los Servicios

6.1 Creación de Cuenta y Seguridad: Para acceder y utilizar los Servicios, el Cliente debe crear una cuenta en la Consola de Negocio. El Cliente es el único responsable de mantener la confidencialidad y seguridad de sus Credenciales de Acceso (incluyendo contraseñas y claves API) y de todas las actividades que ocurran bajo su cuenta, estén o no autorizadas. El Cliente debe notificar inmediatamente a Didit cualquier uso no autorizado o sospecha de uso no autorizado de sus Credenciales de Acceso o cuenta. Didit no será responsable de ninguna pérdida o daño que surja del incumplimiento de esta obligación por parte del Cliente.

6.2 Licencia: Sujeto al cumplimiento continuo del Cliente con este Acuerdo y al pago oportuno de todas las tarifas aplicables, Didit otorga al Cliente una licencia no exclusiva y mundial, durante la vigencia del Acuerdo, para acceder y utilizar los Servicios y la Documentación para sus fines comerciales, específicamente para: (i) Verificar la identidad de sus Usuarios Finales. (ii) Ayudar en la prevención y detección de fraude. (iii) Cumplir con las obligaciones legales y regulatorias aplicables (por ejemplo, KYC/AML).

6.3 Derechos de Reventa y Sublicencia: El Cliente puede revender, sublicenciar o poner los Servicios a disposición de terceros, siempre que: (i) El Cliente se asegure de que dichos terceros cumplan con todos los términos aplicables de este Acuerdo. (ii) El Cliente siga siendo totalmente responsable ante Didit por cualquier acto u omisión de dichos terceros. (iii) El Cliente celebre acuerdos por escrito con dichos terceros que incluyan términos no menos protectores para Didit que los contenidos en este Acuerdo. (iv) El Cliente notifique a Didit cualquier acuerdo de sublicencia significativo si se le solicita.

6.4 Restricciones de Uso: El Cliente se compromete a no realizar, y no permitirá que terceros realicen, ninguna de las siguientes acciones:

• Copiar, modificar, adaptar, traducir, realizar ingeniería inversa, descompilar, desensamblar o intentar descubrir el código fuente o los algoritmos de los Servicios o cualquier parte de ellos, excepto en la medida en que dicha actividad esté expresamente permitida por la ley aplicable e irrenunciable.
• Construir o intentar construir un servicio de verificación de identidad competidor utilizando los Servicios o cualquier información obtenida de ellos.
• Utilizar los Servicios para cualquier propósito ilegal, discriminatorio, fraudulento, engañoso, difamatorio, obsceno, abusivo, dañino, o de una manera que infrinja los derechos de terceros o las leyes aplicables.
• Utilizar los resultados de Verificación o cualquier Dato del Cliente obtenido a través de los Servicios para entrenar, desarrollar o mejorar modelos de aprendizaje automático (ML) o inteligencia artificial (IA), o cualquier otro algoritmo o tecnología similar, sin el consentimiento previo por escrito de Didit.
• Interferir o intentar interferir con el correcto funcionamiento de los Servicios, incluyendo, sin limitación, la introducción de virus, troyanos, gusanos, bombas lógicas o cualquier otro material malicioso o tecnológicamente dañino.
• Intentar obtener acceso no autorizado a los Servicios, sistemas informáticos o redes conectadas a los Servicios.
• Eliminar, alterar u ocultar cualquier aviso de derechos de propiedad intelectual o marcas comerciales de Didit o de terceros contenidos en los Servicios o la Documentación.
• Utilizar los Servicios de una manera que exceda los límites de uso o los volúmenes de Créditos comprados, o que imponga una carga irrazonable o desproporcionadamente grande en la infraestructura de Didit.
• Abusar o eludir las limitaciones de cualquier plan gratuito o de prueba creando múltiples organizaciones o cuentas en la Consola de Negocio (https://business.didit.me), ya sea directa o indirectamente, utilizando las mismas o diferentes identidades, con el propósito de obtener beneficios adicionales del nivel gratuito más allá de lo previsto para un solo Cliente. Cuando Didit tenga pruebas razonables de que una persona o entidad ha creado o está operando múltiples organizaciones para explotar el plan gratuito, Didit podrá suspender o terminar las organizaciones y cuentas afectadas, con previo aviso cuando sea posible.

6.5 Responsabilidades del Cliente: El Cliente será el único responsable de:

• Cumplimiento Legal: Asegurar que su uso de los Servicios, incluyendo la recopilación, procesamiento y uso de los Datos del Cliente y los Datos Personales del Usuario Final, cumpla plenamente con todas las leyes, regulaciones y normas aplicables en su jurisdicción, incluyendo, entre otras, las leyes de protección de datos, las leyes contra el lavado de dinero (AML) y la lucha contra la financiación del terrorismo (CFT).
• Avisos y Consentimientos del Usuario Final: Obtener y mantener registros de todos los avisos, consentimientos explícitos y autorizaciones necesarios de los Usuarios Finales para la recopilación, procesamiento y transferencia de sus Datos Personales (incluidos los datos biométricos, si corresponde) a Didit y sus subprocesadores, según lo exijan las leyes de protección de datos aplicables.
• Seguridad del Cliente: Implementar y mantener medidas de seguridad razonables y apropiadas para proteger los Datos del Cliente antes de que se envíen a Didit y para asegurar sus Credenciales de Acceso. Esto incluye, sin limitación, el uso de conexiones seguras (HTTPS), la implementación de webhooks firmados y otras mejores prácticas de seguridad de la información.
• Precisión de los Datos: Asegurar la precisión, integridad y legalidad de los Datos del Cliente enviados a Didit a través de los Servicios.

6.6 Gestión y Eliminación de Datos: Los resultados de la Verificación y los Datos del Cliente asociados se entregarán al Cliente a través de webhooks o la API de Didit. El Cliente tendrá la capacidad de eliminar permanentemente cualquier registro de Verificación o Datos del Cliente a través de la API o la Consola de Negocio en cualquier momento, sujeto a las políticas de retención de Didit y a las obligaciones legales como procesador de datos, según se detalla en el Anexo 2 (DPA).

7. Derechos de Propiedad Intelectual

7.1 Propiedad de Didit: Didit (y sus licenciantes, cuando corresponda) retienen todos los derechos, títulos e intereses sobre los Servicios (incluidos software, código, APIs, SDKs, modelos, algoritmos, tecnología subyacente), la Documentación, las marcas comerciales de Didit, así como cualquier mejora, modificación, actualización, derivado o desarrollo de los mismos. Nada en este Acuerdo se interpretará como una transferencia de propiedad intelectual de Didit al Cliente. Los derechos otorgados al Cliente son únicamente licencias, y no se otorgan licencias implícitas bajo este Acuerdo.

7.2 Datos del Cliente: El Cliente es y seguirá siendo el único propietario de todos los derechos, títulos e intereses sobre los Datos del Cliente. El Cliente otorga a Didit una licencia mundial, no exclusiva, libre de regalías, sublicenciable y transferible para procesar los Datos del Cliente únicamente con el fin de proporcionar los Servicios al Cliente y mejorar los Servicios, de acuerdo con el Anexo 2 (Acuerdo de Procesamiento de Datos) y la Política de Privacidad de Didit.

7.3 Comentarios: En el caso de que el Cliente o cualquiera de sus Usuarios Autorizados proporcionen a Didit sugerencias, ideas, solicitudes de mejora, comentarios, recomendaciones u otra información relacionada con los Servicios ("Comentarios"), el Cliente otorga a Didit una licencia mundial, perpetua, irrevocable, libre de regalías, totalmente pagada, transferible y sublicenciable para usar, explotar, copiar, modificar, crear obras derivadas, distribuir, mostrar públicamente, ejecutar públicamente y comercializar de cualquier otra forma dichos Comentarios para cualquier propósito y de cualquier manera, sin ninguna obligación o compensación para el Cliente.

8. Tarifas y Condiciones de Pago

8.1 Créditos Prepagados y No Caducidad: Los Servicios de Didit se basan en un modelo de Créditos prepagados. Los Créditos comprados por el Cliente no caducan y pueden utilizarse mientras el Acuerdo esté en vigor.

8.2 Pago por Características de Verificación Completadas: Se cobrará al Cliente por cada Característica de Verificación que el Usuario Final complete con éxito durante el flujo de verificación, de acuerdo con las tarifas aplicables. Esto significa: (i) Si un Usuario Final completa el paso de Verificación de Documento de Identidad, se le cobrará al Cliente por esa característica. (ii) Si un Usuario Final completa el paso de Detección de Vida, se le cobrará al Cliente por esa característica. (iii) Cada Característica de Verificación adicional completada (como Detección AML, Prueba de Dirección, Verificación NFC, etc.) incurrirá en su cargo respectivo. (iv) No se aplicarán cargos por Características de Verificación que no se completen debido a un fallo del sistema por parte de Didit.

El precio específico de cada Característica de Verificación se establece en la página de precios de Didit o en el Formulario de Pedido aplicable.

8.3 Precios: Los precios aplicables a los Servicios se publican en la página de precios de Didit o, para planes personalizados o Enterprise, en el Formulario de Pedido correspondiente. Didit se reserva el derecho de modificar sus precios en cualquier momento, lo cual se notificará con antelación de acuerdo con la Sección 17.2.

8.4 Proceso de Pago y No Reembolsabilidad: La compra de Créditos se realizará a través de la plataforma de pago designada por Didit (actualmente Stripe o los métodos de pago acordados en el Formulario de Pedido). Todos los pagos son finales y los Créditos comprados no son reembolsables, a menos que se indique expresamente lo contrario en este Acuerdo o en un Formulario de Pedido. Los precios indicados no incluyen impuestos (como el IVA) ni tarifas bancarias o de procesamiento, que serán responsabilidad del Cliente.

8.5 Pagos Fallidos / Reversiones y Suspensión de Cuenta: En caso de tres intentos de pago automático fallidos consecutivos (para la recarga automática de Créditos, si está configurada) o en caso de impago de facturas emitidas para planes Enterprise, Didit podrá, a su entera discreción, suspender el acceso del Cliente a los Servicios o rescindir este Acuerdo de acuerdo con la Sección 16. Didit se reserva el derecho de cobrar intereses sobre los pagos atrasados a la tasa máxima permitida por la ley aplicable, calculados diariamente desde la fecha de vencimiento hasta la fecha de pago total.

8.6 Planes Enterprise: Para los Clientes que hayan contratado un plan Enterprise o personalizado a través de un Formulario de Pedido firmado, las condiciones de precios específicas, los términos de pago, los compromisos de consumo mínimo y la facturación establecidos en dicho Formulario de Pedido prevalecerán o complementarán las disposiciones de esta Sección 8.

9. Confidencialidad

Cada Parte ("Parte Receptora") se compromete a proteger la Información Confidencial de la otra Parte ("Parte Divulgadora") con al menos el mismo grado de diligencia que utiliza para proteger su propia información de naturaleza similar, pero nunca menos que una diligencia razonable. La Parte Receptora solo utilizará la Información Confidencial de la Parte Divulgadora para cumplir con sus obligaciones bajo este Acuerdo o según lo permita la ley aplicable.

9.1 Exclusiones de la Información Confidencial: La Información Confidencial no incluirá ninguna información que: (a) sea o se haga pública sin culpa de la Parte Receptora; (b) estuviera legalmente en posesión de la Parte Receptora antes de su divulgación por la Parte Divulgadora, sin una obligación de confidencialidad; (c) sea divulgada a la Parte Receptora por un tercero sin restricción o violación de ninguna obligación de confidencialidad; (d) sea desarrollada independientemente por la Parte Receptora sin referencia a la Información Confidencial de la Parte Divulgadora; o (e) sean Datos del Cliente procesados por Didit de forma agregada o seudonimizada para la mejora de sus algoritmos, según lo establecido en el Anexo 2 (DPA).

9.2 Divulgación Obligatoria: La Parte Receptora podrá divulgar Información Confidencial si así lo exige la ley, una orden judicial o una autoridad gubernamental competente, siempre que, en la medida en que sea legalmente permisible, la Parte Receptora notifique previamente a la Parte Divulgadora con suficiente antelación para permitir que la Parte Divulgadora solicite una orden de protección o una exención.

9.3 Obligación del Personal: Cada Parte se asegurará de que sus empleados, agentes y contratistas que tengan acceso a la Información Confidencial de la otra Parte estén sujetos a obligaciones de confidencialidad que sean al menos tan restrictivas como las establecidas en esta Sección 9.

9.4 Supervivencia: Las obligaciones de confidencialidad establecidas en esta Sección 9 permanecerán en vigor durante la vigencia de este Acuerdo y por un período de cinco (5) años a partir de la fecha de su terminación, excepto con respecto a los secretos comerciales, para los cuales la obligación de confidencialidad será indefinida mientras dicha información mantenga su condición de secreto comercial.

10. Protección de Datos y Seguridad

El procesamiento de Datos Personales por parte de Didit en nombre del Cliente se regirá por el Anexo 2, Acuerdo de Procesamiento de Datos (DPA), que forma parte integral de este Acuerdo. El DPA detalla las obligaciones de cada Parte con respecto al cumplimiento de las leyes de protección de datos, las medidas de seguridad y las responsabilidades del procesador y controlador de datos.

11. Exclusión de Garantías

LOS SERVICIOS DE DIDIT, INCLUYENDO LA PLATAFORMA, APIS, SDKS Y DOCUMENTACIÓN, SE PROPORCIONAN "TAL CUAL" Y "SEGÚN DISPONIBILIDAD", SIN GARANTÍAS DE NINGÚN TIPO. EN LA MEDIDA MÁXIMA PERMITIDA POR LA LEY APLICABLE, DIDIT RENUNCIA EXPRESAMENTE A TODAS LAS GARANTÍAS, EXPRESAS O IMPLÍCITAS, INCLUYENDO, PERO SIN LIMITARSE A, LAS GARANTÍAS IMPLÍCITAS DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO PARTICULAR, NO INFRACCIÓN DE DERECHOS DE TERCEROS, EXACTITUD DE LOS DATOS, DISPONIBILIDAD ININTERRUMPIDA O LIBRE DE ERRORES.

DIDIT NO GARANTIZA QUE LOS SERVICIOS FUNCIONARÁN DE FORMA ININTERRUMPIDA, SEGURA O LIBRE DE ERRORES, QUE LOS DEFECTOS SERÁN CORREGIDOS, O QUE LOS SERVICIOS O LOS SERVIDORES QUE LOS PONEN A DISPOSICIÓN ESTÁN LIBRES DE VIRUS U OTROS COMPONENTES DAÑINOS. DIDIT NO OFRECE GARANTÍAS CON RESPECTO A LOS RESULTADOS QUE PUEDAN OBTENERSE DEL USO DE LOS SERVICIOS O LA EXACTITUD, FIABILIDAD O INTEGRIDAD DE CUALQUIER INFORMACIÓN OBTENIDA A TRAVÉS DE LOS SERVICIOS. EL CLIENTE ASUME TODOS LOS RIESGOS ASOCIADOS CON EL USO DE LOS SERVICIOS.

EN PARTICULAR, EL CLIENTE RECONOCE QUE LAS VERIFICACIONES DE IDENTIDAD SON PROCESOS COMPLEJOS BASADOS EN DIVERSAS FUENTES DE DATOS Y ALGORITMOS. DIDIT NO GARANTIZA LA IDENTIDAD DE NINGÚN USUARIO FINAL, LA VERACIDAD O AUTENTICIDAD DE NINGÚN DOCUMENTO DE IDENTIDAD, O LA AUSENCIA DE FRAUDE. LOS RESULTADOS PROPORCIONADOS POR LOS SERVICIOS DE DIDIT SON ÚNICAMENTE PARA FINES INFORMATIVOS Y APOYAN EL PROCESO DE TOMA DE DECISIONES DEL CLIENTE. EL CLIENTE ES EL ÚNICO RESPONSABLE DE SUS DECISIONES FINALES BASADAS O NO EN LOS RESULTADOS DE DIDIT, Y DIDIT NO ASUME NINGUNA RESPONSABILIDAD POR DICHAS DECISIONES O SUS CONSECUENCIAS.

12. Limitación de Responsabilidad

EN LA MEDIDA MÁXIMA PERMITIDA POR LA LEY APLICABLE, EN NINGÚN CASO DIDIT, SUS AFILIADAS, DIRECTORES, EMPLEADOS, AGENTES, PROVEEDORES O LICENCIANTES SERÁN RESPONSABLES POR DAÑOS INDIRECTOS, INCIDENTALES, ESPECIALES, CONSECUENCIALES, PUNITIVOS, EJEMPLARES, O DAÑOS POR PÉRDIDA DE BENEFICIOS, INGRESOS, DATOS, USO O FONDO DE COMERCIO, INCURRIDOS POR EL CLIENTE O CUALQUIER TERCERO, YA SEA EN UNA ACCIÓN CONTRACTUAL, EXTRACONTRACTUAL (INCLUYENDO NEGLIGENCIA) O DE OTRO TIPO, INCLUSO SI DIDIT HA SIDO ADVERTIDO DE LA POSIBILIDAD DE DICHOS DAÑOS.

LA RESPONSABILIDAD TOTAL Y ACUMULADA DE DIDIT BAJO ESTE ACUERDO POR CUALQUIER CAUSA Y BAJO CUALQUIER TEORÍA DE RESPONSABILIDAD SE LIMITARÁ AL MONTO DE CRÉDITOS O TARIFAS DE SERVICIO REALMENTE PAGADOS POR EL CLIENTE A DIDIT EN LOS DOCE (12) MESES ANTERIORES AL EVENTO QUE DIO LUGAR A LA RECLAMACIÓN.

LAS LIMITACIONES ESTABLECIDAS EN ESTA SECCIÓN NO SE APLICARÁN A LA RESPONSABILIDAD DERIVADA DE LA NEGLIGENCIA GRAVE O MALA CONDUCTA INTENCIONAL DE DIDIT, LAS OBLIGACIONES DE INDEMNIZACIÓN RECÍPROCAS ESTABLECIDAS EN LA SECCIÓN 14, O EN LOS CASOS EN QUE LA LEY APLICABLE NO PERMITA LA EXCLUSIÓN O LIMITACIÓN DE CIERTOS DAÑOS.

13. Indemnización

13.1 Indemnización por parte del Cliente: El Cliente defenderá, indemnizará y eximirá de responsabilidad a Didit, sus afiliadas, directores, empleados, agentes y proveedores ("Partes Indemnizadas de Didit") de y contra todas y cada una de las reclamaciones, demandas, daños, responsabilidades, pérdidas, costos y gastos (incluidos los honorarios razonables de abogados) que surjan de o estén relacionados con: (i) El incumplimiento por parte del Cliente de cualquiera de sus obligaciones, declaraciones o garantías bajo este Acuerdo, incluyendo, pero sin limitarse a, las relacionadas con la seguridad, la protección de datos o las restricciones de uso. (ii) Cualquier reclamación de un Usuario Final o de un tercero relacionada con la recopilación o el procesamiento de Datos Personales por parte del Cliente (incluida la falta de obtención de los consentimientos necesarios), o las decisiones del Cliente basadas en los resultados de la Verificación. (iii) El uso de los Servicios por parte del Cliente de una manera que no cumpla con las leyes o regulaciones aplicables. (iv) La infracción por parte del Cliente o de sus Datos del Cliente de cualquier Propiedad Intelectual o derechos de privacidad de terceros.

13.2 Indemnización por parte de Didit: Didit defenderá, indemnizará y eximirá de responsabilidad al Cliente, sus afiliadas, directores, empleados y agentes de y contra todas y cada una de las reclamaciones, demandas, daños, responsabilidades, pérdidas, costos y gastos (incluidos los honorarios razonables de abogados) que surjan de o estén relacionados con una reclamación de un tercero de que los Servicios, tal como los proporciona Didit al Cliente y se utilizan de acuerdo con este Acuerdo, infringen directamente una patente, derecho de autor o marca comercial de dicho tercero.

Exclusiones: La obligación de indemnización de Didit no se aplicará a las reclamaciones que surjan de: (a) el uso de los Servicios por parte del Cliente en combinación con cualquier software, hardware o datos no proporcionados por Didit; (b) la modificación de los Servicios por una parte que no sea Didit; o (c) el uso de versiones obsoletas de los Servicios si Didit ha proporcionado una versión más reciente que no infringe.

13.3 Procedimiento de Indemnización: La Parte que solicita la indemnización ("Parte Indemnizada") deberá: (i) notificar prontamente por escrito a la parte indemnizadora ("Parte Indemnizadora") cualquier reclamación; (ii) permitir a la Parte Indemnizadora el control exclusivo de la defensa y resolución de la reclamación (siempre que la resolución no imponga una obligación no monetaria a la Parte Indemnizada o admita responsabilidad por parte de la Parte Indemnizada sin su consentimiento previo por escrito); y (iii) proporcionar a la Parte Indemnizadora toda la asistencia y cooperación razonables, a expensas de la Parte Indemnizadora.

14. Declaraciones y Garantías

14.1 Declaraciones y Garantías del Cliente: El Cliente declara y garantiza a Didit que: (i) Tiene plena capacidad legal y autoridad para celebrar y ejecutar este Acuerdo. (ii) Cumplirá con todas las leyes, regulaciones y normas aplicables en su uso de los Servicios y en la recopilación, procesamiento y transferencia de Datos del Cliente y Datos Personales. (iii) Ha obtenido y mantendrá todos los consentimientos, permisos y autorizaciones necesarios de los Usuarios Finales y de cualquier otra persona física para que Didit procese sus Datos Personales de acuerdo con este Acuerdo y el DPA. (iv) Todos los Datos del Cliente proporcionados a Didit son precisos, completos y legales, y el Cliente tiene derecho a proporcionar dichos datos a Didit para su procesamiento.

14.2 Declaraciones y Garantías de Didit: Didit declara y garantiza al Cliente que: (i) Tiene plena capacidad legal y autoridad para celebrar y ejecutar este Acuerdo. (ii) Los Servicios se proporcionarán de manera profesional y de acuerdo con los estándares de la industria. (iii) Los Servicios se ajustarán sustancialmente a las descripciones contenidas en la Documentación.

15. Suspensión y Terminación

15.1 Terminación por Conveniencia:

• Por parte del Cliente: El Cliente puede cerrar su cuenta y rescindir este Acuerdo en cualquier momento, lo que resultará en la pérdida de los Créditos no utilizados.
• Por parte de Didit: Didit puede rescindir este Acuerdo y el acceso del Cliente a los Servicios por conveniencia, sin causa, mediante un aviso por escrito con treinta (30) días de antelación. En tal caso, Didit reembolsará al Cliente el valor de los Créditos no utilizados.

15.2 Terminación por Causa: Cualquiera de las Partes podrá rescindir este Acuerdo inmediatamente mediante notificación por escrito a la otra Parte si: (i) La otra Parte incumple materialmente cualquiera de sus obligaciones bajo este Acuerdo y no subsana dicho incumplimiento dentro de los treinta (30) días siguientes a la recepción de una notificación por escrito que especifique el incumplimiento. (ii) La otra Parte se declara en quiebra, insolvencia, liquidación, disolución, entra en un acuerdo voluntario de acreedores o cualquier procedimiento similar.

Didit podrá suspender o rescindir inmediatamente el acceso del Cliente a los Servicios, sin previo aviso ni período de subsanación, en los siguientes casos: (a) Incumplimiento grave o reiterado de la Sección 6.4 (Restricciones de Uso) o 6.5 (Responsabilidades del Cliente). (b) Uso ilegal, fraudulento o abusivo de los Servicios. (c) Impago o incumplimiento reiterado de las condiciones de pago. (d) Cuando Didit determine, a su entera discreción, que la seguridad o integridad de los Servicios o los Datos del Cliente pueden verse comprometidas. (e) En cumplimiento de una orden judicial o requisito legal. (f) Abuso del plan gratuito o de prueba mediante la creación de múltiples organizaciones o cuentas, según se describe en la Sección 6.4, donde las organizaciones y cuentas afectadas pueden ser suspendidas o terminadas.

15.3 Efectos de la Terminación: Tras la terminación de este Acuerdo por cualquier motivo: (i) Todas las licencias y derechos otorgados al Cliente bajo este Acuerdo cesarán inmediatamente. (ii) El Cliente cesará todo uso de los Servicios y la Documentación. (iii) Cualquier cantidad pendiente adeudada por el Cliente a Didit en la fecha de terminación será inmediatamente exigible y pagadera. (iv) Si la terminación es por causa atribuible al Cliente, los Créditos no utilizados se perderán y no serán reembolsables. (v) Las obligaciones de retención y eliminación de Datos del Cliente se regirán por el Anexo 2 (DPA). (vi) Las secciones de este Acuerdo que, por su naturaleza, deban sobrevivir a la terminación, incluyendo, sin limitación, las relativas a Propiedad Intelectual, Confidencialidad, Exclusión de Garantías, Limitación de Responsabilidad, Indemnización, Ley Aplicable y Jurisdicción, y Disposiciones Generales, permanecerán en pleno vigor y efecto.

16. Disposiciones Generales

16.1 Fuerza Mayor: Ninguna de las Partes será responsable por cualquier retraso o incumplimiento de sus obligaciones bajo este Acuerdo si dicho retraso o incumplimiento es causado por Fuerza Mayor. La Parte afectada notificará a la otra Parte el evento de Fuerza Mayor tan pronto como sea posible y hará esfuerzos razonables para mitigar sus efectos.

16.2 Modificaciones del Acuerdo: Didit se reserva el derecho de modificar o actualizar estos Términos y Condiciones, Anexos o políticas de servicio en cualquier momento. Didit notificará al Cliente dichas modificaciones con al menos treinta (30) días de antelación mediante la publicación de los Términos revisados en su Sitio Web o Consola de Negocio, o mediante el envío de una notificación directa al Cliente. Si el Cliente no está de acuerdo con las modificaciones, podrá rescindir el Acuerdo mediante notificación por escrito antes de la fecha de entrada en vigor de los nuevos términos. El uso continuado de los Servicios por parte del Cliente después de la fecha de entrada en vigor de las modificaciones constituirá la aceptación vinculante de los términos revisados.

16.3 Cesión: El Cliente no podrá ceder ni transferir sus derechos u obligaciones bajo este Acuerdo, en su totalidad o en parte, sin el consentimiento previo por escrito de Didit. Cualquier intento de cesión o transferencia que no cumpla con esta disposición será nulo y sin efecto. Didit podrá ceder o transferir libremente este Acuerdo, en su totalidad o en parte, a una afiliada o en relación con una fusión, adquisición, reestructuración corporativa o venta de la totalidad o sustancialmente la totalidad de sus activos.

16.4 Divisibilidad: Si alguna disposición de este Acuerdo se considera inválida o inaplicable por un tribunal de jurisdicción competente, dicha disposición se limitará o eliminará en la medida mínima necesaria, y las disposiciones restantes de este Acuerdo permanecerán en pleno vigor y efecto.

16.5 No Renuncia: El hecho de que cualquiera de las Partes no ejerza o se demore en ejercer cualquier derecho o recurso bajo este Acuerdo no operará como una renuncia a ese derecho o recurso, ni impedirá cualquier ejercicio posterior de ese derecho o recurso. Una renuncia expresa a cualquier incumplimiento no constituirá una renuncia a cualquier incumplimiento posterior.

16.6 Ley Aplicable y Jurisdicción: La ley aplicable y la jurisdicción exclusiva dependen del lugar de establecimiento del Cliente, lo que también determina la entidad contratante de Didit (ver Sección 1):

• Los Clientes establecidos en la Unión Europea, Espacio Económico Europeo, Reino Unido, Suiza o América Latina contratan con Didit Identity Spain, S.L. Este Acuerdo se rige por las leyes de España (sin referencia a sus principios de conflicto de leyes), y las Partes se someten irrevocablemente a la jurisdicción exclusiva de los tribunales de la ciudad de Barcelona, España para cualquier disputa que surja de o en relación con este Acuerdo.
• Los Clientes establecidos en Estados Unidos, Canadá, Asia-Pacífico, Oriente Medio y todas las demás jurisdicciones contratan con Didit Identity, Inc. Este Acuerdo se rige por las leyes del Estado de Delaware, Estados Unidos de América (sin referencia a sus principios de conflicto de leyes), y las Partes se someten irrevocablemente a la jurisdicción exclusiva de los tribunales estatales y federales ubicados en el Condado de New Castle, Delaware para cualquier disputa que surja de o en relación con este Acuerdo.

Esta Sección 16.6 no priva a un consumidor de las protecciones obligatorias de la ley del país de su residencia habitual. La Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías no se aplica.

16.7 Acuerdo Completo: Este Acuerdo, incluyendo todos los Formularios de Pedido y Anexos, constituye el acuerdo completo y exclusivo entre el Cliente y Didit con respecto a su objeto y reemplaza todas las comunicaciones, propuestas y acuerdos anteriores o contemporáneos, ya sean orales o escritos, entre las Partes.

16.8 Relación entre las Partes: Las Partes son contratistas independientes. Este Acuerdo no crea una sociedad, empresa conjunta, relación laboral, franquicia o agencia entre el Cliente y Didit. Ninguna de las Partes tiene autoridad para vincular a la otra o para incurrir en obligaciones en nombre de la otra.

16.9 Notificaciones: Todas las notificaciones requeridas o permitidas bajo este Acuerdo deberán ser por escrito y se considerarán entregadas cuando: (a) se entreguen personalmente; (b) se envíen por correo certificado o registrado, con acuse de recibo; (c) se envíen por correo electrónico a las direcciones de notificación especificadas en la Sección 1 o en el Formulario de Pedido (con confirmación de recepción); o (d) en el caso de notificaciones generales de Didit al Cliente, se publiquen en la Consola de Negocio o en el Sitio Web.

16.10 Leyes de Cumplimiento de Exportaciones: El Cliente declara y garantiza que ni él ni sus Usuarios Autorizados están sujetos a sanciones económicas o embargos impuestos por la Unión Europea, Estados Unidos u otras autoridades competentes, y que no utilizará los Servicios para fines prohibidos por dichas leyes de control de exportaciones.

16.11 Publicidad: El Cliente acepta que Didit puede utilizar el nombre y el logotipo del Cliente en los materiales de marketing de Didit y en la lista de clientes, a menos que el Cliente notifique a Didit por escrito su objeción a dicho uso.

16.12 Supervivencia: Las Secciones 7 (Derechos de Propiedad Intelectual), 8 (Tarifas y Condiciones de Pago, en relación con las cantidades adeudadas), 9 (Confidencialidad), 11 (Exclusión de Garantías), 12 (Limitación de Responsabilidad), 13 (Indemnización), 15.3 (Efectos de la Terminación) y 16 (Disposiciones Generales) sobrevivirán a cualquier terminación o vencimiento de este Acuerdo.

Anexo 1, Acuerdo de Nivel de Servicio (SLA)

Para los Planes Enterprise, las condiciones operativas y las métricas de servicio firmadas en tu Formulario de Pedido prevalecerán sobre este Anexo.

1. Alcance: Este Acuerdo de Nivel de Servicio ("SLA") se aplica a la disponibilidad operativa de la API principal de verificación de Didit, el Panel de la Consola de Negocio y los puntos finales del SDK gestionados directamente por Didit.

2. Compromiso de Disponibilidad: Didit se compromete a mantener un tiempo de actividad mensual para los Servicios principales de acuerdo con la siguiente métrica:

3. Medición del Tiempo de Actividad: El tiempo de actividad se mide minuto a minuto utilizando las herramientas de monitoreo internas de Didit. Se considerará tiempo de inactividad cualquier minuto durante el cual la API principal o el Panel no respondan con éxito a una solicitud HTTPS (códigos de estado 2XX/3XX), según lo detectado por el sistema de monitoreo de Didit o informado y validado por el Cliente a través de una alerta de soporte.

4. Exclusiones del Tiempo de Actividad: El Tiempo de Actividad Mensual no incluirá el tiempo de inactividad o la interrupción del servicio resultante de:

• Fuerza Mayor: Eventos fuera del control razonable de Didit, según se define en la Sección 16.1 del Acuerdo principal.
• Mantenimiento Programado: Períodos de mantenimiento planificado para los Servicios. Didit se esforzará por limitar el mantenimiento programado a un máximo de cinco (5) horas al mes, con al menos cuarenta y ocho (48) horas de aviso previo proporcionado a través de la Consola de Negocio o correo electrónico.
• Mantenimiento Urgente: Mantenimiento no programado requerido para resolver problemas críticos de seguridad o rendimiento. Didit intentará proporcionar un aviso previo razonable, pero esto puede no ser posible en todos los casos.
• Factores fuera del control razonable de Didit: Incluyendo, pero sin limitarse a, problemas de hardware o software del Cliente, interrupciones de la red de internet no atribuibles a Didit, ataques de denegación de servicio que excedan los umbrales de mitigación estándar, o fallos de proveedores de servicios de terceros (como proveedores de la nube, a menos que se demuestre negligencia grave por parte de Didit en su selección o gestión).
• Actos u omisiones del Cliente o sus Usuarios Autorizados: Incluyendo cualquier incumplimiento del Acuerdo.

5. Créditos de Servicio (Créditos SLA): Si Didit no cumple con el Compromiso de Tiempo de Actividad Mensual establecido en la Sección 2, el Cliente puede solicitar un crédito en su cuenta de Didit (en forma de Créditos Didit no reembolsables) de acuerdo con la siguiente tabla:

5.1 Proceso de Reclamación de Crédito: Para solicitar un crédito, el Cliente debe enviar una solicitud por escrito a billing@didit.me dentro de los treinta (30) días naturales posteriores al final del mes en que ocurrió el incumplimiento del SLA. La solicitud debe incluir la fecha y hora de la interrupción del servicio y una breve descripción de la interrupción. El crédito de servicio es el único y exclusivo recurso del Cliente por cualquier incumplimiento del Compromiso de Tiempo de Actividad bajo este SLA. El valor del crédito se aplicará automáticamente a la cuenta del Cliente en el siguiente ciclo de facturación o recarga de Créditos.

Anexo 2, Acuerdo de Procesamiento de Datos (DPA)

Este Acuerdo de Procesamiento de Datos ("DPA") forma parte integral del Acuerdo principal y es aplicable siempre que Didit procese Datos Personales en nombre del Cliente, de acuerdo con el Reglamento General de Protección de Datos (RGPD) y otras leyes de protección de datos aplicables.

1. Contexto y Alcance: Este DPA establece los derechos y obligaciones de las Partes con respecto al procesamiento de Datos Personales por parte de Didit como Procesador de Datos, actuando en nombre del Cliente como Controlador de Datos.

2. Roles y Naturaleza del Procesamiento:

2.1 Detalles del Procesamiento:

• Propósito del Procesamiento: El procesamiento de Datos Personales por parte de Didit tiene como único fin proporcionar Servicios de verificación de identidad al Cliente, incluyendo, entre otros, las obligaciones de cumplimiento KYC/AML del Cliente, verificación de edad y prevención de fraude.
• Categorías de Interesados: Los Datos Personales procesados conciernen a los Usuarios Finales cuyas identidades son verificadas por el Cliente a través de los Servicios.
• Categorías de Datos Personales: Los datos procesados pueden incluir: información de documentos de identidad (nombre, fecha de nacimiento, nacionalidad, número de documento), imágenes de selfie/video (incluidos datos biométricos, como datos faciales), datos de contacto (correo electrónico, teléfono), datos de dispositivo y conexión (dirección IP, tipo de dispositivo, ubicación), y datos de detección AML/sanciones.
• Duración del Procesamiento y Retención: El período de retención predeterminado para los Datos Personales procesados en los flujos de verificación es indefinido ("ilimitado") a menos que el Cliente configure un período más corto. El Cliente puede configurar la retención por aplicación en la Consola de Negocio entre 30 días y 10 años, y puede eliminar cualquier sesión individual o registro de Verificación en cualquier momento a través del punto final de la API `POST /v3/sessions/:session_id/delete/` o la Consola de Negocio. Didit eliminará o devolverá los Datos Personales según las instrucciones del Cliente o la terminación del Acuerdo, a menos que la ley aplicable exija su retención. La retención de datos biométricos está en todos los casos sujeta y limitada por las leyes y regulaciones de privacidad biométrica aplicables, incluyendo el Artículo 9 del Reglamento General de Protección de Datos (RGPD) de la UE, la Ley de Privacidad de Información Biométrica de Illinois (BIPA), la Ley de Captura o Uso de Identificadores Biométricos de Texas (CUBI), la H.B. 1493 de Washington, y cualquier otra ley de privacidad biométrica aplicable; donde dicha ley prescriba un período de retención más corto o una obligación de destrucción anterior, esa regla más corta o más estricta prevalece sobre cualquier período de retención predeterminado o configurado por el Cliente.

2.2 Base Legal para el Procesamiento: El Cliente es el único responsable de determinar la base legal válida para la recopilación y el procesamiento de los Datos Personales de los Usuarios Finales, así como para la transferencia de dichos datos a Didit. Esto puede incluir, por ejemplo, el consentimiento explícito del interesado (especialmente para datos biométricos), la ejecución de un contrato, el cumplimiento de una obligación legal o un interés legítimo. El Cliente se compromete a proporcionar los avisos de privacidad necesarios y a obtener los consentimientos requeridos de los Usuarios Finales de acuerdo con la ley aplicable antes de enviar cualquier Dato Personal a Didit.

2.3 Entrenamiento de Modelos Anónimos/Seudonimizados y Detección de Fraude (Didit como Controlador Independiente): El Cliente reconoce y acepta que Didit puede utilizar datos anonimizados o seudonimizados derivados de los Datos del Cliente para los siguientes propósitos como Controlador Independiente:

(i) Entrenamiento y mejora de modelos de verificación, biométricos y de detección de fraude, incluyendo clasificadores de documentos, detección de vida, coincidencia facial, detección de deepfake, detección de ataques de inyección y modelos de puntuación de riesgo, para mejorar la seguridad, reducir el fraude y mejorar la precisión de los Servicios para todos los clientes.

(ii) Salvaguardias de prevención de fraude entre clientes, identificando y señalando actores fraudulentos conocidos, patrones de ataque e intentos de fraude repetido en diferentes aplicaciones de Clientes que utilizan los Servicios de Didit.

Didit procesa estos datos basándose en su interés legítimo en operar una infraestructura de identidad y fraude segura y precisa, y aplica anonimización, seudonimización, agregación y controles de acceso para que los datos utilizados para estos fines no puedan vincularse razonablemente a un individuo identificable fuera del registro de Verificación subyacente.

Exclusión voluntaria. El Cliente (o un Usuario Final afectado) puede optar por no participar en el procesamiento descrito en esta Sección 2.3 (a) eliminando el registro de Verificación subyacente a través de la API o la Consola de Negocio, lo que elimina el registro de las tuberías de entrenamiento en el siguiente ciclo de actualización, o (b) enviando un correo electrónico a privacy@didit.me con el identificador de sesión o cuenta relevante, solicitando una exclusión voluntaria. Las exclusiones voluntarias se aplican prospectivamente desde la fecha de la solicitud; Didit también hará esfuerzos comercialmente razonables para purgar los registros elegibles de los conjuntos de datos de entrenamiento activos.

3. Obligaciones de Didit (Procesador de Datos): Didit se compromete a: (i) Procesar Datos Personales únicamente siguiendo las instrucciones documentadas del Cliente, a menos que lo exija la legislación de la Unión o de un Estado miembro, en cuyo caso Didit informará al Cliente de dicho requisito legal antes del procesamiento, a menos que dicha ley prohíba tal información por motivos importantes de interés público. (ii) Garantizar la confidencialidad de los Datos Personales. Didit se asegurará de que las personas autorizadas para procesar Datos Personales se comprometan a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada. (iii) Implementar medidas técnicas y organizativas (MTOs) adecuadas y robustas para garantizar un nivel de seguridad apropiado al riesgo, incluyendo el cifrado de datos en reposo (AES-256) y en tránsito (TLS 1.3), la gestión de claves en un Servicio de Gestión de Claves (KMS) dedicado, el control de acceso basado en roles, la separación de entornos, la resiliencia de los sistemas y servicios de procesamiento, el monitoreo continuo y las pruebas de seguridad regulares. Didit mantiene SOC 2 Tipo 1 (Seguridad, Disponibilidad, Confidencialidad; examen SOC 2 Tipo 2 en curso), ISO/IEC 27001:2022, iBeta Nivel 1 Detección de Ataques de Presentación (PAD) bajo ISO/IEC 30107-3, y la certificación del sandbox Tesoro / SEPBLAC / CNMV emitida bajo la Ley 7/2020 de España sobre el sandbox financiero. (iv) Asistir al Cliente en el cumplimiento de sus obligaciones como Controlador de Datos, teniendo en cuenta la naturaleza del procesamiento y la información disponible para Didit, incluyendo:

(v) Notificar al Cliente sin demora indebida cualquier violación de seguridad de Datos Personales de la que Didit tenga conocimiento. Didit proporcionará al Cliente la información conocida sobre la violación y cooperará con el Cliente para mitigar sus efectos y cumplir con las obligaciones de notificación.

4. Obligaciones del Cliente (Controlador de Datos): El Cliente se compromete a: (i) Establecer y mantener una base legal adecuada para el procesamiento y la transferencia de Datos Personales a Didit. (ii) Proporcionar los avisos de privacidad necesarios y obtener los consentimientos requeridos de los Usuarios Finales, de acuerdo con las leyes de protección de datos aplicables, antes de utilizar los Servicios de Didit. (iii) Configurar los períodos de retención de datos a través de la Consola o API de Didit de acuerdo con sus propias obligaciones legales y políticas internas. (iv) Responder a las solicitudes de las autoridades de supervisión o de los interesados que Didit redirija al Cliente.

5. Subprocesadores: El Cliente otorga a Didit una autorización general para la contratación de subprocesadores para el procesamiento de Datos Personales. Didit mantiene una lista actualizada de sus subprocesadores, que se comparte con los Clientes y posibles Clientes por correo electrónico después de la firma de un Acuerdo de Confidencialidad (NDA). Para solicitar la lista actual, envía un correo electrónico a security@didit.me. Didit notifica a los Clientes suscritos por correo electrónico cualquier adición o cambio en la lista de subprocesadores con suficiente antelación para permitir que el Cliente objete. Didit impone a sus subprocesadores obligaciones de protección de datos sustancialmente similares a las establecidas en este DPA y sigue siendo totalmente responsable ante el Cliente por el cumplimiento de dichas obligaciones por parte de sus subprocesadores. El Cliente puede oponerse a un nuevo subprocesador por motivos razonables de protección de datos, en cuyo caso las Partes trabajarán de buena fe para encontrar una solución, incluida la posibilidad de rescindir el Servicio afectado.

6. Violaciones de Seguridad: En caso de una violación de seguridad de Datos Personales: (i) Didit notificará al Cliente sin demora indebida después de tener conocimiento de ella. (ii) Didit proporcionará al Cliente detalles sobre la violación, incluyendo la naturaleza de la violación, las categorías de datos afectados, el número aproximado de interesados y registros de datos afectados, las posibles consecuencias y las medidas tomadas o propuestas para abordarla y mitigar sus posibles efectos adversos. (iii) Didit cooperará razonablemente con el Cliente en la investigación de la violación y en el cumplimiento de sus obligaciones de notificación a las autoridades de supervisión y a los interesados, aunque la decisión final sobre dichas notificaciones recaerá en el Cliente.

7. Transferencias Internacionales de Datos: Los datos primarios procesados por Didit se alojan en el Espacio Económico Europeo (EEE). Cualquier transferencia de Datos Personales fuera del EEE por parte de Didit o sus subprocesadores solo se realizará sobre la base de un mecanismo de transferencia legalmente reconocido bajo el RGPD, como las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea, una decisión de adecuación o cualquier otro mecanismo legal aplicable para garantizar un nivel adecuado de protección.

8. Eliminación / Devolución de Datos Personales: Previa solicitud por escrito del Cliente o terminación de este Acuerdo, Didit, a elección del Cliente, eliminará o devolverá todos los Datos Personales al Cliente, a menos que la ley aplicable exija a Didit retener los Datos Personales. El Cliente puede gestionar la eliminación de sus Datos Personales a través de la API o la Consola de Didit de acuerdo con su propia política de retención.

9. Auditoría y Documentación: Didit pondrá a disposición del Cliente, previa solicitud y con un aviso previo razonable (no menos de 30 días), toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este DPA. En caso de que el Cliente requiera una auditoría directa de las instalaciones o sistemas de Didit, dicha auditoría será limitada y no intrusiva, sujeta a un acuerdo mutuo sobre el alcance y la metodología, y el Cliente asumirá los costos razonables asociados. Previa solicitud y bajo un NDA firmado, Didit proporciona su informe SOC 2 Tipo 1 (SOC 2 Tipo 2 en curso), certificado ISO/IEC 27001:2022, informe de prueba iBeta Nivel 1 PAD, y la conclusión publicada del sandbox Tesoro / SEPBLAC / CNMV como artefactos de auditoría.

10. Vigencia del DPA: Este DPA tendrá la misma vigencia que el Acuerdo principal. Las cláusulas de este DPA relacionadas con la confidencialidad, eliminación, responsabilidad y auditoría sobrevivirán a la terminación del Acuerdo según lo exija la ley aplicable.