Anexo de Tratamiento de Datos

1. Ámbito de aplicación e incorporación

Este Anexo de Tratamiento de Datos (el «DPA») forma parte de las Condiciones del Servicio entre EverXCloud Inc., a Delaware corporation («EverXCloud», «nosotros») y el Cliente Empresarial (el «Cliente», «usted») y se aplica siempre que EverXCloud trate Datos Personales del Cliente al prestar los Servicios. Se incorpora a las Condiciones del Servicio por remisión y surte efecto, sin necesidad de firma, cuando el Cliente acepta las Condiciones del Servicio. Un Cliente que necesite una copia firmada puede solicitarla en [email protected].

Este DPA no se aplica a los Clientes Particulares que utilizan los Servicios con fines puramente personales, ni a los datos personales que EverXCloud trata como responsable independiente (como los datos de cuenta, de facturación, de verificación de identidad, de cumplimiento normativo y de soporte), que se rigen por la Política de Privacidad.

2. Definiciones

Los términos no definidos en este DPA tienen el significado que se les atribuye en las Condiciones del Servicio.

• «Leyes de Protección de Datos»: todas las leyes relativas al tratamiento de datos personales que se aplican a una parte en relación con los Servicios, incluidos, según proceda, el RGPD, el UK GDPR y la UK Data Protection Act 2018, la Ley Federal suiza de Protección de Datos, la CCPA y otras leyes estatales de privacidad de los Estados Unidos.
• «RGPD»: el Reglamento (UE) 2016/679; «UK GDPR»: el RGPD tal como forma parte del Derecho del Reino Unido.
• «CCPA»: la California Consumer Privacy Act de 1999, en su versión modificada, y sus reglamentos de desarrollo.
• «Datos Personales del Cliente»: los datos personales contenidos en el contenido, los archivos, el software, los modelos, los conjuntos de datos y otros datos que el Cliente o sus usuarios cargan en las Instancias y otros recursos de los Servicios, almacenan en ellos o tratan con ellos (el «Contenido del Cliente»).
• «Subencargado»: cualquier encargado del tratamiento contratado por EverXCloud para tratar Datos Personales del Cliente, incluidos los Proveedores.
• «Incidente de Seguridad»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente tratados por EverXCloud o sus Subencargados, o la comunicación o el acceso no autorizados a dichos datos.
• «CCT»: las cláusulas contractuales tipo anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión; «Adenda del Reino Unido»: el International Data Transfer Addendum a las CCT emitido por el Information Commissioner del Reino Unido.
• «responsable del tratamiento», «encargado del tratamiento», «interesado», «datos personales», «tratamiento», «business», «service provider», «sell» y «share» tienen los significados que les atribuyen las Leyes de Protección de Datos aplicables.

3. Funciones de las partes

Respecto de los Datos Personales del Cliente, el Cliente es el responsable del tratamiento (o business) y EverXCloud es un encargado del tratamiento (o service provider). Cuando el Cliente actúa como encargado del tratamiento por cuenta de un responsable tercero, EverXCloud actúa como subencargado del Cliente, y el Cliente garantiza que sus instrucciones y la contratación de EverXCloud han sido autorizadas por dicho responsable.

Cada parte cumple las obligaciones que le imponen las Leyes de Protección de Datos. El Cliente es responsable de la licitud del tratamiento de los Datos Personales del Cliente, incluida la existencia de una base jurídica para ello y el suministro de la información exigida a los interesados, así como de la exactitud y la calidad de los Datos Personales del Cliente y de los medios por los que se obtuvieron.

4. Detalles del tratamiento

• Objeto: prestación de infraestructura de cálculo GPU (Instancias, acceso a la red y Servicios relacionados) al Cliente.
• Naturaleza: alojamiento, almacenamiento, cálculo y transmisión realizados automáticamente por la infraestructura siguiendo las indicaciones del Cliente. EverXCloud proporciona únicamente infraestructura: no accede al Contenido del Cliente, ni lo inspecciona, analiza o utiliza, salvo en la medida necesaria para prestar los Servicios, para prevenir o resolver un problema técnico o de seguridad, para investigar un presunto incumplimiento de la Política de Uso Aceptable o para cumplir la ley, en cada caso según lo permitido por este DPA.
• Finalidad: ejecución de las Condiciones del Servicio y de los Pedidos del Cliente.
• Duración: la vigencia de las Condiciones del Servicio y el periodo hasta la supresión de los Datos Personales del Cliente conforme a la Sección 12.
• Categorías de interesados y de datos personales: determinadas exclusivamente por el Cliente, en función del Contenido del Cliente que decida tratar. El Cliente no tratará a través de los Servicios categorías especiales de datos personales, datos personales relativos a condenas e infracciones penales, información sanitaria protegida ni datos de tarjetas de pago, salvo que haya aplicado las garantías adecuadas y, cuando lo exija la Política de Uso Aceptable, haya obtenido el acuerdo previo por escrito de EverXCloud.
• Ubicación: el centro de datos seleccionado por el Cliente para cada Instancia, tal como se indica en el Portal.

5. Tratamiento siguiendo instrucciones documentadas

EverXCloud trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, inclusive con respecto a las transferencias a un tercer país, salvo que esté obligada a ello en virtud de una ley a la que esté sujeta; en tal caso, EverXCloud informa al Cliente de esa exigencia legal antes del tratamiento, salvo que dicha ley lo prohíba por razones importantes de interés público.

Las Condiciones del Servicio, este DPA, la configuración y el uso de los Servicios por parte del Cliente y sus Pedidos constituyen las instrucciones completas del Cliente. Las instrucciones adicionales requieren el acuerdo por escrito de EverXCloud y pueden estar sujetas a cargos. EverXCloud informa inmediatamente al Cliente si, en su opinión, una instrucción infringe las Leyes de Protección de Datos; no está obligada a realizar un análisis jurídico del Contenido del Cliente.

6. Confidencialidad

EverXCloud garantiza que las personas autorizadas para tratar Datos Personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal adecuada, y que el acceso se limita al personal que lo necesita para prestar los Servicios.

7. Medidas de seguridad

EverXCloud aplica y mantiene las medidas técnicas y organizativas que se describen a continuación, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. EverXCloud puede actualizar estas medidas siempre que el nivel general de seguridad no se reduzca sustancialmente.

• Aislamiento: cada Instancia se ejecuta en un entorno aislado; el Contenido del Cliente no se comparte entre Clientes.
• Cifrado y borrado de los espacios de trabajo: los espacios de trabajo de las Instancias se cifran con una clave aleatoria que nunca se escribe en disco y se destruye cuando finaliza la Instancia, lo que hace que los datos resulten ilegibles; cuando el cifrado no está disponible en un servidor anfitrión, el espacio de trabajo se sobrescribe antes de su eliminación.
• Cifrado en tránsito: el acceso al Portal y a la interfaz de programación de aplicaciones utiliza TLS; el acceso a las Instancias utiliza SSH o conexiones cifradas.
• Cifrado en reposo de los datos sensibles de la plataforma y de las copias de seguridad, con claves conservadas por separado de los datos cifrados.
• Control de acceso: acceso según el principio de mínimo privilegio, autenticación multifactor para el acceso administrativo, cuentas individuales y registro de las acciones administrativas.
• Seguridad de la red: cortafuegos, limitación de frecuencia y protección frente a ataques de denegación de servicio a través de nuestro proveedor de distribución de contenidos y seguridad.
• Seguridad operativa: actualizaciones de seguridad, supervisión y alertas, gestión de vulnerabilidades y respuesta documentada a incidentes.
• Resiliencia: copias de seguridad diarias y cifradas de los datos de la plataforma almacenadas fuera de las instalaciones; EverXCloud no realiza copias de seguridad del Contenido del Cliente alojado en las Instancias, salvo que el Cliente utilice un Servicio que lo prevea expresamente.
• Subencargados y Proveedores: obligaciones contractuales que ofrecen al menos el mismo nivel de protección que este DPA, incluidos el aislamiento, el borrado del almacenamiento entre alquileres y la notificación de incidentes.

El Cliente es responsable de la seguridad de su uso de los Servicios, incluida la protección de sus credenciales de cuenta, claves API y claves SSH, la configuración segura de sus Instancias, el cifrado del Contenido del Cliente cuando proceda y la conservación de sus propias copias de seguridad.

8. Subencargados

El Cliente otorga a EverXCloud una autorización general para contratar Subencargados, incluidos los Proveedores que operan el hardware en el que se ejecutan las Instancias y los proveedores de servicios de infraestructura de EverXCloud. La lista actualizada de Subencargados, con su ubicación y su función, está a disposición del Cliente previa solicitud en [email protected].

EverXCloud notifica al Cliente cualquier incorporación o sustitución prevista de un Subencargado con al menos 15 días de antelación, por correo electrónico o a través del Portal. El Cliente puede oponerse por motivos razonables relacionados con la protección de datos escribiendo a [email protected] dentro de dicho plazo. Las partes examinarán la oposición de buena fe; EverXCloud podrá proponer una alternativa, como ejecutar las cargas de trabajo del Cliente únicamente en ubicaciones que no utilicen el Subencargado afectado. Si no se encuentra una solución en un plazo de 30 días, el Cliente podrá resolver los Servicios afectados y obtener el reembolso del Saldo Prepago no utilizado de conformidad con la Política de reembolso y cancelación, lo que constituye el único recurso del Cliente respecto de la oposición.

Cuando el Cliente selecciona en el Portal un Proveedor, una ubicación o una oferta concretos, dicha selección constituye la instrucción y la autorización del Cliente para utilizar el Proveedor afectado.

EverXCloud impone a cada Subencargado, mediante contrato escrito, obligaciones de protección de datos que ofrecen al menos el mismo nivel de protección que este DPA, y sigue siendo responsable ante el Cliente del cumplimiento de las obligaciones del Subencargado de conformidad con las Leyes de Protección de Datos y con sujeción a la Sección 16.

9. Asistencia con las solicitudes de los interesados

Teniendo en cuenta la naturaleza del tratamiento, EverXCloud asiste al Cliente mediante medidas técnicas y organizativas apropiadas, siempre que sea posible, para que pueda cumplir su obligación de responder a las solicitudes de los interesados. Dado que el Cliente controla el Contenido del Cliente, en la mayoría de los casos el Cliente responderá directamente a las solicitudes utilizando los Servicios. Si EverXCloud recibe una solicitud de un interesado relativa a Datos Personales del Cliente, remitirá al interesado al Cliente cuando este sea identificable y no responderá por sí misma, salvo para confirmar la remisión o cuando lo exija la ley.

10. Asistencia en materia de seguridad, evaluaciones de impacto y consultas

Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, EverXCloud presta una asistencia razonable al Cliente para garantizar el cumplimiento de sus obligaciones relativas a la seguridad del tratamiento, las evaluaciones de impacto relativas a la protección de datos y la consulta previa a las autoridades de control, en particular facilitando información sobre los Servicios y las medidas descritas en la Sección 7. La asistencia que vaya más allá de dicha información podrá estar sujeta a cargos razonables.

11. Incidentes de Seguridad

EverXCloud notifica al Cliente sin dilación indebida, y en todo caso en un plazo de 48 horas, tras tener conocimiento de un Incidente de Seguridad. La notificación se envía a la dirección de correo electrónico asociada a la cuenta del Cliente y describe, en la medida en que se conozcan, la naturaleza del Incidente de Seguridad, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Cuando la información no esté disponible de inmediato, se facilitará de manera gradual sin más dilación indebida.

EverXCloud adopta medidas razonables para contener, investigar y mitigar el Incidente de Seguridad y coopera con el Cliente para que este pueda cumplir sus propias obligaciones de notificación. La notificación de un Incidente de Seguridad no constituye un reconocimiento de culpa ni de responsabilidad. Los intentos o actividades infructuosos que no comprometen la seguridad de los Datos Personales del Cliente, como pings, escaneos de puertos o intentos fallidos de inicio de sesión, no constituyen Incidentes de Seguridad.

12. Supresión y devolución

El Cliente puede recuperar el Contenido del Cliente en cualquier momento durante la vigencia utilizando los Servicios. Al finalizar una Instancia, su espacio de trabajo se destruye tal como se describe en la Sección 7. EverXCloud no proporciona almacenamiento persistente. El resto del Contenido del Cliente almacenado se suprime de conformidad con las Condiciones del Servicio, y a más tardar en un plazo de 30 días tras la terminación de las Condiciones del Servicio, salvo que una ley a la que EverXCloud esté sujeta exija conservarlos durante más tiempo.

El Contenido del Cliente que se haya suprimido no puede recuperarse. Corresponde al Cliente recuperar el Contenido del Cliente antes de la finalización de una Instancia.

13. Información y auditorías

EverXCloud pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA y del artículo 28 del RGPD y del UK GDPR. El Cliente se compromete a ejercer sus derechos de auditoría, en primer lugar, mediante el examen de dicha información, incluidas las respuestas escritas a cuestionarios de seguridad razonables y los informes de auditoría de terceros que EverXCloud haya podido obtener.

Si dicha información no basta para demostrar el cumplimiento, o cuando una autoridad de control así lo exija, el Cliente podrá realizar, por sí mismo o a través de un auditor independiente sujeto a confidencialidad y que no sea competidor de EverXCloud, una auditoría o inspección, no más de una vez en cada periodo de doce meses (salvo tras un Incidente de Seguridad que afecte al Cliente o a petición de una autoridad de control), con un preaviso por escrito de al menos 30 días, en horario laboral, sin perturbar los Servicios y con sujeción a la protección de la información confidencial de EverXCloud, de sus demás clientes y de los Proveedores. El Cliente asume los costes de la auditoría y reembolsa los costes razonables de EverXCloud. Las auditorías de los Proveedores se realizan a través de los derechos de información y auditoría de que dispone EverXCloud en virtud de sus contratos con ellos.

14. Transferencias internacionales

EverXCloud está establecida en los Estados Unidos y trata los Datos Personales del Cliente en los Estados Unidos y en las ubicaciones seleccionadas por el Cliente. El Cliente autoriza las transferencias de Datos Personales del Cliente a los Estados Unidos y a las ubicaciones de los Subencargados, con sujeción a esta Sección.

En la medida en que el tratamiento por parte de EverXCloud implique una transferencia de Datos Personales del Cliente sujetos al RGPD a un país que no se beneficie de una decisión de adecuación, las CCT se incorporan a este DPA por remisión y se aplican del siguiente modo: el Módulo 2 (de responsable a encargado) cuando el Cliente sea responsable del tratamiento, y el Módulo 3 (de encargado a encargado) cuando el Cliente sea encargado del tratamiento; el Cliente es el exportador de datos y EverXCloud el importador de datos; se aplica la cláusula 7 (cláusula de incorporación); conforme a la cláusula 9, letra a), se aplica la opción 2 (autorización general por escrito) con el plazo de preaviso establecido en la Sección 8; no se aplica la redacción opcional de la cláusula 11, letra a); conforme a la cláusula 13, la autoridad de control competente se determina de acuerdo con dicha cláusula; conforme a la cláusula 17, las CCT se rigen por el Derecho de Irlanda; conforme a la cláusula 18, los litigios se resuelven ante los órganos jurisdiccionales de Irlanda; el Anexo I se completa con las Secciones 3 y 4 de este DPA y los datos de la cuenta del Cliente; el Anexo II se completa con la Sección 7; el Anexo III se completa con la lista mencionada en la Sección 8.

Para las transferencias sujetas al UK GDPR, la Adenda del Reino Unido se incorpora por remisión, completada con la información anterior; ninguna de las partes puede poner fin a la Adenda del Reino Unido en virtud de su sección 19. Para las transferencias sujetas a la Ley Federal suiza de Protección de Datos, las CCT se aplican con las adaptaciones necesarias, siendo el Comisionado Federal suizo de Protección de Datos y de Información la autoridad de control competente y entendiéndose que las referencias a los Estados miembros incluyen a Suiza.

En caso de conflicto entre las CCT o la Adenda del Reino Unido y este DPA o las Condiciones del Servicio, prevalecen las CCT o la Adenda del Reino Unido. EverXCloud puede sustituir el mecanismo de transferencia anterior por otro mecanismo reconocido por las Leyes de Protección de Datos, incluida una certificación conforme al Marco de Privacidad de Datos UE-EE. UU., mediante notificación al Cliente.

15. Condiciones de service provider conforme a la CCPA

En la medida en que los Datos Personales del Cliente incluyan información personal sujeta a la CCPA o a una ley estatal de privacidad similar de los Estados Unidos, EverXCloud actúa como service provider (o processor) y la trata para la finalidad empresarial limitada y especificada de prestar los Servicios descritos en las Condiciones del Servicio. EverXCloud no:

• venderá ni compartirá la información personal;
• conservará, utilizará ni comunicará la información personal para ninguna finalidad, incluida cualquier finalidad comercial, distinta de las finalidades empresariales especificadas en este DPA, ni fuera de la relación comercial directa entre EverXCloud y el Cliente, salvo en lo permitido por la CCPA;
• combinará la información personal con información personal que reciba de otra persona o por cuenta de ella, o que recopile en sus propias interacciones con consumidores, salvo en lo permitido por la CCPA.

EverXCloud cumple las obligaciones que le son aplicables conforme a la CCPA y ofrece el mismo nivel de protección de la privacidad que exige la CCPA. Notifica al Cliente si determina que ya no puede cumplir sus obligaciones. El Cliente puede adoptar medidas razonables y apropiadas, de conformidad con la Sección 13, para garantizar que EverXCloud utilice la información personal de forma coherente con las obligaciones del Cliente y, previa notificación, para detener y subsanar cualquier uso no autorizado. EverXCloud certifica que comprende las restricciones de esta Sección y que las cumplirá.

16. Responsabilidad

La responsabilidad de cada parte derivada de este DPA o relacionada con él, incluidas las CCT en la medida en que estas lo permitan, está sujeta a las exclusiones y limitaciones de responsabilidad establecidas en las Condiciones del Servicio, que se aplican de forma agregada a todas las reclamaciones en virtud de las Condiciones del Servicio y de este DPA. Nada de lo dispuesto en esta Sección limita los derechos de los interesados conforme a las CCT ni ninguna responsabilidad que no pueda limitarse conforme a la legislación aplicable.

17. Vigencia, prelación y modificaciones

Este DPA permanece en vigor mientras EverXCloud trate Datos Personales del Cliente por cuenta del Cliente.

En caso de conflicto, se aplica el siguiente orden de prelación: las CCT y la Adenda del Reino Unido, cuando proceda; a continuación, este DPA; y después, las Condiciones del Servicio y las demás políticas que estas incorporan. Este DPA prevalece sobre las Condiciones del Servicio en todas las cuestiones relativas al tratamiento de los Datos Personales del Cliente.

EverXCloud puede modificar este DPA cuando así lo exija un cambio en las Leyes de Protección de Datos, una decisión de una autoridad de control o de un órgano jurisdiccional, o un cambio en los Servicios que no reduzca sustancialmente la protección de los Datos Personales del Cliente, publicando la versión actualizada y notificándolo al Cliente con al menos 30 días de antelación. Este DPA se rige por la ley que rige las Condiciones del Servicio, salvo las CCT y la Adenda del Reino Unido, que se rigen por la ley indicada en ellas.

Fecha de entrada en vigor: 19 de octubre de 2026. Versión 2026-10-19.