Reglamento General de Protección de Datos (RGPD)

Contenido

Google y la contraparte que acuerdan estos términos (» Cliente «) han celebrado un acuerdo para la prestación de los Servicios de procesador (en su versión modificada periódicamente, el » Acuerdo «).

Google y el Cliente firman estos Términos de procesamiento de datos de Google Ads (incluidos los apéndices, “ Términos de procesamiento de datos ”) y complementan el Acuerdo. Estos Términos de procesamiento de datos serán efectivos y reemplazarán cualquier término previamente aplicable relacionado con su tema (incluida cualquier enmienda de procesamiento de datos o anexo de procesamiento de datos relacionado con los Servicios del procesador), a partir de la Fecha de vigencia de los Términos.

Si acepta estos Términos de procesamiento de datos en nombre del Cliente, garantiza que: (a) tiene plena autoridad legal para vincular al Cliente a estos Términos de procesamiento de datos; (b) ha leído y comprende estos Términos de procesamiento de datos; y (c) usted acepta, en nombre del Cliente, estos Términos de procesamiento de datos. Si no tiene la autoridad legal para vincular al Cliente, no acepte estos Términos de procesamiento de datos.

1. Introducción

Estos Términos de procesamiento de datos reflejan el acuerdo de las partes sobre los términos que rigen el procesamiento de ciertos datos en relación con la legislación europea de protección de datos y cierta legislación no europea de protección de datos.

2. Definiciones e interpretación

2.1 En estos Términos de procesamiento de datos:

» Producto adicional » significa un producto, servicio o aplicación proporcionada por Google o un tercero que: (a) no forma parte de los Servicios del procesador; y (b) es accesible para su uso dentro de la interfaz de usuario de los Servicios del procesador o está integrado de otra manera con los Servicios del procesador.

» Términos adicionales para la legislación de protección de datos no europea » se refiere a los términos adicionales mencionados en el Apéndice 3, que reflejan el acuerdo de las partes sobre los términos que rigen el procesamiento de ciertos datos en relación con cierta legislación de protección de datos no europea.

» Afiliado » significa una entidad que controla directa o indirectamente, está controlada por, o está bajo control común con una parte.

» Datos personales del cliente » se refiere a los datos personales que procesa Google en nombre del Cliente en la prestación de los Servicios de procesador de Google.

» Incidente de datos » significa una violación de la seguridad de Google que conduce a la destrucción accidental o ilegal, pérdida, alteración, divulgación no autorizada o acceso a los Datos personales del cliente en sistemas administrados o controlados por Google. Los «incidentes de datos» no incluirán intentos fallidos o actividades que no comprometan la seguridad de los datos personales del cliente, incluidos intentos fallidos de inicio de sesión, pings, escaneos de puertos, ataques de denegación de servicio y otros ataques de red en firewalls o sistemas en red.

» Herramienta de sujeto de datos » se refiere a una herramienta (si la hay) puesta a disposición por una entidad de Google a los interesados ​​que le permite a Google responder directamente y de manera estandarizada a ciertas solicitudes de los interesados ​​en relación con los datos personales del cliente (por ejemplo, publicidad en línea configuración o un complemento de navegador de exclusión voluntaria).

» EEE » significa el Espacio Económico Europeo.

Por » RGPD de la UE » se entiende el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos, y por el que se deroga la Directiva 95/46 / CE.

» Legislación europea de protección de datos » significa, según corresponda: (a) el RGPD; y / o (b) la Ley Federal de Protección de Datos de 19 de junio de 1992 (Suiza).

» Leyes europeas o nacionales » significa, según corresponda: (a) la legislación de la UE o de los Estados miembros de la UE (si el GDPR de la UE se aplica al procesamiento de datos personales del cliente); y / o (b) la ley del Reino Unido o una parte del Reino Unido (si el GDPR del Reino Unido se aplica al procesamiento de Datos Personales del Cliente).

» GDPR » significa, según corresponda: (a) el GDPR de la UE; y / o (b) el GDPR del Reino Unido.

» Google » significa la Entidad de Google que es parte del Acuerdo.

» Subprocesadores afiliados de Google » tiene el significado dado en la Sección 11.1 (Consentimiento para la participación del subprocesador).

» Entidad de Google » se refiere a Google LLC (anteriormente conocido como Google Inc.), Google Ireland Limited o cualquier otro Afiliado de Google LLC.

“ Certificación ISO 27001 ” significa la certificación ISO / IEC 27001: 2013 o una certificación comparable para los Servicios de Procesador.

» Legislación de protección de datos no europea » se refiere a la protección de datos o las leyes de privacidad vigentes fuera del EEE, Suiza y el Reino Unido.

» Dirección de correo electrónico de notificación » se refiere a la dirección de correo electrónico (si la hay) designada por el Cliente, a través de la interfaz de usuario de los Servicios de procesador o cualquier otro medio proporcionado por Google, para recibir ciertas notificaciones de Google relacionadas con estos Términos de procesamiento de datos.

» Escudo de privacidad » significa el marco legal del Escudo de privacidad UE-EE. UU., El marco legal del Escudo de privacidad Suiza-EE. UU. Y cualquier marco legal equivalente que pueda aplicarse entre el Reino Unido y los Estados Unidos.

» Servicios de procesador » se refiere a los servicios aplicables enumerados en  privacy.google.com/businesses/adsservices  .

“ Documentación de seguridad ” significa el certificado emitido para la Certificación ISO 27001 y cualquier otra certificación o documentación de seguridad que Google pueda poner a disposición con respecto a los Servicios del procesador.

» Medidas de seguridad » tiene el significado dado en la Sección 7.1.1 (Medidas de seguridad de Google).

» Subprocesadores » se refiere a terceros autorizados bajo estos Términos de procesamiento de datos para tener acceso lógico y procesar los Datos personales del cliente con el fin de proporcionar partes de los Servicios del procesador y cualquier soporte técnico relacionado.

» Autoridad de supervisión » significa, según corresponda: (a) una «autoridad de supervisión» tal como se define en el RGPD de la UE; y / o (b) el «Comisionado» como se define en el GDPR del Reino Unido.

“ Plazo ” significa el período desde la Fecha de vigencia de los Términos hasta el final de la provisión de Google de los Servicios de procesador en virtud del Acuerdo.

» Fecha de vigencia de los términos » significa, según corresponda:

(a) 25 de mayo de 2018, si el Cliente hizo clic para aceptar o las partes acordaron estos Términos de procesamiento de datos antes o en dicha fecha; o

(b) la fecha en que el Cliente hizo clic para aceptar o las partes acordaron estos Términos de procesamiento de datos, si dicha fecha es posterior al 25 de mayo de 2018.

» Subprocesadores de terceros » tiene el significado dado en la Sección 11.1 (Consentimiento para la participación del subprocesador).

» GDPR del Reino Unido » significa el GDPR de la UE modificado e incorporado a la legislación del Reino Unido en virtud de la Ley de la Unión Europea del Reino Unido (Retirada) de 2018, si está en vigor.

2.2 Los términos » controlador «, » sujeto de datos «, » datos personales «, » procesamiento » y » procesador » tal como se utilizan en estos Términos de procesamiento de datos tienen el significado que se da en el GDPR.

2.3 Las palabras » incluir » e » incluir » significan » incluido pero no limitado a «. Cualquier ejemplo en estos Términos de procesamiento de datos es ilustrativo y no es el único ejemplo de un concepto en particular.

2.4 Cualquier referencia a un marco legal, estatuto u otra promulgación legislativa es una referencia a la misma en su forma enmendada o promulgada de vez en cuando.

2.5 Si estos Términos de procesamiento de datos se traducen a cualquier otro idioma, y ​​existe una discrepancia entre el texto en inglés y el texto traducido, prevalecerá el texto en inglés.

3.  Duración de estos Términos de procesamiento de datos

Estos Términos de procesamiento de datos entrarán en vigencia en la Fecha de vigencia de los Términos y, a pesar de la expiración del Plazo, permanecerán vigentes hasta que Google elimine automáticamente todos los Datos personales del cliente como se describe en estos Términos de procesamiento de datos.

4.  Aplicación de estos Términos de procesamiento de datos

4.1  Aplicación de la legislación europea de protección de datos. Las secciones 5 (procesamiento de datos) a 12 (contacto con Google; procesamiento de registros) (inclusive) solo se aplicarán en la medida en que la legislación europea de protección de datos se aplique al procesamiento de datos personales del cliente, incluso si:

(a) el procesamiento se realiza en el contexto de las actividades de un establecimiento del Cliente en el EEE o el Reino Unido; y / o

(b) Los Datos personales del cliente son datos personales relacionados con los interesados ​​que se encuentran en el EEE del Reino Unido y el procesamiento se relaciona con la oferta de bienes o servicios o el monitoreo de su comportamiento en el EEE o el Reino Unido.

4.2  Aplicación a los servicios de procesador. Estos Términos de procesamiento de datos solo se aplicarán a los Servicios de procesador para los cuales las partes acordaron estos Términos de procesamiento de datos (por ejemplo: (a) los Servicios de procesador en los que el Cliente hizo clic para aceptar estos Términos de procesamiento de datos; o (b) si el Acuerdo incorpora estos Términos de procesamiento de datos por referencia, los Servicios de procesador que son objeto del Acuerdo).

4.3  Incorporación de términos adicionales para la legislación de protección de datos no europea. Los Términos adicionales para la legislación de protección de datos no europea complementan estos Términos de procesamiento de datos.

5.  Procesamiento de datos

5.1  Roles y cumplimiento normativo; Autorización.

5.1.1  Responsabilidades del procesador y del controlador. Las partes reconocen y acuerdan que:

(a) el Apéndice 1 describe el tema y los detalles del procesamiento de los Datos personales del cliente;

(b) Google es un procesador de datos personales del cliente bajo la legislación europea de protección de datos;

(c) El Cliente es un controlador o procesador, según corresponda, de los Datos Personales del Cliente bajo la Legislación Europea de Protección de Datos; y

(d) cada parte cumplirá con las obligaciones que le son aplicables en virtud de la legislación europea de protección de datos con respecto al procesamiento de datos personales del cliente.

5.1.2  Autorización por parte de un controlador externo. Si el Cliente es un procesador, el Cliente garantiza a Google que las instrucciones y acciones del Cliente con respecto a los Datos personales del Cliente, incluida su designación de Google como otro procesador, han sido autorizadas por el controlador correspondiente.

5.2  Instrucciones del cliente. Al ingresar en estos Términos de procesamiento de datos, el Cliente le indica a Google que procese los Datos personales del cliente solo de acuerdo con la ley aplicable: (a) para proporcionar los Servicios de procesador y cualquier soporte técnico relacionado; (b) según se especifica a través del uso de los Servicios del procesador por parte del Cliente (incluso en la configuración y otras funciones de los Servicios del procesador) y cualquier soporte técnico relacionado; (c) como se documenta en la forma del Acuerdo, incluidos estos Términos de procesamiento de datos; y (d) tal como se documenta en otras instrucciones escritas dadas por el Cliente y reconocidas por Google como instrucciones que constituyen los propósitos de estos Términos de procesamiento de datos.

5.3  Cumplimiento de las instrucciones de Google. Google cumplirá con las instrucciones descritas en la Sección 5.2 (Instrucciones del Cliente) (incluso con respecto a las transferencias de datos) a menos que las Leyes europeas o nacionales a las que Google esté sujeto requieran otro procesamiento de los Datos personales del Cliente por parte de Google, en cuyo caso Google informará al Cliente ( a menos que dicha ley prohíba que Google lo haga por motivos importantes de interés público).

5.4  Productos adicionales. Si el Cliente utiliza algún Producto adicional, los Servicios del procesador pueden permitir que ese Producto adicional acceda a los Datos personales del Cliente según sea necesario para la interoperabilidad del Producto adicional con los Servicios del procesador. Para mayor claridad, estos Términos de procesamiento de datos no se aplican al procesamiento de datos personales en relación con la provisión de cualquier Producto adicional utilizado por el Cliente, incluidos los datos personales transmitidos hacia o desde ese Producto adicional.

6.  Eliminación de datos

6.1  Eliminación durante el plazo .

6.1.1  Servicios de procesador con funcionalidad de eliminación. Durante el plazo, si:

(a) la funcionalidad de los Servicios de procesador incluye la opción para que el Cliente elimine los Datos personales del Cliente;

(b) El Cliente utiliza los Servicios de procesador para eliminar ciertos Datos personales del Cliente; y

(c) los Datos personales del Cliente eliminados no pueden ser recuperados por el Cliente (por ejemplo, de la «papelera»), entonces Google eliminará dichos Datos personales del cliente de sus sistemas tan pronto como sea razonablemente posible y dentro de un período máximo de 180 días, a menos que las Leyes europeas o nacionales requieran almacenamiento.

6.1.2  Servicios de procesador sin funcionalidad de eliminación. Durante el Plazo, si la funcionalidad de los Servicios del procesador no incluye la opción de que el Cliente elimine los Datos personales del cliente, Google cumplirá con:

(a) cualquier solicitud razonable del Cliente para facilitar dicha eliminación, en la medida en que esto sea posible teniendo en cuenta la naturaleza y la funcionalidad de los Servicios del procesador y a menos que las Leyes europeas o nacionales requieran almacenamiento; y

(b) las prácticas de retención de datos descritas en políticas.google.com/ technologies/  ads .

Google puede cobrar una tarifa (basada en los costos razonables de Google) por cualquier eliminación de datos en la Sección 6.1.2 (a). Google proporcionará al Cliente más detalles sobre cualquier tarifa aplicable, y la base de su cálculo, antes de dicha eliminación de datos.

6.2  Eliminación al vencimiento del plazo. Al expirar el plazo, el cliente le indica a Google que elimine todos los datos personales del cliente (incluidas las copias existentes) de los sistemas de Google de acuerdo con la ley aplicable. Google cumplirá con estas instrucciones tan pronto como sea razonablemente posible y dentro de un período máximo de 180 días, a menos que las leyes europeas o nacionales requieran almacenamiento.

7.  Seguridad de datos

7.1  Medidas de seguridad y asistencia de Google.

7.1.1  Medidas de seguridad de Google. Google implementará y mantendrá medidas técnicas y organizativas para proteger los Datos personales del cliente contra la destrucción, pérdida, alteración, divulgación o acceso no autorizados o ilegales como se describe en el Apéndice 2 (las » Medidas de seguridad«). Como se describe en el Apéndice 2, las Medidas de seguridad incluyen medidas: (a) para cifrar datos personales; (b) para ayudar a garantizar la confidencialidad, integridad, disponibilidad y resistencia continuas de los sistemas y servicios de Google; (c) para ayudar a restaurar el acceso oportuno a los datos personales después de un incidente; y (d) para pruebas regulares de efectividad. Google puede actualizar o modificar las Medidas de seguridad de vez en cuando, siempre que dichas actualizaciones y modificaciones no den lugar a la degradación de la seguridad general de los Servicios del procesador.

7.1.2  Cumplimiento de seguridad por parte del personal de Google. Google tomará las medidas adecuadas para garantizar el cumplimiento de las Medidas de seguridad por parte de sus empleados, contratistas y subprocesadores en la medida que corresponda a su alcance de desempeño, incluida la garantía de que todas las personas autorizadas para procesar los Datos personales del cliente se hayan comprometido a la confidencialidad o estén bajo un adecuado obligación legal de confidencialidad.

7.1.3  Asistencia de seguridad de Google. El Cliente acepta que Google (teniendo en cuenta la naturaleza del procesamiento de los Datos personales del cliente y la información disponible para Google) lo ayudará a garantizar el cumplimiento de cualquier obligación del Cliente con respecto a la seguridad de los datos personales y las infracciones de los datos personales, incluyendo (si aplicable) Obligaciones del cliente de conformidad con los artículos 32 a 34 (inclusive) del GDPR, por:

(a) implementar y mantener las Medidas de Seguridad de acuerdo con la Sección 7.1.1 (Medidas de Seguridad de Google);

(b) cumplir con los términos de la Sección 7.2 (Incidentes de datos); y

(c) proporcionar al Cliente la Documentación de seguridad de acuerdo con la Sección 7.5.1 (Revisiones de la Documentación de seguridad) y la información contenida en estos Términos de procesamiento de datos.

7.2  Incidentes de datos.

7.2.1  Notificación de incidentes. Si Google se entera de un Incidente de datos, Google: (a) notificará al Cliente sobre el Incidente de datos con prontitud y sin demora indebida; y (b) tome con prontitud medidas razonables para minimizar el daño y asegurar los Datos personales del cliente.

7.2.2  Detalles del incidente de datos. Las notificaciones realizadas en la Sección 7.2.1 (Notificación de incidentes) describirán, en la medida de lo posible, los detalles del Incidente de datos, incluidas las medidas adoptadas para mitigar los riesgos potenciales y los pasos que Google recomienda que el Cliente tome para abordar el Incidente de datos.

7.2.3  Entrega de la notificación. Google enviará su notificación de cualquier Incidente de datos a la Dirección de correo electrónico de notificación o, a discreción de Google (incluso si el Cliente no ha proporcionado una Dirección de correo electrónico de notificación), por otra comunicación directa (por ejemplo, por llamada telefónica o una reunión en persona) . El Cliente es el único responsable de proporcionar la Dirección de correo electrónico de notificación y garantizar que la Dirección de correo electrónico de notificación sea actual y válida.

7.2.4  Notificaciones de terceros. El Cliente es el único responsable de cumplir con las leyes de notificación de incidentes aplicables al Cliente y de cumplir con las obligaciones de notificación de terceros relacionadas con cualquier Incidente de datos.

7.2.5  Sin reconocimiento de falla por parte de Google. La notificación o la respuesta de Google a un Incidente de datos en virtud de esta Sección 7.2 (Incidentes de datos) no se interpretará como un reconocimiento por parte de Google de cualquier defecto o responsabilidad con respecto al Incidente de datos.

7.3  Responsabilidades y evaluación de seguridad del cliente.

7.3.1  Responsabilidades de seguridad del cliente. El Cliente acepta que, sin perjuicio de las obligaciones de Google en virtud de las Secciones 7.1 (Medidas de seguridad y asistencia de Google) y 7.2 (Incidentes de datos):

(a) El Cliente es el único responsable del uso de los Servicios del procesador, que incluye:

(i) hacer un uso apropiado de los Servicios del procesador para garantizar un nivel de seguridad apropiado al riesgo con respecto a los Datos personales del cliente; y

(ii) asegurar las credenciales de autenticación de la cuenta, los sistemas y los dispositivos que utiliza el Cliente para acceder a los Servicios del procesador; y

(b) Google no tiene la obligación de proteger los Datos personales del Cliente que el Cliente elija almacenar o transferir fuera de los sistemas de Google y sus Subprocesadores.

7.3.2  Evaluación de seguridad del cliente. El Cliente reconoce y acepta que (teniendo en cuenta el estado del arte, los costos de implementación y la naturaleza, el alcance, el contexto y los propósitos del procesamiento de los Datos personales del Cliente, así como los riesgos para las personas), las Medidas de seguridad implementadas y mantenidas por Google, como se establece en la Sección 7.1.1 (Medidas de seguridad de Google), proporciona un nivel de seguridad adecuado al riesgo con respecto a los Datos personales del cliente.

7.4  Certificación de seguridad. Para evaluar y ayudar a garantizar la eficacia continua de las medidas de seguridad, Google mantendrá la certificación ISO 27001.

7.5  Revisiones y auditorías de cumplimiento.

7.5.1  Revisiones de la documentación de seguridad. Para demostrar el cumplimiento por parte de Google de sus obligaciones bajo estos Términos de procesamiento de datos, Google pondrá la Documentación de seguridad a disposición del Cliente para su revisión.

7.5.2  Derechos de auditoría del cliente .

(a) Google permitirá que el Cliente o un auditor externo designado por el Cliente realice auditorías (incluidas inspecciones) para verificar el cumplimiento de Google de sus obligaciones bajo estos Términos de procesamiento de datos de acuerdo con la Sección 7.5.3 (Términos comerciales adicionales para auditorías). Google contribuirá a tales auditorías como se describe en la Sección 7.4 (Certificación de seguridad) y esta Sección 7.5 (Revisiones y auditorías de cumplimiento).

(b) El Cliente también puede realizar una auditoría para verificar el cumplimiento de Google con sus obligaciones bajo estos Términos de procesamiento de datos mediante la revisión del certificado emitido para la Certificación ISO 27001 (que refleja el resultado de una auditoría realizada por un auditor externo).

7.5.3  Términos comerciales adicionales para auditorías.

(a) El Cliente enviará a Google cualquier solicitud de auditoría según la Sección 7.5.2 (a) como se describe en la Sección 12.1 (Cómo contactar a Google).

(b) Luego de que Google reciba una solicitud de conformidad con la Sección 7.5.3 (a), Google y el Cliente discutirán y acordarán de antemano la fecha de inicio razonable, el alcance y la duración de los controles de seguridad y confidencialidad aplicables a cualquier auditoría bajo Sección 7.5.2 (a).

(c) Google puede cobrar una tarifa (basada en los costos razonables de Google) por cualquier auditoría bajo la Sección 7.5.2 (a). Google proporcionará al Cliente más detalles sobre cualquier tarifa aplicable, y la base de su cálculo, antes de dicha auditoría. El Cliente será responsable de los honorarios cobrados por cualquier auditor externo designado por el Cliente para ejecutar dicha auditoría.

(d) Google puede oponerse a cualquier auditor externo designado por el Cliente para realizar cualquier auditoría bajo la Sección 7.5.2 (a) si el auditor no es, en opinión razonable de Google, calificado o independiente de manera adecuada, un competidor de Google o de otra manera manifiestamente inadecuado. . Cualquier objeción de este tipo por parte de Google requerirá que el Cliente designe a otro auditor o realice la auditoría en sí.

(e) Nada en estos Términos de procesamiento de datos requerirá que Google divulgue al Cliente o a su auditor externo, o que permita que el Cliente o su auditor externo accedan a:

(i) cualquier dato de cualquier otro cliente de una Entidad de Google;

(ii) la información contable o financiera interna de cualquier entidad de Google;

(iii) cualquier secreto comercial de una entidad de Google;

(iv) cualquier información que, en opinión razonable de Google, podría: (A) comprometer la seguridad de los sistemas o locales de cualquier entidad de Google; o (B) hacer que cualquier entidad de Google incumpla sus obligaciones bajo la legislación europea de protección de datos o sus obligaciones de seguridad y / o privacidad con el cliente o cualquier tercero; o

(v) cualquier información a la que el Cliente o su auditor externo busque acceder por cualquier motivo que no sea el cumplimiento de buena fe de las obligaciones del Cliente en virtud de la Legislación Europea de Protección de Datos.

8.  Evaluaciones de impacto y consultas

El Cliente acepta que Google (teniendo en cuenta la naturaleza del procesamiento y la información disponible para Google) lo ayudará a garantizar el cumplimiento de cualquier obligación del Cliente con respecto a las evaluaciones de impacto de protección de datos y la consulta previa, incluidas (si corresponde) las obligaciones del Cliente de conformidad a los artículos 35 y 36 del GDPR, por:

(a) proporcionar la documentación de seguridad de acuerdo con la Sección 7.5.1 (Revisiones de la documentación de seguridad);

(b) proporcionar la información contenida en estos Términos de procesamiento de datos; y

(c) proporcionar o poner a disposición, de acuerdo con las prácticas estándar de Google, otros materiales relacionados con la naturaleza de los Servicios del procesador y el procesamiento de los Datos personales del cliente (por ejemplo, materiales del centro de ayuda).

9.  Derechos del sujeto de datos

9.1  Respuestas a solicitudes de sujetos de datos. Si Google recibe una solicitud de un interesado en relación con los Datos personales del cliente, Google:

(a) si la solicitud se realiza a través de una herramienta de sujeto de datos, responder directamente a la solicitud del sujeto de datos de acuerdo con la funcionalidad estándar de esa herramienta de sujeto de datos; o

(b) si la solicitud no se realiza a través de una herramienta de sujeto de datos, avise al sujeto de datos que envíe su solicitud al cliente, y el cliente será responsable de responder a dicha solicitud.

9.2  Asistencia de solicitud de sujeto de datos de Google. El Cliente acepta que Google (teniendo en cuenta la naturaleza del procesamiento de los Datos personales del Cliente y, si corresponde, el Artículo 11 del RGPD) lo ayudará a cumplir con cualquier obligación del Cliente de responder a las solicitudes de los interesados, incluyendo (si corresponde) Obligación del cliente de responder a las solicitudes de ejercicio de los derechos del sujeto de datos establecidos en el Capítulo III del GDPR, mediante:

(a) proporcionar la funcionalidad de los Servicios de procesador;

(b) cumplir con los compromisos establecidos en la Sección 9.1 (Respuestas a las Solicitudes del interesado); y

(c) si corresponde a los Servicios de procesador, poner a disposición las herramientas de sujeto de datos.

10.  Transferencias de datos

10.1  Instalaciones de almacenamiento y procesamiento de datos. El Cliente acepta que Google puede, sujeto a la Sección 10.2 (Transferencias de datos), almacenar y procesar los Datos personales del cliente en los Estados Unidos de América y en cualquier otro país en el que Google o cualquiera de sus Subprocesadores tengan instalaciones.

10.2  Transferencias de datos. Google se asegurará de que:

(a) la empresa matriz del grupo Google, Google LLC, sigue autocertificada bajo Privacy Shield; y

(b) el alcance de la certificación del Escudo de privacidad de Google LLC incluye los Datos personales del cliente.

10.3  Información del centro de datos. La información sobre las ubicaciones de los centros de datos de Google está disponible en  www.google.com/about/datacenters/inside/locations/index.html  .

11. Subprocesador

11.1 Consentimiento para la participación del subprocesador. El Cliente autoriza específicamente la participación de los Afiliados de Google como Subprocesadores (» Subprocesadores de Afiliados de Google «). Además, el Cliente generalmente autoriza la participación de otros terceros como Subprocesadores (» Subprocesadores de terceros «).

11.2  Información sobre subprocesadores. La información sobre los subprocesadores está disponible en  privacy.google.com/businesses/subprocessors  .

11.3 Requisitos para la participación del subprocesador. Al contratar a cualquier Subprocesador, Google:

(a) garantizar mediante un contrato escrito que:

(i) el Subprocesador solo accede y utiliza los Datos personales del cliente en la medida necesaria para cumplir con las obligaciones subcontratadas, y lo hace de conformidad con el Acuerdo (incluidos estos Términos de procesamiento de datos) y el Escudo de privacidad; y

(ii) si el RGPD se aplica al procesamiento de Datos personales del cliente, las obligaciones de protección de datos establecidas en el Artículo 28 (3) del RGPD se imponen al Subprocesador; y

(b) continuará siendo totalmente responsable de todas las obligaciones subcontratadas y de todos los actos y omisiones del Subprocesador.

11.4  Oportunidad para objetar cambios en el subprocesador .

(a) Cuando un nuevo Subprocesador de terceros esté involucrado durante el Período, Google, al menos 30 días antes de que el nuevo Subprocesador de terceros procese los Datos personales del Cliente, informará al Cliente del compromiso (incluido el nombre y la ubicación del subprocesador relevante y las actividades que realizará) enviando un correo electrónico a la dirección de correo electrónico de notificación.

(b) El Cliente puede oponerse a cualquier nuevo Subprocesador de Terceros al rescindir el Acuerdo inmediatamente después de un aviso por escrito a Google, con la condición de que el Cliente proporcione dicho aviso dentro de los 90 días de haber sido informado del compromiso del nuevo Subprocesador de Terceros como se describe en la Sección 11.4 (una). Este derecho de rescisión es el único y exclusivo recurso del Cliente si el Cliente se opone a un nuevo Subprocesador de terceros.

12.  Contactando a Google; Procesando Registros

12.1 Contactando a Google. El Cliente puede comunicarse con Google en relación con el ejercicio de sus derechos en virtud de estos Términos de procesamiento de datos a través de los métodos descritos en privacy.google.com/businesses/processorsupport o por cualquier otro medio que Google proporcione ocasionalmente.

12.2  Registros de procesamiento de Google. El Cliente reconoce que, bajo el RGPD, se requiere que Google: (a) recopile y mantenga registros de cierta información, incluido el nombre y los datos de contacto de cada procesador y / o controlador en nombre del cual Google está actuando y (si corresponde) de dicho procesador o el representante local del controlador y el oficial de protección de datos; y (b) poner dicha información a disposición de cualquier Autoridad de Supervisión. En consecuencia, el Cliente, cuando se le solicite y según corresponda, proporcionará dicha información a Google a través de la interfaz de usuario de los Servicios del procesador o por cualquier otro medio que pueda proporcionar Google, y utilizará dicha interfaz de usuario u otros medios para garantizar que Toda la información proporcionada se mantiene precisa y actualizada.

13.  Responsabilidad

Si el Acuerdo se rige por las leyes de:

(a) un estado de los Estados Unidos de América, entonces, a pesar de cualquier otra cosa en el Acuerdo, la responsabilidad total de cualquiera de las partes hacia la otra parte en relación con estos Términos de procesamiento de datos se limitará al máximo monetario o pago cantidad basada en la cual la responsabilidad de esa parte está limitada según el Acuerdo (para mayor claridad, cualquier exclusión de reclamos de indemnización de la limitación de responsabilidad del Acuerdo no se aplicará a los reclamos de indemnización bajo el Acuerdo relacionados con la Legislación Europea de Protección de Datos o la Protección de Datos No Europea Legislación); o

(b) una jurisdicción que no es un estado de los Estados Unidos de América, entonces la responsabilidad de las partes bajo o en relación con estos Términos de procesamiento de datos estará sujeta a las exclusiones y limitaciones de responsabilidad en el Acuerdo.

14.  Efecto de estos Términos de procesamiento de datos

Si existe algún conflicto o inconsistencia entre los términos de los Términos adicionales para la legislación de protección de datos no europea, el resto de estos Términos de procesamiento de datos y / o el resto del Acuerdo, se aplicará el siguiente orden de precedencia: (a) los Términos adicionales para la legislación de protección de datos no europea; (b) el resto de estos Términos de procesamiento de datos; y (c) el resto del Acuerdo. Sujeto a las modificaciones en estos Términos de procesamiento de datos, el Acuerdo permanece en pleno vigor y efecto

15.  Cambios a estos Términos de procesamiento de datos

15.1 Cambios a las URL. De vez en cuando, Google puede cambiar cualquier URL a la que se haga referencia en estos Términos de procesamiento de datos y el contenido de dicha URL. Google solo puede cambiar la lista de posibles Servicios de procesador en  privacy.google.com/businesses/adsservices  :

(a) para reflejar un cambio en el nombre de un servicio;

(b) para agregar un nuevo servicio; o

(c) eliminar un servicio donde: (i) se rescindan todos los contratos para la prestación de ese servicio; o (ii) Google tiene el consentimiento del Cliente.

15.2 Cambios a los Términos de procesamiento de datos. Google puede cambiar estos Términos de procesamiento de datos si el cambio:

(a) está expresamente permitido por estos Términos de procesamiento de datos, incluidos los descritos en la Sección 15.1 (Cambios en las URL);

(b) refleja un cambio en el nombre o la forma de una entidad legal;

(c) está obligado a cumplir con la ley aplicable, la regulación aplicable, una orden judicial u orientación emitida por un regulador o agencia gubernamental; o

(d) no: (i) da como resultado una degradación de la seguridad general de los Servicios de procesador; (ii) ampliar el alcance de, o eliminar cualquier restricción sobre, (x) en el caso de los Términos Adicionales para la Legislación de Protección de Datos No Europea, los derechos de Google para usar o procesar los datos en el alcance de los Términos Adicionales para Legislación europea de protección de datos o (y) en el caso del resto de estos Términos de procesamiento de datos, el procesamiento de Google de los Datos personales del cliente, como se describe en la Sección 5.3 (Cumplimiento de las instrucciones de Google); y (iii) de lo contrario, tendrá un impacto adverso importante en los derechos del Cliente en virtud de estos Términos de procesamiento de datos, según lo determine razonablemente Google.

15.3 Notificación de cambios. Si Google tiene la intención de cambiar estos Términos de procesamiento de datos en virtud de la Sección 15.2 (c) o (d), Google informará al Cliente al menos 30 días (o el período más corto que sea necesario para cumplir con la ley aplicable, la regulación aplicable, una orden judicial o orientación emitida por un organismo regulador o gubernamental) antes de que el cambio surta efecto: (a) enviando un correo electrónico a la dirección de correo electrónico de notificación; o (b) alertar al Cliente a través de la interfaz de usuario para los Servicios de Procesador. Si el Cliente se opone a dicho cambio, el Cliente puede rescindir el Acuerdo mediante notificación por escrito a Google dentro de los 90 días de haber sido informado por Google sobre el cambio.

Apéndice 1: Asunto y detalles del procesamiento de datos

Tema en cuestión

La provisión de Google de los Servicios de procesador y cualquier soporte técnico relacionado al Cliente.

Duración del procesamiento

El plazo más el período desde el vencimiento del plazo hasta la eliminación de todos los datos personales del cliente por parte de Google de acuerdo con estos Términos de procesamiento de datos.

Naturaleza y propósito del procesamiento

Google procesará (incluyendo, según corresponda a los Servicios del procesador y las instrucciones descritas en la Sección 5.2 (Instrucciones del cliente), recopilar, grabar, organizar, estructurar, almacenar, alterar, recuperar, usar, divulgar, combinar, borrar y destruir) Personal del cliente Datos con el fin de proporcionar los Servicios de procesador y cualquier soporte técnico relacionado al Cliente de acuerdo con estos Términos de procesamiento de datos.

Tipos de datos personales

Los datos personales del cliente pueden incluir los tipos de datos personales descritos en  privacy.google.com/businesses/adsservices .

Categorías de sujetos de datos

Los datos personales del cliente se referirán a las siguientes categorías de interesados:

  • sujetos de datos sobre los cuales Google recopila datos personales en su provisión de los Servicios del procesador; y / o
  • sujetos de datos sobre los cuales los datos personales se transfieren a Google en relación con los Servicios del procesador por, bajo la dirección o en nombre del Cliente.

Dependiendo de la naturaleza de los Servicios del procesador, estos sujetos de datos pueden incluir individuos: (a) a quienes se ha dirigido, o se dirigirá, la publicidad en línea; (b) quienes han visitado sitios web o aplicaciones específicos respecto de los cuales Google proporciona los Servicios de procesador; y / o (c) que son clientes o usuarios de los productos o servicios del Cliente.

Apéndice 2: Medidas de seguridad

A partir de la Fecha de entrada en vigencia de los Términos, Google implementará y mantendrá las Medidas de seguridad establecidas en este Apéndice 2. Google puede actualizar o modificar dichas Medidas de seguridad de vez en cuando, siempre que dichas actualizaciones y modificaciones no den lugar a la degradación general seguridad de los servicios del procesador.

1.  Centro de datos y seguridad de red

(a)  Centros de datos.

Infraestructura. Google mantiene centros de datos distribuidos geográficamente. Google almacena todos los datos de producción en centros de datos físicamente seguros.

La redundancia. Los sistemas de infraestructura han sido diseñados para eliminar puntos únicos de falla y minimizar el impacto de los riesgos ambientales anticipados. Los circuitos duales, conmutadores, redes u otros dispositivos necesarios ayudan a proporcionar esta redundancia. Los Servicios de procesador están diseñados para permitir que Google realice ciertos tipos de mantenimiento preventivo y correctivo sin interrupción. Todos los equipos e instalaciones ambientales tienen procedimientos de mantenimiento preventivo documentados que detallan el proceso y la frecuencia de rendimiento de acuerdo con las especificaciones internas o del fabricante. El mantenimiento preventivo y correctivo del equipo del centro de datos se programa a través de un proceso estándar de acuerdo con procedimientos documentados.

Poder. Los sistemas de energía eléctrica del centro de datos están diseñados para ser redundantes y mantenibles sin afectar las operaciones continuas, las 24 horas del día y los 7 días de la semana. En la mayoría de los casos, se proporciona una fuente de alimentación primaria y alternativa, cada una con la misma capacidad, para componentes de infraestructura críticos en el centro de datos. La energía de respaldo es proporcionada por varios mecanismos, como las baterías de suministro de energía ininterrumpible (UPS), que proporcionan protección de energía confiable y confiable durante caídas de tensión, apagones, sobrevoltaje, bajo voltaje y condiciones de frecuencia fuera de tolerancia. Si se interrumpe la energía del servicio público, la energía de respaldo está diseñada para proporcionar energía transitoria al centro de datos, a plena capacidad, durante un máximo de 10 minutos hasta que los sistemas de generadores diesel se hagan cargo.

Sistemas operativos de servidor. Los servidores de Google utilizan sistemas operativos reforzados que están personalizados para las necesidades únicas de los servidores de la empresa. Los datos se almacenan utilizando algoritmos patentados para aumentar la seguridad y la redundancia de los datos. Google emplea un proceso de revisión de código para aumentar la seguridad del código utilizado para proporcionar los Servicios de procesador y mejorar los productos de seguridad en entornos de producción.

Continuidad de negocios. Google replica datos en múltiples sistemas para ayudar a proteger contra la destrucción o pérdida accidental. Google ha diseñado y regularmente planifica y prueba sus programas de recuperación de desastres / planificación de continuidad del negocio.

(b)  Redes y transmisión.

Transmisión de datos. Los centros de datos generalmente están conectados a través de enlaces privados de alta velocidad para proporcionar una transferencia de datos segura y rápida entre centros de datos. Esto está diseñado para evitar que los datos se lean, copien, alteren o eliminen sin autorización durante la transferencia electrónica o el transporte o mientras se graban en medios de almacenamiento de datos. Google transfiere datos a través de protocolos estándar de Internet.

Superficie de ataque externo. Google emplea múltiples capas de dispositivos de red y detección de intrusos para proteger su superficie de ataque externo. Google considera posibles vectores de ataque e incorpora tecnologías apropiadas especialmente diseñadas en sistemas externos.

Detección de intrusos. La detección de intrusos tiene por objeto proporcionar información sobre las actividades de ataque en curso y proporcionar información adecuada para responder a los incidentes. La detección de intrusos de Google implica:

1. Controlando firmemente el tamaño y la composición de la superficie de ataque de Google a través de medidas preventivas;

2. Empleando controles de detección inteligentes en los puntos de entrada de datos; y

3. Emplear tecnologías que remedien automáticamente ciertas situaciones peligrosas.

Respuesta a incidentes. Google monitorea una variedad de canales de comunicación para detectar incidentes de seguridad, y el personal de seguridad de Google reaccionará rápidamente ante incidentes conocidos.

Tecnologías de encriptación. Google pone a disposición el cifrado HTTPS (también conocido como conexión SSL o TLS). Los servidores de Google admiten el intercambio de claves criptográficas efímeras de curva elíptica Diffie Hellman firmado con RSA y ECDSA. Estos métodos de confidencialidad directa perfecta (PFS) ayudan a proteger el tráfico y minimizar el impacto de una clave comprometida o un avance criptográfico.

2.  Acceso y controles del sitio

(a)  Controles del sitio.

Operación de seguridad del centro de datos en el sitio. Los centros de datos de Google mantienen una operación de seguridad en el sitio responsable de todas las funciones de seguridad del centro de datos físico las 24 horas del día, los 7 días de la semana. El personal de operaciones de seguridad en el lugar monitorea las cámaras de circuito cerrado de TV (» CCTV «) y todos los sistemas de alarma. El personal de operaciones de seguridad en el sitio realiza patrullas internas y externas del centro de datos regularmente.

Procedimientos de acceso al centro de datos. Google mantiene procedimientos formales de acceso para permitir el acceso físico a los centros de datos. Los centros de datos están alojados en instalaciones que requieren acceso con clave de tarjeta electrónica, con alarmas vinculadas a la operación de seguridad en el sitio. Todos los participantes en el centro de datos deben identificarse y mostrar prueba de identidad a las operaciones de seguridad en el sitio. Solo los empleados autorizados, contratistas y visitantes pueden ingresar a los centros de datos. Solo los empleados y contratistas autorizados pueden solicitar el acceso con llave de tarjeta electrónica a estas instalaciones. Las solicitudes de acceso a la clave de la tarjeta electrónica del centro de datos deben hacerse por adelantado y por escrito, y requieren la aprobación del gerente del solicitante y del director del centro de datos. Todos los demás participantes que requieran acceso temporal al centro de datos deben: (i) obtener la aprobación por adelantado de los gerentes del centro de datos para el centro de datos específico y las áreas internas que desean visitar; (ii) registrarse en las operaciones de seguridad en el sitio; y (iii) hacer referencia a un registro de acceso al centro de datos aprobado que identifique al individuo como aprobado.

On-site Data Centre Security Devices. Los centros de datos de Google emplean una clave de tarjeta electrónica y un sistema de control de acceso biométrico que está vinculado a una alarma del sistema. El sistema de control de acceso monitorea y registra la llave de la tarjeta electrónica de cada individuo y cuándo acceden a las puertas del perímetro, envío y recepción, y otras áreas críticas. La actividad no autorizada y los intentos de acceso fallidos son registrados por el sistema de control de acceso e investigados, según corresponda. El acceso autorizado a todas las operaciones comerciales y centros de datos está restringido según las zonas y las responsabilidades laborales del individuo. Las puertas contra incendios en los centros de datos están alarmadas. Las cámaras de CCTV están en funcionamiento tanto dentro como fuera de los centros de datos. El posicionamiento de las cámaras se ha diseñado para cubrir áreas estratégicas que incluyen, entre otras, el perímetro, las puertas del edificio del centro de datos y el envío / recepción. El personal de operaciones de seguridad en el sitio administra el equipo de monitoreo, grabación y control de CCTV. Los cables seguros en los centros de datos conectan el equipo de CCTV. Las cámaras graban en el sitio a través de grabadoras de video digital las 24 horas del día, los 7 días de la semana. Los registros de vigilancia se conservan durante al menos 7 días según la actividad.

(b)  Control de acceso.

Personal de Seguridad de Infraestructura. Google tiene y mantiene una política de seguridad para su personal, y requiere capacitación en seguridad como parte del paquete de capacitación para su personal. El personal de seguridad de la infraestructura de Google es responsable del monitoreo continuo de la infraestructura de seguridad de Google, la revisión de los Servicios del procesador y la respuesta a incidentes de seguridad.

Control de acceso y gestión de privilegios. Los administradores y usuarios del Cliente deben autenticarse a través de un sistema de autenticación central o mediante un sistema de inicio de sesión único para utilizar los Servicios de procesador.

Procesos y políticas de acceso a datos internos – Política de acceso. Los procesos y políticas de acceso a datos internos de Google están diseñados para evitar que personas y / o sistemas no autorizados obtengan acceso a los sistemas utilizados para procesar datos personales. Google tiene como objetivo diseñar sus sistemas para: (i) permitir solo a las personas autorizadas acceder a los datos a los que están autorizados; y (ii) garantizar que los datos personales no puedan leerse, copiarse, modificarse o eliminarse sin autorización durante el procesamiento, uso y después de la grabación. Los sistemas están diseñados para detectar cualquier acceso inapropiado. Google emplea un sistema de gestión de acceso centralizado para controlar el acceso del personal a los servidores de producción, y solo proporciona acceso a un número limitado de personal autorizado. LDAP, Kerberos y un sistema patentado que utiliza certificados SSH están diseñados para proporcionar a Google mecanismos de acceso seguros y flexibles. Estos mecanismos están diseñados para otorgar solo derechos de acceso aprobados a los hosts, registros, datos e información de configuración del sitio. Google requiere el uso de identificaciones de usuario únicas, contraseñas seguras, autenticación de dos factores y listas de acceso cuidadosamente monitoreadas para minimizar el potencial de uso no autorizado de la cuenta. La concesión o modificación de los derechos de acceso se basa en: las responsabilidades laborales del personal autorizado; requisitos de trabajo necesarios para realizar tareas autorizadas; y una necesidad de saber base. La concesión o modificación de los derechos de acceso también debe estar de acuerdo con las políticas y la capacitación de acceso a datos internos de Google. Las aprobaciones son administradas por herramientas de flujo de trabajo que mantienen registros de auditoría de todos los cambios. El acceso a los sistemas se registra para crear una pista de auditoría para la rendición de cuentas. Donde se emplean contraseñas para la autenticación (p. Ej. iniciar sesión en estaciones de trabajo), se implementan políticas de contraseña que siguen al menos las prácticas estándar de la industria. Estas normas incluyen restricciones en la reutilización de contraseñas y suficiente seguridad de la contraseña.

3.  Datos

(a)  Almacenamiento de datos, aislamiento y autenticación.

Google almacena datos en un entorno multiinquilino en servidores propiedad de Google. Los datos, la base de datos de Processor Services y la arquitectura del sistema de archivos se replican entre múltiples centros de datos dispersos geográficamente. Google aísla lógicamente los datos de cada cliente. Se utiliza un sistema de autenticación central en todos los Servicios de procesador para aumentar la seguridad uniforme de los datos.

(b)  Pautas para la destrucción de discos y discos fuera de servicio. Ciertos discos que contienen datos pueden experimentar problemas de rendimiento, errores o fallas de hardware que los llevan a ser retirados del servicio (» Disco fuera de servicio «). Cada disco fuera de servicio está sujeto a una serie de procesos de destrucción de datos (las » Pautas de destrucción de datos «») Antes de abandonar las instalaciones de Google para su reutilización o destrucción. Los discos fuera de servicio se borran en un proceso de varios pasos y se verifican completos por al menos dos validadores independientes. Los resultados de borrado se registran con el número de serie del disco fuera de servicio para el seguimiento. Finalmente, el disco fuera de servicio borrado se libera al inventario para su reutilización y redistribución. Si, debido a una falla de hardware, el disco fuera de servicio no se puede borrar, se almacena de forma segura hasta que se pueda destruir. Cada instalación se audita periódicamente para controlar el cumplimiento de las Directrices de destrucción de datos.

4.  Seguridad del personal

El personal de Google debe comportarse de manera coherente con las pautas de la compañía con respecto a la confidencialidad, la ética empresarial, el uso apropiado y los estándares profesionales. Google realiza verificaciones de antecedentes razonablemente apropiadas en la medida legalmente permitida y de acuerdo con la legislación laboral local y las reglamentaciones legales.

Se requiere que el personal ejecute un acuerdo de confidencialidad y debe acusar recibo y cumplimiento de las políticas de confidencialidad y privacidad de Google. El personal recibe capacitación en seguridad. Se requiere que el personal que maneja los Datos personales del cliente complete los requisitos adicionales apropiados para su función. El personal de Google no procesará los Datos personales del cliente sin autorización.

5.  Seguridad del subprocesador

Antes de incorporar los subprocesadores, Google realiza una auditoría de las prácticas de seguridad y privacidad de los subprocesadores para garantizar que los subprocesadores brinden un nivel de seguridad y privacidad apropiado para su acceso a los datos y el alcance de los servicios que están comprometidos a proporcionar. Una vez que Google ha evaluado los riesgos presentados por el Subprocesador, sujeto a los requisitos establecidos en la Sección 11.3 (Requisitos para la participación del subprocesador), el Subprocesador debe celebrar los términos del contrato de seguridad, confidencialidad y privacidad apropiados.

Apéndice 3: Términos adicionales para la legislación de protección de datos no europea

Los siguientes Términos adicionales para la legislación de protección de datos no europea complementan estos Términos de procesamiento de datos:

Términos de procesamiento de datos de Google Ads, versión 1.4

1 de enero de 2020

Texto Original, en ingles:

Google and the counterparty agreeing to these terms (“Customer”) have entered into an agreement for the provision of the Processor Services (as amended from time to time, the “Agreement”).

These Google Ads Data Processing Terms (including the appendices, “Data Processing Terms”) are entered into by Google and Customer and supplement the Agreement. These Data Processing Terms will be effective, and replace any previously applicable terms relating to their subject matter (including any data processing amendment or data processing addendum relating to the Processor Services), from the Terms Effective Date.

If you are accepting these Data Processing Terms on behalf of Customer, you warrant that: (a) you have full legal authority to bind Customer to these Data Processing Terms; (b) you have read and understand these Data Processing Terms; and (c) you agree, on behalf of Customer, to these Data Processing Terms. If you do not have the legal authority to bind Customer, please do not accept these Data Processing Terms.

1. Introduction

These Data Processing Terms reflect the parties’ agreement on the terms governing the processing certain data in connection with the European Data Protection Legislation and certain Non-European Data Protection Legislation.

2. Definitions and Interpretation

2.1 In these Data Processing Terms:“Additional Product” means a product, service or application provided by Google or a third party that: (a) is not part of the Processor Services; and (b) is accessible for use within the user interface of the Processor Services or is otherwise integrated with the Processor Services.

“Additional Terms for Non-European Data Protection Legislation” means the additional terms referred to in Appendix 3, which reflect the parties’ agreement on the terms governing the processing of certain data in connection with certain Non-European Data Protection Legislation.

“Affiliate” means an entity that directly or indirectly controls, is controlled by, or is under common control with, a party.

“Customer Personal Data” means personal data that is processed by Google on behalf of Customer in Google’s provision of the Processor Services.

“Data Incident” means a breach of Google’s security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, Customer Personal Data on systems managed by or otherwise controlled by Google. “Data Incidents” will not include unsuccessful attempts or activities that do not compromise the security of Customer Personal Data, including unsuccessful log-in attempts, pings, port scans, denial of service attacks, and other network attacks on firewalls or networked systems.

“Data Subject Tool” means a tool (if any) made available by a Google Entity to data subjects that enables Google to respond directly and in a standardised manner to certain requests from data subjects in relation to Customer Personal Data (for example, online advertising settings or an opt-out browser plugin).

“EEA” means the European Economic Area.

“EU GDPR” means Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC.

“European Data Protection Legislation” means, as applicable: (a) the GDPR; and/or (b) the Federal Data Protection Act of 19 June 1992 (Switzerland).

“European or National Laws” means, as applicable: (a) EU or EU Member State law (if the EU GDPR applies to the processing of Customer Personal Data); and/or (b) the law of the UK or a part of the UK (if the UK GDPR applies to the processing of Customer Personal Data).

“GDPR” means, as applicable: (a) the EU GDPR; and/or (b) the UK GDPR.

“Google” means the Google Entity that is party to the Agreement.

“Google Affiliate Subprocessors” has the meaning given in Section 11.1 (Consent to Subprocessor Engagement).

“Google Entity” means Google LLC (formerly known as Google Inc.), Google Ireland Limited or any other Affiliate of Google LLC.

“ISO 27001 Certification” means ISO/IEC 27001:2013 certification or a comparable certification for the Processor Services.

“Non-European Data Protection Legislation” means data protection or privacy laws in force outside the EEA, Switzerland and the UK.

“Notification Email Address” means the email address (if any) designated by Customer, via the user interface of the Processor Services or such other means provided by Google, to receive certain notifications from Google relating to these Data Processing Terms.

“Privacy Shield” means the EU-U.S. Privacy Shield legal framework, the Swiss-U.S. Privacy Shield legal framework, and any equivalent legal framework that may apply between the UK and the United States.

“Processor Services” means the applicable services listed at privacy.google.com/businesses/adsservices .

“Security Documentation” means the certificate issued for the ISO 27001 Certification and any other security certifications or documentation that Google may make available in respect of the Processor Services.

“Security Measures” has the meaning given in Section 7.1.1 (Google’s Security Measures).

“Subprocessors” means third parties authorised under these Data Processing Terms to have logical access to and process Customer Personal Data in order to provide parts of the Processor Services and any related technical support.

“Supervisory Authority” means, as applicable: (a) a “supervisory authority” as defined in the EU GDPR; and/or (b) the “Commissioner” as defined in the UK GDPR.

“Term” means the period from the Terms Effective Date until the end of Google’s provision of the Processor Services under the Agreement.

“Terms Effective Date” means, as applicable:

(a) 25 May 2018, if Customer clicked to accept or the parties otherwise agreed to these Data Processing Terms before or on such date; or

(b) the date on which Customer clicked to accept or the parties otherwise agreed to these Data Processing Terms, if such date is after 25 May 2018.

“Third Party Subprocessors” has the meaning given in Section 11.1 (Consent to Subprocessor Engagement).

“UK GDPR” means the EU GDPR as amended and incorporated into UK law under the UK European Union (Withdrawal) Act 2018, if in force.

2.2 The terms “controller”, “data subject”, “personal data”, “processing”, and “processor” as used in these Data Processing Terms have the meanings given in the GDPR.

2.3 The words “include” and “including” mean “including but not limited to”. Any examples in these Data Processing Terms are illustrative and not the sole examples of a particular concept.

2.4 Any reference to a legal framework, statute or other legislative enactment is a reference to it as amended or re-enacted from time to time.

2.5 If these Data Processing Terms are translated into any other language, and there is a discrepancy between the English text and the translated text, the English text will govern.

3. Duration of these Data Processing Terms

These Data Processing Terms will take effect on the Terms Effective Date and, notwithstanding expiry of the Term, remain in effect until, and automatically expire upon, deletion of all Customer Personal Data by Google as described in these Data Processing Terms.

4. Application of these Data Processing Terms

4.1 Application of European Data Protection Legislation. Sections 5 (Processing of Data) to 12 (Contacting Google; Processing Records) (inclusive) will only apply to the extent that the European Data Protection Legislation applies to the processing of Customer Personal Data, including if:

(a) the processing is in the context of the activities of an establishment of Customer in the EEA or the UK; and/or

(b) Customer Personal Data is personal data relating to data subjects who are in the EEA ot the UK and the processing relates to the offering to them of goods or services or the monitoring of their behaviour in the EEA or the UK.

4.2 Application to Processor Services. These Data Processing Terms will only apply to the Processor Services for which the parties agreed to these Data Processing Terms (for example: (a) the Processor Services for which Customer clicked to accept these Data Processing Terms; or (b) if the Agreement incorporates these Data Processing Terms by reference, the Processor Services that are the subject of the Agreement).

4.3 Incorporation of Additional Terms for Non-European Data Protection Legislation. The Additional Terms for Non-European Data Protection Legislation supplement these Data Processing Terms.

5. Processing of Data

5.1 Roles and Regulatory Compliance; Authorisation.

5.1.1 Processor and Controller Responsibilities. The parties acknowledge and agree that:

(a) Appendix 1 describes the subject matter and details of the processing of Customer Personal Data;

(b) Google is a processor of Customer Personal Data under the European Data Protection Legislation;

(c) Customer is a controller or processor, as applicable, of Customer Personal Data under the European Data Protection Legislation; and

(d) each party will comply with the obligations applicable to it under the European Data Protection Legislation with respect to the processing of Customer Personal Data.

5.1.2 Authorisation by Third Party Controller. If Customer is a processor, Customer warrants to Google that Customer’s instructions and actions with respect to Customer Personal Data, including its appointment of Google as another processor, have been authorised by the relevant controller.

5.2 Customer’s Instructions. By entering into these Data Processing Terms, Customer instructs Google to process Customer Personal Data only in accordance with applicable law: (a) to provide the Processor Services and any related technical support; (b) as further specified via Customer’s use of the Processor Services (including in the settings and other functionality of the Processor Services) and any related technical support; (c) as documented in the form of the Agreement, including these Data Processing Terms; and (d) as further documented in any other written instructions given by Customer and acknowledged by Google as constituting instructions for purposes of these Data Processing Terms.

5.3 Google’s Compliance with Instructions. Google will comply with the instructions described in Section 5.2 (Customer’s Instructions) (including with regard to data transfers) unless European or National Laws to which Google is subject require other processing of Customer Personal Data by Google, in which case Google will inform Customer (unless any such law prohibits Google from doing so on important grounds of public interest).

5.4 Additional Products. If Customer uses any Additional Product, the Processor Services may allow that Additional Product to access Customer Personal Data as required for the interoperation of the Additional Product with the Processor Services. For clarity, these Data Processing Terms do not apply to the processing of personal data in connection with the provision of any Additional Product used by Customer, including personal data transmitted to or from that Additional Product.

6. Data Deletion

6.1 Deletion During Term.

6.1.1 Processor Services With Deletion Functionality. During the Term, if:

(a) the functionality of the Processor Services includes the option for Customer to delete Customer Personal Data;

(b) Customer uses the Processor Services to delete certain Customer Personal Data; and

(c) the deleted Customer Personal Data cannot be recovered by Customer (for example, from the “trash”), then Google will delete such Customer Personal Data from its systems as soon as reasonably practicable and within a maximum period of 180 days, unless European or National Laws require storage.

6.1.2 Processor Services Without Deletion Functionality. During the Term, if the functionality of the Processor Services does not include the option for Customer to delete Customer Personal Data, then Google will comply with:

(a) any reasonable request from Customer to facilitate such deletion, insofar as this is possible taking into account the nature and functionality of the Processor Services and unless European or National Laws require storage; and

(b) the data retention practices described at policies.google.com/technologies/ads.

Google may charge a fee (based on Google’s reasonable costs) for any data deletion under Section 6.1.2(a). Google will provide Customer with further details of any applicable fee, and the basis of its calculation, in advance of any such data deletion.

6.2 Deletion on Term Expiry. On expiry of the Term, Customer instructs Google to delete all Customer Personal Data (including existing copies) from Google’s systems in accordance with applicable law. Google will comply with this instruction as soon as reasonably practicable and within a maximum period of 180 days, unless European or National Laws require storage.

7. Data Security

7.1 Google’s Security Measures and Assistance.

7.1.1 Google’s Security Measures. Google will implement and maintain technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access as described in Appendix 2 (the “Security Measures”). As described in Appendix 2, the Security Measures include measures: (a) to encrypt personal data; (b) to help ensure the ongoing confidentiality, integrity, availability and resilience of Google’s systems and services; (c) to help restore timely access to personal data following an incident; and (d) for regular testing of effectiveness. Google may update or modify the Security Measures from time to time, provided that such updates and modifications do not result in the degradation of the overall security of the Processor Services.

7.1.2 Security Compliance by Google Staff. Google will take appropriate steps to ensure compliance with the Security Measures by its employees, contractors and Subprocessors to the extent applicable to their scope of performance, including ensuring that all persons authorised to process Customer Personal Data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.

7.1.3 Google’s Security Assistance. Customer agrees that Google will (taking into account the nature of the processing of Customer Personal Data and the information available to Google) assist Customer in ensuring compliance with any obligations of Customer in respect of security of personal data and personal data breaches, including (if applicable) Customer’s obligations pursuant to Articles 32 to 34 (inclusive) of the GDPR, by:

(a) implementing and maintaining the Security Measures in accordance with Section 7.1.1 (Google’s Security Measures);

(b) complying with the terms of Section 7.2 (Data Incidents); and

(c) providing Customer with the Security Documentation in accordance with Section 7.5.1 (Reviews of Security Documentation) and the information contained in these Data Processing Terms.

7.2 Data Incidents.

7.2.1 Incident Notification. If Google becomes aware of a Data Incident, Google will: (a) notify Customer of the Data Incident promptly and without undue delay; and (b) promptly take reasonable steps to minimise harm and secure Customer Personal Data.

7.2.2 Details of Data Incident. Notifications made under Section 7.2.1 (Incident Notification) will describe, to the extent possible, details of the Data Incident, including steps taken to mitigate the potential risks and steps Google recommends Customer take to address the Data Incident.

7.2.3 Delivery of Notification. Google will deliver its notification of any Data Incident to the Notification Email Address or, at Google’s discretion (including if Customer has not provided a Notification Email Address), by other direct communication (for example, by phone call or an in-person meeting). Customer is solely responsible for providing the Notification Email Address and ensuring that the Notification Email Address is current and valid.

7.2.4 Third Party Notifications. Customer is solely responsible for complying with incident notification laws applicable to Customer and fulfilling any third party notification obligations related to any Data Incident.

7.2.5 No Acknowledgement of Fault by Google. Google’s notification of or response to a Data Incident under this Section 7.2 (Data Incidents) will not be construed as an acknowledgement by Google of any fault or liability with respect to the Data Incident.

7.3 Customer’s Security Responsibilities and Assessment.

7.3.1 Customer’s Security Responsibilities. Customer agrees that, without prejudice to Google’s obligations under Sections 7.1 (Google’s Security Measures and Assistance) and 7.2 (Data Incidents):

(a) Customer is solely responsible for its use of the Processor Services, including:

(i) making appropriate use of the Processor Services to ensure a level of security appropriate to the risk in respect of Customer Personal Data; and

(ii) securing the account authentication credentials, systems and devices Customer uses to access the Processor Services; and

(b) Google has no obligation to protect Customer Personal Data that Customer elects to store or transfer outside of Google’s and its Subprocessors’ systems.

7.3.2 Customer’s Security Assessment. Customer acknowledges and agrees that (taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of the processing of Customer Personal Data as well as the risks to individuals) the Security Measures implemented and maintained by Google as set out in Section 7.1.1 (Google’s Security Measures) provide a level of security appropriate to the risk in respect of Customer Personal Data.

7.4 Security Certification. To evaluate and help ensure the continued effectiveness of the Security Measures, Google will maintain the ISO 27001 Certification.

7.5 Reviews and Audits of Compliance.

7.5.1 Reviews of Security Documentation. To demonstrate compliance by Google with its obligations under these Data Processing Terms, Google will make the Security Documentation available for review by Customer.

7.5.2 Customer’s Audit Rights.

(a) Google will allow Customer or a third party auditor appointed by Customer to conduct audits (including inspections) to verify Google’s compliance with its obligations under these Data Processing Terms in accordance with Section 7.5.3 (Additional Business Terms for Audits). Google will contribute to such audits as described in Section 7.4 (Security Certification) and this Section 7.5 (Reviews and Audits of Compliance).

(b) Customer may also conduct an audit to verify Google’s compliance with its obligations under these Data Processing Terms by reviewing the certificate issued for the ISO 27001 Certification (which reflects the outcome of an audit conducted by a third party auditor).

7.5.3 Additional Business Terms for Audits.

(a) Customer will send any request for an audit under Section 7.5.2(a) to Google as described in Section 12.1 (Contacting Google).

(b) Following receipt by Google of a request under Section 7.5.3(a), Google and Customer will discuss and agree in advance on the reasonable start date, scope and duration of, and security and confidentiality controls applicable to, any audit under Section 7.5.2(a).

(c) Google may charge a fee (based on Google’s reasonable costs) for any audit under Section 7.5.2(a). Google will provide Customer with further details of any applicable fee, and the basis of its calculation, in advance of any such audit. Customer will be responsible for any fees charged by any third party auditor appointed by Customer to execute any such audit.

(d) Google may object to any third party auditor appointed by Customer to conduct any audit under Section 7.5.2(a) if the auditor is, in Google’s reasonable opinion, not suitably qualified or independent, a competitor of Google or otherwise manifestly unsuitable. Any such objection by Google will require Customer to appoint another auditor or conduct the audit itself.

(e) Nothing in these Data Processing Terms will require Google either to disclose to Customer or its third party auditor, or to allow Customer or its third party auditor to access:

(i) any data of any other customer of a Google Entity;

(ii) any Google Entity’s internal accounting or financial information;

(iii) any trade secret of a Google Entity;

(iv) any information that, in Google’s reasonable opinion, could: (A) compromise the security of any Google Entity’s systems or premises; or (B) cause any Google Entity to breach its obligations under the European Data Protection Legislation or its security and/or privacy obligations to Customer or any third party; or

(v) any information that Customer or its third party auditor seeks to access for any reason other than the good faith fulfilment of Customer’s obligations under the European Data Protection Legislation.

8. Impact Assessments and Consultations

Customer agrees that Google will (taking into account the nature of the processing and the information available to Google) assist Customer in ensuring compliance with any obligations of Customer in respect of data protection impact assessments and prior consultation, including (if applicable) Customer’s obligations pursuant to Articles 35 and 36 of the GDPR, by:

(a) providing the Security Documentation in accordance with Section 7.5.1 (Reviews of Security Documentation);

(b) providing the information contained in these Data Processing Terms; and

(c) providing or otherwise making available, in accordance with Google’s standard practices, other materials concerning the nature of the Processor Services and the processing of Customer Personal Data (for example, help centre materials).

9. Data Subject Rights

9.1 Responses to Data Subject Requests. If Google receives a request from a data subject in relation to Customer Personal Data, Google will:

(a) if the request is made via a Data Subject Tool, respond directly to the data subject’s request in accordance with the standard functionality of that Data Subject Tool; or

(b) if the request is not made via a Data Subject Tool, advise the data subject to submit his/her request to Customer, and Customer will be responsible for responding to such request.

9.2 Google’s Data Subject Request Assistance. Customer agrees that Google will (taking into account the nature of the processing of Customer Personal Data and, if applicable, Article 11 of the GDPR) assist Customer in fulfilling any obligation of Customer to respond to requests by data subjects, including (if applicable) Customer’s obligation to respond to requests for exercising the data subject’s rights laid down in Chapter III of the GDPR, by:

(a) providing the functionality of the Processor Services;

(b) complying with the commitments set out in Section 9.1 (Responses to Data Subject Requests); and

(c) if applicable to the Processor Services, making available Data Subject Tools.

10. Data Transfers

10.1 Data Storage and Processing Facilities. Customer agrees that Google may, subject to Section 10.2 (Transfers of Data), store and process Customer Personal Data in the United States of America and any other country in which Google or any of its Subprocessors maintains facilities.

10.2 Transfers of Data. Google will ensure that:

(a) the parent company of the Google group, Google LLC, remains self-certified under Privacy Shield; and

(b) the scope of Google LLC’s Privacy Shield certification includes Customer Personal Data.

10.3 Data Centre Information. Information about the locations of Google data centres is available at www.google.com/about/datacenters/inside/locations/index.html .

11. Subprocessors

11.1 Consent to Subprocessor Engagement. Customer specifically authorises the engagement of Google’s Affiliates as Subprocessors (“Google Affiliate Subprocessors”). In addition, Customer generally authorises the engagement of any other third parties as Subprocessors (“Third Party Subprocessors”).

11.2 Information about Subprocessors. Information about Subprocessors is available at privacy.google.com/businesses/subprocessors .

11.3 Requirements for Subprocessor Engagement. When engaging any Subprocessor, Google will:

(a) ensure via a written contract that:

(i) the Subprocessor only accesses and uses Customer Personal Data to the extent required to perform the obligations subcontracted to it, and does so in accordance with the Agreement (including these Data Processing Terms) and Privacy Shield; and

(ii) if the GDPR applies to the processing of Customer Personal Data, the data protection obligations set out in Article 28(3) of the GDPR are imposed on the Subprocessor; and

(b) remain fully liable for all obligations subcontracted to, and all acts and omissions of, the Subprocessor.

11.4 Opportunity to Object to Subprocessor Changes.

(a) When any new Third Party Subprocessor is engaged during the Term, Google will, at least 30 days before the new Third Party Subprocessor processes any Customer Personal Data, inform Customer of the engagement (including the name and location of the relevant subprocessor and the activities it will perform) by sending an email to the Notification Email Address.

(b) Customer may object to any new Third Party Subprocessor by terminating the Agreement immediately upon written notice to Google, on condition that Customer provides such notice within 90 days of being informed of the engagement of the new Third Party Subprocessor as described in Section 11.4(a). This termination right is Customer’s sole and exclusive remedy if Customer objects to any new Third Party Subprocessor.

12. Contacting Google; Processing Records

12.1 Contacting Google. Customer may contact Google in relation to the exercise of its rights under these Data Processing Terms via the methods described at privacy.google.com/businesses/processorsupport or via such other means as may be provided by Google from time to time.

12.2 Google’s Processing Records. Customer acknowledges that Google is required under the GDPR to: (a) collect and maintain records of certain information, including the name and contact details of each processor and/or controller on behalf of which Google is acting and (if applicable) of such processor’s or controller’s local representative and data protection officer; and (b) make such information available to any Supervisory Authority. Accordingly, Customer will, where requested and as applicable to Customer, provide such information to Google via the user interface of the Processor Services or via such other means as may be provided by Google, and will use such user interface or other means to ensure that all information provided is kept accurate and up-to-date.

13. Liability

If the Agreement is governed by the laws of:

(a) a state of the United States of America, then, notwithstanding anything else in the Agreement, the total liability of either party towards the other party under or in connection with these Data Processing Terms will be limited to the maximum monetary or payment-based amount at which that party’s liability is capped under the Agreement (for clarity, any exclusion of indemnification claims from the Agreement’s limitation of liability will not apply to indemnification claims under the Agreement relating to the European Data Protection Legislation or the Non-European Data Protection Legislation); or

(b) a jurisdiction that is not a state of the United States of America, then the liability of the parties under or in connection with these Data Processing Terms will be subject to the exclusions and limitations of liability in the Agreement.

14. Effect of these Data Processing Terms

If there is any conflict or inconsistency between the terms of the Additional Terms for Non-European Data Protection Legislation, the remainder of these Data Processing Terms and/or the remainder of the Agreement, then the following order of precedence will apply: (a) the Additional Terms for Non-European Data Protection Legislation; (b) the remainder of these Data Processing Terms; and (c) the remainder of the Agreement. Subject to the amendments in these Data Processing Terms, the Agreement remains in full force and effect

15. Changes to these Data Processing Terms

15.1 Changes to URLs. From time to time, Google may change any URL referenced in these Data Processing Terms and the content at any such URL. Google may only change the list of potential Processor Services at privacy.google.com/businesses/adsservices :

(a) to reflect a change to the name of a service;

(b) to add a new service; or

(c) to remove a service where either: (i) all contracts for the provision of that service are terminated; or (ii) Google has Customer’s consent.

15.2 Changes to Data Processing Terms. Google may change these Data Processing Terms if the change:

(a) is expressly permitted by these Data Processing Terms, including as described in Section 15.1 (Changes to URLs);

(b) reflects a change in the name or form of a legal entity;

(c) is required to comply with applicable law, applicable regulation, a court order or guidance issued by a governmental regulator or agency; or

(d) does not: (i) result in a degradation of the overall security of the Processor Services; (ii) expand the scope of, or remove any restrictions on, (x) in the case of the Additional Terms for Non-European Data Protection Legislation, Google’s rights to use or otherwise process the data in scope of the Additional Terms for Non-European Data Protection Legislation or (y) in the case of the remainder of these Data Processing Terms, Google’s processing of Customer Personal Data, as described in Section 5.3 (Google’s Compliance with Instructions); and (iii) otherwise have a material adverse impact on Customer’s rights under these Data Processing Terms, as reasonably determined by Google.

15.3 Notification of Changes. If Google intends to change these Data Processing Terms under Section 15.2(c) or (d), Google will inform Customer at least 30 days (or such shorter period as may be required to comply with applicable law, applicable regulation, a court order or guidance issued by a governmental regulator or agency) before the change will take effect by either: (a) sending an email to the Notification Email Address; or (b) alerting Customer via the user interface for the Processor Services. If Customer objects to any such change, Customer may terminate the Agreement by giving written notice to Google within 90 days of being informed by Google of the change.

Appendix 1: Subject Matter and Details of the Data Processing

Subject Matter

Google’s provision of the Processor Services and any related technical support to Customer.

Duration of the Processing

The Term plus the period from expiry of the Term until deletion of all Customer Personal Data by Google in accordance with these Data Processing Terms.

Nature and Purpose of the Processing

Google will process (including, as applicable to the Processor Services and the instructions described in Section 5.2 (Customer’s Instructions), collecting, recording, organising, structuring, storing, altering, retrieving, using, disclosing, combining, erasing and destroying) Customer Personal Data for the purpose of providing the Processor Services and any related technical support to Customer in accordance with these Data Processing Terms.

Types of Personal Data

Customer Personal Data may include the types of personal data described at privacy.google.com/businesses/adsservices .

Categories of Data Subjects

Customer Personal Data will concern the following categories of data subjects:

  • data subjects about whom Google collects personal data in its provision of the Processor Services; and/or
  • data subjects about whom personal data is transferred to Google in connection with the Processor Services by, at the direction of, or on behalf of Customer.

Depending on the nature of the Processor Services, these data subjects may include individuals: (a) to whom online advertising has been, or will be, directed; (b) who have visited specific websites or applications in respect of which Google provides the Processor Services; and/or (c) who are customers or users of Customer’s products or services.

Appendix 2: Security Measures

As from the Terms Effective Date, Google will implement and maintain the Security Measures set out in this Appendix 2. Google may update or modify such Security Measures from time to time, provided that such updates and modifications do not result in the degradation of the overall security of the Processor Services.

1. Data Centre & Network Security

(a) Data Centres.

Infrastructure. Google maintains geographically distributed data centres. Google stores all production data in physically secure data centres.

Redundancy. Infrastructure systems have been designed to eliminate single points of failure and minimise the impact of anticipated environmental risks. Dual circuits, switches, networks or other necessary devices help provide this redundancy. The Processor Services are designed to allow Google to perform certain types of preventative and corrective maintenance without interruption. All environmental equipment and facilities have documented preventative maintenance procedures that detail the process for and frequency of performance in accordance with the manufacturer’s or internal specifications. Preventative and corrective maintenance of the data centre equipment is scheduled through a standard process according to documented procedures.

Power. The data centre electrical power systems are designed to be redundant and maintainable without impact to continuous operations, 24 hours a day, and 7 days a week. In most cases, a primary as well as an alternate power source, each with equal capacity, is provided for critical infrastructure components in the data centre. Backup power is provided by various mechanisms such as uninterruptible power supply (UPS) batteries, which supply consistently reliable power protection during utility brownouts, blackouts, over voltage, under voltage, and out-of-tolerance frequency conditions. If utility power is interrupted, backup power is designed to provide transitory power to the data centre, at full capacity, for up to 10 minutes until the diesel generator systems take over. The diesel generators are capable of automatically starting up within seconds to provide enough emergency electrical power to run the data centre at full capacity typically for a period of days.

Server Operating Systems. Google servers use hardened operating systems which are customised for the unique server needs of the business. Data is stored using proprietary algorithms to augment data security and redundancy. Google employs a code review process to increase the security of the code used to provide the Processor Services and enhance the security products in production environments.

Businesses Continuity. Google replicates data over multiple systems to help to protect against accidental destruction or loss. Google has designed and regularly plans and tests its business continuity planning/disaster recovery programs.

(b) Networks & Transmission.

Data Transmission. Data centres are typically connected via high-speed private links to provide secure and fast data transfer between data centres. This is designed to prevent data from being read, copied, altered or removed without authorisation during electronic transfer or transport or while being recorded onto data storage media. Google transfers data via Internet standard protocols.

External Attack Surface. Google employs multiple layers of network devices and intrusion detection to protect its external attack surface. Google considers potential attack vectors and incorporates appropriate purpose built technologies into external facing systems.

Intrusion Detection. Intrusion detection is intended to provide insight into ongoing attack activities and provide adequate information to respond to incidents. Google’s intrusion detection involves:

1. Tightly controlling the size and make-up of Google’s attack surface through preventative measures;

2. Employing intelligent detection controls at data entry points; and

3. Employing technologies that automatically remedy certain dangerous situations.

Incident Response. Google monitors a variety of communication channels for security incidents, and Google’s security personnel will react promptly to known incidents.

Encryption Technologies. Google makes HTTPS encryption (also referred to as SSL or TLS connection) available. Google servers support ephemeral elliptic curve Diffie Hellman cryptographic key exchange signed with RSA and ECDSA. These perfect forward secrecy (PFS) methods help protect traffic and minimise the impact of a compromised key, or a cryptographic breakthrough.

2. Access and Site Controls

(a) Site Controls.

On-site Data Centre Security Operation. Google’s data centres maintain an on-site security operation responsible for all physical data centre security functions 24 hours a day, 7 days a week. The on-site security operation personnel monitor Closed Circuit TV (“CCTV”) cameras and all alarm systems. On-site security operation personnel perform internal and external patrols of the data centre regularly.

Data Centre Access Procedures. Google maintains formal access procedures for allowing physical access to the data centres. The data centres are housed in facilities that require electronic card key access, with alarms that are linked to the on-site security operation. All entrants to the data centre are required to identify themselves as well as show proof of identity to on-site security operations. Only authorised employees, contractors and visitors are allowed entry to the data centres. Only authorised employees and contractors are permitted to request electronic card key access to these facilities. Data centre electronic card key access requests must be made in advance and in writing, and require the approval of the requestor’s manager and the data centre director. All other entrants requiring temporary data centre access must: (i) obtain approval in advance from the data centre managers for the specific data centre and internal areas they wish to visit; (ii) sign in at on-site security operations; and (iii) reference an approved data centre access record identifying the individual as approved.

On-site Data Centre Security Devices. Google’s data centres employ an electronic card key and biometric access control system that is linked to a system alarm. The access control system monitors and records each individual’s electronic card key and when they access perimeter doors, shipping and receiving, and other critical areas. Unauthorised activity and failed access attempts are logged by the access control system and investigated, as appropriate. Authorised access throughout the business operations and data centres is restricted based on zones and the individual’s job responsibilities. The fire doors at the data centres are alarmed. CCTV cameras are in operation both inside and outside the data centres. The positioning of the cameras has been designed to cover strategic areas including, among others, the perimeter, doors to the data centre building, and shipping/receiving. On-site security operations personnel manage the CCTV monitoring, recording and control equipment. Secure cables throughout the data centres connect the CCTV equipment. Cameras record on-site via digital video recorders 24 hours a day, 7 days a week. The surveillance records are retained for at least 7 days based on activity.

(b) Access Control.

Infrastructure Security Personnel. Google has, and maintains, a security policy for its personnel, and requires security training as part of the training package for its personnel. Google’s infrastructure security personnel are responsible for the ongoing monitoring of Google’s security infrastructure, the review of the Processor Services, and responding to security incidents.

Access Control and Privilege Management. Customer’s administrators and users must authenticate themselves via a central authentication system or via a single sign on system in order to use the Processor Services.

Internal Data Access Processes and Policies – Access Policy. Google’s internal data access processes and policies are designed to prevent unauthorised persons and/or systems from gaining access to systems used to process personal data. Google aims to design its systems to: (i) only allow authorised persons to access data they are authorised to access; and (ii) ensure that personal data cannot be read, copied, altered or removed without authorisation during processing, use and after recording. The systems are designed to detect any inappropriate access. Google employs a centralised access management system to control personnel access to production servers, and only provides access to a limited number of authorised personnel. LDAP, Kerberos and a proprietary system utilising SSH certificates are designed to provide Google with secure and flexible access mechanisms. These mechanisms are designed to grant only approved access rights to site hosts, logs, data and configuration information. Google requires the use of unique user IDs, strong passwords, two factor authentication and carefully monitored access lists to minimise the potential for unauthorised account use. The granting or modification of access rights is based on: the authorised personnel’s job responsibilities; job duty requirements necessary to perform authorised tasks; and a need to know basis. The granting or modification of access rights must also be in accordance with Google’s internal data access policies and training. Approvals are managed by workflow tools that maintain audit records of all changes. Access to systems is logged to create an audit trail for accountability. Where passwords are employed for authentication (e.g. login to workstations), password policies that follow at least industry standard practices are implemented. These standards include restrictions on password reuse and sufficient password strength.

3. Data

(a) Data Storage, Isolation & Authentication.

Google stores data in a multi-tenant environment on Google-owned servers. Data, the Processor Services database and file system architecture are replicated between multiple geographically dispersed data centres. Google logically isolates each customer’s data. A central authentication system is used across all Processor Services to increase uniform security of data.

(b) Decommissioned Disks and Disk Destruction Guidelines.Certain disks containing data may experience performance issues, errors or hardware failure that lead them to be decommissioned (“Decommissioned Disk”). Every Decommissioned Disk is subject to a series of data destruction processes (the “Data Destruction Guidelines”) before leaving Google’s premises either for reuse or destruction. Decommissioned Disks are erased in a multi-step process and verified complete by at least two independent validators. The erase results are logged by the Decommissioned Disk’s serial number for tracking. Finally, the erased Decommissioned Disk is released to inventory for reuse and redeployment. If, due to hardware failure, the Decommissioned Disk cannot be erased, it is securely stored until it can be destroyed. Each facility is audited regularly to monitor compliance with the Data Destruction Guidelines.

4. Personnel Security

Google personnel are required to conduct themselves in a manner consistent with the company’s guidelines regarding confidentiality, business ethics, appropriate usage, and professional standards. Google conducts reasonably appropriate backgrounds checks to the extent legally permissible and in accordance with applicable local labor law and statutory regulations.

Personnel are required to execute a confidentiality agreement and must acknowledge receipt of, and compliance with, Google’s confidentiality and privacy policies. Personnel are provided with security training. Personnel handling Customer Personal Data are required to complete additional requirements appropriate to their role. Google’s personnel will not process Customer Personal Data without authorisation.

5. Subprocessor Security

Before onboarding Subprocessors, Google conducts an audit of the security and privacy practices of Subprocessors to ensure Subprocessors provide a level of security and privacy appropriate to their access to data and the scope of the services they are engaged to provide. Once Google has assessed the risks presented by the Subprocessor then, subject always to the requirements set out in Section 11.3 (Requirements for Subprocessor Engagement), the Subprocessor is required to enter into appropriate security, confidentiality and privacy contract terms.

Appendix 3: Additional Terms for Non-European Data Protection Legislation

The following Additional Terms for Non-European Data Protection Legislation supplement these Data Processing Terms:

Google Ads Data Processing Terms, Version 1.4

1 January 2020