1. ÁMBITO DE APLICACIÓN
El presente Suplemento de la PIPL al Anexo de Protección de Datos de Aryaka («Suplemento») se aplica al tratamiento de los datos personales de personas físicas ubicadas en China continental («Datos personales de China») en relación con los Servicios de Aryaka. El presente Suplemento aborda las obligaciones específicas de la PIPL y debe leerse conjuntamente con el Anexo de Protección de Datos (DPA), que refleja los principios internacionales de protección de datos coherentes con el marco de la PIPL, a fin de obtener información completa sobre las prácticas de tratamiento de datos de Aryaka. Este Suplemento complementa y forma parte del Anexo de Protección de Datos («DPA»). En caso de conflicto entre el presente Suplemento y el DPA en lo que respecta a los datos personales de China, prevalecerá el presente Suplemento.
Los términos en mayúsculas que no se definan en el presente documento tendrán el significado que se les atribuye en el DPA.
2. DEFINICIONES
A efectos del presente Suplemento, los siguientes términos tendrán el significado que se indica a continuación:
(a) Por «Datos personales de China» se entiende cualquier información relativa a una persona física identificada o identificable que se encuentre en China continental, con exclusión de la información anonimizada, tal y como se define en el artículo 4 de la PIPL.
(b) Por «PIPL» se entiende la Ley de Protección de Datos Personales de la República Popular China (en vigor desde el 1 de noviembre de 2021), con sus modificaciones posteriores.
(c) «RPC» se refiere a la República Popular de China.
(d) El término «Datos personales sensibles» tiene el significado que se le atribuye en el artículo 28 de la PIPL.
(e) Por «parte encargada del tratamiento» se entiende una entidad que trata datos personales en nombre de un responsable del tratamiento y siguiendo sus instrucciones, tal y como se establece en el artículo 21 de la PIPL.
(f) Por «responsable del tratamiento de datos personales» se entiende una organización o persona física que determina de forma autónoma los fines y los medios del tratamiento de datos personales, tal y como se define en el artículo 73 de la PIPL.
3. FUNCIÓN Y FINALIDAD DEL TRATAMIENTO
3.1 Cuando Aryaka trata datos personales de China en relación con la prestación de servicios a sus clientes, Aryaka actúa como parte encargada del tratamiento (tal y como se define en la sección 2) en nombre del cliente, que es el responsable del tratamiento de los datos personales. Aryaka trata los datos personales de China con el único fin de prestar, supervisar y dar soporte a los servicios contratados, y según las instrucciones del cliente de conformidad con el Contrato y con las instrucciones documentadas en el DPA. Aryaka no tratará los datos personales de China más allá de los fines, métodos o alcance acordados en el Contrato y en el DPA.
3.2 El Cliente, en su calidad de encargado del tratamiento de datos personales, deberá garantizar que se establezca una base jurídica válida para el tratamiento de los datos personales de China, incluida la obtención de cualquier consentimiento exigido por la PIPL. Cuando la PIPL exija un consentimiento específico para determinadas actividades de tratamiento (como las transferencias transfronterizas o el tratamiento de datos personales sensibles), el Cliente deberá obtener dicho consentimiento antes de facilitar los datos personales de China pertinentes a Aryaka.
4. INFRAESTRUCTURAS DE INFORMACIÓN CRÍTICAS
Aryaka ofrece servicios globales de red y seguridad que permiten la conectividad empresarial entre distintas regiones, incluida la China continental. En virtud de la Ley de Ciberseguridad de la República Popular China, la condición de Operador de Infraestructuras de Información Críticas («CIIO») se aplica a los operadores de sectores específicamente designados. Los servicios de Aryaka no entran dentro de los sectores designados especificados y Aryaka no trata información personal sensible tal y como se define en la PIPL. Por consiguiente, Aryaka no está sujeta a los requisitos de localización de datos específicos para los CIIO establecidos en la PIPL ni en la Ley de Ciberseguridad de la República Popular China.
5. TRANSFERENCIAS TRANSFRONTERIZAS
5.1 En el marco de la prestación de sus servicios, Aryaka podrá tratar datos personales de China que se transfieran fuera de China continental con fines de prestación de servicios, supervisión y asistencia técnica.
5.2 A fecha de entrada en vigor del presente Suplemento, el volumen de datos personales de China tratados por Aryaka en relación con sus Servicios no alcanza los umbrales que exigen un mecanismo formal de transferencia transfronteriza de datos con arreglo a las Disposiciones sobre la promoción y regulación de los flujos transfronterizos de datos (en vigor desde el 22 de marzo de 2024). Por lo tanto, las actividades de tratamiento actuales de Aryaka, tal y como se estipulan en el DPA, cumplen los requisitos de la transferencia transfronteriza simplificada permitida por la legislación de la República Popular China.
5.3 Aryaka supervisará de forma continua los volúmenes de datos pertinentes y hará todo lo que sea comercialmente razonable para implantar un mecanismo formal de transferencia transfronteriza de datos, tal y como exige la legislación aplicable de la República Popular China, en el momento en que se alcancen los umbrales pertinentes.
6. EVALUACIÓN DEL IMPACTO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES
Previa solicitud razonable del Cliente, Aryaka facilitará la información que sea razonablemente necesaria para respaldar la obligación del Cliente de llevar a cabo una evaluación de impacto sobre la protección de datos personales, de conformidad con el artículo 55 de la PIPL, en relación con el tratamiento encomendado de datos personales de China.