Términos de privacidad y seguridad

Aspectos Generales

Los Términos de Seguridad y Privacidad se encontraban anteriormente en el Anexo 1 a los Términos de los Servicios en Línea.

Las partes aceptan que el presente Addendum de Protección de Datos o DPA (definido en el Glosario) establece las obligaciones de las partes con respecto al procesamiento y la seguridad de los Datos del Cliente, Datos de Servicios Profesionales y los Datos Personales por parte de los Productos. El Addendum de Protección de Datos se puede descargar aquí https://aka.ms/DPA. En caso de que se produzca cualquier conflicto o incoherencia entre los el Términos del DPA y cualquiera de los términos del Contrato de licencias del Cliente (incluidos estos términos), prevalecerán los Términos del DPA.

Excepciones al DPA

Los Términos de Privacidad y Seguridad que aparecen en la tabla siguiente modifican o complementan el DPA para cada uno de los Productos identificados.

Productos de Software excluidos del DPA

Salvo lo dispuesto en los Términos Específicos del Producto, los términos del DPA no se aplican a: Características basadas en Internet en Productos de Software, Sistema Operativo de Sobremesa Windows, Windows Server y estos Productos de Software como parte de otros Productos. Cada uno de estos Productos se rige por los términos de privacidad y seguridad estipulados en los Términos Específicos del Producto correspondientes.

Productos que no son de Microsoft

El uso que el Cliente realice de Productos que no son de Microsoft (concepto que se define en los Términos de Licencia Universales para los Servicios en Línea) se regirá por otros términos independientes, que incluyen términos de privacidad y seguridad diferentes.

Exclusiones geográficas de los términos de los DPA

Para los servicios en línea de Dynamics 365 y Power Platform, los términos específicos de los DPA como se indica en el Apéndice A que establece que "Microsoft almacena copias de los Datos del Cliente y los procedimientos de recuperación de datos en un lugar distinto de donde esté ubicado el equipo informático principal que procesa los Datos del Cliente". no se aplican en las siguientes áreas geográficas: Emiratos Árabes Unidos y Sudáfrica.

Servicios en Línea Principales

El término "Servicios Online Principales" solo se aplica a los servicios que se encuentran en la tabla a continuación, y excluye cualquier Vista Previa. 

Prácticas y Políticas de Seguridad para los Servicios en Línea Principales.

Además de las prácticas y políticas de seguridad para los Servicios en Línea del DPA, cada Servicio en Línea Principal también cumple con los estándares y marcos de control que se muestran en la siguiente tabla e implementa y mantiene las medidas de seguridad establecidas en el Apéndice A del DPA para la protección de los Datos del Cliente.

*El alcance actual se detalla en el informe de auditoría y se resume en el Centro de Confianza de Microsoft. 

Ubicación de Datos del Cliente en Reposo para los Servicios en Línea Principales

Para los Servicios Online Principales, Microsoft almacenará los Datos del Cliente en reposo dentro de determinadas áreas geográficas importantes (cada una, una Geoárea) como se indica a continuación excepto que se indique los contrario en los términos específicos del Servicio en Línea:

• Servicios de Office 365. Si el Cliente aprovisiona su inquilino en Australia, Brasil, Canadá, la Unión Europea, Francia, Alemania, India, Japón, Noruega, Catar, Sudáfrica, Corea del Sur, Suecia, Suiza, el Reino Unido, Emiratos Árabes Unidos o los Estados Unidos, Microsoft almacenará los siguientes Datos del Cliente en reposo únicamente dentro de esa Geoárea: (1) el contenido del buzón de Exchange Online (cuerpo del correo electrónico, entradas del calendario y contenido de los archivos adjuntos del correo electrónico), (2) el contenido del sitio de SharePoint Online y los archivos almacenados en dicho sitio, (3) los archivos cargados en OneDrive para la Empresa, (4) los mensajes de chat de Microsoft Teams (incluidos los mensajes privados, los mensajes de canal, los mensajes de reuniones y las imágenes utilizadas en los chats) y, para los clientes que utilicen Microsoft Stream (Classic) (en SharePoint), las grabaciones de reuniones, y (5) cualquier contenido almacenado de interacciones con Microsoft 365 Copilot en la medida en que no esté incluido en los compromisos anteriores. Si el Cliente compra una suscripción a Residencia de Datos Avanzada, Microsoft almacenará ciertos Datos del Cliente en reposo en la Geoárea correspondiente de acuerdo con esta sección y la sección "Compromisos avanzados de Data Residency" de la documentación del producto disponible en https://aka.ms/adroverview. 
• Servicios en Línea de Microsoft Intune. Cuando el Cliente aprovisiona una cuenta de tenant de Microsoft Intune para que se implemente en una Geoárea disponible, entonces, para ese servicio, Microsoft almacenará los Datos del Cliente en reposo dentro de esa Geoárea específica, salvo según se especifique en el Centro de Confianza de Microsoft Intune.
• Microsoft Power Platform Core Services. Cuando el Cliente presta un Servicio Básico de Power Platform para que se implemente en una Geoárea disponible, entonces, para ese servicio, Microsoft almacenará los Datos del Cliente en reposo dentro de esa Geoárea específica, salvo según se describe en el Centro de Confianza de Microsoft Power Platform.
• Microsoft Azure Core Services. Si el Cliente configura un concreto servicio para su despliegue dentro de una Geoárea, entonces, para ese servicio, Microsoft almacenará los Datos del Cliente en reposo dentro de la Geoárea especificada. Determinados servicios podrían impedir que el Cliente configure la implementación en una Geoárea específica del centro de datos y podrían almacenar copias de seguridad en otras ubicaciones. Consulte el Centro de Confianza de Microsoft (el que Microsoft puede actualizar cada cierto tiempo, pero al que Microsoft no agregará excepciones con respecto a los servicios existentes en el lanzamiento general) para obtener más detalles.
• Microsoft 365 Copilot para ventas.  Cuando Microsoft 365 Copilot genera Datos de Clientes y si un Cliente presta un Dynamics 365 Core Service para que se implemente en una Geoárea disponible, entonces, Microsoft almacenará los Datos de Clientes en reposo dentro de esa Geoárea específica, salvo según se describe en el Centro de Confianza de Microsoft Dynamics 365. Cuando Microsoft 365 Copilot for Sales genera Datos de Clientes y un Cliente usa un sistema de administración de relaciones con clientes de terceros, Microsoft 365 Copilot para ventas almacena esos Datos de Clientes en reposo de acuerdo con el lugar donde el cliente aprovisionó su inquilino, como se describe anteriormente, en los Servicios de Office 365. Los Datos de Clientes subyacentes asociados con los Servicios de Office 365 y Microsoft Dynamics 365 (y no generados por Microsoft 365 Copilot para ventas) siguen sujetos a las declaraciones respectivas anteriores para esos servicios.
• Microsoft Defender for Cloud Apps. Si el Cliente aprovisiona su inquilino en la Unión Europea o los Estados Unidos, Microsoft almacenará los Datos del Cliente en reposo únicamente dentro de esa Geoárea, salvo según se describe en el Centro de Confianza de Microsoft Defender for Cloud Apps.
• Microsoft Dynamics 365 Core Services. Cuando el Cliente presta un Dynamics 365 Core Service para que se implemente en una Geoárea disponible, entonces, para ese servicio, Microsoft almacenará los Datos del Cliente en reposo dentro de esa Geoárea específica, salvo según se describe en el Centro de Confianza de Microsoft Dynamics 365.
• Servicios de Microsoft Defender para punto de conexión. Cuando el Cliente aprovisiona una cuenta de inquilino de Microsoft Defender para punto de conexión para que se implemente en una Geoárea disponible, entonces, para ese servicio, Microsoft almacenará los Datos del Cliente en reposo dentro de esa Geoárea específica, salvo según se especifique en el Centro de Confianza de Microsoft Defender para punto de conexión.
• Microsoft Defender for Identity. Cuando el Cliente aprovisiona una cuenta de inquilino de Microsoft Defender for Identity para que se implemente en una Geoárea disponible, entonces, para ese servicio, Microsoft almacenará los Datos del Cliente en reposo dentro de esa Geoárea específica, salvo según se especifique en el Centro de Confianza de Microsoft Defender for Identity.
• Microsoft Defender XDR. Cuando el Cliente aprovisiona un inquilino de Microsoft Defender XDR para que se implemente en una Geoárea disponible, entonces, para ese servicio, Microsoft almacenará los Datos del Cliente en reposo dentro de esa Geoárea específica, salvo según se especifique en el Centro de Confianza de Microsoft Defender XDR.
• Windows 365. Cuando se implementa un inquilino de Windows 365 dentro de una Geoárea disponible, para ese inquilino, Microsoft almacenará los Datos del Cliente en reposo dentro de esa Geoárea especificada. Si el Cliente aprovisiona PC en la nube Windows 365 dentro del mismo inquilino para distintas Geoáreas disponibles, para cada PC en la nube, Microsoft almacenará los Datos del Cliente de PC en la nube en reposo dentro de esa Geoárea especificada.

Servicios de EU Data Boundary

El término "EU Data Boundary" se refiere a los equipos, el entorno informático y los centros de datos físicos de Microsoft ubicados únicamente en la Unión Europea (UE) y la Asociación Europea de Libre Comercio (AELC). El término "Servicios de EU Data Boundary" solo se aplica a los Servicios en Línea que se encuentran en la tabla siguiente, y excluye cualquier Vista Previa. 

Ubicación de Datos de Cliente, Datos Personales y Datos de Servicios Profesionales para Servicios de EU Data Boundary

Para los Servicios correspondientes al plan EU Data Boundary, Microsoft almacenará y tratará los Datos del Cliente y los Datos Personales y almacenará los Datos de Servicios Profesionales en reposo dentro del EU Data Boundary, como se detalla a continuación.

El Cliente debe configurar los servicios de EU Data Boundary de la siguiente manera:

• Para  Azure, el Cliente debe implementar el servicio en una región de Azure ubicada dentro del EU Data Boundary. Consulte Residencia de Datos en Azure (https://azure.microsoft.com/explore/global-infrastructure/data-residency) para obtener más información. Para los servicios que no permiten la implementación en una región de Azure específica, el Cliente debe seguir las instrucciones en Configuración de servicios no regionales de Azure para EU Data Boundary (https://learn.microsoft.com/privacy/eudb/eu-data-boundary-configure-azure-nonregional-services). Para almacenar los Datos de Servicios Profesionales en el EU Data Boundary para Azure, el Cliente debe configurar Azure Resource Manager para el EU Data Boundary como se describe en https://learn.microsoft.com/privacy/eudb/eu-data-boundary-configure-azure-nonregional-services.
• Para Dynamics 365 y Power Platform, si el Cliente proporciona a un inquilino una dirección de facturación en la UE o EFTA, ese inquilino estará dentro del ámbito del EU Data Boundary si el Cliente también crea todos sus entornos dentro de un área geográfica que esté dentro del EU Data Boundary.
• Para Microsoft 365, si el Cliente proporciona un inquilino en la UE o EFTA, ese inquilino estará dentro del alcance del EU Data Boundary, excepto en el caso de los inquilinos en los que el Cliente también haya comprado el complemento Multi-Geo Capabilities de Microsoft 365, que permite a los clientes expandir la presencia de inquilinos de Microsoft 365 a múltiples regiones geográficas o países (https://learn.microsoft.com/microsoft-365/enterprise/microsoft-365-multi-geo?view=o365-worldwide).
• Para los clientes de Microsoft 365 Copilot for Sales que usan Dynamics 365 y, donde Microsoft 365 Copilot for Sales genera Datos de Clientes, las declaraciones anteriores con respecto a Dynamics 365 y Power Platform se aplican al almacenamiento y tratamiento de dichos Datos de Clientes. Para los Clientes de Microsoft 365 Copilot for Sales que usan sistemas de gestión de relaciones con clientes de terceros y donde Microsoft 365 Copilot for Sales genera Datos de Clientes, las declaraciones anteriores con respecto a Microsoft 365 se aplican al almacenamiento y tratamiento de esos Datos de Clientes. Los Datos de Clientes y los Datos Personales subyacentes asociados con Microsoft 365, Dynamics 365 y Power Platform (y no generados por Microsoft 365 Copilot para ventas) siguen sujetos a las respectivas declaraciones anteriores para Microsoft 365, Dynamics 365 y Power Platform.

El uso de los Servicios de EU Data Boundary puede dar lugar a transferencias limitadas de los Datos del Cliente, los Datos Personales o los Datos de Servicios Profesionales fuera del EU Data Boundary, como se establece a continuación y se detalla en la documentación de transparencia para el EU Data Boundary que se encuentra en https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-learn o cualquier ubicación que la reemplace posteriormente. Dichas transferencias se realizarán de acuerdo con el Addendum de Protección de Datos y los Términos de Productos.

• Acceso Remoto. El personal de Microsoft ubicado fuera del EU Data Boundary puede acceder de forma remota a los sistemas de procesamiento de datos en el EU Data Boundary según sea necesario para operar, solucionar problemas, ofrecer soporte técnico y garantizar los Servicios de EU Data Boundary.
• Transferencias Iniciadas por el Cliente. Los clientes pueden iniciar transferencias fuera del EU Data Boundary, ya sea accediendo a los Servicios de EU Data Boundary desde ubicaciones fuera del EU Data Boundary, enviando un correo electrónico a un destinatario ubicado fuera del EU Data Boundary o usando los Servicios de EU Data Boundary en combinación con otros servicios que no estén en el EU Data Boundary.
• Protección de los Clientes. Microsoft transfiere datos limitados fuera del EU Data Boundary según sea necesario para detectar y proteger a los Clientes contra amenazas de seguridad.
• Datos de Directorio. Microsoft puede replicar datos de directorio limitados de Microsoft Entra desde Microsoft Entra ID (incluidos el nombre de usuario y la dirección de correo electrónico) fuera del EU Data Boundary para proporcionar el servicio.
• Tránsito de Red. Para reducir la latencia de enrutamiento y mantener la resiliencia del enrutamiento, Microsoft usa rutas de red variables que ocasionalmente pueden dar lugar al tránsito de datos fuera del EU Data Boundary. 
• Calidad de Servicios y Plataformas, Resiliencia y Administración. Cuando sea necesario para controlar y mantener la calidad del servicio o para garantizar la exactitud de las medidas estadísticas del uso o rendimiento del servicio, los Datos Personales y los Datos de Servicios Profesionales seudonimizados pueden transferirse fuera de EU Data Boundary.
• Transferencias Específicas del Servicio. Consulte la documentación de transparencia que se ha mencionado anteriormente para obtener información sobre las transferencias aplicables a actividades de soporte y Servicios de EU Data Boundary específicos.