Facebook-f Instagram Linkedin-in Youtube
Adopta un Deseo
Adopta un deseo
¡Únete! Run For Wishes

Política de protección de datos

ESTE ACUERDO se celebra el 12 de junio de 2025

ESTE ACUERDO se celebra el 12 de junio de 2025

ENTRE:

  1. Make-A-Wish Foundation International, una entidad benéfica sin fines de lucro registrada en el estado de Arizona, Estados Unidos, cuya oficina registrada se encuentra en 1702 East Highland Avenue, Suite 305, Phoenix, Arizona 85016, EE.UU., y cuya oficina principal de operaciones se encuentra en Frits Spitsstraat 1, 1217 WC, Hilversum, Países Bajos (la “Fundación”); y
  2. cada una de las Afiliadas listadas en el Anexo 2 que se adhieran a este Acuerdo mediante su firma (junto con cualquier otra Afiliada Adicional que se una a este Acuerdo mediante la firma de un Acuerdo de Adhesión) (colectivamente, las “Afiliadas”);

Cada una de estas partes contratantes se denominará individualmente como la “Parte” y colectivamente como las “Partes”.

ANTECEDENTES

  1. La Fundación es el licenciatario principal de la marca Make-A-Wish y otras marcas relacionadas y derechos asociados, y está autorizada y es responsable de otorgar licencias para las operaciones de Make-A-Wish en todo el mundo (excluyendo los Estados Unidos y sus territorios). Las operaciones de Make-A-Wish se llevan a cabo exclusivamente con el propósito benéfico (en adelante, el “Propósito Benéfico”) de hacer realidad deseos que cambian la vida de niños con enfermedades críticas (en adelante, “Deseos” y “Niños Deseo”, respectivamente).
  2. Una red de Afiliadas y terceros subordinados llevan a cabo las operaciones de Make-A-Wish en todo el mundo. Cada Afiliada es una entidad independiente a la que la Fundación le ha otorgado derechos en un país o territorio para operar bajo las marcas Make-A-Wish con el Propósito Benéfico.

TRATAMIENTO DE DATOS

  1. En el desarrollo de sus actividades, cada Afiliada o tercero subordinado recopila y procesa cantidades significativas de Datos Personales. Estos datos pueden incluir, entre otros, los de Niños Deseo, así como patrocinadores, donantes, voluntarios y empleados de esa Afiliada. También incluye el tratamiento de datos de salud de los Niños Deseo.
  2. Ocasionalmente, las Afiliadas u otros terceros pueden necesitar compartir ciertos Datos Personales. Por ejemplo, una Afiliada (actuando como la Afiliada Originaria) o cualquier tercero puede solicitar la ayuda o participación de otra Afiliada (actuando como la Afiliada Asistente), de la Fundación o de una parte no vinculada a este Acuerdo para cumplir un Deseo específico. Esto puede incluir realizar investigaciones, utilizar contactos, hacer presentaciones y:
    1. facilitar los arreglos de viaje, alojamiento y médicos relacionados con el Deseo en el país o territorio de la Afiliada (para estos fines, la Afiliada Originaria puede compartir Datos Personales relacionados con ese Deseo con el tercero o, si corresponde, con una Afiliada Asistente);
    2. agrupar datos de recaudación de fondos (incluidos datos personales de donantes, patrocinadores y voluntarios), lo que puede incluir bases de datos centrales relacionadas con eventos de mercadeo y materiales promocionales, o bases de datos centrales de invitados u otros asistentes a dichos eventos, así como otras bases de datos centrales de mercadeo, voluntariado o posibles voluntarios (que pueden incluir informes de verificación de antecedentes policiales realizados a voluntarios conforme a la ley local); y
    3. compartir ciertos Datos Personales con la Fundación con fines de mercadeo o medios, o para promover las operaciones de Make-A-Wish y su Propósito Benéfico.
  3. Cada Afiliada o tercero subordinado debe entender y respetar los principios básicos de tratamiento y los requisitos establecidos por las Leyes de Protección de Datos, independientemente de su país o ubicación, que incluyen: licitud, equidad y transparencia; limitación de propósito mediante el consentimiento; minimización de datos; exactitud y actualización; limitación del almacenamiento y eliminación; integridad y confidencialidad (seguridad); y responsabilidad (rendición de cuentas).

TRANSFERENCIAS DE DATOS

  1. Ocasionalmente, las Partes pueden necesitar transferir ciertos Datos Personales a terceros países en el desarrollo de sus actividades. Conforme al RGPD (Reglamento General de Protección de Datos), en ausencia de una Decisión de Adecuación, un responsable o encargado del tratamiento solo podrá transferir Datos Personales a un país fuera del EEA si ha proporcionado Garantías Adecuadas y siempre que existan derechos exigibles y recursos legales efectivos disponibles para los titulares de los datos. Dichas Garantías Adecuadas pueden proporcionarse mediante cláusulas contractuales tipo adoptadas por la Comisión Europea (las “Cláusulas Contractuales Tipo” o “SCCs”). Las SCCs deben ser utilizadas por cada Parte (como responsable o encargado) en EEA o que esté sujeta al RGPD para transferir Datos Personales a otra Parte (responsable o encargado) en un país no aprobado fuera del EEA que no esté sujeto al RGPD.

DELEGADOS DE PROTECCIÓN DE DATOS

  1. Bajo el RGPD, en ciertas circunstancias, las organizaciones deben nombrar un Delegado de Protección de Datos (“DPO”) para supervisar su cumplimiento con las Leyes de Protección de Datos y actuar como punto de contacto para los titulares de los datos y la autoridad supervisora correspondiente. Esto incluye circunstancias en las que sus actividades principales implican el tratamiento de categorías especiales de datos, como los datos de salud, a gran escala. Las organizaciones también pueden nombrar un DPO de forma voluntaria. Independientemente de si están obligadas o no a hacerlo por la ley, cada Afiliada debe designar y mantener un DPO durante la vigencia de este Acuerdo.

COMPROMISOS DE LAS AFILIADAS

  1. Cada una de las Afiliadas, a partir de la Fecha de Inicio, deberá observar, cumplir y estar sujeta a las disposiciones de este Acuerdo. Cada Afiliada se compromete a garantizar que sus terceros subordinados cumplan con los principios y requisitos establecidos en este Acuerdo.

ACUERDO DE ADHESIÓN

  1. Este Acuerdo también se aplicará a todas las nuevas Afiliadas que sean nombradas formalmente por la Fundación después de la fecha de este Acuerdo (“Afiliada Adicional”). En consecuencia, la Fundación requerirá que cada una de estas nuevas Afiliadas firme un acuerdo en el formato establecido en el Anexo 7 (“Acuerdo de Adhesión”).

LAS PARTES ACUERDAN LO SIGUIENTE:

1. INTERPRETACIÓN

  1. En este Acuerdo, a menos que el contexto indique lo contrario:
    1. Las palabras y frases tendrán el significado establecido en el Anexo 1;
    2. Las palabras en singular incluirán también el plural y viceversa; y
    3. Toda referencia a una disposición legal se entenderá como una referencia a dicha disposición modificada o promulgada nuevamente de tiempo en tiempo; y toda referencia a una disposición legal incluirá también cualquier reglamentación secundaria emitida bajo dicha disposición.
  2. Cualquier palabra que siga a los términos incluyendo, incluye, en particular, por ejemplo o cualquier expresión similar se interpretará como ilustrativa y no limitará el sentido de las palabras, descripción, definición, frase o término que las precede.
  3. En caso de conflicto o ambigüedad entre cualquiera de las disposiciones de este Acuerdo y las disposiciones de las Cláusulas Contractuales Tipo (SCCs), prevalecerán las disposiciones de las SCCs.

CAPÍTULO I – TRATAMIENTO DE DATOS

2. CUMPLIMIENTO DE LAS LEYES DE PROTECCIÓN DE DATOS

  1. Las Partes cumplirán con todos los principios y requisitos aplicables de las Leyes de Protección de Datos. Las Partes reconocen que este Acuerdo es complementario y no exime, elimina ni reemplaza ninguna otra obligación establecida en las Leyes de Protección de Datos o en cualquier legislación o reglamento nacional aplicable a las Partes.
  2. A los efectos de las Leyes de Protección de Datos, cuando una Parte (la “Parte Receptora”) procese Datos Personales proporcionados por otra Parte (la “Parte Transmisora”) en el desarrollo de sus actividades, la Parte Receptora podrá actuar como encargado del tratamiento en nombre de la Parte Transmisora o como responsable (o corresponsable) del tratamiento por derecho propio, dependiendo de la naturaleza de dichas actividades.
  3. Para evitar dudas, en los siguientes casos:
    1. Cuando la Parte Receptora procese Datos Personales proporcionados por la Parte Transmisora con el fin de ayudar en un Deseo específico o para llevar a cabo iniciativas o campañas de mercadeo utilizando bases de datos centralizadas de recaudación de fondos, marketing o voluntariado, se considerará que la Parte Receptora actúa como:
      • (a) responsable del tratamiento, cuando determine cómo y por qué se procesan dichos datos; y/o
      • (b) encargado del tratamiento, cuando solo procese dichos datos conforme a las instrucciones de la Parte Transmisora.
    2. Cuando la Fundación (como Parte Receptora) procese Datos Personales proporcionados por una Afiliada (como Parte Transmisora) para sus propios fines de mercadeo, medios o promoción, se considerará que actúa como responsable del tratamiento respecto de dichos Datos Personales.
  4. La Parte Transmisora conservará el control de cualquier Dato Personal que recopile y seguirá siendo responsable de cumplir con las Leyes de Protección de Datos que le sean aplicables, incluyendo la entrega de los avisos necesarios, la obtención de los consentimientos requeridos y cualquier instrucción de tratamiento que proporcione a la Parte Receptora.
  5. Los Datos Personales recopilados por una Parte en el desarrollo de sus actividades conforme a este Acuerdo se describen con mayor detalle en el Anexo 3, incluyendo las categorías de titulares de datos y la naturaleza, alcance, duración y finalidades del tratamiento bajo este Acuerdo.

3. TRATAMIENTO DE DATOS: PARTE RECEPTORA COMO ENCARGADO DEL TRATAMIENTO

En la medida en que la Parte Receptora sea considerada un encargado del tratamiento bajo las Leyes de Protección de Datos en relación con el tratamiento de Datos Personales (de los cuales la Parte Transmisora es responsable del tratamiento), se considerará que aplica el Anexo 4.

4. TRATAMIENTO DE DATOS: PARTE TRANSMISORA Y PARTE RECEPTORA COMO CORRESPONSABLES

En la medida en que la Parte Transmisora y la Parte Receptora sean consideradas corresponsables del tratamiento bajo las Leyes de Protección de Datos en relación con el tratamiento de Datos Personales, se considerará que aplica el Anexo 5.

CAPÍTULO II – TRANSFERENCIAS DE DATOS

5. CLÁUSULAS CONTRACTUALES TIPO (SCCs)

  1. Este Capítulo II aplica cuando una Parte (como responsable o encargado del tratamiento) ubicada en el EEE o Suiza, o fuera del EEE pero sujeta al RGPD (el “Exportador de Datos”), divulga mediante transmisión u otro medio, o pone a disposición Datos Personales a otra Parte (responsable o encargado del tratamiento de datos) que se encuentra en un País No Aprobado y que no está sujeta al RGPD (el “Importador de Datos”). Cada una de estas transferencias se denominará una “Exportación de Datos”.
  2. Cualquier Exportación de Datos entre las Partes se regirá por las SCCs (y además de las cláusulas generales, las Partes, como responsables y encargados, seleccionarán el módulo aplicable a su situación, para adaptar sus obligaciones conforme a las SCCs de acuerdo con su rol y responsabilidades en relación con el tratamiento de datos en cuestión).
  3. Las Partes que suscriban las SCCs deben llevar a cabo una Evaluación del Impacto de la Transferencia de Datos (“Evaluación del Impacto de la Transferencia de Datos”), documentando las circunstancias específicas de su transferencia, las leyes en el país de destino y las salvaguardas adicionales (si son necesarias) que se implementen para proteger los Datos Personales.
  4. Las SCCs deben cumplirse además del cumplimiento general de las Leyes de Protección de Datos y de cualquier ley o reglamento nacional de privacidad y protección de datos aplicable.

CAPÍTULO III – COMPROMISOS DE LAS AFILIADAS

6. COMPROMISOS GENERALES

  1. Cada Afiliada deberá cumplir con:
    1. todas las leyes y regulaciones nacionales de privacidad y protección de datos que le sean aplicables, como se listan en el World Privacy Forum (incluidos los requisitos de presentación o cualquier otro requerimiento);
    2. todas las obligaciones adicionales bajo las leyes y regulaciones de protección de datos aplicables (incluidas las Leyes de Protección de Datos);
    3. todas las directrices, instrucciones y orientaciones adicionales emitidas por la Fundación como se menciona en el Capítulo IV.

7. RECOLECCIÓN DE DATOS PERSONALES

  1. Los requisitos de esta cláusula 7 se aplican con respecto a los Datos Personales recopilados por cada Afiliada o tercero subordinado de los titulares de datos (incluidos los Participantes de Deseos) a quienes se prestan servicios en el marco de sus actividades comerciales.
  2. Proporcionar información a los titulares de los datos
  3. Cada Afiliada o tercero subordinado proporcionará información clara y suficiente a sus titulares de datos para permitirles entender cómo se procesarán sus Datos Personales, incluyendo las circunstancias y motivos por los cuales dichos datos serán compartidos con la Fundación, otras Afiliadas y terceros.
  4. Obtención de consentimientos de los titulares de los datos
  5. Sin perjuicio de lo dispuesto en la cláusula 2.4, cada Afiliada o tercero subordinado será responsable de obtener los consentimientos necesarios de los titulares de los datos para el tratamiento (y tratamiento posterior por parte de la Fundación, cualquier otra Afiliada y/o cualquier tercero) de sus Datos Personales.
  6. Para cualquier Niño Deseo o Participante de Deseo menor de 16 años (o, si corresponde, otra edad especificada en sus leyes nacionales de protección de datos y privacidad), la Afiliada Originaria deberá:
    1. asegurarse de que el consentimiento para el tratamiento de Datos Personales relacionados con el Niño Deseo o Participante de Deseo de acuerdo con este Acuerdo sea otorgado o autorizado por el titular de la patria potestad o responsabilidad parental (“Consentimiento Parental”) antes de recopilar dichos Datos Personales;
    2. no compartir ningún Dato Personal del Niño Deseo o Participante sin dicho Consentimiento Parental con la Fundación, ninguna Afiliada Asistente ni ningún tercero;
    3. notificar de inmediato a cualquier parte con la que la Afiliada Originaria haya compartido tales Datos Personales si se retira el Consentimiento Parental.
    En todos los casos, el Consentimiento Parental debe otorgarse mediante una declaración o una acción afirmativa clara del titular de la responsabilidad parental y debe constituir una manifestación libre, específica, informada e inequívoca de su voluntad.
  7. Todos los Datos Personales recopilados se utilizarán de acuerdo con el consentimiento otorgado, durante el tiempo que dure la relación. Todos los Datos Personales sensibles relacionados con el Deseo respectivo serán eliminados según lo acordado en el consentimiento.
  8. La Fundación podrá, a su entera discreción, requerir una revisión o certificación que confirme que dichos requisitos de privacidad están siendo cumplidos por cualquier Afiliada o tercero subordinado, conforme a https://gdpr.eu/article-28-processor/, y esto podrá incluir cualquiera de los siguientes: evaluaciones de riesgos y autocertificaciones de Afiliadas/terceros, auditorías, inspecciones periódicas, pruebas aleatorias, encuestas de cumplimiento respaldadas por documentación, evidencia de adhesión a códigos de conducta aprobados y evidencia de adhesión a mecanismos de certificación aprobados.

8. POLÍTICAS Y PRINCIPIOS

  1. Cada Afiliada deberá documentar y aplicar de inmediato:
    1. una política de privacidad escrita respecto al tratamiento de Datos Personales relacionados con Participantes (incluidos Niños Deseo), donantes, patrocinadores y voluntarios de dicha Afiliada (“Política de Privacidad”);
    2. una política escrita que describa los tiempos estándar de retención para las diferentes categorías de datos que procesa (“Política de Retención de Documentos”);
    3. una política escrita que describa el procedimiento a seguir si se sospecha razonablemente o se tiene conocimiento de una violación de datos personales real, potencial o inminente (“Política de Violación de Datos y Plan de Respuesta”);
    4. una política escrita que describa las medidas de seguridad adoptadas por esa Afiliada para proteger la confidencialidad, integridad y disponibilidad de sus Datos Personales y los métodos para sanitizar o destruir medios digitales y físicos, de modo que la recuperación de los datos sea técnicamente inviable (“Política de Sanitización de Datos”);
    5. una política escrita que proporcione directrices para el uso responsable y aceptable de la inteligencia artificial dentro de esa Afiliada (“Política de IA”).
  2. Cada Afiliada deberá adherirse a las políticas relevantes de la Fundación, establecidas en el Módulo del Acuerdo Marco de Datos.
  3. A menos que la Fundación acuerde lo contrario por escrito, las políticas de privacidad mencionadas en las cláusulas 8.1.1 a 8.1.5 deberán:
    1. ser consistentes con las políticas relevantes de la Fundación mencionadas en la cláusula 8.2;
    2. alcanzar un estándar equivalente de cumplimiento con las Leyes de Protección de Datos, y en todos los casos cumplir con cualquier requisito de las leyes o regulaciones nacionales de privacidad y protección de datos del país o territorio aplicable.
  4. Todos los principios especificados en este Acuerdo, incluidos los principios de tratamiento establecidos en el Anexo 6 y los principios y requisitos relacionados con las Evaluaciones de Impacto de Protección de Datos (DPIAs), establecidos en el documento: Data Protection Impact Assessment Process , deberán seguirse sin excepción, salvo que exista una circunstancia crítica que justifique una desviación. Dicha desviación no podrá violar ninguna ley o reglamento aplicable.

CAPÍTULO IV – INSTRUCCIONES DE LA FUNDACIÓN

9. INSTRUCCIONES DE LA FUNDACIÓN

  1. La Fundación proporcionará periódicamente orientación, instrucciones y directrices a las Afiliadas respecto a:
    1. los principios, procedimientos, procesos, estándares y políticas que deben aplicarse y seguirse para la recolección, almacenamiento y demás tratamiento de Datos Personales, así como para la carga, descarga y acceso compartido a dichos datos mediante los Sistemas de Make-A-Wish (incluido lo relacionado con cualquier Exportación de Datos);
    2. las medidas técnicas y organizativas internas (incluidos métodos y herramientas de ciberseguridad que deben ser implementados por cada Afiliada);
    3. la obtención de consentimientos de los titulares de los datos en relación con los Datos Personales para garantizar un tratamiento justo y lícito de dichos datos;
    4. la comunicación y aplicación de los principios y requisitos especificados en este Acuerdo a cualquier tercero subordinado contratado para operaciones de la Fundación.

CAPÍTULO V – DESIGNACIÓN DEL DPO

10. DESIGNACIÓN DE UN DPO

  1. Cada Afiliada designará un Delegado de Protección de Datos (DPO) sobre la base de cualidades profesionales y, en particular, conocimientos especializados en Leyes de Protección de Datos y prácticas, y la capacidad de cumplir al menos con las funciones establecidas en el Artículo 39 del RGPD.
  2. Si, por cualquier motivo, el DPO deja de ejercer o no puede ejercer sus funciones, la Afiliada correspondiente deberá designar un reemplazo en un plazo máximo de treinta (30) días y notificar a la Fundación dichos cambios.
  3. Cada Afiliada se asegurará de que su DPO:
    1. cumpla los requisitos y desempeñe al menos las funciones que exige el RGPD, según le apliquen;
    2. cuente con los recursos adecuados para ejercer sus funciones y mantener actualizado su conocimiento sobre las Leyes de Protección de Datos.
  4. Cada Afiliada deberá proporcionar oportunamente el nombre y los datos de contacto de su DPO a la Fundación o a cualquier otra Afiliada que los solicite.
  5. Dos o más Afiliadas podrán designar el mismo DPO, siempre que ese DPO sea fácilmente accesible para cada Afiliada, sus titulares de datos y las autoridades supervisoras correspondientes.

CAPÍTULO VI – AFILIADAS NUEVAS Y SALIENTES

11. AFILIADAS ADICIONALES

  1. Como condición para nombrar cualquier entidad como Afiliada Adicional después de la Fecha de Inicio, la Fundación exigirá a dicha entidad la firma del Acuerdo de Adhesión en la forma establecida en el Anexo 7.
  2. Tras la firma del Acuerdo de Adhesión, y con efecto a partir de la fecha de su firma:
    1. dicha entidad se considerará una “Afiliada” bajo este Acuerdo y quedará sujeta a las obligaciones de una Afiliada según lo dispuesto en este Acuerdo; y
    2. cada Afiliada firmante de este Acuerdo acepta quedar obligada por este Acuerdo respecto a cada entidad que se adhiera, como si dicha entidad hubiese firmado este Acuerdo en la Fecha de Inicio.

12. AFILIADAS SALIENTES

  1. Si una Afiliada en funciones deja de estar licenciada y autorizada como tal, sus obligaciones contractuales bajo este Acuerdo se terminarán automáticamente a partir de la fecha en que deje de estar licenciada y autorizada.

CAPÍTULO VII – DISPOSICIONES GENERALES

13. DURACIÓN

  1. Este Acuerdo entrará en vigor a partir de la Fecha de Inicio y permanecerá vigente mientras una Parte procese Datos Personales proporcionados por otra Parte.

14. RESPONSABILIDAD

  1. Nada de lo dispuesto en este Acuerdo limitará o excluirá la responsabilidad por fraude o declaración fraudulenta, ni por muerte o lesiones personales causadas por negligencia. Ninguna Parte será responsable por pérdidas, responsabilidades o daños indirectos, consecuentes o especiales.
  2. Sujeto a la cláusula 14.1, cada Parte (la “Parte Incumplidora”) acepta indemnizar, mantener indemne y defender, a su propio costo, a cualquier otra Parte (la “Parte Indemnizada”) contra todos los costos, reclamaciones, daños o gastos en que incurra la Parte Indemnizada o por los que pueda resultar responsable, debido al incumplimiento por parte de la Parte Incumplidora o de sus empleados o agentes de cualquiera de sus obligaciones bajo este Acuerdo, siempre que la Parte Indemnizada haya hecho todo lo razonablemente posible por minimizar y mitigar sus pérdidas.

15. GARANTÍA

  1. Cada Afiliada garantiza y declara que posee la plena capacidad y autoridad legal para celebrar y obligarse conforme a los términos de este Acuerdo.

16. DISPOSICIONES GENERALES

  1. La Fundación podrá, a su entera discreción, implementar mediante notificación escrita a todas las Afiliadas, las enmiendas a este Acuerdo que sean razonablemente necesarias o deseables para dar efecto a cualquier decisión o fallo definitivo de la Comisión Europea, el Tribunal de Justicia de la Unión Europea o cualquier otro tribunal o autoridad competente, así como a cualquier reglamento, directiva, decisión, orientación o recomendación emitida o adoptada por el Comité Europeo de Protección de Datos (EDPB), o por cualquier institución o autoridad de la UE; y este Acuerdo se considerará modificado en consecuencia, y todas las Afiliadas deberán cumplir con el Acuerdo así enmendado.
  2. Si la Fundación determina razonablemente que la firma o la supuesta firma de este Acuerdo por parte de alguna Afiliada es inválida o defectuosa (ya sea por fraude, falta de autoridad u otra causa), podrá requerir a dicha Afiliada que firme nuevamente este Acuerdo o perfeccione su firma, y mientras tanto, este Acuerdo seguirá en pleno vigor entre la Fundación y todas las demás Afiliadas.
  3. Este Acuerdo está redactado en idioma inglés. En caso de que se traduzca a otro idioma, prevalecerá la versión en inglés.
  4. Ninguna modificación a este Acuerdo será válida salvo que se haga por escrito (excluyendo correos electrónicos o faxes) y esté firmada por las Partes o sus representantes autorizados.
  5. El hecho de que una Parte no ejerza o demore en ejercer algún derecho o recurso previsto en este Acuerdo o por la ley, no constituirá una renuncia a dicho derecho o recurso, ni impedirá su ejercicio posterior. Ningún ejercicio parcial de tal derecho o recurso impedirá su ejercicio completo o el ejercicio de otro derecho o recurso.
  6. Si alguna disposición o parte de una disposición de este Acuerdo es o se vuelve inválida, ilegal o inaplicable, se considerará modificada en la medida mínima necesaria para que sea válida, legal y aplicable. Si no es posible tal modificación, se considerará eliminada. Cualquier modificación o eliminación de una disposición o parte de ella conforme a esta cláusula no afectará la validez y aplicabilidad del resto del Acuerdo.
  7. Nada en este Acuerdo tiene por objeto ni operará para crear una sociedad, consorcio o empresa conjunta entre las Partes, ni autorizará a una Parte a actuar como agente de otra, y ninguna Parte tendrá autoridad para actuar en nombre o representación de la otra Parte ni obligarla de ninguna manera (incluyendo hacer declaraciones, asumir obligaciones o responsabilidades, o ejercer derechos o facultades).
  8. Este Acuerdo constituye el acuerdo completo entre las Partes y sustituye y extingue todos los acuerdos, promesas, garantías, declaraciones y entendimientos previos entre ellas, ya sean escritos u orales, relacionados con su objeto. Cada Parte reconoce que al celebrar este Acuerdo no se basa ni tendrá recursos en relación con ninguna declaración, garantía o promesa (hecha de forma inocente o negligente) que no esté expresamente incluida en este Acuerdo; sin embargo, nada en este Acuerdo limitará o excluirá la responsabilidad por fraude.
  9. Cada Parte deberá realizar, o procurar que se realicen, todos los actos y ejecutar, o procurar que se ejecuten, todos los documentos necesarios o deseables para dar pleno efecto a este Acuerdo y cumplir con sus obligaciones, incluyendo sin limitación el cumplimiento de todas las leyes locales aplicables a dicha Parte en relación con los acuerdos establecidos en este documento.
  10. Este Acuerdo y cualquier disputa o reclamación (incluidas las extracontractuales) que surjan de o en relación con su objeto o formación se regirán e interpretarán de acuerdo con las leyes de los Países Bajos.
  11. Cada Parte acepta irrevocablemente que los tribunales de los Países Bajos tendrán jurisdicción no exclusiva para resolver cualquier disputa o reclamación (incluidas las extracontractuales) que surjan de o en relación con este Acuerdo o su objeto o formación.

ANEXO 1 – DEFINICIONES

“Afiliada Adicional” significa cualquier entidad no incluida en la lista del Anexo 2 que sea formalmente designada y autorizada como Afiliada por la Fundación después de la fecha de este Acuerdo.

“Decisión de Adecuación” significa una decisión formal adoptada por la Comisión Europea bajo las Leyes de Protección de Datos que reconoce que un país, territorio, sector u organización internacional proporciona una protección adecuada para los derechos de privacidad de las personas. A la Fecha de Inicio, la Comisión Europea ha reconocido que Andorra, Argentina, Canadá (organizaciones comerciales), Islas Feroe, Guernsey, Isla de Man, Israel, Japón, Jersey, Nueva Zelanda, República de Corea, Suiza, Reino Unido, Estados Unidos (organizaciones comerciales que participan en el Marco de Privacidad de Datos UE-EE.UU.) y Uruguay brindan dicha protección adecuada. El efecto de esta decisión es que los datos personales pueden transferirse desde el EEE a esos terceros países sin que se requieran salvaguardas adicionales.

“Afiliada” significa una entidad que, en ese momento, esté licenciada y autorizada por la Fundación en un determinado país o territorio para operar bajo la marca Make-A-Wish con el fin de cumplir el Propósito Caritativo, mientras dicha entidad conserve dicha licencia y autorización. Las Afiliadas actuales a la Fecha de Inicio están listadas en el Anexo 2.

“Política de IA” tiene el significado establecido en la cláusula 8.1.5.

“Salvaguardas Apropiadas” significa los mecanismos legales para la transferencia de Datos Personales que puedan estar permitidos bajo las Leyes de Protección de Datos, en cada momento.

“Fecha de Inicio” significa la fecha de ejecución de este Acuerdo.

“Parte Incumplidora” tiene el significado definido en la cláusula 14.2.

“Política de Brechas de Datos y Plan de Respuesta” tiene el significado definido en la cláusula 8.3.2.

“Exportación de Datos”, “Exportador de Datos” e “Importador de Datos” tienen el significado establecido en la cláusula 5.1.

“Evaluaciones de Impacto en Protección de Datos (DPIAs)” significa las evaluaciones del impacto que pueden tener las operaciones de procesamiento previstas sobre la protección de Datos Personales, conforme a las Leyes de Protección de Datos.

“Leyes de Protección de Datos” significa el Reglamento General de Protección de Datos (UE) 2016/679 y cualquier guía o recomendación emitida por el Comité Europeo de Protección de Datos (EDPB), según sea modificado, revisado o reemplazado periódicamente.

“Política de Conservación de Documentos” tiene el significado definido en la cláusula 8.1.2.

“Política de Saneamiento de Datos” tiene el significado definido en la cláusula 8.1.4.

“Evaluación de Impacto de Transferencia de Datos” significa la evaluación indicada en la cláusula 14 de las Cláusulas Contractuales Estándar.

“EEE” significa el Espacio Económico Europeo, que incluye a los Estados Miembros de la UE, Islandia, Noruega y Liechtenstein (a los cuales también aplica el RGPD).

“EDPB” significa el Comité Europeo de Protección de Datos, establecido para proporcionar orientación y asegurar la aplicación coherente del RGPD.

“UE” significa la Unión Europea.

“RGPD” significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE.

“Parte Indemnizada” tiene el significado definido en la cláusula 14.2.

“Sistemas Make-A-Wish” significa cualquier plataforma, software o aplicación utilizada por las Partes ocasionalmente para procesar Datos Personales en el desarrollo de sus actividades (incluyendo actualmente Salesforce, Dropbox, Fundraise Up, Google Drive, Stripe, SharePoint y otras plataformas de donación de terceros).

“País No Aprobado” significa cualquier país fuera del EEE que no sea objeto de una Decisión de Adecuación.

“Consentimiento Parental” tiene el significado definido en la cláusula 7.4.1.

“Política de Privacidad” tiene el significado definido en la cláusula 8.1.1.

“Parte Receptora” tiene el significado definido en la cláusula 2.2.

“Cláusulas Contractuales Estándar” o “SCCs” significa las cláusulas contractuales estándar adoptadas conforme al Artículo 46(2)(c) del RGPD mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea del 4 de junio de 2021, para la transferencia de Datos Personales entre responsables o encargados del tratamiento en el EEE y responsables o encargados fuera del EEE (según se establece en: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj).

“Subencargado” significa otros encargados utilizados por un encargado para tratar Datos Personales, como se describe en el Artículo 28 del RGPD.

“Parte Transmisora” tiene el significado definido en la cláusula 2.2.

“Participante de un Deseo” significa cualquier persona cuyos Datos Personales sean procesados en relación con un Deseo específico (incluyendo al Niño del Deseo, cualquier miembro de su familia, amigos, y cualquier profesional médico relevante).

Además, los siguientes términos tendrán el significado que se les da en los considerandos del Acuerdo: “Acuerdo de Adhesión”, “Afiliada Asistente”, “Propósito Caritativo”, “Delegado de Protección de Datos (DPO)”, “Afiliada de Origen”, “Niños del Deseo” y “Deseos”.

También los términos: “responsable del tratamiento (controller)”, “delegado de protección de datos (data protection officer)”, “interesado (data subject)”, “organización internacional”, “Datos Personales”, “violación de datos personales (personal data breach)”, “tratamiento (processing)”, “encargado del tratamiento (processor)” y “autoridad de control (supervisory authority)” tendrán el significado que les otorgan las Leyes de Protección de Datos, y las expresiones relacionadas deberán interpretarse en consecuencia.

ANEXO 2 – AFILIADAS

Lista de Afiliadas actuales (con sus sitios web) a la Fecha de Inicio:

La lista actualizada de Afiliadas (incluyendo cualquier Nueva Afiliada) después de la Fecha de Inicio estará disponible en: We grant wishes from all around the World | Make-A-Wish

Se entiende que Make-A-Wish Estados Unidos de América no es una Afiliada.

ANEXO 3 – DETALLES DEL TRATAMIENTO DE DATOS

Categorías de interesados:

  • Niños del deseo
  • Participantes del deseo
  • Profesionales médicos y de cuidado
  • Voluntarios
  • Donantes
  • Simpatizantes
  • Patrocinadores
  • Celebridades y acompañantes de celebridades
  • Proveedores
  • Aliados (incluyendo donantes en especie)
  • Empleados

Tipos de datos personales:

  • Nombre y apellido
  • Título
  • Idiomas principales hablados
  • Nombre de la organización
  • Cargo/función
  • Empleador
  • Relación con el niño (si aplica)
  • Información de contacto (correo electrónico, teléfono, dirección)
  • Información de contacto del médico/consultor del niño y detalles del hospital
  • Datos de identificación
  • Datos de vida profesional y personal
  • Datos de conexión (como direcciones IP)
  • Datos de localización
  • Datos relacionados con donaciones
  • Identificadores físicos únicos
  • Fotografías e imágenes en movimiento
  • Información financiera
  • Información médica (medicamentos actuales, diagnóstico, tratamientos, movilidad/discapacidad)
  • Datos sensibles adicionales (creencias religiosas, origen étnico o racial, afiliación sindical, antecedentes penales)

Naturaleza y alcance del tratamiento:

  • Acceso
  • Recolección
  • Almacenamiento
  • Transferencia a terceros
  • Publicación en línea
  • Comunicaciones

Finalidad del tratamiento:

  • Cumplimiento de deseos
  • Recaudación de fondos
  • Procesamiento de donaciones
  • Medios
  • Marketing
  • Informes
  • Indicadores
  • Registros

Duración del tratamiento:

Cada Parte trata los datos personales mientras sea necesario o mientras tenga los consentimientos requeridos, y los conserva según su Política de Retención de Datos.

ANEXO 4 – TRATAMIENTO DE DATOS: PARTE RECEPTORA COMO ENCARGADO

1. Obligaciones del Encargado (Parte Receptora)

  1. 1.1 Procesar datos personales solo en la medida y forma necesarias para cumplir sus obligaciones bajo este Acuerdo y según las instrucciones de la Parte Transmisora, salvo requerimiento legal que indique lo contrario. En ese caso, se informará a la Parte Transmisora si legalmente es posible.
  2. 1.2 Asegurar que sus empleados, subcontratistas, agentes y consultores autorizados para tratar datos personales estén sujetos a una obligación vinculante de confidencialidad.
  3. 1.3 Implementar medidas técnicas y organizativas apropiadas para proteger los datos personales contra el tratamiento no autorizado o ilegal, y contra su destrucción, daño o pérdida accidentales.
  4. 1.4 Proporcionar la información y asistencia que la Parte Transmisora pueda requerir para cumplir con sus obligaciones legales de protección de datos, incluyendo:
    • (a) obligaciones de seguridad;
    • (b) respuesta a solicitudes de derechos de los interesados;
    • (c) realización y cumplimiento de evaluaciones de impacto en la privacidad;
    • (d) consultas a autoridades supervisoras tras evaluaciones de impacto.
  5. 1.5 A la expiración o terminación del Acuerdo, devolver o eliminar de forma segura todos los datos personales (y hacer que cualquier subencargado también lo haga), salvo obligación legal contraria. Si se solicita, deberá proporcionar confirmación escrita de ello.
  6. 1.6 Mantener registros precisos que demuestren cumplimiento del Acuerdo y permitir, previa notificación razonable, el acceso de la Parte Transmisora (o sus auditores) a dicha información.
  7. 1.7 Informar inmediatamente a la Parte Transmisora si considera que alguna instrucción recibida infringe la legislación de protección de datos.

2. Subencargados

La Parte Receptora solo podrá autorizar a un tercero (“Subencargado”) a tratar datos personales si:

  1. 2.1 Firma un contrato por escrito con términos sustancialmente similares a este Acuerdo.
  2. 2.2 Notifica con anticipación razonable a la Parte Transmisora sobre cualquier cambio en los subencargados, permitiéndole oponerse.
  3. 2.3 Mantiene el control sobre los datos personales que transfiere al subencargado y sigue siendo plenamente responsable del tratamiento por parte de este.

3. Transferencias internacionales

La Parte Receptora podrá transferir datos personales fuera del EEA para cumplir con el Propósito Caritativo, siempre que:

  • Las transferencias se realicen conforme a Decisiones de Adecuación o Salvaguardas Apropiadas según la ley de protección de datos.
  • Este Anexo constituya las instrucciones de la Parte Transmisora en cuanto a transferencias internacionales (ver cláusula 1.1).

4. Incidentes de seguridad (brechas de datos)

  1. 4.1 La Parte Receptora deberá notificar inmediatamente (y en cualquier caso dentro de las 36 horas) a la Parte Transmisora y, si corresponde, a su DPO, sobre cualquier sospecha o conocimiento de una brecha de seguridad de datos personales. Durante la investigación, deberá mantener informada a la Parte Transmisora y su DPO.

5. La notificación deberá incluir:

  • (5.1) Naturaleza de la brecha y categorías de datos afectados;
  • (5.2) Personas involucradas (si se conocen);
  • (5.3) Investigación en curso;
  • (5.4) Consecuencias probables;
  • (5.5) Medidas tomadas o recomendadas;
  • (5.6) Cualquier otra información razonablemente solicitada.

6. Si la Parte Receptora es una Afiliada, también debe:

  • (6.1) Seguir su Plan de Respuesta ante Brechas de Datos;
  • (6.2) Informar de las acciones correctivas tomadas o previstas.

7. Asistencia en derechos de los interesados

  1. 7.1 La Parte Receptora deberá:
    • Notificar a la Parte Transmisora (y su DPO, si aplica), en un plazo máximo de 4 días, si recibe:
      • (a) Comunicaciones para ejercer derechos bajo las leyes de protección de datos;
      • (b) Quejas o reclamaciones por tratamiento de datos.
  2. 7.2 Proporcionar la asistencia necesaria dentro de 7 días desde la solicitud, para que la Parte Transmisora cumpla con sus obligaciones legales en relación con los derechos de los interesados.

8. Auditorías e inspecciones

La Parte Transmisora tiene derecho, con al menos 7 días de preaviso, a auditar o inspeccionar las instalaciones, equipos, documentos y datos electrónicos de la Parte Receptora relacionados con el tratamiento de datos personales.

ANEXO 5 – TRATAMIENTO DE DATOS: LA PARTE TRANSMISORA Y LA PARTE RECEPTORA COMO RESPONSABLES CONJUNTOS

1. Obligaciones de ambas partes

Cada una de las partes (la Parte Transmisora y la Parte Receptora) deberá:

  1. 1.1 Cooperar entre sí para garantizar que los Datos Personales se traten en cumplimiento de las Leyes de Protección de Datos.
  2. 1.2 No utilizar los Datos Personales para ningún otro fin distinto al propósito para el cual fueron transferidos.
  3. 1.3 Asegurarse de que sus empleados, subcontratistas, agentes y consultores que traten Datos Personales estén sujetos a un deber vinculante de confidencialidad.
  4. 1.4 Implementar medidas técnicas y organizativas adecuadas para proteger los Datos Personales contra el tratamiento no autorizado o ilícito, así como contra su destrucción, daño o pérdida accidental, a fin de cumplir con sus obligaciones legales.
  5. 1.5 No conservar los Datos Personales durante más tiempo del necesario para los fines para los cuales fueron transferidos, salvo que cualquiera de las partes pueda conservar dichos datos en la medida en que sea necesario:
    • (a) para cumplir con obligaciones legales o regulatorias, o
    • (b) para la formulación, ejercicio o defensa de reclamaciones legales.
  6. 1.6 Mantener (o hacer que se mantenga) la información necesaria para demostrar el cumplimiento de sus obligaciones en virtud de este Acuerdo, incluidos registros completos y precisos sobre el tratamiento de Datos Personales.

2. Encargados

Ninguna de las partes podrá autorizar a un encargado del tratamiento (procesador) a tratar Datos Personales, salvo que:

  1. 2.1 Se firme un contrato escrito con dicho encargado que contenga términos sustancialmente equivalentes a los de este Acuerdo.
  2. 2.2 Mantenga el control sobre los Datos Personales y siga siendo plenamente responsable ante la otra parte por el tratamiento de los mismos.

3. Transferencias internacionales

Sin perjuicio de cualquier disposición del Capítulo II, la Parte Transmisora o la Parte Receptora podrán transferir Datos Personales a terceros ubicados fuera del EEE en el marco del cumplimiento del Propósito Caritativo, siempre que dichas transferencias se realicen mediante Decisiones de Adecuación o Salvaguardas Apropiadas, conforme a la legislación vigente.

4. Incidentes de seguridad (brechas de datos)

La Parte Transmisora o la Parte Receptora deberá notificar a la otra parte (y, si corresponde, al Delegado de Protección de Datos designado) de forma inmediata (y en cualquier caso dentro de las 48 horas) si sospecha razonablemente o tiene conocimiento de una brecha de datos personales. Deberá proporcionar detalles razonables que incluyan:

  • (4.1) La naturaleza de la brecha, incluyendo categorías y número aproximado de interesados y registros afectados;
  • (4.2) Las personas que accedieron, modificaron, destruyeron o recibieron los datos (si se conocen);
  • (4.3) Cualquier investigación en curso;
  • (4.4) Las posibles consecuencias de la brecha;
  • (4.5) Medidas tomadas o recomendadas para mitigar el impacto.

5. Si alguna de las partes es una Afiliada y ocurre una brecha, deberá:

  • (5.1) Seguir los procedimientos establecidos en su Plan de Respuesta ante Brechas de Datos;
  • (5.2) Notificar a la otra parte y, si corresponde, a su DPO, sobre las acciones correctivas que se han tomado o se tomarán.

6. Derechos de los interesados

  1. 6.1 La Parte Transmisora o la Parte Receptora deberá:
    • Notificar a la otra parte (y a su DPO, si aplica), en un plazo no mayor a 4 días, si recibe de un interesado:
      • (a) Una solicitud para ejercer derechos conforme a la ley;
      • (b) Una queja o reclamación relacionada con el tratamiento de sus datos.
  2. 6.2 Proporcionar asistencia (incluidas medidas técnicas y organizativas adecuadas) en un plazo máximo de 7 días desde la solicitud de la otra parte, a costo de esta última, para garantizar el cumplimiento de los derechos de los interesados.

ANEXO 6 – PRINCIPIOS DE TRATAMIENTO DE DATOS

  1. Limitación de propósito: Los Datos Personales solo pueden ser tratados y posteriormente utilizados o divulgados para cumplir con la intención del interesado o según su autorización.
  2. Calidad y proporcionalidad de los datos: Los datos deben ser precisos, actualizados cuando sea necesario, adecuados, pertinentes y razonables respecto a los fines para los que fueron transferidos y tratados.
  3. Transparencia: Se debe proporcionar a los interesados la información necesaria para garantizar un tratamiento justo (por ejemplo, el propósito del tratamiento y de la transferencia), salvo que el Exportador de Datos ya haya proporcionado dicha información.
  4. Seguridad y confidencialidad: El responsable del tratamiento debe implementar medidas técnicas y organizativas apropiadas frente a los riesgos del tratamiento (como destrucción, pérdida, alteración o acceso no autorizado). Quien actúe bajo su autoridad (incluidos los encargados) solo podrá tratar los datos conforme a instrucciones.
  5. Derechos de acceso, rectificación, eliminación y oposición: Los interesados deben poder acceder a sus datos personales, rectificarlos, eliminarlos o oponerse a su tratamiento, salvo solicitudes excesivas o manifiestamente abusivas.

    Siempre que la autoridad competente haya dado su aprobación previa, se podrá denegar el acceso a los datos personales cuando sea necesario para evitar un perjuicio grave a los intereses del Importador de Datos u otras organizaciones que traten con este. No obstante, estos intereses están subordinados a los derechos y libertades fundamentales de los titulares de los datos y no los prevalecen.

    Los interesados deben tener la posibilidad de rectificar, modificar o eliminar su información personal si esta es inexacta o ha sido tratada en contravención de estos principios.

    Si existen motivos fundados para dudar de la legitimidad de la solicitud, la organización podrá requerir explicaciones adicionales antes de proceder a la rectificación, modificación o eliminación.

    La notificación a terceros que hayan recibido los datos personales sobre cualquier rectificación, modificación o eliminación no será obligatoria si implica un esfuerzo desproporcionado.

    Asimismo, el interesado debe poder oponerse al tratamiento de sus datos cuando existan motivos legítimos y convincentes relacionados con su situación particular. En caso de negativa, la carga de la prueba recae sobre el Importador de Datos, y el interesado siempre podrá impugnar dicha negativa ante la autoridad competente.
  6. Datos sensibles: El Importador de Datos deberá adoptar medidas adicionales de seguridad u otras necesarias para proteger los datos sensibles.
  7. Uso de datos con fines de marketing: Si los Datos Personales se usan para marketing directo, deben existir procedimientos eficaces para que el interesado pueda oponerse a ello (opt-out).
  8. Decisiones automatizadas: El Importador de Datos no podrá tomar decisiones automatizadas con efectos legales o significativos sobre los interesados, salvo que:
    • (a) Estén relacionadas con un contrato con el interesado;
    • (b) Se permita al interesado discutir o apelar dicha decisión con un representante de la parte que la tomó;
    • (c) Esté previsto en la legislación aplicable del Exportador de Datos.

ANEXO 7 – FORMULARIO DE ACUERDO DE ADHESIÓN

ACUERDO DE ADHESIÓN

FECHA:
20 de junio de 2025

ENTRE:

  1. Make-A-Wish Foundation International, una entidad benéfica sin ánimo de lucro registrada en el estado de Arizona, Estados Unidos, con oficina registrada en 1702 East Highland Avenue, Suite 305, Phoenix, Arizona 85016, EE.UU., y cuya sede operativa se encuentra en Frits Spitsstraat 1, 1217 WC, Hilversum, Países Bajos (la "Fundación"); y
  2. [Make-A-Wish Colombia] (el “Afiliado Adicional”).

ANTECEDENTES

  1. Este Acuerdo es complementario al Acuerdo Marco de Protección de Datos (el “Acuerdo Marco”) fechado el 12 de junio de 2025, suscrito entre la Fundación y los Afiliados actuales conforme al Acuerdo Marco (colectivamente, las “Partes Existentes”).
  2. El Afiliado Adicional celebra este Acuerdo con el fin de adherirse como nueva Parte al Acuerdo Marco, ya sea como condición de su Acuerdo de Afiliación y Licenciamiento (y como contraprestación adicional para que la Fundación suscriba dicho Acuerdo de Afiliación y Licenciamiento) o para cumplir con sus obligaciones existentes bajo dicho acuerdo.

SE ACUERDA LO SIGUIENTE:

  1. Las palabras y expresiones utilizadas en este Acuerdo tendrán, salvo que el contexto exija expresamente lo contrario, el significado que se les atribuye en el Acuerdo Marco.
  2. El Afiliado Adicional confirma que se le ha entregado una copia del Acuerdo Marco y se compromete frente a cada una de las Partes Existentes a observar, cumplir y quedar obligado por las disposiciones del Acuerdo Marco que contienen obligaciones para las Partes Existentes, como si el Afiliado Adicional fuera una Parte original del mismo.
  3. Sin perjuicio de lo establecido en la cláusula 2 de este Acuerdo, el Afiliado Adicional acuerda expresamente quedar vinculado por la cláusula 11.2 del Acuerdo Marco en relación con todas las entidades que sean designadas posteriormente como Afiliadas (según se define en dicha cláusula).
  4. A partir de la fecha del presente, toda referencia al Acuerdo Marco se interpretará como una referencia al mismo en su forma modificada (por la inclusión del Afiliado Adicional como parte del mismo).
  5. Este Acuerdo, así como cualquier disputa o reclamación que surja de, o en relación con, su objeto o formación (incluidas las disputas o reclamaciones no contractuales), se regirá e interpretará de conformidad con la legislación de los Países Bajos.
  6. Las partes aceptan irrevocablemente que los tribunales de los Países Bajos tendrán jurisdicción exclusiva para resolver cualquier disputa o reclamación derivada de, o relacionada con, este Acuerdo o su objeto o formación (incluidas disputas o reclamaciones no contractuales).

Este documento entra en vigor en la fecha indicada al principio del mismo.

EJECUCIÓN DEL ACUERDO DE ADHESIÓN

FIRMADO por LA FUNDACIÓN
actuando por medio de su representante legal

Firma Acuerdo

Nombre:
Luciano Manzo

Cargo:
Presidente y Director Ejecutivo (President & CEO)

FIRMADO por EL AFILIADO ADICIONAL
actuando por medio de su representante legal:

Nombre: Maria Gracia Avilez
Cargo: CEO