Acuerdo de procesamiento de datos de Square

Última actualización: 9 de marzo de 2026

Este Acuerdo de procesamiento de datos (“DPA”) complementa y forma parte de las Condiciones del Servicio (“Condiciones Generales”) entre usted (“Vendedor”) y Block, Inc. (“Square”, “nosotros”, “nuestro” o “nos”). Si su cuenta de Square se encuentra en el Espacio Económico Europeo o en el Reino Unido, se aplican las Condiciones de procesamiento de datos del EEE/Reino Unido. Si su Cuenta de Square se encuentra en otro lugar, este DPA rige el procesamiento de Datos Personales por parte de Square en relación con la prestación de sus servicios.

1. Definiciones

“Ley de Protección de Datos Aplicable” se refiere a todas las leyes y regulaciones aplicables relacionadas con la privacidad, la protección y la seguridad de los datos, incluidas las enmiendas, actualizaciones o leyes sucesoras, según corresponda, incluidas, entre otras, las siguientes:

• La Ley de Privacidad de Australia de 1988 y los Principios de Privacidad de Australia;
• Ley de Protección de Información Personal y Documentos Electrónicos de Canadá;
• La Ley de Protección de Información Personal de Japón;
• Leyes estatales de los Estados Unidos, que incluyen:
  • Ley de Privacidad del Consumidor de California (CCPA);
  • Ley de Privacidad de Colorado;
  • Ley de Privacidad de Datos de Connecticut;
  • Ley de Privacidad del Consumidor de Utah;
  • Ley de Protección de Datos del Consumidor de Virginia;
  • Ley de Privacidad de Datos Personales de Delaware;
  • Ley de Protección de Datos del Consumidor de Iowa;
  • Ley de Privacidad de Datos de Nebraska;
  • Ley de Privacidad de Datos de Nuevo Hampshire;
  • Ley de Privacidad de Datos de Nueva Jersey;
  • Declaración de Derechos Digitales de Florida;
  • Ley de Privacidad y Seguridad de Datos de Texas;
  • Ley de Privacidad del Consumidor de Oregón;
  • Ley de Privacidad de Datos del Consumidor de Montana;
  • Ley de Protección de la Información de Tennessee;
  • Ley de Privacidad de Datos del Consumidor de Minnesota;
  • Ley de Privacidad de Datos en Línea de Maryland;
  • Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island;
  • Ley de Protección de Datos del Consumidor de Indiana;
  • Ley de Protección de Datos del Consumidor de Kentucky.

“Datos Personales” se refiere a la información relacionada con una persona física identificada o identificable que se procesa en relación con los Servicios.

“Proceso”, “Procesamiento”, “Controlador” y “Procesador” tienen los significados dados en la Ley de Protección de Datos Aplicable.

“Violación de la seguridad” tiene el significado que dicho término, o términos sustancialmente similares, tienen en la Ley de Protección de Datos Aplicable relevante para los Datos Personales en cuestión.

2. Descripción del procesamiento de Square

Square como Procesador y Controlador.

Dependiendo del contexto de la recopilación y el Procesamiento de datos, Square puede actuar como un Procesador o Controlador, como se describe en la siguiente tabla.

Propósito y alcance del procesamiento. Square procesará los Datos personales para:

• Cumplir con las obligaciones legales;
• Monitorear, prevenir y detectar transacciones de pago fraudulentas y otras actividades fraudulentas; y
• Analizar, mejorar y desarrollar productos y servicios. |

Categorías de sujetos de datos. Compradores y personal del Vendedor.

3. Obligaciones de Square como procesador

Al actuar como Procesador, Square deberá:

• Procesar los Datos personales solo siguiendo instrucciones documentadas del Vendedor, a menos que lo exija la ley;
• Asegurarse de que todo el personal autorizado para procesar Datos personales esté sujeto a obligaciones de confidencialidad;
• Implementar medidas de seguridad técnicas y organizativas adecuadas para proteger los Datos personales;
• En la medida en que lo exija la Ley de Protección de Datos Aplicable, ayudar al Vendedor a responder a las solicitudes de derechos de las personas interesadas;
• Notificar al Vendedor de inmediato si Square determina que ya no puede cumplir con sus obligaciones en virtud de este DPA o la Ley de Protección de Datos Aplicable;
• Previa solicitud, ayudar con las evaluaciones de impacto de la protección de datos o las consultas con las autoridades supervisoras, en la medida en que lo exija la Ley de Protección de Datos Aplicable;
• Tras la notificación del Vendedor, tomar medidas razonables y apropiadas para detener y corregir el uso no autorizado de los Datos personales, incluido el suministro de documentación para verificar la eliminación de dichos datos cuando corresponda;
• Al final de la prestación del servicio, eliminar o devolver los Datos personales, a menos que la ley exija su retención;
• En la medida en que lo exija la Ley de Protección de Datos Aplicable y siguiendo su solicitud por escrito, contribuir a las auditorías o inspecciones poniendo a su disposición informes de auditoría. Tras esta solicitud, y no más de una vez al año, Square proporcionará sin demora documentación o completará un cuestionario escrito sobre seguridad de datos de alcance y duración razonables en relación con el Procesamiento de Datos Personales por parte de Square. Todos los informes y la documentación proporcionados, incluida cualquier respuesta a un cuestionario de seguridad, son información confidencial de Square.

4. CCPA

Siempre que Square actúe como Procesador en virtud de este DPA, Square se considera un “proveedor de servicios” en virtud de la CCPA. En tales casos, y en la medida en que Square procese Datos Personales sujetos a la CCPA en su papel de proveedor de servicios para el Vendedor, Square no:

• Venderá o compartirá Datos personales (como se define en la CCPA);
• Conservará, utilizará o divulgará Datos personales para ningún fin que no sea prestar los servicios que se especifican en el presente DPA o según lo permita la CCPA; ni
• Combinará los Datos personales que recibamos de usted o a través de usted con Datos personales que recibamos de otra persona, directamente o en su nombre, o que recopilemos a partir de las propias interacciones de Square con dicha persona, salvo para proporcionar los productos y servicios de Square y en la medida en que lo permita la ley.

Square certifica que comprende y cumplirá con los requisitos de este DPA en relación con la CCPA, y que proporcionará el mismo nivel de protección de la privacidad de los Datos personales que exige la CCPA. Square le informará si determina que ya no puede cumplir con sus obligaciones en virtud de la CCPA y tomará medidas razonables y apropiadas para corregir cualquier tratamiento no autorizado de Datos personales.

5. Subprocesadores

Square puede contratar Subprocesadores, siempre y cuando:

• Mantenga una lista de los Subprocesadores actuales y notifique a los Vendedores cualquier cambio significativo;
• Cada Subprocesador esté sujeto a un acuerdo por escrito que imponga obligaciones de protección de datos sustancialmente similares;
• Square siga siendo responsable del desempeño de sus Subprocesadores.

6. Obligaciones del Vendedor como Controlador

El Vendedor deberá:

• Asegurarse de que dispone de una base legal para el procesamiento y la transferencia de Datos personales a Square;
• Proporcionar los avisos requeridos a los interesados y obtener los consentimientos necesarios de su parte;
• Cumplir con las leyes aplicables de protección de datos.

7. Transferencias de datos

Square podrá transferir Datos personales a sus afiliados y Subprocesadores en todo el mundo, según sea necesario para prestar los servicios. Cuando sea necesario, Square se asegurará de que existan las salvaguardias adecuadas, tales como cláusulas contractuales estándar o mecanismos equivalentes.

8. Notificación de violaciones de seguridad

En caso de que se confirme una violación de la seguridad que afecte a los Datos personales del Vendedor, Square notificará al Vendedor sin demora indebida y le proporcionará la información necesaria para cumplir con sus obligaciones en virtud de las leyes aplicables de protección de datos.

9. Conflicto

En caso de conflicto entre el presente DPA y las Condiciones generales, el presente DPA prevalecerá en lo que respecta a las obligaciones en materia de protección de datos y privacidad.