Hiscox CyberClear: el condicionado completo

[Seite 1] Hiscox CyberClear Condiciones Especiales 18334 11/17 1 [Seite 2] Hiscox CyberClear Condiciones Especiales Definiciones 4 Lo que está cubierto 7 2.1 Servicio de Respuesta a Incidentes 7 2.2 Pérdidas del asegurado 8 2.3 Responsabilidad por fallo en Ciberseguridad y Privacidad 9 2.4 Responsabilidad por Contenido Digital 10 Lo que no está cubierto 10 Disposiciones Generales 13 3.1 Cuánto abonaremos 13 3.2 Ámbito Temporal 13 3.3 Ámbito Territorial 13 3.4 Control de la defensa 13 3.5 Confidencialidad 13 3.6 Obligaciones del asegurado 13 3.7 Periodo adicional de notificación 14 3.8 Condiciones Generales aplicables 14 3.9 Aceptación expresa y Constancia de recibo de información 14 Anexo: Servicio de respuesta a incidentes 15 Proceso de notificación de incidentes y reclamaciones 16 Panel de expertos de Hiscox 17 18334 05/18 2 [Seite 3] Hiscox CyberClear Condiciones Especiales Introducción Muchas gracias por elegir a Hiscox para proteger a su empresa. El seguro Hiscox CyberClear ha sido diseñado específicamente para dar soporte y proteger ante los riesgos cibernéticos de empresas de todo tipo de tamaño. Durante todo el contrato hemos empleado un estilo y un lenguaje claro para que pueda entender el alcance de la cobertura proporcionada por su Póliza ‘Hiscox CyberClear’ así como las obligaciones que le incumben. Esperamos que no tenga necesidad de hacer uso de las coberturas otorgadas en esta póliza, pero si así fuera, pondremos todo nuestro empeño en minimizar el impacto sobre su negocio con un servicio de respuesta ante incidentes proporcionado por empresas líderes en su campo y resarcirle del perjuicio que haya sufrido. Si en alguna ocasión considera que nuestro servicio está por debajo de sus expectativas, no dude en ponerse en contacto con nosotros. Su tranquilidad y negocio son clave para nosotros. En Hiscox llevamos más de un siglo dedicados al seguro y más de 15 años asegurando riesgos cibernéticos. Hoy día protegemos a cerca de 500.000 empresas en todo el mundo. Nuestra experiencia compartida en EEUU, Reino Unido y Europa nos enriquece en el conocimiento de riesgos cada vez más globales. Hoy, un ataque puede afectar a miles de equipos por todo el mundo, independientemente del tamaño. Pymes y gran empresa pueden ver su negocio bloqueado por la imposibilidad de acceder a sus equipos informáticos o perder datos de gran valor. Sin contar, además, que las normas de protección de datos son cada vez más estrictas y las sanciones más severas, lo que pone en peligro la viabilidad de muchos negocios. El riesgo cibernético debe ser una preocupación. Ha dado un paso importante eligiendo esta póliza. Desde ahora una buena política de prevención junto con este seguro le dará mayor tranquilidad sabiendo que si sucede lo peor, está en buenas manos. Si desea conocer más información sobre nosotros, por favor visite www.hiscox.es. David Heras Director General Hiscox Iberia 18334 05/18 3 [Seite 4] Hiscox CyberClear Condiciones Especiales Condiciones Por favor, lea con detenimiento estas Condiciones Especiales, así como las Condiciones Especiales de Particulares y Generales y los posibles Suplementos a las mismas, estos documentos conforman su Póliza de seguro. Si hubiera algún error en ellos, por favor contacte con aplicación a su Corredor de Seguros tan pronto como sea posible. toda la Póliza La Aseguradora se compromete a dar cobertura a lo recogido en esta Póliza a cambio del pago de la prima acordada. 1. Definiciones Las palabras en negrita o cursiva recogidas a continuación tienen un significado concreto en el contexto de esta Póliza. Afectados Cualquier persona física titular de los datos personales. Amenaza de extorsión Una amenaza por parte de un tercero de: 1. Cometer un ataque deliberado al sistema informático de la entidad, o al sistema informático de un tercero con el uso del sistema informático de la entidad, o 2. Divulgar públicamente información corporativa o datos personales de los cuales se ha apropiado indebidamente, si el asegurado no paga el rescate exigido. Asegurado/usted 1. El Tomador, sus filiales, las nuevas entidades, así como a cualquier fundación dónde el tomador o una filial ostente la mayoría de los derechos de voto del órgano de gobierno (en su conjunto, la ‘entidad’). 2. La persona asegurada. Aseguradora/nosotros La entidad aseguradora que asume los riesgos, derechos y obligaciones pactadas en el contrato, indicada en las Condiciones Particulares. Datos Personales Cualquier información personal de la cual la entidad sea responsable, independientemente del formato en que se encuentre, que permita identificar al afectado y que no sea del dominio público, según se defina en la normativa que resulte aplicable relativa al cuidado, la custodia, el control y el uso de información personal, incluyendo pero no limitándose a la información protegida por el Reglamento 2016/679 del Parlamento Europeo y del Consejo, de 27 de Abril de 2016, o cualquier otra normativa que la sustituya. Nuevas Entidades 1. Cualquier entidad que el tomador adquiera directa o indirectamente durante el periodo de seguro, pero exclusivamente en la medida en que realice la misma actividad que el tomador, esté domiciliada en el Espacio Económico Europeo, y los ingresos brutos anuales de dicha entidad sean inferiores al 20% de los ingresos brutos anuales del tomador y sus filiales; o 2. Cualquier entidad que el tomador adquiera durante el periodo de seguro, si sus ingresos brutos anuales superan el 20% de los ingresos brutos anuales del tomador y sus filiales , pero exclusivamente si: a. El tomador ha proporcionado a la aseguradora una notificación por escrito de la adquisición en los 30 días siguientes a la adquisición, y la aseguradora ha dado su consentimiento por escrito aceptando otorgar cobertura a dicha entidad; y b. El tomador ha pagado la prima adicional y aceptado cualesquiera términos especiales, condiciones adicionales o exclusiones adicionales propuestas por la aseguradora; y c. Dicha entidad está domiciliada en el Espacio Económico Europeo. 18334 05/18 4 [Seite 5] Hiscox CyberClear Condiciones Especiales Si la entidad adquirida no cumple con los requisitos establecidos en los puntos 1. o 2. arriba indicados, se necesitará aceptación expresa de la Aseguradora para confirmar cobertura a dicha entidad. Las mismas reglas aplicarán a las entidades constituidas directa o indirectamente por el tomador durante el periodo de seguro. A los efectos de esta definición, ‘adquiera’ significa tomar posesión de más del 50% de las acciones en circulación, participaciones, o activos de cualquier entidad. La cobertura solo resultará aplicable a reclamaciones presentadas, o incidentes ocurridos por primera vez durante el periodo de seguro cuando las causas de las mismas se hayan generado durante el periodo de seguro tras la adquisición o constitución de la nueva entidad. Empleado Cualquier persona física que mantiene un contrato laboral con la entidad, y que realiza labores para ella. Filial Cualquier persona jurídica en la que el tomador: 1. Ostente más de un 50% de las acciones o participaciones, o más de un 50% de los derechos de voto a la fecha de efecto de la póliza o con anterioridad a la misma, ya sea directa o indirectamente, y 2. Se encuentra domiciliada en el Espacio Económico Europeo; En caso de no cumplir con los requisitos anteriores, se necesitará aceptación expresa de la Aseguradora por escrito para confirmar la cobertura de la Filial. Las filiales vendidas o liquidadas durante el periodo de seguro seguirán teniendo cobertura pero únicamente con respecto de incidentes originados con anterioridad a la venta o liquidación de la misma. Franquicia Las cantidades expresamente pactadas en la Condiciones Particulares que se deducirán del importe a abonar por la aseguradora por cualquier concepto cubierto por la póliza. Fallo de Seguridad Cualquier fallo, real o presunto del asegurado o de un proveedor externo en garantizar la seguridad del sistema informático de la entidad , y que resulte en 1. Un acceso o uso no autorizado al sistema informático de la entidad; o 2. La copia, difusión, alteración, corrupción o destrucción de datos personales, información corporativa o programas de la entidad; o 3. La introducción o recepción de un virus, independientemente de su forma de transmisión; o 4. Un ataque de denegación de servicio, entendiéndose como tal una privación maliciosa temporal, total o parcial, del acceso o uso del sistema informático de la entidad; o sea consecuencia del robo o pérdida de un ordenador portátil o dispositivo móvil. Fallo de sistema Una interrupción no intencionada y no programada, parcial o total, del sistema informático de la entidad, que no se derive de una vulneración de datos o fallo de seguridad, y que sea causada por: 1. Un error humano, incluyendo un error en la programación, parametrización, actualización o selección de un programa, siempre y cuando dicho programa no esté en fase de pruebas, y haya sido testado con éxito durante un periodo mínimo de 30 días; o 2. Un fallo eléctrico, incluyendo sobretensión o caída de tensión, del sistema eléctrico causado accidentalmente y exclusivamente por el asegurado, siempre y cuando no se derive de un daño material. Gastos de defensa Los gastos incurridos con el consentimiento previo por escrito de la aseguradora para investigar, liquidar o defender una reclamación contra el asegurado. También serán considerados como gastos de defensa la constitución de fianzas civiles que puedan ser exigidas a una persona asegurada por su eventual responsabilidad civil, así como los gastos que una persona asegurada incurra para la constitución y mantenimiento de un fianza penal para garantizar su libertad provisional, como consecuencia de una reclamación. 18334 05/18 5 [Seite 6] Hiscox CyberClear Condiciones Especiales Incidente Una vulneración de datos, fallo de seguridad, fallo de sistema o amenaza de extorsión. Información corporativa La información comercial confidencial de terceros, calificada como tal bajo contrato, de la cual la entidad sea responsable, o cualquier información propia de la entidad que no sea de dominio público. Periodo de carencia El periodo de tiempo, indicado en las condiciones particulares, durante el cual la cobertura de Pérdida de Beneficios no toma efecto. Periodo de Seguro El periodo de tiempo, indicado en las condiciones particulares, durante el cual el presente contrato está en vigor, por el que el tomador habrá pagado, y la aseguradora habrá aceptado, una prima. Persona Asegurada Se entenderá como: 1. Cualquier persona física que sea, haya sido o durante el periodo de seguro llegue a ser socio, administrador, directivo, personal en prácticas o empleado de la entidad, pero únicamente en el desempeño de sus funciones para la entidad, incluido el Delegado de Protección de Datos. 2. Cualquier contratista o subcontratista independiente persona física, incluidos autónomos, pero únicamente en el desempeño de sus funciones para la entidad. 3. Cualquier cónyuge o pareja de hecho, legalmente reconocidos, sucesor, heredero, o representante legal de un socio, administrador, o directivo de la entidad, únicamente cuando se interponga una reclamación contra dicho socio, administrador, o directivo y únicamente en caso de incapacidad, fallecimiento o insolvencia de una persona asegurada en los apartados 1. o 2. de esta definición. No se consideran como persona asegurada a ningún auditor, síndico, liquidador, o administrador concursal. Programa Una secuencia de instrucciones escritas que interactúan con un equipo informático o de telecomunicaciones para la ejecución de una tarea de procesamiento de datos o de interacción con otros equipos. Proveedor externo Cualquier empresa a la que la entidad haya externalizado servicios, siempre y cuando se haya formalizado mediante un acuerdo de prestación de servicios por escrito. En caso de no existir un acuerdo por escrito, se deberá acreditar la existencia de una propuesta, oferta o cualquier otro tipo de proposición y en relación con la prestación de dichos servicios antes de la fecha del incidente que active la cobertura. Reclamación Cualquier requerimiento escrito, demanda escrita o procedimiento civil, penal, administrativo o arbitral presentada contra cualquier asegurado con el objetivo de obtener una indemnización económica u otra forma de resarcimiento, o medidas cautelares. Sistema Informático Cualquier tipo de red informática, hardware, software, así como cualquier sistema de comunicación informática, incluyendo correo electrónico, página web, intranet o extranet. Virus Programas maliciosos introducidos en el sistema informático de la entidad sin el permiso o conocimiento de ésta, incluyendo, a título enunciativo pero no limitativo, gusanos, troyanos, ‘malware’, o ‘spyware’. Vulneración de datos La apropiación, acceso, uso o divulgación no autorizados, o la pérdida o robo, de datos personales o de información corporativa de los cuales la entidad es responsable; incluido así como el incumplimiento involuntario de la normativa de protección de datos personales por parte del asegurado o a quien éste haya confiado la custodia de la información de la cual es responsable; y la omisión por parte del asegurado al no notificar a la entidad reguladora y/o a los afectados, siempre y cuando esté obligado a ello de acuerdo con la normativa de protección de datos personales. 18334 05/18 6 [Seite 7] Hiscox CyberClear Condiciones Especiales 2. Lo que En contraprestación por el pago de la prima, de conformidad con el Cuestionario de está cubierto Suscripción, y sujeto a la contratación efectiva de las coberturas indicadas a continuación, la aseguradora y el asegurado acuerdan lo siguiente: 2.1. Servicio de Respuesta Si, durante el periodo de seguro, el asegurado sufre un incidente, la aseguradora a Incidentes pone a su disposición un Servicio de Respuesta a Incidentes prestado por los especialistas indicados en el Anexo a las presentes condiciones especiales, quienes proporcionarán los servicios de respuesta a incidentes que se indican a continuación y cubiertos bajo la presente póliza, y al que podrá acceder llamando al número de teléfono indicado en el mencionado Anexo. A los servicios que se activen a través de nuestro Servicio de Respuesta a Incidentes les resultará de aplicación la franquicia que, en su caso, se indique en las Condiciones Particulares. El asegurado podrá acudir a cualquier otro especialista fuera de nuestro Servicio de Respuesta a Incidentes, para contratar los servicios abajo indicados. En este caso, la aseguradora reembolsará los gastos en los que pueda incurrir el asegurado, previa verificación y aprobación de los mismos, y les será de aplicación la franquicia general de la póliza, indicada en las condiciones particulares. La aseguradora no será responsable, ni formará parte, de ningún servicio que pueda acordarse con cualquiera de las empresas especialistas que forman parte de nuestro Servicio de Respuesta a Incidentes y el asegurado, distintos a los gastos de respuesta de incidentes que se incurran al activar dicho servicio. El alcance de los Servicios de respuesta a incidentes se indica a continuación: a. Servicios de contención tecnológica El servicio de especialistas en informática forense con el fin de: i. Detener o contener un incidente; ii. Establecer, en la medida de lo posible, la causa y el alcance de un incidente; iii. Confirmar la ocurrencia de una vulneración de datos, e identificar, en la medida de lo posible, a los afectados. b. Servicio de asesoramiento jurídico y de comunicación y relaciones públicas. i. El servicio de asesoramiento jurídico externo para asesorar sobre las actuaciones que deben ser tomadas para gestionar la respuesta al incidente, cuando sea necesario. ii. Los servicios de un consultor especializado en ayudar al asegurado a reestablecer su reputación y gestionar su comunicación externa derivado de un incidente, cuando sea necesario. c. Servicios adicionales Asimismo, la aseguradora, con su consentimiento previo por escrito, pondrá a disposición del asegurado, mediante los especialistas indicados en las Condiciones Particulares, siempre y cuando sea aplicable, los servicios abajo indicados, o abonará los gastos en que incurra el asegurado para su contratación con especialistas que no formen parte de nuestro Servicio de respuesta de Incidentes. A dichos servicios le resultará de aplicación la franquicia que se indique en las Condiciones Particulares. El alcance de los servicios se indica a continuación: i. Gastos para notificar a cualquier entidad reguladora la vulneración de datos, siempre que el asegurado esté legalmente obligado a hacerlo; ii. Gastos de uso de un centro de atención telefónica externo para responder a consultas de los afectados, previamente notificados, a consecuencia de una vulneración de datos. iii. Un servicio de monitorización de la información comprometida de los afectados, en sitios públicos de Internet, con el fin de evitar un uso inadecuado, durante un periodo máximo de un año desde la fecha de activación. El servicio deberá activarse únicamente tras la notificación, previo acuerdo con la aseguradora, a los afectados a consecuencia de una vulneración de datos. iv. Gastos para notificar a los afectados la vulneración de datos. 18334 05/18 7 [Seite 8] Hiscox CyberClear Condiciones Especiales 2.2. Pérdidas del asegurado Si, durante el periodo de seguro, el asegurado sufre un incidente la aseguradora pondrá a disposición los servicios que se describen a continuación a través de nuestro servicio de respuesta de incidentes o abonará: a. Gastos de Recuperación de Datos Los gastos incurridos, con el consentimiento previo por escrito de la aseguradora, para: i. Suprimir cualquier virus del sistema informático de la entidad; ii. Recuperar el acceso a los programas o datos electrónicos de la entidad; iii. Reconfigurar, instalar a partir de copias de seguridad, copias originales u otras fuentes o, en caso de ser necesario, sustituir un programa de terceros (cuya licencia haya sido adquirida por la entidad) en el sistema informático de la entidad; iv. Recrear los datos electrónicos de la entidad. Si no se puede acceder, recuperar, sustituir, reparar o recrear los programas o datos electrónicos, los gastos que la aseguradora abonará no excederán los gastos incurridos para llegar a esa conclusión. Los Gastos de Recuperación de Datos no incluirán: 1. Los gastos para identificar o remediar las vulnerabilidades del sistema informático o programas; 2. El valor económico de los programas, datos personales, datos electrónicos o información corporativa, incluyendo secretos comerciales; 3. Los gastos para sustituir, restaurar o actualizar cualquier componente del sistema informático de la entidad, incluidos programas o datos electrónicos a un nivel superior al que existía antes de la ocurrencia del incidente. 4. Los costes fijos de cualquier persona asegurada, distinto del gasto por horas extras. 5. Los gastos incurridos en el desarrollo de nuevos programas o datos electrónicos. b. Pérdida de Beneficios La aseguradora abonará la reducción del resultado neto (beneficio o pérdida) calculado conforme se dispone a continuación, así como los costes operacionales fijos incurridos por la entidad (incluyendo salarios), y los gastos para mitigar la pérdida de beneficios resultantes de una interrupción parcial o total del sistema informático de la entidad siempre y cuando:  ocurra durante el periodo de seguro,  el periodo de indemnización sea superior al periodo de carencia; y  la interrupción sea consecuencia directa y exclusiva de un incidente en el sistema informático de la entidad. Los gastos para mitigar la pérdida de beneficios no podrán exceder en ningún caso la reducción del resultado neto que la entidad tendría si no hubiera incurrido en dichos gastos, y a los que les será de aplicación la franquicia indicada en las condiciones particulares Cálculo de la reducción del resultado neto La aseguradora pagará la diferencia entre el resultado neto (beneficio o pérdida) real obtenido durante el periodo de indemnización, y el resultado neto (beneficio o pérdida) que la entidad hubiera obtenido en el mismo periodo del año anterior o, si este es su primer año de actividad, la diferencia entre su resultado neto durante el periodo de indemnización y el periodo inmediatamente anterior a la interrupción. Definiciones aplicables a esta cobertura A los efectos de esta cobertura, se entiende por Gastos para mitigar la pérdida de beneficios los gastos incurridos por la entidad, con el previo consentimiento por escrito de la aseguradora, con el propósito de minimizar la reducción del resultado neto durante el periodo de indemnización, lo que incluye sin ánimo limitativo: a. El alquiler de equipos informáticos de terceros; 18334 05/18 8 [Seite 9] Hiscox CyberClear Condiciones Especiales b. Los honorarios de un proveedor externo, especialmente contratado con el fin de mitigar la pérdida de beneficios de la entidad; c. El punto a) de la sección 2.1. Servicios de respuesta de incidentes; o d. El incremento de costes de la mano de obra de la entidad Se entiende por Periodo de indemnización, el periodo de tiempo máximo en meses, indicado en las Condiciones Particulares, una vez transcurrido el periodo de carencia, durante el cual la aseguradora asumirá la reducción de resultado neto conforme se dispone en la cobertura. El asegurado deberá facilitar toda la información que le solicite la aseguradora al objeto de poder verificar la reducción de resultado neto real que se haya podido producir. c. Extorsión cibernética i. El importe económico del rescate pagado por el asegurado o, si el tercero ha exigido el pago del rescate en la forma de bienes o servicios, el valor de mercado de dichos bienes o servicios en el momento de la entrega del rescate. ii. Los honorarios y otros gastos incurridos por un consultor especializado para ayudar al asegurado en la gestión y negociación del rescate. La aseguradora sólo reembolsará los gastos que hubiere realizado la entidad por la cobertura de extorsión cibernética cuando se produzcan las siguientes circunstancias: a. El asegurado informe inmediatamente a la aseguradora, y la mantenga informada de la amenaza de extorsión en todo momento, y obtenga el consentimiento por escrito de la aseguradora previo pago del rescate; b. El asegurado demuestre a la aseguradora que el rescate ha sido abonado, o los bienes o servicios han sido entregados, bajo coacción o amenaza, y que ha hecho todos los esfuerzos para determinar que la amenaza era real y no ficticia, y que ha realizado todas las acciones necesarias para evitar la amenaza de extorsión, y; c. Un administrador, directivo (o cargo equivalente) de la entidad haya dado su consentimiento al pago del rescate o a la entrega de los bienes o servicios. La aseguradora podrá, como condición para el reembolso indicado, solicitar al asegurado la notificación de la amenaza de extorsión a la policía u otra autoridad responsable de hacer cumplir la Ley. 2.3. Responsabilidad por Si, durante el periodo de seguro, el asegurado: fallo en Ciberseguridad y  recibe una reclamación; o Privacidad  es objeto de una inspección de datos o de cualquier otro procedimiento normativo en materia de protección de datos, a consecuencia de un incidente, la aseguradora pagará: 1. El importe económico acordado entre el asegurado y la aseguradora tras una negociación de buena fe, mediación o cualquier otra forma alternativa de resolución de disputas, para resolver la reclamación, o la cantidad económica a la que resulte condenado el asegurado para dar cumplimiento a una sentencia o resolución arbitral contra el asegurado; 2. Las multas o sanciones impuestas a la entidad por la Agencia Española de Protección de Datos o cualquier otra autoridad u organismo supervisor equivalente, siempre que sean asegurables por Ley en la jurisdicción en la cual se impone la sanción. 3. Sanciones PCI; 4. Gastos forenses de privacidad; 5. Gastos de inspección de privacidad; y 6. Gastos de defensa. Definiciones aplicables a esta cobertura Gastos forenses de privacidad: entendidos como los gastos incurridos por el asegurado, previo consentimiento por escrito de la aseguradora, para utilizar servicios de especialistas forenses externos a fin de preparar la defensa contra una reclamación. 18334 05/18 9 [Seite 10] Hiscox CyberClear Condiciones Especiales Gastos de inspección de privacidad: entendidos como los honorarios de abogados y peritos, incurridos por el asegurado, previo consentimiento por escrito de la aseguradora, para la investigación, defensa, apelación o avenimiento a consecuencia de una inspección de datos. Inspección de datos: cualquier investigación, consulta o examen oficial no rutinaria de un regulador, organismo gubernamental o cualquier otra autoridad de control que vele por el cumplimiento de la legislación sobre protección de datos personales derivado de una vulneración de datos. Sanciones PCI: entendidas como multas, sanciones y reembolsos (incluyendo pero no limitándose a gastos operacionales, gastos de nueva emisión de tarjetas de pago y recuperaciones de fraudes) que el asegurado esté legalmente obligado a pagar como resultado de su fallo en cumplir con el Estándar de Seguridad de los Datos de la Industria de las Tarjetas de Pago (en inglés: Payment Card Industry Data Security Standard). 2.4. Responsabilidad Si durante el periodo de seguro, el asegurado recibe una reclamación que se base en, por Contenido Digital se derive de, o sea atribuible a la descripción de los servicios o productos de la entidad en la página web, extranet, o redes sociales oficiales, incluyendo si dicho contenido ha sido generado o modificado por un tercero distinto de un proveedor externo, y la reclamación se basa en los siguientes motivos: a. Incumplimiento de cualquier derecho de propiedad intelectual; o b. Difamación, incluyendo injuria, calumnia o menosprecio hacia un producto; La Aseguradora pagará:  El importe económico acordado entre el asegurado y la aseguradora tras una negociación de buena fe, mediación o cualquier otra forma alternativa de resolución de disputas, para resolver una reclamación, o  La aseguradora también pagará los gastos de defensa, pero no pagará ningún gasto por cualquier parte de una reclamación no cubierta por esta sección de cobertura. Lo que no La aseguradora no hará ningún pago que se base en, se derive de, o sea atribuible a: está cubierto Servicios Públicos Cualquier fallo o interrupción de un servicio prestado por un proveedor de servicios de internet o telecomunicaciones, de suministro eléctrico u cualquier otro proveedor de un servicio público; no obstante esta exclusión no aplicará a una vulneración de datos, cuando los datos estén almacenados en la nube, servidores remotos o almacenados en un centro de procesamiento de datos externo y el fallo o interrupción se derive de dichos servicios; Propiedad intelectual Cualquier infracción, uso, apropiación indebida, o transmisión de cualquier propiedad intelectual, incluyendo pero no limitándose a patentes, secretos comerciales, o marca registrada; no obstante, esta exclusión no aplicará a: a. Una vulneración de datos cometida por un tercero, incluido un proveedor externo; b. Un fallo de seguridad; o c. Una reclamación cubierta por la sección de cobertura 2.4. Responsabilidad por Contenido Digital. Daños materiales La pérdida, daño, desgaste ordinario, deterioro gradual o destrucción de cualquier bien tangible. Sin embargo, esta exclusión no aplicará a: a. La pérdida, daño o destrucción de datos electrónicos. b. Una vulneración de datos, o un fallo de seguridad, resultante de daños a, o destrucción de, cualquier bien tangible. Daños personales La muerte, enfermedad o daño físico sufridos por cualquier persona. Sin embargo esta exclusión no aplicará a cualquier parte de una reclamación por angustia mental o emocional derivada únicamente de una reclamación por difamación o incumplimiento del derecho a la privacidad. 18334 05/18 10 [Seite 11] Hiscox CyberClear Condiciones Especiales Guerra Guerra, invasión, actuación de enemigos extranjeros, hostilidades (tanto si se ha declarado la guerra o no), guerra civil, rebelión, revolución, insurrección, usurpación al poder, confiscación, nacionalización. Riesgos nucleares a. Cualquier tipo de material, reacción, o radiación nuclear, contaminación radioactiva o radiaciones ionizantes; b. Cualquier producto o servicio que incluya o esté relacionado con lo descrito en el apartado (a), o el almacenamiento, manejo o eliminación de lo descrito en el apartado (a); c. Todas las operaciones llevadas a cabo en cualquier localización o instalaciones donde las actividades detalladas en los apartados (a) y (b) estén presentes. Incautación y confiscación Cualquier acción de un gobierno o autoridad pública de incautación, expropiación, confiscación, apropiación o destrucción de bienes, o cualquier orden de dicho gobierno o autoridad pública para desactivar, bloquear o remover el acceso al sistema informático del asegurado. Problemas preexistentes Cualquier hecho, circunstancia o incidente de la que el asegurado tuviera conocimiento con anterioridad al inicio del periodo de seguro. Cualquier procedimiento civil, mercantil, penal, laboral, administrativo, regulatorio o de arbitraje, o cualquier procedimiento alternativo de resolución de conflictos iniciado con anterioridad a la primera fecha de efecto de la presente póliza, o basado en los mismos o esencialmente los mismos hechos alegados en dicho procedimiento anterior. Actos intencionados Cualquier acto u omisión fraudulento, doloso, deshonesto, ilegal o malicioso cometido o deshonestos por el asegurado, así como el de cualquier otra persona que el asegurado haya consentido o tolerado. Cualquier acto u omisión cuya intención sea obtener un beneficio indebido o una ventaja a la cual el asegurado no tuviera legalmente derecho. Esta exclusión aplicará únicamente si dicho acto u omisión se establece por medio de sentencia u otra resolución firme, o si el asegurado así lo reconoce. Las actuaciones de un asegurado no serán imputados a cualquier otro asegurado, salvo que dichas actuaciones hayan sido cometidas o hayan sido del conocimiento de algún antiguo o presente socio, administrador o directivo. La entidad reembolsará a la aseguradora cualquier pago efectuado por la aseguradora en relación con dicho acto u omisión. Reclamaciones fuera de Cualquier reclamación o cualquier incidente fuera de la jurisdicción aplicable, la jurisdicción aplicable entendiéndose como tal los procedimientos en tribunales, o basadas en la jurisdicción de países fuera de la jurisdicción aplicable conforme se dispone en las Condiciones Particulares. Responsabilidad Cualquier garantía, promesa u obligación asumida bajo contrato por el asegurado. contractual No obstante, esta exclusión no aplicará : a. ala responsabilidad que el asegurado hubiera asumido en ausencia de dicho contrato; b. cuando ocurra una vulneración de datos; o c. cuando ocurra un incumplimiento del Estándar de Seguridad de los Datos de la Industria de las Tarjetas de Pago (en inglés: Payment Card Industry Data Security Standard) pero únicamente en cuanto a las Sanciones PCI. Asegurado contra Cualquier reclamación interpuesta por: asegurado a. El propio asegurado, o b. Por cualquier persona física o jurídica que detenga directa o indirectamente más de un 15% de las participaciones o acciones emitidas de la entidad, o que directa o indirectamente la gestione, controle o dirija parcial o totalmente; o, c. Por cualquier persona jurídica en la que la entidad ostenta, directa o indirectamente, más de un 15% de las participaciones o acciones emitidas, o que la entidad gestiona, controla o dirija parcial o totalmente. Esta exclusión no aplicará a una reclamación presentada por un empleado a consecuencia de una vulneración de datos. 18334 05/18 11 [Seite 12] Hiscox CyberClear Condiciones Especiales Multas, penalizaciones Multas o sanciones, penalizaciones contractuales, daños punitivos o ejemplarizantes, y sanciones no restitutorios o no indemnizatorios. Esta exclusión no aplicará a: a. Sanciones PCI; o b. Multas o sanciones impuestas al asegurado, a consecuencia de una inspección de datos, por la Agencia Española de Protección de Datos o cualquier otra autoridad u organismo supervisor equivalente, siempre que sea asegurable por Ley en la jurisdicción en la cual se impone la sanción. Obtención y uso no a. La obtención de información, incluyendo la obtención de datos personales autorizados de datos por parte del asegurado (o por otros en su nombre), sin el consentimiento o permiso de las personas a quienes se refiere dicha información. No obstante, esta exclusión no aplicará si ningún socio o directivo (o cargo equivalente) de la entidad tenía conocimiento de dicha conducta, ni tenía motivos razonables para conocer dicha conducta. b. El uso de datos personales por parte del asegurado (o por otros en su nombre) en violación de la Ley. Fondos y valores El robo, pérdida o transferencia de fondos o valores del asegurado bajo su control o no, o los fondos o valores de un tercero que estén bajo custodia del asegurado, incluyendo el valor monetario de cualquier fondo o valor transferido por el asegurado o por otros en su nombre. Reparación, sustitución Cualquier gasto de reparación, mejora, corrección, retirada, sustitución, eliminación. No obstante, esta exclusión no aplicará a: a. Gastos para mitigar la pérdida de beneficios; o b. Los gastos de recuperación de datos que se indican como cubiertos en la sección 2.2.a. Exclusiones aplicables Únicamente respecto a la cobertura 2.4. Responsabilidad por Contenido Digital a responsabilidad por a. Cualquier infracción, uso, apropiación indebida, o transmisión de cualquier patente contenido digital o secreto comercial; o b. Una obligación de pagar honorarios de licencias o royalties. Únicamente respecto a las coberturas 2.2.a. Gastos de Recuperación de Datos y 2.2.b. Exclusiones aplicables Pérdida de Beneficios: a Gastos de Recuperación de Datos y Pérdida de a. Cualquier vulneración de datos que no estén bajo el control directo de la entidad; Beneficios b. Cualquier fallo de sistemas, fallo de seguridad de una entidad, o amenaza de extorsión contra una entidad, que no sea asegurada; o c. Los daños derivados de un riesgo natural, incluyendo pero no limitándose a terremoto, incendio, viento o inundación. 18334 05/18 12 [Seite 13] Hiscox CyberClear Condiciones Especiales 3. Disposiciones Generales 3.1. Cuánto abonaremos El límite máximo total agregado de indemnización que la aseguradora pagará por el conjunto de todas las coberturas previstas en el presente módulo o póliza, es el límite de indemnización indicado en las condiciones particulares. El asegurado deberá abonar la franquicia correspondiente indicada en las condiciones particulares. Cualquier sublímite de indemnización que pudiera establecerse formará parte integrante del límite de indemnización indicado en las condiciones particulares para el presente módulo de cobertura o póliza, y no será en ningún caso en adición al mismo. En caso de dos o más coberturas sean activadas por una misma causa o hecho generador, el asegurado abonará una única franquicia, siendo que la franquicia que aplicará en este caso será la más alta de las que se indican en las condiciones particulares. Dos o más incidentes/reclamaciones atribuibles a una misma causa o hecho generador tendrán la consideración de un solo y mismo incidente/reclamación, con independencia del número de reclamantes o asegurados. 3.2. Ámbito Temporal En relación con las coberturas de la sección 2.2 Pérdidas del Asegurado, y siempre que las mismas figuren en las condiciones particulares, se otorga cobertura únicamente a los incidentes ocurridos y notificados a la aseguradora durante el periodo de seguro. En relación con las coberturas de la sección 2.3 Responsabilidad por fallo en Ciberseguridad y Privacidad, y 2.4 Responsabilidad por Contenido Digital, y siempre que las mismas figuren en las condiciones particulares, se otorga cobertura a las reclamaciones presentadas durante el periodo de seguro y por hechos ocurridos con posterioridad a la fecha de retroactividad indicada en las condiciones particulares. 3.3. Ámbito Territorial Las garantías de este módulo de cobertura se extienden y se limitan a incidentes ocurridos o reclamaciones presentadas en los territorios definidos en las condiciones particulares. 3.4. Control de la defensa La aseguradora tendrá el derecho, pero no la obligación, de tomar el control y dirigir en nombre del asegurado la investigación, liquidación o defensa de cualquier reclamación o inspección de datos. Si la aseguradora lo considera necesario, designará un perito, tasador, abogado o cualquier otra persona apropiada para tratar o gestionar la reclamación o inspección de datos. La aseguradora no hará ningún pago por cualquier parte de cualquier reclamación o inspección de datos no cubierta por este módulo. 3.5. Confidencialidad El asegurado deberá tomar todas las medidas necesarias en todo momento para que, en la medida de lo posible, ningún tercero conozca la existencia de la presente póliza, salvo consentimiento previo por escrito de la aseguradora. Dicha cláusula no será de aplicación a las aseguradoras de exceso cuando el presente contrato actúe como póliza primaria. 3.6. Obligaciones A. El asegurado deberá notificar a la cualquier incidente o reclamación conforme al proceso del asegurado de notificación anexo a la presente póliza tan pronto cuanto posible, pero siempre dentro del periodo de seguro. B. El asegurado podrá notificar a la aseguradora cualquier incidente o circunstancia que pueda derivar en una reclamación, gasto o servicio cubiertos bajo este módulo de cobertura, lo antes posible y durante el periodo de seguro, salvo impedimento legal. Si la aseguradora acepta la notificación del asegurado, cualquier reclamación, gasto o servicio cubiertos derivada de los mismos hechos se entenderá presentada, a efectos de este módulo de cobertura, en el momento en que dichos hechos fueran comunicados por primera vez, siempre que, al notificar los hechos, se hubiera facilitado información detallada sobre los mismos, las fechas y los posibles perjudicados. 18334 05/18 13 [Seite 14] Hiscox CyberClear Condiciones Especiales 3.7. Periodo adicional Gratuito: de notificación Si este módulo de cobertura se cancela o no se renueva, el asegurado tendrá derecho a un periodo de 30 días naturales desde la fecha de vencimiento del periodo de seguro, durante el cual podrá notificar por primera vez a la aseguradora una reclamación, o un incidente cuando las causas de las mismas se hayan generado durante el periodo de seguro. Opcional: Si este módulo de cobertura se cancela o no se renueva, el asegurado tendrá derecho a contratar un periodo adicional de notificación, cuya prima adicional se establecerá según las condiciones del riesgo. Por periodo adicional de notificación se entenderá un periodo de tiempo a partir de la fecha de vencimiento del periodo de seguro, durante el cual el asegurado podrá notificar a la aseguradora cualquier reclamación cubierta bajo este módulo de cobertura por hechos ocurridos con posterioridad a la fecha de retroactividad, pero antes de la fecha de vencimiento del periodo de seguro. Este periodo adicional de notificación no será de aplicación si: a. La póliza ha sido cancelada por impago de la prima o de cualquiera de sus fracciones; b. Este módulo de cobertura ha sido reemplazado por otra póliza que otorgue, en todo o en parte, las mismas coberturas. La totalidad de la prima correspondiente al periodo adicional de notificación deberá ser integralmente devengada al inicio de dicho periodo. El límite de indemnización aplicable durante el periodo adicional de notificación será el límite de indemnización remanente de la póliza cancelada o no renovada. En ningún caso se otorgará un límite separado o adicional para este periodo. 3.8. Condiciones Se modifican las siguientes cláusulas de las Condiciones Generales: Generales aplicables Se sustituye la cláusula ‘Para comunicar reclamaciones’ de las Condiciones Generales por la cláusula ‘3.6. Obligaciones del Asegurado’ de las presentes Condiciones Especiales. Se sustituye la cláusula ‘Varios asegurados’ de las Condiciones Generales por la cláusula 3.1. Cuanto abonaremos de las presentes Condiciones Especiales. 3.9. Aceptación expresa El tomador reconoce expresamente que ha recibido las Condiciones Generales, Especiales y Constancia de recibo y Particulares que integran esta Póliza manifestando su conocimiento y conformidad con de información las mismas. Igualmente, de acuerdo con lo previsto en el artículo 3 de la ley 50/80 de 8 de Octubre, del Contrato de Seguro, el tomador manifiesta que ha leído, examinado y entendido el contenido y alcance de todas las cláusulas del presente contrato y, especialmente, aquellas que, debidamente resaltadas en letra negrita, pudieran ser limitativas de derechos. Por último, el tomador reconoce expresamente haber recibido antes de la celebración del contrato la oportuna información relativa a la legislación aplicable al contrato de seguro, las diferentes instancias de reclamación, el Estado miembro del domicilio de la aseguradora y su autoridad de control, la denominación social, dirección y forma jurídica de la aseguradora. Firma del tomador 18334 05/18 14 [Seite 15] Hiscox CyberClear Condiciones Especiales Anexo Servicio de respuesta a incidentes (Cobertura 2.1) Servicio de Contención En caso de un incidente, contacte con el CyberSOC de Deloitte disponible en Tecnológica 24x7x365 al teléfono +34 910 386 819 ¿Qué información debe facilitar?: 1. Nombre del asegurado (persona jurídica) y número de póliza 2. Datos de contacto del asegurado (persona física) para futuras comunicaciones 3. Breve descripción del incidente 1 ¿Cómo se apertura el expediente?: Deloitte procederá , una vez realizada las verificaciones previas necesarias, y siempre que se trate de un incidente real y no un falso positivo, a la apertura de un ticket en el sistema interno de Ticketing de Deloitte y a comunicar el incidente a la propia aseguradora quien informará a su mediador de seguros. ¿Cuándo se inicia la Gestión del Incidente?: Confirmada la recepción del incidente mediante la apertura del ticket, comienza el proceso de dar soporte al mismo por parte de los equipos y técnicos especializados, conforme se dispone en la póliza. Un técnico especializado estará en contacto, en todo momento, con el asegurado. ¿Qué información se solicitará para la Gestión del Incidente?: Deloitte solicitará al asegurado toda la información necesaria para poder gestionar el incidente como por ejemplo diagramas de red, máquinas afectadas, logs (de correo electrónico, de navegación), volcados de memoria, discos duros, muestras de malware, emails originales, etc. En caso de que el cliente no tenga la capacidad técnica para facilitar tal información, Deloitte facilitará las instrucciones necesarias para la obtención de la misma. Es responsabilidad del asegurado facilitar la información solicitada por Deloitte en tiempo y forma. ¿Dónde se prestará la Gestión del Incidente?: El servicio se ejecutará en remoto. En caso de que el asegurado requiera la presencia on-site de técnicos especializados de Deloitte en las instalaciones del afectado por el siniestro, procederá a dar respuesta tras aprobación previa de Hiscox. ¿Qué actuaciones realizará el Servicio de Gestión de Incidentes?: Deloitte realizará las actuaciones necesarias para prestar los servicios cubiertos en la póliza. ¿Qué información obtendrá tras el servicio?: Tras la finalización del proceso de gestión del incidente, Deloitte procederá a la elaboración, emisión y distribución del correspondiente informe que facilitará tanto al asegurado como a Hiscox. Servicio de Asesoramiento Cuando se produzca la apertura del incidente, Hiscox designará cuando sea necesario, Jurídico y de comunicación alguno de nuestros expertos legales y/o de comunicación y relaciones públicas del Panel y relaciones públicas. de Expertos de Hiscox, al objeto de puedan asesorarle sobre las medidas a tomar para gestionar la respuesta del incidente. Servicios Adicionales El asegurado podrá requerir a Hiscox la prestación de los servicios adicionales incluidos en la cobertura 2.1. Servicio de Respuesta a Incidente, en el caso de que requiera que sean prestados a través del Panel de Expertos de Hiscox. Hiscox deberá dar su consentimiento por escrito. 1 En el caso de Conflictos de Intereses por parte de Deloitte, se procederá a nombrar al Back up previsto en el Panel de Expertos de Hiscox quien prestará el servicio en las mismas condiciones. 18334 05/18 15 [Seite 16] Hiscox CyberClear Condiciones Especiales Proceso de notificación de (Coberturas 2.1, 2.2, 2.3 y 2.4) incidentes y reclamaciones 1.1. Servicio de Respuesta En caso de que se produzca un incidente, y usted decida acudir a otro especialista a incidentes distinto del Servicio de Contención Tecnológica de Hiscox, deberá informar a la aseguradora del incidente en el plazo máximo de 7 días desde su ocurrencia a través de su mediador de seguros. 1.2. Perdidas Para la activación de estas coberturas, en el caso de que no haya hecho uso del servicio del asegurado de contención tecnológica, usted deberá ponerse en contacto con su mediador de seguros para comunicar el incidente. La compañía aseguradora le solicitará según cada caso, la documentación que considere necesaria al objeto del análisis de la cobertura en la póliza. Entre otros, acreditación de la ocurrencia del incidente, justificación de los gastos a incurrir (presupuestos, actividades a realizar, etc.), documentos contables, para la cobertura de pérdida de beneficios, etc. Por favor, verifique en la póliza los procesos a seguir para cada cobertura y los consentimientos a solicitar a Hiscox. 1.3. Responsabilidad por En el caso de que reciba una reclamación o sea objeto de una inspección de datos, fallo de Ciberseguridad y por favor, póngase en contacto con su mediador de seguros. Privacidad Al objeto de poder tramitar el expediente correctamente, Hiscox le solicitará a través de su mediador, la documentación necesaria para el análisis de la cobertura de la póliza. Entre otras, reclamación formal escrita del perjudicado, documentación judicial o procedimiento administrativo, versión detallada de los hechos por parte del asegurado, información sobre el error supuestamente cometido, etc. En el caso de que el asegurado desee nombrar un abogado, perito o experto forense para que le asistan en su defensa, deberá solicitar la previa autorización por escrito de Hiscox, y facilitarle el presupuesto de honorarios para su aprobación. El asegurado podrá designar si lo desea, previa solicitud a Hiscox, alguno de los profesionales previstos en el Panel de Expertos de Hiscox. Por favor, verifique en la póliza los procesos a seguir para cada cobertura y los consentimientos a solicitar a Hiscox. 1.4 Responsabilidad por En el caso de que reciba una reclamación por contenido digital, por favor, póngase en contenido digital contacto con su mediador de seguros. Al objeto de poder tramitar el expediente correctamente, Hiscox le solicitará a través de su mediador, la documentación necesaria para el análisis de la cobertura de la póliza. Entre otras, reclamación formal escrita del perjudicado, documentación judicial u otro, versión detallada de los hechos por parte del asegurado, información sobre el error supuestamente cometido, etc. En el caso de que el asegurado desee nombrar un abogado, perito o experto forense para que le asistan en su defensa, deberá solicitar la previa autorización por escrito de Hiscox, y facilitarle el presupuesto de honorarios para su aprobación. El asegurado podrá designar si lo desea, previa solicitud a Hiscox, alguno de los profesionales previstos en el Panel de Expertos de Hiscox. Por favor, verifique en la póliza los procesos a seguir para cada cobertura y los consentimientos a solicitar a Hiscox. 18334 05/18 16 [Seite 17] Hiscox CyberClear Condiciones Especiales Panel de expertos de Hiscox Servicio de contención SOC Deloitte +34 910 386 819 tecnológica Back up: Minsait by Indra www.minsait.com Forensic Deloitte https://www2.deloitte.com/es/es.html Minsait by Indra www.minsait.com Monitorizacion de información Deloitte https://www2.deloitte.com/es/es.html Servicios legales Ecija Abogados http://ecija.com/ Rosaud Costas y Durán http://www.rousaudcostasduran.com/ Deloitte Legal https://www2.deloitte.com/es/es.html Comunicación Weber Shandwick http://webershandwick.es/ y Relaciones Públicas Deloitte https://www2.deloitte.com/es/es.html 18334 05/18 CIF - W0185688I Hiscox S.A., Sucursal en España Inscrita en el Registro Mercantil de Madrid Paseo de la Castellana 60, tomo 37388, folio 160, hoja M-666589 7ª planta Madrid 28046 DGSFP Clave E231 17