Documento legal

Condiciones de Encargo del Tratamiento de Datos Personales

Versión CE-1.1

Celebran estas condiciones:

la persona identificada como cliente en la Orden de Servicio (“el Responsable”), y
el titular de la marca DataPraxis, identificado en la cláusula 20 (“DataPraxis”).

El Responsable las acepta junto con el Anexo Operativo vigente por cualquiera de los actos previstos en la cláusula 13.3 del Contrato de Prestación de Servicios. Quien acepta declara contar con facultades suficientes para obligar al Responsable, no revocadas ni limitadas.

Cláusula 1. Objeto y naturaleza.

1.1. Estas condiciones son el instrumento que establece la existencia, el alcance y el contenido de la relación entre el Responsable y DataPraxis respecto de los datos personales que DataPraxis trata por cuenta del Responsable (Reglamento, art. 51).

1.2. En esa relación el Responsable es responsable y DataPraxis es encargado. DataPraxis trata los datos personales por cuenta del Responsable como consecuencia de la relación jurídica que los vincula y que delimita el ámbito de su actuación (Reglamento, art. 49).

1.3. El medio por el que se contrata o se factura el servicio no modifica estos roles.

Cláusula 2. Definiciones.

Los términos de estas condiciones tienen el significado que les dan la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento. Además:

(a) Anexo Operativo: documento versionado que describe el encargo concreto del Responsable.

(b) Instrucciones documentadas: estas condiciones, el Anexo Operativo vigente y las instrucciones que emitan en la Plataforma los usuarios autorizados por el Responsable.

(d) Subencargado: persona física o moral a la que DataPraxis subcontrata, en nombre y por cuenta del Responsable, servicios que implican tratamiento de los datos personales.

(e) Vulneración: la pérdida o destrucción no autorizada; el robo, extravío o copia no autorizada; el uso, acceso o tratamiento no autorizado, o el daño, la alteración o modificación no autorizada de los datos personales (Reglamento, art. 63).

Cláusula 3. Alcance del encargo.

3.1. DataPraxis trata únicamente los datos personales que describe el Anexo Operativo vigente: de los titulares, para las finalidades, mediante las operaciones, durante el periodo y con los subencargados que ahí se indican.

3.2. Cuando el Responsable trate datos personales por cuenta de un tercero y encargue a DataPraxis parte de ese tratamiento, se aplica además el Anexo S, que forma parte de estas condiciones.

Cláusula 4. Instrucciones.

4.1. DataPraxis trata los datos personales únicamente conforme a las instrucciones documentadas del Responsable y se abstiene de tratarlos para finalidades distintas (Reglamento, art. 50, fr. I y II).

4.2. El Responsable comunicará a DataPraxis, por medio de la Plataforma, los avisos de privacidad cuyas condiciones deben respetarse en el tratamiento encargado. Los acuerdos de este encargo deberán ser acordes con esos avisos (LFPDPPP, art. 13; Reglamento, art. 50, párrafo segundo; Lineamientos del Aviso de Privacidad, Decimoquinto).

Cláusula 5. Prohibición de uso propio.

DataPraxis no destinará ni utilizará los datos personales para finalidades propias o distintas de las autorizadas por el Responsable, ni los transferirá en contravención de sus instrucciones. Si lo hiciera, sería considerado responsable de ese tratamiento, con las obligaciones propias de éste (Reglamento, art. 53, párrafo segundo, fr. I y II).

Cláusula 6. Confidencialidad.

DataPraxis guardará confidencialidad respecto de los datos personales tratados. Establecerá además controles para que todas las personas que intervengan en cualquier fase del tratamiento también la guarden. Esta obligación subsistirá aun después de terminada la relación (LFPDPPP, art. 20; Reglamento, art. 50, fr. IV).

Cláusula 7. Seguridad.

7.1. DataPraxis establecerá y mantendrá medidas de seguridad administrativas, físicas y técnicas para proteger los datos personales que trata por cuenta del Responsable (Reglamento, arts. 50, fr. III, y 57).

7.2. El Anexo Operativo describe las medidas que DataPraxis mantiene. Esa descripción no constituye certificación ni declaración de cumplimiento del Responsable.

7.3. El Responsable conserva la obligación de determinar las medidas de seguridad aplicables y de contar con su relación de medidas (Reglamento, arts. 60 y 61). DataPraxis le proporcionará la información de sus propias medidas y de la ubicación del tratamiento que necesite para ello.

Cláusula 8. Servicio en la nube.

El Responsable se adhiere a la Plataforma mediante condiciones generales. Por ello, DataPraxis (Reglamento, art. 52):

(a) aplica la política de protección de datos personales que se identifica en el Anexo Operativo;

(b) transparenta en el Anexo Operativo las subcontrataciones que involucran los datos personales, por categoría de servicio, con los datos que tratan y el país o región del tratamiento. La identidad de cada subencargado se proporciona al Responsable que la solicite;

(d) guarda confidencialidad conforme a la cláusula 6;

(e) da a conocer al Responsable los cambios en su política de privacidad o en estas condiciones, por medio de la Plataforma y del correo registrado, antes de que surtan efectos, con al menos treinta días naturales de anticipación;

(f) permite al Responsable limitar el tipo de tratamiento mediante el Anexo Operativo y sus instrucciones;

(g) mantiene medidas de seguridad conforme a la cláusula 7;

(h) garantiza la supresión de los datos personales una vez concluido el servicio y después de que el Responsable haya podido recuperarlos, conforme a la cláusula 13;

(i) impide el acceso a los datos personales a personas que no cuenten con privilegios de acceso. Si DataPraxis o un subencargado recibe una solicitud fundada y motivada de una autoridad, informará de ese hecho al Responsable.

Cláusula 9. Subencargados.

9.1. El Responsable autoriza que DataPraxis subcontrate, en nombre y por cuenta del Responsable, los servicios que se enlistan en el Anexo Operativo, incluidos los que se prestan desde fuera de México. Esta autorización se otorga mediante estas condiciones (Reglamento, arts. 54, párrafo primero, y 55, párrafo primero).

9.2. DataPraxis formalizará la relación con cada subencargado mediante cláusulas contractuales u otro instrumento que permita acreditar su existencia, alcance y contenido. En ese instrumento el subencargado asume las mismas obligaciones que corresponden al encargado (Reglamento, art. 54, párrafos segundo y tercero). En particular, el subencargado:

trata los datos sólo para prestar el servicio;
no los usa para fines propios;
guarda confidencialidad;
mantiene medidas de seguridad;
suprime los datos al concluir el servicio;
informa de los requerimientos de autoridad;
no asume la titularidad de la información.

9.3. [Suprimida].

9.4. DataPraxis conservará la prueba de que la subcontratación se realizó con autorización del Responsable (Reglamento, art. 54, párrafo cuarto).

9.5. DataPraxis puede incorporar o sustituir subencargados dentro de las categorías descritas en el Anexo Operativo. Cuando incorpore una categoría nueva, actualizará el Anexo y lo comunicará al Responsable antes de que trate datos personales.

Cláusula 10. Remisiones y transferencias.

10.1. Las comunicaciones de datos personales entre el Responsable y DataPraxis, y entre DataPraxis y sus subencargados, se realizan por cuenta del Responsable y constituyen remisiones, nacionales o internacionales. No requieren ser informadas al titular ni contar con su consentimiento (Reglamento, arts. 53, párrafo primero, y 54; Lineamientos del Aviso de Privacidad, Vigésimo sexto, párrafo cuarto).

10.2. DataPraxis no transferirá los datos personales salvo en tres casos (Reglamento, art. 50, fr. VI):

que el Responsable así lo determine;
que la comunicación derive de una subcontratación autorizada;
que lo requiera la autoridad competente.

10.3. Las transferencias que el Responsable decida hacer a terceros son suyas y no forman parte de este encargo.

Cláusula 11. Asistencia en el ejercicio de derechos.

11.1. DataPraxis pondrá a disposición del Responsable, en la Plataforma, el canal y el expediente para recibir y atender solicitudes de acceso, rectificación, cancelación y oposición. Cada solicitud quedará registrada con su fecha de recepción, y los plazos legales se computarán conforme al calendario aprobado (LFPDPPP, arts. 21, 27, 28 y 31; Reglamento, arts. 95 a 98).

11.2. La determinación sobre la procedencia de cada solicitud corresponde al Responsable.

11.3. DataPraxis resguardará los datos personales de modo que permita el ejercicio de estos derechos sin dilación (LFPDPPP, art. 21, párrafo tercero).

11.4. Si un titular dirige una solicitud a DataPraxis, ésta la registrará y la comunicará al Responsable sin dilación.

11.5. Salvo que la Orden de Servicio indique la modalidad de gestión interna, DataPraxis prepara la respuesta a cada solicitud y la envía una vez que el Responsable la autoriza. La procedencia sigue correspondiendo al Responsable conforme a la cláusula 11.2. Si el Responsable no autoriza la respuesta antes del vencimiento del plazo, las consecuencias son suyas.

Cláusula 12. Vulneraciones.

12.1. DataPraxis informará al Responsable cuando tenga conocimiento de una vulneración que afecte datos personales tratados por cuenta de éste. Le proporcionará la información disponible sobre el incidente y las acciones adoptadas, a efecto de que el Responsable pueda cumplir las obligaciones que le correspondan.

12.2. DataPraxis analizará las causas de las vulneraciones que correspondan a sus sistemas y adoptará las acciones correctivas que estén bajo su control. Cuando la vulneración involucre a un subencargado, DataPraxis obtendrá y documentará la información disponible del subencargado y dará seguimiento a las acciones correctivas que correspondan conforme al instrumento aplicable.

12.3. La información a los titulares corresponde al Responsable (LFPDPPP, art. 19; Reglamento, arts. 64 y 65).

Cláusula 13. Conservación, devolución, bloqueo y supresión.

13.1. DataPraxis conservará los datos personales durante los periodos que el Responsable determine y documente para cada ámbito (Reglamento, arts. 37 y 38), según el Anexo Operativo.

13.2. Cuando el Responsable lo instruya, DataPraxis bloqueará los datos personales conforme a la instrucción y al plazo que el Responsable declare (LFPDPPP, art. 24; Reglamento, art. 108).

13.3. Al terminar el encargo o por instrucción del Responsable:

(a) DataPraxis permitirá que el Responsable recupere los datos personales, conforme al mecanismo operativo de la Plataforma, durante los treinta días naturales siguientes a la terminación;

(b) después devolverá o suprimirá los datos objeto del encargo, incluidos sus respaldos conforme a los ciclos ordinarios de conservación de DataPraxis y de sus subencargados, y entregará al Responsable constancia de la supresión (Reglamento, arts. 50, fr. V, y 52, fr. II, inc. d);

(c) Una vez terminado el encargo y concluido el periodo de recuperación, DataPraxis sólo conservará datos personales cuando una disposición legal aplicable exija su conservación. Si el Responsable requiere que DataPraxis continúe conservándolos por su cuenta, dicha instrucción deberá documentarse antes de la terminación y mantener vigente, para ese tratamiento, la relación de encargo correspondiente.

13.4. DataPraxis no conservará, para una finalidad propia, evidencia que contenga datos personales de titulares.

Cláusula 14. Evidencia y trazabilidad.

14.1. Durante el encargo, DataPraxis registrará, con su autor y fecha:

las versiones aceptadas de estas condiciones y del Anexo Operativo;
las instrucciones emitidas en la Plataforma;
las operaciones relevantes.

14.2. Estos registros sirven para que el Responsable pueda acreditar el encargo (Reglamento, art. 51), la trazabilidad del tratamiento (Reglamento, art. 48, fr. X) y la puesta a disposición de avisos y consentimientos cuya prueba le corresponde (Reglamento, arts. 20 y 31).

14.3. Estos registros siguen la suerte de los datos del encargo conforme a la cláusula 13 y no constituyen certificación de cumplimiento.

Cláusula 15. Hechos declarados y delimitaciones.

15.1. El Anexo Operativo refleja los hechos que el Responsable confirmó o aceptó. DataPraxis propone los hechos que puede inferir de la información recibida; cada propuesta se tiene por aceptada si el Responsable la confirma, usa la Plataforma después de recibirla o no la objeta dentro de los diez días naturales siguientes. DataPraxis registra quién aportó cada hecho y cómo quedó confirmado o aceptado.

15.2. Los hechos declarados y los avisos que publica el Responsable son del Responsable.

15.3. DataPraxis responde de sus deberes como encargado.

15.4. Ninguna disposición de estas condiciones exime a las partes de los deberes que les impone la ley.

Cláusula 16. Obligaciones del Responsable.

El Responsable:

(a) cuenta con las bases jurídicas y los avisos de privacidad aplicables a los tratamientos que encarga;

(b) comunica a DataPraxis los avisos de privacidad conforme a la cláusula 4.2;

(d) confirma o corrige los hechos que DataPraxis le propone y declara sus cambios;

(e) designa a la persona o departamento que atiende las solicitudes de los titulares (LFPDPPP, art. 29).

Cláusula 17. Versiones.

17.1. Estas condiciones son la versión CE-1.1. El Anexo Operativo se identifica como AO-[organización]-vN.

17.2. Un cambio en los hechos del Anexo genera una nueva versión, que DataPraxis comunica al Responsable. Se tiene por ratificada si el Responsable no la objeta dentro de los diez días naturales siguientes o si continúa usando el servicio.

17.3. Un cambio en estas condiciones genera una nueva versión, que se notifica conforme a la cláusula 8(e). Si el Responsable continúa usando el servicio después de la fecha en que surte efectos, la nueva versión se tiene por aceptada.

Cláusula 18. Vigencia y terminación.

18.1. Estas condiciones rigen mientras esté en vigor el Contrato de Prestación de Servicios celebrado entre las partes.

18.2. Al terminar se aplica la cláusula 13. La cláusula 6 subsiste.

18.3. El Responsable consiente desde ahora que DataPraxis ceda su posición de encargado conforme a la cláusula Décima segunda del Contrato de Prestación de Servicios. El cesionario asume las obligaciones de estas condiciones en los mismos términos, y DataPraxis lo comunicará al Responsable y actualizará el Anexo Operativo. El Responsable no puede ceder estas condiciones sin autorización previa y por escrito de DataPraxis.

Cláusula 19. Ley aplicable y jurisdicción.

Estas condiciones se rigen por las leyes federales de los Estados Unidos Mexicanos. Para su interpretación y cumplimiento, las partes se someten a los tribunales competentes de la Ciudad de México y renuncian a cualquier otro fuero que pudiera corresponderles por razón de su domicilio presente o futuro.

Cláusula 20. Identificación de DataPraxis.

DataPraxis es la marca con la que presta el servicio la persona identificada en la cláusula Décima séptima del Contrato de Prestación de Servicios, o su cesionario conforme a la cláusula 18.3.

Anexo S · Subencargo

S.1. Este anexo aplica cuando el Responsable trata datos personales por cuenta de un tercero (“Cliente Final”) y encarga a DataPraxis parte de ese tratamiento. En ese ámbito, el Responsable actúa como encargado del Cliente Final y DataPraxis como subencargado (Reglamento, arts. 54 y 55).

S.2. El Responsable declara que cuenta con la autorización de cada Cliente Final para subcontratar servicios que impliquen el tratamiento de sus datos. La carga de datos de un Cliente Final en la Plataforma implica esa declaración. El Responsable responde frente a DataPraxis de su existencia. La cláusula del Apéndice S-1 cumple esa función y DataPraxis la pone a su disposición.

S.3. DataPraxis trata esos datos sólo para prestar el servicio, conforme a las instrucciones del Responsable, que se entienden acordes con las del Cliente Final. No los usa para fines propios, guarda confidencialidad y mantiene las medidas de la cláusula 7.

S.4. DataPraxis comunica al Responsable las solicitudes de titulares y las vulneraciones que afecten esos datos, para que las traslade al Cliente Final.

S.5. Al terminar, DataPraxis devuelve o suprime los datos conforme a la instrucción del Responsable y a la cláusula 13.

S.6. En lo no previsto, se aplican estas condiciones en lo conducente, incluidas las cláusulas de subencargados, evidencia y cesión.

Apéndice S-1 · Cláusula para el contrato del Responsable con el Cliente Final

Tratamiento de datos personales. [Despacho] tratará los datos personales que el Cliente le proporcione para prestar los servicios de este contrato únicamente por cuenta del Cliente y conforme a sus instrucciones, que se entienden dadas por este contrato. El Cliente autoriza que [Despacho] subcontrate, en su nombre y por su cuenta, servicios tecnológicos que impliquen el tratamiento de esos datos, en los mismos términos. [Despacho] guardará confidencialidad, mantendrá medidas de seguridad, no usará los datos para fines propios y, al terminar, los devolverá o suprimirá conforme a las instrucciones del Cliente, salvo que una obligación legal exija conservarlos.

Documentos relacionados: Contrato de Prestación de Servicios · Condiciones de Encargo · Aviso de privacidad