Partes y objeto
Celebran este contrato, por una parte, la empresa cliente que acepta los términos y condiciones (el «responsable») y, por la otra, OMER LOPEZ JR. (OL Sistemas), RFC LOOM911207DRA, operador de CumpleOL (el «encargado»).
El objeto es regular el tratamiento de los datos personales que el responsable, sus usuarios y sus proveedores cargan a la plataforma, en particular los de los trabajadores asignados a contratos de servicios u obras especializados (nombre, CURP, NSS, RFC, salario base, recibos de nómina y documentos relacionados) y los de contacto de los proveedores, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-mar-2025) y su normativa.
Tratamiento conforme a instrucciones
- El encargado tratará los datos únicamente para prestar el servicio contratado y conforme a las instrucciones documentadas del responsable, que se entienden dadas por la configuración que éste realiza en la plataforma y por este contrato.
- El encargado no tratará los datos para finalidades propias, no los venderá ni los transferirá a terceros, salvo a los subencargados autorizados o cuando lo exija una autoridad competente; en este último caso, avisará al responsable cuando la ley lo permita.
- Si el encargado considera que una instrucción es contraria a la ley, lo informará al responsable.
Obligaciones del responsable
- Contar con la base legal para el tratamiento y poner a disposición de los titulares (incluidos los trabajadores de sus proveedores) el aviso de privacidad correspondiente.
- Recabar solo los datos necesarios para sus fines de debida diligencia y mantenerlos exactos y actualizados.
- Administrar los accesos de sus usuarios y proveedores conforme al principio de mínimo privilegio.
- Atender las solicitudes de derechos ARCO de los titulares de cuyos datos es responsable.
Confidencialidad
El encargado guardará confidencialidad respecto de los datos y se asegurará de que las personas autorizadas para tratarlos estén sujetas a una obligación de confidencialidad. Esta obligación subsiste después de terminada la relación.
Medidas de seguridad
El encargado aplica medidas administrativas, técnicas y físicas razonables, entre ellas:
- Cifrado en tránsito (TLS 1.2 o superior) y cifrado de archivos en reposo con AES-256-GCM.
- Aislamiento lógico de la información de cada cuenta y control de acceso por roles.
- Autenticación con contraseñas protegidas con PBKDF2, verificación en dos pasos y bloqueo por intentos fallidos.
- Bitácora de actividades con huellas encadenadas.
- Respaldos diarios cifrados y gestión de vulnerabilidades.
El detalle vigente se publica en la página de seguridad de la información.
Subencargados
El responsable autoriza al encargado a apoyarse en los siguientes subencargados, que asumen obligaciones de protección equivalentes:
| Subencargado | Servicio |
|---|---|
| DigitalOcean, LLC | Infraestructura en la nube: cómputo, almacenamiento y respaldos |
| Mailgun Technologies, Inc. | Envío de correos electrónicos transaccionales |
| Stripe, Inc. | Procesamiento de pagos (solo datos de facturación y pago del responsable) |
El encargado avisará con al menos 30 días naturales de anticipación la incorporación o sustitución de un subencargado. Si el responsable se opone por causas razonables relacionadas con la protección de datos, podrá terminar el servicio sin penalización antes de que el cambio surta efectos.
Algunos subencargados pueden tratar datos fuera de México; el encargado se asegura de que existan obligaciones contractuales que garanticen un nivel de protección adecuado.
Asistencia al responsable
El encargado asistirá al responsable, en la medida de lo razonable y con las funciones de la plataforma, para atender solicitudes de derechos ARCO, consultas de autoridades y evaluaciones de impacto. Si un titular dirige al encargado una solicitud relativa a datos de los que el responsable es responsable, el encargado se la remitirá sin dilación y no la responderá directamente salvo instrucción del responsable.
Notificación de vulneraciones de seguridad
Si el encargado confirma una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares, lo notificará al responsable sin dilación indebida y, a más tardar, dentro de las 72 horas siguientes a su confirmación, indicando, en lo posible: la naturaleza del incidente, los datos y titulares afectados, las medidas adoptadas, las recomendaciones para los titulares y un punto de contacto. El encargado documentará el incidente y colaborará con el responsable para que éste cumpla con su obligación de informar a los titulares.
Devolución y eliminación
Al terminar el servicio, el responsable cuenta con 30 días naturales para exportar sus datos. Concluido ese plazo, el encargado eliminará de forma segura los datos personales y sus copias, incluidas las de respaldo conforme a su ciclo de rotación, salvo aquellos que deba conservar por disposición legal, que mantendrá bloqueados y solo para ese fin. A solicitud del responsable, el encargado emitirá una constancia de eliminación.
Auditoría y verificación
El responsable podrá verificar el cumplimiento de este contrato mediante cuestionarios de seguridad y la información que el encargado ponga a su disposición. Cuando existan motivos fundados, podrá solicitar una auditoría, una vez por año calendario, con aviso de al menos 30 días naturales, durante horas hábiles, sin afectar la operación ni la confidencialidad de otros clientes, y a su costa. El auditor deberá suscribir un compromiso de confidencialidad.
Responsabilidad y vigencia
Cada parte responde de sus propios incumplimientos conforme a la ley. La responsabilidad del encargado se sujeta a la limitación prevista en los términos y condiciones, salvo dolo o mala fe. Este contrato estará vigente mientras el encargado trate datos por cuenta del responsable.