Contrato de encargo de datos personales

1. Objeto y alcance

Aplica a los datos personales contenidos en los Datos del Cliente que tratamos por cuenta del Cliente para prestar el Servicio. No aplica a los datos que tratamos como responsables (cuentas, facturación, seguridad), que se rigen por el Aviso de privacidad.

2. Instrucciones del Cliente

• Trataremos los datos solo conforme a las instrucciones documentadas del Cliente: estos documentos, la configuración del espacio de trabajo y las acciones que sus usuarios realizan en el Servicio.
• No los usaremos para finalidades propias distintas de prestar, proteger y dar soporte al Servicio, salvo estadísticas agregadas y desidentificadas que no permitan identificar a nadie.
• Si consideramos que una instrucción infringe la ley, se lo informaremos al Cliente y podremos abstenernos de cumplirla.
• El Cliente garantiza que cuenta con la base legal, los avisos de privacidad y, en su caso, los consentimientos necesarios para que tratemos esos datos.

3. Confidencialidad

Las personas que, por nuestra parte, acceden a los datos lo hacen solo cuando es necesario para prestar o dar soporte al Servicio y están obligadas a guardar confidencialidad, incluso después de terminada su relación con nosotros.

4. Medidas de seguridad

Mantenemos, como mínimo, las siguientes medidas, que podemos mejorar sin reducir el nivel de protección:

• cifrado en tránsito (HTTPS) y cifrado en reposo en la infraestructura de nuestros proveedores;
• separación lógica de cada espacio de trabajo y control de acceso por roles verificado en el servidor;
• verificación reforzada (passkeys) y acceso por tiempo limitado para el personal de plataforma;
• registros de auditoría de los cambios relevantes y de los accesos de plataforma;
• respaldos con recuperación a un punto en el tiempo de 7 días y copias de hasta 35 días;
• límites de uso, protección contra abusos y monitoreo de errores con eliminación de datos personales;
• seudonimización de catadores en los envíos a la SCA y vencimiento de enlaces compartidos.

5. Subencargados

• El Cliente nos autoriza a contratar a los subencargados listados en Subencargados y ubicación de datos.
• Les imponemos por contrato obligaciones de protección de datos equivalentes a las de este contrato y respondemos por su cumplimiento.
• Avisaremos de cualquier subencargado nuevo o reemplazo con al menos 15 días naturales de anticipación, publicándolo en esa página y por correo a los propietarios de espacios de trabajo con Plan de pago. El Cliente puede oponerse por causas razonables relacionadas con la protección de datos; si no encontramos una alternativa, podrá cancelar el Servicio afectado con reembolso proporcional del periodo pagado no usado.
• En una emergencia de seguridad o continuidad podemos hacer un cambio con aviso inmediato posterior.

6. Asistencia al Cliente

• El Servicio permite al Cliente atender por sí mismo las solicitudes de los titulares: consultar, corregir, exportar y eliminar información, retirar miembros y eliminar el espacio de trabajo.
• Si recibimos directamente una solicitud de un titular sobre datos del Cliente, se la remitiremos sin responderla en el fondo, salvo que la ley nos obligue.
• Daremos asistencia razonable al Cliente para cumplir sus obligaciones de seguridad, evaluaciones de impacto y consultas a autoridades, con la información de que dispongamos.

7. Vulneraciones de seguridad

Si confirmamos una vulneración de seguridad que afecte datos del Cliente, se lo notificaremos sin demora indebida y, de ser posible, dentro de las 72 horas siguientes, con la información disponible: naturaleza del incidente, datos y titulares afectados, medidas adoptadas y recomendaciones. Actualizaremos la información conforme avance la investigación. Como responsable, al Cliente le corresponde informar a los titulares cuando la ley lo exija, y le ayudaremos a hacerlo.

8. Devolución y eliminación de los datos

• Durante la vigencia del Servicio, el Cliente puede exportar sus datos con las herramientas disponibles.
• Cuando el propietario solicita la eliminación del espacio de trabajo, este queda programado durante 30 días (periodo en el que puede cancelarse) y después se elimina de forma definitiva. Los datos eliminados salen de los respaldos en un máximo de 35 días.
• Conservaremos solo lo que la ley nos obligue a guardar, bloqueado y con acceso restringido, y lo suprimiremos al terminar ese plazo.

9. Auditorías

Demostramos el cumplimiento de este contrato mediante documentación: este contrato, la descripción de medidas de seguridad, la lista de subencargados y las respuestas a un cuestionario razonable de seguridad una vez al año, que el Cliente puede solicitar en contacto@cafedelossentidos.com. Las auditorías presenciales proceden solo cuando las exija la ley o una autoridad, con aviso de al menos 30 días, en horario hábil, a costa del Cliente y sin acceso a información de otros clientes.

10. Transferencias internacionales

Los datos se alojan y tratan en Estados Unidos, como se detalla en Subencargados y ubicación de datos, y el Cliente lo autoriza. Cuando la normativa aplicable lo exija (por ejemplo, para datos sujetos al RGPD), las transferencias se ampararán en cláusulas contractuales tipo o en el mecanismo de transferencia que corresponda.

11. Responsabilidad, vigencia y cesión

• La responsabilidad de cada parte se rige por los límites de los Términos, salvo que la ley disponga otra cosa.
• Este contrato estará vigente mientras tratemos datos del Cliente y se cederá junto con los Términos a la sociedad que suceda a nosotros en la operación de Koffe, que asumirá las mismas obligaciones.
• Se rige por las leyes federales de México y se somete a los tribunales de la Ciudad de México, igual que los Términos.