Contrato de encargado de datos personales

Celebran este contrato la empresa cliente que contrata Umbral (“el Responsable”) y [POR DEFINIR: razón social que opera Umbral], con domicilio en [POR DEFINIR: domicilio fiscal completo] (“el Encargado”). Su objeto es regular el tratamiento de los datos personales que el Responsable registra o sube a la plataforma (riesgos, controles, evidencia, planes, hallazgos, activos y datos de su equipo), conforme a la LFPDPPP y su normativa aplicable.

• El Encargado trata los datos únicamente para prestar el servicio contratado y conforme a las instrucciones del Responsable, que se expresan en la configuración y el uso que hace de la plataforma.
• No usará los datos para fines propios, no los venderá ni los compartirá con terceros salvo los subencargados de la cláusula 5 o por mandato de autoridad.
• Si una instrucción le parece contraria a la ley, lo informará al Responsable antes de ejecutarla.

El Encargado guardará confidencialidad sobre los datos, aun después de terminada la relación, y solo permitirá el acceso a su personal que lo necesite para operar o dar soporte, bajo obligaciones de confidencialidad por escrito. El acceso a la información del Responsable para soporte se hace únicamente a petición suya.

El Encargado mantiene, como mínimo, estas medidas:

• Aislamiento de cada empresa en la base de datos mediante políticas que se verifican con pruebas automáticas.
• Cifrado de la información en tránsito y en reposo, incluidos los archivos de evidencia.
• Control de acceso por rol, verificación en dos pasos y bloqueo por intentos fallidos.
• Bitácora inmutable de altas, cambios y bajas, exportable por el Responsable.
• Respaldos automáticos y pruebas periódicas de restauración.
• Evidencia que no se borra: las versiones nuevas reemplazan a las anteriores y ambas se conservan.

El Responsable autoriza al Encargado a apoyarse en los siguientes proveedores, que asumen obligaciones equivalentes:

• Supabase: base de datos, autenticación y almacenamiento de archivos (Estados Unidos).
• Vercel: hospedaje de la aplicación (Estados Unidos).
• Stripe: procesamiento de pagos con tarjeta (Estados Unidos).
• Resend: envío de correos de la plataforma (Estados Unidos).

El Encargado avisará con al menos 30 días de anticipación cualquier cambio de subencargados; si el Responsable se opone con causa justificada, podrá terminar el servicio sin penalización.

Si ocurre una vulneración que afecte los datos del Responsable, el Encargado se lo notificará sin dilación y a más tardar dentro de las 72 horas siguientes a que la confirme, con la información disponible sobre su naturaleza, los datos afectados, las medidas tomadas y las recomendaciones para los titulares. Lo apoyará en las notificaciones que el Responsable deba hacer.

Si un titular dirige al Encargado una solicitud de derechos ARCO sobre datos del Responsable, el Encargado la remitirá al Responsable sin demora y le dará la asistencia razonable para atenderla, por ejemplo con la exportación de la información.

Al terminar el servicio, el Responsable tendrá 30 días para exportar su información. Después, el Encargado suprimirá los datos de forma segura, incluidos los archivos de evidencia, salvo los que una ley le obligue a conservar, que mantendrá bloqueados solo durante el plazo legal. Las copias de respaldo se eliminan con su ciclo de rotación.

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato, como descripciones de sus controles de seguridad y, cuando existan, los informes de auditoría o certificaciones disponibles. Las revisiones adicionales se acordarán por escrito con aviso razonable.

Este contrato está vigente mientras el Responsable use Umbral y, en lo relativo a confidencialidad y supresión, hasta que los datos se hayan eliminado. Para cualquier duda escribe a privacidad@goumbral.com.