Contrato de encargado del tratamiento de datos personales

El Responsable encomienda al Encargado el tratamiento de datos personales por su cuenta y conforme a sus instrucciones, con el único fin de prestar el servicio Tojel PLD. Conforme al artículo 2, fracciones XII, XIV y XVI, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en lo sucesivo la Ley de Datos, el Responsable decide sobre el tratamiento y el Encargado trata los datos por cuenta de aquel. Este contrato acredita la existencia, alcance y contenido de la relación conforme al artículo 51 del Reglamento de esa ley en lo que no se oponga a la Ley de Datos. Cada parte responde de manera directa de las obligaciones que la ley le impone y este contrato no traslada, reduce ni extingue ninguna de ellas.

El Encargado trata los datos solo para las finalidades siguientes:

1. Integrar, actualizar y conservar el expediente único de identificación de cada persona cliente o usuaria del Responsable y de su beneficiario controlador, conforme al artículo 18, fracciones I a IV, de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, en lo sucesivo la Ley Antilavado.
2. Ejecutar el cotejo facial uno a uno y la prueba de vida para apoyar la verificación de identidad, únicamente cuando conste el consentimiento del titular.
3. Registrar actos y operaciones, calcular umbrales y acumulaciones, generar alertas de apoyo y proveer información para la evaluación con enfoque basado en riesgos del Responsable.
4. Preparar los archivos de aviso e informe que el Responsable revisa y presenta por sí mismo ante la autoridad.
5. Conservar la información por los plazos de la Ley Antilavado y su Reglamento, con bitácora inalterable.
6. Proveer las funciones que el Responsable necesita para atender los derechos de los titulares y los requerimientos de autoridad.

El Encargado no trata los datos para fines propios, no los comercializa, no elabora perfiles con fines comerciales, no los usa para entrenar modelos de inteligencia artificial y no los combina con datos de otros clientes.

Los titulares son las personas clientes o usuarias del Responsable, sus representantes y apoderados, sus beneficiarios controladores, las contrapartes de los actos registrados y los usuarios autorizados del Responsable. Las categorías son datos de identificación y contacto; claves de Registro Federal de Contribuyentes y de la Clave Única de Registro de Población; actividad u ocupación; imágenes de documentos de identificación; datos patrimoniales y financieros relativos a los actos y operaciones, sus montos, medios e instrumentos de pago; información sobre la calidad de persona políticamente expuesta, grado de riesgo y alertas; y datos biométricos consistentes en la imagen facial tomada en vivo, el resultado de su comparación con el documento y el resultado de la prueba de vida.

Las partes reconocen lo siguiente:

1. El tratamiento de los datos de identificación, de beneficiario controlador y de operaciones que exige la Ley Antilavado no requiere consentimiento del titular, porque una disposición jurídica lo ordena, conforme al artículo 9, fracción I, de la Ley de Datos.
2. El cotejo facial no es exigido por la Ley Antilavado. Las partes tratan los datos biométricos como datos personales sensibles conforme al artículo 2, fracción VI, de la Ley de Datos, porque su uso indebido puede conllevar un riesgo grave para el titular. En consecuencia, el Responsable obtiene el consentimiento expreso y por escrito del titular mediante firma electrónica o el mecanismo de autenticación que la plataforma provee, conforme al artículo 8 de la Ley de Datos, y ofrece a quien no lo otorgue una vía de identificación sin biometría.
3. La plataforma registra el consentimiento antes de ejecutar cada cotejo y no ejecuta cotejo alguno sin ese registro. La revocación impide cotejos posteriores y no afecta la evidencia que deba conservarse por disposición legal.
4. La base de datos con datos sensibles se justifica por la finalidad legítima y concreta de reducir el riesgo de suplantación en la identificación que el artículo 18, fracción I, de la Ley Antilavado impone al Responsable, conforme al artículo 8, segundo párrafo, de la Ley de Datos.
5. El Responsable pone a disposición de los titulares su aviso de privacidad, que debe identificar los datos sensibles, las finalidades y el tratamiento por encargados en Estados Unidos de América. El anexo B contiene un texto de referencia que el Responsable puede adaptar bajo su responsabilidad.

Son instrucciones documentadas del Responsable este contrato, los Términos y Condiciones y la configuración que el Responsable establezca en la plataforma. El Encargado informa al Responsable si a su juicio una instrucción infringe la ley y se abstiene de ejecutarla hasta recibir confirmación escrita. Si el Encargado trata los datos para una finalidad distinta o los transfiere contra las instrucciones, asume las obligaciones de un responsable, conforme al artículo 53 del Reglamento de la Ley de Datos.

El Encargado se obliga a tratar los datos solo conforme a las instrucciones; a abstenerse de tratarlos para finalidades distintas; a mantener las medidas de seguridad de la cláusula octava; a guardar confidencialidad; a suprimirlos al término de la relación conforme a la cláusula décima sexta, salvo que una disposición legal exija conservarlos; a no transferirlos salvo instrucción del Responsable, subcontratación autorizada o requerimiento de autoridad competente; y a velar por que sus subencargados respeten el aviso de privacidad del Responsable, conforme al artículo 13 de la Ley de Datos y al artículo 50 de su Reglamento.

El Encargado establece controles para que toda persona que intervenga en el tratamiento guarde confidencialidad, obligación que subsiste después de concluida su relación, conforme al artículo 20 de la Ley de Datos. Esos controles comprenden compromiso escrito de confidencialidad, acceso por identidad y por necesidad de función, y bitácora de acceso. El Encargado no revela ni divulga información que vincule a una persona con un aviso o con un requerimiento de autoridad, conforme al artículo 63, fracción II, de la Ley Antilavado.

El Encargado mantiene medidas administrativas, técnicas y físicas no menores a las que aplica a su propia información, que consideran el riesgo, las consecuencias para los titulares, la sensibilidad de los datos y el desarrollo tecnológico, conforme al artículo 18 de la Ley de Datos. Esas medidas comprenden, al menos:

1. Aislamiento de la información de cada Responsable mediante políticas de seguridad a nivel de fila en la base de datos, con un rol de aplicación que no puede omitirlas.
2. Cifrado en tránsito y en reposo.
3. Control de acceso por rol, principio de mínimo privilegio y autenticación reforzada para las cuentas con acceso a datos sensibles.
4. Registros de solo adición con huellas criptográficas, de modo que ninguna corrección borre el registro anterior.
5. Respaldos y procedimientos de recuperación.
6. Gestión de secretos fuera del código fuente y separación de ambientes.
7. Respecto del cotejo facial, transmisión cifrada a los subencargados y conservación, como evidencia del cotejo, únicamente de huellas criptográficas de las imágenes, el puntaje, el umbral, el resultado y el estado de la prueba de vida. El Encargado se obliga a no crear en los subencargados colecciones, listas o grupos persistentes de rostros y a no habilitar funciones que permitan a estos usar las imágenes para fines propios.

Las partes limitan el tratamiento de datos sensibles al mínimo indispensable, conforme al artículo 12 de la Ley de Datos. La evidencia del cotejo forma parte del expediente y se conserva por el plazo legal de conservación. Las imágenes del documento de identificación se conservan como parte del expediente porque el artículo 18, fracción I, de la Ley Antilavado exige recabar copia de los documentos. La imagen facial tomada en vivo solo se conserva si el Responsable decide incorporarla al expediente. La información se conserva por al menos diez años contados a partir de la fecha de la actividad, y las copias de avisos, informes y acuses por al menos diez años contados a partir de su presentación o emisión, conforme al artículo 18, fracción IV, de la Ley Antilavado y al artículo 20 de su Reglamento, y después se suprime previo bloqueo conforme al artículo 10 de la Ley de Datos.

El Responsable autoriza de manera general al Encargado a recurrir a los subencargados del anexo A, conforme a los artículos 54 y 55 del Reglamento de la Ley de Datos. El Encargado formaliza con cada subencargado cláusulas que lo obligan a proteger los datos en términos equivalentes a este contrato, y responde frente al Responsable por la actuación de ellos. El Encargado comunica cualquier incorporación o sustitución de un subencargado con al menos treinta días naturales de anticipación. El Responsable puede oponerse por escrito y con causa dentro de ese plazo; si la oposición no se resuelve, el Responsable puede terminar el contrato sin penalidad.

La comunicación de datos del Responsable al Encargado y de este a sus subencargados, dentro o fuera del territorio nacional, no constituye transferencia conforme al artículo 2, fracción XX, de la Ley de Datos, y no requiere ser informada al titular ni contar con su consentimiento conforme al artículo 53 del Reglamento de esa ley. Sin perjuicio de ello, el Responsable informa en su aviso de privacidad que el cotejo facial y el envío de notificaciones se procesan en Estados Unidos de América. El Encargado no transfiere datos a terceros por iniciativa propia. La presentación de avisos ante la autoridad es un acto del Responsable, previsto en ley, que el Encargado no realiza.

El Responsable atiende las solicitudes de acceso, rectificación, cancelación y oposición. Si una solicitud llega al Encargado, este la remite al Responsable a más tardar el día hábil siguiente y no la responde por cuenta propia. El Encargado entrega la información o ejecuta la acción técnica que el Responsable le solicite dentro de los cinco días hábiles siguientes, para que el Responsable cumpla el plazo de veinte días del artículo 31 de la Ley de Datos. Las partes reconocen que no procede cancelar datos que deban tratarse por disposición legal ni oponerse a un tratamiento necesario para cumplir una obligación legal del Responsable, conforme a los artículos 25, fracción II, y 26, último párrafo, de la Ley de Datos.

El Encargado notifica al Responsable toda vulneración que afecte datos del Responsable sin dilación y a más tardar dentro de las veinticuatro horas siguientes a que tenga conocimiento de ella, aun cuando la investigación no haya concluido, y actualiza la información conforme avance. La notificación indica la naturaleza del incidente, los datos y titulares comprometidos, las recomendaciones para los titulares, las acciones correctivas inmediatas y definitivas y el medio de contacto. El Responsable informa de forma inmediata a los titulares cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales, conforme al artículo 19 de la Ley de Datos, y el Encargado coopera con esa comunicación. Ambas partes conservan registro de las vulneraciones y de las medidas adoptadas.

Cada parte comunica a la otra, dentro de las cuarenta y ocho horas siguientes y salvo prohibición legal o de la autoridad, todo requerimiento, procedimiento de protección de derechos o procedimiento de verificación que la Secretaría Anticorrupción y Buen Gobierno le dirija sobre los datos objeto de este contrato. El Encargado facilita al Responsable la información y las exportaciones que este necesite para atender requerimientos y visitas de verificación de la Secretaría de Hacienda y Crédito Público o del Servicio de Administración Tributaria conforme a la Ley Antilavado. El Encargado no entrega a una autoridad datos del Responsable salvo mandato fundado y motivado, y en ese caso entrega solo lo estrictamente requerido.

El Responsable puede solicitar, una vez por año calendario y con aviso de quince días naturales, información documental que acredite el cumplimiento de este contrato. La persona auditora interna o externa que el Responsable designe conforme al artículo 18, fracción XI, de la Ley Antilavado puede recibir la misma información. La revisión se realiza de manera documental o remota, no comprende acceso a datos de otros clientes ni a información que comprometa la seguridad de la plataforma, y los costos de revisiones adicionales corren a cargo del Responsable.

Al término de la relación, el Encargado pone los datos a disposición del Responsable en formatos estructurados de uso común durante noventa días naturales. Vencido ese plazo, el Encargado conserva los datos bloqueados para cualquier uso distinto de su resguardo y de las exportaciones que el Responsable solicite, hasta que concluya el plazo legal de conservación, porque ese plazo es obligación del Responsable que prevalece sobre la supresión, conforme al artículo 50, fracción V, del Reglamento de la Ley de Datos. Concluido el plazo y sin retención vigente, el Encargado suprime los datos, instruye la supresión a sus subencargados y entrega constancia fechada.

Cada parte responde frente a la autoridad y frente a los titulares por las obligaciones que la ley le atribuye. El Responsable responde de la licitud de la obtención de los datos, de su aviso de privacidad, de la obtención del consentimiento para el cotejo facial y de la exactitud de la información que captura. El Encargado responde de la seguridad del tratamiento que realiza, del apego a las instrucciones y de la disponibilidad de las funciones necesarias para el ejercicio de los derechos. Cada parte indemniza a la otra por las sanciones y condenas que esta sufra como consecuencia directa de un incumplimiento imputable a la primera, dentro del límite de responsabilidad pactado en los Términos y Condiciones, que no aplica en caso de dolo o culpa grave ni cuando el Encargado trate los datos para una finalidad distinta de la instruida.

Este contrato inicia con la aceptación de los Términos y Condiciones y termina con ellos. Las obligaciones de confidencialidad, conservación bloqueada, devolución, supresión, notificación de vulneraciones y cooperación ante la autoridad subsisten a la terminación por el tiempo necesario para cumplirlas.

Este contrato se rige por la Ley de Datos, por su Reglamento en lo que no se oponga a ella y por las demás leyes federales aplicables. Las partes se someten a los tribunales competentes de Tijuana, Baja California, y renuncian a cualquier otro fuero.

Los siguientes proveedores no tratan datos de los titulares del Responsable y se informan para transparencia: Stripe y sus afiliadas procesan los pagos de la licencia con los datos de facturación del propio Responsable, en Estados Unidos de América; SW, proveedor de certificación de comprobantes fiscales digitales por Internet, timbra las facturas de la licencia con los datos fiscales del propio Responsable, en México. Respecto de esos datos, el Encargado actúa como responsable conforme a su propio aviso de privacidad.

Texto para el aviso de privacidad: Para identificarle conforme a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita tratamos sus datos de identificación, contacto, actividad u ocupación, datos patrimoniales y financieros de la operación, copia de su identificación oficial e información de su beneficiario controlador; ese tratamiento lo ordena la ley y no requiere su consentimiento. Si usted lo acepta, compararemos una fotografía de su rostro tomada en vivo con la fotografía de su identificación para reducir el riesgo de suplantación; consideramos esa información como dato personal sensible y solo la tratamos con su consentimiento expreso y por escrito. Si no lo otorga, le identificaremos por otro medio sin biometría. Nuestros encargados del tratamiento procesan la comparación facial y el envío de notificaciones en Estados Unidos de América. Conservamos la información por al menos diez años, como lo exige la ley.

Texto de consentimiento para el cotejo facial: Otorgo mi consentimiento expreso para que la persona que me identifica, cuyo nombre aparece en esta pantalla, compare una fotografía de mi rostro tomada en este momento con la fotografía de mi identificación oficial, con la única finalidad de verificar mi identidad, y para que esa comparación la procesen sus encargados del tratamiento en Estados Unidos de América. Sé que puedo negarme y ser identificado por otro medio, y que puedo revocar este consentimiento sin efectos retroactivos.