Contrato de Encargo de Tratamiento de Datos

Este documento es un modelo. Se usa cuando, al desarrollar u operar un proyecto para un cliente, TechPlace llega a tratar datos personales de los usuarios finales de ese cliente (por ejemplo, al alojar una base de datos o un CRM que el cliente opera). Los datos entre [COMPLETAR: corchetes] se completan por proyecto — este modelo no constituye, por sí solo, un contrato vigente con nadie.

Contrato de encargo de tratamiento de datos personales (el "Contrato") que celebran, por una parte, [COMPLETAR: razón social o nombre del cliente], a quien en lo sucesivo se le denominará "EL RESPONSABLE", y por la otra, [COMPLETAR: razón social o nombre completo del titular], con nombre comercial TechPlace, a quien en lo sucesivo se le denominará "EL ENCARGADO", conforme al artículo 3, fracción IX, y al artículo 49 del Reglamento de la LFPDPPP, y sujeto a las siguientes declaraciones y cláusulas.

Declaraciones

I. EL RESPONSABLE declara ser el titular de las decisiones sobre el tratamiento de los datos personales objeto de este Contrato, en su calidad de "responsable" conforme a la LFPDPPP.

II. EL ENCARGADO declara contar con la infraestructura técnica y las medidas de seguridad necesarias para tratar datos personales por cuenta de EL RESPONSABLE, en el marco del proyecto [COMPLETAR: nombre/descripción del proyecto] desarrollado u operado para EL RESPONSABLE.

Cláusulas

Primera. Objeto

EL RESPONSABLE encomienda a EL ENCARGADO el tratamiento de los datos personales que se detallan en el Anexo A de este Contrato, exclusivamente para las finalidades ahí descritas y en el marco del proyecto referido en la Declaración II.

Segunda. Instrucciones

EL ENCARGADO únicamente tratará los datos personales conforme a las instrucciones documentadas de EL RESPONSABLE. Si EL ENCARGADO considera que alguna instrucción infringe la LFPDPPP o su Reglamento, lo notificará de inmediato a EL RESPONSABLE, sin estar obligado a ejecutarla hasta que se subsane.

Tercera. Obligaciones de EL ENCARGADO

EL ENCARGADO se obliga a:

• Tratar los datos personales únicamente conforme a las instrucciones de EL RESPONSABLE.
• Implementar y mantener medidas de seguridad administrativas, técnicas y físicas razonables para proteger los datos personales contra daño, pérdida, alteración, acceso o tratamiento no autorizado.
• Guardar confidencialidad respecto de los datos personales tratados, incluso después de concluida la relación con EL RESPONSABLE.
• Notificar a EL RESPONSABLE, sin dilación indebida y en un plazo no mayor a [COMPLETAR: número] horas, cualquier vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares.
• No transferir los datos personales a un tercero distinto de EL RESPONSABLE, salvo que este lo autorice expresamente o la transferencia sea exigida por autoridad competente.
• En caso de subcontratar a otro proveedor ("subencargado") para prestar parte del servicio (por ejemplo, hosting o almacenamiento en la nube), imponerle contractualmente las mismas obligaciones de este Contrato y notificarlo previamente a EL RESPONSABLE.
• Al término de la relación, según instruya EL RESPONSABLE: devolver los datos personales tratados, o suprimirlos de forma segura, salvo obligación legal de conservarlos.
• Colaborar con EL RESPONSABLE para atender solicitudes de derechos ARCO de los titulares de los datos, y para responder requerimientos del INAI u otra autoridad competente.

Cuarta. Subencargados autorizados

A la fecha de este Contrato, EL RESPONSABLE autoriza a EL ENCARGADO a apoyarse en los siguientes subencargados para prestar el servicio: [COMPLETAR: lista de proveedores de infraestructura, p. ej. Supabase, Cloudinary, Vercel]. Cualquier subencargado adicional requiere autorización previa de EL RESPONSABLE conforme a la cláusula Tercera.

Quinta. Auditoría

EL RESPONSABLE podrá solicitar a EL ENCARGADO, con una anticipación razonable, evidencia documental del cumplimiento de las obligaciones de seguridad y confidencialidad establecidas en este Contrato.

Sexta. Responsabilidad

EL ENCARGADO será responsable frente a EL RESPONSABLE por los daños derivados del tratamiento de datos personales que sean atribuibles a su incumplimiento de este Contrato o de la LFPDPPP.

Séptima. Vigencia

Este Contrato estará vigente mientras subsista la prestación de servicios entre las partes respecto del proyecto referido en la Declaración II, y sobrevivirá su terminación en lo relativo a confidencialidad y devolución o supresión de datos.

Octava. Legislación aplicable y jurisdicción

Este Contrato se interpreta conforme a la LFPDPPP, su Reglamento, y demás legislación federal mexicana aplicable. Para cualquier controversia, las partes se someten a los tribunales competentes de Tijuana, Baja California, renunciando a cualquier otro fuero.

Leído que fue el presente Contrato y enteradas las partes de su contenido y alcance legal, lo firman de conformidad en la ciudad de Tijuana, Baja California, a los [COMPLETAR: día] días del mes de [COMPLETAR: mes] de [COMPLETAR: año].