Este Acuerdo de Tratamiento de Datos (el «Acuerdo») forma parte de los Términos y Condiciones y regula el tratamiento que Sec Sistemas y Tecnologías de Información, S. de R.L. de C.V. («SECSISTEMAS») realiza por cuenta del Cliente. El Aviso de Privacidad regula los tratamientos en los que SECSISTEMAS actúa como responsable.
El objeto es alojar y procesar los Datos del Cliente para habilitar los módulos contratados, administrar Usuarios, generar documentos y reportes, proporcionar soporte, mantener seguridad y continuidad, y ejecutar integraciones que el Cliente active. Las operaciones pueden comprender recepción, registro, organización, consulta, uso, cotejo, transmisión por instrucción, respaldo, bloqueo, exportación y supresión.
El tratamiento durará mientras se preste el Servicio y durante los periodos limitados de exportación, bloqueo, respaldo o conservación legal indicados en los Términos y este Acuerdo.
Según los módulos y uso decidido por el Cliente, los titulares pueden ser sus empleados, candidatos, socios, representantes, clientes, prospectos, proveedores, contactos, pacientes, profesionales de salud y otras personas relacionadas con sus operaciones.
Los datos pueden incluir identificación y contacto; datos laborales y de nómina; fiscales, patrimoniales y financieros; operaciones comerciales, contables y bancarias; documentos, comunicaciones y bitácoras; datos de salud u otros sensibles cuando el Cliente use módulos que los admitan; y CSD o credenciales de e.firma cuando active las funciones correspondientes.
Constituyen instrucciones el uso configurado del Servicio, estos documentos, la cotización o contrato y las solicitudes autenticadas del Cliente. SECSISTEMAS no usará los Datos para fines propios, no los venderá ni los transferirá salvo instrucción, subencargo autorizado o mandato legal. Si una instrucción parece contraria a la normativa aplicable, lo informará al Cliente y podrá suspender su ejecución mientras se aclara, salvo prohibición legal.
Las medidas incluyen administración de Usuarios, permisos y accesos; registros de actividad disponibles en el Servicio; protecciones de transmisión y almacenamiento aplicables; respaldos y procedimientos de continuidad; y tratamiento restringido de credenciales y certificados. Su detalle, alcance y periodicidad dependen de la arquitectura y del plan contratado y podrán documentarse en un anexo de seguridad sin publicar información que incremente el riesgo.
El Cliente reconoce que ninguna medida elimina todo riesgo y que también debe proteger sus terminales, redes, cuentas y copias exportadas.
El CSD debe utilizarse para emitir CFDI. La e.firma solo se tratará cuando el Cliente active una función que requiera autenticación ante el SAT. La llave privada y su contraseña se cifran para almacenamiento y solo se descifran cuando la función autorizada necesita utilizarlas; no se emplean para una finalidad distinta ni se vuelven a mostrar o descargar mediante la interfaz.
El Cliente controla los Usuarios autorizados y puede solicitar la desactivación y supresión. SECSISTEMAS limitará su retención a la operación autorizada, el plazo de salida y las restricciones técnicas documentadas de respaldos. El Cliente debe revocar ante el SAT cualquier certificado posiblemente comprometido.
El Cliente concede autorización general para subencargados necesarios de alojamiento, almacenamiento, respaldo, seguridad, soporte, PAC, correo, mensajería, notificaciones y funciones opcionales expresamente activadas. SECSISTEMAS mantendrá una lista vigente con identidad, función y país o región de tratamiento, disponible a solicitud en soporte@secsistemas.com.
SECSISTEMAS impondrá por instrumento jurídico obligaciones de protección equivalentes, incluidas confidencialidad, seguridad, supresión y prohibición de usar los Datos para publicidad, perfiles, entrenamiento de modelos o cualquier finalidad propia. Seguirá siendo responsable frente al Cliente por sus propias obligaciones de selección y supervisión.
Se informará previamente un cambio material de subencargado. El Cliente podrá objetarlo por motivos razonables de protección de datos; las partes buscarán una alternativa y, si no existe, podrán terminar solo el componente afectado o el Servicio conforme a las condiciones comerciales aplicables.
No son subencargados de SECSISTEMAS los terceros que el Cliente contrate o configure directamente con sus propias cuentas o credenciales. En esos casos, SECSISTEMAS transmite los datos por instrucción del Cliente y este debe evaluar al tercero.
Las funciones de inteligencia artificial son opcionales y solo procesan el contenido que el Cliente o Usuario selecciona. Cuando SECSISTEMAS determine al proveedor como parte del Servicio, se considerará subencargado y se aplicará el punto 9. Cuando el Cliente aporte su propia cuenta o clave, el proveedor será una integración elegida por el Cliente.
No se autoriza el uso de Datos del Cliente para entrenamiento, publicidad, perfiles o finalidades propias del proveedor. Antes de enviar datos sensibles, el Cliente deberá verificar que existe base jurídica, consentimiento aplicable, información al titular y garantías adecuadas. Los resultados requieren revisión humana.
Los países o regiones dependen de la infraestructura y subencargados efectivamente contratados. Antes de habilitar tratamiento internacional, SECSISTEMAS documentará las obligaciones contractuales y salvaguardas aplicables. La lista vigente se proporcionará al Cliente para que pueda cumplir su propio aviso y deberes.
El Cliente es responsable de decidir y responder las solicitudes ARCO. Si un titular se dirige a SECSISTEMAS respecto de Datos del Cliente, se le indicará que contacte al Cliente y se remitirá la solicitud cuando sea posible. SECSISTEMAS proporcionará apoyo razonable para localizar, consultar, corregir, exportar, bloquear o suprimir datos, considerando las funciones disponibles y sin responder en sustitución del Cliente salvo instrucción o mandato legal.
SECSISTEMAS notificará al contacto designado por el Cliente sin demora indebida desde que tenga conocimiento razonable de un posible incidente que pueda comprometer Datos del Cliente, sin esperar a una confirmación definitiva. La notificación inicial incluirá la información disponible sobre naturaleza, sistemas o categorías posiblemente afectados, consecuencias probables, medidas adoptadas y punto de contacto; podrá completarse por etapas conforme avance la investigación.
SECSISTEMAS preservará evidencia, apoyará la contención y no comunicará el incidente públicamente identificando al Cliente salvo obligación legal. El Cliente, como responsable, determina las notificaciones a titulares y autoridades; SECSISTEMAS le proporcionará la información razonablemente necesaria. Esta comunicación preventiva no constituye por sí misma admisión de responsabilidad.
Una vez por año, a solicitud razonable y con aviso previo, SECSISTEMAS proporcionará documentación suficiente para demostrar el cumplimiento de este Acuerdo. Si no fuera suficiente, permitirá una verificación remota o presencial acordada, durante horario laboral, bajo confidencialidad y sin afectar a otros clientes ni revelar elementos que comprometan la seguridad. El Cliente cubrirá costos extraordinarios, salvo que se identifique un incumplimiento material de SECSISTEMAS. Las limitaciones de frecuencia o costo no aplican ante un incidente relevante o requerimiento de autoridad competente.
Al terminar el Servicio, el Cliente dispondrá de 30 días naturales para obtener las exportaciones disponibles. A solicitud razonable, SECSISTEMAS apoyará la entrega en formatos de uso común; las conversiones especiales podrán cotizarse.
Vencido el plazo, los Datos se suprimirán de sistemas activos o se bloquearán cuando exista obligación legal o posible responsabilidad. Los respaldos quedarán aislados del uso ordinario y se sobrescribirán o eliminarán conforme al ciclo documentado aplicable. Si se restaura un respaldo, se reaplicarán las supresiones y restricciones. A solicitud, SECSISTEMAS confirmará la conclusión del proceso, sujeto a las excepciones documentadas.
Este Acuerdo prevalece respecto del tratamiento de Datos del Cliente si contradice una disposición general de los Términos. Los anexos de seguridad o instrucciones particulares firmados prevalecerán solo en lo que expresamente modifiquen. Las obligaciones de confidencialidad, seguridad, cooperación, bloqueo y eliminación subsisten mientras SECSISTEMAS conserve Datos del Cliente.