Contrato de Encargo de Datos Personales

Este contrato es el Anexo A de los Términos de Servicio. Regula cómo NetQuoteIT trata, por cuenta de cada cliente, los datos personales de sus clientes finales, contactos y proveedores.

1. Partes, roles y definiciones

1.1 Partes. Este Contrato de Encargo lo celebran el Cliente, como responsable, y Joslim Arturo Peñalosa Alcantara, operador de NetQuoteIT, como encargado. Forma parte de los Términos de Servicio de NetQuoteIT (los "Términos") y se acepta junto con ellos.

1.2 Roles. Para los Datos Personales Encargados, el Cliente decide sobre su tratamiento (responsable) y NetQuoteIT los trata solo por cuenta del Cliente (encargado), en términos del art. 2, fracción XII, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 ("LFPDPPP"). Los datos personales de la cuenta del Cliente y de sus Usuarios Autorizados no están cubiertos aquí: de esos NetQuoteIT es responsable y los trata conforme a su Aviso de Privacidad.

1.3 Definiciones. Los términos en mayúscula no definidos aquí tienen el significado de los Términos.

• Datos Personales Encargados: los datos personales de personas físicas que el Cliente o sus Usuarios Autorizados cargan en su tenant, descritos en la cláusula 2.
• Titular: la persona física a quien corresponden esos datos.
• Tratamiento: cualquier operación sobre los datos: obtención, uso, registro, almacenamiento, consulta, comunicación o supresión.
• Subencargado: un tercero que NetQuoteIT contrata y que trata Datos Personales Encargados para prestar el Servicio.
• Vulneración de Seguridad: la pérdida, destrucción, robo, extravío, copia, uso, acceso, alteración o divulgación no autorizados de Datos Personales Encargados.
• Secretaría: la Secretaría Anticorrupción y Buen Gobierno, autoridad que aplica la LFPDPPP (art. 2, fr. XV).

1.4 Prelación. En materia de datos personales, este Contrato prevalece sobre los Términos.

2. Objeto y alcance del tratamiento

2.1 Objeto. NetQuoteIT tratará los Datos Personales Encargados únicamente para prestar el Servicio al Cliente conforme a los Términos, durante su vigencia y el plazo de la cláusula 8.

2.2 Detalle del tratamiento.

2.3 Instrucciones. Los Términos, este Contrato y las acciones que el Cliente realiza en el Servicio (capturar, editar, enviar, exportar o borrar) son las instrucciones completas del Cliente. Cualquier instrucción adicional que implique trabajo fuera del Servicio requiere acuerdo escrito y puede tener costo.

3. Obligaciones de NetQuoteIT como encargado

3.1 NetQuoteIT se obliga a:

1. Tratar los Datos Personales Encargados solo conforme a las instrucciones del Cliente (cláusula 2.3) y avisarle si una instrucción le parece contraria a la LFPDPPP.
2. No usarlos para finalidades propias ni distintas de las instruidas. En particular, no venderlos, no usarlos para publicidad, no combinarlos con datos de otros clientes y no usarlos para entrenar modelos de inteligencia artificial. La única excepción son los Datos Agregados anonimizados de la cláusula 5.4 de los Términos, que ya no son datos personales.
3. No comunicarlos a terceros, salvo a los Subencargados de la cláusula 5, por instrucción del Cliente (por ejemplo, un correo que el Cliente envía desde el Servicio) o por mandato de autoridad competente.
4. Guardar confidencialidad sobre ellos, aun después de terminar los Términos.
5. Dar acceso solo al personal que lo necesite para operar, dar soporte o proteger el Servicio, con obligación escrita de confidencialidad, y registrar ese acceso en la bitácora de auditoría.
6. Mantener las medidas de seguridad de la cláusula 4.
7. Ayudar al Cliente a cumplir sus obligaciones de responsable, conforme a las cláusulas 6 y 7.
8. Si una autoridad le requiere datos del Cliente, avisarle antes de entregarlos, salvo que la ley lo prohíba, y entregar solo lo estrictamente requerido.

3.2 Obligaciones del Cliente. El Cliente, como responsable, debe: contar con su aviso de privacidad y la base legal para tratar los datos en el Servicio; atender las solicitudes de sus Titulares; proteger sus credenciales y administrar los permisos de sus usuarios; y no cargar datos sensibles ni datos completos de tarjetas o cuentas bancarias.

4. Medidas de seguridad

4.1 Obligación. NetQuoteIT mantendrá medidas de seguridad administrativas, técnicas y físicas para proteger los Datos Personales Encargados contra daño, pérdida, alteración, destrucción y uso, acceso o tratamiento no autorizados. Esas medidas no serán menores que las que usa para su propia información y tomarán en cuenta el riesgo, la sensibilidad de los datos y el desarrollo tecnológico, con el mismo criterio que el art. 18 de la LFPDPPP exige al responsable. Las medidas vigentes se describen en el Anexo B.

4.2 Actualización. NetQuoteIT puede actualizar sus medidas siempre que el nivel general de protección no disminuya.

4.3 Responsabilidad compartida. La seguridad de las credenciales, la configuración de permisos, la activación de la autenticación en dos pasos y la seguridad de los equipos desde los que se accede son responsabilidad del Cliente. El Cliente reconoce que revisó las medidas del Anexo B y que son adecuadas para los datos que cargará.

5. Subencargados

5.1 Autorización general. El Cliente autoriza a NetQuoteIT a usar los Subencargados del Anexo A y a contratar otros conforme a esta cláusula.

5.2 Condiciones. NetQuoteIT solo contratará Subencargados que se obliguen por contrato a proteger los datos con medidas al menos equivalentes a las de este Contrato y a tratarlos solo para el servicio contratado. NetQuoteIT responde frente al Cliente por los actos de sus Subencargados como si fueran propios.

5.3 Nuevos Subencargados. NetQuoteIT avisará al administrador de la cuenta, por correo y en la plataforma, al menos 15 días naturales antes de que un nuevo Subencargado empiece a tratar Datos Personales Encargados. Dentro de ese plazo, el Cliente puede oponerse por motivos razonables de protección de datos. Si las partes no encuentran una solución, el Cliente puede cancelar y recibir el reembolso proporcional del periodo prepagado no utilizado. Ese es su único remedio.

5.4 Datos fuera de México. Algunos Subencargados almacenan o procesan datos fuera de México (Anexo A). Como lo hacen por cuenta de NetQuoteIT y bajo instrucciones, no constituyen transferencias a terceros en términos del art. 2, fr. XX, de la LFPDPPP. El Cliente debe informarlo en su propio aviso de privacidad cuando corresponda.

6. Vulneraciones de seguridad

6.1 Aviso al Cliente. Si NetQuoteIT confirma una Vulneración de Seguridad que afecte Datos Personales Encargados, avisará al administrador de la cuenta sin demora y a más tardar 72 horas después de confirmarla. El aviso incluirá, en la medida en que se conozca:

• la naturaleza de la vulneración y la fecha en que ocurrió;
• los tipos de datos y el número aproximado de Titulares afectados;
• las medidas tomadas y las que se tomarán para contenerla;
• las recomendaciones para que los Titulares protejan sus intereses;
• un contacto para dar seguimiento.

Si no se conoce toda la información, NetQuoteIT la completará conforme avance la investigación.

6.2 Contención y colaboración. NetQuoteIT tomará de inmediato medidas razonables para contener la vulneración, investigar su causa y evitar que se repita. Colaborará con el Cliente para que este cumpla su obligación de informar a los Titulares de forma inmediata cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales (art. 19 de la LFPDPPP).

6.3 Comunicaciones. Informar a los Titulares y, en su caso, a la Secretaría le corresponde al Cliente como responsable. NetQuoteIT no contactará a los Titulares del Cliente salvo que el Cliente lo pida o la ley lo exija. Antes de mencionar a NetQuoteIT en una comunicación pública, el Cliente lo consultará con NetQuoteIT, salvo que la ley no lo permita.

6.4 Sin admisión. Avisar de una vulneración no implica que NetQuoteIT acepte culpa o responsabilidad.

7. Derechos de los Titulares y asistencia

7.1 Solicitudes recibidas por NetQuoteIT. Si un Titular pide a NetQuoteIT acceder, rectificar, cancelar u oponerse al tratamiento de sus datos (derechos ARCO) respecto de Datos Personales Encargados, NetQuoteIT no la resolverá por su cuenta. La reenviará al Cliente en un máximo de 5 días hábiles e informará al Titular que debe dirigirse al Cliente.

7.2 Herramientas. El Servicio permite al Cliente consultar, corregir, exportar y borrar los datos de sus clientes finales directamente. El Cliente usará esas funciones para responder a sus Titulares dentro de los plazos legales.

7.3 Asistencia adicional. Si el Cliente necesita ayuda que el Servicio no cubre (por ejemplo, localizar todos los registros de un Titular en varios módulos), NetQuoteIT le ayudará de forma razonable. Si el trabajo es significativo, NetQuoteIT dará un presupuesto por adelantado.

7.4 Otras obligaciones. NetQuoteIT también dará al Cliente la información razonable que necesite para atender un requerimiento de la Secretaría sobre el tratamiento hecho en el Servicio.

8. Verificación, devolución y supresión

8.1 Información de cumplimiento. A solicitud escrita del Cliente, y como máximo una vez al año, NetQuoteIT responderá en 15 días hábiles un cuestionario razonable de seguridad y dará la información necesaria para demostrar que cumple este Contrato.

8.2 Auditoría. Si el cuestionario no basta o lo exige una autoridad, el Cliente puede pedir una auditoría. Debe proponer el plan con al menos 15 días hábiles de anticipación. El auditor debe firmar un acuerdo de confidencialidad y no puede ser competidor de NetQuoteIT. La auditoría se hará en horario hábil, sin afectar la operación del Servicio ni la información de otros clientes, y a costo del Cliente.

8.3 Devolución. Al terminar los Términos, el Cliente puede exportar sus datos durante el periodo de solo lectura de 30 días naturales, o pedir una exportación completa conforme a la cláusula 8.4 de los Términos.

8.4 Supresión. Al vencer ese periodo, NetQuoteIT dejará de tratar los Datos Personales Encargados y los eliminará de sus sistemas activos. Las copias en respaldos se eliminarán en su ciclo normal de rotación, en un máximo de 90 días, y mientras existan seguirán protegidas por este Contrato. A solicitud del Cliente, NetQuoteIT confirmará la supresión por escrito.

8.5 Conservación legal. NetQuoteIT solo conservará los datos que una ley le obligue a guardar, durante el plazo legal y bajo las mismas medidas de seguridad.

8.6 Responsabilidad. La responsabilidad de cada parte bajo este Contrato se rige por la cláusula 7 de los Términos.

8.7 Cambios. NetQuoteIT puede modificar este Contrato para cumplir con la ley o con criterios de la Secretaría, siempre que no reduzca la protección de los datos, siguiendo el procedimiento de la cláusula 9.1 de los Términos.

Anexo A. Subencargados

Solo aparecen los proveedores que tratan Datos Personales Encargados. Stripe y Facturama no están en la lista: procesan los datos de la cuenta del Cliente para cobrarle y facturarle, no los de sus clientes finales, y por eso van en el Aviso de Privacidad.

Anexo B. Medidas de seguridad

Versión 2.0 · Octubre 2026