Contrato de encargo de datos personales

Versión 0.2 · Vigente desde el 14/10/2026 · Todos los documentos

Este contrato forma parte de los términos y condiciones y regula cómo trata Nestor David Herrera Rodriguez («NADKOR», la persona encargada) los datos personales que el Cliente (la persona responsable) carga en el Servicio o genera con él.

1. Objeto e instrucciones

NADKOR trata los datos personales del Cliente únicamente para prestarle el Servicio. Las instrucciones del Cliente son tres:

• estos documentos;
• la configuración que el Cliente hace en el sistema;
• las operaciones que sus usuarios ordenan (timbrar, enviar un correo, descargar del SAT, exportar).

NADKOR no usa estos datos para fines propios, no los combina con los de otros clientes y no hace con ellos perfiles, publicidad ni estadísticas que identifiquen a nadie.

2. Qué datos y de quién

Datos sensibles: el módulo de nómina puede contener:

• datos de salud: incapacidades, con su tipo de riesgo y secuela;
• afiliación sindical;
• el tipo de pensión;
• las pensiones alimenticias que se descuentan.

El Cliente debe capturar solo lo que su relación laboral y la ley le exigen.

3. Obligaciones del Cliente

• Tener su propio aviso de privacidad y darlo a conocer a sus trabajadores, clientes, proveedores y contactos.
• Obtener los consentimientos que la ley le exija y tener una base legítima para cada dato que carga. En particular, no cargar la e.firma de un tercero sin su autorización por escrito, y conservar esa autorización mientras la e.firma esté en el Servicio.
• Atender las solicitudes de derechos ARCO de sus titulares; NADKOR le ayuda como indica el punto 7.
• Administrar los permisos de sus usuarios. Por ejemplo, marcar como confidenciales a los empleados que no debe ver cualquier capturista.

4. Obligaciones de NADKOR

• Tratar los datos solo conforme a las instrucciones del Cliente. Si una instrucción le parece contraria a la ley, se lo dirá.
• Guardar confidencialidad, y exigirla a su personal y a sus subencargados, también después de que termine el contrato.
• Mantener las medidas de seguridad del punto 5.
• No transferir los datos, salvo instrucción del Cliente o requerimiento de una autoridad competente. Si recibe un requerimiento, se lo avisará al Cliente antes, siempre que la ley no lo prohíba.
• Al terminar el contrato, devolver los datos mediante la exportación y suprimirlos, en los plazos del punto 8 de los términos.
• No apropiarse de la información y transparentar sus subcontrataciones, como exige el Reglamento para los servicios en la nube.

5. Medidas de seguridad

• Una base de datos separada por cada empresa.
• Conexión cifrada (TLS) y servidor sin puertos expuestos a internet más que el de administración.
• Contraseñas de usuario guardadas con una función de derivación resistente (scrypt).
• Certificados de sello digital y e.firma: la llave privada en el formato cifrado del SAT y su contraseña con cifrado por sobres, con una llave maestra que vive en el servicio de administración de llaves del proveedor de nube y nunca sale de él. Cada operación que los usa queda en la bitácora de auditoría, y el proveedor registra cada uso de la llave maestra.
• Contraseñas del correo y demás secretos, cifrados.
• Permisos por rol y por acción. Timbrar, cancelar y enviar campañas requieren un permiso expreso.
• Protección contra falsificación de peticiones y límite de intentos de acceso.
• Un registro de auditoría de quién hizo qué, cuándo y desde dónde.
• Un respaldo diario, cifrado por el proveedor de nube, que se conserva 14 días y luego se borra.
• Acceso administrativo al servidor restringido a personal autorizado, con llave criptográfica.

6. Vulneraciones de seguridad

Si NADKOR detecta una vulneración que afecte datos del Cliente, se lo informará sin demora indebida, y a más tardar 72 horas después de confirmarla. El aviso incluirá:

• qué ocurrió;
• qué datos se afectaron;
• qué medidas se tomaron;
• qué puede hacer el Cliente.

Así el Cliente puede avisar a sus titulares, como le exige la ley. NADKOR colaborará en ese aviso y en la investigación.

7. Derechos de los titulares

Si un titular le pide a NADKOR acceder, rectificar, cancelar u oponerse al tratamiento de datos del Cliente, NADKOR turnará la solicitud al Cliente en un máximo de 5 días hábiles y no la resolverá por su cuenta. El Cliente puede atender la mayoría de las solicitudes desde el propio sistema (exportar, corregir, anonimizar un contacto).

8. Subencargados autorizados

El Cliente autoriza a NADKOR a apoyarse en estos proveedores. Cada uno está obligado a confidencialidad y seguridad en condiciones no menores a las de este contrato:

Si el Cliente usa su propio servidor de correo, sus correos no pasan por Zoho.

La entrega de datos a un subencargado fuera de México es una remisión, no una transferencia: no requiere el consentimiento de los titulares.

NADKOR avisará cualquier alta o cambio de subencargado con al menos 30 días naturales de anticipación. Si el Cliente se opone por una razón fundada y no hay otra solución, puede terminar el contrato sin penalización.

Por su parte, los servicios del SAT, del IMSS y de los bancos a los que el Cliente se conecta los usa el Cliente por sí mismo. Esas autoridades e instituciones no son subencargados de NADKOR.

Los proveedores marcados «solo si el Cliente contrata» no reciben ningún dato mientras el Cliente no contrate ese servicio, y NADKOR no lo enciende antes de que se cumpla el aviso de 30 días desde su alta en esta lista.

Webhooks y API. Cuando el Cliente configura un webhook o entrega una llave de la API a un sistema suyo o de un tercero, NADKOR envía los datos a ese destino por instrucción del Cliente. El destino lo elige y lo controla el Cliente: no es subencargado de NADKOR, y el Cliente responde de él frente a los titulares. NADKOR conserva la bitácora de cada envío y de cada consulta, y el Cliente puede apagar el webhook o revocar la llave en cualquier momento.

9. Verificación

A petición razonable del Cliente, con aviso de 15 días y no más de una vez al año, NADKOR le dará información escrita sobre sus medidas de seguridad y sobre el cumplimiento de este contrato.

10. Vigencia

Este contrato dura lo que dure el Servicio. Las obligaciones de confidencialidad y de supresión siguen vigentes después de que termine.

11. Firma

Este contrato no se acepta con una casilla. Lo firma en nombre del Cliente su usuario principal, la persona que el Cliente designa ante NADKOR para su cuenta, de una de dos formas:

• con la e.firma del Cliente, dentro del sistema. NADKOR usa la llave privada y la contraseña solo para firmar y no las guarda. Conserva el certificado público, el texto firmado y la firma, con los que cualquiera puede verificarla;
• con firma autógrafa en un ejemplar impreso, que NADKOR conserva escaneado.

La firma cubre todas las empresas del Cliente en su cuenta. Mientras no esté firmada la versión vigente, el Cliente tiene 15 días naturales para firmarla; después, sus empresas quedan en modo de solo consulta y exportación hasta que la firme. NADKOR conserva la firma diez años.