Este contrato forma parte de los términos del servicio de Gentia HRM y regula el tratamiento que [pendiente de configurar en config/saas.php] (el "Encargado") hace de los datos personales que la empresa cliente (el "Responsable") captura en la plataforma, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su normativa.
1. Objeto
El Encargado trata los datos personales únicamente para prestar el Servicio contratado: administración de personal, asistencia, nómina, reclutamiento, capacitación, cumplimiento laboral y las demás funciones que el Responsable active. No los usa para fines propios, no los vende y no los comparte salvo lo previsto en este contrato.
2. Titulares y datos tratados
- Titulares: colaboradores, excolaboradores, candidatos, beneficiarios y contactos de emergencia que el Responsable registre.
- Datos: identificación y contacto; laborales y académicos; patrimoniales y financieros (salario, cuenta bancaria); fiscales y de seguridad social (RFC, CURP, NSS).
- Datos sensibles, solo si el Responsable usa las funciones correspondientes y cuenta con el consentimiento expreso de los titulares: rasgos biométricos del rostro, información de salud (incapacidades, cuestionarios NOM-035) y ubicación al registrar asistencia.
3. Instrucciones del Responsable
La configuración y las acciones que el Responsable realiza en la plataforma constituyen sus instrucciones de tratamiento. El Encargado avisará al Responsable si considera que una instrucción contraviene la ley. El Responsable es quien define las finalidades, publica su aviso de privacidad ante sus titulares y obtiene los consentimientos necesarios; la plataforma le ofrece herramientas para publicarlo y registrar las aceptaciones.
4. Confidencialidad y acceso del personal
Solo accede a los datos el personal del Encargado que lo necesita para operar el Servicio, obligado a guardar confidencialidad. El personal de soporte entra a la cuenta del Responsable únicamente para atender un problema, con un motivo registrado, por un tiempo limitado, y cada acceso queda en la bitácora que el Responsable puede consultar. El personal de soporte no puede exportar, cancelar ni eliminar la información.
5. Medidas de seguridad
- Separación lógica de la información de cada empresa y validación de pertenencia en cada consulta.
- Contraseñas cifradas con algoritmos de una vía, verificación en dos pasos y bloqueo por intentos fallidos.
- Llaves y credenciales de terceros cifradas (AES-256); documentos y fotografías en almacenamiento privado, fuera del sitio público.
- Conexiones cifradas (HTTPS), control de acceso por roles y permisos, y bitácoras de auditoría.
- Respaldos periódicos de la base de datos y monitoreo de la operación.
6. Subencargados
El Responsable autoriza que el Encargado se apoye en los siguientes proveedores, que quedan obligados a proteger los datos en los mismos términos:
- Proveedor de alojamiento web y base de datos: servidores donde se guarda la información (centro de datos del proveedor).
- Servidor de correo SMTP: envío de avisos y notificaciones por correo.
- Multifacturas (PAC): certificación de CFDI de nómina y de la suscripción (México).
- Stripe: procesamiento de pagos con tarjeta de la suscripción (no recibe datos de colaboradores) (Estados Unidos).
- Mercado Pago: procesamiento de pagos de la suscripción (no recibe datos de colaboradores) (México).
El Encargado avisará por correo con al menos 15 días de anticipación la incorporación o sustitución de un subencargado; si el Responsable no está de acuerdo, puede terminar el Servicio sin penalización.
7. Vulneraciones de seguridad
Si el Encargado confirma una vulneración que afecte datos del Responsable, se lo notificará sin dilación y a más tardar dentro de las 72 horas siguientes, indicando su naturaleza, los datos y titulares afectados, las medidas tomadas y las recomendaciones para los titulares, y colaborará para que el Responsable les informe.
8. Derechos de los titulares
La plataforma permite al Responsable recibir y atender solicitudes de acceso, rectificación, cancelación, oposición y revocación del consentimiento (portal del colaborador y formulario público), con control del plazo legal de 20 días hábiles y exportación de los datos de cada titular. Si un titular escribe directamente al Encargado, este turnará la solicitud al Responsable sin resolverla.
9. Transferencias
El Encargado no transfiere los datos a terceros, salvo a los subencargados autorizados (remisiones) o cuando lo ordene una autoridad competente, en cuyo caso avisará al Responsable si la ley lo permite.
10. Devolución y supresión al terminar
El Responsable puede descargar toda su información en cualquier momento desde Datos y privacidad (archivo ZIP con todas sus tablas y archivos). Al terminar el Servicio la información se conserva 30 días para que el Responsable la descargue o recontrate; después se suprime de forma definitiva, incluidos documentos y fotografías. El Responsable puede pedir la supresión anticipada. Solo se conservan los comprobantes fiscales de la relación comercial y la evidencia de aceptación de estos documentos, por los plazos que fijan las leyes fiscales y mercantiles. Las copias de respaldo se sobrescriben en su ciclo normal.
11. Verificación
El Encargado proporcionará la información razonable que el Responsable solicite para comprobar el cumplimiento de este contrato, sin poner en riesgo la seguridad de otros clientes.
12. Vigencia
Este contrato está vigente mientras se preste el Servicio y hasta que concluya la supresión de los datos. Contacto: [pendiente de configurar en config/saas.php] · [pendiente de configurar en config/saas.php].