CONTRATO DE ENCARGADO DEL TRATAMIENTO DE DATOS PERSONALES · versión 2026.11.1 Responsable: la empresa cliente, RFC [RFC del cliente] ("el Responsable"). Encargado: OMER LOPEZ JR., RFC LOOM911207DRA ("el Encargado"). Se celebra conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en 2025 y su normativa. PRIMERA. OBJETO E INSTRUCCIONES. El Encargado trata los datos personales de los trabajadores del Responsable únicamente para prestar el servicio de control de asistencia y conforme a las instrucciones del Responsable, que se entienden dadas a través de la configuración del sistema. No los tratará para fines propios ni distintos. SEGUNDA. DATOS TRATADOS. Identificación laboral; registros de jornada; ubicación en el momento de checar (cuando el Responsable lo habilita); fotografía de la checada; y, previo consentimiento recabado por el Responsable, datos biométricos: plantilla numérica del rostro y llaves públicas de la huella del teléfono del trabajador. La imagen del rostro no se usa para reconstruir la plantilla ni la plantilla para reconstruir la imagen. TERCERA. CONFIDENCIALIDAD. El Encargado garantiza que las personas autorizadas para tratar los datos están obligadas a guardar confidencialidad. CUARTA. MEDIDAS DE SEGURIDAD. El Encargado mantiene medidas administrativas, técnicas y físicas: comunicaciones cifradas (HTTPS), aislamiento de la información de cada cliente, control de acceso por usuario y rol, contraseñas cifradas con algoritmos de derivación de llave, cifrado de credenciales de terceros, bitácora de acciones, sellado criptográfico de los registros de jornada y respaldos. QUINTA. SUBCONTRATACIÓN Y TRANSFERENCIAS. El Responsable autoriza al Encargado a apoyarse en los subencargados de la lista publicada ("Subencargados y transferencias"), que asumen obligaciones equivalentes. El Encargado avisará con quince días de anticipación cualquier alta de subencargado que reciba datos de trabajadores, y el Responsable podrá oponerse y terminar el servicio. No realizará otras transferencias sin autorización, salvo requerimiento de autoridad competente, del que dará aviso cuando la ley lo permita. Los datos de los trabajadores se alojan en DigitalOcean (infraestructura en la nube), o servidores del cliente en la modalidad de instalación propia. SEXTA. VULNERACIONES DE SEGURIDAD. El Encargado informará al Responsable, sin dilación indebida y a más tardar dentro de las setenta y dos horas siguientes a que tenga conocimiento, de cualquier vulneración que afecte los datos, con la información disponible para que el Responsable cumpla sus obligaciones con los titulares. SÉPTIMA. DERECHOS DE LOS TITULARES. El sistema permite al Responsable atender los derechos de acceso, rectificación, cancelación y oposición, así como la revocación del consentimiento biométrico, que elimina la plantilla del trabajador. OCTAVA. CONSERVACIÓN Y SUPRESIÓN. Los registros de jornada no se eliminan mientras el Responsable mantenga el servicio, por ser controles de asistencia que la ley obliga a conservar. Las fotografías de checadas se eliminan en el plazo configurado por el Responsable. Al terminar el servicio, el Encargado devolverá los datos mediante su exportación y los suprimirá en los treinta días siguientes. NOVENA. AUDITORÍA. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato, incluidos los reportes de integridad que genera el propio sistema. DÉCIMA. VIGENCIA. Este contrato está vigente mientras se preste el servicio y sus obligaciones de confidencialidad subsisten después de su terminación.