CONTRATO DE PRESTACIÓN DE SERVICIOS DE TRATAMIENTO DE DATOS PERSONALES (CONTRATO DE ENCARGO)

Agglo — Versión para los Estados Unidos Mexicanos

Fecha de entrada en vigor: 8 de octubre de 2026
Publicado en: agglo.cloud/mx/contrato-de-encargo
Versión: 1.0

El presente Contrato constituye el Anexo A de los Términos y Condiciones de Uso de Agglo (versión para los Estados Unidos Mexicanos). La versión en idioma español es la que rige.

Contrato de prestación de servicios de tratamiento de datos personales que celebran, por una parte, el Cliente identificado en los Términos y Condiciones, en su carácter de responsable (el "Responsable"), y, por la otra, Naydiris LLC, sociedad de responsabilidad limitada constituida conforme a las leyes del Estado Libre Asociado de Puerto Rico, en su carácter de persona encargada (la "Encargada"), al tenor de las siguientes declaraciones y cláusulas.

DECLARACIONES

I. Declara el Responsable que:

a) Es la persona que decide sobre el tratamiento de los datos personales de sus Clientes Finales y de su personal que se incorporen a la Plataforma.

b) Ha puesto a disposición de los titulares el aviso de privacidad correspondiente y ha obtenido, en su caso, los consentimientos exigidos por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la "Ley"), y que el tratamiento encomendado a la Encargada es acorde con dicho aviso de privacidad.

II. Declara la Encargada que:

a) Es una sociedad legalmente constituida conforme a las leyes del Estado Libre Asociado de Puerto Rico, con domicilio en 1654 Calle Tulipán, Ste 100, San Juan, PR 00927-6242, USA.

b) Cuenta con los medios técnicos y organizativos necesarios para prestar los servicios objeto del presente Contrato.

III. Declaran las Partes que celebran el presente Contrato en cumplimiento de lo dispuesto por el artículo 2, fracción XII, de la Ley, y por los artículos 49 a 55 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (el "Reglamento"), en lo que no se oponga a la Ley.

CLÁUSULAS

PRIMERA. Definiciones. Los términos con mayúscula inicial no definidos en el presente Contrato tendrán el significado que les atribuyen los Términos y Condiciones de Uso de Agglo (los "Términos") o, en su defecto, el artículo 2 de la Ley. Se entenderá por "Datos Personales Encomendados" los datos personales contenidos en los Datos del Cliente que la Encargada trate por cuenta del Responsable con motivo de la prestación de los Servicios, y por "Vulneración de Seguridad" cualquiera de los supuestos previstos en el artículo 63 del Reglamento respecto de los Datos Personales Encomendados.

SEGUNDA. Objeto. El Responsable encomienda a la Encargada, y ésta acepta, el tratamiento de los Datos Personales Encomendados, por cuenta del Responsable, con el alcance y en los términos del presente Contrato.

TERCERA. Alcance del tratamiento.

1. Naturaleza y finalidad: alojamiento, almacenamiento, consulta, exhibición, transmisión (incluido el envío de correo electrónico operativo en nombre del Responsable), exportación y supresión de los Datos Personales Encomendados, con la finalidad exclusiva de prestar, mantener, asegurar y dar soporte a los Módulos y Servicios contratados por el Responsable.

2. Titulares: los Clientes Finales del Responsable (clientes, prospectos, compradores, titulares de cuentas en el portal de clientes y visitantes de su sitio web y de su tienda en línea), así como sus Usuarios Autorizados y su personal.

3. Categorías de datos: datos de identificación y contacto; contenido de mensajes y formularios dirigidos al Responsable; registros de clientes, notas y campos personalizados definidos por el Responsable; información comercial, incluidas cotizaciones, Documentos Comerciales, órdenes y registros de pago (con exclusión de números de tarjetas de pago); registros de proyectos y tareas; archivos; respuestas de retroalimentación y autorizaciones de publicación; datos de cuentas del portal de clientes; datos de pedidos de la tienda en línea; registros de aceptación del aviso de privacidad; y registros de personal, costos y tarifas por hora y registros de tiempo.

4. Datos sensibles: el Responsable se abstendrá de incorporar a la Plataforma datos personales sensibles, salvo acuerdo expreso y por escrito con la Encargada.

5. Duración: el tratamiento se realizará durante la Vigencia, el Periodo de Exportación y el plazo de supresión previsto en la Cláusula DÉCIMA PRIMERA.

CUARTA. Obligaciones de la Encargada. En términos del artículo 50 del Reglamento, la Encargada se obliga a:

I. Tratar únicamente los Datos Personales Encomendados conforme a las instrucciones del Responsable, que se integran por los Términos, la configuración y el uso que el Responsable haga de los Servicios y las demás instrucciones escritas que las Partes convengan;

II. Abstenerse de tratar los Datos Personales Encomendados para finalidades distintas a las instruidas por el Responsable y, en particular, abstenerse de utilizarlos con fines publicitarios, de elaboración de perfiles o de entrenamiento de modelos;

III. Implementar las medidas de seguridad previstas en la Cláusula SEXTA, conforme a la Ley, el Reglamento y las demás disposiciones aplicables;

IV. Guardar confidencialidad respecto de los Datos Personales Encomendados y hacer que la guarden las personas que intervengan en su tratamiento, obligación que subsistirá aun después de finalizar su relación con la Encargada;

V. Suprimir los Datos Personales Encomendados una vez cumplida la relación jurídica con el Responsable o por instrucciones de éste, conforme a la Cláusula DÉCIMA PRIMERA, siempre que no exista una previsión legal que exija su conservación; y

VI. Abstenerse de transferir los Datos Personales Encomendados, salvo que el Responsable así lo determine, que la comunicación derive de una subcontratación autorizada conforme a la Cláusula SÉPTIMA, o que así lo requiera la autoridad competente.

La Encargada informará al Responsable si, a su juicio, una instrucción contraviene la Ley.

QUINTA. Condiciones del servicio de cómputo en la nube. En virtud de que el Responsable se adhiere a los Servicios mediante condiciones generales de contratación, la Encargada, en cumplimiento del artículo 52 del Reglamento:

I. Mantiene y aplica políticas de protección de datos personales afines a los principios y deberes que establecen la Ley y el Reglamento, contenidas en el presente Contrato y en su aviso de privacidad;

II. Transparenta las subcontrataciones que involucran los Datos Personales Encomendados, mediante la relación contenida en el Apéndice 1 y el procedimiento de la Cláusula SÉPTIMA;

III. Se abstiene de incluir condiciones que le autoricen o permitan asumir la titularidad o propiedad de los Datos Personales Encomendados, que en todo momento corresponde al Responsable;

IV. Guarda confidencialidad respecto de los Datos Personales Encomendados;

V. Da a conocer los cambios en sus políticas de privacidad o en las condiciones del servicio mediante notificación por correo electrónico con al menos treinta (30) días naturales de anticipación;

VI. Permite al Responsable limitar el tipo de tratamiento de los Datos Personales Encomendados, mediante la configuración de los Módulos, la desactivación de notificaciones y comunicaciones opcionales, la desconexión de Servicios de Terceros y la eliminación de registros;

VII. Establece y mantiene medidas de seguridad adecuadas, conforme a la Cláusula SEXTA;

VIII. Garantiza la supresión de los Datos Personales Encomendados una vez concluido el servicio y después de que el Responsable haya podido recuperarlos durante el Periodo de Exportación, conforme a la Cláusula DÉCIMA PRIMERA; y

IX. Impide el acceso a los Datos Personales Encomendados a personas que no cuenten con privilegios de acceso y, en caso de solicitud fundada y motivada de autoridad competente, informa de ese hecho al Responsable conforme a la Cláusula DÉCIMA SEGUNDA.

SEXTA. Medidas de seguridad. La Encargada establecerá y mantendrá medidas de seguridad administrativas, técnicas y físicas adecuadas al riesgo, a la sensibilidad de los datos y al desarrollo tecnológico, que comprenderán, cuando menos:

a) el cifrado de los Datos Personales Encomendados en tránsito por redes públicas mediante el protocolo de seguridad de la capa de transporte;
b) el cifrado en reposo de la base de datos y del almacenamiento de archivos de la Plataforma;
c) la separación lógica de los datos del Responsable respecto de los de otros clientes, mediante seguridad a nivel de fila en la base de datos y la delimitación por cliente de las consultas y del almacenamiento de archivos;
d) la restricción del acceso a los sistemas productivos y a los Datos Personales Encomendados al personal autorizado que lo requiera;
e) el resguardo cifrado de secretos y credenciales, incluidas las credenciales del procesador de pagos del Responsable;
f) la verificación, en cada ruta de la interfaz de programación, de la identidad, el rol y los derechos de quien la invoca;
g) copias de respaldo automatizadas de la base de datos y protección contra su eliminación; y
h) la revisión de cada versión antes de su implementación.

El acceso del personal de la Encargada al espacio de trabajo del Responsable se sujetará a lo previsto en la Cláusula 13 de los Términos.

SÉPTIMA. Subcontratación.

1. En términos de los artículos 54 y 55 del Reglamento, el Responsable autoriza a la Encargada a subcontratar los servicios que impliquen el tratamiento de los Datos Personales Encomendados con las personas que se relacionan en el Apéndice 1. La subcontratación se realizará en nombre y por cuenta del Responsable.

2. La Encargada formalizará la relación con cada subcontratado mediante cláusulas contractuales u otro instrumento jurídico que permita acreditar su existencia, alcance y contenido, por virtud del cual el subcontratado asuma obligaciones no menos protectoras que las de la Encargada conforme al presente Contrato. La Encargada responderá frente al Responsable del cumplimiento de dichas obligaciones por parte del subcontratado.

3. La Encargada notificará al Responsable por correo electrónico cualquier alta o sustitución de un subcontratado con al menos treinta (30) días naturales de anticipación a que éste trate los Datos Personales Encomendados. Dentro de dicho plazo el Responsable podrá oponerse por causas razonables relacionadas con la protección de datos personales; si las Partes no resolvieran de buena fe la objeción, el Responsable podrá dar por terminada la Orden de Servicio afectada, y la Encargada le reembolsará la Contraprestación pagada por anticipado correspondiente al periodo posterior a la terminación.

4. Los Servicios de Terceros que el Responsable decida conectar, incluida su propia cuenta de Stripe, son contratados por el Responsable y actúan por su cuenta, por lo que no constituyen subcontrataciones de la Encargada.

OCTAVA. Remisión internacional. El Responsable reconoce y autoriza que los Datos Personales Encomendados se almacenan y tratan en los Estados Unidos de América, en la región US East (Virginia del Norte) de Amazon Web Services. En términos del artículo 2, fracción XX, de la Ley y del artículo 53 del Reglamento, dicha comunicación constituye una remisión internacional entre el Responsable y la Encargada, y entre ésta y sus subcontratados, que no requiere ser informada al titular ni contar con su consentimiento. La Encargada garantiza que el tratamiento en el extranjero se sujetará a las mismas obligaciones previstas en el presente Contrato.

NOVENA. Asistencia al Responsable.

1. La Encargada asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas y atendiendo a la naturaleza del tratamiento, en la atención de las solicitudes de ejercicio de los derechos de acceso, rectificación, cancelación y oposición que le formulen los titulares, incluso mediante las funciones de exportación y eliminación de los Servicios.

2. Si la Encargada recibe directamente una solicitud de un titular relativa a los Datos Personales Encomendados, la remitirá al Responsable dentro de los cinco (5) días hábiles siguientes a su recepción y no la atenderá, salvo para indicar al titular que debe dirigirse al Responsable, a menos que una disposición jurídica disponga otra cosa.

DÉCIMA. Vulneraciones de seguridad.

1. La Encargada notificará al Responsable cualquier Vulneración de Seguridad sin dilación indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a que tenga conocimiento de ella.

2. La notificación describirá, en la medida en que se conozcan en ese momento, la naturaleza del incidente, los datos personales comprometidos, el número aproximado de titulares y registros afectados, las consecuencias probables y las acciones correctivas adoptadas o propuestas, y se complementará por etapas conforme se disponga de mayor información, a fin de que el Responsable pueda informar a los titulares en los términos del artículo 19 de la Ley y del artículo 65 del Reglamento.

3. La Encargada adoptará las medidas razonables para contener y remediar la Vulneración de Seguridad, analizará sus causas e implementará las acciones correctivas, preventivas y de mejora que correspondan, en términos del artículo 66 del Reglamento. Salvo que una disposición jurídica lo exija, la Encargada no informará a los titulares ni a las autoridades de una Vulneración de Seguridad que afecte los Datos Personales Encomendados sin la aprobación previa del Responsable.

DÉCIMA PRIMERA. Devolución y supresión.

1. El Responsable podrá exportar los Datos Personales Encomendados en cualquier momento durante la Vigencia y durante el Periodo de Exportación, sin costo alguno.

2. Dentro de los noventa (90) días naturales siguientes a la conclusión del Periodo de Exportación, la Encargada suprimirá definitivamente los Datos Personales Encomendados de sus sistemas productivos, salvo que exista una previsión legal que exija su conservación, en cuyo caso los bloqueará y los mantendrá protegidos conforme al presente Contrato, sin tratarlos para fin distinto del exigido por dicha previsión. Las copias residuales contenidas en las copias de respaldo caducarán dentro de los siete (7) días naturales siguientes.

3. A solicitud escrita del Responsable, la Encargada le certificará por escrito la supresión.

DÉCIMA SEGUNDA. Requerimientos de autoridad. Si la Encargada recibe un requerimiento de autoridad competente relativo a los Datos Personales Encomendados, lo informará de inmediato al Responsable, salvo que una disposición jurídica lo prohíba, le dará oportunidad razonable de oponerse y únicamente proporcionará la información que esté legalmente obligada a entregar.

DÉCIMA TERCERA. Verificación del cumplimiento. A solicitud escrita del Responsable, y no más de una vez en cualquier periodo de doce (12) meses salvo con motivo de una Vulneración de Seguridad o de un requerimiento de autoridad, la Encargada responderá por escrito los cuestionarios razonables relativos al tratamiento de los Datos Personales Encomendados y a sus medidas de seguridad. Cualquier auditoría presencial requerirá el acuerdo previo y por escrito de la Encargada en cuanto a su alcance, fecha y confidencialidad, y será a costa del Responsable.

DÉCIMA CUARTA. Responsabilidad de la Encargada como responsable. Las Partes reconocen que, en términos del artículo 53 del Reglamento, la Encargada asumirá el carácter de responsable, con las obligaciones propias de éste, si destina o utiliza los Datos Personales Encomendados con una finalidad distinta a la autorizada por el Responsable o si efectúa una transferencia incumpliendo sus instrucciones.

DÉCIMA QUINTA. Responsabilidad, prelación y vigencia. La responsabilidad de cada Parte derivada del presente Contrato se sujeta a la Cláusula 52 de los Términos. En caso de contradicción entre el presente Contrato y los Términos en lo relativo al tratamiento de los Datos Personales Encomendados, prevalecerá el presente Contrato. El presente Contrato permanecerá vigente mientras la Encargada trate Datos Personales Encomendados. Los acuerdos entre el Responsable y la Encargada relacionados con el tratamiento deberán ser acordes con el aviso de privacidad del Responsable.

DÉCIMA SEXTA. Ley aplicable y jurisdicción. Son aplicables al presente Contrato las Cláusulas 54 y 55 de los Términos.

APÉNDICE 1. SUBCONTRATADOS AUTORIZADOS