Convenio de encargado del tratamiento para la Unión Europea

Partes

El Responsable es el cliente que contrata SignSolú, en adelante el «Cliente».

El Encargado es SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. con RFC SOB240719U87, en adelante «SignSolú».

Este convenio es el contrato del artículo 28.3 del RGPD.

Forma parte del contrato de servicio y prevalece en materia de datos.

Aplica cuando el tratamiento de los datos de los firmantes está sujeto al RGPD.

1. Objeto, naturaleza, finalidad y duración

SignSolú trata los datos para prestar el servicio de firma electrónica.

• Recibe y guarda los datos del firmante.
• Genera y envía un enlace único por correo o desde el WhatsApp del Cliente.
• Guarda el documento de identidad y los documentos que el Cliente pide.
• Captura la firma dibujada.
• Registra IP, navegador, ubicación aproximada y marcas de tiempo.
• Calcula la huella SHA-256 y emite el certificado de auditoría.
• Conserva el expediente para consulta y descarga.

SignSolú no usa estos datos para fines propios ni para entrenar modelos.

El tratamiento dura mientras exista la cuenta del Cliente.

Cancelar la suscripción no elimina los documentos firmados.

2. Tipo de datos y categorías de interesados

Los interesados son los firmantes que el Cliente agrega a sus documentos.

Los datos dependen de lo que el Cliente recabe y pida.

• Nombre, correo electrónico, móvil y domicilio.
• Imágenes del documento de identidad y documentos de soporte.
• Foto del firmante con su documento y firma dibujada.
• IP, navegador, sistema operativo, ubicación aproximada y marcas de tiempo.
• Los datos que contenga el propio documento.

3. Instrucciones del Cliente

SignSolú trata los datos sólo con instrucciones documentadas del Cliente.

Eso incluye las transferencias a un tercer país.

La instrucción inicial es el uso de la Plataforma según su configuración.

Si una ley obliga a SignSolú a otro tratamiento lo avisa antes al Cliente cuando la ley lo permite.

Si una instrucción le parece contraria al RGPD SignSolú lo avisa de inmediato.

4. Confidencialidad

Toda persona autorizada a tratar los datos tiene un deber de confidencialidad.

El acceso se limita a quien lo necesita para prestar el servicio.

5. Medidas de seguridad

SignSolú aplica las medidas del artículo 32 del RGPD.

• TLS en todo el sitio con HSTS activo.
• Cifrado AES-256 en reposo.
• Depósitos privados con enlaces temporales firmados.
• Aislamiento por cuenta con seguridad a nivel de fila.
• Contraseñas guardadas con resumen criptográfico.
• Un enlace único por firmante.
• Huella SHA-256 según NIST FIPS 180-4 y bitácora por documento.
• Revisión periódica de estas medidas.

6. Subencargados

El Cliente da a SignSolú una autorización general para usar los subencargados del servicio.

Cualquier alta o sustitución se avisa por escrito con 30 días naturales de antelación.

El Cliente puede oponerse en ese plazo con motivos de protección de datos.

Cada subencargado asume por contrato las mismas obligaciones de este convenio.

SignSolú responde ante el Cliente por el trabajo de cada uno.

El envío por WhatsApp sale del número del propio Cliente.

Por eso WhatsApp no es subencargado de SignSolú.

7. Asistencia al Cliente

SignSolú ayuda al Cliente a responder las solicitudes de los interesados.

Responde a cada petición del Cliente en un máximo de cinco días hábiles.

También le ayuda con la seguridad, las violaciones, las evaluaciones de impacto y la consulta previa de los artículos 32 a 36.

El Cliente puede exportar todo su historial desde su cuenta.

Un documento firmado no se modifica porque cambiaría su huella.

8. Violaciones de seguridad

SignSolú avisa al Cliente sin dilación indebida y en un máximo de 72 horas desde que la conoce.

El aviso explica qué pasó, a quién afecta y qué medidas se tomaron.

Con eso el Cliente puede notificar a su autoridad según el artículo 33 del RGPD.

9. Supresión o devolución

Al terminar el servicio el Cliente elige supresión o devolución.

Puede descargar su historial completo en cualquier momento y sin coste.

A petición SignSolú entrega el paquete en 30 días.

Después suprime las copias salvo que una ley exija conservarlas.

10. Información y auditorías

SignSolú da al Cliente la información necesaria para demostrar que cumple este convenio.

Acepta una auditoría al año con aviso de 30 días naturales.

La auditoría la hace el Cliente o un auditor que él autorice.

11. Transferencias internacionales

SignSolú está en México y los datos se alojan sobre todo en Estados Unidos.

Las partes incorporan a este convenio las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914.

• Módulo dos. Aplica cuando el Cliente es responsable y exporta los datos a SignSolú.
• Módulo tres. Aplica cuando el Cliente es a su vez encargado de otro responsable.
• Cláusula 7. Se incluye la cláusula de incorporación.
• Cláusula 9. Opción 2, autorización general por escrito con aviso de 30 días naturales.
• Cláusula 11. No se incluye la opción del organismo independiente de resolución de litigios.
• Cláusula 13. La autoridad de control es la del Estado miembro en que está establecido el Cliente.
• Cláusula 17. Opción 2, el Derecho del Estado miembro del Cliente y, si no admite derechos de terceros beneficiarios, el Derecho español.
• Cláusula 18. Los tribunales del Estado miembro en que está establecido el Cliente.

Anexos de las cláusulas

• Anexo I.A. El Cliente como exportador y SignSolú como importador, con los datos de su cuenta y de este convenio.
• Anexo I.B. La descripción de las secciones 1 y 2 de este convenio.
• Anexo I.C. La autoridad de la cláusula 13.
• Anexo II. Las medidas de la sección 5.
• Anexo III. La lista de subencargados.

Si este convenio y las cláusulas tipo chocan prevalecen las cláusulas tipo.

El Cliente puede pedir una copia firmada de las cláusulas en rodrigo@solufintech.com.

12. Contacto

El responsable de privacidad es José Rodrigo Barrios Villa.

Atiende en rodrigo@solufintech.com.

El Cliente designa un contacto de privacidad para recibir los avisos.

Sin designación se usa el correo del titular de la cuenta.

13. Disposiciones finales

Este convenio se acepta al aceptar los Términos de uso.

Consta por escrito en formato electrónico, como admite el artículo 28.9 del RGPD.

Las obligaciones del artículo 28 se rigen por el Derecho de la cláusula 17.

El resto del contrato de servicio se rige por la ley de México.

La versión vigente es la publicada en esta página.

Publicado por SignSolú, plataforma de firma electrónica por WhatsApp.