Convenio de encargado del tratamiento

Partes

El Responsable es el Cliente que contrata SignSolú, en adelante el «Cliente».

El Encargado es SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. con RFC SOB240719U87, en adelante «SignSolú».

Este convenio es parte del contrato de servicio y prevalece en materia de datos.

1. Marco y roles

En México se rige por la LFPDPPP y los artículos 49 a 52 de su Reglamento.

El Cliente responde por los datos de sus firmantes.

SignSolú los trata sólo por su cuenta y con sus instrucciones.

Los datos de la cuenta del Cliente se rigen por el Aviso de privacidad.

2. Objeto, finalidad y duración

SignSolú trata los datos para prestar el servicio de firma electrónica.

• Recibe y guarda los datos del firmante.
• Genera y envía una liga única por correo o desde el WhatsApp del Cliente.
• Resguarda la identificación y los documentos que el Cliente pide.
• Lee la credencial para extraer nombre, CURP y fecha de nacimiento.
• Captura la firma dibujada.
• Registra IP, navegador, ubicación aproximada y marcas de tiempo.
• Calcula la huella SHA-256 y emite el certificado de auditoría.
• Conserva el expediente para consulta y descarga.

SignSolú no usa estos datos para fines propios ni para entrenar modelos.

El tratamiento dura mientras exista la cuenta del Cliente.

Cancelar la suscripción no elimina los documentos firmados.

3. Datos tratados

Los titulares son los firmantes que el Cliente agrega a sus documentos.

Los datos dependen de lo que el Cliente capture y pida.

• Nombre, correo, teléfono y domicilio.
• CURP, clave de elector, fecha de nacimiento y sexo de la credencial.
• Imágenes de identificación y documentos de soporte.
• Foto del firmante con su identificación y firma dibujada.
• IP, navegador, sistema operativo, ubicación aproximada y marcas de tiempo.
• Los datos que contenga el propio documento.

4. Instrucciones del Cliente

La instrucción inicial es el uso de la Plataforma según su configuración.

SignSolú sólo comunica datos por instrucción del Cliente o a sus subencargados.

También ante un requerimiento legal, avisando antes al Cliente si la ley lo permite.

Si una instrucción le parece ilegal SignSolú lo avisa sin demora.

5. Confidencialidad

Toda persona con acceso a los datos tiene un deber de confidencialidad.

El acceso se limita a quien lo necesita para prestar el servicio.

6. Medidas de seguridad

• TLS en todo el sitio con HSTS activo.
• Cifrado AES-256 en reposo.
• Depósitos privados con ligas temporales firmadas.
• Aislamiento por cuenta con seguridad a nivel de renglón.
• Contraseñas guardadas con resumen criptográfico.
• Una liga única por firmante.
• Huella SHA-256 según NIST FIPS 180-4 y bitácora por documento.

Alcance declarado

El servicio es firma electrónica simple con expediente de evidencia.

El proveedor de infraestructura mantiene SOC 2 Tipo 2 e ISO/IEC 27001.

SignSolú no tiene certificaciones propias ni es prestador de servicios de certificación.

La lectura de la credencial no consulta la lista nominal del INE.

7. Asistencia al Cliente

SignSolú ayuda al Cliente a atender los derechos de sus titulares.

Responde a cada solicitud en un máximo de cinco días hábiles.

El Cliente puede exportar todo su historial desde su cuenta.

Un documento firmado no se modifica porque cambiaría su huella.

8. Subencargados

El Cliente autoriza a SignSolú a usar los subencargados del servicio.

SignSolú responde ante el Cliente por el trabajo de cada uno.

Cualquier alta o cambio se avisa con 30 días naturales de anticipación.

El Cliente puede oponerse con motivos fundados en protección de datos.

El envío por WhatsApp sale del número del propio Cliente.

Por eso WhatsApp no es subencargado de SignSolú.

9. Transferencias

Los datos se alojan y procesan en Estados Unidos.

En México esto es una remisión y no requiere consentimiento del titular.

El Cliente informa en su aviso que los datos se alojan fuera del país.

10. Vulneraciones de seguridad

SignSolú avisa al Cliente dentro de las 72 horas siguientes a confirmarla.

El aviso explica qué pasó, a quién afecta y qué medidas se tomaron.

El Cliente avisa a sus titulares cuando la ley lo exige.

11. Auditoría

SignSolú da la información necesaria para demostrar que cumple este convenio.

Acepta una auditoría al año con aviso de 30 días naturales.

12. Devolución y eliminación

Al terminar el contrato el Cliente elige devolución o eliminación.

Puede descargar su historial completo en cualquier momento y sin costo.

A solicitud SignSolú entrega el paquete en 30 días.

La eliminación incluye identificaciones y respaldos en lo técnicamente posible.

13. Contacto

El responsable de privacidad es José Rodrigo Barrios Villa.

Atiende en rodrigo@solufintech.com.

El Cliente designa un contacto de privacidad para recibir avisos.

Sin designación se usa el correo del titular de la cuenta.

14. Disposiciones finales

Este convenio se acepta al aceptar los Términos de uso.

No requiere firma autógrafa según el artículo 51 del Reglamento de la LFPDPPP.

Se rige por las leyes de México.

Las controversias se resuelven ante los tribunales de Tepic, Nayarit.

La versión vigente es la publicada en esta página.

Anexo para Unión Europea, Reino Unido y Brasil

Aplica cuando el Cliente o sus firmantes están en esas regiones.

• SignSolú actúa como encargado según el artículo 28 del RGPD.
• Las transferencias a Estados Unidos usan las cláusulas contractuales tipo de la Comisión Europea.
• Para el Reino Unido se suma el anexo internacional de transferencia de datos.
• Para Brasil se aplican las cláusulas estándar que reconoce la ANPD.
• Los plazos de aviso de vulneraciones siguen siendo de 72 horas.

El Cliente puede pedir la versión firmada de estas cláusulas en rodrigo@solufintech.com.

Publicado por SignSolú, plataforma mexicana de firma electrónica por WhatsApp.