Convenio de encargo de tratamiento de datos personales

Última actualización: 1 de septiembre de 2026 · Versión 1.0

Preámbulo

PRIMERO. El presente Convenio de Encargo de Tratamiento (el "Convenio") regula el tratamiento de datos personales que José Antonio Bobadilla García, RFC BOGA010419UN4, operador de la plataforma Hubo (el "Encargado"), realiza por cuenta y bajo instrucciones de la persona moral o física con actividad empresarial que contrata el servicio (el "Responsable" o el "Cliente").

SEGUNDO. Este Convenio forma parte integral de los Términos de Servicio y se tiene por aceptado en el mismo acto en que el Cliente los acepta. En caso de contradicción entre este Convenio y cualquier otro documento contractual en materia de datos personales, prevalece este Convenio.

TERCERO. Los términos definidos en los Términos de Servicio tienen aquí el mismo significado.

1. Objeto y ámbito

1.1 El Encargado tratará por cuenta del Responsable los datos personales contenidos en el Contenido del Cliente: los mensajes que sus Usuarios envían, las respuestas generadas, los documentos que cargan, el texto extraído de éstos, sus resúmenes y sus representaciones numéricas.

1.2 Delimitación expresa. Este Convenio NO alcanza a los datos respecto de los cuales el Encargado actúa como responsable por derecho propio, a saber:

a) datos de identificación y contacto de la cuenta (nombre, correo, rol); b) datos fiscales y de facturación de la Organización; c) metadatos de consumo y registros contables; d) bitácoras de acceso y de seguridad, que el Encargado trata para el cumplimiento de su propio deber de seguridad y de rendición de cuentas.

El tratamiento de esas categorías se rige por el Aviso de Privacidad del Encargado.

2. Naturaleza, finalidad y duración

3. Obligaciones del encargado

El Encargado se obliga a:

3.1 Tratar los datos únicamente conforme a las instrucciones del Responsable. Las instrucciones se ejercen a través de la configuración y del uso del propio Servicio (crear, cargar, consultar, eliminar, exportar, activar o desactivar funciones opcionales). El Encargado no tratará los datos para finalidades propias.

3.2 No transferir los datos a terceros, salvo a los subencargados del Anexo I conforme a la §4, o por mandato de autoridad competente conforme a la §8.

3.3 Guardar confidencialidad respecto del Contenido del Cliente, obligación que subsiste indefinidamente tras la terminación de la relación.

3.4 No usar el Contenido del Cliente para entrenar, ajustar ni evaluar modelos de inteligencia artificial, propios o de terceros, y contratar únicamente con subencargados que asuman la misma restricción por la vía de acceso utilizada.

3.5 No registrar el contenido en bitácoras ni en sistemas de monitoreo. Esta obligación está implementada mediante lista blanca de campos y no depende de una política administrativa.

3.6 Implementar y mantener las medidas de seguridad del Anexo III.

3.7 Garantizar el aislamiento lógico entre organizaciones mediante controles aplicados en el motor de base de datos.

3.8 Asistir al Responsable en la atención de solicitudes de ejercicio de derechos ARCO de los titulares, conforme a la §6.

3.9 Notificar sin dilación indebida cualquier vulneración de seguridad que afecte al Contenido del Cliente, conforme a la §7.

3.10 Poner a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de este Convenio, conforme a la §9.

3.11 Suprimir o devolver el Contenido al terminar la relación, conforme a la §10.

3.12 Informar al Responsable si, a su juicio, una instrucción infringe la normativa aplicable.

4. Subencargados

4.1 Autorización general. El Responsable autoriza al Encargado a subcontratar el tratamiento con los subencargados listados en el Anexo I, necesarios para la prestación del Servicio.

4.2 Obligaciones del Encargado respecto de sus subencargados. El Encargado:

a) suscribirá con cada uno un instrumento que le imponga obligaciones de protección y confidencialidad no menos protectoras que las de este Convenio; b) responderá frente al Responsable por los actos y omisiones de sus subencargados como si fueran propios; c) mantendrá el Anexo I actualizado y públicamente accesible.

4.3 Cambios en la lista. El Encargado notificará al Responsable con al menos 14 días naturales de anticipación la incorporación de un nuevo subencargado que vaya a recibir Contenido del Cliente. Durante ese plazo, el Responsable puede oponerse por escrito y con motivo razonable; si la objeción no puede resolverse, el Responsable podrá terminar la relación sin penalización, con reembolso de la parte proporcional no consumida. Tratándose de un subencargado que no reciba Contenido, bastará la actualización del Anexo I y del Aviso de Privacidad del Encargado.

4.4 Sustitución de emergencia. Si un subencargado interrumpe su servicio de forma súbita, el Encargado podrá sustituirlo de inmediato para preservar la continuidad, notificando en el plazo más breve posible.

4.5 Transferencias internacionales. El Responsable autoriza expresamente que el Encargado remita el Contenido a los subencargados del Anexo I ubicados fuera del territorio nacional —principalmente en los Estados Unidos de América—, en la medida necesaria para prestar el Servicio. El Encargado garantiza que cada uno de ellos está obligado, por sus términos contractuales, a (i) tratar los datos únicamente conforme a las instrucciones del Encargado, (ii) no utilizarlos para entrenar modelos ni para finalidades propias, (iii) aplicar medidas de seguridad, y (iv) conservarlos sólo por los plazos declarados en el Aviso de Privacidad del Encargado. Las copias de seguridad, única réplica completa del acervo, se custodian cifradas en territorio mexicano (mx-central-1).

5. Datos personales sensibles · cláusula de delimitación

5.1 El Encargado no solicita, no requiere y no recaba deliberadamente datos personales sensibles. Ningún campo de la Plataforma está destinado a capturarlos.

5.2 El Responsable reconoce y acepta que:

a) el Servicio permite cargar documentos y escribir mensajes de contenido arbitrario, por lo que es materialmente posible introducir datos sensibles; b) el Encargado no lee el contenido y por tanto no puede detectarlo, filtrarlo ni advertirlo; c) en consecuencia, la decisión de introducir datos sensibles y la responsabilidad que de ello derive son exclusivamente del Responsable.

5.3 Obligación del Responsable. Si el Responsable introduce datos personales sensibles, declara contar con el consentimiento expreso y por escrito que la legislación exige y con la base legítima correspondiente, y se obliga a mantener en paz y a salvo al Encargado frente a reclamaciones derivadas de su falta.

5.4 Compromiso del Encargado. Con independencia de lo anterior, el Encargado aplica a todo el Contenido, sin distinción, las medidas de seguridad reforzadas del Anexo III, diseñadas asumiendo el régimen agravado.

5.5 Prohibición de usos vedados. El Responsable se obliga a no emplear los Resultados como fundamento único y sin revisión humana en decisiones sobre contratación, despido, otorgamiento de crédito, diagnóstico o tratamiento médico, o cualquier otra materia con efecto jurídico sobre una persona.

6. Asistencia en el ejercicio de derechos ARCO

6.1 Cuando el Encargado reciba directamente una solicitud ARCO de un titular sobre el Contenido del Cliente:

a) acusará recibo y orientará al titular; b) trasladará la solicitud al Responsable sin dilación indebida, y en todo caso dentro de los 3 días hábiles siguientes; c) no responderá al fondo por su cuenta, salvo instrucción del Responsable.

6.2 El Encargado asistirá al Responsable, dentro de lo técnicamente posible, en la localización, extracción, rectificación, bloqueo y supresión del Contenido afectado.

6.3 Autoservicio disponible. El Encargado hace constar que la Plataforma ya permite al titular, sin intervención de ninguna de las partes: consultar su propio registro de accesos, rectificar su nombre, eliminar conversaciones y eliminar documentos. El Responsable puede señalar estas vías en su propia respuesta.

6.4 Límites que el Encargado declara. El Encargado no puede:

a) suprimir por la vía ordinaria el Contenido antes del plazo de bloqueo de 30 días de las conversaciones eliminadas, por ser una retención con finalidades tasadas (recuperación ante error o cuenta comprometida) que la Plataforma no ofrece acortar; la supresión anticipada solo procede excepcionalmente, a instrucción escrita del Responsable, previa valoración caso por caso y de forma manual con acta (véase el Aviso de Privacidad, sección de derechos ARCO); b) suprimir los registros contables ni los comprobantes fiscales, por obligación legal propia; c) suprimir información sujeta a resguardo por requerimiento de autoridad; d) suprimir de forma anticipada las copias de respaldo ya escritas, que expiran en su ciclo de rotación.

7. Vulneraciones de seguridad

7.1 Notificación. El Encargado notificará al Responsable sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a que tenga conocimiento de una vulneración de seguridad que afecte al Contenido del Cliente.

7.2 Contenido de la notificación. En la medida en que la información esté disponible: naturaleza de la vulneración, categorías y volumen aproximado de datos y titulares afectados, consecuencias probables, medidas adoptadas o propuestas, y punto de contacto. Si no toda la información está disponible, se enviará por fases sin retrasar la notificación inicial.

7.3 Cooperación. El Encargado cooperará razonablemente con el Responsable en la investigación, el acotamiento del alcance, la mitigación y, en su caso, la notificación a los titulares, que corresponde al Responsable y que la Ley le exige realizar de forma inmediata cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales (artículo 19 de la Ley; artículo 65 del Reglamento para el contenido mínimo). Para facilitarla, el Encargado entregará su notificación con la estructura de su protocolo de atención de vulneraciones y proporcionará, a petición, la lista de Usuarios afectados.

7.4 Preservación de evidencia. El Encargado preservará la evidencia técnica disponible, incluidas las bitácoras y su cadena de resúmenes criptográficos de integridad, durante el tiempo necesario para la investigación.

7.5 El procedimiento completo del Encargado consta en su protocolo escrito de atención de vulneraciones, disponible al Responsable a solicitud en hola@hubo.mx.

8. Requerimientos de autoridad

8.1 El Encargado solo divulgará Contenido del Cliente ante un requerimiento por escrito de autoridad competente, debidamente fundado y motivado, limitado al mínimo necesario para cumplirlo.

8.2 El Encargado notificará al Responsable con antelación suficiente para que pueda hacer valer sus derechos, salvo que la ley o el propio requerimiento se lo prohíban, supuesto en el cual quedará impedido de informar.

8.3 De cada entrega quedará constancia interna con folio y motivo, asentada en la misma operación que produce el acceso, y con el resumen criptográfico del paquete entregado.

9. Auditoría y demostración de cumplimiento

9.1 El Encargado pondrá a disposición del Responsable, previa solicitud razonable y con periodicidad no mayor a una vez por año calendario:

a) la documentación de este paquete de cumplimiento, actualizada; b) el informe de la última auditoría de seguridad realizada; c) el acta del último simulacro de restauración de respaldos; d) el registro vigente de subencargados.

9.2 Auditoría in situ. El Responsable podrá solicitar una auditoría directa cuando exista causa justificada —en particular, tras una vulneración—, con aviso previo de 30 días naturales, en horario hábil, sin interrumpir la operación, sujeta a convenio de confidencialidad y sin acceso al contenido de otros clientes. Los costos serán a cargo del Responsable, salvo que la auditoría revele un incumplimiento material del Encargado.

9.3 Límite declarado. El Encargado hace constar que no puede otorgar acceso de auditoría a la infraestructura de sus subencargados, cuyos informes de cumplimiento se rigen por las políticas de cada uno.

10. Terminación

10.1 Ventana de recuperación. Al terminar la relación, el Encargado conservará el Contenido del Cliente durante 30 días naturales, durante los cuales atenderá una solicitud razonable de exportación.

10.2 Supresión. Transcurrida esa ventana, el Encargado suprimirá el Contenido conforme al Anexo II, con las excepciones ahí previstas.

10.3 Persistencia en respaldos. El Responsable reconoce que, cumplida la supresión en producción, pueden persistir copias cifradas en los respaldos hasta que expiren en su ciclo de rotación (30 días el respaldo nocturno; 13 meses el corte mensual promovido). Esas copias están cifradas, son inmutables por diseño y no son consultables en la operación ordinaria.

10.4 Constancia. A petición del Responsable, el Encargado emitirá constancia escrita de la supresión practicada, indicando qué se suprimió, qué se conservó y por qué.

11. Responsabilidad

11.1 La responsabilidad del Encargado derivada de este Convenio queda sujeta a la limitación establecida en los Términos de Servicio §18, con excepción de los supuestos que la ley no permita limitar.

11.2 El Responsable mantendrá en paz y a salvo al Encargado frente a reclamaciones de titulares derivadas de: (i) la falta de base legítima del Responsable para el tratamiento; (ii) el incumplimiento de su deber de informar a sus Usuarios; y (iii) la introducción de datos sensibles sin el consentimiento exigido.

12. Disposiciones finales

12.1 Este Convenio se rige por las leyes de los Estados Unidos Mexicanos y por la jurisdicción pactada en los Términos §24.

12.2 Su modificación se sujeta al procedimiento de los Términos §22, con la particularidad de que todo cambio en el Anexo I que incorpore un subencargado receptor de Contenido se notificará con 14 días naturales de anticipación, el mismo plazo de la cláusula 4.3.

12.3 El Encargado ofrecerá, a solicitud del Cliente que lo requiera para su propio expediente de cumplimiento, la suscripción de este Convenio con firma autógrafa o electrónica avanzada.

Anexo I · Registro de subencargados

El detalle de cada encargado consta en el Aviso de Privacidad, sección de transferencias y encargados.

Nota: la institución bancaria receptora de los depósitos y el alojamiento del panel interno del operador (Hostinger) no son subencargados de este Convenio: no reciben Contenido del Cliente ni datos de sus Usuarios; el primero trata los datos de la transferencia como responsable propio y el segundo solo sirve archivos estáticos al personal del Encargado.

Anexo II · Plazos de bloqueo y supresión

Los plazos coinciden con la política de conservación publicada en el Aviso de Privacidad.

Anexo III · Medidas de seguridad

Las medidas se describen con más detalle en la página de seguridad.

Técnicas

1. Cifrado en tránsito (HTTPS/TLS) y transporte estricto obligatorio.
2. Cifrado en reposo de base de datos y almacenamiento; los respaldos se cifran adicionalmente antes de salir, incluidos los nombres de archivo, con llave privada que no reside en ningún servidor.
3. Aislamiento entre organizaciones aplicado en el motor de base de datos.
4. Llaves maestras y credenciales privilegiadas exclusivamente del lado servidor.
5. Contraseñas: mínimo 12 caracteres, tres clases, almacenamiento irreversible y verificación contra bases públicas de contraseñas filtradas.
6. Verificación en dos pasos disponible y exigible por la organización.
7. Reautenticación reciente (15 minutos) para ocho operaciones críticas.
8. Expiración de sesión por inactividad a las 72 horas y rotación de tokens.
9. Límites de tasa por usuario y por organización.
10. Cabeceras de seguridad del navegador aplicadas y verificadas.
11. Punto único y auditado de acceso a los binarios de documentos.
12. Detección de abuso: golpeteo de límites y acceso masivo a documentos.

Organizativas

1. Bitácoras de acceso, de seguridad y del personal del operador, con integridad verificable mediante cadena de resúmenes criptográficos y ancla externa inmutable.
2. Procedimientos escritos vigentes: derechos ARCO, vulneraciones, requerimientos de autoridad, recuperación ante desastres y auditoría de rutina.
3. Simulacro de restauración de respaldos con acta, ejecutado y con periodicidad trimestral.
4. Auditorías de seguridad periódicas, incluida la evaluación de riesgos propios de aplicaciones con modelos de lenguaje.

Limitación declarada. El Contenido no está cifrado de extremo a extremo, por ser técnicamente incompatible con la funcionalidad del Servicio.