Responsabilidad de uso y contrato de encargo de tratamiento de datos personales

Este documento se acepta antes de enviar las solicitudes de firma y constituye, junto con los Términos y condiciones de MEDCLIC Firma, el contrato de encargo de tratamiento que exigen los artículos 49 a 54 del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Está redactado en español llano; las referencias legales se citan para que pueda verificarlas.

Declaraciones del usuario

1. Facultades. [Nombre del usuario] ([Correo del usuario]), titular de la cuenta con la que se solicita la firma, declara contar con facultades suficientes para actuar por [Nombre o razón social del responsable] ([persona física o moral]; representante: [Representante]; domicilio: [Domicilio del responsable]; RFC: [RFC]) y para solicitar, en su nombre, las firmas del documento «[Título del documento]».
2. Contenido lícito. Declara que el contenido del documento es lícito, que no vulnera derechos de terceros ni disposiciones de orden público, y que no contiene información que el Responsable no esté facultado para tratar.
3. Formalidad del acto. Declara haber verificado que el acto que documenta no exige una formalidad que este servicio no provee (por ejemplo, escritura pública, ratificación ante fedatario, o una forma que la ley reserve a otro medio), y que la firma electrónica recabada es idónea para dicho acto.
4. Datos de los firmantes. Declara que los nombres, correos y celulares que registra corresponden a las personas que deben firmar, que cuenta con base legítima para contactarlas por esos medios, y que pondrá a su disposición —a través del aviso de privacidad que este servicio genera— la información que exige el artículo 16 de la LFPDPPP.

Cláusulas del encargo

1. Partes y carácter. [Nombre del usuario] ([Correo del usuario]) declara contar con facultades para actuar por [Nombre o razón social del responsable], quien es responsable en términos de la LFPDPPP de los datos personales de los firmantes que registra, de los que se recaban para verificar su identidad conforme al nivel «[verificaciones contratadas]», y de los datos contenidos en el documento «[Título del documento]» ([N] ejemplar(es), [N] firmante(s) por documento), incluidos, en su caso, datos sensibles (por ejemplo, de salud), respecto de los cuales cuenta con la base de legitimación necesaria y ha puesto a disposición de los titulares su propio aviso de privacidad. MEDCLIC.mx (operado por Salaweb), con domicilio en Av. Imán 93-301, Col. Insurgentes Cuicuilco, Alcaldía Coyoacán, Ciudad de México, México, que opera MEDCLIC Firma, es encargado del tratamiento y actúa únicamente por cuenta y bajo las instrucciones del Responsable. El Responsable se obliga a atender las solicitudes de derechos ARCO que sus firmantes le dirijan al medio que registró: [Correo para solicitudes de privacidad del responsable].
2. Licitud y formalidad. El Responsable declara que el contenido es lícito, que no vulnera derechos de terceros y que el acto documentado no exige una formalidad distinta (escritura pública, ratificación ante fedatario, o una forma que la ley reserve a otro medio). MEDCLIC Firma no revisa el contenido del documento ni asesora sobre él.
3. Instrucciones de tratamiento. El Responsable instruye a MEDCLIC.mx (operado por Salaweb), con domicilio en Av. Imán 93-301, Col. Insurgentes Cuicuilco, Alcaldía Coyoacán, Ciudad de México, México (MEDCLIC Firma), en su carácter de encargado, a tratar dichos datos exclusivamente para: (a) registrar a los firmantes y enviarles invitaciones y recordatorios por correo electrónico y, si lo contrató, por WhatsApp; (b) verificar su identidad conforme al nivel «[verificaciones contratadas]»; (c) recabar rúbricas y firmas autógrafas digitalizadas y estamparlas en el documento; (d) generar los documentos finales, el reporte de validaciones y la clave de variables; (e) llevar una bitácora inmutable de cada acto; (f) mostrar al Responsable las imágenes de identificación de los firmantes, cuando contrató ese nivel, para su valoración manual, y gestionar las solicitudes de nueva firma por discordancia que él formule; (g) entregar los documentos al Responsable y una copia a cada firmante; (h) permitir la verificación de autenticidad de los documentos finales por su huella SHA-256 sin exponer su contenido ni los datos personales de los firmantes; y a conservar y suprimir conforme a la cláusula 7. Ninguna otra finalidad.
4. Subencargados autorizados (artículo 54 del Reglamento). El Responsable autoriza a MEDCLIC Firma a subcontratar, bajo su responsabilidad y con obligaciones equivalentes a las de este contrato, a: APImarket (lectura OCR de identificaciones; recibe las imágenes de la identificación cuando el nivel incluye INE/pasaporte); Twilio Inc. (mensajes de WhatsApp; recibe celular y nombre cuando el nivel incluye WhatsApp o código OTP); Google LLC (geocodificación inversa; recibe coordenadas aproximadas); el proveedor de correo SMTP de MEDCLIC (recibe correo y nombre); el proveedor de alojamiento de MEDCLIC (infraestructura); y, en su caso, el servicio de geolocalización por dirección IP (recibe la dirección IP). La consulta de vigencia del certificado e.firma ante el SAT (protocolo OCSP) sólo comunica el número de serie del certificado. Mercado Pago trata datos del propio Responsable como pagador bajo su propio aviso de privacidad. Los cambios a esta lista se publican en https://firma.medclic.mx/legal/responsabilidad-uso y aplican a los documentos creados después de su publicación.
5. Derechos ARCO. El Responsable atiende las solicitudes de sus firmantes en el plazo legal (20 días hábiles, artículo 32 de la LFPDPPP). MEDCLIC Firma le asiste dentro de los 5 días hábiles siguientes a su aviso a privacidad@medclic.mx, y redirige al Responsable cualquier solicitud que reciba directamente de un firmante. Cuando la cancelación resulte procedente, MEDCLIC Firma la ejecuta mediante la destrucción de los archivos cifrados y de la llave de cifrado correspondiente y el bloqueo de los registros que deban conservarse, dejando constancia en bitácora.
6. Naturaleza de la firma y alcance del servicio. MEDCLIC Firma no es parte del documento, no revisa ni asesora sobre su contenido y no responde por la validez del acto. La firma recabada es firma electrónica en términos de los artículos 89 y siguientes del Código de Comercio; cuando el firmante usa su e.firma se incorpora además una firma con certificado del SAT sobre el manifiesto de lo firmado, que puede calificar como firma electrónica avanzada (artículo 97). No se emite constancia de conservación conforme a la NOM-151-SCFI-2016; la fecha y hora provienen del servidor de MEDCLIC Firma (hora de la Ciudad de México).
7. Conservación y supresión. (a) Los archivos —documento base, variantes, previsualizaciones, documentos finales, paquetes ZIP, imágenes de identificación y sus recortes, imágenes y trazos de firmas y rúbricas, logotipos— se suprimen a los 90 días naturales de la entrega del documento; los de documentos cancelados o abandonados antes de pagarse, a los 30 días; los de procesos que nunca concluyen, a los 180 días. El Responsable se obliga a descargar sus documentos antes de esos plazos. Las imágenes de identificación y sus recortes se suprimen, además, a más tardar 30 días después de que el Responsable valide la identidad del firmante. (b) Se conservan 10 años (artículo 49 del Código de Comercio y defensa frente a reclamaciones), cifrados y con acceso restringido, los registros que acreditan el proceso: bitácora, consentimientos con su texto íntegro, huellas SHA-256, nombre, correo y celular de los firmantes, resultado y metadatos de cada verificación (sin imágenes; datos de OCR y coordenadas exactas cifrados) y los datos del Responsable. Por diseño, estos registros son inmutables (sólo admiten inserciones) y únicamente se consultan para atender al Responsable, a los titulares o a requerimientos de autoridad. (c) Vencido el plazo se bloquean y suprimen. (d) Las copias de respaldo pueden conservar información hasta 30 días adicionales.
8. Obligaciones de MEDCLIC Firma como encargado (artículo 50 del Reglamento). MEDCLIC Firma se obliga a: tratar los datos únicamente conforme a las instrucciones de este contrato; no usarlos para fines propios; aplicar medidas de seguridad administrativas, técnicas y físicas (cifrado AES-256-GCM en reposo con llaves por documento y por firmante, bitácora inmutable, control de acceso, comunicaciones TLS, tokens de un solo uso); guardar confidencialidad aun concluida la relación; suprimir los datos conforme a la cláusula 7; no transferirlos salvo lo autorizado en la cláusula 4 o por requerimiento de autoridad competente (informándolo al Responsable salvo prohibición legal); y notificar al Responsable cualquier vulneración de seguridad que afecte datos de sus firmantes sin dilación y, a más tardar, 72 horas después de conocerla, para que éste informe a los titulares conforme al artículo 20 de la LFPDPPP.
9. Vigencia y aceptación. Este contrato rige desde su aceptación mediante código de un solo uso enviado al celular verificado del usuario (mecanismo de autenticación en términos del artículo 9 de la LFPDPPP y del artículo 89 del Código de Comercio) hasta la supresión de los datos conforme a la cláusula 7. La constancia de aceptación (texto íntegro, versión, huella SHA-256, fecha, dirección IP y navegador) queda en la bitácora de MEDCLIC Firma y puede consultarse en el reporte de validaciones del documento.
10. Uso indebido. El Responsable responde frente a los firmantes y frente a terceros por el uso que dé a las imágenes de identificación y a los documentos firmados. MEDCLIC Firma puede suspender una solicitud de firma reportada como abusiva (suplantación, contenido ilícito, envíos masivos no consentidos) mientras la investiga, sin reembolso si el abuso se confirma.

Generado el [fecha de generación] para el documento «[Título del documento]» (folio [Folio]). Prestador y encargado: MEDCLIC.mx (operado por Salaweb), con domicilio en Av. Imán 93-301, Col. Insurgentes Cuicuilco, Alcaldía Coyoacán, Ciudad de México, México. Contacto: firma@medclic.mx · Privacidad: privacidad@medclic.mx.