Acuerdo de Procesamiento de Datos Personales

Preámbulo

El presente Acuerdo de Procesamiento de Datos Personales (en lo sucesivo, el "Acuerdo" o "DPA") se celebra entre:

• Eduardo Javier Sosa Treviño, persona física con actividad empresarial, con RFC [RFC] y domicilio fiscal en [DOMICILIO FISCAL COMPLETO], operadora de la plataforma Kyvi (kyviplanner.com), en su carácter de Encargado del Tratamiento (en lo sucesivo, "Kyvi" o el "Encargado"); y

• El Cliente, identificado en su cuenta de Kyvi, en su carácter de Responsable del Tratamiento de los datos personales que decide cargar o procesar a través de la Plataforma (en lo sucesivo, el "Cliente" o el "Responsable").

Ambas partes se denominarán conjuntamente las "Partes".

Este Acuerdo complementa los Términos y Condiciones de Uso de Kyvi y se aplica automáticamente cuando el Cliente utiliza la Plataforma para tratar datos personales de terceros, incluyendo (sin limitarse a): wedding planners profesionales que utilizan Kyvi para gestionar bodas de sus clientes, y parejas que cargan datos de sus invitados.

1. Definiciones

Los términos en mayúscula utilizados en este Acuerdo tendrán el significado que les otorga la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento, salvo que aquí se definan de manera distinta.

• "Datos Personales": Cualquier información concerniente a una persona física identificada o identificable.
• "Datos Personales Sensibles": Aquellos que afecten la esfera más íntima del titular o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste (incluye, en el contexto de Kyvi, alergias y restricciones alimentarias de invitados).
• "Tratamiento": La obtención, uso, divulgación o almacenamiento de datos personales.
• "Titular": La persona física a quien corresponden los datos personales.
• "Responsable": Persona física o moral que decide sobre el tratamiento de los datos personales.
• "Encargado": Persona física o moral que trata datos personales por cuenta del Responsable.
• "Plataforma": El servicio Kyvi, accesible en kyviplanner.com y aplicaciones asociadas.

2. Objeto y Alcance

2.1 Objeto

Este Acuerdo regula el tratamiento de Datos Personales que el Encargado realiza por cuenta del Responsable cuando éste utiliza la Plataforma, conforme a los artículos 50, 51 y 52 de la LFPDPPP y los artículos 49 a 55 de su Reglamento.

2.2 Naturaleza del tratamiento

El Encargado tratará Datos Personales únicamente conforme a las instrucciones documentadas del Responsable, plasmadas en su uso de la Plataforma y en este Acuerdo. El Encargado no utilizará los Datos Personales para finalidades distintas a las que el Responsable le ha encomendado.

2.3 Duración

Este Acuerdo permanecerá vigente durante todo el tiempo en que el Responsable mantenga una cuenta activa en la Plataforma y se extenderá durante los plazos de retención posterior previstos en el Aviso de Privacidad.

3. Categorías de Datos y Titulares

3.1 Categorías de Datos Personales tratados

• Datos de identificación (nombre, apellidos).
• Datos de contacto (correo electrónico, teléfono).
• Datos de evento (mesa asignada, RSVP, acompañantes).
• Datos sensibles (alergias, restricciones alimentarias, condiciones médicas relevantes para el evento).
• Datos de imagen (fotografías que el Responsable o sus invitados decidan cargar).

3.2 Categorías de Titulares

• Invitados al evento.
• Proveedores externos cuyos datos sean cargados por el Responsable.
• Cualquier tercero cuyos datos el Responsable decida procesar a través de la Plataforma.

4. Obligaciones del Responsable

El Responsable se obliga a:

• Cumplir con todas las disposiciones aplicables de la LFPDPPP, su Reglamento y demás normatividad mexicana en materia de protección de datos personales.
• Obtener el consentimiento de los Titulares antes de cargar sus datos en la Plataforma, conforme a lo previsto en los artículos 8, 9 y 36 de la LFPDPPP.
• Proporcionar a los Titulares un Aviso de Privacidad que describa el tratamiento de sus datos.
• Atender directamente las solicitudes de derechos ARCO presentadas por los Titulares respecto de sus datos.
• Cargar únicamente datos veraces, exactos, actualizados y necesarios.
• No cargar datos sensibles más allá de los estrictamente necesarios para la organización del evento.
• Indemnizar al Encargado por cualquier reclamación derivada del incumplimiento de las obligaciones anteriores.

5. Obligaciones del Encargado

Conforme al artículo 50 del Reglamento de la LFPDPPP, el Encargado se obliga a:

5.1 Tratar los datos conforme a instrucciones

Tratar los Datos Personales únicamente conforme a las instrucciones del Responsable, dadas mediante el uso de la Plataforma o por escrito a contacto@kyviplanner.com.

5.2 No utilizar los datos para fines propios

No utilizar los Datos Personales para finalidades distintas a las instruidas por el Responsable, salvo en los casos legalmente permitidos.

5.3 Implementar medidas de seguridad

Implementar medidas técnicas, físicas y administrativas razonables para proteger los Datos Personales, incluyendo:

• Encriptación en tránsito (TLS 1.2+) y en reposo.
• Controles de acceso basados en roles (RBAC).
• Políticas de seguridad a nivel de fila (Row Level Security).
• Respaldos automáticos cifrados.
• Monitoreo de seguridad continuo.
• Capacitación al personal con acceso a datos personales.
• Registro de auditoría de accesos críticos.

5.4 Confidencialidad

Guardar confidencialidad respecto de los Datos Personales tratados, obligación que subsiste aún después de finalizada la relación con el Responsable.

5.5 Suprimir los datos al término del Acuerdo

Suprimir los Datos Personales tratados una vez cumplida la finalidad y sus plazos de retención, salvo disposición legal en contrario.

5.6 Asistencia con derechos ARCO

Brindar al Responsable asistencia razonable, mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de derechos ARCO presentadas por los Titulares.

5.7 Notificación de vulneraciones

Notificar al Responsable, sin dilación injustificada y en un plazo máximo de 72 horas desde su conocimiento, cualquier vulneración de seguridad que afecte de forma significativa los Datos Personales tratados por cuenta del Responsable.

5.8 Asistencia regulatoria

Brindar al Responsable la información razonable que requiera para demostrar el cumplimiento de sus obligaciones bajo la LFPDPPP.

6. Sub-encargados

6.1 Autorización general

El Responsable autoriza al Encargado a contratar sub-encargados para la prestación del servicio. La lista vigente de sub-encargados está publicada en el Aviso de Privacidad e incluye, entre otros:

6.2 Cambios en sub-encargados

El Encargado notificará al Responsable cualquier cambio en la lista de sub-encargados con al menos 30 días naturales de anticipación. Si el Responsable se opone justificadamente al cambio, las Partes buscarán de buena fe una solución; en caso de no alcanzarla, el Responsable podrá terminar este Acuerdo y su cuenta sin penalización.

6.3 Cadena de obligaciones

El Encargado se asegurará de que cada sub-encargado quede sujeto, mediante contrato u otro instrumento jurídico, a obligaciones de protección de datos sustancialmente equivalentes a las previstas en este Acuerdo.

7. Transferencias Internacionales

Algunos sub-encargados están ubicados fuera de México. Estas transferencias se realizan al amparo del artículo 37 de la LFPDPPP, principalmente bajo los siguientes supuestos:

• Cuando la transferencia sea necesaria para el mantenimiento o cumplimiento del servicio contratado por el Responsable (fracción VI del artículo 37).
• Cuando exista una decisión de adecuación o garantías equivalentes con el país receptor.

El Encargado mantiene contratos con sub-encargados internacionales que garantizan un nivel de protección comparable al previsto por la legislación mexicana.

8. Auditoría e Inspección

8.1 Derecho a información

El Responsable puede solicitar, una vez por año natural y mediante aviso por escrito con al menos 30 días naturales de anticipación, información razonable sobre el cumplimiento de las obligaciones del Encargado bajo este Acuerdo.

8.2 Auditorías presenciales

Salvo requerimiento legal, las auditorías presenciales no son procedentes dado el modelo SaaS multi-cliente del Encargado. En su lugar, el Encargado proporcionará reportes razonables, certificaciones de seguridad disponibles o respuestas a cuestionarios de seguridad estándar.

8.3 Costos

Los costos asociados a auditorías o requerimientos extraordinarios de información correrán por cuenta del Responsable, salvo que la solicitud derive de un incumplimiento comprobado del Encargado.

9. Devolución y Eliminación de Datos

9.1 Al término del Acuerdo

Una vez terminado este Acuerdo, el Encargado:

• A elección del Responsable, devolverá o eliminará los Datos Personales tratados por su cuenta.
• Eliminará las copias existentes salvo aquellas que estén obligados a conservar por disposición legal aplicable.

9.2 Plazos de eliminación

La eliminación se completará dentro de los 30 días naturales siguientes a la solicitud del Responsable o a la terminación del Acuerdo, salvo que un plazo distinto sea legalmente exigible.

9.3 Datos sensibles

Los datos personales sensibles (alergias, restricciones alimentarias) se eliminarán o anonimizarán dentro de los 90 días posteriores a la fecha del evento, conforme al Aviso de Privacidad.

10. Responsabilidad

10.1 Responsabilidad del Encargado

El Encargado responderá únicamente por el incumplimiento doloso o gravemente negligente de las obligaciones que este Acuerdo le impone como Encargado del Tratamiento.

10.2 Responsabilidad del Responsable

El Responsable responderá por el incumplimiento de las obligaciones que la LFPDPPP le impone como Responsable, así como por cualquier daño derivado de la carga de datos sin consentimiento o de instrucciones que impliquen un tratamiento ilícito.

10.3 Limitación

La responsabilidad acumulada del Encargado bajo este Acuerdo se sujeta a los límites previstos en los Términos y Condiciones de Uso.

11. Disposiciones Finales

11.1 Prelación

En caso de conflicto entre este Acuerdo y los Términos y Condiciones, prevalecerá este Acuerdo en lo relativo al tratamiento de Datos Personales por cuenta del Responsable.

11.2 Modificaciones

Este Acuerdo puede ser modificado para adaptarse a cambios regulatorios o de servicio. El Encargado notificará cualquier cambio sustancial con al menos 30 días naturales de anticipación. La continuidad en el uso de la Plataforma implicará aceptación.

11.3 Aceptación

El uso de la Plataforma para tratar Datos Personales de terceros constituye aceptación expresa de este Acuerdo.

11.4 Ley aplicable y jurisdicción

Este Acuerdo se rige por las leyes de los Estados Unidos Mexicanos. Las Partes se someten a la jurisdicción de los Tribunales competentes de la ciudad de Monterrey, Nuevo León, México.

12. Contacto

Para cualquier asunto relacionado con este Acuerdo:

• Responsable de Datos en Kyvi: Eduardo Javier Sosa Treviño
• Correo electrónico: contacto@kyviplanner.com
• Domicilio: [DOMICILIO FISCAL COMPLETO]

Eduardo Javier Sosa Treviño — Persona física con actividad empresarial — RFC [RFC]

Este Acuerdo se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento.