Anexo de procesamiento de datos

Este Anexo de Procesamiento de Datos (“APD” o “Anexo”) forma parte de los Términos de Servicio (el “Acuerdo”) entre NTD Software, S. de R.L. de C.V., operando como AlloraHR (“AlloraHR”, “nosotros” o “nuestro”), y la entidad o persona que acepta este Anexo (“Cliente”, “usted” o “su”).

Este Anexo refleja el acuerdo de las partes con respecto al procesamiento de Datos Personales en relación con la prestación de los servicios de la plataforma de gestión de recursos humanos de AlloraHR. Está incorporado y complementa el Acuerdo. En caso de conflicto, los términos de este Anexo prevalecerán con respecto al procesamiento de Datos Personales.

1. Definiciones

Para los propósitos de este Anexo, las siguientes definiciones aplican además de cualquier definición establecida en el Acuerdo:

• “Leyes de Protección de Datos Aplicables” significa todas las leyes y regulaciones aplicables al procesamiento de Datos Personales bajo este Anexo, incluyendo el Reglamento General de Protección de Datos (UE) 2016/679 (“RGPD”), la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México y cualquier legislación nacional que implemente o complemente dichas leyes.
• “Controlador” significa la entidad que determina los propósitos y medios del procesamiento.
• “Interesado” significa una persona física identificada o identificable cuyos Datos Personales son procesados.
• “Datos Personales” significa cualquier información relacionada con una persona física identificada o identificable que sea procesada por AlloraHR en nombre del Cliente.
• “Violación de Datos Personales” significa una violación de seguridad que resulte en destrucción, pérdida, alteración, divulgación no autorizada o acceso a Datos Personales.
• “Procesamiento” significa cualquier operación realizada sobre Datos Personales, incluyendo recopilación, registro, organización, almacenamiento, adaptación, recuperación, consulta, uso, divulgación, transmisión, combinación, restricción, eliminación o destrucción.
• “Procesador” significa la entidad que procesa Datos Personales en nombre del Controlador.
• “Servicios” significa los servicios de la plataforma de AlloraHR proporcionados al Cliente bajo el Acuerdo.
• “Cláusulas Contractuales Estándar” significa las cláusulas adoptadas por la Comisión Europea para transferencias a terceros países.
• “Subprocesador” significa cualquier tercero contratado por AlloraHR para procesar Datos Personales en nombre del Cliente.

2. Roles de las partes

Con respecto al procesamiento bajo este Anexo, el Cliente actúa como Controlador y AlloraHR como Procesador. El Cliente determina los propósitos y medios, mientras que AlloraHR procesa los Datos Personales únicamente de acuerdo con las instrucciones documentadas del Cliente.

En circunstancias limitadas, AlloraHR puede procesar Datos Personales como Controlador por derecho propio, como para facturación, cumplimiento de obligaciones legales y mejora de sus Servicios. En tales casos, procesará los datos de acuerdo con su Política de Privacidad.

Nada en este Anexo libera al Cliente de sus responsabilidades como Controlador. El Cliente sigue siendo responsable de asegurar una base legal para el procesamiento y de proporcionar avisos apropiados a los Interesados.

3. Alcance y propósito del procesamiento

AlloraHR procesará Datos Personales en nombre del Cliente únicamente para proporcionar los Servicios descritos en el Acuerdo y de acuerdo con las instrucciones documentadas del Cliente. Las actividades incluyen almacenamiento, organización, recuperación, uso y divulgación según sea necesario para entregar los Servicios.

Las categorías pueden incluir información personal de empleados, datos de empleo, nómina, beneficios, desempeño y cualquier otro dato que el Cliente elija cargar. Los propósitos incluyen:

• Gestión de información de empleados y directorios.
• Procesamiento de nómina y administración de compensaciones.
• Administración de beneficios e inscripciones.
• Seguimiento de tiempo libre y solicitudes de ausencia.
• Gestión del desempeño y retroalimentación.
• Seguimiento de candidatos y reclutamiento.
• Gestión de documentos y almacenamiento seguro.
• Reportes, análisis e información de la fuerza laboral.
• Comunicación y colaboración dentro de la organización del Cliente.

AlloraHR no procesará Datos Personales para propósitos distintos a los especificados o instruidos por escrito, salvo obligación legal.

4. Responsabilidades del cliente

El Cliente reconoce que es el único responsable de:

• Asegurar una base legal válida y obtener los consentimientos necesarios.
• Proporcionar avisos de privacidad claros y transparentes a los Interesados.
• Asegurar que sus instrucciones cumplan con las leyes aplicables.
• Implementar controles de acceso y medidas de seguridad apropiados.
• Responder oportunamente a consultas y solicitudes de los Interesados.
• Notificar prontamente cualquier cambio que afecte el procesamiento.
• Asegurar que los Datos Personales sean precisos, actuales y relevantes.

5. Medidas de seguridad de datos

AlloraHR implementa y mantiene medidas técnicas y organizativas apropiadas para proteger los Datos Personales, incluyendo:

• Cifrado en tránsito con TLS 1.2 o superior y en reposo con AES-256.
• Autenticación multifactor, control de acceso basado en roles y revisiones periódicas.
• Segmentación de red y protección mediante firewall.
• Evaluaciones de vulnerabilidades y pruebas de penetración.
• Registro y monitoreo de actividades de acceso y procesamiento.
• Planes de respuesta a incidentes y recuperación de desastres.
• Capacitación de seguridad y acuerdos de confidencialidad.
• Controles de seguridad física para centros de datos.
• Copias de seguridad regulares y procedimientos de restauración probados.

AlloraHR revisa y actualiza regularmente sus medidas. A solicitud razonable, proporcionará documentación que describa las medidas vigentes.

6. Subprocesadores

El Cliente proporciona autorización general para que AlloraHR contrate Subprocesadores, sujeto a esta Sección. AlloraHR asegurará que estén obligados por compromisos de protección de datos materialmente similares a los de este Anexo.

La Lista de subprocesadores publicada por AlloraHR, actualizada periódicamente, se incorpora por referencia a este Anexo y constituye la fuente vigente de proveedores, propósitos, ubicaciones y mecanismos de transferencia. Así se evita que una tabla estática dentro del APD quede desactualizada o contradiga la lista pública.

AlloraHR informará al Cliente sobre un nuevo Subprocesador al menos treinta (30) días antes de que comience a procesar datos. El Cliente podrá oponerse por escrito dentro de los catorce (14) días siguientes, exponiendo motivos razonables.

Si AlloraHR no puede acomodar razonablemente la objeción, el Cliente podrá terminar el Acuerdo respecto de los Servicios afectados sin penalidad, mediante aviso escrito dentro de los treinta (30) días de la objeción.

7. Transferencias internacionales de datos

El Cliente reconoce que AlloraHR y sus Subprocesadores pueden transferir y procesar Datos Personales fuera de su jurisdicción, incluyendo Estados Unidos y otras jurisdicciones determinadas por la configuración contratada. La mención de México como jurisdicción contractual o zona operativa no implica que los datos se encuentren alojados en México.

AlloraHR asegurará el cumplimiento de las leyes aplicables mediante salvaguardas que pueden incluir decisiones de adecuación, Cláusulas Contractuales Estándar, Reglas Corporativas Vinculantes u otros mecanismos reconocidos. A solicitud del Cliente, proporcionará información sobre los mecanismos específicos vigentes y celebrará los instrumentos adicionales necesarios.

8. Asistencia con derechos de los interesados

AlloraHR asistirá al Cliente para responder a solicitudes de acceso, rectificación, supresión, restricción, portabilidad, oposición y derechos relacionados con decisiones automatizadas y elaboración de perfiles.

Al recibir una solicitud, AlloraHR notificará prontamente al Cliente y proporcionará asistencia razonable. No responderá independientemente, salvo autorización del Cliente u obligación legal. El Cliente utilizará primero las funciones de autoservicio disponibles para acceder, corregir, exportar o eliminar datos.

9. Notificación de violación de datos

En caso de una Violación de Datos Personales, AlloraHR notificará al Cliente sin demora indebida y, en cualquier caso, dentro de las setenta y dos (72) horas de tener conocimiento. La notificación incluirá, en la medida conocida:

• Naturaleza de la violación, categorías y número aproximado de personas y registros afectados.
• Datos de contacto del punto responsable de protección de datos.
• Posibles consecuencias de la violación.
• Medidas tomadas o propuestas para abordar y mitigar sus efectos.

AlloraHR cooperará en la investigación y mitigación, y documentará los hechos, efectos y acciones correctivas.

10. Retención y eliminación de datos

AlloraHR retendrá Datos Personales durante la vigencia del Acuerdo y por el periodo adicional requerido por la ley o razonablemente necesario para cumplir obligaciones, resolver disputas y hacer cumplir acuerdos.

Al terminar el Acuerdo, o por solicitud escrita, eliminará o devolverá todos los Datos Personales, salvo obligación legal de retención. El Cliente tendrá treinta (30) días para exportar sus datos mediante las funciones de autoservicio. Los datos retenidos continuarán protegidos y se eliminarán cuando ya no sea necesario conservarlos.

11. Derechos de auditoría

A solicitud escrita razonable y sujeto a obligaciones de confidencialidad, AlloraHR pondrá a disposición la información necesaria para demostrar cumplimiento, incluyendo resúmenes de auditorías, certificaciones o atestaciones independientes.

Una auditoría en sitio se realizará en horario comercial, con aviso razonable y minimizando interrupciones. El Cliente asumirá sus costos, salvo que revele una violación material por parte de AlloraHR. AlloraHR puede satisfacer solicitudes mediante documentación relacionada con marcos como SOC 2 Tipo II o ISO 27001.

12. Responsabilidad

La responsabilidad de cada parte está sujeta a las limitaciones del Acuerdo. Nada limita asuntos que legalmente no puedan ser excluidos. Cada parte será responsable de los daños causados por procesamiento que viole las leyes aplicables o este Anexo, conforme a la asignación establecida. Cuando ambas partes sean responsables, cada una responderá por su parte de los daños.

13. Ley aplicable

Este Anexo se regirá por las leyes de México, salvo que las Leyes de Protección de Datos Aplicables exijan otra jurisdicción para actividades específicas. Las disputas se resolverán de acuerdo con el Acuerdo. Nada limita el derecho de un Interesado a presentar una queja ante una autoridad o buscar un recurso judicial.

14. Orden de precedencia

En caso de conflicto entre este Anexo y el Acuerdo, este Anexo prevalecerá respecto del procesamiento de Datos Personales. En caso de conflicto con las Cláusulas Contractuales Estándar, estas últimas prevalecerán.

El Anexo entra en vigor cuando el Cliente acepta el Acuerdo o utiliza por primera vez los Servicios, lo que ocurra primero, y permanecerá vigente mientras AlloraHR procese Datos Personales en su nombre.

15. Información de contacto

Para preguntas sobre este Anexo o las prácticas de protección de datos de AlloraHR: