Contrato de encargo de datos personales

Versión 2026-10-15 · Vigente desde el 15 de octubre de 2026

1. Partes y papeles

Responsable: la organización (centro evaluador, entidad de evaluación y certificación, organismo certificador u otra) que registra candidatos. Encargado: Kevin Israel Razo Maldonado («Certapp»), domicilio [pendiente de configurar]. Este contrato aplica únicamente a los datos de candidatos registrados por la organización; los datos de las cuentas de usuarios y de compra los trata Certapp como responsable conforme a su Aviso de privacidad.

2. Objeto y datos tratados

Certapp tratará los datos personales que la organización o sus candidatos capturen o carguen (identificación, contacto, domicilio, CURP, fotografía, firma, imagen de la identificación oficial, resultados de diagnósticos, evidencias, cédulas, constancias y certificados) exclusivamente para prestar la plataforma: almacenarlos, procesarlos, generar el portafolio y la carpeta dictamen, permitir el acceso según los roles y permisos, y entregarlos al organismo certificador cuando la organización lo indique. Certapp no los usará para otra finalidad propia, no los venderá y no los comunicará a terceros distintos de los subencargados indicados abajo.

3. Obligaciones de la organización (responsable)

• Poner a disposición de cada persona candidata su aviso de privacidad y recabar su consentimiento cuando se requiera, antes de capturar sus datos.
• Contar con base legal para cargar fotografías, firmas, identificaciones y la autorización de validación de CURP.
• No cargar datos personales sensibles ni de menores de edad sin cumplir los requisitos de la ley.
• Atender directamente las solicitudes ARCO de sus candidatos y avisar a Certapp de las instrucciones que impliquen cambios en la plataforma.
• Mantener la confidencialidad de sus credenciales y asignar los roles al mínimo necesario.

4. Obligaciones de Certapp (encargado)

• Instrucciones. Tratar los datos sólo conforme a las instrucciones de la organización, que se dan al usar las funciones de la plataforma y por escrito a .
• Confidencialidad. Guardar secreto sobre los datos, incluso después de terminar la relación, y exigir lo mismo a quien intervenga en el tratamiento.
• Seguridad. Mantener medidas administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción o acceso no autorizado: cifrado en tránsito, acceso por roles, separación por organización a nivel de base de datos, almacenamiento privado de documentos, bitácora de acciones y respaldos.
• Vulneraciones. Avisar a la organización sin demora injustificada y, a más tardar, dentro de las 72 horas siguientes a que tenga conocimiento de una vulneración que afecte significativamente los derechos de las personas titulares, con la información disponible para que pueda informarles.
• Derechos ARCO. Apoyar a la organización, dentro de lo técnicamente posible, para atender solicitudes de acceso, rectificación, cancelación u oposición; si una persona dirige su solicitud a Certapp, se le hará llegar a la organización responsable.
• Subencargados. Usar sólo los proveedores indicados en el Aviso de privacidad (sección 6), con obligaciones equivalentes a éstas. Si se agrega o cambia alguno relevante, se informará en esa página y, en cambios importantes, por correo.
• Transferencias. No transferir los datos a terceros salvo a los subencargados, al organismo certificador que la organización designe o por mandato de autoridad competente.

5. Conservación, devolución y supresión

Los expedientes se conservan 60 meses desde el cierre del proceso, salvo que la organización indique por escrito un plazo menor o una ley exija uno mayor. Al terminar la relación, la organización puede pedir la exportación de sus expedientes durante 30 días; después Certapp bloqueará y suprimirá los datos por el medio que resulte razonable, salvo los que una ley le obligue a conservar, y lo confirmará si se le pide.

6. Información y verificación

Certapp pondrá a disposición de la organización la información razonable para demostrar el cumplimiento de este contrato y colaborará con las autoridades de protección de datos. Las auditorías, de requerirse, se harán con aviso previo, en horario hábil y sin comprometer la seguridad de datos de otras organizaciones.

7. Responsabilidad y duración

Cada parte responde por el incumplimiento de las obligaciones que este contrato y la ley le imponen. Si Certapp trata datos para una finalidad propia o distinta de las instrucciones, responderá como responsable por ese tratamiento. El contrato dura mientras Certapp conserve datos de candidatos de la organización y sobrevive en lo relativo a confidencialidad y supresión.

8. Ley aplicable

Se rige por la LFPDPPP y demás normativa aplicable en México y por los Términos y condiciones, a cuya jurisdicción se somete.