ACUERDO DE CORRESPONSABILIDAD EN EL TRATAMIENTO DE DATOS
Código del documento: VC-LEGAL-COR-001
Versión: 1.0
Estado: Borrador para revisión jurídica
Fecha de publicación: Pendiente
Fecha de entrada en vigor: Pendiente
Fecha de última revisión: Pendiente
Resumen de cambios: Versión inicial del Acuerdo de corresponsabilidad en el tratamiento de datos.
1. PARTES Y RELACIÓN CON OTROS DOCUMENTOS
El presente Acuerdo de corresponsabilidad en el tratamiento de datos, en adelante el “Acuerdo”, regula los supuestos específicos en los que ValidaCheck y una empresa cliente determinen conjuntamente las finalidades y los medios esenciales de un tratamiento de datos personales.
Son partes del Acuerdo:
El Cliente: la persona física o moral que contrata, registra o utiliza una cuenta empresarial en ValidaCheck.
ValidaCheck: nombre comercial operado por Carlos Gerardo Fernandez Tejeda, persona física con actividad empresarial, con domicilio en 13 Sur 11115, Interior 32, San Francisco Mayorazgo, Puebla, Puebla, México, C.P. 72480.
Este Acuerdo complementa, según corresponda, los Términos del servicio para clientes, el Acuerdo de tratamiento de datos, el Aviso de privacidad global, las Medidas de seguridad de la información y el anexo específico del proyecto o tratamiento conjunto.
Este Acuerdo no sustituye al Acuerdo de tratamiento de datos cuando ValidaCheck actúe únicamente como encargado siguiendo instrucciones del Cliente.
Cuando exista una diferencia entre este Acuerdo y un anexo específico, prevalecerá el anexo respecto del tratamiento concreto que describa, siempre que no contradiga obligaciones legales imperativas.
2. AUSENCIA DE CORRESPONSABILIDAD GENERAL
El uso ordinario de ValidaCheck no convierte automáticamente a ValidaCheck y al Cliente en corresponsables del tratamiento.
En la operación ordinaria, el Cliente determina sus procesos, candidatos, evaluaciones y decisiones laborales. ValidaCheck procesa datos siguiendo instrucciones del Cliente cuando actúa como encargado. ValidaCheck actúa como responsable independiente respecto de cuentas, pagos, facturación, soporte, seguridad y cumplimiento propio.
La corresponsabilidad solo existirá cuando ambas partes participen conjuntamente en decisiones esenciales sobre un tratamiento específico.
Esto puede incluir decisiones compartidas sobre finalidad, personas incluidas, categorías de datos, medios esenciales, metodología, acceso, uso de resultados, conservación y divulgación.
La simple prestación de infraestructura, soporte, alojamiento, seguridad o funciones técnicas no crea por sí sola corresponsabilidad.
Tampoco existe corresponsabilidad general por contratar un plan, crear assessments, invitar candidatos, guardar respuestas, generar resultados, prestar soporte, emitir facturas o procesar pagos.
3. ACTIVACIÓN MEDIANTE ANEXO ESPECÍFICO
La corresponsabilidad deberá documentarse mediante un anexo, contrato, orden de servicio, aceptación específica o instrumento equivalente.
El documento de activación deberá identificar, al menos, nombre del proyecto, finalidad compartida, descripción del tratamiento, personas afectadas, categorías de datos, duración, base jurídica, responsabilidades de cada parte, canal de contacto, medidas de seguridad, proveedores y transferencias y reglas de conservación.
El anexo deberá aprobarse antes de iniciar el tratamiento conjunto o tan pronto como sea razonablemente posible cuando la naturaleza del proyecto exija una implementación progresiva.
La ausencia de un anexo no deberá utilizarse para ocultar una corresponsabilidad real.
Cuando las funciones efectivas de las partes demuestren que ambas determinan conjuntamente las finalidades y medios esenciales, deberán documentar esa realidad.
Cada anexo aplicará únicamente al proyecto o tratamiento identificado.
No se extenderá automáticamente a otras cuentas, otros procesos, otras empresas, otros candidatos, otras finalidades o nuevos proyectos.
4. DESCRIPCIÓN DEL TRATAMIENTO CONJUNTO
El anexo específico deberá describir de forma clara el tratamiento conjunto.
La descripción podrá incluir contexto, objetivo, alcance, duración, sistemas utilizados, operaciones realizadas, participantes, fuentes de datos, destinatarios, resultados esperados, límites de uso y territorios involucrados.
Las partes deberán documentar qué datos serán recopilados, registrados, organizados, almacenados, analizados, compartidos, consultados, eliminados o anonimizados.
También deberán identificar si el proyecto incluye evaluaciones, estudios, benchmarks, programas compartidos, campañas, investigación, bases comunes, análisis comparativos o seguimiento longitudinal.
El tratamiento no deberá ampliarse a nuevas finalidades incompatibles sin revisar el anexo y proporcionar la información correspondiente a las personas afectadas.
5. FINALIDADES Y MEDIOS ESENCIALES
Las partes deberán documentar qué decisiones toman conjuntamente respecto de la finalidad y los medios esenciales del tratamiento.
Podrán considerarse decisiones compartidas, entre otras, objetivo del proyecto, personas incluidas, datos necesarios, criterios de selección, metodología, uso de evaluaciones, canales de recopilación, acceso a resultados, criterios de conservación, comunicaciones a terceros, divulgación de resultados y elaboración de perfiles.
No se considerarán por sí solas decisiones conjuntas las elecciones puramente técnicas realizadas por ValidaCheck para alojar la plataforma, proteger servidores, mantener registros, elegir herramientas internas, gestionar respaldos, corregir errores o actualizar componentes.
Las partes deberán distinguir entre decisiones esenciales compartidas, decisiones propias del Cliente, decisiones técnicas de ValidaCheck, tratamientos realizados como encargado y tratamientos realizados como responsable independiente.
Esta separación deberá reflejar la operación real y no solo la redacción contractual.
6. CATEGORÍAS DE TITULARES Y DATOS
El tratamiento conjunto podrá involucrar, según el proyecto, candidatos, empleados, personas en movilidad interna, participantes en capacitación, participantes en investigación, reclutadores, administradores, contactos empresariales, usuarios autorizados, representantes y otras personas legítimamente vinculadas.
Las categorías de datos podrán incluir identificación y contacto, información del proyecto, respuestas y resultados, datos técnicos y archivos u otras evidencias autorizadas.
Los datos de identificación y contacto pueden incluir nombre, apellidos, correo, teléfono, empresa, puesto e identificadores internos.
La información del proyecto puede incluir proceso, vacante, assessment, evaluación, fecha, estado, participación, grupo, segmento y contexto.
Las respuestas y resultados pueden incluir respuestas, puntuaciones, niveles, perfiles, dimensiones, rangos, alertas, insights, observaciones, dictámenes y resultados agregados.
Los datos técnicos pueden incluir dirección IP, navegador, dispositivo, sistema operativo, sesión, token, fecha y hora, errores, eventos, tiempos y cambios de pestaña.
Los archivos u otras evidencias podrán incluirse cuando el proyecto los requiera y la función se encuentre habilitada.
Las partes no deberán incorporar datos sensibles, categorías especiales ni datos biométricos salvo que exista finalidad legítima, base jurídica suficiente, evaluación legal, medidas reforzadas, información clara, autorización correspondiente y documentación en el anexo.
7. BASE JURÍDICA Y DEBER DE INFORMACIÓN
Las partes deberán identificar y documentar la base jurídica aplicable al tratamiento conjunto.
Según el contexto, esta podrá incluir consentimiento, ejecución de un contrato, cumplimiento de una obligación legal, interés legítimo, ejercicio de derechos u otra base reconocida por la legislación aplicable.
La base jurídica deberá ser adecuada para la finalidad, las categorías de datos, las personas afectadas, el nivel de riesgo, el uso de resultados, las transferencias y la duración del tratamiento.
Cuando se utilice consentimiento, las partes deberán definir quién lo solicita, cómo se presenta, qué información se proporciona, cómo se conserva la evidencia, cómo puede retirarse y qué ocurre después de la retirada.
Cuando se utilice interés legítimo, deberá existir una evaluación razonable que considere finalidad perseguida, necesidad del tratamiento, impacto en las personas, expectativas razonables, medidas de equilibrio y mecanismos de oposición.
Las partes deberán proporcionar a las personas afectadas información clara sobre identidad de ambas partes, finalidad compartida, datos tratados, funciones de cada parte, base jurídica, destinatarios, transferencias internacionales, conservación, derechos, canal de contacto y aspectos esenciales del acuerdo.
El anexo específico deberá indicar quién será responsable de presentar la información y en qué momento.
La distribución de esta obligación no impedirá que cualquiera de las partes facilite información adicional cuando resulte necesario.
8. DISTRIBUCIÓN DE RESPONSABILIDADES
Las partes deberán distribuir de manera expresa y transparente las responsabilidades relacionadas con el tratamiento conjunto.
El anexo específico deberá indicar quién se encarga de proporcionar información a las personas, obtener consentimiento cuando proceda, atender solicitudes de derechos, verificar la identidad del solicitante, aplicar medidas de seguridad, gestionar accesos, documentar instrucciones, supervisar proveedores, gestionar transferencias internacionales, conservar registros, eliminar o anonimizar datos, atender incidentes, realizar evaluaciones de impacto y cooperar con autoridades.
La distribución deberá corresponder con la capacidad real de cada parte.
No será suficiente asignar una obligación a una parte que no tenga acceso a la información, no controle el sistema, no pueda ejecutar la medida, no disponga de autoridad sobre el tratamiento o no tenga medios razonables para cumplirla.
Como regla general, el Cliente gestiona la relación con candidatos y decisiones laborales. ValidaCheck gestiona la infraestructura y operación técnica. Ambas partes coordinan información, derechos, seguridad e incidentes cuando la finalidad y medios sean compartidos.
El anexo podrá establecer una distribución distinta cuando el proyecto lo requiera.
La distribución interna no limitará los derechos que las personas puedan ejercer frente a cualquiera de las partes conforme a la legislación aplicable.
9. DERECHOS DE LAS PERSONAS
Las personas afectadas podrán ejercer los derechos reconocidos por la legislación aplicable.
Estos podrán incluir acceso, rectificación, cancelación, eliminación, oposición, limitación, portabilidad, revocación del consentimiento, revisión humana, impugnación y otros derechos aplicables.
Las partes deberán definir un canal principal para recibir solicitudes.
El canal propuesto para ValidaCheck es privacidad@validacheck.com.
El anexo específico podrá designar otro canal cuando resulte más adecuado.
Cuando una parte reciba una solicitud relacionada con el tratamiento conjunto, deberá confirmar su recepción, identificar el proyecto, verificar si interviene la otra parte, comunicarla oportunamente, preservar evidencia, coordinar la respuesta y evitar respuestas contradictorias.
La parte que disponga de la información o capacidad técnica necesaria deberá colaborar con búsqueda, exportación, corrección, restricción, bloqueo, eliminación, explicación del tratamiento y evidencia de ejecución.
La respuesta deberá respetar plazos legales, derechos de terceros, propiedad intelectual, confidencialidad, seguridad y límites legítimos.
Una solicitud de acceso no implicará necesariamente entregar bancos de reactivos, claves de respuesta, fórmulas protegidas, secretos comerciales, información de otras personas, configuraciones de seguridad o código fuente.
La distribución de tareas entre las partes no impedirá que la persona ejerza sus derechos frente a cualquiera de ellas cuando la legislación así lo reconozca.
10. SEGURIDAD Y CONTROL DE ACCESOS
Las partes deberán aplicar medidas técnicas y organizativas adecuadas al riesgo del tratamiento conjunto.
Estas medidas podrán incluir cuentas individuales, roles y permisos, control de acceso, contraseñas protegidas, autenticación adicional cuando esté disponible, conexiones HTTPS, cifrado aplicable, tokens y sesiones, registros técnicos, firewall, respaldos, actualizaciones, gestión de vulnerabilidades, revisión de actividad, limitación de privilegios, separación lógica, protección de dispositivos, confidencialidad, capacitación y gestión de incidentes.
ValidaCheck aplicará las medidas correspondientes a su infraestructura y operación técnica.
El Cliente aplicará las medidas bajo su control, incluyendo gestión de usuarios, altas y bajas, protección de dispositivos, revisión de permisos, confidencialidad de su personal, almacenamiento externo, exportaciones, uso de reportes y comunicación con candidatos.
Las medidas deberán desarrollarse y actualizarse conforme al documento Medidas de seguridad de la información.
El anexo específico podrá exigir controles adicionales cuando el proyecto implique datos sensibles, gran volumen, transferencias internacionales, seguimiento prolongado, riesgo elevado, acceso de múltiples organizaciones o elaboración de perfiles relevantes.
Ningún sistema puede garantizar seguridad absoluta.
Las partes deberán revisar periódicamente la adecuación de las medidas conforme evolucionen los riesgos y la tecnología.
11. INCIDENTES DE SEGURIDAD
Las partes deberán mantener procedimientos razonables para detectar, contener, investigar y documentar incidentes que afecten el tratamiento conjunto.
Cuando una parte tenga conocimiento de un incidente confirmado o razonablemente probable, deberá informar a la otra sin demora indebida.
La comunicación deberá incluir, en la medida en que la información esté disponible, naturaleza del incidente, fecha o periodo estimado, sistemas afectados, categorías de datos, personas afectadas, alcance conocido, posibles consecuencias, medidas adoptadas, medidas pendientes, punto de contacto y estado de la investigación.
La información podrá facilitarse por etapas cuando no sea posible reunir todos los datos de inmediato.
Las partes deberán coordinar contención, preservación de evidencia, investigación, restauración, medidas correctivas, cambio de credenciales, comunicación interna, notificación a autoridades e información a personas afectadas.
El anexo específico deberá indicar qué parte liderará la gestión del incidente.
Como regla general, ValidaCheck lidera incidentes de infraestructura y plataforma. El Cliente lidera incidentes originados en sus usuarios, dispositivos o procesos. Ambas partes coordinan incidentes que afecten el tratamiento conjunto.
La notificación de un incidente no constituirá por sí misma una admisión de responsabilidad.
Cada parte deberá conservar documentación razonable de causa, impacto, decisiones, medidas, comunicaciones y cierre.
12. PROVEEDORES Y TRANSFERENCIAS INTERNACIONALES
Las partes deberán identificar los proveedores relevantes que intervengan en el tratamiento conjunto.
Estos podrán actuar como subencargados, encargados, responsables independientes, proveedores compartidos o prestadores profesionales.
El anexo específico deberá indicar, cuando corresponda, nombre o categoría del proveedor, función, datos tratados, país, rol jurídico, medidas contractuales, salvaguardas, acceso permitido y condiciones de sustitución.
ValidaCheck podrá utilizar proveedores para alojamiento, almacenamiento, respaldos, correo, seguridad, soporte, monitoreo, comunicaciones y operación técnica.
El Cliente podrá utilizar sus propios proveedores para reclutamiento, comunicación, almacenamiento, análisis, recursos humanos, consultoría y soporte.
Cuando un proveedor trate datos por cuenta de una de las partes, esa parte deberá procurar imponer obligaciones compatibles con el tratamiento conjunto.
Las transferencias internacionales deberán documentarse cuando impliquen acceso, alojamiento o tratamiento fuera del país de origen.
Las salvaguardas podrán incluir contratos, cláusulas de confidencialidad, cláusulas contractuales tipo, decisiones de adecuación, medidas técnicas, cifrado, controles de acceso, evaluaciones de proveedor y medidas complementarias.
Parte de la infraestructura de ValidaCheck puede encontrarse en Estados Unidos.
El Cliente reconoce que los servicios en la nube pueden implicar tratamiento en distintas jurisdicciones.
Las partes cooperarán razonablemente para proporcionar la información necesaria y documentar las transferencias aplicables.
13. CONSERVACIÓN, BLOQUEO Y ELIMINACIÓN
El anexo específico deberá establecer los plazos de conservación aplicables al tratamiento conjunto.
Los plazos deberán definirse considerando finalidad del proyecto, duración de la relación, obligaciones legales, reclamaciones posibles, riesgos, instrucciones de las partes, ciclo técnico de respaldos y necesidad de mantener evidencia.
El anexo deberá indicar, al menos, evento que inicia el plazo, periodo de conservación activa, periodo de bloqueo cuando corresponda, momento de eliminación, posible anonimización, tratamiento de respaldos y excepciones legales.
Las partes no deberán conservar datos personales por tiempo indefinido únicamente porque el almacenamiento sea técnicamente posible.
Cuando los datos dejen de ser necesarios, podrán eliminarse, anonimizarse, bloquearse, devolverse, restringirse o conservarse temporalmente por obligación legal.
La información anonimizada podrá conservarse cuando no permita identificar razonablemente a una persona.
Los datos bloqueados no deberán utilizarse para nuevas finalidades incompatibles.
Cada parte será responsable de ejecutar las acciones que correspondan en los sistemas bajo su control.
ValidaCheck podrá conservar datos en respaldos hasta que finalice el ciclo técnico aplicable.
La eliminación de los sistemas activos no implica necesariamente la desaparición inmediata de todas las copias de respaldo.
Las partes deberán documentar las excepciones cuando exista necesidad de conservar información por obligaciones fiscales, defensa de reclamaciones, investigación de incidentes, cumplimiento de autoridad, seguridad o trazabilidad.
14. DECISIONES LABORALES Y USO DE RESULTADOS
ValidaCheck podrá participar en un tratamiento conjunto relacionado con evaluaciones, estudios, análisis o programas de talento.
Sin embargo, ValidaCheck no adopta por cuenta propia decisiones laborales como contratación, rechazo, promoción, sanción, movilidad, terminación o asignación de puesto.
El Cliente conservará la responsabilidad sobre las decisiones laborales derivadas de sus procesos.
Las partes deberán mantener diferenciados el resultado de la prueba, el resultado general del assessment, los insights para entrevista y el dictamen del reclutador.
Una evaluación individual no deberá determinar automáticamente que una persona es apta, no apta, contratada o rechazada.
El Cliente deberá considerar la evidencia junto con otros elementos relevantes, como experiencia, entrevistas, referencias, requisitos del puesto, contexto profesional, información adicional y revisión humana.
Cuando el proyecto conjunto implique perfiles, recomendaciones o análisis automatizados, las partes deberán documentar lógica general utilizada, finalidad, relevancia, consecuencias previstas, intervención humana, mecanismo de revisión y posibilidad de impugnación cuando corresponda.
Las alertas técnicas no deberán presentarse automáticamente como prueba definitiva de fraude, suplantación, ayuda externa, deshonestidad o incumplimiento deliberado.
El anexo específico deberá indicar quién revisa las alertas y quién comunica cualquier conclusión a la persona afectada.
15. RESPONSABILIDAD, COOPERACIÓN Y AUDITORÍA
Las partes deberán cooperar de buena fe para cumplir las obligaciones relacionadas con el tratamiento conjunto.
La cooperación podrá incluir intercambio de información, revisión de medidas, atención de derechos, gestión de incidentes, actualización de avisos, revisión de proveedores, documentación de transferencias, evaluación de riesgos, conservación de evidencia y respuesta a autoridades.
Cada parte será responsable de las obligaciones que le hayan sido asignadas y de las actuaciones bajo su control.
La distribución interna de funciones no limitará los derechos que las personas puedan ejercer conforme a la legislación aplicable.
Cuando una reclamación afecte a ambas partes, deberán coordinar investigación, preservación de evidencia, estrategia de respuesta, comunicación, medidas correctivas y cumplimiento de resoluciones.
El anexo podrá establecer mecanismos internos para distribuir costos, responsabilidades o indemnizaciones cuando exista incumplimiento atribuible a una de las partes.
Nada en este Acuerdo excluirá o limitará responsabilidad cuando la legislación aplicable no permita hacerlo.
Las partes podrán realizar revisiones o auditorías razonables cuando exista una obligación legal, ocurra un incidente relevante, haya una duda fundada, sea necesario verificar medidas, una autoridad lo solicite u otra evidencia sea insuficiente.
Las auditorías deberán notificarse con anticipación razonable, limitarse al alcance necesario, respetar confidencialidad, proteger información de terceros, evitar interrupciones indebidas, utilizar personal competente y realizarse en horarios acordados.
Podrán utilizarse alternativas menos intrusivas, como cuestionarios, reuniones, revisión documental, certificaciones, reportes o evidencia técnica.
La auditoría no otorgará acceso irrestricto a código fuente, secretos comerciales, datos de otros clientes, credenciales, vulnerabilidades sensibles o sistemas no relacionados con el tratamiento.
Los costos extraordinarios podrán asignarse conforme al anexo, salvo que se confirme un incumplimiento material atribuible a la parte auditada.
16. DURACIÓN, TERMINACIÓN Y CONTACTO
Este Acuerdo marco permanecerá disponible mientras ValidaCheck ofrezca tratamientos conjuntos susceptibles de corresponsabilidad.
Cada tratamiento conjunto tendrá la duración definida en su anexo específico.
El anexo deberá indicar fecha de inicio, evento de activación, duración, fecha o condición de terminación, efectos posteriores, conservación, devolución, eliminación, anonimización y obligaciones supervivientes.
El tratamiento conjunto podrá terminar por cumplimiento de la finalidad, vencimiento, acuerdo entre las partes, imposibilidad legal, incumplimiento grave, cierre del proyecto, cancelación del servicio relacionado u orden de autoridad.
Al terminar, las partes deberán cerrar accesos, detener nuevas recopilaciones, ejecutar instrucciones de devolución o eliminación, conservar únicamente lo permitido, documentar acciones, mantener confidencialidad y atender reclamaciones pendientes.
Las obligaciones de seguridad, confidencialidad, cooperación y protección de datos continuarán mientras alguna de las partes conserve información personal.
LEGISLACIÓN APLICABLE
Este Acuerdo se interpretará inicialmente conforme a la legislación de México.
Esto no excluirá normas imperativas que resulten aplicables al Cliente, a las personas afectadas o a tratamientos realizados en otras jurisdicciones.
CONTACTO
Privacidad y datos personales: privacidad@validacheck.com
Asuntos legales: legal@validacheck.com
Soporte técnico: soporte@validacheck.com
Domicilio:
Carlos Gerardo Fernandez Tejeda
ValidaCheck
13 Sur 11115, Interior 32
San Francisco Mayorazgo
Puebla, Puebla, México
C.P. 72480
NOTA DE ESTADO
Este documento se encuentra en estado de borrador para revisión jurídica.
No deberá marcarse como vigente ni utilizarse como acuerdo definitivo hasta completar la revisión legal externa y confirmar las fechas de publicación y entrada en vigor.