CasaPorte › Seguridad y Privacidad › DPA

Contrato de Encargo de Tratamiento de Datos Personales

Que celebran, por una parte, [RAZÓN SOCIAL DE LA DESARROLLADORA], representada por [NOMBRE], con domicilio en [DOMICILIO] (el «Responsable»), y por la otra [RAZÓN SOCIAL DE CASAPORTE], representada por [NOMBRE], con domicilio en [DOMICILIO] («CasaPorte» o el «Encargado»), al tenor de las siguientes cláusulas.

1. Objeto

CasaPorte trata datos personales por cuenta del Responsable únicamente para prestarle el showroom digital de su desarrollo, CasaPorte Pulse, el panel de su equipo de ventas, y Mi Casa, la app de sus compradores (el «Servicio»), conforme al contrato de servicios entre las partes de fecha [FECHA] (el «Contrato Principal»), a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, a su Reglamento y a los lineamientos aplicables (la «Ley»). ◆ Confirmar las referencias normativas vigentes.

2. Datos y titulares

• Compradores y prospectos del Responsable: nombre, correo, teléfono y mensaje que escriban; residencia de interés; su recorrido por el showroom (niveles y residencias vistos y tiempo, tipo de aparato, navegador y sistema, país según la red, página, campaña o liga de origen) y un identificador aleatorio del aparato.
• Compradores del Responsable en Mi Casa: nombre, correo, teléfono e idioma; su compra (residencia, precio, referencia, fechas y plan de pagos) y sus pagos; sus sesiones y lo que cambia en su cuenta; la constancia de qué aviso de privacidad aceptó y cuándo, y sus solicitudes ARCO.
• Equipo del Responsable: nombre, correo, derivación de la contraseña, roles, sesiones (IP, tipo de aparato, última actividad) y el registro de los cambios que hace en el panel, con su IP.

El Servicio no está diseñado para datos personales sensibles y el Responsable se obliga a no cargarlos en él. Los datos financieros y patrimoniales (comprobantes de pago y, cuando se pidan para el expediente, estados de cuenta o RFC) sólo se tratan con el consentimiento expreso del titular, que Mi Casa recaba en una casilla aparte del aviso.

3. Instrucciones

CasaPorte trata los datos sólo según las instrucciones documentadas del Responsable. La configuración y el uso del panel por el equipo del Responsable son instrucciones. CasaPorte avisará al Responsable si considera que una instrucción contraviene la Ley. CasaPorte no usará los datos para fines propios, no los venderá y no contactará a los titulares.

4. Confidencialidad

CasaPorte limita el acceso a los datos a las personas que lo necesitan para prestar el Servicio o darle soporte, obligadas a confidencialidad. Los cambios que haga la cuenta de soporte de CasaPorte en el panel quedan en el registro de cambios del Responsable.

5. Medidas de seguridad

CasaPorte aplica las medidas administrativas, técnicas y físicas del Anexo A y las mantiene durante la vigencia del Servicio. Puede mejorarlas sin aviso, pero no reducir su nivel de protección.

6. Subencargados

El Responsable autoriza a los subencargados del Anexo B. CasaPorte avisará por escrito con [30] días de anticipación antes de agregar o sustituir uno; el Responsable podrá oponerse por motivos razonables y, si las partes no llegan a un acuerdo, terminar el Servicio afectado. CasaPorte impondrá a cada subencargado obligaciones de protección equivalentes a las de este contrato y responderá por ellos. ◆

7. Transferencias

El Responsable reconoce que los subencargados del Anexo B prestan sus servicios desde Estados Unidos (Cloudflare, además, desde su red global) y que esa remisión es necesaria para el Servicio. ◆ Revisar el tratamiento de remisiones internacionales conforme a la Ley.

8. Derechos de los titulares

CasaPorte ayudará al Responsable a atender las solicitudes de acceso, rectificación, cancelación y oposición (ARCO). Si una solicitud llega directo a CasaPorte, la remitirá al Responsable en [5] días hábiles sin contestarla por su cuenta, salvo lo que el Servicio resuelve por instrucción del Responsable: el botón «Borrar Mis Datos» del aviso del showroom, que borra de inmediato nombre y teléfono del titular que llegó por una liga personal, y Mi Cuenta en Mi Casa, donde el comprador descarga sus datos, los corrige, se opone a usos secundarios y elimina su cuenta. Cada una de esas solicitudes queda registrada y a la vista del Responsable en CasaPorte Pulse. La eliminación se ejecuta a los 30 días y conserva, sin datos que identifiquen al titular, lo que el Anexo A enumera. ◆ Plazos de conservación y finalidades a confirmar por el Responsable.

9. Vulneraciones de seguridad

CasaPorte avisará al Responsable sin demora indebida, y a más tardar [72] horas después de confirmarla, de cualquier vulneración que afecte sus datos, con lo que se sepa de su naturaleza, los datos y titulares afectados y las medidas tomadas, para que el Responsable informe a los titulares conforme a la Ley. ◆

10. Conservación, devolución y borrado

Durante el Servicio los datos se conservan según el Anexo A. Al terminar el Contrato Principal, o antes a petición escrita del Responsable, CasaPorte le entregará una copia de sus datos en un formato de uso común y después los borrará de sus sistemas en [30] días, salvo lo que la ley le obligue a conservar. Las copias del historial de restauración de la base de datos vencen solas en un máximo de 30 días. Hoy la entrega y el borrado se hacen de forma manual. ◆

11. Auditoría

CasaPorte pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de este contrato, [una vez al año] y con [30] días de aviso. Las certificaciones de su infraestructura (Cloudflare) sirven como evidencia de las medidas físicas. ◆

12. Responsabilidad

[A DEFINIR POR LAS PARTES: límites de responsabilidad y su relación con el Contrato Principal.] ◆

13. Vigencia, ley aplicable y jurisdicción

Este contrato dura lo mismo que el Contrato Principal y sus obligaciones de confidencialidad y borrado sobreviven a su terminación. Se rige por las leyes de los Estados Unidos Mexicanos; para su interpretación las partes se someten a los tribunales de [CIUDAD], renunciando a cualquier otro fuero. ◆

Anexo A · Medidas de Seguridad

• Infraestructura: Cloudflare Workers, Pages, D1 y R2; base de datos en mudanza a Supabase (Postgres, Estados Unidos), donde sólo el servidor del Servicio tiene acceso: seguridad por fila sin reglas y sin permisos para las llaves públicas. Sin servidores propios.
• Cifrado: HTTPS (TLS) en tránsito; en reposo, el de Cloudflare (AES-256) en D1 y R2 y el de Supabase (AES-256). Tokens de terceros del Responsable (WhatsApp) cifrados con AES-GCM de 256 bits.
• Contraseñas: PBKDF2-SHA256 de 100 000 iteraciones con sal propia; mínimo 10 caracteres.
• Sesiones: cookie __Host-, Secure, HttpOnly, SameSite=Strict, en un dominio propio del panel; caducan en 12 horas; en la base sólo su huella SHA-256. Invitaciones de un solo uso (7 días) y ligas para restablecer de un solo uso (24 horas).
• Entrada: cierre de hasta 15 minutos tras 5 fallos por cuenta o 10 por IP. Límite de intentos por IP en formularios y citas, y Cloudflare Turnstile.
• Acceso: roles y permisos por persona, exigidos por el servidor en cada petición; alcance por organización y desarrollo; bloqueo inmediato y baja de miembros.
• Registro de cambios: toda escritura del panel con persona, fecha, antes y después e IP; la base de datos impide editarlo o borrarlo.
• Medición del showroom: sin cookies ni rastreadores de terceros; la IP no se guarda con la visita.
• Mi Casa: dominio y cookie propios, separados del panel; ningún dato antes de la constancia de que el comprador aceptó el aviso vigente del Responsable, constancia que la base de datos impide editar o borrar; datos financieros sólo con su casilla aparte; derechos ARCO ejercidos por el titular en Mi Cuenta; nadie del equipo puede eliminar la cuenta de un comprador.
• Conservación: visitas y prospectos mientras dure el Servicio; sesiones del panel 12 horas y de Mi Casa 90 días; bitácora, constancias del aviso y solicitudes ARCO mientras exista la organización; compra y pagos validados mientras el contrato siga vivo y hasta 10 años después ◆; al eliminar su cuenta, el comprador pierde nombre, correo y teléfono en todo lo que se conserva; historial de restauración hasta 30 días.

Anexo B · Subencargados

• Cloudflare, Inc. (Estados Unidos, red global): hospedaje y red, base de datos (D1), almacenamiento de fotos y comprobantes de pago, protección anti-bots de formularios y, sólo en casaporte.app, medición sin cookies.
• Supabase, Inc. (Estados Unidos, región oeste): base de datos (Postgres), a la que se muda la de Cloudflare D1.

Si se enciende el envío de correo con Resend, Inc. (Estados Unidos), se agrega a este anexo con el aviso de la cláusula 6.

Volver a Seguridad y Privacidad