Encargo de Datos

1. Partes, objeto y papeles

Este contrato lo celebran IKAL MEDIA GROUP, S.A.S. ("el Encargado"), con nombres comerciales IkalMedia y HostPanther, y [nombre o razón social del cliente] ("el Responsable"), y forma parte de los Términos y Condiciones Generales y de cada Cotización aceptada.

Objeto. Regular el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable al prestarle servicios como agentes de IA y chatbots, WhatsApp Business, CRM e importación de contactos, campañas de correo, hosting, correo corporativo, administración de redes sociales y desarrollo o mantenimiento de sitios y aplicaciones con acceso a sus bases de datos.

Papeles. El Responsable decide para qué y cómo se usan los datos de sus clientes, usuarios y contactos (los "Titulares"). El Encargado los trata solo por cuenta del Responsable, en términos de los artículos 2 y 20 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y, si hay Titulares en la Unión Europea, del artículo 28 del RGPD. Este tratamiento por cuenta del Responsable es una remisión y no una transferencia, por lo que no requiere el consentimiento de los Titulares.

El detalle de los datos, Titulares, finalidades y plazos de cada servicio está en el Anexo A.

2. Obligaciones del Encargado

Ikal Media Group se obliga a:

• Seguir instrucciones. Tratar los datos solo para prestar los servicios contratados y conforme a las instrucciones documentadas del Responsable. Si una instrucción le parece contraria a la ley, se lo avisará.
• No usar los datos para fines propios. No los usará para su propia publicidad, no los venderá ni los combinará con otras bases, y no los usará para entrenar modelos de IA. Con los proveedores de IA contrata o configura planes en los que los datos enviados por API no se usan para entrenar sus modelos [verificar plan contratado con cada proveedor].
• Confidencialidad. Guardar secreto sobre los datos, aun después de terminar el contrato, y exigir lo mismo a su personal y colaboradores (artículo 20 de la Ley).
• Seguridad. Aplicar las medidas del Anexo B y mantenerlas actualizadas.
• Apoyar al Responsable. Ayudarle a atender solicitudes ARCO de los Titulares: si recibe una directamente, se la turnará dentro de 3 días hábiles y le dará la información necesaria para responder en el plazo legal.
• Avisar vulneraciones. Informar al Responsable de cualquier vulneración de seguridad que afecte sus datos sin demora indebida y, como máximo, dentro de las 48 horas siguientes a confirmarla, con lo que se sepa de su naturaleza, datos afectados y medidas tomadas, para que el Responsable pueda avisar de forma inmediata a los Titulares (artículo 19 de la Ley).
• Demostrar cumplimiento. Proporcionar, a petición razonable del Responsable y una vez al año como máximo, la información necesaria para verificar el cumplimiento de este contrato.

3. Obligaciones del Responsable

El Cliente, como Responsable, se obliga a:

• Tener su propio aviso de privacidad publicado y vigente, que informe a sus Titulares del uso de agentes de IA, CRM, campañas y proveedores tecnológicos, incluidas las transferencias internacionales.
• Obtener los consentimientos necesarios, en especial: el opt-in para recibir mensajes de WhatsApp Business conforme a las políticas de Meta; el consentimiento para comunicaciones comerciales; y el consentimiento expreso y por escrito si se tratan datos sensibles (salud, por ejemplo).
• Garantizar el origen lícito de las bases que cargue o importe (archivos CSV, listas de contactos). Ikal Media Group no envía campañas a listas compradas o de origen desconocido.
• Informar a sus usuarios que hablan con una IA cuando use chatbots o agentes, y prever la atención por una persona.
• Atender a los Titulares y responder sus solicitudes ARCO dentro de los plazos legales.
• No pedir instrucciones ilícitas ni usar los servicios para fines contrarios a la ley o a las políticas de las plataformas.
• Avisar a Ikal Media Group si un Titular revoca su consentimiento o pide no recibir publicidad, para excluirlo de campañas y secuencias.

4. Subencargados, transferencias, fin del contrato y responsabilidad

Subencargados. El Responsable autoriza al Encargado a apoyarse en los proveedores listados en el Anexo A (por ejemplo, OpenAI, Meta/WhatsApp, Brevo y el proveedor de servidores). El Encargado exigirá a cada uno obligaciones de protección equivalentes a las de este contrato. Avisará por correo con 15 días de anticipación antes de agregar o cambiar un subencargado; si el Responsable se opone por una razón fundada y no hay alternativa, podrá terminar el servicio afectado sin penalización.

Transferencias internacionales. Algunos subencargados están fuera de México (Estados Unidos, Unión Europea). Si el Responsable trata datos de Titulares en la Unión Europea, las partes aplican las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914, módulo 2 o 3, según corresponda), que se incorporan a este contrato por referencia.

Fin del contrato. Al terminar el servicio, el Encargado, a elección del Responsable, le devolverá los datos en un formato de uso común (CSV o respaldo de base de datos) o los eliminará de forma segura, dentro de los 30 días siguientes. Solo conservará lo que la ley le obligue a guardar, debidamente bloqueado. En hosting aplica el plazo de conservación informado en los Términos de HostPanther.

Responsabilidad. Cada parte responde por sus propios incumplimientos de la ley y de este contrato. Si el Encargado usa los datos para fines distintos o incumple las instrucciones, será considerado responsable de ese tratamiento. El límite de responsabilidad de los Términos y Condiciones Generales aplica a este contrato, salvo en casos de dolo, mala fe o uso de los datos para fines propios del Encargado.

Vigencia. Este contrato dura lo mismo que los servicios contratados y, en lo que toca a confidencialidad y eliminación de datos, hasta que estas se cumplan.

Anexo A. Detalle del tratamiento por servicio

Duración: mientras dure cada servicio, más el plazo de devolución o eliminación de la sección 4.

Anexo B. Medidas de seguridad

• Conexiones cifradas (HTTPS/TLS) y cifrado de contraseñas y credenciales almacenadas.
• Acceso a los datos solo para el personal que lo necesita, con usuario propio y contraseñas robustas, y doble factor en paneles administrativos.
• Separación de los datos de cada cliente.
• Respaldos periódicos y prueba de restauración.
• Actualización de servidores y dependencias, y canal de reporte de vulnerabilidades (security.txt).
• Registro de accesos y de incidentes.
• Contratos de confidencialidad con empleados y colaboradores.

Firmas: Juan Rodriguez · IKAL MEDIA GROUP, S.A.S. · Fecha: 08/10/2026