Contrato de Encargo del Tratamiento (DPA)

Borrador pendiente de revisión legal. NO es ejecutable todavía. Este documento es un borrador fundamentado y NO constituye asesoría legal ni la versión vigente hasta su revisión y aprobación por un abogado. Antes de que pueda firmarse o invocarse, un humano tiene que resolver:

La identidad legal de Belfort — la razón social, el RFC y el domicilio fiscal del Encargado están sin llenar (sección de partes, abajo). Mientras ese dato no exista, este DPA no tiene dos partes identificables y no puede celebrarse.

Que el Responsable y el Encargado sean personas morales distintas. Un contrato de encargo entre dos marcas de la misma persona moral es inoperante: nadie contrata consigo mismo. Si Belfort y el Responsable resultan ser la misma entidad, lo que corresponde no es este DPA sino una política interna de tratamiento, o la separación societaria previa.

La revisión de abogado de las secciones de responsabilidad, auditoría, transferencias y plazos, que no han sido validadas por asesoría jurídica.

Este Contrato de Encargo del Tratamiento (Data Processing Addendum o “DPA”) forma parte de los Términos de Servicio (el “Contrato Principal”) celebrado entre Belfort ([RAZÓN SOCIAL Y DOMICILIO FISCAL — PENDIENTE] · [RFC — PENDIENTE] · representado por [REPRESENTANTE LEGAL — PENDIENTE]) (“Belfort”, el “Encargado”) y el cliente que contrata el Servicio (el “Cliente”, el “Responsable”). Este DPA regula el tratamiento de datos personales de los Usuarios Finales que Belfort realiza por cuenta del Cliente al prestar el Servicio, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su normativa aplicable.

Este DPA está disponible de forma pública y self-serve: al aceptar los Términos de Servicio, el Responsable acepta también este DPA. Esa aceptación electrónica basta para la contratación en línea.

Contratación con firma. Cuando el Responsable lo requiera —y siempre que la normativa, su área de cumplimiento o el volumen de datos sensibles lo exijan— las partes formalizarán este DPA con la constancia de ejecución del Anexo C, firmada por representante con facultades de cada parte. La versión firmada prevalece sobre la aceptación electrónica. Para solicitarla: privacidad@belfort.ai.

En caso de conflicto sobre materia de datos personales, este DPA prevalece sobre el resto del Contrato Principal.

1. Definiciones

Responsable: el Cliente, que decide sobre las finalidades y medios del tratamiento de los Datos Personales de sus Usuarios Finales.
Encargado: Belfort, que trata los Datos Personales por cuenta y bajo instrucciones del Responsable.
Datos Personales: la información de los Usuarios Finales tratada a través del Servicio, incluidos datos sensibles como los datos biométricos y datos de documentos de identidad.
Titular: la persona física a quien corresponden los Datos Personales (el Usuario Final).
Tratamiento: cualquier operación sobre los Datos Personales (obtención, uso, almacenamiento, cotejo, transmisión, supresión, entre otras).
Subencargado: el tercero que Belfort contrata para tratar Datos Personales en la prestación del Servicio.
Vulneración de seguridad / Brecha: la pérdida, destrucción, robo, copia, uso, acceso o tratamiento no autorizado de Datos Personales.

Los demás términos tienen el significado del Contrato Principal o de la LFPDPPP.

2. Roles, objeto y alcance del tratamiento

2.1. Las partes reconocen que, respecto de los Datos Personales de los Usuarios Finales, el Cliente actúa como Responsable y Belfort como Encargado. El Cliente es quien determina las finalidades y decide lanzar cada flujo de verificación.

2.2. El objeto del tratamiento es la prestación del Servicio de verificación de identidad. La naturaleza y finalidad del tratamiento es verificar la identidad de los Usuarios Finales por cuenta del Responsable (cotejo documental, comparación biométrica, detección de vida y funcionalidades contratadas). La duración es la vigencia del Contrato Principal, más los plazos de conservación legalmente exigibles.

2.3. Las categorías de Datos Personales y de Titulares, así como las medidas de seguridad, se describen en los Anexos de este DPA.

2.4. Belfort tratará los Datos Personales únicamente para prestar el Servicio y cumplir este DPA, y no los tratará para finalidades propias distintas, ni los venderá, arrendará o cederá. Belfort podrá tratar datos agregados y anonimizados —que no permitan reidentificar a ningún Titular— para operar, asegurar y mejorar el Servicio, en la medida permitida por la ley.

3. Instrucciones documentadas del Responsable

3.1. Belfort tratará los Datos Personales conforme a las instrucciones documentadas del Responsable, que se integran por: este DPA, el Contrato Principal, la Documentación del Servicio y las configuraciones que el Responsable establezca a través de la Plataforma y la API.

3.2. Si Belfort considera que una instrucción del Responsable infringe la LFPDPPP u otra normativa aplicable, lo notificará al Responsable. El Responsable es el único responsable de la licitud del tratamiento que instruye, de contar con la legitimación correspondiente y de la relación con el Titular.

3.3. Belfort no está obligado a tratar Datos Personales fuera de dichas instrucciones, salvo obligación legal, en cuyo caso —de ser legalmente posible— informará al Responsable antes de tratar.

4. Deberes del Encargado

Belfort se obliga a:

4.1. Confidencialidad. Guardar confidencialidad sobre los Datos Personales. Este deber subsiste aun después de terminada la relación con el Responsable. Belfort garantizará que su personal y toda persona autorizada a tratar Datos Personales estén sujetos a un deber de confidencialidad y sean informados del carácter sensible de los datos biométricos.

4.2. Seguridad. Implementar y mantener las medidas de seguridad administrativas, técnicas y físicas descritas en el Anexo B, adecuadas al riesgo y a la naturaleza sensible de los datos, para proteger los Datos Personales contra vulneraciones. Belfort revisará y actualizará dichas medidas de forma razonable, sin degradar el nivel de protección.

4.3. Limitación de acceso. Limitar el acceso a los Datos Personales al personal que lo requiera para prestar el Servicio, bajo el principio de mínimo privilegio.

4.4. No transferencia indebida. No transferir ni permitir el acceso a los Datos Personales a terceros distintos de los Subencargados autorizados conforme a la sección 5, salvo instrucción del Responsable u obligación legal.

4.5. Asistencia. Prestar al Responsable la asistencia razonable prevista en las secciones 6 y 7.

5. Subencargados

5.1. El Responsable autoriza de forma general a Belfort a contratar Subencargados para prestar el Servicio (por ejemplo, proveedores de infraestructura, alojamiento, procesamiento de imágenes o fuentes de cotejo), siempre que Belfort:

mantenga una lista pública y actualizada de Subencargados disponible para el Responsable, que es la publicada en /legal/subprocesadores;
imponga a cada Subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA; y
responda ante el Responsable por el cumplimiento de los Subencargados que contrata.

5.2. Aviso de cambios. Belfort informará al Responsable, con antelación razonable, la incorporación o sustitución de Subencargados que traten Datos Personales, por un medio que permita al Responsable conocerlo (por ejemplo, actualización de la lista pública con opción de suscripción a avisos). Si el Responsable objeta de forma fundada un nuevo Subencargado por motivos de protección de datos, las partes colaborarán de buena fe para encontrar una solución razonable; de no lograrse, el Responsable podrá terminar el Servicio afectado conforme al Contrato Principal.

6. Asistencia con derechos ARCO y oposición a decisiones automatizadas

6.1. Belfort, considerando la naturaleza del tratamiento, asistirá razonablemente al Responsable —con las funcionalidades de la Plataforma o mediante apoyo técnico— para atender las solicitudes de los Titulares para ejercer sus derechos de acceso, rectificación, cancelación y oposición (ARCO), así como el derecho de oposición a decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente al Titular.

6.2. El Responsable es quien atiende y responde las solicitudes de los Titulares dentro de los plazos legales (responder en un máximo de 20 días y hacer efectiva la determinación en los 15 días siguientes, o los que fije la normativa vigente). Si un Titular contacta directamente a Belfort, Belfort remitirá la solicitud al Responsable sin resolverla por cuenta propia, salvo instrucción del Responsable.

6.3. El Servicio contempla un mecanismo de revisión humana del resultado de verificación, que el Responsable puede utilizar para atender el derecho de oposición a decisiones automatizadas.

7. Notificación de vulneraciones de seguridad (brechas)

7.1. Belfort notificará al Responsable sin dilación indebida después de tener conocimiento de una Vulneración de seguridad que afecte Datos Personales tratados por cuenta del Responsable.

7.2. La notificación incluirá, en la medida en que Belfort disponga de la información: la naturaleza de la vulneración, las categorías y el volumen aproximado de datos y Titulares afectados, las posibles consecuencias y las medidas adoptadas o propuestas para atenderla y mitigarla.

7.3. Belfort cooperará razonablemente con el Responsable en la investigación y remediación. La obligación de notificar a los Titulares y, en su caso, a la autoridad corresponde al Responsable, por ser quien mantiene la relación con el Titular; Belfort le proporcionará la información razonable que requiera para cumplirla.

8. Devolución y destrucción de datos

8.1. A la terminación del Servicio, o cuando el Responsable lo instruya, Belfort devolverá o destruirá los Datos Personales tratados por cuenta del Responsable, a elección de este, salvo que la ley obligue a conservarlos (en cuyo caso Belfort los mantendrá protegidos y bloqueados hasta que proceda su supresión). Las dos vías se prestan con mecanismos distintos, que se describen aquí con precisión para que el Responsable sepa qué puede ejercer por sí mismo y qué requiere solicitarlo:

Devolución — disponible de forma directa y sin intervención de Belfort. El Responsable puede obtener, cuando quiera y sin pedirlo, la totalidad de los Datos Personales que Belfort trata por su cuenta, mediante la función de exportación masiva de la Plataforma y la API. La exportación abarca a todos los Titulares del Responsable en el entorno solicitado, se entrega como un archivo cifrado y se procesa de forma asíncrona, de modo que funciona también para volúmenes grandes. El archivo generado tiene una vigencia limitada de descarga, tras la cual se destruye.
Supresión de un Titular — disponible de forma directa y sin intervención de Belfort. El Responsable puede ordenar la supresión de cualquier Titular, con efecto inmediato o previo periodo de bloqueo, desde la Plataforma y la API. La supresión es irreversible: no es un borrado lógico reversible, sino la destrucción de la información cifrada y de los archivos asociados, sin copia en claro ni recuperable. Belfort deja constancia auditable de cada supresión.
Supresión de la totalidad al terminar el Contrato — se ejecuta a solicitud, como procedimiento operado por Belfort. Hoy no existe una función de un solo paso que el Responsable pueda accionar por sí mismo para destruir de una vez a todos sus Titulares, ni la terminación del Contrato dispara por sí sola esa destrucción. Belfort la ejecuta a solicitud expresa del Responsable, aplicando a cada Titular el mismo mecanismo irreversible descrito arriba, y la confirma conforme a la cláusula 8.2. El plazo máximo de esa ejecución se pacta en el Anexo C o, a falta de pacto, se atiende dentro de un plazo razonable.

8.1 bis. Supresión automática por retención. Con independencia de lo anterior, Belfort aplica de forma automática y periódica los plazos de conservación configurados: la evidencia cuya retención vence se destruye sin que ninguna de las partes tenga que solicitarlo, salvo que exista una retención legal (legal hold) vigente sobre ella. Esta destrucción es igualmente irreversible y queda auditada.

8.2. A solicitud, Belfort confirmará por escrito la devolución o destrucción. Las copias de respaldo se sobrescribirán o eliminarán conforme a los ciclos de retención de respaldo de Belfort.

8.3. Alcance de esta cláusula. Las capacidades descritas en 8.1 y 8.1 bis son las que el Servicio presta efectivamente al momento de la fecha de vigencia de este documento. Belfort no promete en esta cláusula ninguna función que no esté implementada; si una de ellas cambia de forma material, Belfort actualizará este DPA con un nuevo código de documento y fecha de vigencia.

9. Auditoría

9.1. Belfort pondrá a disposición del Responsable la información razonablemente necesaria para acreditar el cumplimiento de este DPA, preferentemente mediante documentación, certificaciones o reportes de auditoría (cuando los haya, sujetos a acuerdo de confidencialidad).

9.2. Cuando esa información no sea suficiente, el Responsable podrá solicitar una auditoría con aviso previo razonable, en horario hábil, sin interrumpir la operación de Belfort, con una frecuencia razonable (por defecto no más de una vez al año, salvo requerimiento de autoridad o tras una Vulneración), y sujeta a confidencialidad. Las partes acordarán el alcance y los costos razonables.

10. Transferencias

10.1. Belfort podrá tratar y almacenar Datos Personales a través de sus Subencargados, que pueden operar infraestructura ubicada dentro o fuera de México. Cualquier transferencia se realizará conforme a la LFPDPPP y con las garantías contractuales que aseguren un nivel de protección equivalente al de este DPA.

10.2. El Responsable es informado de la ubicación general del tratamiento a través de la lista de Subencargados. Belfort no realizará transferencias fuera de lo necesario para prestar el Servicio sin base contractual o legal.

11. Vigencia y prelación

Este DPA está vigente mientras Belfort trate Datos Personales por cuenta del Responsable. Las obligaciones que por su naturaleza deban subsistir —en particular la confidencialidad— sobreviven a su terminación. En materia de datos personales, este DPA prevalece sobre el resto del Contrato Principal.

12. Contacto en materia de datos personales

Canal para asuntos de protección de datos, este DPA y notificaciones relacionadas: privacidad@belfort.ai. Para incidentes de seguridad: security@belfort.ai.

Anexo A — Detalles del tratamiento

Objeto: prestación del Servicio de verificación de identidad por cuenta del Responsable.

Duración: la vigencia del Contrato Principal, más los plazos de conservación legalmente exigibles.

Naturaleza y finalidad: verificación de identidad de Usuarios Finales (cotejo documental, comparación biométrica facial, detección de vida / anti-suplantación y funcionalidades contratadas).

Categorías de Titulares: los Usuarios Finales cuya identidad el Responsable somete a verificación (por ejemplo, solicitantes, clientes o empleados del Responsable).

Categorías de Datos Personales:

Categoría	Ejemplos
Identificación	nombre, fecha de nacimiento, CURP, datos del documento de identidad
Documentales	imágenes del anverso/reverso del documento de identidad
Datos sensibles — biométricos	imagen facial / selfie, plantilla de geometría facial, datos de detección de vida
Contacto (si aplica)	correo, teléfono proporcionados por el Responsable
Metadatos de verificación	marca de tiempo, resultado, evidencia de consentimiento, dispositivo/IP cuando aplique

Las partes actualizarán este Anexo cuando cambie de forma material el alcance del tratamiento.

Anexo B — Medidas de seguridad

Belfort mantiene medidas de seguridad administrativas, técnicas y físicas adecuadas al riesgo y a la naturaleza sensible de los datos, que incluyen de forma enunciativa:

Cifrado de los Datos Personales en tránsito (TLS) y en reposo.
Control de acceso con autenticación, mínimo privilegio y registro de accesos.
Segregación entre ambientes y aislamiento por cliente/tenant.
Registros de auditoría (logs) de operaciones relevantes sobre Datos Personales.
Gestión de vulnerabilidades y actualizaciones de seguridad.
Respaldo y recuperación con procedimientos de continuidad.
Gestión de incidentes con proceso de detección, respuesta y notificación conforme a la sección 7.
Confidencialidad del personal y concientización sobre el manejo de datos sensibles.

El detalle y el estado de las certificaciones de seguridad (por ejemplo, SOC 2 o ISO 27001) se publican en la página de Seguridad de Belfort e indican expresamente cuáles están certificadas y cuáles en proceso. Este DPA no afirma la obtención de certificación alguna que no esté vigente.

Anexo C — Constancia de ejecución (versión firmada)

Este anexo sólo se llena cuando las partes formalizan el DPA con firma, conforme a la sección de “Contratación con firma”. Ninguno de los campos de abajo puede rellenarse por Belfort de forma unilateral ni automatizada: son datos corporativos que confirma un humano con facultades.

Encargado — Belfort

Campo	Valor
Denominación o razón social	[PENDIENTE]
RFC	[PENDIENTE]
Domicilio fiscal	[PENDIENTE]
Representante legal	[PENDIENTE]
Instrumento que acredita facultades	[PENDIENTE]
Correo para notificaciones	privacidad@belfort.ai
Firma y fecha

Responsable — Cliente

Campo	Valor
Denominación o razón social
RFC
Domicilio fiscal
Representante legal
Instrumento que acredita facultades
Correo para notificaciones
Firma y fecha

Plazos pactados

Concepto	Plazo
Ejecución de la supresión total tras la terminación (cláusula 8.1)	[PENDIENTE]
Conservación de la exportación de devolución antes de su destrucción	[PENDIENTE]

Las partes declaran que celebran este DPA como personas morales distintas, cada una con personalidad jurídica propia. Si no lo fueran, este instrumento carece de objeto y debe sustituirse por una política interna de tratamiento.

Documento bel-dpa-2609 · Vigente desde el 16 de septiembre de 2026 · Última revisión: 16 de septiembre de 2026.