AVISO DE PRIVACIDAD INTEGRAL, TRATAMIENTO DE INFORMACIÓN, CONFIDENCIALIDAD, SEGURIDAD DE DATOS Y USO DE TECNOLOGÍAS DE INTELIGENCIA ARTIFICIAL DE ELÍAS

PRIMERO. Naturaleza de ELÍAS

ELÍAS constituye una infraestructura tecnológica de apoyo para la organización, administración, consulta, procesamiento y aprovechamiento autorizado de información jurídica.

ELÍAS no adquiere por la mera prestación del servicio la propiedad de la información, documentos, bases de datos o expedientes incorporados por EL CLIENTE.

SEGUNDO. Naturaleza particularmente sensible de la información jurídica

LAS PARTES reconocen que un expediente jurídico puede contener información perteneciente a numerosas personas distintas del usuario de LA PLATAFORMA, tales como clientes, contrapartes, trabajadores, accionistas, servidores públicos, testigos, peritos, familiares, víctimas, imputados, acreedores, deudores, proveedores, representantes, beneficiarios y terceros.

Asimismo, un expediente puede contener información cuyo tratamiento se encuentre sujeto a reglas especiales de protección, confidencialidad, secreto profesional, protección de datos personales, secreto industrial, derechos de terceros o restricciones derivadas de la propia naturaleza del procedimiento.

TERCERO. Modelo de tratamiento

ELÍAS distingue expresamente entre:

• los tratamientos respecto de los cuales determina directamente las finalidades y medios esenciales y respecto de los cuales le corresponde actuar como Responsable; y
• los tratamientos que realiza exclusivamente por cuenta, instrucción y para beneficio de EL CLIENTE, respecto de los cuales EL CLIENTE conserva, en principio, el carácter de Responsable, mientras que ELÍAS actúa como Persona Encargada.

CUARTO. Protección por diseño

ELÍAS adopta como criterio general que la protección de la información deberá ser considerada desde el diseño, desarrollo, configuración y operación de LA PLATAFORMA y no únicamente con posterioridad a la existencia de un incidente.

QUINTO. Relación con otros instrumentos

El presente Instrumento complementará los Términos y Condiciones, contrato, orden de servicio, propuesta económica, acuerdo de nivel de servicio, políticas de seguridad, anexos técnicos y demás documentos que regulen la relación entre ELÍAS y EL CLIENTE.

Cuando una disposición contractual otorgue una protección superior a la prevista en el presente Instrumento, se aplicará la protección superior, salvo que resulte contraria a una disposición jurídica imperativa.

I. DECLARA EL PRESTADOR

• Que es una sociedad mercantil legalmente constituida conforme a las leyes mexicanas bajo la denominación SERVICIOS DE SOLUCION DE INFRACCIONES INTEGRALES, S.A. DE C.V.
• Que se encuentra inscrita en el Registro Federal de Contribuyentes bajo la clave SSI260427BY3.
• Que señala como domicilio para efectos del presente Instrumento el ubicado en Avenida Pablo Neruda número 3055, tercer piso, Interior 302, Colonia Providencia, Guadalajara, Jalisco, C.P. 44630.
• Que cuenta con facultades, infraestructura tecnológica, herramientas, proveedores, personal y procesos destinados a prestar servicios tecnológicos relacionados con ELÍAS.
• Que reconoce la importancia de proteger la confidencialidad, integridad, disponibilidad y adecuado tratamiento de la información sometida a su custodia o procesamiento.
• Que pretende realizar los tratamientos de datos personales que le correspondan de manera legítima, controlada, informada y proporcional.
• Que, cuando trate Información del Cliente por cuenta de éste, limitará sus actuaciones a las finalidades necesarias para ejecutar el servicio, las configuraciones realizadas por EL CLIENTE, las instrucciones documentadas emitidas por éste y las obligaciones legales que directamente resulten aplicables a ELÍAS.

II. DECLARA EL CLIENTE

Mediante la aceptación del presente Instrumento, EL CLIENTE declara:

• Que es una persona física o moral, despacho, empresa, institución, profesionista u organización que cuenta con capacidad jurídica suficiente para contratar o utilizar ELÍAS.
• Que tiene legítimo interés en utilizar LA PLATAFORMA para la administración, procesamiento o gestión de información relacionada con sus actividades.
• Que respecto de la información que incorpore a ELÍAS cuenta o se obliga a contar con la legitimación, autorización, relación jurídica, mandato, consentimiento, excepción legal, deber profesional o cualquier otra base jurídica que resulte necesaria para su tratamiento.
• Que reconoce que ELÍAS no tiene conocimiento previo ni control material sobre la totalidad de la información que EL CLIENTE decida cargar a LA PLATAFORMA.
• Que le corresponde determinar qué documentos incorpora, qué personas pueden acceder, qué expedientes administra, qué información resulta necesaria y durante cuánto tiempo debe mantenerse, sujeto a las funcionalidades técnicamente disponibles.
• Que informará a sus Usuarios Autorizados sobre las obligaciones de seguridad, confidencialidad y utilización responsable de LA PLATAFORMA.
• Que evitará incorporar información cuya obtención o utilización sea manifiestamente ilícita.

III. DECLARAN LAS PARTES

• Que reconocen que la protección adecuada de la información requiere obligaciones tanto tecnológicas como organizacionales.
• Que la seguridad informática no puede depender exclusivamente de ELÍAS, sino también de la adecuada gestión de usuarios, contraseñas, dispositivos, permisos y procedimientos internos de EL CLIENTE.
• Que se obligan a colaborar razonablemente en la atención de incidentes, derechos de titulares, requerimientos de autoridad y demás circunstancias relacionadas con la protección de la Información del Cliente.

PRIMERA. OBJETO

El presente Instrumento tiene por objeto establecer, con el mayor grado razonable de transparencia, las reglas aplicables a la obtención, acceso, utilización, procesamiento, consulta, organización, estructuración, indexación, análisis, almacenamiento, conservación, comunicación, transmisión, recuperación, respaldo, bloqueo, eliminación y demás operaciones que pudieran realizarse respecto de datos personales e Información del Cliente dentro de ELÍAS.

Asimismo, establece compromisos de confidencialidad, seguridad, gobierno de información, inteligencia artificial, atención de incidentes y cooperación entre ELÍAS y EL CLIENTE.

SEGUNDA. DOBLE NATURALEZA DEL INSTRUMENTO

El presente documento tendrá una doble naturaleza.

En primer término, constituye el Aviso de Privacidad Integral mediante el cual ELÍAS informa a los titulares acerca de los tratamientos respecto de los cuales tenga el carácter de Responsable.

En segundo término, cuando EL CLIENTE lo acepte como parte de un proceso de contratación, onboarding, clickwrap, firma electrónica, mensaje de datos, orden de servicio o instrumento contractual, sus disposiciones relativas a tratamiento por encargo, confidencialidad, seguridad, utilización de proveedores, cooperación, conservación, devolución y eliminación de Información del Cliente constituirán adicionalmente obligaciones contractuales entre ELÍAS y EL CLIENTE.

La aceptación contractual del presente Instrumento no deberá interpretarse como sustitución de los consentimientos individuales que, cuando correspondan, deban ser otorgados por los titulares.

TERCERA. DEFINICIONES

Para efectos del presente Instrumento:

CUARTA. PRINCIPIOS RECTORES

ELÍAS procurará que los tratamientos respecto de los cuales tenga carácter de Responsable se rijan por los principios de:

• licitud;
• finalidad;
• lealtad;
• consentimiento;
• calidad;
• proporcionalidad;
• información;
• responsabilidad;
• minimización;
• seguridad;
• confidencialidad;
• limitación de conservación; y
• protección de la expectativa razonable de privacidad.

La aplicación de dichos principios deberá documentarse razonablemente mediante medidas organizacionales y técnicas adecuadas al riesgo.

QUINTA. DETERMINACIÓN DE ROLES

ELÍAS actuará como Responsable respecto de la información que recabe para administrar directamente su relación con usuarios y Clientes, incluyendo la administración de cuentas, seguridad, autenticación, facturación, cumplimiento normativo, soporte y demás finalidades propias descritas en este Instrumento.

ELÍAS actuará, por regla general, como Persona Encargada respecto del contenido de los expedientes y documentos incorporados por EL CLIENTE cuando sea éste quien determine la finalidad por la que tales datos son utilizados.

EL CLIENTE conservará el carácter que jurídicamente le corresponda respecto de los datos de sus clientes, empleados, contrapartes, testigos, partes, proveedores, representantes y demás terceros cuya información incorpore a ELÍAS.

La circunstancia de que ELÍAS proporcione herramientas de inteligencia artificial, clasificación, almacenamiento, búsqueda, extracción o automatización no modificará por sí sola dicha distribución de responsabilidades, siempre que las operaciones sean realizadas para ejecutar la prestación contratada y no para finalidades propias incompatibles.

SEXTA. DATOS RECABADOS DIRECTAMENTE POR ELÍAS

Cuando actúe como Responsable, ELÍAS podrá tratar, según corresponda a la relación concreta, las siguientes categorías de datos:

• Datos de identificación, incluyendo nombre, apellidos, firma, identificadores de usuario, imagen de perfil y, cuando resulte indispensable, información contenida en documentos de identificación.
• Datos de contacto, incluyendo correo electrónico, número telefónico, domicilio profesional y medios de comunicación proporcionados voluntariamente.
• Datos profesionales y organizacionales, incluyendo empresa, despacho, institución, puesto, función, área, cédula profesional cuando sea necesaria, relación con una organización y facultades de administración.
• Datos fiscales y de facturación, incluyendo RFC, razón social, domicilio fiscal, régimen fiscal, información requerida para emitir comprobantes y datos relacionados con pagos.
• Datos patrimoniales o financieros, únicamente cuando resulten necesarios para una operación contractual, administrativa, de facturación o pago y sujeto a las bases jurídicas y consentimientos legalmente aplicables.
• Datos de autenticación, seguridad y control de acceso, incluyendo identificadores de sesión, tokens, factores de autenticación, registros de acceso, intentos fallidos y demás información necesaria para proteger una cuenta.
• Datos técnicos, incluyendo dirección IP, tipo de dispositivo, navegador, sistema operativo, fecha y hora de conexión, identificadores técnicos, actividad de sesión, registros de errores, eventos operativos y registros de seguridad.
• Datos de soporte y comunicaciones, incluyendo solicitudes, tickets, mensajes, archivos voluntariamente proporcionados para solucionar un problema y registros de la atención correspondiente.
• Datos sobre utilización de LA PLATAFORMA, incluyendo funcionalidades utilizadas, acciones administrativas y telemetría necesaria para operación, seguridad, capacidad y diagnóstico.

ELÍAS procurará no recabar directamente datos adicionales cuando no resulten razonablemente necesarios para la finalidad correspondiente.

SÉPTIMA. INFORMACIÓN QUE PUEDE ESTAR CONTENIDA EN EXPEDIENTES

Por decisión de EL CLIENTE, los expedientes almacenados en ELÍAS pueden contener categorías sustancialmente más amplias de información, tales como:

La inclusión de una categoría en la presente cláusula no constituye una invitación para recopilarla. EL CLIENTE deberá aplicar criterios de necesidad y proporcionalidad antes de incorporar información.

OCTAVA. DATOS PERSONALES SENSIBLES

ELÍAS no requiere como regla general datos personales sensibles para abrir una cuenta ordinaria.

Sin embargo, por la naturaleza de los asuntos jurídicos administrados, LA PLATAFORMA puede procesarlos cuando se encuentren dentro de Información del Cliente.

Cuando ELÍAS actúe como Responsable y pretenda tratar directamente Datos Personales Sensibles, aplicará las reglas de consentimiento expreso y por escrito o la excepción legal que corresponda y deberá justificar que el tratamiento responde a finalidades legítimas, concretas y proporcionales.

Cuando ELÍAS actúe como Persona Encargada, corresponderá a EL CLIENTE determinar la base jurídica que legitime la existencia y tratamiento de dichos datos y girar las instrucciones correspondientes.

ELÍAS procurará aplicar controles reforzados a datos que, aun sin encontrarse expresamente catalogados por una disposición como sensibles, presenten un riesgo especialmente alto atendiendo a su contexto, volumen o consecuencias potenciales.

NOVENA. DATOS DE MENORES DE EDAD Y PERSONAS EN SITUACIÓN DE VULNERABILIDAD

ELÍAS no dirige la contratación ordinaria de sus servicios a menores de edad.

No obstante, los expedientes incorporados por EL CLIENTE pueden contener información de niñas, niños, adolescentes o personas sujetas a medidas especiales de protección.

EL CLIENTE deberá determinar la legitimidad, necesidad y proporcionalidad del tratamiento y adoptar las medidas jurídicas que correspondan.

ELÍAS aplicará a dichos datos medidas razonablemente reforzadas de confidencialidad y control en atención al riesgo.

DÉCIMA. FUENTES DE OBTENCIÓN

Los datos tratados por ELÍAS podrán provenir, según corresponda:

• directamente del Titular;
• del representante de EL CLIENTE;
• de Administradores o Usuarios Autorizados;
• de archivos importados por EL CLIENTE;
• de sistemas o integraciones autorizadas por EL CLIENTE;
• de sistemas tecnológicos de EL CLIENTE;
• de comunicaciones con soporte;
• de sistemas de autenticación;
• de fuentes de acceso público jurídicamente consultables;
• de portales judiciales o administrativos cuando la consulta resulte jurídicamente permitida;
• de proveedores que actúen conforme a instrucciones legítimas;
• de documentos obtenidos o aportados legítimamente dentro de un expediente; y
• de los propios sistemas técnicos de ELÍAS respecto de información necesaria para seguridad, autenticación y funcionamiento.

La inclusión de una fuente en esta cláusula no autoriza la obtención de información mediante mecanismos ilícitos, fraudulentos o contrarios a restricciones legales de acceso.

DÉCIMA PRIMERA. FINALIDADES PRIMARIAS RESPECTO DE DATOS RECABADOS DIRECTAMENTE

ELÍAS podrá tratar los datos respecto de los cuales tenga carácter de Responsable exclusivamente para las siguientes finalidades primarias, según resulten aplicables:

• Crear una cuenta.
• Validar la identidad de un usuario.
• Asociar un usuario con una organización.
• Autenticar accesos.
• Gestionar permisos, roles y autorizaciones.
• Prestar los servicios contratados.
• Mantener el funcionamiento de LA PLATAFORMA.
• Permitir la utilización de funcionalidades contratadas.
• Proporcionar soporte.
• Atender solicitudes administrativas o técnicas.
• Administrar la relación contractual.
• Emitir facturas y administrar pagos.
• Mantener registros contables y fiscales.
• Gestionar renovaciones o terminaciones.
• Mantener comunicación operativa con EL CLIENTE.
• Enviar comunicaciones necesarias respecto del servicio.
• Proteger cuentas y sistemas.
• Prevenir accesos no autorizados.
• Detectar abuso, fraude o actividades incompatibles con la seguridad de LA PLATAFORMA.
• Investigar incidentes.
• Realizar respaldos y recuperación.
• Mantener continuidad operativa.
• Evaluar capacidad y rendimiento técnico.
• Identificar errores.
• Generar registros de auditoría y seguridad.
• Ejercer o defender derechos.
• Cumplir obligaciones legales.
• Atender órdenes judiciales o requerimientos obligatorios de autoridad competente.
• Documentar aceptación de contratos, avisos y políticas.
• Conservar evidencia razonablemente necesaria para demostrar cumplimiento.

DÉCIMA SEGUNDA. FINALIDADES SECUNDARIAS

Las finalidades promocionales o comerciales que no resulten necesarias para prestar ELÍAS deberán tratarse separadamente de las finalidades primarias.

Cuando ELÍAS pretenda utilizar datos para:

• publicidad;
• prospección comercial no vinculada directamente con una solicitud del interesado;
• invitaciones comerciales;
• boletines promocionales;
• encuestas comerciales; o
• comunicaciones de mercadotecnia,

permitirá al Titular manifestar su negativa mediante mecanismos sencillos de exclusión.

La negativa respecto de finalidades secundarias no impedirá por sí misma la prestación de los servicios principales contratados.

DÉCIMA TERCERA. FINALIDADES DEL TRATAMIENTO POR CUENTA DEL CLIENTE

Respecto de Información del Cliente, ELÍAS podrá realizar exclusivamente las operaciones necesarias para prestar las funcionalidades que EL CLIENTE haya contratado, configurado o solicitado, incluyendo:

• almacenamiento;
• organización;
• indexación;
• clasificación;
• estructuración;
• búsqueda;
• lectura automatizada;
• procesamiento documental;
• extracción de datos;
• identificación de fechas;
• identificación de partes;
• identificación de autoridades;
• identificación de actuaciones;
• generación de resúmenes;
• comparación de documentos;
• análisis asistido;
• búsqueda semántica;
• recuperación contextual;
• generación de borradores;
• revisión automatizada;
• generación de alertas;
• generación de notificaciones;
• administración de vencimientos;
• administración de usuarios;
• administración de permisos;
• sincronización;
• importación;
• exportación;
• procesamiento mediante herramientas de inteligencia artificial;
• respaldo;
• recuperación;
• protección de seguridad; y
• demás operaciones específicamente solicitadas mediante las funcionalidades contratadas.

DÉCIMA CUARTA. LIMITACIÓN DE FINALIDAD

ELÍAS no utilizará Información del Cliente para una finalidad incompatible con la prestación contratada.

En particular, salvo autorización separada, expresa y jurídicamente válida, ELÍAS no utilizará el contenido confidencial de expedientes para:

• vender bases de datos;
• comercializar información de los clientes de EL CLIENTE;
• identificar prospectos comerciales a partir de expedientes;
• enviar publicidad a las personas que aparezcan en documentos;
• explotar estrategias jurídicas de EL CLIENTE;
• competir con EL CLIENTE;
• contactar directamente a clientes de EL CLIENTE para ofrecerles servicios;
• crear perfiles comerciales de personas a partir de expedientes;
• publicar documentos;
• divulgar información; o
• entrenar modelos generales destinados a terceros en los términos previstos posteriormente.

DÉCIMA QUINTA. PROPIEDAD Y CONTROL DE INFORMACIÓN

La incorporación de información a ELÍAS no constituye transmisión de propiedad intelectual, derechos documentales, secretos comerciales o derechos sobre expedientes a favor de ELÍAS.

Los derechos sobre Información del Cliente permanecerán con EL CLIENTE o con quien jurídicamente corresponda.

EL CLIENTE otorga a ELÍAS exclusivamente las facultades técnicas necesarias para prestar el servicio.

DÉCIMA SEXTA. SECRETO PROFESIONAL Y CONFIDENCIALIDAD JURÍDICA

ELÍAS reconoce que determinada información puede encontrarse protegida por secreto profesional, deberes fiduciarios, obligaciones contractuales de confidencialidad, reserva procesal, secreto industrial o reglas especiales aplicables a abogados u otros profesionistas.

El acceso técnico necesario para operar LA PLATAFORMA no tendrá por finalidad alterar, desconocer o provocar la renuncia de dichas protecciones.

ELÍAS se obliga a tratar esta información bajo estricta confidencialidad y a limitar cualquier acceso humano a supuestos justificados.

DÉCIMA SÉPTIMA. ACCESO HUMANO A EXPEDIENTES

Como principio general, el personal de ELÍAS no deberá visualizar Información del Cliente cuando no resulte necesario.

El acceso humano podrá tener lugar únicamente cuando exista una necesidad legítima y razonablemente documentable, incluyendo:

• solicitud específica de soporte;
• diagnóstico de un problema que no pueda resolverse razonablemente sin acceso;
• recuperación de información;
• investigación de un incidente;
• prevención de abuso;
• cumplimiento de una obligación legal;
• mantenimiento extraordinario;
• revisión de seguridad autorizada; o
• cualquier otro supuesto expresamente instruido por EL CLIENTE.

Cuando pueda solucionarse el problema utilizando información disociada, metadatos o registros técnicos sin acceder al contenido sustantivo, deberá privilegiarse esa alternativa.

DÉCIMA OCTAVA. CONFIDENCIALIDAD DEL PERSONAL

Toda persona que, por razón de sus funciones, tenga acceso material a información protegida deberá encontrarse sujeta a obligaciones de confidencialidad.

Dicha obligación continuará aun después de terminar la relación laboral, profesional, mercantil o contractual que haya permitido el acceso.

ELÍAS procurará capacitar al personal relevante respecto de:

• protección de datos;
• manejo de información confidencial;
• prevención de ingeniería social;
• control de credenciales;
• gestión de incidentes;
• principio de mínimo privilegio; y
• procedimientos internos de seguridad.

DÉCIMA NOVENA. INTELIGENCIA ARTIFICIAL

EL CLIENTE reconoce que determinadas funcionalidades de ELÍAS pueden apoyarse en modelos de inteligencia artificial, procesamiento de lenguaje natural, aprendizaje automático, recuperación aumentada de información, clasificación, extracción automatizada y otras herramientas computacionales.

Cuando una funcionalidad requiera procesar Información del Cliente mediante dichos sistemas, ELÍAS limitará el tratamiento a la ejecución de la funcionalidad solicitada.

Podrán utilizarse, según la arquitectura técnica vigente:

• instrucciones del usuario;
• fragmentos pertinentes de documentos;
• contexto obtenido del expediente;
• metadatos necesarios;
• resultados intermedios; y
• respuestas generadas.

ELÍAS procurará aplicar un principio de minimización contextual, evitando transmitir a un componente externo cantidades de información superiores a las razonablemente necesarias para ejecutar la instrucción.

VIGÉSIMA. PROHIBICIÓN DE ENTRENAMIENTO GENERAL NO AUTORIZADO

ELÍAS no utilizará por decisión propia el contenido confidencial de los expedientes de EL CLIENTE para entrenar modelos generales de inteligencia artificial destinados a ser utilizados por otros Clientes, terceros o el público en general, sin autorización previa, expresa, específica y separada de EL CLIENTE.

La utilización ordinaria de LA PLATAFORMA no se considerará autorización para entrenamiento general.

La aceptación de este Instrumento tampoco constituirá autorización para ello.

Si en el futuro ELÍAS desarrollara un programa voluntario de aportación de información para entrenamiento, deberá existir una aceptación separada que permita a EL CLIENTE conocer el alcance, finalidad y consecuencias de dicha participación.

VIGÉSIMA PRIMERA. PROVEEDORES DE INTELIGENCIA ARTIFICIAL

Cuando ELÍAS utilice servicios de terceros para ejecutar funcionalidades de inteligencia artificial, procurará utilizar modalidades contractuales y configuraciones destinadas a impedir o restringir que dichos terceros reutilicen la Información del Cliente para entrenar modelos generales propios cuando exista una opción técnicamente y comercialmente disponible para ello.

ELÍAS evaluará razonablemente el alcance de los términos de tratamiento ofrecidos por proveedores que tengan acceso material a Información del Cliente.

VIGÉSIMA SEGUNDA. NATURALEZA ASISTIVA DE LA INTELIGENCIA ARTIFICIAL

Salvo que una funcionalidad indique expresamente lo contrario, los análisis, borradores, sugerencias, clasificaciones y resultados generados por ELÍAS son herramientas de asistencia.

ELÍAS no garantiza que una respuesta generada por inteligencia artificial carezca de errores.

Los Usuarios Autorizados deberán revisar la información antes de utilizarla para adoptar decisiones jurídicas relevantes, presentarla ante autoridades o proporcionarla como asesoría definitiva a terceros.

VIGÉSIMA TERCERA. DECISIONES AUTOMATIZADAS

Como regla general, ELÍAS no está diseñado para sustituir automáticamente la decisión profesional final de un abogado ni para adoptar por sí mismo determinaciones jurídicas vinculantes respecto de una persona.

Cuando ELÍAS habilite un tratamiento automatizado que pueda producir directamente efectos jurídicos o afectar significativamente los intereses, derechos o libertades de una persona sin intervención humana, deberán aplicarse las obligaciones adicionales que correspondan y proporcionarse la información necesaria sobre dicho proceso.

VIGÉSIMA CUARTA. SEGURIDAD DE LA INFORMACIÓN

ELÍAS establecerá y mantendrá medidas administrativas, técnicas y físicas razonablemente apropiadas para proteger los datos personales y la Información del Cliente contra:

• daño;
• pérdida;
• destrucción;
• alteración no autorizada;
• divulgación indebida;
• acceso no autorizado;
• tratamiento no autorizado;
• extracción ilegítima;
• uso indebido; y
• compromiso de disponibilidad.

La intensidad de las medidas deberá considerar:

• la naturaleza de los datos;
• su sensibilidad;
• el volumen;
• la finalidad;
• el contexto;
• el riesgo;
• las consecuencias potenciales de una vulneración;
• la capacidad técnica disponible; y
• el desarrollo tecnológico.

VIGÉSIMA QUINTA. PROGRAMA DE SEGURIDAD

Sin revelar detalles cuya publicación pudiera incrementar el riesgo de seguridad, ELÍAS procurará mantener un programa de protección que contemple, conforme resulte aplicable a su arquitectura:

• inventario de activos y categorías de información;
• identificación de sistemas relevantes;
• gestión de accesos;
• segregación lógica entre organizaciones;
• autenticación;
• gestión de credenciales;
• mínimo privilegio;
• cifrado;
• protección de comunicaciones;
• monitoreo;
• registros de seguridad;
• respaldo;
• continuidad operativa;
• gestión de vulnerabilidades;
• actualizaciones;
• gestión de proveedores;
• respuesta a incidentes;
• capacitación;
• revisión de permisos;
• baja de accesos;
• eliminación de información;
• recuperación ante fallas; y
• revisiones periódicas del nivel de riesgo.

VIGÉSIMA SEXTA. CIFRADO

ELÍAS utilizará mecanismos criptográficos razonablemente apropiados para proteger información durante su transmisión y, cuando corresponda a los componentes utilizados, durante su almacenamiento.

La referencia a cifrado o controles avanzados de seguridad no deberá interpretarse como afirmación de contar con una certificación específica que no haya sido expresamente comunicada por ELÍAS.

ELÍAS podrá actualizar algoritmos, configuraciones y mecanismos conforme evolucione la tecnología y el nivel razonable de riesgo.

VIGÉSIMA SÉPTIMA. CREDENCIALES Y AUTENTICACIÓN

Las contraseñas de usuarios no deberán almacenarse deliberadamente en texto plano.

ELÍAS empleará mecanismos razonables para proteger credenciales de autenticación.

Cuando LA PLATAFORMA habilite autenticación reforzada o múltiples factores, EL CLIENTE será responsable de habilitar dichos mecanismos cuando su nivel de riesgo razonablemente lo aconseje.

VIGÉSIMA OCTAVA. SEGREGACIÓN ENTRE CLIENTES

ELÍAS mantendrá controles destinados a evitar que usuarios de una organización accedan indebidamente a información perteneciente a otra organización.

La segregación podrá realizarse mediante mecanismos lógicos, reglas de autorización, identificadores de organización, controles a nivel de aplicación, base de datos, infraestructura o cualquier arquitectura técnicamente adecuada.

VIGÉSIMA NOVENA. ROLES Y MÍNIMO PRIVILEGIO

ELÍAS procurará que los accesos se otorguen atendiendo a la función de cada usuario.

EL CLIENTE deberá utilizar razonablemente las funcionalidades de roles y permisos disponibles y evitar otorgar privilegios administrativos a personas que no los requieran.

TRIGÉSIMA. REGISTROS Y TRAZABILIDAD

ELÍAS podrá conservar registros técnicos y de seguridad relacionados con:

• inicios de sesión;
• intentos de acceso;
• cambios de permisos;
• acciones administrativas;
• creación o eliminación de usuarios;
• operaciones críticas;
• errores;
• eventos de seguridad;
• actividad necesaria para investigación de incidentes; y
• demás eventos razonablemente relevantes para seguridad o auditoría.

Los registros no deberán utilizarse para finalidades incompatibles con aquellas que justificaron su generación.

TRIGÉSIMA PRIMERA. DESARROLLO SEGURO

ELÍAS procurará incorporar criterios razonables de seguridad durante el ciclo de desarrollo de LA PLATAFORMA.

Cuando resulte técnicamente posible, se procurará:

• separar ambientes;
• limitar credenciales de producción;
• evitar incorporar secretos a repositorios públicos;
• revisar cambios relevantes;
• probar funcionalidades;
• controlar dependencias;
• restringir accesos privilegiados; y
• evitar el uso innecesario de Información real del Cliente en ambientes no productivos.

TRIGÉSIMA SEGUNDA. DATOS EN DESARROLLO Y PRUEBAS

La Información del Cliente no deberá utilizarse indiscriminadamente para actividades de desarrollo.

Cuando sea necesario reproducir un problema, se privilegiarán datos ficticios, disociados, minimizados o específicamente autorizados.

TRIGÉSIMA TERCERA. GESTIÓN DE VULNERABILIDADES

ELÍAS procurará mantener mecanismos razonables para identificar y corregir vulnerabilidades de seguridad de acuerdo con su severidad y exposición.

La priorización podrá considerar:

• posibilidad de explotación;
• impacto;
• sensibilidad de la información;
• disponibilidad de mitigaciones;
• criticidad del sistema; y
• nivel de exposición.

TRIGÉSIMA CUARTA. RESPALDOS Y CONTINUIDAD

ELÍAS mantendrá procedimientos razonables de respaldo y recuperación respecto de los componentes cuya pérdida pudiera afectar materialmente la continuidad del servicio.

Los respaldos que contengan Información del Cliente permanecerán sujetos a las obligaciones de confidencialidad y seguridad previstas en este Instrumento.

Los respaldos no constituyen bases destinadas a nuevas finalidades de tratamiento.

TRIGÉSIMA QUINTA. SEGURIDAD FÍSICA

Cuando ELÍAS utilice infraestructura administrada por proveedores especializados, podrá apoyarse en las medidas de seguridad física de dichos proveedores.

Cuando ELÍAS mantenga equipos bajo su control físico directo, aplicará medidas razonables destinadas a impedir accesos no autorizados.

TRIGÉSIMA SEXTA. RESPONSABILIDAD DEL CLIENTE EN SEGURIDAD

EL CLIENTE deberá:

• proteger sus credenciales;
• evitar compartir cuentas individuales;
• utilizar contraseñas adecuadas;
• mantener protegidos sus dispositivos;
• revocar accesos de personal que deje de estar autorizado;
• revisar sus permisos;
• informar inmediatamente accesos sospechosos;
• abstenerse de intentar eludir controles de seguridad;
• evitar compartir información confidencial fuera de canales autorizados;
• mantener actualizados los datos de recuperación disponibles; y
• adoptar medidas razonables de seguridad dentro de su propia organización.

ELÍAS no podrá proteger adecuadamente información cuando EL CLIENTE voluntariamente proporcione credenciales a terceros no autorizados o mantenga accesos que debieron revocarse.

TRIGÉSIMA SÉPTIMA. SUBENCARGADOS

ELÍAS podrá apoyarse en proveedores tecnológicos especializados cuando resulte razonablemente necesario para prestar el servicio.

Los servicios podrán comprender:

• infraestructura en nube;
• hosting;
• almacenamiento;
• bases de datos;
• autenticación;
• correo;
• procesamiento documental;
• monitoreo;
• observabilidad;
• ciberseguridad;
• respaldo;
• mensajería;
• inteligencia artificial; y
• otros componentes tecnológicos indispensables.

Cuando dichos proveedores procesen Información del Cliente por cuenta de ELÍAS, éste procurará establecer obligaciones contractuales apropiadas sobre:

• confidencialidad;
• seguridad;
• limitación de finalidad;
• acceso;
• retención;
• eliminación; y
• cooperación ante incidentes.

TRIGÉSIMA OCTAVA. GESTIÓN DE SUBENCARGADOS

ELÍAS mantendrá una relación razonablemente actualizada de las categorías de subencargados que tengan acceso material a Información del Cliente.

Cuando un cambio de proveedor represente un cambio material en la naturaleza del tratamiento, ELÍAS podrá informarlo mediante LA PLATAFORMA, correo electrónico, documentación contractual o la sección correspondiente de privacidad.

EL CLIENTE podrá plantear una objeción razonada cuando considere que un nuevo subencargado implica un riesgo material para su información, a fin de que LAS PARTES analicen de buena fe alternativas razonables cuando técnicamente existan.

TRIGÉSIMA NOVENA. TRATAMIENTO INTERNACIONAL

EL CLIENTE reconoce que determinadas infraestructuras tecnológicas pueden encontrarse ubicadas dentro o fuera de México.

Cuando Información del Cliente sea procesada internacionalmente por una Persona Encargada o Subencargada para ejecutar el servicio, ELÍAS procurará que exista un marco contractual de confidencialidad y seguridad compatible con las obligaciones asumidas en este Instrumento.

La ubicación extranjera de infraestructura no autoriza por sí misma al proveedor a utilizar la información para finalidades propias incompatibles.

CUADRAGÉSIMA. TRANSFERENCIAS A TERCEROS INDEPENDIENTES

Cuando ELÍAS actúe como Responsable, no realizará transferencias a terceros independientes para finalidades incompatibles con el presente Instrumento sin contar con el consentimiento o excepción jurídica que resulte aplicable.

Podrán efectuarse transferencias cuando resulten jurídicamente procedentes, incluyendo aquellas:

• previstas por una ley o tratado aplicable;
• necesarias para la ejecución de una relación jurídica;
• necesarias para el reconocimiento, ejercicio o defensa de un derecho;
• necesarias para la procuración o administración de justicia;
• requeridas por una autoridad competente;
• necesarias para salvaguardar un interés jurídicamente protegido; o
• expresamente consentidas por el Titular.

Las comunicaciones entre un Responsable y una Persona Encargada que trate datos por cuenta de éste serán tratadas conforme a su naturaleza jurídica y no serán artificialmente calificadas como transferencias independientes cuando no corresponda.

CUADRAGÉSIMA PRIMERA. REQUERIMIENTOS DE AUTORIDAD

ELÍAS no entregará voluntariamente Información del Cliente a una autoridad como consecuencia de una solicitud informal que carezca de obligatoriedad jurídica.

Ante un requerimiento obligatorio, ELÍAS procurará revisar razonablemente:

• la identidad de la autoridad;
• su competencia;
• la existencia del requerimiento;
• su alcance;
• la información solicitada;
• la obligatoriedad jurídica de la entrega; y
• la posibilidad de limitarla a información estrictamente necesaria.

Cuando la ley no lo prohíba, ELÍAS procurará informar a EL CLIENTE sobre requerimientos que impliquen acceso sustancial a su Información.

CUADRAGÉSIMA SEGUNDA. INCIDENTES DE SEGURIDAD

ELÍAS mantendrá procedimientos destinados a detectar, evaluar, contener, investigar, remediar y documentar Incidentes de Seguridad.

Ante un incidente confirmado se procurará:

• contener la afectación;
• preservar evidencia razonablemente relevante;
• identificar los sistemas involucrados;
• determinar, en la medida posible, las categorías de información afectadas;
• determinar el alcance;
• remediar la causa;
• restaurar la operación;
• valorar consecuencias;
• documentar acciones; y
• efectuar las comunicaciones legal o contractualmente procedentes.

CUADRAGÉSIMA TERCERA. NOTIFICACIÓN DE INCIDENTES AL CLIENTE

Cuando ELÍAS actúe como Persona Encargada y tenga conocimiento confirmado de una vulneración que comprometa materialmente Información del Cliente, deberá informar a EL CLIENTE sin dilación indebida.

Como objetivo operativo, y salvo impedimento objetivo derivado de la investigación, seguridad o falta inicial de información suficiente, ELÍAS procurará realizar una comunicación preliminar dentro de las veinticuatro horas siguientes a la confirmación razonable del incidente material.

La notificación inicial podrá ser incompleta y actualizarse conforme avance la investigación.

CUADRAGÉSIMA CUARTA. CONTENIDO DE LA NOTIFICACIÓN

En la medida en que se encuentre disponible, ELÍAS procurará comunicar:

• naturaleza del incidente;
• fecha aproximada;
• fecha de detección;
• sistemas involucrados;
• categorías de datos;
• posible alcance;
• medidas de contención;
• medidas correctivas;
• riesgos identificados; y
• recomendaciones razonables para EL CLIENTE.

CUADRAGÉSIMA QUINTA. VULNERACIONES CUANDO ELÍAS SEA RESPONSABLE

Cuando ELÍAS tenga carácter de Responsable respecto de los datos afectados, atenderá directamente las obligaciones legales de información a los Titulares cuando una vulneración produzca el nivel de afectación que legalmente active dicha obligación.

CUADRAGÉSIMA SEXTA. COOPERACIÓN ANTE INCIDENTES

Cuando EL CLIENTE sea Responsable de los datos afectados, ELÍAS proporcionará razonablemente la información técnica disponible para que EL CLIENTE determine las actuaciones legales que le correspondan.

ELÍAS no impedirá que EL CLIENTE cumpla las obligaciones que legalmente le correspondan como Responsable.

CUADRAGÉSIMA SÉPTIMA. GOBIERNO DE DATOS

ELÍAS procurará mantener procedimientos internos razonables para identificar:

• categorías de datos tratadas;
• sistemas relevantes;
• responsables internos;
• proveedores materiales;
• niveles de riesgo;
• ciclos generales de conservación;
• accesos; y
• medidas de seguridad.

Dichos procedimientos podrán documentarse mediante inventarios, matrices, registros internos, políticas, diagramas u otros mecanismos adecuados.

CUADRAGÉSIMA OCTAVA. ANÁLISIS DE RIESGO

ELÍAS procurará revisar periódicamente los riesgos asociados a tratamientos relevantes.

Cuando exista una nueva funcionalidad que implique un cambio sustancial en la naturaleza o riesgo del tratamiento, ELÍAS podrá realizar una evaluación interna de privacidad y seguridad antes de su implementación general.

El análisis deberá considerar razonablemente:

• volumen;
• sensibilidad;
• número de personas;
• tipo de tecnología;
• accesibilidad;
• consecuencias de una vulneración;
• nivel de automatización;
• terceros involucrados; y
• medidas de mitigación.

CUADRAGÉSIMA NOVENA. PRIVACIDAD POR DISEÑO Y POR DEFECTO

Al desarrollar nuevas funcionalidades que puedan implicar tratamientos significativos, ELÍAS procurará aplicar criterios de:

• minimización;
• limitación de acceso;
• configuración segura;
• separación de información;
• reducción de exposición;
• retención limitada;
• transparencia; y
• control del usuario.

QUINCUAGÉSIMA. PROPORCIONALIDAD Y MINIMIZACIÓN

ELÍAS no pretende que EL CLIENTE incorpore la totalidad de la información disponible sobre una persona simplemente porque LA PLATAFORMA permita almacenar documentos.

EL CLIENTE deberá valorar qué información resulta pertinente para el asunto administrado.

ELÍAS podrá desarrollar herramientas orientadas a facilitar la minimización, clasificación, eliminación o administración de información, sin que ello sustituya la responsabilidad jurídica de EL CLIENTE sobre los datos que decida utilizar.

QUINCUAGÉSIMA PRIMERA. EXACTITUD Y CALIDAD

Respecto de datos que ELÍAS recabe directamente, procurará mantener mecanismos razonables para permitir su actualización.

Respecto de Información del Cliente, ELÍAS no garantiza la exactitud jurídica o material de documentos cargados por EL CLIENTE o recuperados de fuentes administradas por terceros.

Cuando EL CLIENTE corrija información, ELÍAS procesará la versión disponible conforme a las funcionalidades contratadas.

QUINCUAGÉSIMA SEGUNDA. CONSERVACIÓN

Los datos respecto de los cuales ELÍAS tenga carácter de Responsable serán conservados únicamente durante el tiempo razonablemente necesario para:

• prestar el servicio;
• mantener la relación contractual;
• cumplir obligaciones fiscales, mercantiles, administrativas o legales;
• resolver controversias;
• ejercer o defender derechos;
• atender responsabilidades derivadas del tratamiento; y
• cumplir periodos de bloqueo legalmente exigibles.

Concluidas las finalidades, la información será sometida al proceso de bloqueo, supresión, disociación o conservación excepcional que jurídicamente corresponda.

QUINCUAGÉSIMA TERCERA. CONSERVACIÓN DE INFORMACIÓN DEL CLIENTE

Mientras la cuenta se encuentre activa, EL CLIENTE determinará, sujeto a las funcionalidades técnicamente disponibles, la información que desea mantener en ELÍAS.

Terminada la relación, ELÍAS aplicará el procedimiento de exportación, bloqueo y eliminación previsto en las condiciones contractuales vigentes.

No se conservará indefinidamente Información del Cliente con la finalidad de explotarla comercialmente después de terminar la relación.

QUINCUAGÉSIMA CUARTA. EXPORTACIÓN

Antes de la eliminación definitiva, ELÍAS procurará proporcionar a EL CLIENTE una oportunidad razonable de exportar Información del Cliente mediante los formatos que se encuentren técnicamente disponibles.

La obligación de exportación no comprenderá el desarrollo gratuito de una herramienta especial que no forme parte de LA PLATAFORMA, salvo acuerdo específico.

QUINCUAGÉSIMA QUINTA. ELIMINACIÓN

Una vez concluido el periodo de conservación aplicable, la información deberá eliminarse o hacerse inaccesible para tratamiento ordinario, salvo que:

• exista obligación legal de conservación;
• exista controversia pendiente;
• resulte necesaria para ejercer o defender derechos;
• exista instrucción válida de EL CLIENTE;
• se encuentre sujeta a bloqueo; o
• permanezca temporalmente dentro de un ciclo técnico de respaldo.

QUINCUAGÉSIMA SEXTA. RESPALDOS DESPUÉS DE ELIMINACIÓN

La eliminación de información en sistemas activos puede no provocar inmediatamente su desaparición de todos los respaldos históricos.

Cuando una copia permanezca temporalmente en respaldos:

• continuará sujeta a confidencialidad;
• no deberá utilizarse para finalidades ordinarias;
• únicamente podrá restaurarse cuando exista una necesidad legítima de recuperación; y
• será sustituida o eliminada conforme al ciclo técnico de respaldo aplicable.

QUINCUAGÉSIMA SÉPTIMA. BLOQUEO

Cuando corresponda conservar información únicamente para determinar o atender responsabilidades derivadas de su tratamiento, ELÍAS podrá mantenerla bloqueada, restringiendo su utilización ordinaria durante el periodo jurídicamente aplicable.

QUINCUAGÉSIMA OCTAVA. DATOS DISOCIADOS Y ESTADÍSTICAS

ELÍAS podrá generar información estadística o técnica disociada siempre que el resultado no permita razonablemente identificar a una persona física ni reconstruir Información Confidencial de EL CLIENTE.

La información genuinamente disociada podrá utilizarse para:

• medir rendimiento;
• capacidad;
• estabilidad;
• errores;
• adopción de funcionalidades;
• uso agregado; y
• planificación técnica.

La disociación no deberá utilizarse como pretexto para explotar información cuando la reidentificación siga siendo razonablemente posible.

QUINCUAGÉSIMA NOVENA. COOKIES Y TECNOLOGÍAS SEMEJANTES

ELÍAS podrá utilizar cookies, almacenamiento local, identificadores de sesión y tecnologías semejantes necesarias para:

• autenticación;
• seguridad;
• preferencias;
• continuidad de sesión;
• funcionamiento;
• prevención de abuso; y
• diagnóstico técnico.

Las tecnologías estrictamente necesarias podrán ser indispensables para utilizar determinadas funciones.

Cuando se utilicen tecnologías no esenciales para analítica o finalidades adicionales, se proporcionarán mecanismos de información, configuración o consentimiento cuando corresponda.

SEXAGÉSIMA. LIMITACIÓN DEL USO Y DIVULGACIÓN

Cuando ELÍAS actúe como Responsable, los Titulares podrán solicitar razonablemente la limitación del uso o divulgación de sus datos para finalidades que no sean indispensables para la relación jurídica.

Las solicitudes podrán enviarse al correo santiago@legaius.com, indicando como asunto “LIMITACIÓN DE TRATAMIENTO DE DATOS – ELÍAS”.

La solicitud deberá contener información suficiente para identificar al Titular y el tratamiento respecto del cual solicita la limitación.

SEXAGÉSIMA PRIMERA. REVOCACIÓN DEL CONSENTIMIENTO

Cuando un tratamiento se encuentre jurídicamente sustentado en consentimiento, el Titular podrá solicitar su revocación.

La solicitud podrá enviarse a santiago@legaius.com con el asunto “REVOCACIÓN DE CONSENTIMIENTO – ELÍAS”.

La revocación:

• no tendrá efectos retroactivos;
• no invalidará tratamientos realizados lícitamente antes de su recepción;
• no obligará a eliminar datos que deban conservarse por disposición legal; y
• no impedirá tratamientos sustentados en una base jurídica distinta del consentimiento cuando resulte aplicable.

SEXAGÉSIMA SEGUNDA. DERECHOS ARCO

Toda persona respecto de la cual ELÍAS tenga carácter de Responsable podrá ejercer los derechos de:

• Acceso, para conocer los datos que ELÍAS mantiene y las condiciones generales de su tratamiento;
• Rectificación, para solicitar la corrección de información inexacta, incorrecta o desactualizada;
• Cancelación, para solicitar que los datos dejen de permanecer en posesión del Responsable cuando jurídicamente corresponda; y
• Oposición, para solicitar el cese de determinados tratamientos cuando exista causa legítima y resulte procedente.

SEXAGÉSIMA TERCERA. DEPARTAMENTO DE DATOS PERSONALES

Para efectos de administración de solicitudes de privacidad, ELÍAS designa como función interna responsable de su tramitación al Departamento de Privacidad y Protección de Datos Personales de ELÍAS.

El canal electrónico inicial de contacto será:

santiago@legaius.com

El cambio posterior del correo de contacto por un correo institucional específico de privacidad no afectará la validez del presente Instrumento, siempre que el nuevo canal sea informado de manera accesible.

SEXAGÉSIMA CUARTA. REQUISITOS DE UNA SOLICITUD ARCO

La solicitud deberá contener al menos:

• nombre del Titular;
• medio para recibir notificaciones;
• documentos o mecanismos que permitan acreditar razonablemente su identidad;
• cuando actúe un representante, acreditación de la representación;
• descripción clara de los datos involucrados, cuando corresponda;
• derecho que pretende ejercer;
• cualquier elemento que facilite localizar la información; y
• tratándose de rectificación, la modificación solicitada y la documentación que razonablemente la sustente.

SEXAGÉSIMA QUINTA. PLAZOS ARCO

ELÍAS comunicará al Titular la determinación adoptada dentro del plazo legal aplicable contado desde la recepción de una solicitud debidamente integrada.

Cuando resulte procedente, hará efectiva la determinación dentro del plazo legal posterior correspondiente.

Los plazos podrán ampliarse cuando la Normativa Aplicable lo permita y existan circunstancias que lo justifiquen.

SEXAGÉSIMA SEXTA. GRATUIDAD

El ejercicio de derechos ARCO será gratuito, sin perjuicio de los costos de reproducción, envío o copias que puedan legalmente recuperarse cuando resulten aplicables.

SEXAGÉSIMA SÉPTIMA. IMPROCEDENCIA O LIMITACIÓN DE DERECHOS ARCO

ELÍAS podrá negar total o parcialmente una solicitud cuando concurra una causa jurídicamente válida, incluyendo cuando:

• no se acredite la identidad;
• no se acredite representación;
• ELÍAS no tenga posesión de los datos en calidad de Responsable;
• se lesionen derechos de terceros;
• exista impedimento legal;
• exista resolución de autoridad competente;
• el tratamiento sea indispensable para cumplir una obligación legal; o
• concurra cualquier otra causa permitida por la Normativa Aplicable.

Toda negativa deberá encontrarse razonablemente fundada en la causa aplicable.

SEXAGÉSIMA OCTAVA. SOLICITUDES RELACIONADAS CON INFORMACIÓN DEL CLIENTE

Cuando ELÍAS reciba directamente una solicitud de un Titular relacionada con información respecto de la cual ELÍAS actúe únicamente como Persona Encargada, ELÍAS podrá:

• informar al solicitante que no determina directamente las finalidades del tratamiento;
• identificar o canalizar la solicitud a EL CLIENTE Responsable, cuando resulte posible y jurídicamente adecuado;
• informar a EL CLIENTE acerca de la solicitud;
• preservar la información mientras se determina la actuación correspondiente; y
• cooperar técnicamente con EL CLIENTE.

ELÍAS no eliminará unilateralmente una prueba, documento o expediente por una solicitud dirigida directamente a él cuando la decisión jurídica corresponda al Responsable y exista posibilidad de afectar derechos de terceros o deberes de conservación.

SEXAGÉSIMA NOVENA. ASISTENCIA AL CLIENTE EN DERECHOS DE TITULARES

Cuando EL CLIENTE reciba una solicitud válida relacionada con datos almacenados en ELÍAS, EL PRESTADOR proporcionará asistencia técnica razonable para localizar, exportar, rectificar, restringir o eliminar información cuando las funcionalidades disponibles lo permitan.

La decisión respecto de la procedencia jurídica corresponderá a quien tenga carácter de Responsable.

SEPTUAGÉSIMA. CONSENTIMIENTO

Cuando ELÍAS actúe como Responsable, recabará el consentimiento en aquellos supuestos en que jurídicamente resulte necesario.

Cuando pueda operar consentimiento tácito, la puesta a disposición del aviso correspondiente se realizará conforme a la Normativa Aplicable.

Cuando se requiera consentimiento expreso, ELÍAS utilizará un mecanismo que permita demostrar una manifestación inequívoca.

Cuando se requiera consentimiento expreso y por escrito para Datos Personales Sensibles, utilizará firma autógrafa, firma electrónica u otro mecanismo de autenticación jurídicamente permitido.

SEPTUAGÉSIMA PRIMERA. DATOS PATRIMONIALES Y FINANCIEROS

Cuando ELÍAS recabe directamente datos patrimoniales o financieros sujetos a consentimiento expreso, deberá implementar el mecanismo de consentimiento correspondiente, salvo que exista una excepción legal aplicable.

La mera presencia de información patrimonial o financiera dentro de un expediente cargado por EL CLIENTE no convierte automáticamente a ELÍAS en quien deba obtener directamente el consentimiento del Titular cuando ELÍAS opere como Persona Encargada.

SEPTUAGÉSIMA SEGUNDA. RESPONSABILIDAD DEL CLIENTE SOBRE INFORMACIÓN DE TERCEROS

EL CLIENTE será responsable de:

• determinar una base jurídica válida;
• proporcionar avisos cuando correspondan;
• obtener consentimientos legalmente exigibles;
• documentar excepciones;
• respetar derechos de Titulares;
• mantener la información actualizada cuando resulte necesario;
• aplicar criterios de minimización;
• respetar restricciones derivadas de secreto profesional;
• determinar plazos de conservación; y
• evitar cargas de información manifiestamente innecesaria o ilícita.

SEPTUAGÉSIMA TERCERA. INSTRUCCIONES DEL CLIENTE

Las instrucciones podrán derivar de:

• configuraciones;
• acciones realizadas mediante LA PLATAFORMA;
• órdenes del Administrador;
• solicitudes de soporte;
• integraciones habilitadas;
• instrucciones contractuales; o
• comunicaciones expresamente autorizadas.

ELÍAS podrá solicitar confirmación cuando una instrucción sea ambigua o implique un riesgo extraordinario.

SEPTUAGÉSIMA CUARTA. INSTRUCCIONES ILÍCITAS O INSEGURAS

ELÍAS podrá rechazar, suspender o solicitar aclaración respecto de una instrucción cuando existan elementos objetivos para considerar que:

• es manifiestamente contraria a derecho;
• pretende obtener acceso no autorizado;
• compromete información de otro Cliente;
• busca eludir mecanismos de seguridad;
• pretende utilizar LA PLATAFORMA para actividades ilícitas;
• puede comprometer gravemente la infraestructura; o
• excede materialmente el alcance contratado.

SEPTUAGÉSIMA QUINTA. NO VENTA DE DATOS

ELÍAS no vende, renta ni comercializa los expedientes almacenados por EL CLIENTE.

Tampoco vende bases de datos construidas a partir del contenido confidencial de dichos expedientes.

SEPTUAGÉSIMA SEXTA. NO PUBLICIDAD BASADA EN EXPEDIENTES

ELÍAS no utilizará el contenido de demandas, contratos, escritos, resoluciones o evidencias del Cliente para dirigir publicidad a las personas mencionadas en esos documentos.

SEPTUAGÉSIMA SÉPTIMA. PORTABILIDAD Y TRANSICIÓN

Sin perjuicio de los Derechos ARCO legalmente reconocidos, ELÍAS procurará facilitar una transición ordenada de Información del Cliente cuando termine el servicio.

La disponibilidad y formato de exportación dependerán de las funcionalidades contratadas y de la estructura técnica de los datos.

SEPTUAGÉSIMA OCTAVA. AUDITORÍA Y EVIDENCIA DE CUMPLIMIENTO

ELÍAS procurará conservar evidencia razonable de su programa de privacidad y seguridad.

Cuando un Cliente empresarial solicite información para realizar una evaluación de proveedor, ELÍAS podrá proporcionar, sujeto a confidencialidad:

• descripciones de controles;
• políticas relevantes;
• cuestionarios de seguridad;
• información sobre categorías de subencargados;
• resultados o resúmenes de evaluaciones disponibles; y
• demás evidencia que razonablemente pueda compartirse sin comprometer la seguridad del sistema.

SEPTUAGÉSIMA NOVENA. LIMITACIONES A AUDITORÍAS

Ninguna auditoría de EL CLIENTE deberá:

• permitir acceso a información de otros Clientes;
• comprometer secretos técnicos;
• proporcionar credenciales operativas;
• generar una vulnerabilidad;
• interferir irrazonablemente con la operación;
• permitir pruebas destructivas no autorizadas; o
• obligar a divulgar información cuya publicación aumente el riesgo de seguridad.

Cuando resulte necesario, las revisiones podrán realizarse mediante información documental, certificaciones existentes, evidencias controladas o terceros especializados.

OCTOGÉSIMA. CERTIFICACIONES Y ASEVERACIONES DE SEGURIDAD

ELÍAS no deberá afirmar contar con certificaciones, acreditaciones o estándares formalmente certificados que no haya obtenido.

Las expresiones relativas a seguridad avanzada, arquitectura segura, controles de nivel empresarial o protección reforzada deberán entenderse en referencia a las medidas efectivamente implementadas y no como equivalentes automáticos a una certificación específica.

OCTOGÉSIMA PRIMERA. PROVEEDORES Y DUE DILIGENCE

Antes de incorporar un proveedor que pueda tener acceso material a Información del Cliente, ELÍAS procurará evaluar razonablemente:

• naturaleza del servicio;
• información involucrada;
• medidas de seguridad;
• compromisos de confidencialidad;
• condiciones de utilización de datos;
• ubicación de tratamiento;
• mecanismos de eliminación; y
• riesgo general del proveedor.

OCTOGÉSIMA SEGUNDA. CAMBIO DE FINALIDADES

Cuando ELÍAS, en su carácter de Responsable, pretenda utilizar datos para una finalidad materialmente distinta e incompatible con aquella informada originalmente y no exista otra base jurídica suficiente, deberá obtener el consentimiento que resulte legalmente necesario.

OCTOGÉSIMA TERCERA. MODIFICACIONES AL AVISO

ELÍAS podrá actualizar el presente Instrumento cuando exista:

• reforma normativa;
• cambio de autoridad;
• cambio sustancial de tratamiento;
• nueva funcionalidad;
• cambio de proveedores materiales;
• modificación relevante de medidas de seguridad;
• cambio en los canales ARCO;
• cambio corporativo; o
• necesidad de aclarar las prácticas de tratamiento.

La versión vigente se pondrá a disposición dentro de LA PLATAFORMA, sitio web, onboarding o sección de privacidad correspondiente.

Cuando una modificación implique una finalidad que legalmente requiera nuevo consentimiento, la mera publicación de una nueva versión no sustituirá dicho consentimiento.

OCTOGÉSIMA CUARTA. EVIDENCIA DE PUESTA A DISPOSICIÓN

ELÍAS podrá conservar evidencia electrónica destinada a demostrar la puesta a disposición y, cuando corresponda, la aceptación del Instrumento.

Dicha evidencia podrá incluir:

• identificador del usuario;
• organización;
• fecha;
• hora;
• versión aceptada;
• dirección IP;
• evento de aceptación;
• identificador de sesión;
• registro de auditoría; y
• huella o identificador de la versión del documento.

OCTOGÉSIMA QUINTA. ACEPTACIÓN ELECTRÓNICA

Cuando EL CLIENTE acepte el presente Instrumento mediante una casilla electrónica, botón, firma, mensaje de datos o mecanismo equivalente, dicha aceptación podrá conservarse como evidencia contractual.

Las casillas destinadas a obtener consentimiento expreso no deberán estar preseleccionadas cuando la naturaleza del consentimiento requiera una manifestación afirmativa.

OCTOGÉSIMA SEXTA. AVISO SIMPLIFICADO

Cuando ELÍAS obtenga datos mediante medios electrónicos y la Normativa Aplicable exija proporcionar inicialmente un aviso simplificado, ELÍAS pondrá dicho aviso a disposición del Titular y señalará el medio para consultar la presente versión integral.

El aviso simplificado no sustituirá la disponibilidad del presente Instrumento.

OCTOGÉSIMA SÉPTIMA. INFORMACIÓN OBTENIDA INDIRECTAMENTE

Cuando ELÍAS actúe como Responsable respecto de información obtenida indirectamente, atenderá las obligaciones de información que correspondan de acuerdo con la Normativa Aplicable.

Cuando proporcionar individualmente un aviso resulte jurídicamente imposible o exija esfuerzos desproporcionados, podrán aplicarse las medidas compensatorias legalmente permitidas.

Lo anterior no alterará la distinción aplicable cuando ELÍAS actúe exclusivamente como Persona Encargada respecto de datos obtenidos por EL CLIENTE.

OCTOGÉSIMA OCTAVA. COOPERACIÓN Y RESPONSABILIDAD DEMOSTRABLE

ELÍAS procurará que el cumplimiento del presente Instrumento no se limite a su publicación.

Para ello podrá mantener:

• políticas internas;
• procedimientos de incidentes;
• protocolos de altas y bajas;
• inventarios;
• registros de proveedores;
• evaluaciones de riesgo;
• mecanismos de atención ARCO;
• programas de capacitación;
• controles de acceso;
• matrices de permisos;
• procedimientos de conservación; y
• evidencia documental de cumplimiento.

OCTOGÉSIMA NOVENA. CAPACITACIÓN

El personal con acceso relevante a sistemas o información deberá recibir capacitación periódica proporcional a sus funciones.

La capacitación podrá comprender:

• privacidad;
• confidencialidad;
• ingeniería social;
• phishing;
• credenciales;
• tratamiento de expedientes;
• Incidentes de Seguridad;
• secreto profesional;
• uso responsable de inteligencia artificial; y
• gestión de accesos.

NONAGÉSIMA. ALTAS, CAMBIOS Y BAJAS DE ACCESO INTERNO

ELÍAS procurará mantener un procedimiento para:

• autorizar accesos internos;
• documentar privilegios especiales;
• modificar permisos cuando cambien las funciones; y
• revocar accesos cuando una persona deje de requerirlos.

NONAGÉSIMA PRIMERA. RESPUESTA A SOLICITUDES DE CLIENTES EMPRESARIALES

Cuando EL CLIENTE se encuentre sujeto a políticas corporativas especiales, ELÍAS podrá negociar requisitos adicionales mediante un anexo específico.

El presente Instrumento funcionará como estándar mínimo contractual en materia de tratamiento y confidencialidad, sin impedir obligaciones superiores expresamente convenidas.

NONAGÉSIMA SEGUNDA. OPERACIONES CORPORATIVAS

En caso de fusión, adquisición, reorganización, transformación, transmisión de activos o cualquier operación corporativa que pudiera involucrar Información del Cliente, ELÍAS procurará que el receptor que legítimamente deba continuar prestando el servicio asuma obligaciones de privacidad y confidencialidad compatibles con este Instrumento.

Cuando la operación implique una transferencia jurídicamente sujeta a consentimiento u obligaciones adicionales, se atenderá la Normativa Aplicable.

NONAGÉSIMA TERCERA. TERMINACIÓN DE LA RELACIÓN

La terminación del servicio no extinguirá:

• la confidencialidad;
• las obligaciones de seguridad mientras se conserve información;
• los deberes relativos a bloqueo;
• las obligaciones derivadas de incidentes anteriores;
• los deberes legales de cooperación; ni
• las restricciones sobre utilización de Información del Cliente.

NONAGÉSIMA CUARTA. SUPERVIVENCIA DE LA CONFIDENCIALIDAD

La obligación de no revelar Información Confidencial subsistirá después de la terminación durante todo el tiempo en que la información mantenga legítimamente dicha naturaleza, sin perjuicio de las excepciones establecidas por ley.

NONAGÉSIMA QUINTA. EXCEPCIONES A LA CONFIDENCIALIDAD

No se considerará incumplimiento revelar información cuando quien la revele pueda demostrar que:

• era legítimamente pública sin infracción al presente Instrumento;
• fue recibida lícitamente de un tercero sin deber de confidencialidad;
• fue desarrollada independientemente sin utilizar Información Confidencial; o
• existe una obligación jurídica válida de revelarla.

La carga de justificar la excepción corresponderá a quien pretenda invocarla.

NONAGÉSIMA SEXTA. RESPONSABILIDAD FRENTE A TERCEROS

La utilización de ELÍAS no libera a EL CLIENTE de sus propios deberes profesionales o legales frente a sus clientes y terceros.

De manera recíproca, la existencia de instrucciones de EL CLIENTE no libera a ELÍAS de las obligaciones de seguridad, confidencialidad o cumplimiento que le correspondan directamente.

NONAGÉSIMA SÉPTIMA. PRELACIÓN EN MATERIA DE DATOS

En caso de contradicción entre el presente Instrumento y una cláusula contractual general en materia de tratamiento de datos, prevalecerá la disposición que específicamente regule la cuestión y otorgue mayor certeza sobre las funciones de Responsable, Persona Encargada, seguridad y confidencialidad, salvo pacto escrito posterior.

NONAGÉSIMA OCTAVA. DIVISIBILIDAD

Si una disposición del presente Instrumento resultara inválida o inaplicable, las restantes conservarán su validez en la mayor medida jurídicamente posible.

LAS PARTES procurarán sustituir la disposición afectada por otra válida que preserve en la mayor medida posible su finalidad de protección.

NONAGÉSIMA NOVENA. NO RENUNCIA

La falta de ejercicio inmediato de una facultad de privacidad, confidencialidad o seguridad no constituirá renuncia permanente a su ejercicio.

Los derechos irrenunciables de los Titulares permanecerán protegidos en los términos de la Normativa Aplicable.

CENTÉSIMA. LEGISLACIÓN APLICABLE

El tratamiento de datos personales sometido al presente Instrumento se regirá primordialmente por la legislación federal mexicana aplicable en materia de protección de datos personales en posesión de particulares, su regulación secundaria aplicable y demás disposiciones pertinentes.

Las cuestiones estrictamente contractuales se regirán adicionalmente por la legislación mexicana que resulte aplicable.

CENTÉSIMA PRIMERA. AUTORIDAD EN MATERIA DE PROTECCIÓN DE DATOS

Los Titulares conservarán el derecho de acudir ante la autoridad federal competente en materia de protección de datos personales cuando consideren vulnerados los derechos que la legislación les reconoce.

La utilización de mecanismos internos de ELÍAS no pretende restringir los procedimientos administrativos o judiciales que no puedan jurídicamente renunciarse.

CENTÉSIMA SEGUNDA. JURISDICCIÓN CONTRACTUAL

Para controversias estrictamente contractuales entre ELÍAS y EL CLIENTE que no correspondan a la competencia irrenunciable de una autoridad administrativa o jurisdiccional especializada, LAS PARTES podrán sujetarse a la jurisdicción pactada en el contrato principal.

Ninguna cláusula contractual deberá interpretarse como renuncia del Titular a los derechos de protección de datos que legalmente le correspondan.

CENTÉSIMA TERCERA. CONTACTO

Cualquier duda, solicitud o comunicación en materia de privacidad podrá dirigirse inicialmente a:

CENTÉSIMA CUARTA. DECLARACIÓN DEL CLIENTE EN EL ONBOARDING

Mediante la aceptación electrónica del presente Instrumento, la persona que crea o administra la cuenta en representación de EL CLIENTE declara:

• Que tuvo oportunidad de consultar el presente Instrumento.
• Que cuenta con facultades suficientes para aceptar las disposiciones contractuales que correspondan en representación de EL CLIENTE.
• Que entiende la distinción entre ELÍAS como Responsable de determinados datos administrativos y ELÍAS como Persona Encargada respecto de Información del Cliente.
• Que EL CLIENTE es responsable de determinar la licitud de la información que incorpore.
• Que reconoce que los expedientes pueden contener Datos Personales Sensibles.
• Que instruye a ELÍAS para procesar Información del Cliente exclusivamente en la medida necesaria para proporcionar las funcionalidades contratadas.
• Que conoce las reglas de utilización de inteligencia artificial previstas en este Instrumento.
• Que conoce la prohibición de utilización de Información Confidencial para entrenamiento general no autorizado.
• Que se obliga a administrar correctamente los usuarios y permisos de su organización.
• Que se obliga a informar a ELÍAS de cualquier acceso o incidente sospechoso del que tenga conocimiento.

CENTÉSIMA QUINTA. CONSENTIMIENTOS QUE REQUIERAN MANIFESTACIÓN SEPARADA

La aceptación general del presente Instrumento no deberá utilizarse para ocultar o presumir consentimientos que por ley deban ser específicos, expresos o separados.

Cuando corresponda obtener consentimiento expreso para:

• tratamiento de datos patrimoniales;
• tratamiento de datos financieros;
• tratamiento de Datos Personales Sensibles;
• transferencias que lo requieran;
• finalidades secundarias; o
• cualquier otro tratamiento sometido legalmente a un estándar especial,

ELÍAS implementará una manifestación separada o inequívoca cuando le corresponda directamente obtener dicho consentimiento.

CENTÉSIMA SEXTA. INTERPRETACIÓN PROTECTORA

Ante una ambigüedad razonable respecto del alcance de una autorización de tratamiento, ésta no deberá interpretarse de manera que permita a ELÍAS una utilización sustancialmente más amplia de Información Confidencial que aquella necesaria para prestar los servicios contratados.

CENTÉSIMA SÉPTIMA. COMPROMISO DE ACTUALIZACIÓN

ELÍAS reconoce que la privacidad, ciberseguridad, inteligencia artificial y tratamiento de información jurídica constituyen materias sujetas a evolución tecnológica y normativa.

Por ello, ELÍAS procurará revisar periódicamente este Instrumento, sus medidas de seguridad, contratos con proveedores, procesos de atención de derechos y procedimientos internos, realizando las adecuaciones necesarias para conservar un nivel razonable de cumplimiento.

CENTÉSIMA OCTAVA. INTEGRIDAD DEL RÉGIMEN DE PRIVACIDAD

El cumplimiento de ELÍAS en materia de privacidad no se considerará limitado al presente Instrumento.

Deberá complementarse operativamente, según corresponda, con:

• políticas internas de seguridad;
• procedimientos de respuesta a incidentes;
• procedimientos de atención de Derechos ARCO;
• inventarios de información;
• matrices de acceso;
• gestión de proveedores;
• procedimientos de conservación y eliminación;
• controles de desarrollo seguro;
• registros de capacitación;
• gestión de riesgos;
• evidencia de aceptación de avisos;
• registro de versiones;
• procedimientos de alta y baja de usuarios; y
• demás medidas razonablemente necesarias para implementar efectivamente las obligaciones aquí asumidas.

CENTÉSIMA NOVENA. VIGENCIA

La presente versión entra en vigor a partir del 11 de agosto de 2026 y permanecerá vigente hasta que sea sustituida por una versión posterior debidamente puesta a disposición conforme a la Normativa Aplicable.

CENTÉSIMA DÉCIMA. ACEPTACIÓN Y CONSTANCIA

Para los Titulares, el presente Instrumento surtirá los efectos jurídicos propios de un Aviso de Privacidad a partir de su debida puesta a disposición.

Para EL CLIENTE, las estipulaciones contractuales adicionales surtirán efectos a partir de su aceptación por cualquier medio jurídicamente válido.

La aceptación electrónica podrá conservarse conjuntamente con el identificador del usuario, fecha, hora y versión del Instrumento como evidencia de su otorgamiento.