Contrato de encargado del tratamiento (DPA) de Cítalo

Este anexo forma parte de los Términos del servicio de Cítalo y regula el tratamiento que ITECHDEV MX S.A. de C.V. («iTech» o «el Encargado»), titular del producto Cítalo, realiza, por cuenta del cliente («el Responsable»), de los datos personales contenidos en los documentos, conversaciones y demás contenido que el Responsable sube o conecta al servicio («los Datos»).

1. Objeto y duración

El Encargado tratará los Datos únicamente para prestar el servicio Cítalo (indexar documentos, recuperar fragmentos, generar y entregar respuestas, medir uso y calidad, respaldar y dar soporte) conforme a las instrucciones del Responsable expresadas en la configuración del servicio y en este anexo. El tratamiento dura mientras la cuenta esté activa y hasta que concluya el borrado descrito en la cláusula 9.

2. Naturaleza de los datos

El Responsable decide qué documentos sube. Pueden contener datos de identificación, contacto, laborales, patrimoniales o financieros y, si el Responsable lo decide y cuenta con el consentimiento correspondiente, datos sensibles (por ejemplo, de salud en una clínica). El Responsable declara que cuenta con la base legal para tratar esos datos y para encargar su tratamiento a iTech.

3. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los Datos solo conforme a las instrucciones del Responsable. Si una instrucción viola la ley, lo informará antes de ejecutarla.
2. No usar los Datos para fines propios, ni para entrenar modelos de inteligencia artificial, ni cederlos a terceros salvo los subencargados autorizados.
3. Guardar confidencialidad y exigirla a su personal, que accede a los Datos solo cuando el soporte lo requiere y con registro en bitácora.
4. Implementar las medidas de seguridad descritas en /seguridad: aislamiento por cuenta, cifrado en tránsito, control de acceso por llaves con alcance y caducidad, respaldos cifrados con restauración probada, bitácora de auditoría y redactor de datos personales opcional.
5. Asistir al Responsable en la atención de derechos ARCO de sus titulares: el servicio permite buscar, exportar, rectificar y borrar documentos y conversaciones; iTech atenderá solicitudes adicionales en un plazo de 10 días hábiles.
6. Notificar vulneraciones de seguridad que afecten a los Datos al Responsable dentro de las 72 horas siguientes a tenerlas confirmadas, con la información disponible: naturaleza, datos afectados, medidas tomadas y recomendaciones.
7. Suprimir o devolver los Datos al terminar el servicio (cláusula 9).
8. Permitir la verificación de estas obligaciones mediante la documentación publicada, un cuestionario de seguridad contestado y, para clientes del plan Empresa, una auditoría razonable previo aviso de 15 días hábiles, a costa del Responsable.

4. Subencargados

El Responsable autoriza de forma general a los subencargados listados en /seguridad#subencargados. iTech notificará cualquier alta o cambio con 30 días naturales de anticipación por correo electrónico; el Responsable podrá oponerse por causa justificada y, de no llegar a un acuerdo, terminar el servicio sin penalización. iTech responde ante el Responsable por el cumplimiento de sus subencargados.

5. Transferencias internacionales

Los servidores del servicio se encuentran hoy en centros de datos de IONOS en Reino Unido y Estados Unidos, y la generación de respuestas se realiza con proveedores de modelos en Estados Unidos configurados con retención cero (no almacenan ni entrenan con los Datos). El Responsable reconoce y autoriza estas transferencias, necesarias para la prestación del servicio. Cuando iTech ofrezca residencia de datos en México, el Responsable podrá optar por ella en los términos del plan Empresa mediante adenda a este anexo.

6. Inteligencia artificial

Las respuestas se generan a partir de fragmentos de los documentos del Responsable y de la pregunta del usuario final. iTech declara los modelos y proveedores usados en /seguridad; el Responsable puede restringir el modelo, aportar su propia llave (plan Empresa) o desactivar la generación para determinadas preguntas mediante respuestas aprobadas, que se entregan sin intervención del modelo. Ninguna salida del modelo se usa para reentrenarlo.

7. Obligaciones del Responsable

El Responsable se obliga a: contar con la base legal y los avisos de privacidad hacia sus titulares (incluido un aviso simplificado en el widget o canal donde publique el asistente; iTech proporciona una plantilla en la guía LFPDPPP); no subir datos cuyo tratamiento no esté autorizado; configurar el redactor de datos personales cuando la naturaleza de los documentos lo amerite; administrar los accesos de sus usuarios; y atender las solicitudes de sus titulares.

8. Conservación

Los Datos se conservan mientras la cuenta esté activa. Los respaldos se conservan 30 días y se sobrescriben en ciclo. Las bitácoras de auditoría se conservan 12 meses.

9. Terminación y borrado

Al terminar el servicio, el Responsable dispone de 30 días para exportar sus Datos desde la aplicación. Transcurrido ese plazo, o antes si lo solicita, iTech ejecuta el borrado total de la cuenta (documentos, índice, conversaciones, llaves y métricas) y entrega un reporte de borrado con la verificación técnica. Los respaldos que contengan los Datos expiran en el ciclo de 30 días siguiente. iTech conservará únicamente la información necesaria para cumplir obligaciones fiscales o legales.

10. Responsabilidad

Cada parte responde por los daños que cause por incumplir la Ley o este anexo. La responsabilidad de iTech frente al Responsable se limita a los montos pagados por el servicio en los 12 meses anteriores al hecho, salvo dolo o culpa grave, en los términos de los Términos del servicio.

11. Ley aplicable y jurisdicción

Este anexo se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025) y demás leyes de los Estados Unidos Mexicanos. Las partes se someten a los tribunales competentes de Monterrey, Nuevo León, renunciando a cualquier otro fuero.

12. Firma

Para clientes de los planes Inicio y Negocio, este anexo se acepta al contratar el servicio y queda registrado con fecha, versión y cuenta. Para el plan Empresa, iTech firma una versión a la medida con las adendas que el Responsable requiera (residencia, retención, auditoría, cláusulas sectoriales).

Historial de versiones: v0.9 (13-sep-2026) borrador para la beta cerrada, en revisión legal.