Versión del 9 de octubre de 2026.
1 Partes y representación
Este acuerdo se celebra entre Bari Soft SAS de CV, operadora de InsuranceBoard, con domicilio en San Gabriel Tulipanes Privada Residencial, casa 21, Colonia Cholul, CP 97305, Mérida, Yucatán, México, como Encargado, y [COMPLETAR POR CLIENTE: nombre o razón social, domicilio y referencia del contrato o espacio de trabajo], como Responsable.
El Responsable actúa por cuenta propia cuando sea persona física, o por conducto de [COMPLETAR POR CLIENTE: representante y fundamento de sus facultades] cuando corresponda. La persona que formaliza declara contar con facultades suficientes. Los permisos de administración dentro de la aplicación no sustituyen esa representación.
Este acuerdo y sus anexos se incorporan a la relación de servicio identificada arriba mediante la formalización que conste al final. La aceptación individual de términos y el acuse de privacidad de un asesor no constituyen esa formalización.
2 Objeto y duración
El Encargado tratará los datos personales por cuenta del Responsable para prestar las funciones de InsuranceBoard que este contrate y habilite. El encargo comprende las operaciones necesarias de registro, organización, consulta, almacenamiento, actualización, comunicación autorizada, exportación y eliminación dentro de ese alcance.
El tratamiento operativo se mantendrá durante la prestación del servicio. Las tareas de devolución, eliminación, respaldo o conservación excepcional posteriores se sujetarán al Anexo A. Las obligaciones de confidencialidad y protección subsistirán mientras alguna parte conserve datos bajo este acuerdo.
3 Personas y datos comprendidos
Según las funciones contratadas, los datos pueden corresponder a prospectos y clientes de seguros, contactos de personas morales, asegurados o beneficiarios cuyos datos se incorporen, reclutas y personas vinculadas con la agencia, así como asesores y colaboradores gestionados por el Responsable.
Las categorías pueden incluir identificación y contacto; RFC, CURP, domicilio y fecha de nacimiento; información profesional y de seguimiento; pólizas, primas, comisiones y otros datos financieros o patrimoniales; identificación y fecha de nacimiento de asegurados, beneficiarios, dependientes y contratantes; descripciones y archivos de siniestros; citas, tareas, comunicaciones y documentos incorporados al espacio.
En pólizas y siniestros el encargo puede comprender información de salud necesaria para su gestión, como diagnósticos, tratamientos y documentos médicos, así como datos de menores asegurados, beneficiarios o dependientes. El Responsable deberá delimitar las categorías efectivamente utilizadas, sus titulares, finalidad, fundamento y personas autorizadas en las condiciones particulares. Antes de incorporarlas, deberá contar con los avisos, consentimientos y representación que procedan. La disponibilidad de campos y archivos no acredita esos requisitos ni amplía el encargo a otras categorías sensibles. Las instrucciones no autorizan usar esa información para publicidad propia del Encargado.
4 Instrucciones y límites del encargo
Las instrucciones comprenden este acuerdo, las condiciones particulares, los anexos aprobados, las configuraciones autorizadas y las solicitudes documentadas del Responsable dentro del alcance del servicio. El Encargado verificará que quien instruya cuente con atribuciones para esa acción.
El Encargado no utilizará los datos del encargo para finalidades propias incompatibles, publicidad propia o entrenamiento de modelos generalizados de inteligencia artificial por decisión propia. Cualquier finalidad propia legítima que corresponda al Prestador, como la administración de su relación contractual y su evidencia de aceptación, se distinguirá del encargo y estará cubierta por el aviso y fundamento aplicables.
Si una instrucción parece contraria a la normativa de datos personales, el Encargado informará al Responsable y podrá detener la operación afectada mientras se aclara su procedencia. Si una autoridad exige una actuación, atenderá el requerimiento válido e informará al Responsable cuando sea legalmente permitido.
5 Obligaciones del Responsable
El Responsable determinará finalidades y fundamentos lícitos, proporcionará el aviso correspondiente y recabará los consentimientos exigibles. Deberá acreditar las excepciones que invoque cuando proceda, y no presumirá consentimiento de sus titulares por la aceptación de estos documentos por un Usuario.
También deberá limitar los datos a los necesarios, procurar su calidad, definir quién puede acceder, mantener actualizadas las altas y bajas de Usuarios y comunicar oportunamente instrucciones de rectificación, devolución, restricción o eliminación que deba ejecutar el Encargado.
La activación de integraciones que comuniquen datos requiere verificar su compatibilidad con el aviso del Responsable y con la autorización o fundamento de cada operación. El Responsable no habilitará categorías sensibles o funciones que excedan el alcance formalizado sin completar la evaluación y las garantías pertinentes.
6 Obligaciones del Encargado y seguridad
El Encargado tratará los datos conforme a las instrucciones lícitas y al alcance del servicio; restringirá el acceso a personas y sistemas autorizados; y mantendrá obligaciones de confidencialidad para el personal que los trate. Estas obligaciones continuarán al terminar su intervención.
Implementará y mantendrá medidas técnicas, administrativas y físicas proporcionales al riesgo. El Anexo C de seguridad describe las medidas y su alcance, incluidos accesos, separación de espacios, protección de credenciales, respaldos y atención de incidentes. Se realizan respaldos diarios de la base de datos; los archivos adjuntos se almacenan por separado.
Ante una interrupción, el Encargado realizará las actuaciones de diagnóstico, contención y recuperación que correspondan al incidente y comunicará su avance al Responsable. Este acuerdo no establece un tiempo garantizado de recuperación ni garantiza recuperar cambios posteriores a la copia disponible. Los niveles de servicio adicionales deberán constar expresamente en las condiciones particulares, sin dispensar las obligaciones legales o contractuales aplicables.
El Encargado responderá por las obligaciones propias que le imponga este acuerdo y la ley. La asignación de responsabilidades al Responsable no lo exime de esas obligaciones.
7 Atención de incidentes
Cuando tenga conocimiento de una vulneración que afecte datos del encargo, el Encargado notificará al contacto designado del Responsable sin demora indebida. La comunicación incluirá la información disponible sobre el incidente, datos y personas potencialmente afectados, consecuencias y medidas adoptadas o propuestas. Si la investigación continúa, proporcionará actualizaciones pertinentes.
Las partes cooperarán para contener el incidente, preservar evidencia y evaluar las comunicaciones que legalmente procedan. Cuando se actualice el supuesto legal de afectación significativa, el responsable del tratamiento informará inmediatamente a los titulares. El Responsable determinará las comunicaciones que le correspondan a sus titulares, sin impedir que el Encargado cumpla obligaciones propias. El aviso entre las partes no dependerá de concluir toda la investigación.
Contactos para incidentes: por el Encargado, la persona responsable de privacidad de Bari Soft SAS de CV, mediante privacidad@insurance-board.com.mx; por el Responsable, [COMPLETAR POR CLIENTE: contacto y medio alterno].
8 Derechos de las personas y colaboración
El Encargado prestará asistencia dentro del alcance del servicio para localizar, consultar, rectificar, restringir, entregar o suprimir datos conforme a las instrucciones procedentes del Responsable. El procedimiento y los tiempos internos se coordinarán para permitir que el Responsable atienda los plazos que le sean aplicables.
Cuando reciba directamente una solicitud sobre datos del encargo, informará al solicitante sobre el Responsable y la canalizará conforme al procedimiento acordado. No entregará datos a quien no acredite identidad, representación o autorización suficiente.
El Responsable podrá solicitar información razonable para verificar el cumplimiento de este acuerdo. La forma de atención protegerá la seguridad del servicio y la confidencialidad de otros clientes, sin impedir la actuación de una autoridad competente.
9 Subencargados e integraciones
El Anexo B de proveedores aprobado identificará a quienes participen en el tratamiento, su función, las categorías de datos, ubicaciones verificadas y el carácter con el que actúen. La autorización del Responsable se referirá a los subencargados y operaciones allí descritos, no a cualquier proveedor futuro.
Los subencargados estarán sujetos a obligaciones compatibles con este acuerdo y a instrucciones que limiten su tratamiento al servicio autorizado. El Encargado supervisará el cumplimiento que le corresponda y conservará la responsabilidad exigible por su intervención.
Antes de incorporar un subencargado no comprendido en la autorización vigente o de ampliar materialmente el tratamiento, el Encargado informará al Responsable y recabará la autorización que corresponda. Si no se obtiene, no activará esa operación y las partes acordarán las alternativas contractuales procedentes.
Una integración elegida por el Responsable puede tener además condiciones propias para tratamientos realizados por su proveedor como responsable independiente. Ese supuesto deberá identificarse y no se describirá automáticamente como subencargo.
10 Tratamiento internacional y Google
El acceso o almacenamiento fuera de México se limitará a las ubicaciones y operaciones autorizadas del Anexo B, con las obligaciones contractuales y demás requisitos aplicables. Una transferencia a un tercero que actúe para finalidades propias requiere analizar su fundamento y las obligaciones del Responsable antes de ejecutarla.
Los datos obtenidos de las APIs de Google se tratarán conforme a los permisos autorizados y a los compromisos de Uso Limitado del Aviso de Privacidad. La autorización de otro proveedor o funcionalidad no amplía ese alcance.
11 Devolución y eliminación
En las nuevas contrataciones sujetas a esta versión, al terminar el servicio el Responsable podrá solicitar la devolución o exportación durante 30 días naturales y los datos operativos se suprimirán a más tardar a los 90 días naturales, con las reglas y excepciones del Anexo A. Los compromisos anteriores conservarán el tratamiento indicado en ese anexo. La entrega se realizará a una persona autorizada y por un medio adecuado para su sensibilidad.
La eliminación de datos operativos y la expiración de respaldos seguirán los plazos y hechos de inicio de cómputo del mismo anexo. Los datos sujetos a una obligación concreta de conservación quedarán restringidos a ese propósito; se documentarán su fundamento, alcance y revisión. Cumplida la obligación y el plazo aplicable, se suprimirán o disociarán según corresponda.
La baja de un Usuario no termina necesariamente el encargo ni elimina los datos de negocio del Responsable. La evidencia de aceptación personal que el Prestador conserve para sus propias obligaciones se rige por el aviso aplicable y por la categoría específica del Anexo A.
12 Coordinación contractual y ley aplicable
En materia de tratamiento por encargo, este acuerdo especifica las obligaciones de las partes y prevalece sobre una cláusula general incompatible de los términos del servicio, sin dispensar el cumplimiento de normas obligatorias, avisos o consentimientos que deban respetarse. Los anexos aprobados deberán identificarse con su versión y conservarse junto al acuerdo.
El acuerdo se rige por la legislación mexicana aplicable en protección de datos personales y por las disposiciones reglamentarias y administrativas vigentes que correspondan. Las controversias se atenderán ante la autoridad competente. Los cambios al acuerdo deberán formalizarse por quienes tengan facultades suficientes.
13 Formalización
Se integran los anexos A de conservación, B de proveedores y C de seguridad, versión [COMPLETAR POR CLIENTE: versión final aprobada del paquete].
Por el Responsable: [COMPLETAR POR CLIENTE: nombre, carácter y evidencia de facultades].
Por el Encargado: [COMPLETAR AL FORMALIZAR: nombre, carácter y evidencia de facultades de quien represente a Bari Soft SAS de CV].
Medio de formalización, referencia del documento íntegro y fecha: [COMPLETAR POR CLIENTE: instrumento firmado o mecanismo electrónico verificable acordado].
Contacto de privacidad del Encargado: privacidad@insurance-board.com.mx.