Partes
Celebran este contrato:
El Cliente, la empresa que contrata Coursight, identificada con la razón social y el domicilio que registra en el panel («el Responsable»).
[RAZÓN SOCIAL DE COURSIGHT], con domicilio en [DOMICILIO DE COURSIGHT] y RFC [RFC] («Coursight» o «el Encargado»).
Se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 («la Ley»), y por las disposiciones que de ella deriven.
Cláusulas
Primera · Objeto. El Responsable encarga a Coursight el tratamiento de los datos personales descritos en el Anexo C, únicamente para prestar el servicio de capacitación por WhatsApp contratado («el Servicio»). Este tratamiento es una remisión: no constituye transferencia y no requiere el consentimiento de los titulares.
Segunda · Papel de cada parte. El Responsable decide las finalidades del tratamiento y es quien recaba los datos y el consentimiento de los titulares. Coursight trata los datos solo por cuenta del Responsable y nunca para fines propios. En particular, Coursight no vende los datos, no los usa para publicidad y no los usa para entrenar modelos de inteligencia artificial.
Tercera · Instrucciones. Coursight trata los datos conforme a las instrucciones del Anexo C y a las que el Responsable dé por escrito o mediante la configuración del panel. Si una instrucción le parece contraria a la Ley, Coursight lo informará de inmediato y podrá abstenerse de ejecutarla.
Cuarta · Aviso de privacidad y consentimiento. El Responsable es quien debe poner a disposición de los titulares su aviso de privacidad. Para facilitarlo, Coursight muestra en WhatsApp, antes de la primera lección, un aviso con la identidad y el domicilio del Responsable y las finalidades, y recaba la aceptación de cada persona. Coursight registra la fecha de esa aceptación. El Responsable debe mantener actualizados en el panel su razón social, su domicilio y el medio para ejercer derechos.
Quinta · Confidencialidad. Coursight y su personal guardan confidencialidad sobre los datos, aun después de terminado este contrato. Solo el personal que lo necesita para prestar el Servicio tiene acceso, con obligaciones de confidencialidad por escrito.
Sexta · Seguridad. Coursight mantiene las medidas administrativas, técnicas y físicas del Anexo B y las actualiza conforme a los riesgos y al estado de la técnica.
Séptima · Subencargados. El Responsable autoriza a Coursight a apoyarse en los subencargados del Anexo A. Coursight les impone por contrato obligaciones de protección equivalentes y responde por ellos ante el Responsable. Coursight avisará con al menos 30 días de anticipación, por correo a los administradores del panel, de cualquier subencargado nuevo que trate datos de los titulares. El Responsable podrá oponerse por causa razonable y, si no hay alternativa, terminar el Servicio sin penalización.
Octava · Tratamiento fuera de México. Algunos subencargados procesan datos fuera de México. Coursight lo hace solo bajo contratos que obligan al subencargado a proteger los datos conforme a la Ley y a este contrato.
Novena · Derechos de los titulares. Si Coursight recibe una solicitud de acceso, rectificación, cancelación, oposición, revocación o limitación, la turnará al Responsable en un máximo de 5 días hábiles y no la resolverá por su cuenta. Coursight dará al Responsable las herramientas del panel para consultar, corregir y dar de baja a una persona, entregará la exportación de sus datos cuando el Responsable la pida, y dará el apoyo razonable para atender la solicitud en los plazos legales.
Décima · Vulneraciones de seguridad. Coursight notificará al Responsable cualquier vulneración que afecte de forma significativa los derechos de los titulares sin dilación y a más tardar dentro de las 72 horas siguientes a confirmarla. Informará la naturaleza del incidente, los datos comprometidos, las medidas tomadas y las recomendaciones para los titulares, y colaborará para que el Responsable informe a los titulares y a la autoridad cuando corresponda.
Undécima · Auditoría. A solicitud del Responsable, con 15 días de anticipación y no más de una vez al año (salvo después de una vulneración), Coursight responderá cuestionarios de seguridad y entregará la evidencia razonable de cumplimiento de este contrato.
Duodécima · Conservación y fin del encargo. Coursight conserva los datos mientras dure el Servicio y conforme a los plazos del Anexo C. Al terminar, el Responsable tiene 30 días para descargar sus reportes y constancias. Después, Coursight elimina los datos de sus sistemas activos y, de sus respaldos, al término de su ciclo de rotación (máximo 35 días), salvo lo que la ley le obligue a conservar. A solicitud, Coursight entrega constancia de la eliminación.
Decimotercera · Responsabilidad. Cada parte responde por sus propios incumplimientos de la Ley. Si Coursight trata los datos para fines distintos a los instruidos, será considerado responsable de ese tratamiento.
Decimocuarta · Prelación y cambios. En lo relativo a datos personales, este contrato prevalece sobre los términos del Servicio. Coursight puede actualizarlo para reflejar cambios legales o de subencargados. Publicará la nueva versión en coursight.org/contrato-encargo y la mostrará como pendiente en el panel.
Decimoquinta · Ley y jurisdicción. Leyes federales de los Estados Unidos Mexicanos; tribunales competentes de la Ciudad de México.
Anexo A · Subencargados
Subencargado: Meta Platforms (WhatsApp Business Cloud API) · Servicio: Envío y recepción de mensajes · Datos que recibe: Teléfono, mensajes, notas de voz, fotos · Ubicación: EE. UU. y otros
Subencargado: Twilio (solo si el Cliente usa ese canal) · Servicio: Mensajería de WhatsApp · Datos que recibe: Teléfono, mensajes y archivos · Ubicación: EE. UU.
Subencargado: Botpress (solo si el Cliente usa ese canal) · Servicio: Webchat y relevo de mensajes · Datos que recibe: Mensajes · Ubicación: Canadá y EE. UU.
Subencargado: OpenAI · Servicio: Evaluar respuestas abiertas, transcribir notas de voz, revisar fotos de evidencia y búsqueda en manuales · Datos que recibe: Texto de respuestas, audio, imágenes y fragmentos de lecciones · Ubicación: EE. UU.
Subencargado: ElevenLabs · Servicio: Generar notas de voz del tutor · Datos que recibe: Texto del tutor (puede incluir el primer nombre) · Ubicación: EE. UU.
Subencargado: Amazon Web Services (AWS) · Servicio: Alojamiento del Servicio: servidores, base de datos, colas, almacenamiento de audios, fotos, manuales y constancias, respaldos y correos del servicio a usuarios del panel (Amazon SES) · Datos que recibe: Todos los datos del Servicio · Ubicación: EE. UU. (región us-east-2, Ohio)
Subencargado: Cloudflare (Turnstile) · Servicio: Protección contra bots en el registro y en los formularios públicos · Datos que recibe: Dirección IP y datos técnicos del navegador de quien llena el formulario · Ubicación: EE. UU. y otros
Subencargado: Sentry · Servicio: Monitoreo de errores · Datos que recibe: Datos técnicos, con datos personales depurados · Ubicación: EE. UU.
Anexo B · Medidas de seguridad
Técnicas
Cifrado en tránsito (TLS) en todas las conexiones y cifrado en reposo en base de datos y almacenamiento.
Aislamiento entre clientes en la base de datos con row-level security; la aplicación se conecta con un rol sin privilegios para saltarse ese aislamiento.
Credenciales de canal de cada cliente cifradas con AES-256-GCM.
Archivos (audios, fotos, constancias) servidos solo mediante URLs firmadas que expiran.
El teléfono de los clientes que califican por QR se guarda solo como hash con sal.
Contraseñas con hash; sesiones con expiración y revocación; bloqueo tras intentos fallidos; limitación de tasa en todas las rutas.
Depuración de datos personales en el monitoreo de errores.
Respaldos diarios con recuperación a un punto en el tiempo y pruebas periódicas de restauración.
Administrativas
Acceso a producción limitado a personal autorizado, con autenticación de dos factores.
Bitácora de auditoría de las acciones de los usuarios del panel.
Roles en el panel (administrador, lector, supervisor) para que cada usuario vea solo lo necesario.
Procedimiento de respuesta a incidentes y revisión de este anexo al menos una vez al año.
Físicas
Infraestructura en centros de datos de proveedores con certificaciones de seguridad reconocidas (por ejemplo, ISO 27001 o SOC 2).
Anexo C · Descripción del tratamiento e instrucciones
Titulares: Datos · Trabajadores del Responsable inscritos en la capacitación; clientes del Responsable que califican la atención por QR: Trabajadores: nombre, teléfono, identificador interno, puesto, área, sucursal, supervisor, mensajes, respuestas, notas de voz y su transcripción, fotos de evidencia, avance, calificaciones, constancias y logros. Clientes QR: calificación, comentario o nota de voz y un hash del teléfono
Titulares: Datos sensibles · Trabajadores del Responsable inscritos en la capacitación; clientes del Responsable que califican la atención por QR: No se recaban. Si un titular los comparte espontáneamente, solo se usan para atender su capacitación
Titulares: Finalidades instruidas · Trabajadores del Responsable inscritos en la capacitación; clientes del Responsable que califican la atención por QR: 1. Enviar lecciones y evaluar respuestas, notas de voz y fotos. 2. Mostrar al Responsable avance, constancias y temas a reforzar. 3. Mostrar al titular su carrera, logros y reconocimientos. 4. Alertar al supervisor cuando alguien deja de avanzar, necesita apoyo o muestra señales de salida, con un costo de reemplazo rotulado como estimación, sin decisiones automáticas sobre el empleo. 5. Medir la calidad del servicio con la opinión de clientes y reconocer a quien atendió
Titulares: Operaciones · Trabajadores del Responsable inscritos en la capacitación; clientes del Responsable que califican la atención por QR: Recepción, almacenamiento, transcripción, evaluación automatizada con revisión humana disponible, generación de reportes y constancias, envío de mensajes, eliminación
Titulares: Conservación · Trabajadores del Responsable inscritos en la capacitación; clientes del Responsable que califican la atención por QR: Trabajadores: mientras participen y hasta 12 meses después de su baja; constancias, lo que indique el Responsable. Clientes QR: 24 meses. Todo, como máximo, hasta el fin del encargo (cláusula duodécima)
Titulares: Canal de instrucciones · Trabajadores del Responsable inscritos en la capacitación; clientes del Responsable que califican la atención por QR: Configuración del panel y correo de los administradores del Responsable a privacidad@coursight.org