Contrato de encargo de datos personales

Versión 0.1.0 (borrador). Última actualización: 14 de octubre de 2026.

Contrato que celebran, por una parte, la persona empleadora de personas trabajadoras del hogar que lo acepta electrónicamente en Casa al Día, por sí o por medio de quien la represente (el "Responsable"), y por la otra, Third Space Ventures LLC, que opera Casa al Día (el "Encargado"), al tenor de las siguientes declaraciones y cláusulas.

Declaraciones

I. Declara el Responsable que:

• a) emplea, o va a emplear, a una o más personas trabajadoras del hogar y usa Casa al Día para administrar esa relación de trabajo;
• b) es el responsable de los datos personales de esas personas trabajadoras del hogar, en los términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la "Ley");
• c) obtiene esos datos de forma lícita y cuenta con fundamento para tratarlos, en particular para cumplir las obligaciones derivadas de la relación de trabajo y de las leyes laborales y de seguridad social;
• d) si acepta este contrato por medio de un representante, como una persona administradora de propiedades, ese representante cuenta con su autorización.

II. Declara el Encargado que:

• a) es una limited liability company constituida conforme a las leyes del Estado de Wyoming, Estados Unidos de América, con domicilio en 447 Broadway FL 2 STE 3065, New York, NY 10013, Estados Unidos de América;
• b) opera Casa al Día y cuenta con las medidas de seguridad descritas en el Anexo B.

PRIMERA. Definiciones

Los términos de este contrato tienen el significado que les da la Ley. Además:

• a) Datos Encargados: los datos personales de las personas trabajadoras del hogar del Responsable, de los beneficiarios que ellas designen y de cualquier otra persona física que el Responsable registre o suba a Casa al Día con motivo de esas relaciones de trabajo, descritos en el Anexo A;
• b) Hogar: la cuenta de Casa al Día en la que el Responsable registra a sus personas trabajadoras del hogar;
• c) Servicio: la aplicación Casa al Día y los servicios «Done for you» y «Concierge», conforme a los Términos y condiciones;
• d) Subencargado: el proveedor que el Encargado subcontrata y que trata Datos Encargados.

SEGUNDA. Objeto

El Encargado tratará los Datos Encargados únicamente por cuenta del Responsable y para prestarle el Servicio, con el alcance, las finalidades y la duración que se describen en el Anexo A. El Encargado no adquiere la titularidad ni la propiedad de los Datos Encargados.

TERCERA. Instrucciones del Responsable

3.1 Son instrucciones del Responsable:

• a) lo que el Responsable, o las personas a quienes da acceso a su Hogar, capturan, configuran, generan, envían o eliminan en el Servicio;
• b) la autorización firmada que el Responsable sube para el servicio «Done for you» y, en su caso, para «Concierge»;
• c) las instrucciones adicionales que el Responsable envíe por escrito a hola@casa-al-dia.com y que el Encargado acepte por ser compatibles con el Servicio.

3.2 Si el Encargado considera que una instrucción es contraria a la Ley, se lo informará al Responsable y podrá abstenerse de seguirla.

3.3 El Responsable puede limitar el tratamiento en cualquier momento desde el Servicio: desactivar el envío por WhatsApp o por correo electrónico, eliminar documentos, retirar el acceso de las personas que invitó y cancelar los servicios «Done for you» y «Concierge».

CUARTA. Obligaciones del Encargado

4.1 El Encargado se obliga a:

• a) tratar los Datos Encargados solo conforme a las instrucciones del Responsable;
• b) no tratarlos para finalidades distintas de las instruidas, ni para fines propios;
• c) aplicar las medidas de seguridad administrativas, técnicas y físicas del Anexo B, que no serán menores a las que aplica a su propia información;
• d) guardar confidencialidad sobre los Datos Encargados y asegurar que las personas que intervienen en su tratamiento estén obligadas a guardarla, aun después de terminar su relación con el Encargado;
• e) no transferirlos, salvo que el Responsable lo instruya, que la comunicación sea a un Subencargado autorizado conforme a la cláusula séptima, o que lo requiera una autoridad competente;
• f) suprimirlos al terminar este contrato o cuando el Responsable lo instruya, conforme a la cláusula décima cuarta;
• g) ayudar al Responsable a atender las solicitudes de derechos ARCO y las vulneraciones de seguridad, conforme a las cláusulas novena y décima.

4.2 El Encargado podrá generar estadísticas agregadas sobre el uso del Servicio (por ejemplo, cuántos recibos se generaron en un mes) que no contengan ni permitan obtener datos de ninguna persona.

QUINTA. Obligaciones del Responsable

El Responsable se obliga a:

• a) poner a disposición de sus personas trabajadoras del hogar un aviso de privacidad que informe, entre otras cosas, que sus datos se tratan a través de Casa al Día y se almacenan en los Estados Unidos y, en el caso de WhatsApp, en otros países. La cláusula de datos personales del contrato de trabajo que genera el Servicio puede cumplir esa función;
• b) contar con el consentimiento de las personas trabajadoras del hogar cuando la Ley lo exija;
• c) confirmar en el Servicio que cada persona trabajadora del hogar aceptó recibir sus documentos por WhatsApp antes de activar ese canal, y desactivarlo si la persona retira su aceptación;
• d) capturar datos exactos y actualizados, y no capturar datos personales sensibles, que el Servicio no necesita;
• e) informar a los beneficiarios designados, cuando proceda, del tratamiento de sus datos;
• f) atender las solicitudes de derechos ARCO de las personas trabajadoras del hogar dentro de los plazos de la Ley.

SEXTA. Medidas de seguridad

El Encargado mantendrá, como mínimo, las medidas del Anexo B y las actualizará conforme al riesgo, la sensibilidad de los datos y el desarrollo tecnológico. Podrá sustituirlas por otras equivalentes o mejores.

SÉPTIMA. Subencargados

7.1 El Responsable autoriza al Encargado a subcontratar, en nombre y por cuenta del Responsable, a los Subencargados del Anexo C y a los que se incorporen conforme a la cláusula 7.2. El Encargado formalizará con cada uno cláusulas contractuales por las que asuma las obligaciones que la Ley y su Reglamento establecen para el encargado, y responderá ante el Responsable por su cumplimiento.

7.2 El Encargado avisará al Responsable, por correo electrónico y en el Servicio, con al menos 30 días naturales de anticipación, de cualquier nuevo Subencargado, y no lo usará antes de ese plazo. Si el Responsable no se opone dentro de ese plazo, el nuevo Subencargado se entiende autorizado. Si se opone por una causa razonable relacionada con la protección de datos, podrá terminar este contrato y su suscripción, con el reembolso proporcional del periodo no usado.

OCTAVA. Remisiones internacionales

El Responsable reconoce y acepta que el Encargado y los Subencargados almacenan y tratan los Datos Encargados en los Estados Unidos y, en el caso de Meta, también en otros países, y que el servicio de correo electrónico del Encargado lo presta Fastmail Pty Ltd, empresa australiana sujeta a la ley de Australia, que almacena el correo en servidores en los Estados Unidos y puede tratarlo en otros países cuando sea razonablemente necesario para su servicio, conforme al Anexo C. Las remisiones a encargados no requieren ser informadas a las personas titulares ni contar con su consentimiento; aun así, el contrato de trabajo que genera el Servicio las informa.

NOVENA. Derechos ARCO

9.1 El Servicio permite al Responsable consultar, corregir y descargar los Datos Encargados. Para eliminar los datos de una persona trabajadora del hogar, el Responsable puede hacerlo en el Servicio o pedirlo a hola@casa-al-dia.com, y el Encargado lo hará dentro de los 5 días hábiles siguientes.

9.2 Si una persona titular presenta al Encargado una solicitud de derechos ARCO sobre Datos Encargados, el Encargado la turnará al Responsable dentro de los 2 días hábiles siguientes, le informará a la persona titular que la turnó al Responsable y no la contestará por su cuenta, salvo instrucción del Responsable.

9.3 El Encargado dará al Responsable la información y la ayuda razonables para que responda dentro de los plazos del artículo 31 de la Ley.

DÉCIMA. Vulneraciones de seguridad

10.1 Si el Encargado tiene conocimiento de una posible vulneración de seguridad que afecte Datos Encargados, la notificará al Responsable sin dilación y, en todo caso, dentro de las 24 horas siguientes, por correo electrónico y en el Servicio, y le informará lo que vaya confirmando.

10.2 La notificación indicará, en la medida en que se conozca: la naturaleza del incidente y cuándo ocurrió; los datos personales comprometidos y las personas que pueden estar afectadas; las acciones correctivas que el Encargado realizó de inmediato; las recomendaciones para que las personas afectadas protejan sus intereses; y los medios para obtener más información. Con esa información, el Responsable puede dar a las personas titulares el aviso que exige la ley.

10.3 Corresponde al Responsable informar de inmediato a las personas titulares cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales. Si el Responsable lo pide, el Encargado le preparará el texto y podrá enviarlo a su nombre por correo electrónico o, a las personas trabajadoras del hogar que aceptaron recibir mensajes por WhatsApp, por ese medio cuando haya una plantilla aprobada para ello.

10.4 El Encargado analizará las causas de la vulneración y aplicará las acciones correctivas, preventivas y de mejora necesarias para evitar que se repita, e informará de ellas al Responsable.

DÉCIMA PRIMERA. Acceso del personal del Encargado

El personal del Encargado solo accede a los Datos Encargados de un Hogar cuando lo requiere la prestación de «Done for you» o «Concierge» o el soporte que pida el Responsable. Lo hace a través de herramientas internas que verifican que la persona forma parte del equipo del Encargado y registran quién consultó qué dato y cuándo, y está obligado a guardar confidencialidad.

DÉCIMA SEGUNDA. Trámites ante el IMSS

12.1 Cuando el Responsable contrata «Done for you» o «Concierge», el Encargado presenta ante el IMSS, a nombre y por cuenta del Responsable y conforme a su autorización firmada, los datos necesarios para inscribir a la persona trabajadora del hogar o para generar las líneas de captura. Esa comunicación la hace el Responsable, a través del Encargado, para cumplir sus obligaciones de seguridad social.

12.2 El Encargado nunca pide ni guarda contraseñas del SAT, la CIEC ni archivos de la e.firma del Responsable.

DÉCIMA TERCERA. Requerimientos de autoridades

Si una autoridad le requiere Datos Encargados al Encargado, este se lo informará al Responsable antes de entregarlos, salvo que la ley o la autoridad lo prohíban, y entregará solo lo estrictamente requerido.

DÉCIMA CUARTA. Devolución y supresión

14.1 Mientras el Hogar esté activo, incluido el periodo de solo lectura de la cláusula 19.3 de los Términos, el Responsable puede descargar los Datos Encargados y los documentos generados en cualquier momento.

14.2 Al cerrarse el Hogar, el Responsable tiene 30 días naturales para descargarlos. Después, el Encargado los suprimirá dentro de los 60 días naturales siguientes, y las copias de respaldo se eliminarán en su ciclo ordinario de 7 días naturales. Si el Responsable lo pide, el Encargado le confirmará la supresión por escrito.

14.3 El Encargado solo conservará Datos Encargados después de esos plazos cuando una disposición legal se lo exija, y únicamente para esa finalidad. Además, los registros de seguridad del Anexo A se conservan hasta 2 años después del cierre del Hogar, porque sirven para acreditar quién accedió a qué datos si surge una reclamación o una investigación; después se suprimen.

14.4 Las obligaciones de conservación que las leyes laborales, de seguridad social y fiscales imponen a la persona empleadora (por ejemplo, conservar contratos y recibos de pago) son del Responsable, por lo que debe descargar y guardar sus documentos antes de que se supriman.

DÉCIMA QUINTA. Verificación

El Encargado pondrá a disposición del Responsable, cuando este lo solicite de forma razonable y como máximo una vez al año, la información necesaria para demostrar que cumple este contrato, como la lista vigente de Subencargados y un resumen de sus medidas de seguridad.

DÉCIMA SEXTA. Responsabilidad

16.1 Cada parte responde por el incumplimiento de sus propias obligaciones conforme a este contrato y a la Ley.

16.2 Si el Encargado destina los Datos Encargados a una finalidad distinta de la autorizada o los transfiere incumpliendo las instrucciones del Responsable, será considerado responsable con las obligaciones propias de éste.

16.3 En la medida en que la ley lo permita, la responsabilidad total del Encargado derivada de este contrato no excederá el monto pagado a TSV por el Servicio de ese Hogar, por el Responsable o por cuenta de él, en los 12 meses anteriores al hecho que la origine. Este límite no aplica a los incumplimientos de la cláusula 16.2 ni de las obligaciones de confidencialidad, ni a la responsabilidad que la ley no permita limitar.

DÉCIMA SÉPTIMA. Vigencia

Este contrato está vigente para cada Hogar mientras ese Hogar tenga Datos Encargados en Casa al Día. Las obligaciones de confidencialidad y de supresión subsisten después de su terminación.

DÉCIMA OCTAVA. Prelación

En lo relativo a los Datos Encargados, este contrato prevalece sobre los Términos y condiciones.

DÉCIMA NOVENA. Modificaciones

El Encargado puede modificar este contrato para reflejar cambios en la ley, en el Servicio o en sus Subencargados. Avisará al Responsable con al menos 30 días naturales de anticipación por correo electrónico y en el Servicio, y el Responsable podrá terminar el contrato antes de que el cambio entre en vigor, con el reembolso proporcional del periodo no usado. Si el cambio es relevante, el Servicio pedirá al Responsable que acepte la nueva versión.

VIGÉSIMA. Legislación aplicable y jurisdicción

Este contrato se rige por la Ley, su Reglamento y las demás leyes federales de los Estados Unidos Mexicanos. Las controversias derivadas de este contrato se resolverán ante los tribunales competentes del lugar donde se ubica la casa en la que las personas trabajadoras del hogar prestan sus servicios, sin perjuicio de las facultades de la Secretaría Anticorrupción y Buen Gobierno.

VIGÉSIMA PRIMERA. Idioma

Este contrato se celebra en español y se acompaña de una traducción al inglés. En caso de diferencia, prevalece el texto en español.

Anexo A. Descripción del tratamiento

Anexo B. Medidas de seguridad

• Cifrado: conexiones cifradas (TLS); cifrado de bases de datos y almacenamiento por los proveedores; cifrado adicional en la aplicación de la CURP, el NSS y el RFC con AES-256-GCM e índices ciegos HMAC para búsquedas, con llaves fuera de la base de datos y un esquema que permite rotarlas.
• Enmascaramiento y registro: los números de identidad se muestran enmascarados; cada descifrado, cada descarga de documentos y cada acceso del personal del Encargado a un Hogar queda en un registro de auditoría que no se puede modificar ni borrar desde la aplicación.
• Aislamiento de hogares: políticas de seguridad a nivel de fila en la base de datos, de modo que cada persona usuaria solo accede a los datos de los Hogares de los que es integrante, con pruebas automatizadas de ese aislamiento.
• Acceso del personal: solo a través de código del servidor que verifica que la persona es parte del equipo del Encargado y registra cada consulta; la lista del equipo no puede modificarse desde la aplicación.
• Documentos: almacenamiento privado por Hogar; descargas mediante enlaces temporales.
• Diagnóstico de errores: configurado para no guardar direcciones IP, datos de usuarios, cuerpos de solicitudes ni parámetros de URL, y para eliminar campos como CURP, NSS, RFC, teléfono, salario y domicilio.
• Credenciales: el Encargado nunca pide ni guarda contraseñas del SAT, la CIEC ni archivos de la e.firma.
• Respaldos: respaldos diarios del proveedor de base de datos, conservados 7 días.
• Personal: obligaciones de confidencialidad por escrito y acceso según el principio de mínimo privilegio.

Anexo C. Subencargados autorizados

Stripe, Inc. procesa los pagos del Responsable a TSV, pero no trata Datos Encargados, por lo que no es Subencargado.