Borrador en revisión legal. Este texto puede cambiar antes de entrar en vigor.

Contrato de persona encargada del tratamiento de datos personales

Versión 1.0 · 2 de noviembre de 2026

Celebran este contrato, por una parte, el cliente que crea una cuenta en Checador Jornada («el Responsable») y, por la otra, [Nombre o razón social del titular], RFC [RFC], con domicilio en [Domicilio fiscal completo] («la Encargada»). Se acepta por medios electrónicos al crear la cuenta y forma parte de los Términos y condiciones del servicio.

1. Objeto

La Encargada tratará los datos personales de las personas trabajadoras del Responsable únicamente por cuenta de este y para prestar el servicio de registro electrónico de jornada (LFPDPPP art. 2 fr. XII).

2. Datos y personas

Personas titulares: las personas trabajadoras que el Responsable da de alta, y sus administradores.
Datos: nombre, número de trabajador, puesto, lugar de trabajo, horario, modalidad presencial o remota, salario diario cuando el Responsable lo captura, correo opcional, PIN transformado con un algoritmo de una sola vía, y cada registro de jornada con fecha, hora, aparato u origen, dirección IP en el registro remoto e intención declarada.
Datos sensibles: ninguno por omisión. Si el Responsable activa el reconocimiento facial, la plantilla biométrica se tratará como dato sensible y solo con el consentimiento expreso y por escrito que el Responsable recabe (LFPDPPP art. 8).

3. Obligaciones del Responsable

Dar a conocer a sus trabajadores su propio aviso de privacidad. El servicio incluye una plantilla en Documentos.
Contar con la base legal para el tratamiento. El registro de jornada es una obligación del patrón (LFT art. 132 fr. XXXIV), por lo que no requiere consentimiento (LFPDPPP art. 9 fr. I y IV).
Capturar datos exactos y dar instrucciones lícitas.
Atender las solicitudes de derechos de sus trabajadores.

4. Obligaciones de la Encargada

Tratar los datos solo conforme a las instrucciones del Responsable, que son las configuraciones y acciones hechas en el panel, y no usarlos para finalidades propias.
Guardar confidencialidad, también después de terminar el contrato, y exigirla a toda persona que intervenga en el tratamiento (LFPDPPP art. 20).
Aplicar las medidas de seguridad del punto 5 (LFPDPPP art. 18).
No transferir los datos a terceros, salvo los proveedores del punto 6 o por mandato de autoridad competente, del que avisará al Responsable si la ley lo permite.
Ayudar al Responsable a atender solicitudes de derechos ARCO: el panel permite consultar, exportar y corregir los datos. Si una persona trabajadora escribe a la Encargada, esta turnará la solicitud al Responsable en 5 días hábiles.
Devolver o suprimir los datos al terminar el servicio, según el punto 8.

5. Medidas de seguridad

Conexión cifrada en todo momento y certificados vigentes.
Contraseñas y PIN transformados con un algoritmo de una sola vía, con sal y miles de iteraciones.
Claves de servicios externos cifradas con AES-256-GCM.
Separación lógica de los datos de cada cliente, acceso por roles y bloqueo de la interfaz pública de la base de datos.
Bóveda: los registros de jornada se encadenan con huellas SHA-256 y la base de datos rechaza su modificación o borrado. Las correcciones quedan como asientos nuevos.
Bitácora de acciones de los administradores, que tampoco se puede modificar.
Respaldos programables por el Responsable y vigilancia automática de la disponibilidad.

6. Subencargados

El Responsable autoriza a la Encargada a apoyarse en estos proveedores, que tratan los datos en servidores ubicados fuera de México bajo obligaciones de confidencialidad y seguridad:

Vercel Inc.: Servidores de la aplicación. Ubicación: Estados Unidos (Oregón).
Supabase Inc.: Base de datos. Ubicación: Estados Unidos (Oregón).
Resend (Plus Five Five Inc.): Envío de correos del sistema. Ubicación: Estados Unidos.
Cloudflare Inc.: Nombres de dominio (DNS). Ubicación: Red global.

La Encargada avisará por correo con 15 días naturales de anticipación cualquier cambio de proveedor. El Responsable puede oponerse con causa justificada y, si no hay acuerdo, terminar el servicio sin penalización.

7. Vulneraciones de seguridad

Si la Encargada detecta una vulneración que afecte los datos del Responsable, le avisará sin demora y a más tardar en 24 horas desde que la confirme, con la información disponible sobre lo ocurrido, los datos afectados y las medidas tomadas, para que el Responsable pueda informar a las personas titulares de inmediato (LFPDPPP art. 19).

8. Fin del tratamiento

Al terminar el servicio, el Responsable puede descargar el expediente y respaldo completos durante 60 días naturales.
Después, la Encargada suprime los datos. Los registros de jornada permanecen bloqueados durante el plazo de conservación que el Responsable configuró, porque son prueba de la relación de trabajo (LFT art. 804), y luego se suprimen. A petición escrita del Responsable, se suprimen antes.
La Encargada entregará constancia de la supresión si se la piden.

9. Verificación

El Responsable puede pedir información sobre el cumplimiento de este contrato una vez al año, o en cualquier momento ante una vulneración. Puede verificar la integridad de sus registros por sí mismo con el expediente y el verificador incluidos en el servicio.

10. Vigencia

Este contrato dura lo mismo que la cuenta, y las obligaciones de confidencialidad y bloqueo continúan después de ella.