Next StepSe acepta junto con los términos y condiciones y forma parte de ellos. No requiere firma autógrafa si el registro conserva la aceptación electrónica.
Versión: [FECHA]
Por qué existe este contrato
En Next Step, el Cliente guarda datos personales de sus propios clientes y prospectos (nombre, correo, teléfono, RFC, domicilio fiscal, notas, historial de ventas y cobros). Respecto de esos datos:
- El Cliente (el negocio que contrata) es el responsable: decide para qué y cómo se usan.
- Next Step (Nuva Soluciones, S.A. de C.V.) es el encargado: los trata únicamente por cuenta del Cliente, para prestarle el servicio.
Este contrato fija las reglas de ese tratamiento. Si la ley aplicable exige otras, prevalecen las de la ley.
1. Objeto y alcance
Next Step tratará, por cuenta del Cliente, los datos personales que este capture o cargue en la plataforma, con el único fin de prestar el servicio descrito en los términos y condiciones. El detalle de datos, titulares y finalidades está en el Anexo A.
2. Obligaciones de Next Step como encargado
Next Step se obliga a:
- Tratar los datos solo conforme a las instrucciones del Cliente y para los fines del servicio, sin usarlos para fines propios ni venderlos.
- Guardar confidencialidad y hacer que su personal también lo haga, limitando el acceso a quienes lo necesiten.
- Aplicar las medidas de seguridad administrativas, técnicas y físicas descritas en el Anexo C.
- No transferir los datos a terceros, salvo a los subencargados del Anexo B, a quienes impondrá obligaciones equivalentes, o cuando una autoridad lo exija por mandato legal.
- Avisar al Cliente sin dilación, dentro de [72 horas] de conocerlo, de cualquier vulneración de seguridad que afecte los datos, con la información disponible para que el Cliente pueda cumplir sus obligaciones.
- Apoyar al Cliente para atender solicitudes de derechos ARCO de sus titulares, dentro de [10 días hábiles] desde que el Cliente se lo pida. Si un titular se dirige directamente a Next Step, se le remitirá al Cliente.
- Al terminar el servicio, devolver o suprimir los datos conforme a la sección 5.
- Dar al Cliente la información razonable para demostrar el cumplimiento de este contrato.
3. Obligaciones del Cliente como responsable
El Cliente se obliga a:
- Contar con base legal y con aviso de privacidad hacia sus propios clientes y prospectos, y obtener los consentimientos que correspondan. En el Anexo D hay una guía y un modelo corto.
- Capturar solo los datos necesarios y no introducir datos personales sensibles en campos libres sin cumplir los requisitos legales.
- Dar instrucciones lícitas y mantener sus datos exactos y actualizados.
- Proteger las credenciales de sus usuarios y desactivar a quienes ya no deban acceder.
- Atender directamente las solicitudes ARCO de sus clientes, con el apoyo previsto en este contrato.
- Usar WhatsApp, correo u otros canales de contacto con sus clientes respetando sus preferencias y la ley. Next Step solo facilita enlaces para abrir esos canales; el envío lo decide el Cliente.
4. Subencargados
El Cliente autoriza el uso de los subencargados del Anexo B. Next Step informará al Cliente de cambios relevantes con al menos [15 días] de anticipación; si el Cliente se opone por motivos razonables y no hay alternativa, podrá cancelar el servicio.
5. Terminación, devolución y supresión
- Al terminar el servicio, el Cliente podrá descargar sus datos (facturas XML y PDF, reportes) durante [90 días].
- Transcurrido ese plazo, Next Step suprimirá o anonimizará los datos personales tratados como encargado, salvo que una ley exija conservarlos, y lo confirmará por escrito si el Cliente lo pide.
- Las copias de respaldo se eliminarán conforme a su ciclo ordinario de rotación, que no excederá [90 días] adicionales [VERIFICAR].
6. Transferencias internacionales
Si algún subencargado trata datos fuera de México, Next Step se asegurará de que lo haga con garantías equivalentes y lo indicará en el Anexo B. [VERIFICAR dónde está alojado el servicio.]
7. Responsabilidad
Cada parte responde por el incumplimiento de sus obligaciones conforme a la ley y a los términos y condiciones, incluidas las limitaciones ahí previstas. [VERIFICAR con abogado.]
8. Vigencia y ley aplicable
Este contrato dura mientras Next Step trate datos por cuenta del Cliente. Se rige por las leyes mexicanas y por la jurisdicción pactada en los términos y condiciones.
Anexo A. Descripción del tratamiento
| Concepto | Detalle |
|---|---|
| Titulares | Clientes y prospectos del Cliente; proveedores del Cliente; usuarios que el Cliente invite |
| Categorías de datos | Identificación y contacto (nombre, empresa, correo, teléfono); fiscales (RFC, régimen fiscal, código postal, uso de CFDI); comerciales (cotizaciones, ventas, facturas, pagos, plazos de pago); notas y actividades de seguimiento; datos de proveedores y gastos |
| Datos sensibles | No se solicitan ni deben capturarse |
| Finalidades | Gestión de prospectos y clientes; cotizar, vender, facturar (CFDI) y cobrar; reportes; recordatorios y seguimiento |
| Operaciones | Almacenamiento, consulta, modificación, envío a timbrado, exportación, respaldo y supresión |
| Duración | Mientras dure el servicio, más el plazo de conservación posterior a la cancelación |
Anexo B. Subencargados autorizados
| Proveedor | Función | Ubicación |
|---|---|---|
| Contabo | Alojamiento del servicio y de la base de datos | [PAÍS del centro de datos] |
| ZonaCFDI | Timbrado, cancelación y consulta de CFDI (incluye datos fiscales del receptor) | México |
| [PROVEEDOR DE CORREO, si aplica] | Envío de notificaciones del servicio | [PAÍS] |
El SAT recibe la información de los CFDI por obligación legal del Cliente, no como subencargado. NuvaHub, la plataforma con la que se cobra y factura la suscripción, la opera la propia NUVA y no recibe los datos de los clientes del Cliente, por lo que no es subencargado.
Anexo C. Medidas de seguridad
Medidas ya presentes en el sistema:
- Separación lógica de la información por negocio (
TenantId). - Autenticación con contraseñas almacenadas mediante hash y sesiones con token.
- Roles de usuario (Propietario, Administrador, Colaborador).
- Conexiones cifradas (HTTPS) en producción.
- Límite de intentos en el registro y en el inicio de sesión.
- La contraseña del CSD no se guarda.
Medidas que deben confirmarse o implementarse antes de publicar este anexo [VERIFICAR / PENDIENTE]:
- Cifrado reforzado de los certificados de sello digital.
- Registro de auditoría de acciones relevantes.
- Respaldos cifrados con pruebas de restauración.
- Bloqueo por cuenta ante intentos repetidos de acceso.
- Recuperación segura de contraseña y confirmación de correo.
- Control de acceso del personal a producción, con registro.
- Procedimiento documentado de respuesta a vulneraciones.
Anexo D. Guía para el Cliente: aviso a sus propios clientes
Usted, como responsable, debe informar a sus clientes cómo usa sus datos. Modelo corto que puede adaptar y publicar o entregar:
[Nombre o razón social del negocio] es responsable de sus datos personales. Los usamos para atender su solicitud, cotizarle, venderle, facturarle y cobrarle, darle seguimiento y cumplir obligaciones fiscales. Para facturar, compartimos los datos necesarios con proveedores de timbrado y con el SAT. Utilizamos una plataforma de gestión (Next Step) que trata sus datos por nuestra cuenta. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición escribiendo a [su correo]. Consulte nuestro aviso completo en [enlace].
Recomendaciones:
- Entregue o muestre el aviso al recabar los datos (en la cotización, en el mostrador o en su sitio).
- No capture datos de personas que no le hayan autorizado a tratarlos.
- Si contacta a sus clientes por WhatsApp o correo para promociones, asegúrese de tener su permiso.
- Next Step no sustituye su asesoría legal; consulte a un profesional si tiene dudas.