Términos del servicio ERPHYX

Estos Términos de Servicio (el «Contrato») regulan el uso de la plataforma ERPHYX que presta BLUEPRINTEK, con RFC BLU2603318Y2 y domicilio en PELON GUTIERREZ 1055, C.P. 45656, TLAJOMULCO DE ZUÑIGA, Jal. («EL PROVEEDOR»), a la empresa que contrata el servicio, con RFC el registrado en la Plataforma («EL CLIENTE»). La persona que acepta declara tener facultades para obligar a EL CLIENTE. La aceptación por medios electrónicos produce los mismos efectos que la firma autógrafa.

1. Definiciones. Plataforma: el software ERPHYX y sus módulos contratados. Tenant: el entorno lógico de EL CLIENTE. Datos del Cliente: toda la información que EL CLIENTE o sus Usuarios cargan o generan. Usuarios: personas autorizadas por EL CLIENTE.

2. Objeto y licencia. EL PROVEEDOR otorga a EL CLIENTE una licencia limitada, no exclusiva, intransferible y revocable para usar la Plataforma durante la vigencia, sólo para sus operaciones internas y para los módulos del Anexo A.

3. Roles y datos personales. Respecto de los datos personales, EL CLIENTE es Responsable y EL PROVEEDOR es Encargado, conforme al Anexo de Encargado del Tratamiento, que forma parte de este Contrato y prevalece en esa materia.

4. Hosting y subencargados. La Plataforma se aloja con los proveedores listados en el Anexo II del Anexo de Encargado, en las regiones allí indicadas. EL PROVEEDOR puede cambiarlos con aviso previo de 15 días.

5. Niveles de servicio. Disponibilidad objetivo mensual de 99.0%, excluyendo mantenimiento programado y causas ajenas a EL PROVEEDOR; horario y tiempos de respuesta por severidad conforme al Anexo B. Los créditos por incumplimiento, cuando se pacten, son el único remedio por indisponibilidad.

6. Respaldos y continuidad. EL PROVEEDOR realiza respaldos diarios cifrados. Pruebas de restauración trimestrales. EL CLIENTE puede solicitar una exportación de sus datos en cualquier momento.

7. Precio y pago. La suscripción se cobra por adelantado conforme al plan elegido (Anexo A), con renovación automática mensual hasta que EL CLIENTE la cancele desde la Plataforma. Los precios pueden ajustarse con aviso de 30 días. Si un pago no se cubre, tras 15 días de aviso EL PROVEEDOR puede suspender el acceso sin responsabilidad, conservando los datos.

8. Obligaciones del Cliente. Administrar usuarios y credenciales; cargar sólo datos con base legal; mantener su aviso de privacidad; no usar la Plataforma de forma ilegal, ni para ingeniería inversa, pruebas de intrusión no autorizadas o reventa; y atender las solicitudes de sus titulares.

9. Propiedad intelectual. La Plataforma, su código, diseño, algoritmos, metodología y mejoras son de EL PROVEEDOR. Los Datos del Cliente y la lógica de su negocio son de EL CLIENTE. EL PROVEEDOR puede usar datos agregados y disociados que no identifiquen a EL CLIENTE ni a titulares sólo para mejorar el servicio; nunca datos de pacientes.

10. Confidencialidad. Cada parte protege la información confidencial de la otra durante la vigencia y 5 años después; los datos personales, sin límite de tiempo.

11. Garantías. EL PROVEEDOR garantiza que prestará el servicio con diligencia profesional y que la Plataforma funcionará sustancialmente conforme a su documentación. No garantiza operación ininterrumpida, resultados de negocio ni el cumplimiento legal de EL CLIENTE.

12. Limitación de responsabilidad. La responsabilidad total de EL PROVEEDOR por cualquier causa se limita a lo pagado por EL CLIENTE en los 12 meses previos al hecho. No responde por daños indirectos, lucro cesante ni pérdida de datos imputable a instrucciones de EL CLIENTE. Estas limitaciones no aplican a dolo ni a lo que la ley no permita limitar.

13. Indemnidad. EL CLIENTE mantendrá indemne a EL PROVEEDOR por reclamaciones de terceros, incluidos titulares de datos, derivadas de datos cargados, instrucciones dadas o usos de la Plataforma sin base legal, salvo dolo o incumplimiento de EL PROVEEDOR.

14. Vigencia y terminación. El Contrato inicia con su aceptación y dura mientras la suscripción esté activa. EL CLIENTE puede cancelarla en cualquier momento con efecto al final del periodo pagado. Cualquiera de las partes puede terminarlo por incumplimiento grave no subsanado en el plazo del aviso. A la terminación aplica la devolución y supresión del Anexo de Encargado.

15. Suspensión por seguridad. EL PROVEEDOR puede suspender el acceso de forma temporal si hay riesgo grave a la seguridad o uso ilícito, avisando a EL CLIENTE lo antes posible.

16. Cesión y subcontratación. EL CLIENTE no cede el Contrato sin consentimiento escrito. EL PROVEEDOR puede subcontratar sin liberarse de sus obligaciones.

17. Fuerza mayor. Ninguna parte responde por incumplimientos causados por hechos fuera de su control razonable.

18. Notificaciones. Por escrito a los domicilios y correos de las partes registrados en la Plataforma; las relativas a datos personales, a hola@erphyx.com.

19. Relación entre las partes. No existe relación laboral entre las partes ni entre sus empleados.

20. Ley y jurisdicción. Leyes federales de los Estados Unidos Mexicanos; tribunales de Guadalajara, Jalisco, con renuncia a cualquier otro fuero.

Anexo A. Módulos contratados y precio

Anexo B. Niveles de servicio

Horario de soporte: lunes a viernes de 9:00 a 18:00 h (hora del centro de México). Disponibilidad objetivo mensual: 99.0%.

Anexos que forman parte del Contrato

Documento aceptado por medios electrónicos. La constancia —usuario, fecha y hora, dirección IP, navegador y huella SHA-256 de este texto— queda registrada en la plataforma ERPHYX.

Este anexo forma parte del contrato vigente entre la empresa que contrata el servicio y BLUEPRINTEK y prevalece sobre él en todo lo relativo a datos personales.

1. Roles. la empresa que contrata el servicio es el Responsable y decide las finalidades y los medios del tratamiento. BLUEPRINTEK es el Encargado y trata los datos únicamente por cuenta e instrucción del Responsable, para prestar la plataforma ERPHYX. El Encargado no determina finalidades propias.

2. Descripción del tratamiento. Las categorías de titulares, datos, finalidades y duración están en el Anexo I. Cualquier cambio requiere instrucción escrita del Responsable.

3. Instrucciones documentadas. El Encargado sólo trata datos conforme a este anexo, al contrato y a las instrucciones escritas del Responsable, incluida la configuración que el Administrador del Responsable realiza en la plataforma. Si una instrucción le parece contraria a la ley, el Encargado lo informará sin demora y podrá suspender su ejecución.

4. Obligaciones del Encargado. Se obliga a:

• No tratar datos para fines distintos a los instruidos ni comunicarlos a terceros, salvo a subencargados autorizados o por mandato legal.
• Guardar confidencialidad y exigirla por escrito a su personal con acceso.
• Aplicar las medidas de seguridad del Anexo III.
• Asistir al Responsable en las solicitudes de derechos ARCO conforme a la cláusula 9.
• Notificar vulneraciones conforme a la cláusula 8.
• Devolver o suprimir los datos conforme a la cláusula 11.

5. Obligaciones del Responsable. Declara y se obliga a:

• Contar con aviso de privacidad vigente, puesto a disposición de los titulares, que cubra el tratamiento en ERPHYX.
• Tener una base de licitud para cada finalidad y, cuando trate datos sensibles (biometría, salud u otros), obtener el consentimiento expreso que corresponda.
• Cargar sólo datos necesarios, exactos y actualizados, y responder por los que carguen sus usuarios.
• Administrar altas, roles y bajas de usuarios y proteger sus credenciales.
• Atender las solicitudes ARCO y comunicarse con la autoridad cuando corresponda.
• Mantener indemne al Encargado por reclamaciones derivadas de datos cargados u operaciones instruidas sin base legal.

6. Subencargados y transferencias. El Responsable autoriza de forma general a los subencargados del Anexo II. El Encargado avisará por escrito con 15 días de anticipación cualquier alta o cambio, y el Responsable podrá objetar por causa razonable. El Encargado impondrá a cada subencargado obligaciones equivalentes y responderá por su cumplimiento. Algunos subencargados tratan datos fuera de México; el Responsable lo conoce y lo autoriza para prestar el servicio.

7. Medidas de seguridad. Las medidas administrativas, físicas y técnicas mínimas están en el Anexo III; el Encargado las mantendrá y podrá mejorarlas sin reducir su nivel.

8. Vulneraciones de seguridad. El Encargado notificará al Responsable sin dilación y a más tardar en 48 horas desde que tenga conocimiento de una vulneración que afecte datos del Responsable, con la naturaleza del incidente, los datos y titulares probablemente afectados, las medidas tomadas y un contacto. Cooperará con la investigación y la mitigación. La comunicación a titulares y a la autoridad corresponde al Responsable.

9. Derechos ARCO. Si el Encargado recibe una solicitud de un titular, la remitirá al Responsable en máximo 2 días hábiles y no responderá sobre el fondo. Ayudará con la extracción o corrección de datos que el Responsable instruya por escrito.

10. Evidencia y auditoría. El Encargado pondrá a disposición la información razonable para demostrar el cumplimiento y permitirá una revisión por año, con aviso de 15 días, a cargo del Responsable y sin acceso a datos de otros clientes.

11. Devolución y supresión. Al terminar el servicio, el Encargado entregará una exportación de los datos en formato .sql y .csv dentro de 30 días y después los suprimirá de producción y respaldos en 60 días, con constancia escrita. Se conservarán sólo los datos que una ley obligue a guardar, bloqueados y sin otro uso.

12. Responsabilidad. Cada parte responde por su propio incumplimiento. La responsabilidad del Encargado se limita a lo previsto en el contrato principal, salvo dolo.

13. Vigencia. Dura mientras exista tratamiento. Las obligaciones de confidencialidad y supresión sobreviven al término.

14. Prelación. En caso de conflicto, para datos personales prevalece este anexo sobre el contrato principal y sus demás anexos.

Anexo I. Descripción del tratamiento

Anexo II. Subencargados autorizados

Anexo III. Medidas de seguridad mínimas

• Aislamiento lógico entre clientes (tenants) mediante políticas de acceso por fila, con pruebas periódicas.
• Cifrado en tránsito (HTTPS) y en reposo.
• Control de acceso por roles y mínimo privilegio; autenticación reforzada para administradores.
• Bitácoras de cambios y de acceso, conservadas por 12 meses.
• Respaldos cifrados y prueba de restauración trimestrales.
• Gestión de vulnerabilidades y actualizaciones.
• Capacitación y confidencialidad del personal.

Documento aceptado por medios electrónicos. La constancia —usuario, fecha y hora, dirección IP, navegador y huella SHA-256 de este texto— queda registrada en la plataforma ERPHYX.

la empresa que contrata el servicio, con RFC el registrado en la Plataforma, declara, para efectos del uso de la plataforma ERPHYX provista por BLUEPRINTEK:

1. Que es el Responsable de los datos personales de sus empleados, candidatos y demás titulares que cargue o genere en la plataforma, y que decide las finalidades y los medios de su tratamiento.
2. Que cuenta con aviso de privacidad vigente, puesto a disposición de los titulares antes de recabar sus datos, que cubre el uso de ERPHYX, o que lo tendrá antes de cargar datos personales (ERPHYX ofrece un modelo).
3. Que cada finalidad tiene una base de licitud documentada y que, tratando datos sensibles (biometría, salud u otros), cuenta con el consentimiento expreso que la ley exige.
4. Que el usuario que acepta es el contacto de datos personales y Administrador de la plataforma mientras no designe a otros por escrito.
5. Que los datos son o serán cargados por su propio personal, o por el proveedor sólo por instrucción escrita, y que son necesarios, exactos y actualizados.
6. Que atenderá las solicitudes de derechos ARCO de sus titulares y las comunicaciones de la autoridad.
7. Que conoce y acepta el Anexo de Encargado del Tratamiento y que prevalece en materia de datos personales.
8. Que mantendrá indemne al proveedor por reclamaciones derivadas de datos cargados o instrucciones dadas sin base legal.
9. Que informará por escrito al proveedor cualquier cambio de administrador, de contacto de datos o de finalidades.

Documento aceptado por medios electrónicos. La constancia —usuario, fecha y hora, dirección IP, navegador y huella SHA-256 de este texto— queda registrada en la plataforma ERPHYX.