KONOK · versión 1.0
CONTRATO DE ENCARGO DEL TRATAMIENTO DE DATOS PERSONALES
Anexo B del Contrato de Suscripción al Servicio KONOK
Versión 1.0 · vigente desde el 4 de octubre de 2026
DECLARACIONES
Las partes son las mismas del Contrato de Suscripción al Servicio KONOK (el «Contrato»): KONOK TECHNOLOGIES, S.A.S. de C.V. («KONOK»), como encargado, y el Cliente, como responsable. Las palabras con mayúscula inicial tienen el significado que les da el Contrato. Este documento es el Anexo B del Contrato y se acepta con él.
CLÁUSULAS
1. Objeto
1.1. El Cliente encarga a KONOK el tratamiento de los datos personales que la Organización y sus Usuarios cargan en el Servicio, sólo para prestar el Servicio y conforme a las instrucciones del Cliente.
1.2. La comunicación de datos del Cliente a KONOK es una remisión entre responsable y encargado, no una transferencia, y no requiere el consentimiento de los titulares.
1.3. Este Anexo no cubre los datos que KONOK trata como responsable por cuenta propia: los de las cuentas de los Usuarios (nombre, correo, acceso), la facturación de la suscripción, los registros de seguridad y el uso del Servicio. Esos se rigen por el aviso de privacidad de KONOK.
2. Qué datos y de quién
2.1. Titulares: clientes, prospectos, asegurados, contratantes, beneficiarios y candidatos a asesor de la Organización, y los propios Usuarios en lo que la Organización registre sobre ellos (producción, actividad, expediente de incorporación).
2.2. Categorías de datos:
a) de identificación y contacto: nombre, fecha de nacimiento, sexo, domicilio, teléfono, correo, RFC y CURP;
b) patrimoniales y de seguros: pólizas, sumas aseguradas, primas, formas de pago, aseguradora, producto, siniestros y trámites;
c) laborales y de incorporación de candidatos: escolaridad, experiencia, evaluaciones y documentos del expediente;
d) sensibles de salud, sólo cuando el Cliente los captura para una cotización o trámite de gastos médicos o de vida.
2.3. KONOK no pide datos sensibles distintos de los de salud. Si el Cliente los carga por su cuenta, este Anexo los protege igual, pero el Cliente responde por haberlos recabado.
3. Para qué los trata KONOK
KONOK trata los datos sólo para:
a) guardarlos, mostrarlos y procesarlos dentro del Servicio (cotizaciones, propuestas, expedientes, cartera, comisiones, tableros, agenda y avisos);
b) leer los archivos que el Usuario carga (carátulas, estados de cuenta, hojas de cálculo) para proponer los datos que contienen. Los PDF se leen en el navegador del Usuario; al servidor llegan sólo los datos que el Usuario confirma;
c) enviar los correos y avisos que el Usuario ordene o configure;
d) respaldar, proteger y restaurar la información;
e) atender soporte cuando el Titular lo pida y sólo con su autorización expresa para ese caso;
f) cumplir una orden de autoridad competente, en los términos de la cláusula 11.
KONOK no usa los datos para fines propios, no los vende, no los renta, no hace perfiles de los titulares y no los usa para entrenar modelos de inteligencia artificial, ni permite que sus proveedores lo hagan.
4. Instrucciones del Cliente
4.1. El Contrato, este Anexo y la configuración que el Cliente hace dentro del Servicio son sus instrucciones.
4.2. Si KONOK considera que una instrucción viola la ley, lo avisa al Cliente y puede no ejecutarla hasta que se aclare.
5. Obligaciones del Cliente como responsable
El Cliente se obliga a:
a) dar a los titulares su propio aviso de privacidad, que mencione que usa proveedores de tecnología para tratar sus datos;
b) obtener el consentimiento expreso y por escrito para los datos de salud, y el que la ley exija en los demás casos;
c) cargar sólo los datos que necesita para su actividad;
d) atender las solicitudes de derechos de acceso, rectificación, cancelación y oposición (ARCO) de sus titulares;
e) administrar quién de su Organización tiene acceso y con qué papel;
f) si sus Usuarios usan agentes o asistentes de inteligencia artificial con su cuenta, tratarlos como proveedores propios del Cliente: el Cliente decide qué ven, responde por ello y no les permite ver datos de salud sin el consentimiento expreso del titular (cláusula 3.6 del Contrato).
6. Confidencialidad del personal
6.1. Sólo tienen acceso a los Datos del Cliente las personas de KONOK que lo necesitan para operar, mantener o dar soporte al Servicio, y todas firman un compromiso de confidencialidad que sigue vigente al terminar su relación con KONOK.
6.2. Todo acceso del personal de KONOK a los datos de una Organización queda registrado.
6.3. El agente de soporte de primer contacto es un sistema automatizado que no tiene acceso a los Datos del Cliente. Responde con la documentación del Servicio. Si un caso requiere ver datos, lo turna a una persona de KONOK, que pide autorización al Titular.
7. Seguridad
7.1. KONOK mantiene las medidas administrativas, técnicas y físicas del Apéndice 1 y las actualiza conforme cambian los riesgos. Puede sustituir una medida por otra que dé igual o mayor protección.
7.2. KONOK revisa la seguridad del Servicio antes de cada versión importante y prueba la restauración de sus respaldos periódicamente.
8. Sub-encargados
8.1. El Cliente autoriza a KONOK a apoyarse en los proveedores del Apéndice 2.
8.2. KONOK celebra con cada sub-encargado un contrato con obligaciones de protección al menos equivalentes a las de este Anexo, y responde frente al Cliente por lo que ellos hagan con los datos.
8.3. Proveedor nuevo: KONOK avisa al Titular por correo con 30 días naturales de anticipación. Si el Cliente se opone por una razón de protección de datos, puede terminar el Contrato sin penalidad antes de la fecha del cambio, con reembolso proporcional de lo pagado por adelantado.
8.4. La lista vigente se publica en konok.mx/subencargados, con fecha.
9. Datos fuera de México
9.1. Los Datos del Cliente se guardan y procesan en Estados Unidos, en servidores de Amazon Web Services operados por Laravel Cloud, porque ese proveedor no ofrece región en México. Otros sub-encargados también tratan datos fuera de México, según indica el Apéndice 2. KONOK sólo los elige si ofrecen protección equivalente a la ley mexicana y se obligan por contrato a ello.
10. Vulneraciones de seguridad
10.1. Si KONOK confirma una vulneración que afecte los Datos del Cliente, avisa al Titular en un plazo máximo de 72 horas desde que la confirma, al correo registrado y dentro del Servicio.
10.2. El aviso dice, con lo que se sepa en ese momento: qué pasó, cuándo, qué datos y qué titulares pueden estar afectados, qué hizo KONOK para contenerlo, qué recomienda hacer y quién es el contacto en KONOK. Lo que se sepa después se envía en cuanto se confirme.
10.3. KONOK coopera con el Cliente para que éste avise a los titulares y, en su caso, a la autoridad. Avisar a los titulares es obligación del Cliente como responsable, salvo que las partes acuerden por escrito que lo haga KONOK.
10.4. KONOK guarda el registro de cada vulneración, sus causas y las medidas tomadas.
11. Solicitudes de titulares y de autoridades
11.1. Si un titular pide directamente a KONOK el ejercicio de sus derechos ARCO sobre datos del Cliente, KONOK no la resuelve por su cuenta: la turna al Titular en un plazo de 5 días hábiles y le avisa al solicitante que la turnó.
11.2. El Servicio permite al Cliente consultar, corregir, exportar y borrar los datos de un titular para atender esas solicitudes. Si hace falta algo más, KONOK ayuda sin costo dentro de lo razonable.
11.3. Si una autoridad pide a KONOK datos del Cliente, KONOK avisa al Titular antes de entregarlos, salvo que la ley o la propia autoridad lo prohíban, y entrega sólo lo estrictamente ordenado.
12. Verificación
12.1. Una vez al año, sin costo, KONOK responde el cuestionario de seguridad y protección de datos que el Cliente le envíe y le entrega un resumen de sus medidas.
12.2. El Cliente puede, máximo una vez al año, auditar el cumplimiento de este Anexo, a su costa, con 30 días naturales de aviso, en horario hábil, por medio de un auditor obligado a confidencialidad y sin acceso a datos de otras Organizaciones ni a información que comprometa la seguridad del Servicio.
13. Fin del encargo
13.1. Este Anexo dura lo mismo que el Contrato.
13.2. Al terminar, se sigue la cláusula 17.3 del Contrato: 30 días naturales para exportar, borrado de sistemas activos a los 60 días naturales, eliminación de las copias de respaldo en su ciclo normal y constancia de borrado a solicitud del Titular.
13.3. KONOK conserva sólo lo que una ley le obligue a guardar, por el plazo que ésta indique, y sigue protegiéndolo con este Anexo.
13.4. Las obligaciones de confidencialidad y de seguridad sobre los datos siguen vigentes mientras KONOK conserve cualquier dato del Cliente.
14. Responsabilidad
14.1. Cada parte responde por el incumplimiento de sus propias obligaciones como responsable o como encargado.
14.2. Conforme a la cláusula 16.3 del Contrato, el límite de responsabilidad no aplica al incumplimiento de las obligaciones de protección de datos y confidencialidad.
15. Prelación
Si este Anexo y el Contrato dicen cosas distintas sobre datos personales, prevalece este Anexo.
APÉNDICE 1 · Medidas de seguridad
| Área | Medida |
|---|---|
| Separación entre Organizaciones | Cada registro lleva la Organización a la que pertenece. Los expedientes, además, se aíslan en la base de datos con políticas que la propia base aplica, no sólo el programa se confirma con el cierre del bloque BD |
| Cifrado | En tránsito con HTTPS obligatorio. En reposo, en la base de datos del proveedor. Cifrado adicional, con llave de KONOK, de la información de salud y del RFC se confirma con el cierre del bloque BD |
| Acceso | Contraseñas guardadas con algoritmo de una sola vía. Verificación en dos pasos obligatoria para papeles que ven toda la Organización. Permisos por papel |
| Sesiones | Cookies seguras, sólo accesibles por el servidor y limitadas al propio sitio |
| Protección del sitio | Encabezados de seguridad, política de contenido que bloquea código no autorizado, límite de peticiones por persona y por dirección, red de protección frente a ataques |
| Registro | Registro de eventos de seguridad y de los accesos a expedientes ajenos al propio Usuario |
| Errores | Monitoreo de errores que quita RFC, CURP, correos, teléfonos y el contenido de los expedientes antes de enviarlos; la grabación de pantalla de un error va con todo el texto tapado |
| Código | Revisión automática de secretos y de dependencias con vulnerabilidades conocidas en cada cambio |
| Respaldos | Respaldo continuo de la base de datos con recuperación a cualquier momento de los últimos 7 días. Encendido en el clúster de producción (visto en el panel el 3 de octubre de 2026: retención de 7 días, punto más antiguo de restauración el 26 de septiembre). La restauración se probó el 18 de septiembre de 2026, y el sistema no permite borrados definitivos si la última prueba tiene más de 7 días |
| Expedientes cerrados | Una vez dada el alta de un asesor, su expediente de incorporación queda sellado contra cambios en la propia base de datos |
| Personal | Compromiso de confidencialidad firmado y acceso mínimo necesario |
Cada fila se verificó contra el código y el panel el 3 de octubre de 2026, salvo las dos que dependen del bloque BD, que todavía no está publicado. Ninguna medida se publica si no está funcionando.
APÉNDICE 2 · Sub-encargados
| Proveedor | Para qué | Qué datos toca | Dónde |
|---|---|---|---|
| Laravel Cloud (Laravel Holdings Inc.), sobre Amazon Web Services | Servidores donde corre el Servicio | Todos los Datos del Cliente, mientras se procesan | Estados Unidos (Ohio, us-east-2) |
| Base de datos administrada de Laravel Cloud (Serverless Postgres, operada por Neon) | Base de datos y sus respaldos. Ahí viven también las imágenes (logo, firma, foto): el Servicio no usa otro almacenamiento de archivos | Todos los Datos del Cliente | Estados Unidos (Ohio, us-east-2, visto en el panel el 3-oct) |
| Cloudflare, Inc. | Red de entrega y protección del sitio; reenvío del correo de contacto | Datos en tránsito y direcciones de red | Red mundial |
| Resend | Envío de los correos que el Usuario manda o el Servicio genera | Correo y nombre del destinatario, y el contenido del correo | Estados Unidos (Virginia del Norte, us-east-1, visto en su panel el 3-oct) |
| Functional Software, Inc. (Sentry) | Monitoreo de errores | Datos técnicos del error, sin RFC, CURP, correos, teléfonos ni expedientes, que se quitan antes de enviar | Estados Unidos |
No son sub-encargados de los Datos del Cliente, porque no los reciben (verificado en el código el 3-oct):
- Stripe y Facturama: cobran y facturan la suscripción con datos del Titular, que KONOK trata como responsable.
- Google: el inicio de sesión del Usuario, y el enlace a Google Calendar, que lo abre el navegador del Usuario sin que KONOK se conecte a su calendario.
- Los servicios de avisos al teléfono del navegador o del sistema (Google, Apple, Mozilla o Microsoft): los avisos viajan cifrados y nunca llevan nombres, sumas ni números de póliza.
- Banco de México: KONOK sólo consulta el tipo de cambio.
- El monitor de disponibilidad: sólo revisa que el sitio responda.
- Los agentes de inteligencia artificial que conecta el Usuario (por ejemplo, Muse de Meta o Dots de OpenAI): son proveedores del Cliente, no de KONOK (cláusula 5 f).
- Proveedores de inteligencia artificial de KONOK: hoy no hay ninguno en el Servicio. El agente de soporte, cuando exista, no tendrá acceso a los Datos del Cliente; si alguna función nueva los necesita, el proveedor entra a esta tabla con el aviso de la cláusula 8.3.
Precios · Términos y condiciones · Contrato de encargo · Sub-encargados · Aviso de privacidad · hola@konok.mx