Convenio de Tratamiento de Datos Personales
Entre la Institución Educativa (Responsable) y Xokai (Encargado)
⚠️ BORRADOR · REQUIERE REVISIÓN LEGAL ANTES DE FIRMAR Este es el documento más importante desde el punto de vista legal para operar con escuelas. Define la relación Responsable–Encargado que exige la LFPDPPP. El abogado de la institución educativa (por ejemplo, el de Loris Malaguzzi Learning Community A.C.) lo pedirá antes de cargar datos reales. Debe revisarse por abogados de ambas partes antes de firmarse.
Versión: 1.0 · Borrador
Partes
- El Responsable: la institución educativa [RAZÓN SOCIAL DE LA ESCUELA]
[VALIDAR — ej. Loris Malaguzzi Learning Community, A.C.]. - El Encargado: [RAZÓN SOCIAL DE XOKAI], operador de la plataforma Xokai.
1. Objeto
El Responsable encomienda al Encargado el tratamiento de los datos personales de su comunidad educativa (alumnos, tutores y personal), con el único fin de prestar los servicios de la plataforma Xokai conforme a las instrucciones del Responsable.
2. Obligaciones del Encargado (Xokai)
El Encargado se obliga a:
a) Tratar los datos únicamente conforme a las instrucciones del Responsable.
b) No utilizar los datos para fines propios ni transferirlos salvo lo necesario para prestar el servicio (subencargados listados en el Anexo A).
c) Implementar las medidas de seguridad descritas en el Anexo B.
d) Guardar confidencialidad sobre los datos, obligación que subsiste tras terminar la relación.
e) No utilizar los datos personales para entrenar modelos de inteligencia artificial propios o de terceros. Las funciones de IA se limitan a generar resultados para el propio Responsable. [VALIDAR cláusula IA]
f) Suprimir o devolver los datos al término de la relación, conforme a la sección 6.
g) Permitir al Responsable verificar el cumplimiento de estas obligaciones.
h) Informar al Responsable, sin demora indebida, sobre cualquier vulneración de seguridad que afecte sus datos. [VALIDAR plazo de notificación de incidentes]
3. Obligaciones del Responsable (la Institución)
a) Contar con el consentimiento de los titulares (tutores, en el caso de menores) para el tratamiento. b) Mantener su propio Aviso de Privacidad vigente. c) Dar instrucciones lícitas al Encargado. d) Atender las solicitudes de derechos ARCO de su comunidad, con el apoyo técnico del Encargado.
4. Datos de menores y datos sensibles [VALIDAR — CRÍTICO]
Las partes reconocen que el tratamiento incluye datos personales de menores de edad y datos sensibles de salud (alergias, notas médicas). Ambas partes aplicarán medidas de seguridad reforzadas y limitarán el acceso a dichos datos al personal estrictamente necesario.
5. Subencargados
El Encargado podrá apoyarse en los subencargados listados en el Anexo A (infraestructura, pagos, timbrado fiscal, IA, mensajería). Cualquier nuevo subencargado se notificará al Responsable, quien podrá oponerse por causa justificada.
6. Vigencia y terminación
Este Convenio estará vigente mientras dure la prestación del servicio. A su término, el Encargado, a elección del Responsable:
- Devolverá los datos en formato exportable, y/o
- Los suprimirá de forma segura, conservando únicamente lo que exija la ley, por el plazo legal aplicable. [VALIDAR plazos]
7. Legislación aplicable
Este Convenio se rige por la LFPDPPP, su Reglamento, y las leyes de los Estados Unidos Mexicanos.
Anexo A · Subencargados
| Subencargado | Servicio | Ubicación | Salvaguardas |
|---|---|---|---|
| [Proveedor de hosting / Supabase] | Infraestructura y base de datos | EE.UU. [VALIDAR] |
Cifrado, aislamiento por institución |
| [Proveedor de pagos] | Procesamiento de cobros | [POR DEFINIR] | PCI-DSS |
| [Proveedor de timbrado] | CFDI | México | Autorizado por el SAT |
| [Proveedor de IA] | Funciones asistidas por IA | [POR DEFINIR] | Sin retención ni uso para entrenamiento [VALIDAR] |
| [Proveedor de mensajería] | Correo / WhatsApp | [POR DEFINIR] | Cifrado en tránsito |
Anexo B · Medidas de seguridad
- Aislamiento de datos por institución mediante Row Level Security.
- Cifrado en tránsito (TLS) y de datos sensibles en reposo.
- Control de acceso por roles y autenticación reforzada.
- Bitácoras de actividad y acceso.
- Respaldos periódicos y plan de recuperación.
[VALIDAR: requiere plan Pro de infraestructura para respaldos point-in-time] - Procedimiento de notificación de incidentes de seguridad.
Firmas [VALIDAR formato de firma — puede usarse firma electrónica]
Por el Responsable: _____ Fecha: ____
Por el Encargado (Xokai): _____ Fecha: ____
Documento generado como borrador de trabajo. No constituye asesoría legal. Requiere validación profesional de ambas partes antes de firmarse.