1. Definiciones
«Responsable»: la empresa cliente, persona física o moral, que decide sobre el tratamiento de los datos de sus titulares.
«Encargado» o «Nubacom»: Nubacom S.A. de C.V., operadora de Contexta, que trata esos datos sólo por cuenta del Responsable.
«Subencargado»: proveedor que trata datos por cuenta de Nubacom para prestar el servicio.
«Titulares»: las personas cuyos datos trata el Responsable a través de Contexta: sus prospectos, clientes, usuarios finales, candidatos y personal.
«Datos del Responsable»: los datos personales que el Responsable carga en Contexta o que Contexta recaba por su cuenta, como conversaciones, grabaciones, transcripciones, contactos y citas.
«Incidente de seguridad»: cualquier pérdida, destrucción, robo, extravío, copia, uso, acceso, tratamiento, daño, alteración o divulgación no autorizados de los Datos del Responsable.
«LFPDPPP»: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y la normativa que de ella deriva.
2. Objeto y papel de las partes
2.1 El Responsable decide los fines del tratamiento. Nubacom actúa como encargado y trata los Datos del Responsable sólo para prestar el servicio contratado.
2.2 Respecto de los datos de la propia cuenta del Responsable (contacto, usuarios del portal y facturación), Nubacom es responsable conforme a su Política de Privacidad.
2.3 La descripción del tratamiento está en el Anexo 1.
3. Instrucciones
3.1 Nubacom trata los Datos del Responsable sólo conforme a sus instrucciones. Son instrucciones este Acuerdo, la configuración que el Responsable hace en el portal (agentes, campañas, canales e integraciones) y las que dé por escrito.
3.2 Nubacom avisará al Responsable si considera que una instrucción infringe la ley.
4. Obligaciones de Nubacom
4.1 No tratará los Datos del Responsable para fines propios, ni los venderá, comercializará o cederá, ni los usará para entrenar modelos de inteligencia artificial.
4.2 Confidencialidad: sólo tendrá acceso el personal que lo necesite para soporte y operación, sujeto a obligaciones de confidencialidad que subsisten al terminar este Acuerdo.
4.3 Seguridad: mantendrá las medidas del Anexo 3.
4.4 Derechos de los Titulares: trasladará al Responsable, en un máximo de 5 días hábiles, cualquier solicitud de derechos ARCO que reciba sobre sus datos, y le ayudará a atenderla con las herramientas del portal.
4.5 No comunicará los Datos del Responsable a terceros, salvo a Subencargados (cláusula 6) o por mandato de autoridad competente. En este último caso avisará antes al Responsable, salvo que la ley lo prohíba.
4.6 Información y verificación: entregará la información razonable que el Responsable pida para comprobar el cumplimiento de este Acuerdo, y permitirá una revisión al año, con 30 días de aviso, a costa del Responsable y sin acceso a datos de otros clientes.
5. Obligaciones del Responsable
5.1 Contar con base legal para tratar los datos de sus Titulares y darles su propio aviso de privacidad, incluido que pueden ser atendidos por un agente de inteligencia artificial y que las llamadas se graban.
5.2 Cargar sólo datos que pueda tratar legalmente y, en sus campañas, respetar los registros de exclusión aplicables, como el Registro Público para Evitar Publicidad (REPEP) de la Profeco.
5.3 Obtener el consentimiento expreso de los Titulares si trata datos personales sensibles.
5.4 Mantener seguras las credenciales de acceso de sus usuarios al portal.
6. Subencargados
6.1 El Responsable autoriza a Nubacom a usar los Subencargados del Anexo 2.
6.2 Nubacom avisará con al menos 30 días de anticipación de cualquier Subencargado nuevo. El Responsable puede oponerse por motivos razonables; si no se resuelve, podrá terminar el servicio afectado sin penalización.
6.3 Nubacom exigirá a sus Subencargados, por contrato o mediante sus términos de tratamiento de datos, obligaciones de confidencialidad y seguridad adecuadas.
7. Ubicación de los datos
7.1 Los Datos del Responsable se almacenan principalmente en México, en Google Cloud, región Querétaro.
7.2 Los respaldos de la base de datos se guardan en Estados Unidos y el procesamiento de inteligencia artificial ocurre en Estados Unidos y otras regiones de Google. Los demás Subencargados tratan datos en las ubicaciones del Anexo 2.
7.3 Estas comunicaciones son remisiones a encargados en términos de la LFPDPPP y se realizan sólo para prestar el servicio.
8. Incidentes de seguridad
8.1 Nubacom avisará al Responsable sin demora y en un máximo de 24 horas desde que tenga conocimiento de un Incidente de seguridad que afecte o pueda afectar los Datos del Responsable.
8.2 El aviso indicará, con la información disponible, qué ocurrió, cuándo, qué datos y Titulares están involucrados, las medidas tomadas y un contacto. Nubacom completará la información conforme avance la investigación.
8.3 Nubacom colaborará con el Responsable en la investigación y la solución, y en el aviso que el Responsable deba dar a sus Titulares.
8.4 Nubacom no hablará públicamente de un incidente nombrando al Responsable sin coordinarlo con él, salvo obligación legal.
9. Terminación, devolución y eliminación
9.1 Al terminar el servicio, Nubacom suspende de inmediato los agentes, las campañas y cualquier otro tratamiento de los Datos del Responsable, salvo lo necesario para exportarlos y eliminarlos.
9.2 Durante los 30 días siguientes, el Responsable puede exportar sus datos: contactos y conversaciones desde el portal, y las grabaciones y demás información en un archivo que Nubacom le entrega a solicitud.
9.3 Al concluir la exportación, o al vencer ese plazo, Nubacom elimina los Datos del Responsable en un máximo de 30 días. Los respaldos de la base de datos se eliminan por rotación en los 7 días siguientes y no se usan para recuperar esos datos; los registros técnicos se eliminan a los 30 días.
9.4 A solicitud del Responsable, Nubacom entrega una constancia de eliminación firmada por su Delegado de Protección de Datos.
9.5 Nubacom sólo conservará lo que la ley le obligue (por ejemplo, los datos de facturación durante 5 años por obligación fiscal), bloqueado y sin otro uso. Los Subencargados conservan lo que recibieron conforme a sus propias políticas.
10. Responsabilidad
10.1 El límite general de responsabilidad de los Términos y Condiciones no aplica cuando haya dolo, uso indebido, divulgación no autorizada o comercialización de los Datos del Responsable por parte de Nubacom o de su personal, ni en los demás casos en que la ley no permita limitarla.
10.2 Para incumplimientos graves de las obligaciones de confidencialidad o seguridad de este Acuerdo atribuibles a negligencia de Nubacom, las partes pueden pactar en Condiciones Particulares un límite específico distinto del general.
11. Vigencia
Este Acuerdo rige mientras Nubacom trate Datos del Responsable. Las obligaciones de confidencialidad y de eliminación subsisten después de su terminación.
12. Prelación
12.1 En materia de protección de datos personales, este Acuerdo prevalece sobre los Términos y Condiciones.
12.2 Las Condiciones Particulares que firmen las partes prevalecen sobre este Acuerdo y sobre los Términos y Condiciones en las materias que regulen.
13. Ley aplicable y jurisdicción
Este Acuerdo se rige por las leyes de los Estados Unidos Mexicanos. Para cualquier controversia, las partes se someten a los tribunales competentes de Monterrey, Nuevo León, México.
14. Contacto
Delegado de Protección de Datos de Nubacom: Constantino Maldonado Alvarado · [email protected] · +52 811 696 3966 · El Salto 3227, Riberas del Río, Guadalupe, Nuevo León 67160, México.
Anexo 1. Descripción del tratamiento
| Finalidad | Prestar el servicio contratado: agentes de inteligencia artificial por teléfono, WhatsApp, chat web, correo y avatares; campañas de llamadas de Prospecta; agenda y CRM; entrevistas de Talento; y análisis de calidad de las conversaciones. |
|---|---|
| Titulares | Prospectos, clientes y usuarios finales del Responsable; candidatos (módulo Talento); y personal del Responsable que usa el portal. |
| Datos | Identificación y contacto; contenido de conversaciones; grabaciones de voz y transcripciones; video de entrevistas; citas, notas e historial; y la información que el Responsable incluya en las bases de conocimiento de sus agentes. |
| Datos sensibles | Contexta no está diseñada para tratarlos. Si el Responsable los trata, aplica la cláusula 5.3. |
| Operaciones | Almacenamiento, procesamiento con modelos de inteligencia artificial, llamadas y envío de mensajes, grabación, transcripción, análisis, exportación y eliminación. |
| Duración | Mientras dure el servicio, más el plazo de devolución y eliminación de la cláusula 9. |
Anexo 2. Subencargados
La lista vigente de subencargados, con su servicio, cuándo aplica y su ubicación, es la de la Política de Privacidad, sección 10.
Anexo 3. Medidas de seguridad
Las medidas técnicas y organizativas vigentes son las de la Política de Privacidad, sección 9.
Versión
1.0 · 15 de octubre de 2026
1. Definitions
"Controller": the business customer, a natural or legal person, that decides on the processing of its data subjects' data.
"Processor" or "Nubacom": Nubacom S.A. de C.V., operator of Contexta, which processes that data only on the Controller's behalf.
"Subprocessor": a provider that processes data on Nubacom's behalf to provide the service.
"Data subjects": the people whose data the Controller processes through Contexta: its prospects, customers, end users, candidates and staff.
"Controller Data": the personal data the Controller uploads to Contexta or that Contexta collects on its behalf, such as conversations, recordings, transcripts, contacts and appointments.
"Security incident": any unauthorized loss, destruction, theft, misplacement, copying, use, access, processing, damage, alteration or disclosure of Controller Data.
"LFPDPPP": Mexico's Federal Law on the Protection of Personal Data Held by Private Parties and the regulations derived from it.
2. Purpose and roles of the parties
2.1 The Controller decides the purposes of the processing. Nubacom acts as processor and processes Controller Data only to provide the contracted service.
2.2 With respect to the data of the Controller's own account (contact details, portal users and billing), Nubacom is the controller under its Privacy Policy.
2.3 The description of the processing is set out in Annex 1.
3. Instructions
3.1 Nubacom processes Controller Data only on the Controller's instructions. Instructions are this Agreement, the configuration the Controller sets in the portal (agents, campaigns, channels and integrations) and any it gives in writing.
3.2 Nubacom will notify the Controller if it considers that an instruction infringes the law.
4. Nubacom's obligations
4.1 It will not process Controller Data for its own purposes, nor sell, commercialize or hand it over, nor use it to train artificial intelligence models.
4.2 Confidentiality: only staff who need it for support and operation will have access, bound by confidentiality obligations that survive the termination of this Agreement.
4.3 Security: it will maintain the measures in Annex 3.
4.4 Data subject rights: it will forward to the Controller, within 5 business days, any ARCO rights request it receives about the Controller's data, and help the Controller handle it with the portal's tools.
4.5 It will not disclose Controller Data to third parties, except to Subprocessors (clause 6) or by order of a competent authority. In the latter case it will notify the Controller beforehand, unless the law prohibits it.
4.6 Information and verification: it will provide the reasonable information the Controller requests to verify compliance with this Agreement, and allow one review per year, with 30 days' notice, at the Controller's expense and without access to other customers' data.
5. Controller's obligations
5.1 Have a legal basis to process its data subjects' data and give them its own privacy notice, including that they may be served by an artificial intelligence agent and that calls are recorded.
5.2 Upload only data it may lawfully process and, in its campaigns, respect the applicable opt-out registries, such as Profeco's Public Registry to Avoid Advertising (REPEP).
5.3 Obtain the express consent of data subjects if it processes sensitive personal data.
5.4 Keep its users' portal access credentials secure.
6. Subprocessors
6.1 The Controller authorizes Nubacom to use the Subprocessors in Annex 2.
6.2 Nubacom will give at least 30 days' notice of any new Subprocessor. The Controller may object on reasonable grounds; if the objection is not resolved, it may terminate the affected service without penalty.
6.3 Nubacom will require its Subprocessors, by contract or through their data processing terms, to meet appropriate confidentiality and security obligations.
7. Data location
7.1 Controller Data is stored mainly in Mexico, on Google Cloud, Querétaro region.
7.2 Database backups are kept in the United States, and artificial intelligence processing takes place in the United States and other Google regions. The other Subprocessors process data at the locations in Annex 2.
7.3 These disclosures are communications to processors under the LFPDPPP and are made only to provide the service.
8. Security incidents
8.1 Nubacom will notify the Controller without delay and within a maximum of 24 hours from becoming aware of a Security incident that affects or may affect Controller Data.
8.2 The notice will state, with the information available, what happened, when, which data and data subjects are involved, the measures taken and a contact. Nubacom will complete the information as the investigation progresses.
8.3 Nubacom will cooperate with the Controller in the investigation and resolution, and in any notice the Controller must give its data subjects.
8.4 Nubacom will not speak publicly about an incident naming the Controller without coordinating with it, unless legally required.
9. Termination, return and deletion
9.1 When the service ends, Nubacom immediately suspends the agents, campaigns and any other processing of Controller Data, except what is needed to export and delete it.
9.2 During the following 30 days, the Controller may export its data: contacts and conversations from the portal, and recordings and other information in a file Nubacom delivers on request.
9.3 Once the export is complete, or when that period expires, Nubacom deletes Controller Data within a maximum of 30 days. Database backups are deleted by rotation within the following 7 days and are not used to restore that data; technical logs are deleted after 30 days.
9.4 At the Controller's request, Nubacom delivers a deletion certificate signed by its Data Protection Officer.
9.5 Nubacom will keep only what the law requires (for example, billing data for 5 years under tax law), blocked and with no other use. Subprocessors keep what they received according to their own policies.
10. Liability
10.1 The general limitation of liability in the Terms and Conditions does not apply in cases of willful misconduct, misuse, unauthorized disclosure or commercialization of Controller Data by Nubacom or its staff, nor in any other case where the law does not allow liability to be limited.
10.2 For serious breaches of the confidentiality or security obligations of this Agreement attributable to Nubacom's negligence, the parties may agree on a specific limit, different from the general one, in Particular Conditions.
11. Term
This Agreement remains in force for as long as Nubacom processes Controller Data. The confidentiality and deletion obligations survive its termination.
12. Order of precedence
12.1 In matters of personal data protection, this Agreement prevails over the Terms and Conditions.
12.2 Any Particular Conditions signed by the parties prevail over this Agreement and over the Terms and Conditions in the matters they cover.
13. Governing law and jurisdiction
This Agreement is governed by the laws of the United Mexican States. For any dispute, the parties submit to the competent courts of Monterrey, Nuevo León, Mexico.
14. Contact
Nubacom's Data Protection Officer: Constantino Maldonado Alvarado · [email protected] · +52 811 696 3966 · El Salto 3227, Riberas del Río, Guadalupe, Nuevo León 67160, Mexico.
Annex 1. Description of the processing
| Purpose | Providing the contracted service: artificial intelligence agents over phone, WhatsApp, web chat, email and avatars; Prospecta call campaigns; scheduling and CRM; Talento interviews; and quality analysis of conversations. |
|---|---|
| Data subjects | The Controller's prospects, customers and end users; candidates (Talento module); and the Controller's staff who use the portal. |
| Data | Identification and contact data; conversation content; voice recordings and transcripts; interview video; appointments, notes and history; and the information the Controller includes in its agents' knowledge bases. |
| Sensitive data | Contexta is not designed to process them. If the Controller does, clause 5.3 applies. |
| Operations | Storage, processing with artificial intelligence models, calls and messaging, recording, transcription, analysis, export and deletion. |
| Duration | For the duration of the service, plus the return and deletion period in clause 9. |
Annex 2. Subprocessors
The current list of subprocessors, with their service, when they apply and their location, is the one in the Privacy Policy, Section 10.
Annex 3. Security measures
The current technical and organizational measures are those in the Privacy Policy, Section 9.
Version
1.0 · October 15, 2026