Contrato de Encargado del Tratamiento de Datos Personales

Última actualización: 13 de septiembre de 2026 · Versión: 2026-09-13

Este contrato forma parte de los Términos del Servicio. Lo acepta el titular del despacho desde su panel o firmado en papel, y obliga al despacho desde ese momento. Si algo aquí contradice a los Términos en materia de datos personales, manda este contrato.

1. Quién es quién

El despacho ("el Responsable") es quien decide qué datos de sus contribuyentes se tratan, para qué y con qué autorización. Es el responsable del tratamiento en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
Cumplida ("el Encargado"), el titular identificado en la sección 1 de los Términos del Servicio, trata esos datos por cuenta del despacho y sólo para prestarle el servicio. Es encargado del tratamiento: no decide finalidades, no tiene relación con los contribuyentes y no los usa para nada propio.
Los titulares son los contribuyentes del despacho y las personas cuyos datos aparecen en su información fiscal (representantes, emisores y receptores de CFDI, trabajadores en nómina).

Los datos de los usuarios del despacho y del propio despacho como cliente de Cumplida no son materia de este contrato: los trata Cumplida como responsable, conforme a su Aviso de Privacidad.

2. Qué datos, de quién y para qué

| Concepto | Alcance | | --------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Titulares | Contribuyentes que el despacho da de alta y terceros que aparecen en su información fiscal. | | Datos | Identificación y contacto (nombre, RFC, CURP, correo, teléfono, domicilio fiscal); fiscales y patrimoniales (régimen, CFDI emitidos y recibidos, declaraciones, acuses, líneas de captura, pagos, buzón tributario, constancia y opinión de cumplimiento); credenciales de autenticación ante el SAT (e.firma: certificado, llave privada y contraseña; CIEC). | | Datos sensibles | Ninguno. El despacho no debe cargarlos. | | Operaciones | Resguardar, cifrar, descargar del SAT, leer, calcular, conciliar, preparar, mostrar al despacho, enviar a los contribuyentes lo que el despacho configure, exportar y suprimir. | | Finalidad | Exclusivamente prestar al despacho el servicio contratado bajo los Términos. | | Duración | Mientras la suscripción esté vigente, y hasta la supresión de la cláusula 11. |

3. Las instrucciones del despacho

Cumplida trata los datos sólo conforme a las instrucciones del despacho. Son instrucciones documentadas del despacho: estos Términos y este contrato, la configuración que el despacho haga en el panel (contribuyentes dados de alta, credenciales cargadas, reglas de envío, módulos encendidos) y las acciones que sus usuarios aprueben. Si Cumplida considera que una instrucción es contraria a la ley, lo dice al despacho y puede abstenerse de ejecutarla.

El despacho instruye y autoriza a Cumplida a disociar y anonimizar datos de forma que no identifiquen a ningún titular, para medir, probar y mejorar el servicio. Los datos disociados dejan de ser datos personales.

4. Lo que corresponde al despacho

El despacho, como responsable, declara y se obliga a:

Tener base legal para tratar los datos de cada titular y para confiarlos a un encargado, incluido el consentimiento cuando la ley lo exija.
Dar a sus contribuyentes su propio aviso de privacidad, que informe que usa plataformas tecnológicas de terceros como encargados para prestar sus servicios.
Contar con autorización expresa y por escrito de cada contribuyente antes de cargar su e.firma o su CIEC, que permita al despacho usarlas y confiarlas a un encargado para las operaciones de la cláusula 2. El despacho conserva esa autorización mientras la credencial esté cargada y cinco años después, y la exhibe a Cumplida en diez días hábiles si se la pide.
Retirar de inmediato la credencial de un contribuyente que revoque su autorización, deje de ser su cliente o cuyo certificado haya sido revocado, desde el panel o avisando a Cumplida.
Atender las solicitudes de los titulares (acceso, rectificación, cancelación, oposición, revocación del consentimiento). Cumplida le da las herramientas del panel para hacerlo.
Mantener exactos los datos que carga y no cargar datos sensibles ni datos que no necesite.
Proteger sus propias cuentas: controlar quién de su equipo tiene acceso, retirar a quien se va, no compartir contraseñas y activar la verificación en dos pasos.
Notificar a los titulares cuando un incidente les afecte de forma significativa, con la información que Cumplida le entregue.

5. Lo que corresponde a Cumplida

Cumplida, como encargado, se obliga a:

Tratar los datos sólo conforme a las instrucciones del despacho y nunca para fines propios.
Guardar confidencialidad y exigirla por escrito a toda persona de su equipo que tenga acceso, durante la relación y después de ella.
Mantener medidas de seguridad administrativas, técnicas y físicas razonables para el tipo de datos: cifrado en tránsito y en reposo; e.firmas y CIEC cifradas con cifrado de sobre y llaves en un servicio de gestión de llaves; aislamiento de datos por despacho; control de acceso por roles; y bitácora de cada apertura de una credencial.
No transferir ni comunicar los datos a terceros, salvo a los subencargados de la cláusula 7 o por mandato fundado de autoridad competente (cláusula 9).
Avisar al despacho de un incidente de seguridad conforme a la cláusula 8.
Ayudar al despacho a atender solicitudes de los titulares con las herramientas del panel, y reenviarle cualquier solicitud que un titular dirija a Cumplida.
Suprimir o devolver los datos al terminar, conforme a la cláusula 11.

6. Uso de la e.firma y la CIEC

Cumplida usa las credenciales sólo para las operaciones del servicio que el despacho haya encendido para ese contribuyente: consultar y descargar información del SAT y, cuando un usuario del despacho lo ordene, las acciones del portal que el servicio ofrezca (por ejemplo, llenar el formulario de una declaración sin enviarlo o abrir una notificación del buzón tributario, que puede hacer correr plazos legales).
Cumplida no firma por el contador ni por el contribuyente fuera de lo que el despacho apruebe en el panel. Toda acción aprobada por un usuario del despacho es un acto del despacho.
La vigencia, renovación y revocación de los certificados son del contribuyente y del despacho. Si el SAT revoca, bloquea o no reconoce una credencial, el servicio se detiene para ese contribuyente y lo avisa en el panel.
Los usos de una credencial por personas del despacho, o con autorización insuficiente del contribuyente, son responsabilidad del despacho.

7. Subencargados

El despacho autoriza de forma general a Cumplida a apoyarse en los siguientes subencargados, que tratan los datos sólo para la función descrita y bajo obligaciones de protección equivalentes a las de este contrato:

| Subencargado | Función | Datos | Ubicación | | -------------------------------------- | ------------------------------------------------------------------------------ | ------------------------------------------------------- | -------------- | | Railway | Hospedaje de la aplicación, base de datos, archivos y respaldos | Todos, cifrados en reposo | Estados Unidos | | Amazon Web Services (KMS) | Gestión de las llaves que cifran e.firmas y CIEC | Llaves de cifrado; nunca la credencial en claro | Estados Unidos | | Temporal Technologies (Temporal Cloud) | Orquestación de los procesos programados del robot | Identificadores y datos mínimos de cada proceso | Estados Unidos | | Resend | Envío de correos a usuarios y a contribuyentes | Correo del destinatario y contenido del mensaje | Estados Unidos | | YCloud / WhatsApp Business API | Envío de mensajes de WhatsApp a contribuyentes, cuando el despacho lo enciende | Teléfono y contenido del mensaje | Estados Unidos | | OpenRouter y los modelos que enruta | Redacción de mensajes y lectura de documentos con inteligencia artificial | El contexto mínimo de cada operación; sin entrenamiento | Estados Unidos |

Cumplida avisa al despacho, por correo o en esta página, con al menos 30 días de anticipación antes de añadir o sustituir un subencargado. Si el despacho tiene una objeción razonable basada en protección de datos, puede cancelar sin penalidad antes de que el cambio aplique. Cumplida responde ante el despacho por el cumplimiento de sus subencargados en los términos y con los límites de este contrato.

8. Incidentes de seguridad

Si Cumplida confirma una vulneración que afecte datos del despacho, se lo avisa sin demora indebida y a más tardar en 72 horas desde que la confirma, con lo que sepa en ese momento: naturaleza del incidente, datos y titulares afectados, medidas tomadas y recomendaciones.
Cumplida investiga, contiene y corrige, e informa al despacho de los avances.
Corresponde al despacho, como responsable, decidir y hacer la notificación a sus titulares y, en su caso, a la autoridad. Cumplida le entrega la información que tenga para hacerlo.
El aviso de un incidente no es reconocimiento de responsabilidad.

9. Autoridades

Si una autoridad competente requiere a Cumplida datos del despacho por mandato fundado y motivado, Cumplida lo avisa al despacho antes de entregarlos, salvo que la ley o la autoridad lo prohíban, y entrega sólo lo estrictamente requerido. Cumplida no representa al despacho ni a sus contribuyentes ante ninguna autoridad.

10. Verificación

Cumplida responde en un plazo razonable los cuestionarios de seguridad y protección de datos que el despacho le envíe, y le entrega la información necesaria para acreditar el cumplimiento de este contrato. Una auditoría presencial sólo procede si la ordena una autoridad o si existe un incidente que la justifique; se hace con 30 días de aviso, en horario hábil, una vez al año como máximo, por un tercero obligado a confidencialidad y a costa del despacho.

11. Al terminar

Al cancelar la suscripción, el despacho puede descargar su información durante 30 días como dicen los Términos. Pasado ese plazo, Cumplida suprime los datos del despacho y de sus contribuyentes, incluidas las credenciales, salvo lo que la ley le obligue a conservar sobre su propia relación con el despacho y las bitácoras de seguridad que acreditan cómo cumplió este contrato, que se conservan bloqueadas por dos años. Los respaldos cifrados se sobrescriben en su ciclo normal.

Cumplida no es el archivo fiscal del despacho ni de sus contribuyentes. La obligación de conservar la contabilidad y los comprobantes durante los plazos del Código Fiscal de la Federación es del contribuyente y de quien lleve su contabilidad; el despacho debe descargar y guardar lo que necesite.

12. Responsabilidad

Cada parte responde por sus propias obligaciones bajo este contrato y bajo la ley.
El despacho responde, y saca en paz y a salvo a Cumplida, de cualquier reclamación, queja, procedimiento, multa o gasto, incluidos honorarios razonables de abogados, que derive de: la falta de base legal o de consentimiento para tratar datos; la carga de una e.firma o CIEC sin autorización escrita vigente del contribuyente; la falta de aviso de privacidad del despacho a sus titulares; instrucciones ilícitas; o el uso de las cuentas del despacho por sus usuarios o por quien acceda con sus contraseñas.
La responsabilidad de Cumplida bajo este contrato está sujeta a los límites y exclusiones de los Términos del Servicio, salvo en lo que la ley no permita limitar.

13. Vigencia y ley aplicable

Este contrato dura mientras el despacho use el servicio y, después, hasta que concluya la supresión de la cláusula 11; las obligaciones de confidencialidad subsisten después. Se rige por las leyes de los Estados Unidos Mexicanos, en particular la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y la normativa que de ella deriva. Las controversias se someten a los tribunales que señalan los Términos del Servicio.

14. Contacto

Para cualquier asunto de este contrato o de un incidente: hola@cumplida.com.