Contrato de encargo de datos personales · Bienia

Versión 2026-11-08. Este contrato forma parte de los Términos y condiciones y se acepta al pagar una licencia.

1. Partes y papeles

• El responsable: la empresa cliente que contrata Bienia. Decide para qué se usan los datos de su gente y es la obligada por la NOM-035-STPS-2018.
• El encargado: Samuel Plata Martínez, persona física con actividad empresarial, que opera Bienia (datos en la cláusula 1 de los Términos). Trata los datos solo por cuenta del responsable.

Se celebra conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025, y a las disposiciones que de ella deriven.

2. Qué datos y para qué

• Personas: trabajadoras y trabajadores, y en su caso personal directivo, a quienes el responsable invite a contestar.

Datos:

• de identificación y contacto: nombre (si el responsable lo carga), correo o teléfono de la invitación;
• laborales: área, puesto, turno o centro de trabajo;
• datos sensibles: las respuestas a los cuestionarios NOM-035, sobre salud, bienestar y acontecimientos traumáticos;
• en el diagnóstico de IA, lo que la persona cuenta en la entrevista sobre su trabajo.

• Finalidad única: aplicar los cuestionarios o la entrevista, calificarlos, entregar al responsable resultados por grupo e informes, y guardar la evidencia de su cumplimiento.

3. Lo que el encargado se obliga a hacer

• Seguir solo las instrucciones del responsable. Las instrucciones son estos documentos y lo que el responsable configure en la plataforma. Si una instrucción le parece contraria a la ley, el encargado avisa y puede abstenerse.
• No usar los datos para nada más. No venderlos, no transferirlos a terceros por su cuenta, no usarlos para publicidad ni para entrenar modelos de inteligencia artificial.
• Confidencialidad. Toda persona con acceso queda obligada a guardar secreto, también después de terminar su relación con el encargado.

Anonimato por diseño:

• resultados solo por grupos de 5 o más respuestas;
• supresión de grupos que se pudieran deducir por resta;
• resultados visibles solo al cerrar la aplicación;
• sin respuestas individuales para el responsable, salvo la alerta de la Guía I a la persona designada.

Medidas de seguridad administrativas, técnicas y físicas acordes al riesgo:

• cifrado en tránsito (TLS);
• separación de los datos por organización;
• acceso por cuenta y por rol;
• mínimo privilegio para el personal.

• Ayudar al responsable a atender derechos ARCO, revocaciones del consentimiento y requerimientos de autoridad. Si una persona pide sus derechos directamente al encargado, este se lo remite al responsable en un máximo de 5 días hábiles y no responde por su cuenta, salvo instrucción.
• Vulneraciones de seguridad. Si ocurre una vulneración que afecte los datos, el encargado avisa al responsable sin demora y a más tardar en 72 horas desde que la confirme. Dice qué pasó, qué datos y personas pudo afectar, qué medidas tomó y qué recomienda, para que el responsable informe a las personas como manda la ley.
• Conservación y borrado como dice la cláusula 9 de los Términos. A petición del responsable o al terminar la relación, el encargado devuelve o borra los datos en un máximo de 30 días naturales y lo confirma por escrito. Solo conserva lo que una ley le obligue, bloqueado.
• Demostrar cumplimiento. Si el responsable lo pide, el encargado le entrega por escrito, una vez al año o tras una vulneración, la información razonable para comprobar que cumple este contrato. Puede ser una auditoría documental, con aviso de 15 días y sin acceso a datos de otros clientes.

4. Subencargados

El responsable autoriza al encargado a apoyarse en estos proveedores, que tratan los datos solo para prestar el servicio y bajo obligaciones de confidencialidad y seguridad equivalentes:

• Hostinger: alojamiento de la aplicación y de la base de datos.
• Bunny.net: almacenamiento de archivos como logotipos y adjuntos.
• OpenAI (API): solo en el diagnóstico de IA, para conducir y resumir la entrevista. Por sus condiciones para la API, no entrena modelos con esos datos. Los cuestionarios NOM-035 no pasan por IA.
• Stripe: cobro de la licencia. Solo recibe datos de quien compra, no de los trabajadores.
• Proveedor de correo y, si se usa, WhatsApp de Meta: envío de invitaciones y recordatorios.

Algunos de estos proveedores tratan los datos fuera de México, en Estados Unidos o la Unión Europea. Como remisión entre responsable y encargado, se hace con las mismas garantías de este contrato. Si el encargado agrega o cambia un subencargado, lo publica en esta página y avisa al responsable con 15 días naturales de anticipación. El responsable puede oponerse con causa razonable y, si no hay solución, terminar la licencia con reembolso proporcional.

5. Lo que el responsable se obliga a hacer

• Dar su propio aviso de privacidad a su gente antes de que conteste. El encargado le ofrece el modelo de la cláusula 7.
• Contar con la base legal para tratar los datos, en especial con el consentimiento expreso para los datos sensibles. La plataforma lo recaba en su nombre, con una casilla, antes de cada cuestionario, y guarda su fecha.
• Usar los resultados solo para cumplir la NOM-035 y mejorar las condiciones de trabajo, nunca para sancionar, discriminar ni identificar a quien contestó.
• Cargar solo datos necesarios y verdaderos, y cuidar quién de su equipo tiene acceso a la plataforma.

6. Responsabilidad

Cada parte responde de sus propios incumplimientos de la LFPDPPP y de este contrato. El límite de responsabilidad de los Términos aplica también aquí, salvo en caso de dolo o culpa grave.

7. Modelo de aviso de privacidad para tu gente

El responsable puede usar este texto, completando lo que está entre corchetes:

Aviso de privacidad para las personas que contestan los cuestionarios NOM-035. [Razón social de la empresa], con domicilio en [domicilio], es responsable de tus datos personales.

• Para qué los usamos: para aplicar los cuestionarios de la NOM-035-STPS-2018, identificar factores de riesgo psicosocial, valorar a quien haya vivido un acontecimiento traumático severo y tomar medidas para mejorar las condiciones de trabajo.
• Qué datos tratamos: tu área, puesto y centro de trabajo, el medio por el que te invitamos y tus respuestas. Tus respuestas son datos sensibles sobre tu salud y bienestar; por eso te pedimos tu consentimiento expreso antes de empezar.
• Quién ve tus respuestas: la empresa solo ve resultados por grupos de 5 personas o más. Tus respuestas individuales no se comparten con tu jefe ni con tus compañeros. Solo si tus respuestas a la Guía I indican que requieres valoración, lo sabrá [persona responsable designada] para ofrecerte atención.
• Quién nos ayuda: la plataforma Bienia trata los datos por nuestra cuenta, como encargado.
• Tus derechos: puedes ejercer tus derechos de acceso, rectificación, cancelación y oposición, y revocar tu consentimiento, escribiendo a [correo de la empresa].
• Sin represalias: lo que respondas no tendrá ninguna consecuencia en tu contra.

8. Vigencia

Este contrato dura mientras el encargado trate datos por cuenta del responsable, y las obligaciones de confidencialidad siguen después de terminar.