Anexo de Tratamiento de Datos (DPA)

1. Definiciones y roles

Para efectos de este Anexo y de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento:

• "Cliente": la persona física o moral que contrata el Servicio y publica vacantes a través de Filtradito.
• "Filtradito": la plataforma operada por Filtradito (nosotros).
• "Candidato": cualquier persona que envía su currículum (CV) a través del bot de Telegram para postularse a una vacante del Cliente.
• "Datos Personales de Candidatos": toda información proporcionada por el Candidato (nombre, contacto, CV, mensajes, horarios de entrevista) tratada con fines de reclutamiento.

Respecto de los Datos Personales de Candidatos:

• El Cliente actúa como Responsable en términos del art. 3 fracción XIV de la LFPDPPP. Es él quien decide las finalidades (reclutamiento para sus propias vacantes) y los medios del tratamiento.
• Filtradito actúa como Encargado en términos del art. 3 fracción IX de la LFPDPPP, tratando los datos por cuenta y según instrucciones del Cliente, exclusivamente para proveer el Servicio.

2. Objeto y alcance

Este Anexo regula el tratamiento que Filtradito realiza, como Encargado, de los Datos Personales de Candidatos obtenidos a través del Servicio. El tratamiento que Filtradito realiza de los datos de cuenta, facturación y operación del propio Cliente (y no de sus Candidatos) se rige por el Aviso de Privacidad, respecto del cual Filtradito es Responsable.

3. Obligaciones del Cliente (Responsable)

• Informar a sus Candidatos del tratamiento de sus datos mediante un aviso de privacidad propio y conforme a la LFPDPPP, o apoyarse en el aviso simplificado que Filtradito muestra en Telegram antes de recibir el CV.
• Obtener, cuando corresponda, el consentimiento expreso del Candidato para el tratamiento automatizado y la eventual transferencia o uso posterior fuera de Filtradito.
• Utilizar el Servicio únicamente con fines legítimos de reclutamiento, sin discriminar a los Candidatos por categorías protegidas por la ley.
• Dar instrucciones claras a Filtradito sobre la finalidad y medios del tratamiento. El uso normal del Servicio por el Cliente (creación de vacantes, consulta de candidatos, agendamiento) constituye dichas instrucciones.
• Atender, en calidad de Responsable, las solicitudes de ejercicio de derechos ARCO que presenten sus Candidatos. Filtradito cooperará en los términos de la sección 8.

4. Obligaciones de Filtradito (Encargado)

• Tratar los Datos Personales de Candidatos únicamente conforme a las instrucciones del Cliente y para las finalidades del Servicio (recepción, evaluación con IA, puntuación, respuesta automática, agendamiento de entrevistas).
• No utilizar los Datos Personales de Candidatos para finalidades propias, ni venderlos, ni cederlos a terceros ajenos a los sub-encargados autorizados.
• Implementar medidas técnicas y administrativas de seguridad equivalentes a las descritas en la sección 6 del Aviso de Privacidad (cifrado en reposo AES-256, cifrado en tránsito TLS 1.2+, principio de menor privilegio, monitoreo, gestión de claves estándar de la industria).
• Notificar al Cliente sin demora indebida, y en cualquier caso dentro de las 72 horas siguientes al conocimiento, cualquier incidente de seguridad que afecte Datos Personales de Candidatos del Cliente.
• Cooperar con el Cliente en la atención de solicitudes ARCO y requerimientos de autoridad competente.
• Al terminar la relación contractual, devolver o eliminar los Datos Personales de Candidatos según lo establecido en la sección 9.

5. Sub-encargados autorizados

El Cliente autoriza a Filtradito a subcontratar los siguientes sub-encargados, siempre que mantengan obligaciones de confidencialidad y seguridad equivalentes:

• Amazon Web Services (AWS): infraestructura de cómputo, almacenamiento cifrado y bases de datos, en centros de datos certificados dentro de territorio norteamericano.
• Telegram: canal mediante el cual los Candidatos envían su CV e interactúan con el Servicio.
• Google LLC: únicamente cuando el Cliente autoriza la integración con Google Calendar para agendamiento de entrevistas.
• Stripe: procesamiento de pagos de la suscripción del Cliente (no trata datos de Candidatos).
• Proveedores de modelos de inteligencia artificial: procesan el texto de los CVs únicamente para generar el análisis solicitado; los datos no se utilizan para entrenar modelos generales de terceros.

Filtradito informará al Cliente, con al menos 30 días de antelación, cualquier cambio o adición de sub-encargados que impliquen tratamiento de Datos Personales de Candidatos. El Cliente podrá oponerse razonablemente.

6. Tratamiento ulterior por el Cliente

Una vez que el Cliente exporte, descargue, copie o incorpore Datos Personales de Candidatos a sistemas, repositorios, correos, hojas de cálculo, drives, ATS u otros medios ajenos a Filtradito, dicho tratamiento ulterior será responsabilidad exclusiva del Cliente, quien asumirá todas las obligaciones de Responsable respecto de esos datos fuera del Servicio.

Lo anterior incluye, sin limitación: la seguridad de los archivos exportados, su conservación y eliminación, el control de acceso, las transferencias a terceros, el cumplimiento de los plazos legales y la atención de derechos ARCO respecto de los datos ya fuera de Filtradito.

7. Transferencias internacionales

Los Datos Personales de Candidatos pueden procesarse en infraestructura de sub-encargados ubicada en territorio norteamericano (principalmente Estados Unidos). Dicha transferencia se realiza para la adecuada prestación del Servicio contratado por el Cliente y se ampara en el art. 37 fracción V de la LFPDPPP (transferencia necesaria en virtud de un contrato celebrado o por celebrar en interés del Titular, entre el Responsable y un tercero). Los sub-encargados están sujetos a compromisos contractuales de protección equivalente.

8. Cooperación en derechos ARCO

Cuando un Candidato ejerza derechos de Acceso, Rectificación, Cancelación u Oposición (ARCO) directamente ante el Cliente, Filtradito proporcionará en un plazo razonable las herramientas y la información técnica necesarias para que el Cliente pueda atender la solicitud dentro del Servicio (localizar, rectificar, cancelar o bloquear datos).

Filtradito también permite al Candidato ejercer su derecho de eliminación directamente mediante el comando /borrar en Telegram; esta ruta no reemplaza las obligaciones del Cliente como Responsable.

9. Terminación y devolución de datos

Al terminar la relación contractual con el Cliente, y conforme a las instrucciones que este indique dentro de un plazo razonable (máximo 30 días naturales desde la terminación):

• Filtradito pondrá a disposición del Cliente los Datos Personales de Candidatos en un formato exportable.
• Transcurrido dicho plazo, Filtradito procederá a la eliminación o bloqueo de los Datos Personales de Candidatos asociados a la cuenta del Cliente, salvo que la ley mexicana exija retención prolongada.

Los registros de auditoría (logs mínimos, aceptaciones legales) podrán conservarse por los plazos que establezca la legislación aplicable (por ejemplo, 10 años conforme al Código de Comercio).

10. Responsabilidad del Encargado

Filtradito reconoce que, en términos del art. 50 del Reglamento de la LFPDPPP, será considerada Responsable (y asumirá las obligaciones correspondientes) si tratara los Datos Personales de Candidatos con finalidad distinta a las instruidas por el Cliente, o si los transfiriera en incumplimiento de dichas instrucciones. Salvo esas hipótesis, Filtradito mantiene su rol exclusivo de Encargado.

11. Contacto

Filtradito
Correo legal / DPO: hola@filtradito.app
Sitio web: https://filtradito.app

Aceptación de este Anexo: al registrarte como administrador de Filtradito y aceptar los Términos del Servicio, aceptas también este Anexo. El panel de Filtradito te solicitará una aceptación específica antes de que comiences a operar con datos de Candidatos.