Última actualización: 30 de agosto de 2026
Este Acuerdo de Tratamiento de Datos ("Acuerdo") complementa los Términos de Uso y el Aviso de Privacidad de CERH, y describe cómo CERH trata los datos personales que la Empresa cliente ("el Responsable") le encarga al usar la plataforma para administrar a su personal.
Bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), la Empresa cliente es el Responsable de los datos personales de sus empleados, colaboradores y candidatos que registra en CERH. CERH actúa como Encargado: trata esos datos únicamente por cuenta e instrucción del Responsable, para prestar el Servicio descrito en los Términos de Uso.
CERH trata los datos personales de los empleados de la Empresa exclusivamente para las finalidades del Servicio: expedientes, políticas y acuses, vacaciones e incidencias, registro de jornada, nómina y capacitación, entre las demás funciones descritas en los Términos de Uso. CERH no usa esos datos para fines propios ajenos a la prestación del Servicio, ni los vende ni los comparte con terceros para fines de mercadotecnia.
Para operar el Servicio, CERH se apoya en los siguientes subencargados:
Esto implica que los datos personales se almacenan y procesan fuera de México, en Estados Unidos. CERH se compromete a notificar a la Empresa si incorpora un nuevo subencargado con acceso a los datos de sus empleados.
CERH cifra los datos en tránsito mediante TLS/HTTPS y en reposo mediante el estándar AES-256, de forma automática. Los respaldos de la base de datos se generan de forma horaria, diaria, semanal y mensual, con recuperación a un punto exacto en el tiempo dentro de los últimos 7 días. El proveedor de infraestructura de CERH cuenta con certificaciones ISO 27001 y SOC 2.
El personal de CERH con acceso a los datos personales de los empleados de la Empresa está sujeto a obligaciones de confidencialidad, y ese acceso se limita a lo necesario para operar y dar soporte a la plataforma.
Si CERH detecta un incidente que comprometa la confidencialidad, integridad o disponibilidad de los datos personales tratados, notificará a la Empresa sin dilación indebida, con la información disponible sobre la naturaleza del incidente y las medidas tomadas. La LFPDPPP no fija un plazo exacto para esta notificación (a diferencia de otras leyes de protección de datos); CERH aplica este estándar como buena práctica.
Cuando un empleado de la Empresa dirija a CERH una solicitud relacionada con sus derechos ARCO, CERH la remitirá a la Empresa, responsable de atenderla conforme a su propio aviso de privacidad. Si una autoridad requiere a CERH información sobre los datos tratados por cuenta de la Empresa, CERH lo notificará a la Empresa salvo que la ley se lo prohíba expresamente.
Al terminar el Servicio, CERH conserva el expediente de la Empresa durante 90 días naturales para permitir su reactivación o la exportación de datos, conforme a lo descrito en el Aviso de Privacidad. Transcurrido ese plazo, la información se elimina de forma definitiva de los sistemas activos, sujeta al calendario de retención de los respaldos históricos descrito en la Sección 5.
Este Acuerdo tiene la misma vigencia que el contrato de servicio entre la Empresa y CERH, y termina junto con este, sin perjuicio de las obligaciones de conservación y eliminación descritas en la Sección 9.
Para preguntas sobre este Acuerdo, contactar a contacto@cerh.com.mx.
Este Acuerdo se actualiza conforme a la infraestructura y las medidas de seguridad vigentes de CERH y su proveedor de hosting.