DELTA TASKER S. de R.L. de C.V. — Anexo de Seguridad Reforzada

Anexo opcional que establece medidas de seguridad reforzadas para proyectos que manejan datos sensibles o requieren controles adicionales (encriptación reforzada, acceso restringido, auditorías, retención especial). Complementa el DPA y el Contrato de Servicio. Su aplicación se acuerda de forma explícita con el Cliente. Para el marco legal completo, visitar deltatasker.com/legal.

1. Propósito y Activación

Anexo opcional • Sin costo adicional

Este anexo aplica cuando el proyecto involucra tratamiento de datos sensibles. El Cliente puede solicitarlo al inicio del proyecto o en cualquier momento posterior. DeltaTasker evaluará viabilidad técnica y lo activará sin costo adicional cuando sea requerido.

Cuándo aplica

Este Anexo aplica cuando el proyecto involucra:

Datos financieros, bancarios o tributarios
Secretos industriales o comerciales
Información clasificada como "confidencial" por el Cliente
Bases de datos con más de 10,000 registros de personas

Relación con otros documentos

Complementa el DPA y el Contrato de Servicio. No contradice las medidas estándar; las refuerza para proyectos sensibles.

Solicitar activación de este anexo

2. Medidas Técnicas Reforzadas

Además de las medidas estándar del Aviso de Privacidad, DeltaTasker implementará:

a) Cifrado reforzado

Base de datos: AES-256
Transmisión: TLS 1.3 con Perfect Forward Secrecy

b) Autenticación multifactor obligatoria

Para todo el equipo con acceso a datos de producción
Rotación de credenciales cada 90 días

c) Segregación de ambientes

Desarrollo: Datos 100% ficticios (nunca datos reales)
Staging: Datos anonimizados o subset mínimo
Producción: Solo personal autorizado

d) Logs de auditoría

Registro de cada acceso a datos sensibles
Conservación: 12 meses
Formato inmutable con timestamp

e) Backup cifrado

Backups cifrados con clave distinta a producción
Restauración requiere aprobación documentada

3. Medidas Organizacionales

a) Equipo de acceso limitado

Máximo 2 desarrolladores senior con acceso a producción
NDA individual firmado con cláusula penal específica

b) Principio de mínimo privilegio

Acceso just-in-time (solo cuando sea necesario)
Sesiones de máximo 4 horas, luego re-autenticación

c) Revisión de código

Todo código que acceda a datos sensibles requiere aprobación de segundo desarrollador senior.

d) Prohibición de redes públicas

Prohibido trabajar desde redes públicas (cafeterías, aeropuertos). VPN corporativa obligatoria cuando aplique.

4. Gestión de Incidentes Reforzada

Notificación acelerada

Al Cliente: máximo 12 horas desde el conocimiento del incidente (vs 72h estándar del DPA). Al INAI: dentro del plazo legal aplicable.

Plan de contención

Procedimiento escrito de respuesta a incidentes
Preservación de evidencia e informe técnico detallado al Cliente

Responsabilidad

En caso de negligencia grave en la implementación de estas medidas, falta de notificación oportuna o uso no autorizado de datos por personal de DeltaTasker, no aplica el límite de responsabilidad de la Sección 9 del Contrato de Servicio para los daños directamente causados.

5. Derecho de Auditoría del Cliente

a) Auditoría remota (sin costo)

Revisión de logs de acceso
Validación de medidas implementadas
Frecuencia: trimestral o bajo demanda razonable

b) Auditoría presencial (costo a negociar)

Visita a instalaciones de DeltaTasker
Notificación previa: 5 días hábiles

c) Auditoría por tercero independiente

Auditor certificado ISO 27001 u equivalente; costo compartido según acuerdo.

6. Certificado de Eliminación Segura

Al terminar el contrato, DeltaTasker entregará:

Certificado de eliminación de datos con firma del responsable
Detalle del método de eliminación (sobrescritura según mejores prácticas)
Confirmación de eliminación de backups