Contrato de Encargo de Tratamiento de Datos Personales

Son partes la empresa que contrata Nova Business Suite ("el Responsable"), representada por el administrador que acepta en su nombre y declara tener facultades para hacerlo, y Nova Development S.A.S de C.V, NIT 0435-300626-101-3, con domicilio en Calle principal, Barrio La Primavera, 72, La Reina, Chalatenango Centro, Chalatenango, El Salvador ("Nova" o "el Encargado").

El Responsable decide sobre la finalidad y los medios del tratamiento de los datos que carga en la Plataforma; Nova los trata solo por su cuenta, en los términos de la Ley para la Protección de Datos Personales (Decreto Legislativo N.° 144) y de este contrato. Los términos definidos en esa ley tienen aquí el mismo significado.

• Objeto: prestar al Responsable el servicio de software en la nube Nova Business Suite, según los Términos y Condiciones y el plan contratado.
• Operaciones: alojar, registrar, organizar, conservar, respaldar, consultar, calcular, generar documentos y reportes, transmitir a los destinatarios que el Responsable indique (por ejemplo, el Ministerio de Hacienda o sus propios clientes por correo), y devolver o eliminar los datos.
• Finalidad: únicamente la prestación del Servicio al Responsable y el soporte que este solicite.
• Duración: mientras el Servicio esté vigente y hasta que concluya el plazo de devolución y eliminación de la sección 13.

Según los módulos que el Responsable use, Nova puede tratar datos de:

• Empleados y candidatos: identificación (DUI, NIT, pasaporte), números de afiliación a seguridad social y pensiones, fecha de nacimiento, estado familiar, domicilio, contacto, fotografía, contrato, salario, descuentos, asistencia, vacaciones, evaluaciones, amonestaciones, incapacidades y hojas de vida.
• Clientes, proveedores y sus contactos: identificación tributaria, domicilio, contacto, historial de operaciones, documentos tributarios, saldos y pagos.
• Usuarios del Responsable: los datos de su actividad dentro de la empresa (acciones registradas en la bitácora).

Algunos de estos datos pueden ser sensibles (por ejemplo, los relacionados con la salud en una incapacidad). El Responsable los cargará solo cuando tenga la base legal y el consentimiento que la ley exige.

Nova trata los datos solo siguiendo las instrucciones documentadas del Responsable. Son instrucciones este contrato, los Términos, la configuración que el Responsable define en la Plataforma (módulos, usuarios, permisos, destinatarios, integraciones) y las solicitudes que haga por escrito por los canales de soporte. Si Nova considera que una instrucción infringe la ley, lo informará al Responsable y podrá suspender su ejecución hasta que se aclare.

• Tratar los datos con licitud, finalidad determinada, minimización y exactitud, y contar con la base legal para cada tratamiento.
• Informar a los titulares mediante su propio aviso de privacidad, incluida la existencia de Nova como encargada y del almacenamiento en la nube fuera de El Salvador.
• Obtener el consentimiento escrito de los titulares para tratar datos sensibles, y su consentimiento previo para la transferencia internacional cuando la ley lo exija.
• Atender las solicitudes de los titulares sobre sus datos, con la asistencia de Nova descrita en la sección 10.
• Administrar los accesos de sus usuarios y mantener seguras sus credenciales.
• Notificar a la autoridad y a los titulares las vulneraciones que le correspondan, con la información que Nova le entregue.

• Tratar los datos solo para la finalidad de la sección 2 y según las instrucciones del Responsable; no usarlos para fines propios.
• No vender, ceder ni comunicar los datos a terceros, salvo a los subencargados autorizados o por obligación legal; no usarlos para publicidad ni para entrenar modelos de inteligencia artificial, ni combinarlos con los de otras empresas clientes.
• Guardar confidencialidad sobre los datos, también después de terminado el contrato, y exigirla por escrito a las personas autorizadas para tratarlos.
• Limitar el acceso de su personal a lo necesario para prestar el Servicio o atender una solicitud de soporte, y registrar cada acceso del equipo de soporte a los datos de la empresa con su motivo.
• Aplicar las medidas de seguridad de la sección 7 y cumplir las políticas de actuación y medidas de seguridad que dicte la Agencia de Ciberseguridad del Estado.
• Informar al Responsable, salvo prohibición legal, de cualquier requerimiento de autoridad que reciba sobre sus datos.

Nova aplica las medidas técnicas y organizativas descritas en la Política de Seguridad y Gestión de Incidentes, que forma parte de este contrato, para garantizar la confidencialidad, integridad y disponibilidad de los datos: control de acceso y autenticación reforzada, aislamiento entre empresas, cifrado en tránsito y de secretos, bitácora encadenada, respaldos cifrados y pruebas de restauración. Nova puede actualizar esas medidas siempre que no disminuya el nivel de protección.

• El Responsable autoriza a Nova a usar los subencargados listados en el anexo de este contrato, publicados y actualizados en /legal/subencargados.
• Nova impone a cada subencargado obligaciones de confidencialidad, seguridad y finalidad equivalentes a las de este contrato, en la medida de su servicio, y responde ante el Responsable por su cumplimiento.
• Nova avisa dentro de la Plataforma, con al menos quince (15) días calendario de anticipación, la incorporación o el reemplazo de un subencargado, salvo urgencia de seguridad o continuidad.
• El Responsable puede oponerse por motivos fundados dentro de ese plazo. Las partes buscarán una alternativa razonable; si no la hay, el Responsable puede terminar sin penalidad los módulos afectados.

La infraestructura de los subencargados está fuera de El Salvador, principalmente en Estados Unidos. Nova solo usa proveedores que cumplen estándares internacionales de protección de datos y mantiene medidas propias (cifrado de respaldos, acceso mínimo, registro de accesos) para que el nivel de protección no sea inferior al que exige la ley salvadoreña. Nova entregará al Responsable la información que necesite sobre estos flujos para informar a los titulares, obtener su consentimiento cuando corresponda y ponerlos en conocimiento de la Agencia de Ciberseguridad del Estado.

• Si un titular dirige a Nova una solicitud sobre datos del Responsable, Nova se la remitirá dentro de los cinco (5) días hábiles siguientes y no la contestará en su lugar, salvo instrucción del Responsable.
• La Plataforma permite al Responsable consultar, corregir, exportar y, cuando la ley lo permite, eliminar los datos. Si hace falta una intervención técnica de Nova, esta la realizará con la prontitud necesaria para que el Responsable responda dentro del plazo legal de veinte (20) días hábiles.
• Cuando el Responsable le comunique la revocación de un consentimiento, Nova ejecutará de inmediato lo que le corresponda.
• Nova asistirá al Responsable, en lo razonable, en evaluaciones de impacto y en consultas o requerimientos de la autoridad sobre el tratamiento que realiza.

• Nova notificará al Responsable toda vulneración de seguridad que afecte sus datos sin demora indebida y, a más tardar, dentro de las cuarenta y ocho (48) horas siguientes a confirmarla, al correo del administrador principal y dentro de la Plataforma, para que el Responsable pueda notificar a la autoridad y a los titulares en el plazo legal de setenta y dos (72) horas.
• La notificación indicará, en la medida en que se conozca: la naturaleza del incidente, los datos y titulares afectados y su volumen aproximado, las consecuencias probables, las medidas correctivas adoptadas y recomendadas, y un contacto para dar seguimiento. La información que no se conozca de inmediato se entregará conforme se obtenga.
• Nova adoptará de inmediato las medidas para contener el incidente, documentará cada vulneración y cooperará con el Responsable y con las autoridades.

Nova pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato. El Responsable puede solicitar, con treinta (30) días de anticipación y hasta una vez al año (o cuando lo exija una autoridad o después de una vulneración), una revisión razonable de los controles aplicables a sus datos, en horario hábil, con obligación de confidencialidad y sin comprometer la seguridad ni los datos de otras empresas clientes. Los costos de cada parte corren por su cuenta, salvo que la revisión confirme un incumplimiento material de Nova.

• Al terminar el Servicio, el Responsable dispone de treinta (30) días calendario para exportar sus datos, según los Niveles de Servicio.
• Vencido ese plazo, Nova elimina o anonimiza los datos en sus sistemas activos; las copias de respaldo se eliminan al completarse su ciclo de rotación, y mientras tanto no se usan salvo para una restauración.
• Los datos que Nova deba conservar por obligación legal, o para la formulación, el ejercicio o la defensa de reclamaciones, quedan bloqueados y solo se usan para esa finalidad durante el plazo correspondiente.
• A solicitud del Responsable, Nova confirmará por escrito la eliminación.

Cada parte responde por los daños que cause por el incumplimiento de sus obligaciones bajo este contrato o bajo la ley. Se aplican los límites de responsabilidad de los Términos y Condiciones, que no alcanzan el dolo, la culpa grave ni el incumplimiento de las obligaciones de confidencialidad y protección de datos de este contrato en la medida en que la ley no permita limitarlos.

• Este contrato rige desde su aceptación y mientras Nova trate datos del Responsable. Las obligaciones de confidencialidad subsisten después.
• En materia de protección de datos personales, este contrato prevalece sobre los Términos y Condiciones y sobre cualquier otro acuerdo entre las partes, salvo que un contrato firmado posterior diga expresamente lo contrario.
• Nova puede actualizarlo para reflejar cambios en la ley, en las disposiciones de la autoridad o en el Servicio, sin disminuir la protección de los datos; la versión nueva se publica con su fecha y se pide aceptarla.
• Se acepta por medios electrónicos con plena validez, se rige por las leyes de El Salvador y las controversias se resuelven como indican los Términos y Condiciones.

Lista vigente al 27 de septiembre de 2026. Los cambios se publican en /legal/subencargados.