Acuerdo de transmisión de datos (Anexo A)

Cambios de la versión 1.1: se añade 8.4, cuánto duran los textos que el personal escribe y no envía. Es aclaratorio: da más protección a los titulares y no quita derechos, así que no requiere el aviso de 30 días de un cambio sustancial. La versión 1.0 está en historial/.

Este acuerdo hace parte de los Términos del servicio y regula el tratamiento que OrquestaCX (el Encargado) hace de los datos personales por cuenta del Cliente (el Responsable). Se acepta con los términos; si el Cliente necesita una copia firmada, se firma electrónicamente sin cambiar su contenido.

1. Objeto y alcance

1.1. El Responsable encarga a OrquestaCX el tratamiento de los datos personales necesarios para prestar el servicio descrito en los términos: recibir, almacenar, mostrar, repartir, responder (con bot o con personas del Cliente), analizar en agregado y exportar las conversaciones de WhatsApp y los datos asociados de los clientes finales del Responsable, y los datos de su personal que usa el panel. 1.2. Titulares: clientes finales, prospectos y contactos del Responsable; su personal. 1.3. Datos: número de WhatsApp, nombre e identificadores de canal; contenido de las conversaciones (texto, imágenes, audio, documentos); pedidos, cotizaciones, citas, formularios y notas; cronómetros, estados, motivos de cierre; los campos de la ficha del contacto que el Responsable configure; datos de los usuarios del panel (nombre, correo, cargo, estados, acciones). El Responsable decide si guarda datos sensibles o de menores y asume las cargas legales adicionales; OrquestaCX no los exige para operar. 1.4. Finalidad: exclusivamente la prestación del servicio al Responsable. Ninguna otra. 1.5. Duración: la del contrato y el periodo de exportación y borrado del numeral 8.

2. Instrucciones del Responsable

OrquestaCX trata los datos solo según las instrucciones documentadas del Responsable, que son: los términos, este anexo, la configuración que el Responsable hace en el panel (áreas, cargos, permisos, campos, horarios, flujos del bot, plantillas, catálogos de cierre) y sus solicitudes escritas por los canales de soporte. Si una instrucción viola la ley, OrquestaCX lo informa y puede negarse a ejecutarla.

3. Obligaciones del Encargado (art. 18 de la Ley 1581 y art. 25 del Decreto 1377)

a) Tratar los datos, a nombre del Responsable, conforme a los principios de la Ley 1581 y a la política de tratamiento del Responsable en lo que le aplique. b) Salvaguardar la seguridad de las bases de datos: cifrado en tránsito y en reposo, aislamiento de los datos de cada empresa en toda consulta y escritura, control de acceso por identidad y cargo, registro de auditoría, copias de seguridad, pruebas automáticas antes de cada publicación (Seguridad). c) Guardar confidencialidad sobre los datos; permitir que solo el personal autorizado y con deber de confidencialidad acceda, y únicamente para soporte, con registro. d) No ceder, vender ni usar los datos para fines propios, publicidad ni entrenamiento de modelos de IA. e) Actualizar, rectificar o suprimir los datos en 5 días hábiles desde que el Responsable lo reporte, y facilitarle las herramientas del panel para hacerlo directamente. f) Tramitar las consultas y reclamos de los titulares que lleguen a OrquestaCX trasladándolos al Responsable en máximo 2 días hábiles, y asistirlo con la información y los registros que necesite para responder en los plazos legales (10 y 15 días hábiles). g) Insertar las leyendas «reclamo en trámite» e «información en discusión judicial» cuando el Responsable o la autoridad lo indiquen. h) Notificar al Responsable, en máximo 72 horas desde su confirmación, cualquier incidente de seguridad que afecte sus datos, con: qué ocurrió, categorías y volumen aproximado de datos y titulares, medidas tomadas y recomendadas y un contacto. No hacer anuncios públicos sobre el incidente sin acordarlo con el Responsable, salvo obligación legal. i) Mantener un manual interno de políticas y procedimientos de protección de datos y atención de derechos. j) Cumplir las instrucciones de la Superintendencia de Industria y Comercio. k) Abstenerse de circular o entregar los datos a terceros distintos de los subencargados autorizados o de una autoridad con orden legal, caso en el cual avisa al Responsable si la ley lo permite.

4. Obligaciones del Responsable (art. 17 de la Ley 1581)

a) Contar con la autorización previa, expresa e informada de los titulares para las finalidades del servicio, incluida la transferencia internacional a los subencargados, y conservar prueba de ella (OrquestaCX ofrece los textos del anexo de Consentimientos de WhatsApp y guarda la evidencia de la respuesta afirmativa cuando la recoge el bot). b) Tener y publicar su propia política de tratamiento e informar a los titulares de la existencia de OrquestaCX como encargado. c) Entregar únicamente datos veraces, actualizados y cuyo tratamiento esté autorizado, y comunicar las novedades. d) Atender los derechos de los titulares y las quejas ante la SIC. e) Cumplir la Ley 2300 de 2023 en cobranza y mercadeo, la Ley 1266 de 2008 si reporta a centrales de riesgo, y las políticas de Meta (opt-in, plantillas, sectores permitidos). f) Configurar el panel con permisos mínimos necesarios y gestionar las altas y bajas de su personal. g) Responder por los daños que cause a los titulares o a OrquestaCX por instrucciones ilegales o por falta de autorización.

5. Subencargados

5.1. El Responsable autoriza de forma general a OrquestaCX a usar los subencargados de la lista pública para las finalidades allí indicadas, con contrato de transmisión que les impone obligaciones equivalentes a las de este anexo. 5.2. OrquestaCX avisa por el panel y por correo los nuevos subencargados con 30 días de anticipación. El Responsable puede objetar por escrito con motivos legítimos en 10 días; si no hay solución razonable, puede terminar el contrato sin penalidad respecto del servicio afectado. 5.3. OrquestaCX responde ante el Responsable por los actos de sus subencargados como si fueran propios.

6. Transferencia internacional

Los subencargados de infraestructura (Cloudflare, Render, Neon) y de canal (Meta) están en Estados Unidos o Irlanda. La transferencia se ampara en la autorización expresa del titular que recoge el Responsable (art. 26 lit. a) de la Ley 1581), en la ejecución del contrato y en los contratos de transmisión con cada proveedor, que incluyen cláusulas contractuales estándar, cifrado, borrado y aviso de incidentes. Si la SIC declara un país como de nivel adecuado o exige un mecanismo adicional, OrquestaCX lo adopta y lo informa.

7. Auditoría y responsabilidad demostrada

7.1. OrquestaCX entrega al Responsable, a solicitud y máximo una vez al año (o tras un incidente), la información razonable para verificar el cumplimiento de este anexo: descripción de medidas, resultados de pruebas de seguridad, certificaciones de los subencargados (por ejemplo ISO 27001 y SOC 2 de Cloudflare), registro de incidentes. 7.2. Cuando la SIC o la ley lo exija, permite una auditoría en sitio o remota, con 15 días de aviso, en horario hábil, sin acceso a datos de otros clientes y a costo del Responsable.

8. Devolución y borrado

8.1. Durante la vigencia el Responsable puede exportar sus datos desde el panel (conversaciones, contactos, pedidos, configuraciones) en formatos abiertos (CSV/JSON). 8.2. Al terminar el contrato, OrquestaCX conserva los datos 30 días en modo solo lectura para la exportación; después los borra de los sistemas activos y las copias de seguridad se sobrescriben en los 30 días siguientes. A solicitud, emite constancia de borrado. 8.3. Se exceptúa lo que OrquestaCX deba conservar por ley (soportes de facturación, registros de auditoría exigidos), que se guarda bloqueado y solo para ese fin. 8.4. Textos sin enviar. Lo que el personal del Responsable escribe en una conversación y no envía (el borrador) se guarda solo para que no se pierda mientras se atiende ese caso, y solo lo ve quien lo escribió. Se borra al enviarlo o descartarlo, al cerrarse el caso, a los 30 días de su último guardado y cuando se suprimen los datos del titular. No se usa para ningún otro fin, tampoco para entrenar modelos de IA (3.d), ni va en la exportación automática; si un titular lo pide de forma expresa mientras exista, se le entrega a través del Responsable.

9. Datos de los usuarios del panel

El Responsable recoge de su personal la autorización para que OrquestaCX trate sus datos como Responsable independiente (identidad, accesos, estados, auditoría), conforme a la Política de tratamiento de datos. Los estados de disponibilidad y los auxiliares se tratan para operar la atención, no como evaluación de desempeño laboral; su uso disciplinario es decisión y responsabilidad del Responsable.

10. Responsabilidad

Cada parte responde ante los titulares y las autoridades por el incumplimiento de sus propios deberes legales. Entre las partes rige la limitación de responsabilidad de los términos, salvo en lo que la ley no permita limitar.

11. Vigencia

Este anexo rige mientras OrquestaCX trate datos por cuenta del Responsable, incluido el periodo del numeral 8. Prevalece sobre los términos en materia de datos personales.

Contacto para este anexo: datos@orquestacx.com.