Contrato de transmisión de datos personales

Contrato de transmisión de datos personales en los términos del artículo 25 del Decreto 1377 de 2013 (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015).

1. Partes

El Responsable es el negocio identificado en su cuenta de Taply y en «Datos legales del negocio». El Encargado es Jesus Auriol Villamarin Ortiz, persona natural identificada con C.C. 1.034.318.093, con domicilio en Calle 152 # 9-80, Bogotá D.C., Colombia, correo support@gettaply.com y teléfono +57 311 566 3842, que opera la plataforma Taply.

2. Objeto

El Responsable transmite al Encargado los datos personales de sus clientes y contactos para que los trate por su cuenta al prestarle el servicio de Taply, y el Encargado se obliga a tratarlos conforme a este contrato, a las instrucciones del Responsable y a la ley colombiana.

3. Titulares y datos

Clientes y contactos del Responsable, miembros de su Club y, cuando el Responsable lo habilita, niñas y niños registrados por su representante legal. Datos: identificación y contacto (nombre, número de WhatsApp, usuario de redes, correo), conversaciones y sus archivos, campos y respuestas que el Responsable define, cumpleaños, visitas, premios y canjes, preferencias de avisos, datos técnicos de tarjetas de Wallet, citas, envíos de campañas y la prueba de autorizaciones y solicitudes.

4. Actividades que el Encargado realiza

Recolectar los datos por los formularios, los chats y las integraciones que el Responsable configura; almacenarlos y protegerlos; mostrarlos en el panel del Responsable; operar el asistente virtual con los datos que el Responsable habilita; confirmar números de WhatsApp; emitir y actualizar tarjetas de Apple Wallet y la Billetera de Google; enviar los avisos y mensajes que el Responsable ordena a quienes los autorizaron; calcular estadísticas para el Responsable; guardar la prueba de autorizaciones y solicitudes; hacer copias de respaldo; y corregir, anonimizar o borrar datos cuando corresponda.

5. Finalidades

El Encargado trata los datos solo para las finalidades que el Responsable fija en su política y en sus formularios, y para las que son inherentes a prestar el servicio: seguridad y prevención de fraude de la plataforma, prueba de autorizaciones y solicitudes, y estadísticas agregadas y anónimas. No los usa para fines propios, no los vende ni los cede, no los usa para entrenar modelos de inteligencia artificial de propósito general y no los cruza con los de otros negocios.

6. Instrucciones

Son instrucciones del Responsable este contrato, la configuración que hace en el panel y las que dé por escrito. Si el Encargado considera que una instrucción viola la ley, se lo informa y puede abstenerse de cumplirla.

7. Instrucciones permanentes

El Responsable instruye desde ya al Encargado para:

1. Aplicar las reglas sobre datos de niñas, niños y adolescentes de la política de Taply (autorización del representante, datos mínimos, uso solo con su representante, nunca en respuestas públicas ni en tarjetas de Wallet).
2. Marcar como voluntarias las preguntas sobre temas sensibles, recogerlas solo en formularios con su aviso (el asistente no las pide ni las guarda desde el chat) y bloquearlas sobre niñas y niños.
3. Conservar los datos de adultos mientras dure su relación con el Responsable y hasta que pidan su supresión, y los de niñas y niños mientras dure la relación de su representante con el Responsable, hasta que este pida borrarlos o hasta que cumplan 18 años, lo que ocurra primero, pidiéndole al representante una confirmación anual.
4. Al ejecutar una supresión, borrar también el contenido de las conversaciones de esa persona, conservando solo lo necesario para respetar su decisión de no recibir mensajes.
5. Ejecutar las supresiones y revocaciones que el Responsable resuelva o que el Titular haga desde su tarjeta.
6. Avisar al Responsable de cada solicitud de datos registrada en Taply y recordarle su vencimiento cuando falten 5 días hábiles y 1 día hábil para el final del plazo legal.
7. Mostrar el aviso de privacidad del Responsable en la primera conversación privada con cada persona y registrar su prueba.
8. Conservar la prueba de autorizaciones y solicitudes hasta 5 años después de terminada la relación del Titular con el Responsable, con el número guardado solo como identificador cifrado.

8. Obligaciones del Encargado

(Ley 1581, art. 18, y Decreto 1377, art. 25):

1. Tratar los datos según los principios de la ley, la política del Responsable y este contrato.
2. Garantizar a los Titulares el ejercicio de sus derechos, y trasladar al Responsable en máximo 2 días hábiles las consultas y reclamos que reciba, informándolo al Titular.
3. Conservar los datos con condiciones de seguridad que impidan su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
4. Guardar confidencialidad sobre los datos, también después de terminado el contrato, y exigirla a su equipo.
5. Actualizar, rectificar o suprimir los datos cuando corresponda y registrar la leyenda «reclamo en trámite» cuando aplique.
6. Abstenerse de circular información que esté siendo controvertida por el Titular cuando así se lo ordene la SIC.
7. Permitir el acceso a los datos solo a quienes deban tenerlo.
8. Informar al Responsable los incidentes de seguridad según la cláusula 12 y reportarlos a la SIC (Ley 1581, art. 18 lit. k).
9. Cumplir las instrucciones y requerimientos de la SIC.

9. Obligaciones del Responsable

(Ley 1581, art. 17): obtener y conservar la autorización de los Titulares por los medios que ofrece Taply o por los suyos; informarles la finalidad y sus derechos; tener y publicar su política; tramitar sus consultas y reclamos en los plazos de ley; dar al Encargado solo datos cuyo tratamiento esté autorizado; informarle las correcciones y reclamos que conozca por otros medios; inscribir sus bases de datos en el RNBD si le corresponde; y reportar a la SIC los incidentes de seguridad dentro de los 15 días hábiles siguientes a conocerlos.

10. Subencargados

El Responsable autoriza al Encargado a apoyarse en los proveedores listados en la sección «Con quién compartimos datos» de la política de Taply. El Encargado les exige obligaciones de protección equivalentes a las de este contrato y responde por ellos frente al Responsable. Avisará en el panel cualquier proveedor nuevo con al menos 15 días calendario de anticipación; si el Responsable se opone por un motivo razonable de protección de datos, puede terminar el contrato sin penalidad.

11. Transmisión internacional

El Responsable autoriza que los datos se traten fuera de Colombia, principalmente en Estados Unidos, país con nivel adecuado de protección según la Circular Externa 005 de 2017 de la SIC, y en los demás países de los proveedores listados, bajo contratos que los obligan a proteger los datos (Ley 1581, art. 26; Decreto 1377, arts. 24 y 25).

12. Seguridad e incidentes

El Encargado mantiene cifrado en tránsito, control de acceso por organización en cada consulta, mínimo privilegio, credenciales cifradas, registros técnicos limitados y copias de respaldo. Ante un incidente que afecte datos del Responsable, le avisa sin demoras injustificadas y en máximo 48 horas desde que lo conoce, con la información disponible (qué pasó, qué datos y Titulares, qué medidas se tomaron), y colabora para que el Responsable lo reporte a la SIC y a los Titulares cuando corresponda. El Encargado hace también su propio reporte a la SIC dentro de los 15 días hábiles siguientes a conocerlo.

13. Demostración y auditoría

El Encargado entrega al Responsable, cuando lo pida y una vez al año como máximo, la información razonable para demostrar el cumplimiento de este contrato, siguiendo la Guía de responsabilidad demostrada de la SIC. Las auditorías presenciales se acuerdan por escrito, a costa del Responsable y sin acceso a datos de otros negocios.

14. Duración, devolución y supresión

El contrato dura lo que dure el uso de Taply por el Responsable. Al terminar, el Responsable puede exportar sus datos durante 30 días calendario; vencido ese plazo, el Encargado los suprime, salvo la prueba de la cláusula 7.8 y los datos que una ley le obligue a conservar.

15. Responsabilidad

Cada parte responde por sus propias obligaciones. El Encargado responde por el tratamiento que haga fuera de las instrucciones del Responsable o contra la ley. En lo demás, la responsabilidad del Encargado frente al Responsable se limita al valor pagado por el Responsable a Taply en los 12 meses anteriores al hecho, salvo dolo o culpa grave. Esta limitación no afecta los derechos de los Titulares.

16. Cambios

El Encargado puede actualizar este contrato avisando en el panel con al menos 30 días calendario de anticipación. Si el Responsable no está de acuerdo, puede terminar el contrato antes de que el cambio se aplique.

17. Ley y controversias

Este contrato se rige por la ley colombiana. Las partes buscarán resolver cualquier diferencia directamente durante 30 días calendario; si no lo logran, acudirán a los jueces competentes de Colombia.