Contrato de transmisión de datos personales

Este contrato se celebra entre la empresa que contrata NexorERP (el «Responsable») y Diego Alejandro Uran Gil, persona natural identificada con NIT 1046667907-6, que opera con el nombre comercial Tecnosolution (el «Encargado»), conforme a la Ley 1581 de 2012 y al artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015).

Tiene por objeto regular el tratamiento que el Encargado hace, por cuenta del Responsable, de los datos personales que el Responsable y sus usuarios registran en NexorERP. Se acepta junto con los Términos y condiciones del servicio y forma parte de ellos.

Según los módulos que use el Responsable, los datos pueden ser de:

• clientes y prospectos: nombre, identificación, dirección, teléfono, correo, historial de compras, cartera y pagos;
• proveedores y contratistas: datos de identificación, contacto, bancarios y tributarios;
• empleados y aspirantes: datos de identificación, contacto, contrato, salario, seguridad social, cuentas bancarias, incapacidades, ausencias y dependientes;
• usuarios del sistema: nombre, correo, permisos y registros de acceso (fecha, hora, dirección IP y acciones);
• otras personas que el Responsable decida registrar.

Algunos de estos datos pueden ser sensibles (por ejemplo, los de salud asociados a incapacidades) o de niños, niñas y adolescentes (por ejemplo, dependientes de un empleado). Su tratamiento exige las autorizaciones especiales de los artículos 6 y 7 de la Ley 1581 de 2012, que debe obtener el Responsable.

El Encargado solo puede: almacenar los datos, alojarlos en su infraestructura, hacer copias de seguridad, procesarlos con las funciones del software que el Responsable use (facturación, cartera, nómina, portal de clientes, envío de documentos y recordatorios, etc.), transmitirlos a la DIAN o a los terceros que el Responsable active en el sistema, y consultarlos para dar soporte cuando el Responsable lo pida.

El Encargado no usará los datos para fines propios, no los venderá ni los cederá, y no contactará a los titulares por iniciativa propia.

• Obtener y conservar la autorización previa, expresa e informada de los titulares cuando la ley la exija, e informarles las finalidades del tratamiento.
• Tener su propia política de tratamiento de datos personales y atender las consultas y reclamos de los titulares.
• Registrar solo los datos necesarios para sus finalidades y mantenerlos actualizados.
• Inscribir sus bases de datos en el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio cuando esté obligado.
• Administrar con cuidado los usuarios y permisos de su empresa en el sistema.

Además de los deberes del artículo 18 de la Ley 1581 de 2012, el Encargado se obliga a:

• tratar los datos solo según las instrucciones del Responsable y las finalidades autorizadas por los titulares;
• mantener la confidencialidad de los datos, también después de terminado el contrato, y exigirla a quien tenga acceso a ellos;
• aplicar las medidas de seguridad del numeral 6;
• ayudar al Responsable a atender las consultas y reclamos de los titulares, y trasladarle dentro de los cinco (5) días hábiles siguientes las que reciba directamente;
• avisar al Responsable, sin demoras injustificadas y a más tardar dentro de los tres (3) días hábiles siguientes a conocerlo, cualquier incidente de seguridad que afecte sus datos, con la información disponible, para que el Responsable pueda reportarlo a la Superintendencia de Industria y Comercio;
• devolver o eliminar los datos al terminar el contrato, según el numeral 9.

• Base de datos independiente para cada empresa cliente.
• Conexiones cifradas (HTTPS) entre los usuarios y el sistema.
• Contraseñas almacenadas con funciones de cifrado de una vía, verificación en dos pasos y cierre de sesiones a solicitud.
• Permisos por rol para limitar lo que cada usuario ve y hace.
• Registro de auditoría de las acciones de los usuarios.
• Copias de seguridad diarias; las que se guardan fuera del servidor se cifran antes de salir de él, y se prueban periódicamente restaurándolas.
• Acceso del personal del Encargado a los servidores limitado a quien lo necesita, con llaves de acceso personales.

El Responsable autoriza al Encargado a apoyarse en los siguientes terceros, que tratan datos solo para la función indicada:

• infraestructura de servidores ubicada en Colombia: alojamiento de las bases de datos y del sistema;
• Google LLC (servidores fuera de Colombia, principalmente en los Estados Unidos): almacenamiento de las copias de seguridad, que se cifran antes de enviarse (Google no puede leer su contenido), y envío de correos electrónicos del sistema;
• cuando el Responsable los active en el sistema: la pasarela de pagos (Wompi), el servicio de mensajería (WhatsApp de Meta Platforms) y el proveedor tecnológico de facturación electrónica que elija.

El Encargado exigirá a sus subencargados condiciones de confidencialidad y seguridad equivalentes a las de este contrato, y avisará al Responsable de cualquier cambio de subencargados con al menos quince (15) días calendario de anticipación, para que pueda oponerse o terminar el contrato.

El Responsable autoriza la transmisión internacional de los datos a los subencargados que están fuera de Colombia, en las condiciones de este contrato (artículos 24 y 25 del Decreto 1377 de 2013). Los Estados Unidos están entre los países que la Superintendencia de Industria y Comercio considera con un nivel adecuado de protección.

Este contrato dura lo mismo que el contrato de servicio. Al terminar, el Encargado entrega al Responsable que lo pida una copia de sus datos, dentro de los treinta (30) días calendario siguientes, y luego los elimina; las copias de seguridad desaparecen por rotación, a más tardar noventa (90) días después de la terminación. Solo conservará lo que una ley le obligue a guardar.

Cada parte responde por el cumplimiento de sus propias obligaciones legales frente a los titulares y a la Superintendencia de Industria y Comercio. El Encargado responde por los daños que cause si trata los datos en contra de este contrato o de las instrucciones del Responsable, con los límites de los Términos y condiciones del servicio, salvo dolo o culpa grave.