Contrato de Transmisión de Datos Personales

Nota de versión 0.2 (2026-10-10): el Encargado ejecuta la supresión solo con confirmación del solicitante y validación propia; dos tipos de solicitud; deber legal de conservación configurable; respaldos. Lo marcado «[PARA ABOGADO]» lo valida un abogado.

[PENDIENTE REVISIÓN LEGAL] Borrador. Base: Ley 1581 de 2012, Decreto 1074 de 2015 (artículos 2.2.2.25.5.1 y 2.2.2.25.5.2) y, cuando aplique, transmisiones internacionales (artículo 26 de la Ley 1581).

Versión: 0.2 · Vigencia: [DD/MM/AAAA]

Se acepta electrónicamente al crear la cuenta. Se registran la versión, la fecha, la IP y el usuario que aceptó.

1. Partes

• Responsable: el Cliente (el negocio que usa la Plataforma).
• Encargado: [RAZÓN SOCIAL], NIT [NIT] ("Nexo Agente").

2. Objeto

El Encargado trata los datos personales de los clientes finales del Responsable solo para prestar el servicio contratado:

• Atender conversaciones de WhatsApp.
• Agendar.
• Gestionar pedidos y pagos.
• Enviar recordatorios.
• Almacenar archivos que el titular envíe.

3. Obligaciones del Encargado

1. Tratar los datos solo según las instrucciones del Responsable y para el objeto del contrato.
2. Aplicar medidas de seguridad: cifrado, aislamiento entre clientes, control de acceso y auditoría.
3. Guardar confidencialidad, incluso después de terminado el contrato.
4. No usar los datos para fines propios ni venderlos. Las estadísticas siempre son agregadas y anónimas.
5. Atender, a través del Responsable, las solicitudes de los titulares (consulta, rectificación, supresión).
6. Informar al Responsable de cualquier incidente de seguridad que afecte sus datos, sin demora injustificada.
7. Usar sub-encargados (los proveedores listados en la Política de Privacidad) con obligaciones equivalentes.
8. Al terminar el contrato, permitir la exportación de datos y, por instrucción del Responsable (que este da al firmar), conservarlos en modo inactivo (solo lectura, cifrados y con acceso restringido), sin darles otro uso.
9. Atender dos solicitudes distintas, pedidas por el Responsable desde su panel o por el titular en el chat («BORRAR MIS DATOS»):

• Baja de uso (hábeas data): dejar de usar la información del titular (agente, memoria, CRM, marketing, recordatorios) y borrar sus datos de uso, conservando solo los registros con deber legal de conservación y una constancia mínima de la baja (huella cifrada del número) para no volver a contactarlo.
• Borrado de registros con deber legal de conservación: solo cuando venza el plazo legal; antes, la solicitud queda retenida con la fecha en que podrá ejecutarse.

1. Ejecutar cualquier supresión solo cuando (a) el solicitante la haya confirmado de forma expresa («esto no se puede deshacer») y (b) el Encargado la haya validado. El Encargado puede rechazarla informando el motivo, o retenerla por un deber legal de conservar registrando la razón. Ejecutada, es irreversible: se borran filas, ficha, mensajes, archivos, comprobantes, fotos y exportaciones anteriores que incluyan esos datos. Se confirma por correo y queda en auditoría (el hecho, no el contenido).
2. Mantener una clasificación, por país e industria, de qué datos son «de uso» y cuáles son «registros con deber de conservación», y su plazo. Por defecto: salud en Colombia, mensajes, archivos y citas por 15 años desde la última atención (Resolución 839 de 2017). Todo cambio de esa clasificación o del plazo exige una razón y queda auditado. [PARA ABOGADO: validar plazo, alcance y si las conversaciones de WhatsApp cuentan como historia clínica.]
3. Informar que las copias de respaldo de la base de datos conservan lo borrado hasta que vencen, en un máximo de [7] días, y que no se restauran para nadie. [PARA ABOGADO]

4. Obligaciones del Responsable

1. Contar con la autorización de los titulares y con su propia política de tratamiento de datos.
2. Responder a los titulares en los plazos de ley (consultas: 10 días hábiles; reclamos, incluida la supresión: 15 días hábiles) y pedir a tiempo la baja o el borrado en la Plataforma. [PARA ABOGADO: cómo se reparte el plazo entre Responsable y Encargado.]
3. Exportar sus datos antes de pedir la baja de uso de todo el negocio: después no se pueden recuperar.
4. Configurar textos de autorización acordes a su actividad. Para datos sensibles (por ejemplo, salud), la autorización debe ser explícita y facultativa.
5. Responder por la licitud de los datos que entrega y de las instrucciones que da.

5. Datos sensibles

Cuando la industria lo requiera (salud), el Encargado habilita una doble autorización y restringe el acceso a los archivos a los usuarios del Responsable con permiso.

6. Transmisiones internacionales

El Responsable autoriza que los datos se alojen y procesen en servidores de los sub-encargados, algunos fuera de Colombia, con niveles adecuados de protección.

7. Vigencia

Mientras exista la relación comercial y hasta el borrado de los datos.