Contrato de transmisión de datos personales

1. Partes y objeto

Este contrato se celebra entre el cliente que contrata Nabbu (el "Responsable") y [RAZÓN SOCIAL DE D-EYE S.A.S.], NIT [NIT] (el "Encargado"), y hace parte de los Términos y condiciones del servicio. Su objeto es regular el tratamiento que el Encargado hace, por cuenta del Responsable, de los datos personales de los destinatarios que el Responsable carga al Servicio.

2. Datos y tratamiento

• Titulares: los destinatarios (contactos) del Responsable.
• Datos: nombre, número de celular, correo electrónico, los datos adicionales que la organización cliente defina como campos de contacto (por ejemplo, ubicación, sector o cargo), etiquetas, estado de autorización por canal y su historial, mensajes enviados y recibidos con su estado de entrega, y respuestas a encuestas.
• Tratamiento: almacenamiento, organización, consulta, envío de mensajes y correos según las campañas que defina el Responsable, recepción de respuestas, generación de reportes, exportación y supresión.
• Finalidad: únicamente prestar el Servicio al Responsable.

3. Obligaciones del Responsable

• Obtener y conservar la autorización previa, expresa e informada de cada titular para el tratamiento y para cada canal de contacto, incluida la transmisión de sus datos al Encargado y a sus subencargados ubicados en el exterior.
• Informar a los titulares la finalidad del tratamiento y sus derechos, y tener una política de tratamiento de datos publicada.
• Dar instrucciones lícitas al Encargado y atender las consultas y reclamos de los titulares.
• Cargar solo datos exactos y necesarios para la finalidad.

4. Obligaciones del Encargado

• Tratar los datos solo según las instrucciones del Responsable y para la finalidad de este contrato; no usarlos para fines propios ni venderlos.
• Garantizar la seguridad y confidencialidad de los datos y que solo accedan a ellos las personas autorizadas, obligadas a confidencialidad.
• Separar lógicamente los datos de cada Responsable, de modo que ningún otro cliente pueda acceder a ellos.
• Ofrecer al Responsable herramientas para atender los derechos de los titulares: registro de la autorización y su historial por canal, reporte de evidencia de consentimientos, exportación de los datos de un titular y supresión definitiva en toda la organización.
• Registrar las acciones sensibles (exportaciones, supresiones, cambios de permisos) en un registro de auditoría disponible para el Responsable.
• Abstenerse de transmitir los datos a terceros distintos de los subencargados de la cláusula 6.

5. Seguridad

El Encargado mantiene, entre otras, estas medidas: cifrado en tránsito; control de acceso por organización, proyecto y rol aplicado en la propia base de datos; autenticación de usuarios; registro de auditoría de solo escritura; respaldos gestionados por el proveedor de base de datos; y acceso de su personal de soporte únicamente en modo lectura, por tiempo limitado y con registro.

6. Subencargados

El Responsable autoriza al Encargado a usar los siguientes subencargados, con obligaciones de protección equivalentes a las de este contrato:

• Neon (Databricks, Inc.) — base de datos y autenticación de usuarios; servidores en Estados Unidos (AWS, us-east-1).
• Railway Corporation — alojamiento de la aplicación y de los procesos en segundo plano; Estados Unidos.
• Twilio Inc. — envío y recepción de mensajes de WhatsApp a través de la plataforma de WhatsApp Business de Meta Platforms, Inc.; Estados Unidos.
• Microsoft Corporation (Azure Communication Services) — envío de correos electrónicos y eventos de entrega; Estados Unidos.

El Encargado informará al Responsable cualquier cambio de subencargados con al menos [treinta (30)] días de anticipación; si el Responsable se opone por motivos razonables, podrá terminar el contrato.

[Revisar con el abogado: requisitos de la transmisión internacional de datos a Estados Unidos.]

7. Derechos de los titulares

Si un titular dirige al Encargado una consulta o reclamo sobre datos del Responsable, el Encargado la trasladará al Responsable en máximo [cinco (5)] días hábiles y le dará el apoyo necesario para responder dentro de los plazos legales.

8. Incidentes de seguridad

El Encargado notificará al Responsable cualquier incidente de seguridad que afecte sus datos sin demora indebida y, en todo caso, dentro de [setenta y dos (72) horas] desde que lo conozca, con la información disponible, para que el Responsable pueda informar a la Superintendencia de Industria y Comercio y a los titulares cuando corresponda.

9. Conservación, retención y devolución

El Responsable puede configurar en el Servicio un plazo de retención para que los destinatarios sin actividad se supriman automáticamente. Al terminar el contrato, el Encargado permitirá exportar los datos durante [treinta (30)] días y luego los suprimirá, salvo obligación legal de conservarlos, y lo certificará a solicitud del Responsable.

Cuando el Responsable suprime a un titular, el Encargado conserva solo una huella criptográfica de su correo y celular, sin datos legibles, para evitar que se vuelva a importar por error; el Responsable puede retirarla si el titular vuelve a autorizar el tratamiento.

10. Auditoría

El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de este contrato, incluido el registro de auditoría de su organización. [Condiciones de auditorías presenciales o por terceros, si se ofrecen.]

11. Duración y ley aplicable

Este contrato rige mientras el Encargado trate datos del Responsable. Se rige por la ley colombiana, en especial la Ley 1581 de 2012 y el Decreto 1074 de 2015.