Acuerdo de encargo del tratamiento de datos personales

Contrato de transmisión de datos personales en los términos del artículo 25 del Decreto 1377 de 2013, hoy artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.

Partes:

• El Responsable: el cliente que acepta los Términos y condiciones de AIGOS, por sí o por medio de su representante, respecto de cada empresa que crea o administra en AIGOS.
• El Encargado: AIGOS & Co. [PENDIENTE: razón social completa], NIT [PENDIENTE: NIT], domicilio [PENDIENTE: ciudad y dirección].

Este acuerdo se celebra por medios electrónicos al aceptar los Términos y condiciones (Ley 527 de 1999) y está vigente mientras el Encargado trate datos por cuenta del Responsable.

1. Objeto y alcance

1.1. El Responsable encarga a AIGOS el tratamiento de los datos personales que sus usuarios cargan, dictan, confirman o generan en AIGOS, solo para prestarle el servicio descrito en los Términos y condiciones: llevar la contabilidad, la facturación y los documentos electrónicos, el inventario, la tesorería, la nómina, los impuestos, los RIPS y el calendario de obligaciones de la empresa.

1.2. Actividades del Encargado: recibir, registrar, organizar, guardar, consultar, calcular, generar documentos, validar, mostrar a los usuarios autorizados, devolver a la IA del cliente cuando un usuario lo pide, exportar, conservar durante el plazo pactado y suprimir.

1.3. Categorías de titulares: clientes, proveedores y demás terceros del Responsable; sus empleados, contratistas y sus beneficiarios; y, si usa el módulo de salud, sus pacientes.

1.4. Categorías de datos: identificación y contacto; datos tributarios y comerciales; datos financieros y bancarios; datos laborales y de seguridad social; y, en salud, datos sensibles necesarios para facturar y reportar RIPS (identificación, fecha de nacimiento, sexo, atenciones, procedimientos, diagnósticos codificados, valores y pagador).

1.5. Duración: la del contrato de servicio más el plazo de exportación y supresión de la sección 10.

2. Instrucciones del Responsable

2.1. Las instrucciones del Responsable son: estos documentos, la configuración que hace la Gerencia de cada empresa (cargos, permisos, módulos) y las acciones que sus usuarios ordenan y confirman en el servicio.

2.2. El Encargado tratará los datos solo según esas instrucciones. Si una instrucción le parece contraria a la ley, lo avisará y podrá no ejecutarla.

2.3. El Encargado no tratará los datos para fines propios, no los venderá, no los usará para publicidad ni para entrenar modelos de inteligencia artificial y no los cruzará entre empresas. Solo podrá elaborar estadísticas agregadas y anónimas de uso del servicio que no permitan identificar a ninguna persona ni empresa.

3. Deberes del Responsable

El Responsable, conforme al artículo 17 de la Ley 1581 de 2012:

3.1. Tiene y publica su propia política de tratamiento de datos.

3.2. Obtiene y conserva la autorización previa, expresa e informada de los titulares cuando la ley la exige, y la explícita para los datos sensibles, o verifica una causal legal que la exceptúe (Ley 1581, artículos 6 y 10). Para los datos de niñas, niños y adolescentes, cumple el artículo 7 de la Ley 1581.

3.3. Informa a los titulares que sus datos serán tratados por encargados tecnológicos, incluso en el exterior.

3.4. Entrega al Encargado solo datos veraces, completos, actualizados, pertinentes y necesarios para el servicio, y comunica las correcciones.

3.5. Atiende las consultas y reclamos de sus titulares y da al Encargado las instrucciones para ejecutar lo que resuelva.

3.6. Inscribe sus bases de datos en el Registro Nacional de Bases de Datos cuando esté obligado e informa al Encargado lo que este necesite para cumplir.

3.7. Responde ante los titulares y la Superintendencia de Industria y Comercio por la licitud de la recolección y de las finalidades.

4. Deberes del Encargado

AIGOS, conforme al artículo 18 de la Ley 1581 de 2012 y al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015:

4.1. Trata los datos según los principios de la Ley 1581 y solo para las finalidades autorizadas por el Responsable.

4.2. Garantiza a los titulares el ejercicio de su derecho de hábeas data por medio del Responsable.

4.3. Salvaguarda la seguridad de las bases de datos con las medidas de la sección 6.

4.4. Guarda confidencialidad sobre los datos y exige lo mismo a su personal y subencargados, incluso después de terminado el contrato.

4.5. Actualiza, rectifica o suprime los datos cuando el Responsable lo ordene, dentro de los cinco (5) días hábiles siguientes a la orden, salvo deber legal de conservación.

4.6. Registra la leyenda «reclamo en trámite» y la de «información en discusión judicial» cuando el Responsable o la autoridad lo ordene.

4.7. Se abstiene de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya ordenado la SIC.

4.8. Permite el acceso a los datos solo a las personas que pueden tenerlo según el cargo y los permisos que defina el Responsable.

4.9. Informa a la SIC y al Responsable las violaciones a los códigos de seguridad y los riesgos en la administración de la información (sección 7).

4.10. Cumple las instrucciones de la Superintendencia de Industria y Comercio.

4.11. Tiene un procedimiento interno para atender consultas y reclamos (Política de tratamiento, sección 11).

5. Solicitudes de los titulares

5.1. Si un titular dirige al Encargado una consulta o reclamo sobre datos de un Responsable, el Encargado la traslada al Responsable dentro de los dos (2) días hábiles siguientes y le informa al titular.

5.2. El Encargado ayuda al Responsable con las funciones del servicio (consultas, informes y correcciones) para que este responda dentro de los plazos de los artículos 14 y 15 de la Ley 1581.

6. Medidas de seguridad

El Encargado mantiene, como mínimo:

6.1. Autenticación con cuenta de Google y segundo factor obligatorio para todo usuario; bloqueo tras intentos fallidos.

6.2. Aislamiento por empresa: seguridad por fila en todas las tablas, funciones del servidor que verifican persona, empresa y cargo en cada llamada, y prueba automática de aislamiento en cada cambio de código.

6.3. Confirmación humana con número de un solo uso, frase de confirmación y código vigente para todo lo que tenga efecto contable, tributario o de acceso.

6.4. Bitácora con huella encadenada que no admite cambios ni borrados, y registro de las lecturas de datos de salud.

6.5. Cifrado en tránsito y el cifrado en reposo que provee la infraestructura; secretos en bóveda; mínimo privilegio.

6.6. Revisión periódica de estas medidas y documentación de los controles (responsabilidad demostrada).

El Encargado puede cambiar estas medidas siempre que no reduzca el nivel de protección.

7. Incidentes de seguridad

7.1. El Encargado avisará al Responsable sin demora injustificada y a más tardar dentro de las setenta y dos (72) horas siguientes a confirmar un incidente que afecte sus datos, con lo que se sepa: qué pasó, qué datos y titulares pueden estar afectados, qué medidas se tomaron y un contacto.

7.2. El Encargado reportará el incidente a la SIC en lo que le corresponda y apoyará al Responsable en su propio reporte y en la comunicación a los titulares.

8. Subencargados

8.1. El Responsable autoriza al Encargado a usar los subencargados que figuran en la Política de tratamiento de datos (sección 12): hoy, Supabase, Inc. (sobre Amazon Web Services, Estados Unidos) para base de datos, autenticación, archivos y servidor; Vercel Inc. (Estados Unidos) para el sitio y la página de acceso; y Google LLC para el inicio de sesión y el correo.

8.2. El Encargado exigirá a cada subencargado obligaciones de protección de datos al menos equivalentes a las de este acuerdo y responde ante el Responsable por su cumplimiento, en los términos de la ley.

8.3. El Encargado avisará los cambios de subencargados con al menos quince (15) días calendario de anticipación por correo o en la política publicada. Si el Responsable se opone por una razón fundada en la protección de datos, puede terminar el contrato y exportar su información sin penalidad.

9. Transmisión internacional

9.1. El Responsable conoce y autoriza que sus datos se alojen y procesen en Estados Unidos por medio de los subencargados de la sección 8.

9.2. Estados Unidos figura en la lista de países con nivel adecuado de protección del numeral 3.2 del Título V de la Circular Única de la SIC. Además, el Encargado celebra con sus subencargados acuerdos de tratamiento de datos y puede incorporar las cláusulas contractuales modelo reconocidas por la SIC en la Circular Externa 003 de 2025.

9.3. La IA y el almacenamiento del Responsable no son subencargados de AIGOS. Los datos que la IA del Responsable pide a AIGOS, o le entrega, viajan por instrucción del Responsable. El Responsable responde por la elección de esa IA y ese almacenamiento, por su contrato con esos proveedores y por las transmisiones o transferencias que eso implique.

10. Terminación, devolución y supresión

10.1. Al terminar el servicio, el Responsable tiene sesenta (60) días calendario para exportar sus datos en formatos abiertos.

10.2. Vencido ese plazo, el Encargado suprime o anonimiza los datos dentro de los noventa (90) días calendario siguientes y las copias de seguridad se eliminan en su ciclo de rotación. A solicitud escrita, el Encargado certifica la supresión.

10.3. El Encargado puede conservar, bloqueados, los datos que deba guardar por ley o para atender reclamaciones, y la bitácora de seguridad. La conservación de los libros y soportes contables por diez (10) años (Ley 962 de 2005, artículo 28) es deber del Responsable.

11. Auditoría y prueba

11.1. A solicitud escrita y razonable del Responsable, una vez por año o cuando lo exija una autoridad, el Encargado entregará la información necesaria para demostrar el cumplimiento de este acuerdo, como el documento «Custodia de la información» y los resultados de sus pruebas de seguridad.

11.2. Las revisiones en sitio, si fueran necesarias, se acordarán con aviso de treinta (30) días, en horario hábil, con confidencialidad y a cargo del Responsable.

12. Responsabilidad

12.1. Cada parte responde por el cumplimiento de sus propios deberes legales. El Responsable responde por la licitud de la recolección, la autorización y las finalidades; el Encargado, por tratar los datos según las instrucciones y con las medidas de seguridad pactadas.

12.2. Entre las partes se aplican la limitación de responsabilidad y la indemnidad de la sección 15 de los Términos y condiciones. Esas reglas no limitan los derechos de los titulares ni las facultades de la SIC, y no cubren el dolo ni la culpa grave.

13. Ley aplicable

Este acuerdo se rige por la ley colombiana. Lo no previsto se rige por la Ley 1581 de 2012, el Decreto 1074 de 2015, las instrucciones de la SIC y los Términos y condiciones de AIGOS.