Contrato de transmisión de datos personales

1. Partes

De una parte, la empresa cliente que activa su cuenta de BookFlow, identificada con los datos registrados en su solicitud y en su cuenta, que actúa como RESPONSABLE del tratamiento (en adelante, «el Responsable»).

De otra parte, [RAZÓN SOCIAL], identificada con NIT [NIT], con domicilio en [DIRECCIÓN] y correo [CORREO DE DATOS], que opera el servicio BookFlow y actúa como ENCARGADO del tratamiento (en adelante, «el Encargado»).

Este contrato se celebra en los términos del artículo 25 del Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, y forma parte de los términos y condiciones del servicio.

2. Objeto

El Encargado tratará, por cuenta del Responsable, los datos personales que el Responsable o sus usuarios registren o generen en BookFlow, con la única finalidad de prestarle el servicio de gestión comercial (CRM) contratado.

3. Datos y titulares

Los datos pueden incluir la identificación y el contacto de personas vinculadas a los clientes del Responsable (por ejemplo, rectores, coordinadores y docentes de colegios), de su equipo de trabajo y de otras personas con las que el Responsable se relaciona, junto con el registro de visitas, pedidos, muestras, cotizaciones y demás actividad comercial.

El Responsable declara que cuenta con la autorización de los titulares o con otra base legal para tratar esos datos y entregarlos al Encargado, y se abstendrá de registrar datos sensibles o datos de niños, niñas o adolescentes salvo cuando sea estrictamente necesario y lícito.

4. Alcance del tratamiento

El Encargado podrá, únicamente en la medida necesaria para prestar el servicio:

• Almacenar, organizar y consultar los datos.
• Generar los reportes, indicadores y documentos que el Responsable solicite desde el servicio.
• Enviar las notificaciones que el Responsable o sus usuarios configuren.
• Hacer copias de respaldo.
• Acceder a los datos para dar soporte técnico cuando el Responsable lo pida o cuando sea indispensable para resolver una falla o un incidente de seguridad.

5. Obligaciones del Responsable

• Contar con la autorización de los titulares o con una base legal para el tratamiento, y conservar la prueba.
• Tener una política de tratamiento de datos personales e informarla a los titulares.
• Atender las consultas y reclamos de los titulares sobre los datos que registra en el servicio.
• Dar al Encargado instrucciones lícitas y usar el servicio conforme a la ley.
• Informar al Encargado cuando un dato sea objeto de reclamo o de discusión judicial, para su marcación.

6. Obligaciones del Encargado

El Encargado se obliga a:

• Tratar los datos conforme a la política de tratamiento del Responsable y a sus instrucciones, solo para la finalidad de este contrato, y no usarlos para fines propios.
• No vender, ceder ni comunicar los datos a terceros, salvo a los subencargados autorizados en este contrato o por orden de autoridad competente.
• Aplicar medidas de seguridad técnicas, humanas y administrativas adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, entre ellas: cifrado de las comunicaciones, aislamiento lógico de los datos de cada cliente, verificación en dos pasos para cuentas administradoras, registros de auditoría y copias de respaldo.
• Guardar confidencialidad sobre los datos y exigirla a las personas que, por su función, deban acceder a ellos, incluso después de terminado este contrato.
• Permitir el acceso a los datos solo a las personas autorizadas por el Responsable o que lo necesiten para prestar el servicio.
• Apoyar al Responsable para atender, dentro de los términos legales, las consultas y reclamos de los titulares, y trasladarle en un plazo máximo de dos (2) días hábiles cualquier solicitud que reciba directamente.
• Actualizar, rectificar o suprimir los datos cuando el Responsable lo indique, y registrar las leyendas «reclamo en trámite» e «información en discusión judicial» cuando se le notifique.
• Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya ordenado la Superintendencia de Industria y Comercio.
• Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información, en coordinación con el Responsable.

7. Subencargados

El Responsable autoriza al Encargado a apoyarse en los siguientes subencargados: Supabase (base de datos y autenticación), Vercel (alojamiento y ejecución), Resend (envío de correos), Upstash (control de frecuencia de solicitudes) y Cloudflare (verificación anti-abuso en formularios públicos). El Encargado les impone obligaciones de confidencialidad y seguridad equivalentes a las de este contrato.

El Encargado informará al Responsable con al menos [30] días de anticipación la incorporación o el cambio de un subencargado, y el Responsable podrá oponerse por motivos razonables o terminar el contrato.

8. Transmisión internacional

Los subencargados pueden almacenar o tratar los datos fuera de Colombia, entre otros en los Estados Unidos de América. El Responsable autoriza esas transmisiones, que se realizan bajo contratos que obligan a los subencargados a tratar los datos solo para prestar su servicio y con medidas de seguridad adecuadas.

9. Incidentes de seguridad

El Encargado notificará al Responsable cualquier incidente de seguridad que afecte sus datos sin dilación indebida y, en todo caso, dentro de las [72] horas siguientes a confirmarlo, con la descripción del incidente, los datos y titulares posiblemente afectados, las medidas adoptadas y un punto de contacto. Cooperará con el Responsable para que este pueda reportar el incidente a la Superintendencia de Industria y Comercio y, si corresponde, informar a los titulares, dentro de los plazos legales.

10. Verificación del cumplimiento

El Encargado entregará al Responsable la información razonablemente necesaria para demostrar el cumplimiento de este contrato. Las verificaciones adicionales se acordarán con anticipación razonable, a costa del Responsable y sin comprometer la seguridad ni los datos de otros clientes.

11. Duración y terminación

Este contrato estará vigente mientras el Responsable tenga una cuenta activa de BookFlow y hasta que el Encargado termine de devolver y suprimir los datos según la cláusula siguiente.

12. Devolución y supresión de los datos

Al terminar la relación, el Encargado pondrá a disposición del Responsable una exportación de sus datos durante [30] días. Vencido ese plazo, suprimirá los datos de sus sistemas de producción dentro de los [30] días siguientes, y de las copias de respaldo cuando estas se renueven, en un plazo máximo de [90] días, salvo que la ley le obligue a conservar alguno. A solicitud del Responsable, certificará la supresión.

13. Responsabilidad

Cada parte responde por el incumplimiento de sus propias obligaciones legales y contractuales. En lo no previsto aquí, aplican los límites de responsabilidad de los términos y condiciones del servicio, en la medida en que la ley lo permita.

14. Ley aplicable

Este contrato se rige por la ley colombiana, en particular por la Ley 1581 de 2012 y sus decretos reglamentarios.

15. Aceptación

Este contrato se acepta de forma electrónica cuando la persona que administra la cuenta del Responsable marca la casilla correspondiente. Quien lo acepta declara que tiene facultades para obligar a la empresa. El Encargado conserva como prueba la versión y la huella digital del texto aceptado, la fecha y hora, la dirección IP y el navegador.