Contrato de transmisión de datos personales

Este contrato hace parte de los Términos y Condiciones del Servicio y regula el tratamiento que ProcesaBPM hace, por cuenta de cada organización cliente, de los datos personales que esa organización carga en la plataforma. Se celebra en los términos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.

1. Partes

• Responsable: la organización cliente que acepta los términos.
• Encargado: Alexander Pardo, persona natural, quien opera ProcesaBPM.

2. Alcance del tratamiento

El encargado trata los datos que la organización y sus usuarios cargan en la plataforma: datos de identificación y contacto de usuarios y empleados, cargos y sedes, los formularios, adjuntos y comentarios de las solicitudes, las firmas electrónicas y los registros de actividad.

3. Lo que hace el encargado por cuenta del responsable

Alojar, guardar, mostrar, enviar por correo, procesar según los flujos que configura el responsable, generar documentos PDF, exportar y borrar los datos, y dar soporte cuando el responsable lo autoriza.

4. Obligaciones del encargado

1. Tratar los datos solo según las instrucciones del responsable, que son estos términos y la configuración que él hace en la plataforma, y nunca para fines propios.
2. Mantener la confidencialidad de los datos, también después de terminado el servicio, y exigirla a quienes los traten por su cuenta.
3. Mantener medidas de seguridad técnicas y administrativas adecuadas: cifrado en tránsito, separación de los datos de cada organización, control de acceso con la opción de exigir segundo factor y registro de auditoría.
4. Avisar al responsable, sin demora injustificada, de cualquier incidente de seguridad que afecte sus datos, con la información disponible para que pueda informar a los titulares y a la Superintendencia de Industria y Comercio.
5. Ayudar al responsable a atender las consultas y reclamos de los titulares.
6. Al terminar el servicio, permitir que el responsable exporte sus datos y borrarlos de forma definitiva dentro de los 30 días siguientes, salvo que la ley obligue a conservarlos.
7. Dar al responsable la información necesaria para demostrar el cumplimiento de este contrato.

5. Obligaciones del responsable

1. Contar con la autorización de los titulares y con una política de tratamiento que cubra el uso de la plataforma.
2. Configurar la plataforma de acuerdo con su política: quién ve qué, qué se pide en cada formulario y si activa el asistente de IA.
3. Atender a los titulares y, si lo necesita, pedir la ayuda del encargado.

6. Subencargados y transmisiones internacionales

El responsable autoriza que el encargado use los siguientes proveedores, que tratan los datos solo para prestar el servicio:

Proveedor	País	Para qué	Qué datos
Amazon Web Services (AWS)	Estados Unidos (región us-east-1)	Servidores, base de datos, archivos adjuntos y envío de correos (Amazon SES)	Todos los datos de la plataforma
DeepSeek	China	Asistente de IA «Crear con IA», solo si el responsable lo activa	La descripción del proceso o el cambio pedido y el borrador del flujo. No los tickets ni sus datos

El encargado avisa a los administradores del responsable con 30 días de anticipación antes de agregar o cambiar un proveedor. Si el responsable se opone, puede terminar el servicio sin penalidad.

China no figura entre los países con nivel adecuado de protección que publica la Superintendencia de Industria y Comercio. El responsable que active el asistente de IA acepta esa transmisión, y debe cuidar que en él no se escriban datos personales.

7. Duración

Este contrato dura lo mismo que el servicio, y las obligaciones de confidencialidad y de borrado continúan después de que termine.