Anexo de encargo de tratamiento de datos

1. Partes, objeto y duración

Operador contractual y responsable: [nombre completo o razón social PENDIENTE]. NIT/identificación: [PENDIENTE]. Domicilio y dirección: [PENDIENTE, Colombia]. Correo para soporte, privacidad y reembolsos: [PENDIENTE de habilitar y verificar]. Teléfono: [PENDIENTE]. Dashcom es el nombre del servicio; dashcom.tech es su dominio. El dominio y la marca no sustituyen la identificación del operador.

El cliente identificado en su oferta actúa como responsable de los datos que incorpora; el operador actúa como encargado para prestar Dashcom durante el contrato y los plazos limitados de devolución, recuperación y conservación legal. Este anexo debe aceptarse junto a los términos o formalizarse por escrito; su publicación sola no acredita aceptación ni un contrato con cada proveedor.

2. Instrucciones, categorías y operaciones

Las instrucciones son las funciones contratadas y las órdenes documentadas de usuarios autorizados: recepción, almacenamiento, organización, consulta, cálculo, exportación, sincronización, respaldo y eliminación. Las categorías comprenden contactos y usuarios, empleados y asesores, cifras comerciales y registros que pueda aportar legítimamente el cliente. No incluye un encargo general sobre datos sensibles o menores. Una finalidad nueva o reutilización para publicidad o entrenamiento requiere un acuerdo compatible con los derechos de los titulares.

3. Obligaciones del responsable

El cliente determina finalidades legítimas, obtiene autorizaciones y suministra información a titulares cuando sean exigibles, verifica exactitud y minimiza los datos cargados. Administra permisos y comunica instrucciones de corrección, bloqueo o eliminación. Debe informar restricciones relevantes antes de activar IA o integraciones. Estas obligaciones no exoneran al encargado de cumplir sus deberes propios.

4. Obligaciones del encargado

El operador trata datos únicamente bajo instrucciones lícitas documentadas, limita el personal autorizado, exige confidencialidad y adopta medidas técnicas y organizativas proporcionales. No vende, explota por cuenta propia ni entrena modelos con la información del cliente. Informa instrucciones que considere contrarias a la normativa y coordina su corrección. Atiende o traslada solicitudes de titulares, asiste al responsable y conserva trazabilidad suficiente, sin divulgación de datos de otras cuentas.

5. Subencargados y tratamiento internacional

Los subencargados posibles y su situación figuran en privacidad: Groq, correo configurado, Backblaze B2 y hosting definitivo, según activación real. El cliente autoriza su intervención únicamente dentro del objeto contratado y una vez identificados entidad, destino, alcance y garantías. El operador debe formalizar obligaciones equivalentes de finalidad, confidencialidad y seguridad; las obligaciones frente al cliente no desaparecen por subcontratar.

Antes de agregar un subencargado material o cambiar destino se informa al cliente con antelación razonable, salvo emergencia justificada. Una objeción fundada en protección de datos se analizará y se buscará alternativa o cierre ordenado de la función afectada. No se impone una autorización ilimitada a cualquier país o proveedor futuro. La transmisión internacional debe cumplir el Decreto 1074; una transferencia distinta exige su evaluación específica.

6. IA, supervisión y confidencialidad

El cliente instruye cada uso de IA autorizado conforme a las funciones contratadas. Deben minimizarse los datos y evitarse categorías no permitidas. El operador informa que el contexto puede identificar asesores y que una clave propia del cliente no elimina la transmisión al proveedor. Los controles de retención y no entrenamiento deben verificarse para la cuenta efectiva; no se garantiza ZDR sin activarlo y comprobarlo. Los resultados requieren revisión humana y no habilitan decisiones exclusivamente automatizadas de efecto significativo.

7. Incidentes y colaboración

El encargado notificará al responsable incidentes confirmados que afecten sus datos sin demora injustificada, con naturaleza, alcance conocido, medidas y canal de seguimiento, completando información disponible después. Ambas partes colaboran para contener y atender obligaciones frente a titulares y autoridades; no se fija un plazo ficticio como si fuera una regla colombiana universal. Una revisión de cumplimiento puede acordarse de manera proporcionada, protegiendo información de otros clientes y seguridad del servicio.

8. Fin del encargo y devolución

El cliente puede exportar sus datos o solicitar devolución durante el cierre; se verificará la identidad y autorización. Se eliminan datos operativos después del plazo de recuperación y backups según la política, salvo preservación específica legalmente necesaria. La conservación excepcional se limita por finalidad y acceso y se registra. Si se restaura una copia, se reaplican solicitudes previas de eliminación. La retención de documentos fiscales propios no permite continuar usando la base comercial del cliente.

9. Contacto y prevalencia

Las solicitudes se tramitan por los canales del operador y los del responsable identificados en la contratación. La ley y los derechos de los titulares prevalecen frente a una instrucción o cláusula incompatible. El acuerdo no acredita una certificación de seguridad, residencia territorial o cumplimiento integral aún no verificados.

Los clientes pueden abrir un ticket desde su cuenta. El canal formal alternativo para titulares sin cuenta y solicitudes de reembolso se publicará en la identificación del operador antes del lanzamiento. No envíes contraseñas, códigos 2FA, claves API ni documentos completos innecesarios por tickets.