Acuerdo de encargo de tratamiento de datos personales

Partes del acuerdo

El Encargado ("Ascend"): Zyncro S.A.S.

El Responsable ("el Cliente"): cada organización que se registre y acepte digitalmente este Acuerdo dentro de la Plataforma.

Este Acuerdo hace parte integral de los Términos y condiciones de Ascend o del contrato comercial suscrito entre las partes (el "Contrato Principal"). Regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable, y es el contrato de transmisión de datos personales al que se refiere el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, en cumplimiento de la Ley 1581 de 2012. En lo relativo al tratamiento de datos personales, este Acuerdo prevalece sobre el Contrato Principal.

1. Objeto

El Responsable, como titular de la relación con sus empleados, clientes finales y proveedores, encarga a Ascend el tratamiento de los datos personales de esas personas que se procesen a través de la Plataforma, con el único fin de prestar el Servicio contratado (ventas, inventario, bodegas, nómina, empleados, asistencia, sedes, cocinas, pedidos en línea, reservas, créditos, facturación electrónica y demás módulos habilitados).

2. Roles

Las instrucciones del Responsable son las contenidas en este Acuerdo, en el Contrato Principal y en la configuración que el Responsable hace de la Plataforma. Si una instrucción del Responsable es, a juicio de Ascend, contraria a la ley, Ascend se lo informará y podrá abstenerse de cumplirla.

3. Categorías de datos y de titulares

4. Obligaciones del Encargado (Ascend)

Ascend se obliga a:

• Tratar los datos personales solo conforme a las instrucciones documentadas del Responsable y para los fines del Servicio, sin usarlos para fines propios, sin venderlos y sin cederlos a terceros no autorizados.
• No usar los datos personales del Responsable para entrenar modelos de inteligencia artificial propios ni de terceros.
• Guardar confidencialidad sobre los datos tratados, incluso después de terminada la relación contractual, y exigir el mismo deber a su personal, que solo accederá a los datos cuando lo necesite para dar soporte o resolver un problema.
• Aplicar medidas técnicas, humanas y administrativas de seguridad razonables: cifrado en tránsito, contraseñas cifradas, control de acceso por roles, verificación en dos pasos disponible para todas las cuentas, aislamiento lógico entre clientes de la Plataforma, registro de eventos de seguridad y copias de seguridad diarias.

• Dar al Responsable la información y el apoyo razonables para que este reporte el incidente a la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos dentro de los quince (15) días hábiles siguientes a su detección, cuando le corresponda, y para que informe a los titulares afectados.
• Colaborar con el Responsable para atender, dentro de los plazos legales, las solicitudes de los titulares (consulta, actualización, rectificación, supresión, revocatoria) sobre datos tratados en la Plataforma. Si un titular se dirige directamente a Ascend, Ascend trasladará la solicitud al Responsable dentro de los cinco (5) días hábiles siguientes y no la resolverá por su cuenta, salvo instrucción del Responsable.
• Usar subencargados solo en los términos de la sección 6.
• Al terminar el Contrato Principal, devolver y eliminar los datos conforme a la sección 8.
• Permitir auditorías conforme a la sección 7.

5. Obligaciones del Responsable (Cliente)

El Cliente se obliga a:

• Contar con la autorización previa, expresa e informada de sus empleados, clientes finales y proveedores para el tratamiento de sus datos en la Plataforma, incluida una autorización específica y diferenciada para los datos sensibles. El dato biométrico del empleado para la asistencia facial lo autoriza el propio empleado; el Responsable no puede darlo en su nombre.
• Cargar a la Plataforma solo datos que esté legalmente autorizado a tratar, y no cargar datos de menores de edad salvo que la ley lo permita y cuente con la autorización de su representante.
• Tener su propia política de tratamiento de datos y atender en primera instancia las solicitudes de sus titulares, con el apoyo del Encargado cuando corresponda.
• Inscribir sus bases de datos en el Registro Nacional de Bases de Datos cuando esté obligado, y reportar a la Superintendencia de Industria y Comercio los incidentes de seguridad que le correspondan.
• Informar a Ascend cualquier instrucción especial sobre el tratamiento de los datos que cargue.
• Gestionar de forma segura los usuarios y permisos de su personal en la Plataforma, conforme a los Términos y Condiciones.

6. Subencargados y transmisión internacional

El Responsable autoriza a Ascend a apoyarse en los siguientes subencargados para prestar el Servicio:

Los mapas y la búsqueda de direcciones funcionan con datos abiertos de OpenStreetMap alojados en el propio servidor de Ascend, por lo que no intervienen como subencargado. Solo si el mapa propio no estuviera disponible se usa de respaldo el mapa público de OpenStreetMap. Algunos botones abren Google Maps únicamente cuando el usuario los toca.

Ascend exigirá a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo y responderá frente al Responsable por su cumplimiento, dentro de los límites del Contrato Principal.

Cambios de subencargados. Ascend avisará al Responsable por correo electrónico o en la Plataforma con al menos quince (15) días calendario de anticipación antes de agregar o reemplazar un subencargado. Si el Responsable tiene una razón fundada de protección de datos para oponerse, podrá informarlo dentro de ese plazo; si las partes no encuentran una solución, el Responsable podrá terminar el Contrato Principal sin penalidad y con reembolso proporcional del Periodo pagado y no usado. En una urgencia de seguridad o continuidad del Servicio, el cambio podrá hacerse antes, avisando tan pronto como sea posible.

Transmisión internacional. El Responsable conoce y autoriza que, por la ubicación de los subencargados, los datos se transmiten y almacenan fuera de Colombia, principalmente en Estados Unidos. Esa transmisión se hace conforme al artículo 26 de la Ley 1581 de 2012 y bajo este Acuerdo como contrato de transmisión, que obliga a Ascend y a sus subencargados a tratar los datos solo para los fines aquí previstos y con las medidas de seguridad aquí pactadas. Corresponde al Responsable informar a sus titulares, en su propia política o autorización, que sus datos pueden ser tratados por encargados ubicados fuera de Colombia.

7. Auditorías

El Responsable podrá verificar el cumplimiento de este Acuerdo:

• En primer lugar, mediante un cuestionario o una solicitud de información escrita, que Ascend responderá dentro de los quince (15) días hábiles siguientes.
• Si la respuesta no es suficiente, o tras un incidente de seguridad que lo afecte, mediante una auditoría hecha por el Responsable o por un auditor independiente que este designe, con aviso de al menos treinta (30) días calendario, como máximo una vez al año (salvo tras un incidente), en horario hábil, a costo del Responsable y bajo acuerdo de confidencialidad.

La auditoría no dará acceso a datos de otros clientes de la Plataforma ni a información que comprometa la seguridad de la Plataforma o los secretos comerciales de Ascend.

8. Devolución y eliminación de los datos

Al terminar el Contrato Principal por cualquier causa:

• El Responsable tiene treinta (30) días calendario para exportar sus datos o pedir su devolución en un formato estructurado de uso común.
• Cuando ninguna sede del Responsable tenga un plan activo durante noventa (90) días calendario, Ascend eliminará o anonimizará de forma segura los datos personales del Responsable, con aviso previo de al menos treinta (30) días al correo registrado. Las copias de seguridad que los contengan se sobrescribirán en su ciclo normal de rotación y, mientras tanto, permanecerán protegidas y sin uso.
• Ascend solo conservará los datos que una norma le exija conservar a él mismo. La conservación de los soportes contables, documentos electrónicos y registros laborales por los plazos legales es obligación del Responsable, que debe exportarlos antes de la eliminación.
• A solicitud del Responsable, Ascend certificará por escrito la eliminación.

9. Estadísticas anonimizadas

El Responsable autoriza a Ascend a generar estadísticas agregadas y anonimizadas a partir del uso de la Plataforma, siempre que no permitan identificar al Responsable ni a ningún titular, con el único fin de operar, asegurar y mejorar el Servicio. Esas estadísticas no son datos personales, y Ascend no las venderá a terceros.

10. Responsabilidad

Cada parte responde por el cumplimiento de sus propias obligaciones bajo la Ley 1581 de 2012 y este Acuerdo. La responsabilidad de Ascend se rige por los límites del Contrato Principal, salvo en los casos de dolo o culpa grave o en los que la ley no permita limitarla. El Responsable mantendrá indemne a Ascend frente a reclamaciones que se originen en el tratamiento de datos sin las autorizaciones que le corresponde obtener.

11. Vigencia y modificaciones

Este Acuerdo estará vigente mientras el Cliente use la Plataforma bajo el Contrato Principal. Las obligaciones de confidencialidad, seguridad, devolución y eliminación de datos seguirán vigentes hasta que los datos se eliminen por completo, y la de confidencialidad, de forma indefinida.

Ascend podrá actualizar este Acuerdo para reflejar cambios en el Servicio, en los subencargados o en la ley. Toda nueva versión se avisará con al menos quince (15) días calendario de anticipación y se pedirá su aceptación en la Plataforma.

12. Ley aplicable

Este Acuerdo se rige por las leyes de la República de Colombia, en particular la Ley 1581 de 2012 y el Decreto 1074 de 2015. Las controversias se resolverán según el procedimiento previsto en el Contrato Principal.

Consulta también los Términos y condiciones y la Política de privacidad.