Anexo A — Acuerdo de Tratamiento de Datos Personales (DPA)

El presente Acuerdo de Tratamiento de Datos Personales (en adelante, el “DPA”) forma parte integral de los Términos y Condiciones del Servicio SaaS de Orbity (en adelante, el “Contrato”) celebrado entre Orbity en calidad de proveedor del servicio SaaS, y el suscriptor identificado en el proceso de contratación o registro de la Plataforma. Este DPA regula el tratamiento de datos personales realizado por Orbity por cuenta del suscriptor cuando, en desarrollo del Servicio, Orbity actúe como Encargado del Tratamiento.

1. OBJETO

El presente DPA establece las condiciones bajo las cuales Orbity realizará el tratamiento de datos personales por cuenta del suscriptor, con ocasión de la prestación de los servicios SaaS contratados. El tratamiento comprenderá únicamente las operaciones necesarias para prestar, mantener, proteger, soportar y mejorar técnicamente los Servicios contratados, de acuerdo con las instrucciones documentadas del suscriptor y con la legislación colombiana aplicable en materia de protección de datos personales. Este DPA no transfiere al suscriptor ni a Orbity la titularidad de los datos personales tratados.

2. MARCO NORMATIVO

El tratamiento de datos personales se realizará conforme a la legislación colombiana aplicable, incluyendo, según corresponda:

1. La Ley 1581 de 2012 y sus normas reglamentarias o modificatorias.
2. Las disposiciones aplicables del Decreto 1074 de 2015.
3. Las instrucciones, circulares y doctrina aplicables de la Superintendencia de Industria y Comercio (SIC).
4. Las demás normas que modifiquen, sustituyan o complementen el régimen colombiano de protección de datos personales.

Cuando resulte aplicable normativa extranjera por razón de la ubicación de los Titulares, del suscriptor, de los proveedores tecnológicos o del tratamiento realizado, las partes cooperarán razonablemente para determinar las obligaciones correspondientes.

3. DEFINICIONES

Para efectos de este DPA:

3.1. Datos personales: Cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.

3.2. Titular: La persona natural cuyos datos personales son objeto de Tratamiento.

3.3. Responsable del Tratamiento: La persona natural o jurídica, pública o privada, que decide sobre la finalidad y los medios del Tratamiento de datos personales.

3.4. Encargado del Tratamiento: La persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable.

3.5. Tratamiento: Cualquier operación sobre datos personales, incluyendo recolección, almacenamiento, uso, consulta, circulación, transmisión, transferencia, actualización, modificación, conservación o eliminación.

3.6. Subencargado: Tercero contratado por Orbity que trate datos personales por cuenta de Orbity o del suscriptor en desarrollo de los Servicios.

4. DETERMINACIÓN DE ROLES

4.1. Tratamiento por cuenta del suscriptor: Respecto de los datos personales que el suscriptor cargue, ingrese, conecte, sincronice o procese mediante Orbity y cuyo tratamiento sea realizado por Orbity siguiendo las instrucciones del suscriptor, el suscriptor será, según corresponda, Responsable del Tratamiento y Orbity actuará como Encargado del Tratamiento. El rol de cada parte se determinará atendiendo a las funciones efectivamente realizadas y a las finalidades del tratamiento, y no exclusivamente a la denominación utilizada en este DPA.

4.2. Tratamientos propios de Orbity: Orbity podrá actuar como Responsable del Tratamiento respecto de aquellos datos personales que recopile y trate para sus propias finalidades legítimas, tales como:

• Creación y administración de cuentas;
• Autenticación de usuarios;
• Facturación y gestión de pagos;
• Prevención y detección de fraude;
• Seguridad de la Plataforma;
• Atención y soporte;
• Gestión comercial;
• Cumplimiento de obligaciones legales;
• Gestión contractual;
• Auditoría y control interno;
• Conservación de registros de aceptación electrónica;
• Defensa de derechos e intereses jurídicos.

Dichos tratamientos estarán sujetos a la Política de Tratamiento de Datos Personales de Orbity que resulte aplicable.

5. INSTRUCCIONES DEL CLIENTE

Orbity tratará los datos personales de acuerdo con:

1. Las instrucciones documentadas del suscriptor;
2. Las funcionalidades contratadas;
3. Las configuraciones realizadas por el suscriptor dentro de la Plataforma;
4. El Contrato y sus anexos; y
5. Las obligaciones legales aplicables.

El suscriptor será responsable de que sus instrucciones sean lícitas y compatibles con la normativa aplicable. Orbity no estará obligada a ejecutar instrucciones que razonablemente considere contrarias a la legislación aplicable. Cuando una instrucción del suscriptor pueda generar un riesgo jurídico, técnico o de seguridad significativo, Orbity podrá solicitar aclaraciones antes de ejecutarla.

6. FINALIDADES DEL TRATAMIENTO

Dependiendo de los módulos y funcionalidades contratados, Orbity podrá tratar los datos personales para las siguientes finalidades:

1. Prestar los Servicios contratados;
2. Almacenar y organizar información introducida por el suscriptor;
3. Administrar usuarios, suscriptores, contactos, prospectos y demás registros;
4. Ejecutar funcionalidades de CRM;
5. Gestionar comunicaciones y mensajería;
6. Procesar información necesaria para automatizaciones;
7. Ejecutar integraciones con terceros autorizadas por el suscriptor;
8. Prestar funcionalidades de inteligencia artificial cuando hayan sido contratadas;
9. Realizar copias de seguridad conforme a la política aplicable;
10. Detectar errores y realizar diagnóstico técnico;
11. Garantizar la seguridad y disponibilidad de la Plataforma;
12. Atender solicitudes de soporte;
13. Cumplir obligaciones legales aplicables; y
14. Ejecutar las demás operaciones estrictamente necesarias para prestar los Servicios.

Orbity no utilizará los datos personales del suscriptor para una finalidad incompatible con las instrucciones recibidas, salvo que exista una obligación legal que lo exija.

7. CATEGORÍAS DE DATOS

Dependiendo de las funcionalidades utilizadas por el suscriptor, los datos tratados podrán incluir:

• Nombres y apellidos;
• Datos de contacto (teléfonos, direcciones de correo electrónico);
• Información comercial, de clientes, prospectos y usuarios;
• Historial de interacciones y datos relacionados con ventas o facturación;
• Identificadores técnicos y metadatos necesarios para prestar los Servicios;
• Información contenida en comunicaciones, archivos y documentos cargados por el suscriptor.

El suscriptor será responsable de determinar qué datos introduce en la Plataforma y de verificar que su tratamiento sea adecuado, pertinente y necesario para las finalidades correspondientes.

8. DATOS SENSIBLES Y DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

El Suscriptor no deberá cargar datos sensibles, datos biométricos, datos relativos a salud, información financiera altamente sensible u otras categorías especiales de datos cuando no sean necesarios para la finalidad del Servicio. Cuando el Suscriptor requiera tratar este tipo de información mediante Orbity, deberá garantizar previamente que cuenta con la base jurídica, autorización y demás requisitos necesarios para hacerlo.

El Suscriptor deberá adoptar medidas especiales respecto del tratamiento de datos de niños, niñas y adolescentes y garantizar el cumplimiento de las normas aplicables. Orbity podrá restringir o suspender funcionalidades cuando razonablemente considere que el uso de la Plataforma implica un riesgo significativo para los derechos de los Titulares o un incumplimiento de la legislación aplicable.

9. OBLIGACIONES DEL CLIENTE COMO RESPONSABLE

El suscriptor será responsable, según corresponda, de:

1. Obtener las autorizaciones necesarias para el tratamiento de datos personales;
2. Informar adecuadamente a los Titulares sobre las finalidades del tratamiento;
3. Contar con una Política de Tratamiento de Datos Personales cuando legalmente corresponda;
4. Garantizar que los datos proporcionados a Orbity fueron obtenidos legítimamente;
5. Atender las consultas y reclamos de los Titulares que correspondan al Responsable;
6. Mantener actualizados los datos cuando corresponda;
7. Respetar los derechos de los Titulares;
8. Impartir instrucciones lícitas a Orbity;
9. Determinar los períodos de conservación de los datos cuando sean de su responsabilidad;
10. Implementar las medidas de seguridad que correspondan a su propia operación; y
11. Abstenerse de utilizar Orbity para actividades ilícitas o contrarias al Contrato.

Orbity no será responsable de la legalidad de la recopilación inicial de los datos realizada directamente por el suscriptor.

10. OBLIGACIONES DE ORBITY COMO ENCARGADO

Cuando actúe como Encargado, Orbity deberá:

1. Tratar los datos personales únicamente de acuerdo con las instrucciones del suscriptor y las finalidades autorizadas;
2. Garantizar que las personas autorizadas para tratar datos personales estén sujetas a obligaciones de confidencialidad;
3. Implementar medidas razonables de seguridad;
4. Mantener la confidencialidad de la información;
5. Colaborar razonablemente con el suscriptor frente a solicitudes relacionadas con derechos de los Titulares;
6. Informar al suscriptor cuando tenga conocimiento de un incidente de seguridad que afecte datos personales bajo su custodia;
7. Utilizar Subencargados conforme a este DPA;
8. Asistir razonablemente al suscriptor frente a obligaciones relacionadas con seguridad y protección de datos;
9. Devolver, exportar o eliminar los datos conforme a las condiciones establecidas en el Contrato; y
10. Cumplir las demás obligaciones que legalmente correspondan a los Encargados del Tratamiento.

11. DERECHOS DE LOS TITULARES

Los Titulares podrán ejercer los derechos reconocidos por la legislación aplicable, incluyendo, según corresponda:

• Conocer los datos tratados;
• Solicitar actualización o rectificación;
• Solicitar información sobre el tratamiento;
• Presentar consultas y reclamos;
• Solicitar la supresión o revocar la autorización cuando sea jurídicamente procedente.

Cuando una solicitud sea recibida directamente por Orbity pero corresponda al suscriptor resolverla como Responsable, Orbity podrá remitirla al suscriptor. Orbity podrá asistir razonablemente al suscriptor para localizar, consultar, exportar, corregir o eliminar información disponible en la Plataforma, sujeto a las funcionalidades técnicas existentes y a las condiciones del Servicio.

12. SEGURIDAD DE LA INFORMACIÓN

Orbity implementará medidas técnicas, administrativas y organizacionales razonables destinadas a proteger los datos personales contra acceso no autorizado, pérdida, destrucción, alteración, divulgación no autorizada y tratamientos incompatibles con las finalidades autorizadas.

Las medidas podrán incluir, dependiendo del servicio y arquitectura aplicable: controles de acceso, autenticación, gestión de permisos, registros técnicos, cifrado cuando corresponda, monitoreo, medidas de continuidad, copias de seguridad, controles sobre proveedores tecnológicos y procedimientos de gestión de incidentes.

13. INCIDENTES DE SEGURIDAD

En caso de que Orbity tenga conocimiento de un incidente de seguridad que afecte datos personales tratados por cuenta del suscriptor, Orbity deberá realizar esfuerzos razonables para contener el incidente, investigar su naturaleza, mitigar sus efectos, preservar información relevante para su análisis e informar al suscriptor cuando razonablemente corresponda.

Cada parte será responsable de cumplir las obligaciones de reporte, notificación o comunicación que le correspondan directamente bajo la legislación aplicable. La comunicación entre las partes no sustituye las obligaciones legales que correspondan frente a la Superintendencia de Industria y Comercio, los Titulares u otras autoridades.

14. SUBENCARGADOS

El suscriptor autoriza a Orbity a utilizar terceros proveedores tecnológicos que requiera razonablemente para prestar los Servicios (infraestructura cloud, almacenamiento, bases de datos, monitoreo, seguridad, correo electrónico, mensajería, analítica, soporte, inteligencia artificial, autenticación y procesamiento de pagos).

Orbity procurará que los Subencargados que tengan acceso a datos personales estén sujetos a obligaciones contractuales apropiadas de confidencialidad, seguridad y protección de datos. Orbity podrá incorporar o sustituir Subencargados cuando sea necesario para operar o mejorar el Servicio.

15. TRANSFERENCIAS Y TRANSMISIONES INTERNACIONALES

El suscriptor reconoce que, debido a la naturaleza de los Servicios SaaS, determinados datos podrán ser almacenados, procesados o accedidos desde infraestructura ubicada fuera de Colombia. Cuando resulte aplicable, Orbity gestionará dichas operaciones de acuerdo con las reglas colombianas aplicables a las transferencias y transmisiones internacionales de datos personales. El suscriptor autoriza, dentro de los límites legalmente permitidos, las transmisiones internacionales necesarias para la prestación de los Servicios.

16. PROVEEDORES DE INTELIGENCIA ARTIFICIAL

Cuando el suscriptor utilice funcionalidades de inteligencia artificial de Orbity, determinados datos podrán ser procesados por proveedores tecnológicos especializados en servicios de IA. Salvo que el suscriptor haya autorizado expresamente una finalidad diferente, Orbity no deberá utilizar deliberadamente el contenido confidencial del suscriptor para entrenar modelos públicos o modelos de terceros destinados a uso general. Las funcionalidades de IA estarás además sujetas al Anexo C — Política de Inteligencia Artificial.

17. CONFIDENCIALIDAD

Orbity deberá mantener confidencialidad respecto de los datos personales y de la información confidencial del suscriptor a la que tenga acceso como consecuencia de la prestación del Servicio. Esta obligación permanecerá vigente mientras Orbity tenga acceso a dicha información y después de la terminación del Contrato durante el período exigido por la legislación aplicable.

18. CONSERVACIÓN Y ELIMINACIÓN

Los datos personales serán conservados durante el tiempo necesario para prestar los Servicios, cumplir las instrucciones del suscriptor, ejecutar las obligaciones contractuales, cumplir obligaciones legales o atender reclamaciones. Al terminar el Servicio, se aplicarán las reglas de exportación, conservación y eliminación previstas en el Contrato principal.

19. COPIAS DE SEGURIDAD

Las copias de seguridad realizadas por Orbity tienen como finalidad apoyar la continuidad y recuperación técnica del Servicio y no constituyen un archivo permanente de la información del suscriptor. Los datos contenidos en copias de seguridad podrán permanecer durante los períodos técnicos de retención establecidos por Orbity antes de su eliminación o sobrescritura.

20. SOLICITUDES DE AUTORIDADES

Orbity podrá revelar datos personales cuando sea requerido por una autoridad competente, siempre que dicha revelación sea legalmente exigible. Cuando jurídicamente sea posible, Orbity podrá informar al suscriptor sobre dicha solicitud antes de entregar la información.

21. AUDITORÍAS Y EVIDENCIA DE CUMPLIMIENTO

El suscriptor podrá solicitar razonablemente información relacionada con las medidas de seguridad y protección de datos implementadas por Orbity. El suscriptor no tendrá derecho a realizar auditorías que impliquen acceso directo a infraestructura compartida, código fuente, información confidencial de otros suscriptores o secretos empresariales de Orbity.

22. COOPERACIÓN ENTRE LAS PARTES

Las partes cooperarán razonablemente para atender requerimientos de autoridades, incidentes de seguridad, consultas/reclamos de Titulares y obligaciones regulatorias aplicables. La cooperación de Orbity estará limitada a la información y capacidades razonablemente disponibles dentro del alcance del Servicio.

23. RESPONSABILIDAD

Cada parte será responsable de las obligaciones que legalmente le correspondan respecto del tratamiento de datos personales. Orbity será responsable de los tratamientos que realice en calidad de Encargado dentro del alcance de sus obligaciones contractuales y legales.

24. TRATAMIENTO DE DATOS POR PARTE DE ORBITY COMO RESPONSABLE

Cuando Orbity determine por sí misma las finalidades del tratamiento, dicho tratamiento no se entenderá realizado exclusivamente por cuenta del suscriptor (por ejemplo, administración de cuentas, facturación o seguridad de la plataforma), sujetándose a la Política de Tratamiento de Datos Personales de Orbity.

25. PREVALENCIA

En caso de conflicto entre este DPA y el Contrato principal respecto exclusivamente del tratamiento de datos personales, prevalecerán las disposiciones de este DPA.

26. VIGENCIA

Este DPA permanecerá vigente durante todo el período en que Orbity trate datos personales por cuenta del suscriptor.

27. MODIFICACIONES

Orbity podrá actualizar este DPA cuando sea necesario para cumplir cambios legislativos, incorporar nuevos mecanismos de seguridad o adaptar el DPA a cambios de la Plataforma. Las modificaciones materiales serán comunicadas al suscriptor.

28. ACEPTACIÓN ELECTRÓNICA

El suscriptor acepta este DPA mediante el mecanismo electrónico establecido por Orbity para la contratación del Servicio. La aceptación forma parte del Contrato SaaS.

29. ANEXO — INFORMACIÓN DEL TRATAMIENTO

CONTROL DEL DOCUMENTO