Acuerdo de tratamiento de datos

Encargo y transmisión de datos por cuenta del Cliente · Documento 04 · Versión 1.1 · 18 de septiembre de 2026

1. Partes, aplicación e incorporación

Este acuerdo se celebra entre Sistemas Para Contratistas, LLC, con los datos de identificación y contacto establecidos en los Términos de Betyy, denominada “la Operadora”, y el Cliente identificado en su orden o confirmación de contratación.

Se incorpora al contrato cuando la Operadora trate datos personales por cuenta del Cliente mediante Betyy, incluidos el alojamiento, la consulta, la organización, el uso por una función de IA o la ejecución autorizada de acciones. Puede aplicarse tanto a Managed como a Business y a cualquier otra función en la que exista ese tratamiento real.

No transforma en tratamiento de la Operadora un archivo que permanezca exclusivamente en un dispositivo bajo control del Cliente sin que la Operadora ni un proveedor por ella contratado lo reciban o accedan a él. Sí debe evaluarse cualquier envío a servicios online, soporte o proveedores que formen parte de la prestación.

El Cliente actúa normalmente como responsable. Cuando actúe como encargado de otra entidad, declara contar con autorización suficiente para este subencargo y comunicará las instrucciones y restricciones pertinentes. La Operadora actúa como encargada respecto de los datos tratados por cuenta del Cliente; los datos propios de facturación y administración de su relación se regulan por la Política de privacidad.

2. Objeto, duración y descripción del tratamiento

El objeto es prestar las funciones contratadas y autorizadas, sin fines propios incompatibles. Las operaciones pueden comprender recepción, consulta, almacenamiento, organización, generación de resultados, envío a destinatarios autorizados, actualización, exportación y supresión, exclusivamente cuando la función y sus permisos lo permitan.

La duración se extiende mientras sea necesario prestar el servicio y completar la devolución o supresión acordada. Las categorías de titulares, datos, fuentes y acciones concretas se delimitan en el Anexo A y en el registro de conexiones e instrucciones del Cliente. No se consideran autorizados todos los tratamientos posibles por aparecer en un catálogo técnico.

3. Instrucciones y obligaciones del Cliente

Constituyen instrucciones documentadas este acuerdo, la orden, las configuraciones aprobadas y los comandos o flujos emitidos por personas con autoridad suficiente. Una instrucción debe respetar finalidad, recursos, permisos y restricciones aplicables. La Operadora informará cuando considere que una instrucción infringe la normativa o los compromisos de protección y suspenderá la parte afectada cuando deba hacerlo.

El Cliente determinará finalidades lícitas, suministrará los avisos y autorizaciones que correspondan, comprobará sus derechos sobre las fuentes y mantendrá actualizados los permisos del equipo. Evitará incorporar información innecesaria y comunicará restricciones especiales antes de transmitir datos que las requieran. No podrá ordenar usos prohibidos por la normativa o por las condiciones de la fuente.

4. Obligaciones de la Operadora

La Operadora tratará los datos únicamente para ejecutar instrucciones válidas y cumplir obligaciones legales aplicables. Si una norma le exige otro tratamiento, informará al Cliente cuando esté permitido y limitará su alcance.

No venderá los datos del Cliente, no los utilizará para campañas de terceros ni para entrenar modelos de propósito general. No combinará bases de distintos clientes para finalidades propias incompatibles. Cualquier adaptación específica para el Cliente requiere una instrucción distinta, derechos suficientes y compatibilidad con las fuentes y los proveedores.

Mantendrá personal autorizado y sujeto a confidencialidad; limitará su acceso a la necesidad real y no conservará acceso operativo de quien deje de necesitarlo. El soporte no autoriza por sí solo acceso indiscriminado al contenido. Las restricciones específicas de fuentes como Google se respetarán también cuando intervengan contratistas o proveedores.

5. Seguridad

La Operadora aplicará las medidas del Anexo B y mantendrá una gestión de seguridad proporcional a los riesgos. El Cliente deberá conocer las limitaciones materiales antes de elegir el servicio para un tratamiento especialmente exigente.

Las medidas podrán mejorarse o sustituirse por equivalentes sin reducir materialmente la protección comprometida. Una certificación, residencia exclusiva de datos, cifrado de extremo a extremo, respaldo integral o nivel de disponibilidad solo formará parte del contrato cuando se identifique expresamente y pueda acreditarse. Este acuerdo no declara ninguna certificación no verificada.

La protección de los dispositivos y credenciales bajo control del Cliente es responsabilidad de este, sin que ello elimine las obligaciones sobre sistemas o acciones que controle la Operadora.

6. Subencargados y servicios externos

El Cliente autoriza con carácter general a los subencargados identificados como tales en el Inventario público de proveedores de la Política de privacidad, cuya versión forma parte de la contratación. La Operadora les impondrá obligaciones de protección y confidencialidad no menos protectoras en lo que corresponda al servicio encomendado y responderá por su subcontratación en los términos legales aplicables.

La incorporación o sustitución de un subencargado se notificará con treinta días naturales de anticipación. El Cliente podrá formular una objeción fundamentada en protección de datos dentro de los quince días siguientes al aviso. Las partes buscarán una alternativa razonable. Si no existe solución compatible, el Cliente podrá terminar la parte afectada antes del cambio, con devolución de la parte prepagada no prestada, sin penalización por ese motivo.

Una urgencia real de seguridad o una obligación legal puede exigir una sustitución más rápida. Se informará tan pronto como sea posible y no se utilizará esta excepción para permitir un tratamiento ilícito o materialmente menos protegido. Cuando no pueda asegurarse una ruta lícita, se detendrá el flujo afectado.

Los servicios contratados directamente por el Cliente se identificarán por separado según su rol real. Aportar una clave API o pagar el consumo no determina, por sí solo, que el proveedor quede fuera de la cadena de encargados de la Operadora. Se evaluarán los contratos, las instrucciones y el control efectivo de cada flujo.

7. Tratamientos internacionales

Antes de un flujo internacional se identificarán destinatario, país y mecanismo jurídico. Cuando resulte aplicable el régimen colombiano de transmisión, este acuerdo delimita el alcance, las instrucciones y las obligaciones de confidencialidad y seguridad del encargo; no autoriza por sí solo toda transferencia a un responsable independiente.

Cuando otro régimen exija cláusulas contractuales, autorizaciones o medidas adicionales, deberán completarse antes del flujo correspondiente. Los instrumentos específicos que se requieran para la Unión Europea o el Reino Unido se incorporarán por separado; este acuerdo no los sustituye. Las restricciones de las fuentes y los proveedores siguen siendo aplicables.

8. Solicitudes de titulares y asistencia

La Operadora comunicará al Cliente las solicitudes que reciba sobre datos tratados por su cuenta y le prestará asistencia razonable para localizar, corregir, limitar, exportar o suprimir la información cuando proceda. No responderá por cuenta del Cliente sin autorización, salvo obligación legal propia o una respuesta necesaria para orientar a la persona.

La cooperación deberá permitir que el responsable cumpla sus plazos legales. Las solicitudes que correspondan a datos de los que la Operadora sea responsable se tramitarán directamente por ella. No se exigirá renovar la suscripción como condición para ejercer derechos sobre datos aún conservados.

También se prestará cooperación proporcionada para evaluaciones de impacto, consultas a autoridades y acreditación de medidas cuando resulten necesarias para el servicio. Un trabajo extraordinario opcional solo podrá generar honorarios con aprobación previa; no se cobrará por remediar un incumplimiento propio ni se utilizarán cargos para obstaculizar obligaciones legales.

9. Incidentes de seguridad

La Operadora notificará al contacto de seguridad del Cliente, sin dilación indebida después de tener conocimiento, una violación de seguridad que afecte los datos tratados por su cuenta. No esperará a cerrar toda la investigación para comunicar los hechos relevantes disponibles.

La notificación incluirá, en la medida conocida, naturaleza del incidente, datos y personas posiblemente afectadas, consecuencias previsibles, medidas adoptadas o propuestas y punto de contacto. Se facilitarán actualizaciones y cooperación para las comunicaciones legales. Cada parte cumplirá las notificaciones que legalmente le correspondan; este texto no sustituye sus plazos ni atribuye automáticamente toda esa responsabilidad a la otra.

Una sospecha que todavía no permita confirmar afectación se gestionará proporcionalmente, sin impedir una comunicación preventiva cuando el riesgo lo justifique. Las partes evitarán compartir secretos, datos de otros clientes o detalles que agraven el incidente.

10. Información de cumplimiento y revisión

La Operadora pondrá a disposición del Cliente información suficiente para acreditar las obligaciones relevantes de este acuerdo. Podrán utilizarse políticas, registros, evidencias técnicas e informes de revisión adecuados al riesgo.

Si esa información fuera insuficiente y la ley o el riesgo justificaran una revisión adicional, las partes coordinarán una auditoría razonable, con protección de la confidencialidad y de los datos ajenos. No se permitirá acceder a información de otros clientes ni realizar pruebas destructivas sin autorización. Estas reglas no limitan las facultades de una autoridad competente ni impiden verificar un incumplimiento relevante.

11. Devolución, supresión y fin del encargo

Al terminar el servicio, el Cliente podrá solicitar la devolución de los datos por el procedimiento indicado, durante 30 días naturales desde la terminación efectiva del servicio. Se facilitará un formato disponible y utilizable, con explicación de las limitaciones de la fuente o de derechos de terceros. No se exige contratar otro período para recuperar información propia aún conservada.

La eliminación en sistemas activos se completará dentro de 30 días naturales desde una solicitud válida de supresión o, si no se solicita antes, desde el vencimiento de la ventana de exportación. Comprenderá datos y representaciones derivadas recuperables que estén bajo control de la Operadora, con las excepciones legales documentadas.

Las copias de respaldo que existan se retirarán conforme a su rotación máxima de 90 días naturales desde la supresión en sistemas activos, sin reincorporar los datos al uso ordinario, con acceso restringido y sin reutilización ordinaria. Si se restaura una copia, se reaplicarán las supresiones pendientes. Una obligación de conservación legal se limitará a los datos necesarios y no habilita seguir explotándolos.

La Operadora confirmará la devolución o supresión cuando se solicite razonablemente. El cierre del encargo no elimina automáticamente originales en sistemas independientes del Cliente, pero sí exige cesar accesos y revocar o retirar las credenciales bajo control de la Operadora.

12. Prevalencia, contactos y vigencia

Este acuerdo prevalece sobre cláusulas generales incompatibles en materia de datos tratados por cuenta del Cliente. Sus obligaciones de confidencialidad, seguridad, cooperación y supresión subsisten mientras se conserven datos sujetos al encargo. No limita derechos de titulares ni competencias legales.

Contacto de privacidad de la Operadora: hola@betyy.co. Contacto de incidentes de la Operadora: hola@betyy.co (asunto: Incidente de seguridad Betyy). Contacto del Cliente: el indicado en la orden. Se considerará aceptado mediante el mecanismo documentado de incorporación al contrato o mediante firma de ambas partes.

Anexo A. Descripción privada del encargo

La identificación del Cliente, su negocio, las categorías de datos, fuentes, instrucciones, contactos y condiciones particulares se incorporan a su orden y registro privado de permisos. No se publican esos datos en esta página ni se presumen completados por leer el acuerdo.

Anexo B. Medidas de seguridad comprometidas

Las siguientes son obligaciones de la prestación y deben estar implantadas antes de tratar los datos correspondientes. Una casilla o una firma no reemplaza su verificación técnica.

Configuración y alcance específicos de estas medidas: las obligaciones anteriores cubren los sistemas y operaciones de la Operadora dentro del servicio contratado, no dispositivos ni cuentas independientes del Cliente. El expediente privado de prestación debe vincular cada medida a su evidencia y alcance real antes del tratamiento; este acuerdo no constituye por sí solo evidencia de ejecución de las medidas. Esta referencia no debe contener contraseñas, claves privadas o instrucciones que comprometan la seguridad.