Anexo de tratamiento de datos

1. Partes

• Responsable: la empresa usuaria que crea una cuenta y carga información en Zentivy. Decide qué datos trata, con qué finalidad, y obtiene la autorización de sus titulares.
• Encargado: Carlos Esteban Trujillo Paz, persona natural que obra bajo el nombre comercial Zentivy, con dirección de notificaciones en Centro Comercial San Agustín, Local 224A, Pasto, Nariño, Colombia. Trata los datos únicamente por cuenta y según instrucciones del Responsable. El NIT se suministra en el contrato suscrito con cada cliente.

2. Objeto y alcance

El Responsable encarga a Zentivy el alojamiento y el procesamiento de los datos personales necesarios para operar la plataforma de inventario, ventas, cartera, caja y, si se activa, el agente de mensajería.

Duración: mientras esté vigente la relación de servicio, más el período de conservación de la cláusula 8.

3. Obligaciones del Encargado

Zentivy se obliga a:

• Tratar los datos únicamente para prestar el servicio contratado, conforme a las instrucciones del Responsable.
• No usar los datos para finalidades propias, ni comercializarlos, ni cederlos, ni emplearlos para entrenar modelos de inteligencia artificial de propósito general.
• Garantizar el aislamiento entre empresas, de forma que ninguna pueda acceder a la información de otra.
• Mantener la confidencialidad de la información, incluso después de terminada la relación.
• Conservar la información de forma segura y aplicar las medidas de la cláusula 5.
• Dar soporte al Responsable para atender consultas y reclamos de sus titulares dentro de los plazos legales.
• Trasladar al Responsable, dentro de los cinco (5) días hábiles siguientes, cualquier solicitud de un titular que reciba directamente.
• Informar al Responsable cualquier incidente de seguridad que afecte sus datos, dentro de las setenta y dos (72) horas siguientes a su detección.
• Devolver o suprimir los datos al terminar el servicio, según lo elija el Responsable.
• Permitir al Responsable verificar el cumplimiento de este anexo mediante solicitud escrita de información razonable.

4. Obligaciones del Responsable

La empresa usuaria se obliga a:

• Contar con la autorización previa, expresa e informada de los titulares cuyos datos carga en la plataforma.
• Informar a sus titulares las finalidades del tratamiento, incluida la existencia de un proveedor tecnológico y de transferencias internacionales (cláusula 7).
• Adoptar y publicar su propia política de tratamiento de datos.
• Atender directamente las consultas y reclamos de sus titulares, en su calidad de Responsable.
• Cargar únicamente los datos necesarios para su operación y abstenerse de ingresar datos sensibles o de menores de edad, especialmente en campos de texto libre.
• Administrar correctamente los roles y permisos de su equipo.
• Informar a sus clientes cuando estén interactuando con el agente automatizado.

5. Medidas de seguridad

• Autenticación delegada en Google (OAuth); Zentivy no almacena contraseñas.
• Aislamiento multi-tenant en varias capas, incluida seguridad a nivel de fila (RLS) en la base de datos.
• Control de acceso por rol y limitación del alcance de la información a las sedes asignadas a cada usuario.
• Cifrado en tránsito (HTTPS) en todas las comunicaciones.
• Registro de auditoría con usuario, acción, entidad afectada y fecha.
• Copias de respaldo periódicas de la base de datos.
• Zentivy no almacena datos de tarjetas de pago; esa información la maneja exclusivamente la pasarela.

6. Subencargados

El Responsable autoriza a Zentivy a apoyarse en los siguientes subencargados, cada uno limitado a su finalidad:

Zentivy informará cualquier cambio en esta lista con al menos quince (15) días calendario de anticipación. Si el Responsable no está de acuerdo, puede terminar el servicio sin penalidad y solicitar la entrega de su información sin costo.

8. Devolución y supresión al terminar

• Terminada la relación, Zentivy conserva la información durante noventa (90) días calendario, durante los cuales el Responsable puede solicitar su entrega en formato Excel o su eliminación inmediata.
• La entrega procede aun cuando existan sumas pendientes de pago: la información no se retiene como garantía de cobro.
• Las condiciones comerciales de la entrega están en la cláusula 9 de los Términos. El acceso de un titular a sus propios datos personales es siempre gratuito.
• Vencido el plazo, los datos se eliminan de los sistemas productivos y las copias de respaldo se sobrescriben dentro de los treinta (30) días siguientes.
• Si Zentivy descontinúa el servicio, la entrega es gratuita en todos los casos y se aplica el preaviso de noventa (90) días de la cláusula 14 de los Términos.

9. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que este anexo le asigna. El Responsable responde frente a sus titulares y ante la autoridad por la licitud de la recolección y por la autorización obtenida. Zentivy responde por el cumplimiento de sus obligaciones como Encargado, con el límite económico previsto en la cláusula 16 de los Términos del servicio, salvo dolo o culpa grave.

10. Vigencia y contacto

Este anexo rige desde la aceptación de los Términos y se mantiene vigente mientras dure la relación de servicio y el período de conservación posterior. Se rige por las leyes de Colombia.

Para solicitudes relacionadas con este anexo: [email protected] · +57 317 022 8461

Las empresas que requieran este anexo firmado como documento independiente pueden solicitarlo al mismo correo; se emite sin costo.