Contrato de transmisión de datos personales (encargo del tratamiento)

Última actualización: 7 de octubre de 2026

Versión 2.0

Celebrado de conformidad con la Ley Estatutaria 1581 de 2012 y el artículo 2.2.2.25.5.2 del Decreto Único 1074 de 2015 (que incorporó el artículo 25 del Decreto 1377 de 2013), entre:

EL RESPONSABLE: el negocio que acepta este contrato desde su cuenta en MiikaBot, con los datos de la empresa que registró. EL ENCARGADO: Miikatech M&A S.A.S., NIT 902012342, titular del software MiikaBot. Este contrato hace parte del contrato de servicio entre las partes (el «Contrato Principal») y se acepta por medios electrónicos (Ley 527 de 1999).

1. Definiciones

Las de la Ley 1581 de 2012, art. 3: Titular, Responsable, Encargado, Tratamiento, Base de datos, Dato personal. Incidente de seguridad: toda violación de los códigos de seguridad o pérdida, alteración, consulta, uso o acceso no autorizado o fraudulento de datos personales. Subencargado: tercero que el Encargado contrata para tratar datos por cuenta del Responsable.

2. Roles

EL RESPONSABLE decide para qué y cómo se tratan los datos de sus clientes y contactos (las personas que le escriben por WhatsApp, Messenger, Instagram o su web). EL ENCARGADO los trata por cuenta del Responsable para operar el servicio. Los datos de contacto, facturación y contrato del propio Responsable los trata EL ENCARGADO como Responsable de esos datos, según su Política de Tratamiento.

3. Objeto y alcance

EL ENCARGADO trata los datos personales de los clientes y contactos del RESPONSABLE únicamente para prestar el servicio contratado. Este contrato señala los alcances del tratamiento, las actividades que el Encargado realiza por cuenta del Responsable y sus obligaciones para con los Titulares y el Responsable (Decreto 1377, art. 25).

4. Finalidades autorizadas (únicas)

1. Recibir, procesar y responder los mensajes que los clientes del RESPONSABLE envían a su canal.
2. Cotizar, registrar pedidos y coordinar la atención según la configuración del RESPONSABLE.
3. Generar reportes y métricas de la operación del RESPONSABLE.
4. Pasar la conversación a una persona del RESPONSABLE cuando haga falta.

EL ENCARGADO no usa los datos para fines propios ni distintos de estos.

5. Categorías de datos y de Titulares

Titulares: clientes y contactos del RESPONSABLE. Datos: identificación y contacto (número de WhatsApp o identificador de la cuenta, nombre del perfil, y, si hace un pedido, nombre, documento, celular, correo y dirección de envío), el contenido de las conversaciones con fecha y hora y los archivos que el Titular envíe. Datos sensibles y de menores: el servicio no los solicita (Ley 1581, arts. 5, 6 y 7; Decreto 1377, art. 12); si un Titular los escribe por su cuenta, EL ENCARGADO no los usa para nada distinto de atender la conversación. Cuando quien escribe parece menor de edad, los datos del pedido son los del padre, la madre o el acudiente adulto.

6. Deberes del Encargado

Además de lo que impone la ley (Ley 1581, art. 18), EL ENCARGADO se obliga a:

1. Dar tratamiento, a nombre del Responsable, a los datos conforme a los principios que los tutelan (Decreto 1377, art. 25, num. 1), siguiendo la política de tratamiento del RESPONSABLE y las finalidades que los Titulares autorizaron.
2. Salvaguardar la seguridad de las bases de datos en que consten los datos (art. 25, num. 2), con las medidas del Anexo 2.
3. Guardar confidencialidad sobre los datos (art. 25, num. 3), también después de terminado el contrato.
4. Tratar los datos solo por cuenta del RESPONSABLE y conforme a sus instrucciones documentadas.
5. Actualizar, rectificar o suprimir los datos cuando el RESPONSABLE lo instruya, y actualizar la información que reciba del RESPONSABLE dentro de los cinco (5) días hábiles siguientes a su recibo (Ley 1581, art. 18 lit. c y d).
6. Permitir el acceso a los datos solo a quienes deban tenerlo (art. 18 lit. j).
7. Registrar la leyenda «reclamo en trámite» y la de «información en discusión judicial» cuando corresponda, y abstenerse de circular información controvertida cuyo bloqueo haya ordenado la SIC (art. 18 lit. g, h, i).
8. Avisar los incidentes de seguridad como dice la cláusula 11.
9. Devolver o eliminar los datos al terminar (cláusula 16).
10. Cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio (art. 18 lit. l).

7. Instrucciones del Responsable

EL RESPONSABLE imparte las instrucciones por escrito (incluye el correo electrónico). Las iniciales son las finalidades de la cláusula 4 y la configuración pactada en el Contrato Principal. EL ENCARGADO no decide sobre finalidades ni categorías de datos; si una instrucción le parece contraria a la Ley 1581, a la Constitución o a una orden de la SIC, se lo advierte al RESPONSABLE y puede abstenerse de ejecutarla.

8. Deberes y declaraciones del Responsable

EL RESPONSABLE declara y se obliga a: (a) tener la autorización previa, expresa e informada de los Titulares, o una excepción legal, y poder probarlo (Ley 1581, arts. 9 y 10; art. 17 lit. b); (b) haber informado a los Titulares la finalidad del tratamiento y sus derechos, y publicar su Política de Tratamiento y su Aviso de Privacidad (art. 17 lit. c; Decreto 1377, arts. 13 y 15); (c) entregar al Encargado solo datos veraces, completos, exactos y cuyo tratamiento esté autorizado (art. 17 lit. e y h); (d) comunicar al Encargado las novedades y rectificaciones y cuándo un dato está en discusión (art. 17 lit. f, g y l); (e) atender las consultas y reclamos de los Titulares (art. 17 lit. j); (f) no cargar datos sensibles ni de menores; (g) tener su propio manual interno de políticas y procedimientos (art. 17 lit. k). La autorización de los Titulares es deber del RESPONSABLE, no del ENCARGADO.

9. Solicitudes de los Titulares

Si EL ENCARGADO recibe una consulta o un reclamo de un Titular, lo remite al RESPONSABLE a más tardar el día hábil siguiente y le dice al Titular que se dirija a él, salvo que la ley le exija responder (Ley 1581, arts. 14, 15 y 18 lit. e). EL ENCARGADO ayuda al RESPONSABLE, en lo técnicamente posible, a atender esas solicitudes dentro de los plazos de la ley (consultas: 10 días hábiles, prorrogables 5; reclamos: 15 días hábiles, prorrogables 8).

10. Inteligencia artificial

EL ENCARGADO no usa los datos personales del RESPONSABLE para entrenar, ajustar, desarrollar ni mejorar modelos de inteligencia artificial, propios ni de terceros, salvo que sea necesario para prestar el servicio según las instrucciones del RESPONSABLE o este lo autorice por escrito, y exige lo mismo a los proveedores de inteligencia artificial que contrate como subencargados. El asistente se identifica como inteligencia artificial cuando se le pregunta y una persona del RESPONSABLE puede tomar cualquier conversación. El servicio no toma decisiones con efectos legales sobre los Titulares.

11. Seguridad e incidentes

EL ENCARGADO aplica las medidas técnicas, humanas y administrativas del Anexo 2, ajustadas al riesgo, y exige a su personal y subencargados la misma reserva. Si conoce un incidente de seguridad, lo informa al RESPONSABLE sin demora injustificada y en todo caso dentro de las 72 horas siguientes, con lo que sepa (qué pasó, qué datos y cuántos Titulares, qué hizo para contenerlo y qué recomienda), y lo apoya en la comunicación a los Titulares que corresponda. Cada parte informa por su cuenta a la Superintendencia de Industria y Comercio la violación de los códigos de seguridad, dentro de los 15 días hábiles siguientes a que la conozca: EL ENCARGADO, por su deber propio (Ley 1581, art. 18 lit. k), y EL RESPONSABLE, por el suyo (art. 17 lit. n); se avisan mutuamente de lo que informen para coordinarse. EL RESPONSABLE es responsable del uso seguro de su cuenta (credenciales, personas con acceso, cuentas de Meta conectadas).

12. Subencargados

EL RESPONSABLE autoriza los subencargados del Anexo 1, necesarios para prestar el servicio; cada uno trata los datos solo para la función indicada. Antes de incorporar uno nuevo, EL ENCARGADO se lo informa al RESPONSABLE (incluso por correo) con anticipación razonable y este puede objetarlo por un motivo razonable de protección de datos; si no se llega a un acuerdo, puede terminar el servicio sin penalidad por esa causa. EL ENCARGADO contrata a cada subencargado por escrito con obligaciones de seguridad y confidencialidad equivalentes a las de este contrato y responde ante el RESPONSABLE por su cumplimiento.

13. Transmisión y transferencia internacional

Varios subencargados tratan datos fuera de Colombia. El envío de datos a un Encargado fuera del país para que los trate por cuenta del Responsable es una transmisión internacional, que no requiere informar al Titular ni su consentimiento cuando existe un contrato en los términos del art. 25 del Decreto 1377 (Decreto 1377, art. 24 num. 2; Decreto 1074, art. 2.2.2.25.5.1): este es ese contrato. Una transferencia a un tercero que sea Responsable por su cuenta solo se hace en los casos del art. 26 de la Ley 1581.

14. Auditorías

EL RESPONSABLE puede pedir por escrito, una vez al año y con aviso razonable, información para verificar que EL ENCARGADO cumple este contrato (Ley 1581, art. 17 lit. i), y puede pedirla además cuando la SIC o la ley lo exijan. EL ENCARGADO responde con documentos, descripciones de sus medidas o un informe; una auditoría presencial se acuerda aparte, sin afectar la seguridad de los datos de otros clientes.

15. Confidencialidad

Los datos y la información del RESPONSABLE son confidenciales. El deber sobrevive a la terminación del contrato. EL ENCARGADO obliga a su personal y a sus subencargados a la misma reserva.

16. Vigencia, devolución y borrado

1. Este contrato rige mientras esté vigente el Contrato Principal y EL ENCARGADO trate datos por cuenta del RESPONSABLE.
2. Al terminar, y a elección del RESPONSABLE por escrito, EL ENCARGADO devuelve los datos en un formato de uso común o los elimina de forma segura, con sus copias, dentro de los 30 días siguientes, salvo los que deba conservar por obligación legal (que siguen protegidos por este contrato) (Decreto 1377, art. 11).
3. Las copias de seguridad pueden conservar los datos hasta 14 días más, y 7 días de recuperación del proveedor, y luego se eliminan; no se restauran para revivir datos borrados.
4. EL ENCARGADO certifica por escrito la devolución o eliminación.
5. Sobreviven la confidencialidad y las obligaciones de seguridad sobre los datos aún no devueltos o eliminados.

17. Responsabilidad

Cada parte responde por el incumplimiento de sus propios deberes bajo la Ley 1581 de 2012. Los límites y exclusiones de responsabilidad del Contrato Principal (el tope es lo efectivamente pagado por el RESPONSABLE en los 12 meses anteriores al hecho) aplican de forma supletoria, sin eximir al Encargado de sus deberes legales ni limitar la responsabilidad por dolo o culpa grave.

18. Ley y jurisdicción

Se rige por las leyes de Colombia. Las diferencias se tratan de forma directa y, si no se resuelven, por conciliación previa y ante los jueces competentes de Bogotá D.C.. La Superintendencia de Industria y Comercio es la autoridad de protección de datos.

Aceptación (Ley 527 de 1999): EL RESPONSABLE acepta este contrato por medios electrónicos desde su cuenta; EL ENCARGADO es Miikatech M&A S.A.S., NIT 902012342.

---

Anexo 1 — Subencargados autorizados

Anexo 2 — Medidas de seguridad

Las medidas de seguridad son:

• Cifrado de los datos en tránsito y en reposo (el cifrado en reposo es el predeterminado de Google Cloud).
• Control de acceso por rol y por negocio: cada negocio solo accede a su información, que va separada de la de los demás; credenciales individuales.
• Copias de seguridad y recuperación a un punto en el tiempo.
• Registro de accesos y de operaciones sensibles.
• Secretos y llaves guardados en un gestor de secretos, no en el código.
• Gestión de incidentes: detección, contención, aviso al RESPONSABLE (cláusula 11) y apoyo en el reporte a la SIC.
• Manual interno de políticas y procedimientos de protección de datos (Ley 1581, art. 18 lit. f).