Acuerdo de encargo del tratamiento de datos personales y confidencialidad

Partes

• EL RESPONSABLE: la firma, el abogado independiente, el área jurídica o el consultorio que habilita una organización en Trifuerza Legal. Se identifica con los datos registrados en la Plataforma: razón social o nombre, y NIT o número de documento.
• EL ENCARGADO: TRIFORCE BOOSTERS S.A.S., NIT 901.455.401-1, con domicilio en Bogotá D.C.

Cláusula 1. Objeto

EL ENCARGADO tratará, por cuenta del RESPONSABLE, los datos personales que este cargue o genere en Trifuerza Legal. Lo hará únicamente para prestar el servicio contratado y conforme a las instrucciones documentadas del RESPONSABLE. Esas instrucciones son las que se dan mediante la configuración y el uso de la Plataforma, y las que se den por escrito.

Cláusula 2. Alcance del tratamiento

Cláusula 3. Obligaciones del RESPONSABLE

El RESPONSABLE se obliga a:

1. Contar con la autorización previa, expresa e informada de los titulares, o con otra causal del artículo 10 de la Ley 1581 de 2012, para tratar sus datos y cargarlos en la Plataforma. Debe conservar la prueba de esa autorización.
2. Informar a los titulares, en su propia política de tratamiento, que usa proveedores tecnológicos que actúan como encargados.
3. Obtener la autorización explícita cuando trate datos sensibles, y la autorización del representante legal cuando trate datos de menores.
4. En los formularios públicos de recepción de casos, publicar su aviso de privacidad e incluir la casilla de autorización. La Plataforma la ofrece por defecto.
5. Atender las consultas y los reclamos de sus titulares.
6. Administrar con diligencia los usuarios, los roles y las credenciales de su equipo.
7. Cumplir su propio deber de secreto profesional (Ley 1123 de 2007, art. 28, núm. 9).

Cláusula 4. Obligaciones del ENCARGADO

EL ENCARGADO se obliga a (Ley 1581 de 2012, art. 18):

1. Tratar los datos solo para prestar el servicio. No los usará para fines propios, comerciales ni publicitarios, no los venderá, no los cruzará con otras bases y no los usará para entrenar modelos de inteligencia artificial.
2. Garantizar el aislamiento de la información de cada organización mediante controles de acceso a nivel de base de datos.
3. Aplicar las medidas de seguridad de la cláusula 6.
4. Mantener la confidencialidad de la cláusula 5.
5. Ayudar al RESPONSABLE a atender los derechos de los titulares. Si un titular se dirige directamente al ENCARGADO, este trasladará la solicitud al RESPONSABLE dentro de los cinco (5) días hábiles siguientes y no la resolverá por su cuenta.
6. Registrar como "reclamo en trámite" o "información en discusión judicial" los datos que el RESPONSABLE le indique.
7. Abstenerse de circular la información cuestionada cuando lo ordene la SIC.
8. Permitir el acceso a la información solo a las personas autorizadas.
9. Informar al RESPONSABLE los incidentes de seguridad, conforme a la cláusula 7.

Cláusula 5. Confidencialidad y secreto profesional

5.1. Información confidencial es toda la información que el RESPONSABLE cargue o genere en la Plataforma. Se incluyen expedientes, estrategias, contratos, comunicaciones con clientes, datos de clientes y metadatos de uso, sea pública o no la fuente de la que provenga.

5.2. EL ENCARGADO reconoce que esa información puede estar amparada por el secreto profesional del abogado. En consecuencia:

1. Solo accede a ella el personal del ENCARGADO que lo necesita para soporte, seguridad o cumplimiento legal, y solo cuando el RESPONSABLE lo solicita o lo autoriza, o cuando lo exige un incidente de seguridad. Cada acceso queda registrado.
2. Todo el personal y los contratistas del ENCARGADO con acceso han firmado acuerdos de confidencialidad.
3. Si una autoridad ordena entregar la información, EL ENCARGADO avisará al RESPONSABLE antes de entregarla, siempre que la ley lo permita, para que pueda oponerse u oponer el secreto profesional. Entregará solo lo estrictamente ordenado.

5.3. Excepciones. No es confidencial la información que (i) sea pública por causa distinta a un incumplimiento del ENCARGADO, o (ii) el RESPONSABLE autorice divulgar por escrito.

5.4. Esta obligación subsiste después de terminado el servicio, por todo el tiempo en que la información conserve su carácter reservado.

Cláusula 6. Medidas de seguridad

EL ENCARGADO mantiene, como mínimo, estas medidas:

• cifrado en tránsito (TLS) y en reposo;
• autenticación de usuarios y control de acceso por roles;
• políticas de seguridad a nivel de fila (RLS) para aislar organizaciones;
• tokens y secretos cifrados o en variables de entorno;
• registros de acceso al portal de clientes;
• respaldos periódicos;
• gestión de vulnerabilidades;
• revisión de seguridad antes de cada cambio relevante.

Las medidas se actualizarán según el riesgo y el estado de la técnica.

Cláusula 7. Incidentes de seguridad

EL ENCARGADO informará al RESPONSABLE cualquier incidente que comprometa la confidencialidad, integridad o disponibilidad de sus datos dentro de las cuarenta y ocho (48) horas siguientes a conocerlo. El aviso indicará:

1. la naturaleza del incidente;
2. los datos y los titulares afectados, si se conocen;
3. las medidas adoptadas;
4. un punto de contacto.

EL ENCARGADO colaborará para que el RESPONSABLE informe a la SIC dentro de los quince (15) días hábiles previstos y, cuando corresponda, a los titulares.

Cláusula 8. Subencargados

8.1. El RESPONSABLE autoriza al ENCARGADO a apoyarse en los siguientes subencargados para prestar el servicio:

8.2. Integraciones que el RESPONSABLE activa por su cuenta. Google Drive y Telegram se conectan a cuentas del propio RESPONSABLE. El RESPONSABLE decide activarlas y el tratamiento en esos servicios se rige por la relación entre él y el proveedor.

8.3. EL ENCARGADO avisará al RESPONSABLE con treinta (30) días calendario de anticipación antes de incorporar o reemplazar un subencargado. El RESPONSABLE podrá oponerse con causa razonable. Si no hay una alternativa, podrá terminar el servicio sin penalidad y con devolución de la parte no usada del período pagado.

8.4. EL ENCARGADO exige a cada subencargado obligaciones de confidencialidad y seguridad equivalentes a las de este acuerdo, y responde frente al RESPONSABLE por su cumplimiento.

8.5. Transmisión internacional. Los subencargados están en países con nivel adecuado de protección según la SIC (Circular Única, Título V). Este acuerdo, junto con los acuerdos de tratamiento de datos de cada subencargado, constituye el contrato del artículo 2.2.2.25.5.2 del DUR 1074 de 2015. Por eso no se requiere una autorización adicional del titular para la transmisión.

Cláusula 9. Inteligencia artificial

9.1. La extracción asistida con IA es opcional. El administrador del RESPONSABLE puede desactivarla desde la configuración de la organización. Mientras esté desactivada, ningún documento se envía al proveedor de IA.

9.2. EL ENCARGADO usa los proveedores de IA a través de sus interfaces para empresas (API), cuyas condiciones limitan el uso de los datos a la prestación del servicio. EL ENCARGADO no usa la información del RESPONSABLE para entrenar modelos.

9.3. El resultado de la IA es una sugerencia. El abogado del RESPONSABLE debe revisarlo antes de usarlo.

9.4. Antes de cargar documentos con datos sensibles para extracción con IA, el RESPONSABLE debe evaluar si es necesario y si cuenta con la autorización adecuada (SIC, Circular Externa 002 de 2024, principios de necesidad y proporcionalidad).

Cláusula 10. Devolución y supresión

Al terminar el servicio por cualquier causa:

1. El RESPONSABLE puede exportar su información durante treinta (30) días calendario.
2. Vencido ese plazo, EL ENCARGADO suprime la información dentro de los sesenta (60) días calendario siguientes, incluidas las copias de respaldo en su ciclo de rotación. Si el RESPONSABLE lo pide, EL ENCARGADO certifica la supresión.
3. Solo conserva lo que la ley le obligue a conservar, y únicamente para ese fin.

Cláusula 11. Auditoría

El RESPONSABLE puede pedir información sobre las medidas de seguridad y sobre el cumplimiento de este acuerdo. EL ENCARGADO responderá dentro de los quince (15) días hábiles siguientes. Las verificaciones presenciales o técnicas se acordarán previamente, en cuanto a alcance, fechas y confidencialidad, y su costo correrá por cuenta de quien las solicite, salvo que revelen un incumplimiento.

Cláusula 12. Responsabilidad

12.1. Cada parte responde por sus propios incumplimientos de la Ley 1581 de 2012 y de este acuerdo.

12.2. Seguridad. La obligación de seguridad del ENCARGADO es de medio y no de resultado. EL ENCARGADO no responde por incidentes originados en ataques o actos delictivos de terceros, en fallas o vulneraciones de subencargados o proveedores que no controla, en fuerza mayor o caso fortuito, ni en hechos del RESPONSABLE, de sus usuarios o de sus dependientes (por ejemplo, credenciales compartidas o descuidadas), siempre que haya aplicado las medidas de la cláusula 6 con la diligencia debida. Se aplican además las reglas de ciberseguridad de la cláusula 13 de los Términos y Condiciones.

12.3. La limitación de responsabilidad de la cláusula 32 de los Términos de Trifuerza Legal aplica a este acuerdo, salvo en los casos de dolo o culpa grave del ENCARGADO, incluido el uso deliberado de los datos para fines distintos a los autorizados.

Cláusula 13. Vigencia y ley aplicable

Este acuerdo rige mientras se preste el servicio y, en lo relativo a confidencialidad y supresión, después de terminado. Se rige por la ley colombiana. Las controversias se resolverán según la cláusula 15 de los Términos y Condiciones.

Cláusula 14. Firmas que requieren un acuerdo firmado

Si el RESPONSABLE necesita un acuerdo firmado de forma separada, por ejemplo una entidad pública o una firma con política propia de proveedores, puede solicitarlo a team@trifuerza.co. En caso de conflicto, prevalece el acuerdo firmado.