Este Acuerdo de Encargo de Tratamiento de Datos (el «Acuerdo» o «DPA») desarrolla las obligaciones del artículo 25 del Decreto 1377 de 2013 y complementa los Términos y Condiciones y la Política de Privacidad de Cerostaff SAS.
01 Partes y Objeto
Este Acuerdo se celebra entre el Cliente (el «Responsable» del tratamiento) y Cerostaff SAS (el «Encargado»). Su objeto es regular el tratamiento de datos personales que Cerostaff realiza por cuenta y bajo las instrucciones del Cliente al prestar los Servicios, incluidos los datos a los que se accede mediante la cuenta de Google que el Cliente conecta voluntariamente.
02 Definiciones
- Responsable: el Cliente, quien decide sobre las finalidades y medios del tratamiento.
- Encargado: Cerostaff SAS, quien trata los datos por cuenta del Responsable.
- Datos personales: la información de personas naturales tratada en el marco de los Servicios, incluidos los datos de Usuarios Finales y los datos accesibles vía la cuenta de Google del Cliente.
- Titular: la persona natural a la que se refieren los datos.
- Sub-encargado: el tercero que Cerostaff contrata para apoyar el tratamiento.
03 Alcance del Tratamiento
El tratamiento realizado por Cerostaff como Encargado comprende:
- Naturaleza y finalidad: ejecutar la automatización de atención y procesos, y las funciones que el Cliente configure sobre sus canales de mensajería y su cuenta de Google.
- Tipos de datos: datos de contacto e identificación, contenido de conversaciones, y datos de Calendar, Gmail (envío), Sheets, Docs y los archivos de Drive elegidos por el Cliente.
- Categorías de titulares: Usuarios Finales del Cliente y personas cuyos datos figuren en los recursos que el Cliente conecte.
- Duración: mientras esté vigente la relación con el Cliente, salvo obligación legal de conservación.
04 Actividades que Cerostaff Realiza por Cuenta del Cliente
- Recibir, almacenar y organizar los datos necesarios para operar los flujos configurados.
- Agendar y gestionar eventos en Calendar; enviar correos mediante Gmail; leer y escribir en Sheets y Docs; y trabajar con los archivos de Drive que el Cliente selecciona con el Picker.
- Procesar los datos mediante proveedores de IA con el único fin de entregar la función solicitada por el Cliente.
- Suprimir o devolver los datos según las instrucciones del Cliente o al terminar la relación.
05 Instrucciones del Responsable
Cerostaff trata los datos únicamente conforme a las instrucciones documentadas del Cliente y a la normativa aplicable. Si Cerostaff considera que una instrucción infringe la ley, lo informará al Cliente. Cerostaff no usará los datos para finalidades propias distintas de la prestación del Servicio.
06 Confidencialidad
Cerostaff mantendrá la confidencialidad de los datos y se asegurará de que su personal y colaboradores con acceso a los mismos estén sujetos a deberes de confidencialidad. Esta obligación subsiste tras la terminación del Acuerdo.
07 Medidas de Seguridad
Cerostaff aplicará medidas técnicas y organizativas apropiadas, incluyendo cifrado en tránsito (TLS 1.3) y en reposo, control de acceso basado en roles, verificación en dos pasos para administradores y aislamiento entre cuentas, conforme a la sección de Medidas de Seguridad de la Política de Privacidad.
08 Sub-encargados
El Cliente autoriza a Cerostaff a apoyarse en sub-encargados para prestar el Servicio. Los sub-encargados actuales incluyen:
- Amazon Web Services, Inc. — alojamiento en la nube.
- Anthropic, PBC — procesamiento de lenguaje natural.
- Google LLC — servicios de las API de Google, cuando el Cliente conecta su cuenta.
- Meta Platforms, Inc. — infraestructura de mensajería.
Cerostaff impondrá a cada sub-encargado obligaciones de protección equivalentes e informará al Cliente de cambios relevantes, permitiéndole objetar por causa razonable.
09 Asistencia en los Derechos del Titular
Cerostaff asistirá al Cliente, en la medida de lo razonable, para atender las solicitudes de los titulares (acceso, rectificación, supresión, oposición, portabilidad y revocación) y para cumplir sus obligaciones de habeas data. Si un titular contacta directamente a Cerostaff, se le remitirá al Cliente, salvo obligación legal en contrario.
10 Notificación de Incidentes
Cerostaff notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de seguridad que afecte datos personales tratados por cuenta del Cliente, aportando la información disponible sobre el incidente y las medidas adoptadas, para que el Cliente cumpla sus deberes de notificación ante la SIC y los titulares.
11 Devolución y Eliminación al Terminar
A la terminación del Servicio, y según la instrucción del Cliente, Cerostaff devolverá o eliminará los datos personales tratados por cuenta del Cliente, incluidas las copias, salvo aquello que deba conservarse por obligación legal. Al desconectar la cuenta de Google, se eliminan los tokens de acceso asociados.
12 Auditoría y Rendición de Cuentas
Cerostaff pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo y colaborará con auditorías proporcionales, con preaviso y sujetas a confidencialidad, conforme al principio de responsabilidad demostrada (accountability) de la Ley 1581 de 2012.
13 Vigencia
Este Acuerdo regirá mientras Cerostaff trate datos por cuenta del Cliente y hasta la devolución o eliminación de los mismos. Se entiende aceptado por el Cliente al aceptar los Términos y Condiciones y conectar su cuenta de Google, y forma parte integral de dichos Términos.