Contrato · 04
Acuerdo de Tratamiento de Datos Personales (Encargado)
Entre el Cliente, como Responsable del Tratamiento, y NTC CAPITAL HOLDING S.A.S. ("NexToCloud"), NIT 902.096.121-7, como Encargado del Tratamiento Versión 2.0 · Vigente desde: 20 de octubre de 2026 · Última actualización: 20 de octubre de 2026
1. Definiciones#
Los términos Titular, Dato personal, Dato sensible, Responsable, Encargado, Tratamiento, Autorización, Aviso de privacidad, Transferencia y Transmisión tienen el significado de la Ley 1581 de 2012 y del Decreto 1074 de 2015. Además:
- Datos Personales del Cliente: los datos personales contenidos en los Datos del Cliente.
- Subencargado: el tercero que NexToCloud contrata para ejecutar parte del tratamiento.
- Incidente de Seguridad: la violación de los códigos de seguridad o la pérdida, robo, acceso o uso no autorizado de Datos Personales del Cliente.
- Instrucciones: las contenidas en los Términos, este Acuerdo, la Orden de Servicio, la configuración que el Cliente define en la Plataforma y las que imparta por escrito.
Los demás términos con mayúscula inicial tienen el significado de los Términos.
2. Objeto y roles#
2.1. El Cliente, en calidad de Responsable, encarga a NexToCloud, en calidad de Encargado, el tratamiento de los Datos Personales del Cliente necesario para prestar los Servicios contratados: alojamiento, almacenamiento, organización, consulta, procesamiento, comunicación por los canales habilitados, uso instrumental, respaldo, soporte y supresión.
2.2. Modelo de responsabilidad compartida. NexToCloud provee y opera la infraestructura tecnológica y la Plataforma. El Cliente decide sobre los datos: qué recolecta, con qué finalidad, bajo qué autorizaciones, por qué canales contacta a los titulares y por cuánto tiempo conserva la información.
2.3. NexToCloud actúa exclusivamente conforme a las Instrucciones del Cliente. Si considera que una Instrucción infringe la ley, lo informará al Cliente y podrá abstenerse de ejecutarla.
3. Categorías de titulares, datos y finalidades#
3.1. El alcance depende de los módulos activados por el Cliente:
| Módulo | Titulares | Categorías de datos | Finalidades autorizadas |
|---|---|---|---|
| Núcleo de la Plataforma | Personal y Usuarios Autorizados del Cliente, incluidos terceros que el Cliente habilite | Identificación, contacto, rol, credenciales, registros de actividad | Gestión de accesos, permisos, auditoría y seguridad del Espacio del Cliente |
| HealthCare (app de salud) | Pacientes del Cliente y sus acompañantes | Identificación, contacto, datos de citas (fecha, hora, procedimiento, profesional, sede, estado), entidad pagadora o aseguradora, autorizaciones, PQRS y, cuando el Cliente lo habilite, datos sensibles de salud estrictamente necesarios | Agendamiento, confirmación, recordatorio y reagendamiento de citas; gestión de autorizaciones y PQRS; reportería operativa |
| Mensajería WhatsApp | Usuarios Finales del Cliente | Número de teléfono, nombre de perfil, contenido de los mensajes, estado de entrega y lectura, archivos adjuntos | Envío y recepción de mensajes en los flujos configurados por el Cliente; registro de conversaciones como evidencia |
| Inteligencia Artificial y Voz | Usuarios Finales del Cliente | Contenido de mensajes, audios, grabaciones y transcripciones de llamadas, intención extraída | Interpretación de mensajes y llamadas dentro de los flujos configurados; transcripción y resumen; derivación a personal humano |
Desliza la tabla hacia la derecha para ver todas las columnas.
3.2. Datos migrados. Los datos históricos que el Cliente entregue desde sus sistemas de origen se tratan en las mismas categorías y finalidades. El Cliente garantiza su licitud.
3.3. Minimización. El Cliente no cargará datos personales innecesarios para las finalidades autorizadas.
3.4. Finalidad cerrada. Ninguna finalidad distinta a las de esta sección está autorizada.
4. Obligaciones del Cliente (Responsable)#
El Cliente declara y garantiza que:
a) Cuenta con una política de tratamiento de datos personales y con avisos de privacidad conforme a la Ley 1581 de 2012. b) Ha obtenido de cada titular la autorización previa, expresa e informada que la ley exige, incluida la autorización expresa para datos sensibles (como datos de salud), la autorización para ser contactado por WhatsApp, llamadas u otros canales, y, cuando use Funcionalidades de IA o grabación de llamadas, la información de que intervienen agentes automatizados y de que la llamada se graba. c) Conservará prueba de dichas autorizaciones y la suministrará a NexToCloud cuando sea necesario para atender a una autoridad. d) Imparte Instrucciones lícitas y garantiza la licitud, veracidad, calidad y pertinencia de los datos. e) Atiende, como Responsable, las consultas y reclamos de sus titulares en los términos de ley. f) Inscribe sus bases de datos en el Registro Nacional de Bases de Datos cuando esté obligado. g) Administra los accesos de su personal y de los terceros que habilite, y responde por el uso que hagan de la Plataforma. h) Reporta a la Superintendencia de Industria y Comercio y comunica a los titulares los Incidentes de Seguridad, cuando corresponda.
El incumplimiento de estas garantías es de exclusiva responsabilidad del Cliente, quien mantendrá indemne a NexToCloud conforme a los Términos.
5. Obligaciones de NexToCloud (Encargado)#
Conforme al artículo 18 de la Ley 1581 de 2012, NexToCloud se obliga a:
a) Tratar los Datos Personales del Cliente únicamente conforme a las Instrucciones y a las finalidades de la sección 3. b) No usarlos para fines propios, no venderlos, cederlos ni divulgarlos a terceros no autorizados, no correlacionarlos con datos de otros clientes y no usarlos para entrenar modelos de inteligencia artificial de propósito general. c) Mantener los datos en una base de datos exclusiva del Cliente, separada de la de otros clientes. d) Aplicar las medidas de seguridad de la sección 8 y de la Política de Seguridad de la Información. e) Garantizar la confidencialidad mediante acuerdos con su personal y Subencargados, y limitar el acceso a las personas que lo necesiten para prestar los Servicios. f) Actualizar, rectificar o suprimir los datos cuando el Cliente lo instruya, dentro de los cinco (5) días hábiles siguientes, o facilitar al Cliente las herramientas para hacerlo directamente. g) Trasladar al Cliente, dentro de los dos (2) días hábiles siguientes a su recibo, las consultas y reclamos de titulares que reciba directamente, sin responderlos de fondo salvo Instrucción del Cliente. h) Registrar en la base de datos la leyenda "reclamo en trámite" o "información en discusión judicial" cuando el Cliente lo indique. i) Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio. j) Permitir el acceso a la información únicamente a las personas autorizadas. k) Informar a la Superintendencia de Industria y Comercio los Incidentes de Seguridad que la ley le exija reportar como Encargado, y cooperar con el Cliente en su gestión. l) Asistir razonablemente al Cliente para cumplir sus obligaciones como Responsable, incluida la entrega de información sobre el tratamiento que realiza. m) Devolver y suprimir los datos a la terminación, conforme a la sección 10.
6. Subencargados#
6.1. El Cliente autoriza de manera general a NexToCloud a contratar los Subencargados que figuran en la Lista de Subencargados publicada en nextocloud.ai/legal, para las funciones allí descritas.
6.2. NexToCloud suscribe con cada Subencargado términos de protección de datos y seguridad al menos equivalentes a los de este Acuerdo, y responde ante el Cliente por su gestión, en los términos de los Términos.
6.3. Cambios. NexToCloud notificará la adición o sustitución de Subencargados que traten Datos Personales del Cliente con al menos quince (15) días calendario de antelación, mediante actualización de la Lista y aviso al correo del Administrador. Dentro de ese plazo, el Cliente puede objetar por motivos razonables de protección de datos. Si las Partes no encuentran una alternativa, el Cliente puede terminar el módulo afectado sin penalidad, con reembolso de lo pagado por anticipado por períodos no prestados.
6.4. En situaciones de emergencia (por ejemplo, cese abrupto de un proveedor o riesgo de seguridad), NexToCloud puede sustituir un Subencargado de inmediato, informando al Cliente a la mayor brevedad.
6.5. Los proveedores de Servicios de Terceros contratados directamente por el Cliente (por ejemplo, su propia cuenta de WhatsApp Business con Meta o su BSP) no son Subencargados de NexToCloud: el Cliente los contrata y responde por ellos.
7. Transmisiones internacionales#
7.1. El tratamiento implica el alojamiento y procesamiento de datos fuera de Colombia, principalmente en Estados Unidos (Microsoft Azure, regiones East US 2 y Central US) y en las regiones de los Subencargados.
7.2. El Cliente autoriza estas transmisiones, que se amparan en este Acuerdo como contrato de transmisión (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015), en el artículo 26 de la Ley 1581 de 2012 y en la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio.
7.3. En su condición de contrato de transmisión, NexToCloud se compromete a: (i) dar tratamiento a los datos por cuenta del Cliente conforme a los principios de la Ley 1581 de 2012; (ii) salvaguardar la seguridad de las bases de datos; y (iii) guardar confidencialidad respecto del tratamiento.
8. Medidas de seguridad#
NexToCloud aplica, como mínimo, las siguientes medidas, detalladas en la Política de Seguridad de la Información:
- Base de datos independiente por Cliente y derivación de la base de datos a partir de la identidad firmada del usuario.
- Cifrado en reposo (AES-256) y en tránsito (TLS 1.2 o superior).
- Autenticación robusta, control de acceso por roles y validación de permisos en el servidor.
- Gestión de secretos en bóveda y conexiones sin contraseñas mediante identidades administradas.
- Registro de cambios y de exportaciones de datos personales.
- Respaldos en múltiples capas con pruebas de restauración.
- Arquitectura de IA con minimización: los modelos no tienen acceso directo de lectura a las bases de datos; la autoridad sobre los datos reside en el servidor.
Estas medidas pueden evolucionar, siempre que mantengan un nivel de protección equivalente o superior.
9. Incidentes de seguridad#
9.1. NexToCloud notificará al Cliente todo Incidente de Seguridad que afecte Datos Personales del Cliente sin dilación indebida y a más tardar dentro de las setenta y dos (72) horas siguientes a su confirmación, al correo del Administrador y al de notificaciones, con la información disponible: naturaleza del incidente, categorías y volumen aproximado de datos y titulares afectados, consecuencias probables, medidas adoptadas y medidas de mitigación recomendadas. La información se complementará a medida que esté disponible.
9.2. El Cliente decide y ejecuta las comunicaciones a los titulares y los reportes a la Superintendencia de Industria y Comercio que le correspondan como Responsable. NexToCloud cooperará de buena fe y reportará lo que la ley le exija como Encargado.
9.3. La notificación de un incidente no implica reconocimiento de culpa o responsabilidad.
10. Devolución y supresión#
10.1. Durante la vigencia, el Cliente puede exportar sus datos con las herramientas de la Plataforma.
10.2. A la terminación de los Servicios aplica el régimen de los Términos: exportación completa en CSV o JSON dentro de los cinco (5) días hábiles siguientes a la solicitud; ventana de recuperación de treinta (30) días calendario; supresión de la base activa al vencimiento; y eliminación de los respaldos al cumplir su ciclo de retención, durante el cual permanecen cifrados, aislados y fuera de uso. NexToCloud certificará la supresión a solicitud del Cliente.
10.3. NexToCloud podrá conservar los datos que una norma le obligue a conservar, bajo las mismas garantías de este Acuerdo.
11. Verificación#
11.1. NexToCloud entregará al Cliente, a solicitud y hasta una (1) vez por año, o en cualquier momento ante un Incidente de Seguridad, evidencia razonable del cumplimiento de este Acuerdo: respuesta a cuestionarios de seguridad, certificaciones de su proveedor de nube, reporte de respaldos y resultado de la última prueba de restauración, o una sesión técnica de verificación.
11.2. La verificación no dará acceso a datos de otros clientes, a información confidencial de NexToCloud no relacionada ni a sistemas productivos. Las auditorías presenciales o por terceros se pactan por escrito, a costo del Cliente.
12. Datos de salud y otros datos sensibles#
12.1. El Cliente reconoce que los datos de salud son datos sensibles que requieren autorización expresa del titular, quien no está obligado a otorgarla.
12.2. La Plataforma no almacena historia clínica en los términos de la Resolución 1995 de 1999 y la Ley 2015 de 2020, salvo que el Cliente contrate expresamente un módulo que la involucre. En ese caso, las Condiciones Particulares del módulo actualizarán este Acuerdo.
12.3. El tratamiento se rige por el régimen colombiano de protección de datos. Normas extranjeras (por ejemplo, HIPAA de Estados Unidos o el RGPD europeo) no resultan aplicables a esta relación, salvo pacto expreso.
13. Responsabilidad#
13.1. Cada Parte responde frente a los titulares y frente a la Superintendencia de Industria y Comercio por las obligaciones propias de su rol.
13.2. NexToCloud no responde por la licitud, exactitud o falta de autorización de los datos que el Cliente decide tratar, ni por las Instrucciones del Cliente.
13.3. Entre las Partes, aplican la limitación de responsabilidad y las indemnidades de los Términos, salvo pacto distinto en contrato particular.
14. Vigencia#
Este Acuerdo rige mientras NexToCloud trate Datos Personales del Cliente y subsiste después de la terminación de los Servicios hasta su supresión total. Las obligaciones de confidencialidad sobre datos personales subsisten indefinidamente.
15. Contacto#
Asuntos de protección de datos: privacidad@nextocloud.ai · Carrera 112 F # 72 C - 03, Torre 9, Apartamento 102, Engativá, Bogotá D.C.
Documento versionado. Las versiones anteriores se conservan en nextocloud.ai/legal.