Contrato de transmisión de datos personales (DPA)

• Encargado: ZAYRO TECH S.A.S., NIT 902.121.749-9, CR 32 A 10 A 116, Cali
• Responsable: el cliente que acepta este contrato en el panel, identificado con los datos de su cuenta y representado por la persona que acepta en su nombre

1. Objeto y naturaleza

1.1. Este contrato regula el tratamiento que ZAYRO TECH S.A.S. («Zayro» o «el encargado») hace de los datos personales de los clientes finales del cliente («el responsable») para prestar el servicio descrito en los Términos del servicio.

1.2. El responsable decide sobre esos datos. Zayro los trata solo por cuenta del responsable y según sus instrucciones, conforme a la Ley 1581 de 2012 y al Decreto 1074 de 2015.

1.3. Este contrato es el contrato de transmisión de datos que exige la ley para las transmisiones al encargado, incluidas las internacionales. El servicio no se condiciona a que cada titular autorice la transmisión al encargado; el responsable sigue obligado a contar con la autorización de sus titulares para sus propios tratamientos.

2. Alcance del tratamiento

2.1. Comprende los datos que el responsable o sus clientes finales ingresan, envían o reciben a través de la plataforma: mensajes y sus adjuntos, contactos, conversaciones, registros de consentimiento y de bajas, plantillas, la base de conocimiento del bot y los metadatos técnicos asociados (ver el Anexo 1).

2.2. No comprende los datos propios de Zayro (cuentas de usuario, facturación, seguridad y métricas del servicio), de los que Zayro es responsable según su Política de privacidad.

3. Actividades del encargado

Zayro hace, por cuenta del responsable, las siguientes operaciones:

1. Recibir y almacenar los mensajes y eventos que llegan de los canales conectados.
2. Enviar los mensajes que el responsable ordena por API, MCP, panel o bot, después de aplicar las reglas de cumplimiento.
3. Registrar consentimientos, bajas y decisiones de cumplimiento.
4. Consultar el Registro de Números Excluidos (RNE) para los envíos comerciales a números de Colombia.
5. Entregar eventos a los webhooks que configure el responsable.
6. Si el responsable activa el bot (viene desactivado por defecto), generar respuestas con la base de conocimiento del responsable, enviando al proveedor de IA solo el texto necesario para cada respuesta, sin teléfonos, identificadores ni nombres de perfil.
7. Exportar, rectificar y suprimir datos cuando el responsable lo ordene.
8. Eliminar el contenido al vencer el plazo de retención configurado.
9. Analizar metadatos y las señales mínimas necesarias para prevenir abuso y proteger la plataforma, como se autoriza en la sección 4.2.

4. Finalidad

4.1. La única finalidad es prestar el servicio al responsable.

4.2. El responsable autoriza expresamente a Zayro a analizar metadatos (por ejemplo, volúmenes, tasas de error, bloqueos y reportes) y las señales mínimas necesarias para prevenir spam, fraude y abuso y para cumplir las políticas de Meta.

4.3. Zayro no usa el contenido ni los datos de los clientes finales para entrenar modelos de IA, crear perfiles, venderlos, hacer publicidad propia ni ningún otro fin distinto a prestar el servicio.

5. Instrucciones del responsable

5.1. Las instrucciones del responsable son: (a) este contrato y los Términos del servicio; (b) la configuración que el responsable hace en el panel o por API (canales, plantillas, retención, bot, webhooks); y (c) las instrucciones escritas que envíe a contact@zayrotech.com.

5.2. Zayro avisa al responsable si considera que una instrucción infringe la ley y puede abstenerse de cumplirla mientras se aclara.

5.3. Las reglas de cumplimiento de la plataforma (opt-in, horario, RNE, bajas, plantillas, alcance del bot) forman parte del servicio y no se pueden desactivar por instrucción.

6. Obligaciones del responsable

El responsable declara y garantiza que:

1. Tiene la autorización de sus titulares que exige la ley y la puede probar.
2. Publicó su propia política de tratamiento de datos e informó a sus titulares que usa un encargado.
3. Cumple la Ley 1581 de 2012, la Ley 2300 de 2023 y las políticas de Meta.
4. Atiende y decide las solicitudes de sus titulares en los plazos legales.
5. Configura un plazo de retención acorde con sus deberes.

7. Seguridad

Zayro aplica, como mínimo, estas medidas:

• Aislamiento de los datos de cada responsable a nivel de base de datos.
• Cifrado en tránsito con TLS y cifrado de tokens y secretos de los canales.
• Control de acceso por roles y principio de mínimo privilegio para su personal.
• Registro de acciones sensibles y de cada acceso por MCP, sin contenido.
• Registros técnicos sin datos personales, tokens ni cuerpos de mensajes.
• Copias de seguridad con plazo máximo de vida de 35 días y acceso restringido al personal autorizado.
• Procedimiento documentado de respuesta a incidentes.

8. Confidencialidad

Zayro mantiene la reserva de los datos tratados, incluso después de terminar el contrato. Solo acceden a ellos las personas de Zayro que lo necesitan para prestar el servicio, obligadas por escrito a guardar confidencialidad.

9. Sub-encargados

9.1. El responsable autoriza a Zayro a usar los sub-encargados de la lista de sub-encargados vigente, que indica nombre, función, país y fecha. Meta Platforms, Inc. figura en la lista por transparencia: el responsable acepta directamente con Meta las condiciones de WhatsApp Business Platform, Instagram y Messenger, y Meta trata los datos del canal bajo esas condiciones.

9.2. Zayro celebra con cada sub-encargado un contrato, o acepta sus condiciones de servicio, que lo obliga a tratar los datos solo para prestar el servicio, a mantenerlos seguros y a guardar su confidencialidad. Zayro responde ante el responsable por el cumplimiento de los sub-encargados que contrata, salvo por el tratamiento que Meta hace bajo las condiciones que el responsable acepta directamente con ella.

9.3. Zayro avisa al responsable por correo y en el panel cualquier alta o cambio de sub-encargado con 15 días de antelación. El responsable puede oponerse por escrito dentro de ese plazo, con motivos razonables. Mientras la oposición no se resuelva, Zayro no usará al sub-encargado nuevo para los datos de ese responsable cuando sea técnicamente posible. Si no lo es, o si no se llega a una solución, el responsable puede terminar el servicio afectado sin penalidad.

10. Notificación de incidentes

10.1. Si Zayro conoce una violación de los códigos de seguridad o un riesgo para los datos del responsable, incluido un fallo de un sub-encargado, como un proveedor de IA:

1. avisa al responsable en un plazo máximo de 24 horas desde que tiene conocimiento;
2. notifica a Meta lo antes posible cuando el incidente afecte datos de sus plataformas; y
3. informa a la Superintendencia de Industria y Comercio cuando le corresponda como encargado.

10.2. El aviso describe, en la medida en que se conozca: qué pasó, cuándo, qué datos y cuántos titulares pueden estar afectados, las medidas tomadas y las recomendadas, y un contacto. Zayro amplía la información a medida que la obtiene.

10.3. Zayro coopera con el responsable para que este cumpla sus propios deberes de aviso.

11. Asistencia con las solicitudes de los titulares

11.1. Si un titular dirige a Zayro una consulta, rectificación, supresión o revocación sobre datos del responsable, Zayro no la resuelve: la reenvía al responsable en un plazo máximo de 2 días hábiles y le informa al titular quién es el responsable.

11.2. Zayro ejecuta las instrucciones del responsable sobre esa solicitud (exportar, rectificar o suprimir) en un plazo que le permita cumplir los 10 días hábiles para consultas y los 15 días hábiles para reclamos de la Ley 1581: dentro de los 5 días hábiles siguientes a recibir la instrucción del responsable.

11.3. Si el responsable debe conservar un dato por ley, la supresión se pospone con el motivo registrado.

12. Retención, devolución y supresión

12.1. Retención. El contenido de los mensajes se elimina automáticamente al vencer el plazo que configure el responsable, que puede ir de 1 a 120 meses. Si no configura ninguno, se aplica el plazo por defecto de 12 meses. Zayro registra cada purga sin guardar el contenido. Si hay una retención legal activa sobre la cuenta, la purga se aplaza hasta que se libere.

12.2. Fin del contrato. Al terminar el servicio, Zayro desconecta los canales y deja de tratar los datos. El responsable puede exportarlos durante 30 días. Después, Zayro los elimina y entrega una confirmación escrita (certificado de eliminación).

12.3. Copias de seguridad. Los datos que queden en copias de seguridad se eliminan al vencer el plazo de vida de las copias, que es de máximo 35 días desde que se hace cada copia. Mientras una copia exista, solo se usa para restaurar el servicio.

12.4. Excepciones. Zayro conserva lo que la ley le obligue a conservar, solo para ese fin. Tras eliminar los datos del responsable, Zayro conserva sin contenido de mensajes ni contactos: los registros de la cuenta, de auditoría, de purgas y de eliminación, el certificado de eliminación, los soportes del consumo y de los créditos, y las solicitudes de titulares que recibió y reenvió, durante los plazos de su Política de privacidad.

12.5. La cuenta de WhatsApp Business y el número son del responsable; Zayro no los retiene.

13. Auditoría

13.1. Zayro pone a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato: la lista de sub-encargados, el inventario de datos y regiones, la descripción de las medidas de seguridad y los registros de purgas y eliminaciones de su cuenta.

13.2. El responsable puede pedir una auditoría con aviso previo de 30 días y hasta una vez por año (y además después de un incidente de seguridad que afecte sus datos), a su costo, sin acceso a datos de otros clientes y bajo confidencialidad. La auditoría consiste en revisar la documentación con la que Zayro demuestra el cumplimiento de este contrato y, si hace falta, en reuniones remotas con el personal de Zayro, sin acceso físico ni lógico a los servidores del proveedor de alojamiento. Zayro responde por escrito las preguntas razonables de seguridad que el responsable le haga.

14. Transmisión internacional

14.1. La plataforma se aloja en Estados Unidos, en un servidor de Contabo Inc. ubicado en Nueva Jersey. Los sub-encargados de la lista tratan datos en los países allí indicados. Estados Unidos figura en la lista de países con nivel adecuado de protección del numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio. Además, esta transmisión se ampara en este contrato (artículo 2.2.2.25.5.1 del Decreto 1074 de 2015), por lo que no requiere autorización adicional de los titulares.

14.2. Zayro solo transmite datos a países con nivel adecuado de protección según la Superintendencia de Industria y Comercio o, en su defecto, con la excepción legal o la declaración de conformidad que corresponda, documentada antes de la transmisión. Zayro no agrega un país nuevo sin la aprobación de su Gerencia y sin el aviso de la sección 9.3.

14.3. Para cada sub-encargado fuera de Colombia rige lo dispuesto en la sección 9.2.

15. Requerimientos de autoridades

Si una autoridad exige a Zayro entregar datos del responsable, Zayro verifica que el requerimiento venga de una autoridad competente y cumpla los requisitos legales antes de entregar nada, entrega solo lo que la orden exija y avisa al responsable antes de entregar, salvo que la ley o la orden lo prohíban.

16. Duración, responsabilidad y prelación

16.1. Este contrato rige mientras Zayro trate datos del responsable y sus deberes de confidencialidad y supresión continúan después.

16.2. Cada parte responde por sus propios incumplimientos de la ley y de este contrato.

16.3. En materia de datos personales, este contrato prevalece sobre los Términos del servicio.

17. Anexo 1: descripción del tratamiento