Entre [razón social del negocio], identificado con [NIT o cédula], domiciliado en [ciudad], que opera el negocio [nombre comercial] (en adelante, EL RESPONSABLE), y Digitra, identificado con NIT [NIT del operador], domiciliado en Colombia, operador de la plataforma Vuelvo (vuelvo.co) (en adelante, EL ENCARGADO), se celebra este contrato de transmisión de datos personales en los términos de la Ley 1581 de 2012 y del artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), que se rige por las siguientes cláusulas:
Primera. Objeto
EL ENCARGADO tratará, por cuenta y en nombre de EL RESPONSABLE, los datos personales de los clientes que se inscriban en el programa de fidelidad de EL RESPONSABLE dentro de Vuelvo, con el único fin de prestar el servicio de tarjetas de fidelidad digitales en Apple Wallet y Google Wallet y sus funciones asociadas.
Segunda. Datos y titulares
Los datos objeto del encargo son los de los clientes finales de EL RESPONSABLE:
- Nombre, número de celular y, si el titular los entrega, correo electrónico y día y mes de cumpleaños.
- Las respuestas a los campos adicionales que EL RESPONSABLE configure en el formulario de inscripción (máximo tres), que no podrán referirse a datos sensibles ni a datos de menores de edad.
- La actividad del programa: visitas, sellos, premios ganados y canjeados, sede y cajero que registró cada movimiento.
- La evidencia de la autorización: fecha y hora, dirección IP, navegador, texto aceptado y versión de la política.
- Los identificadores técnicos del pase y de los dispositivos registrados para actualizarlo.
Tercera. Finalidades autorizadas
EL ENCARGADO no usará los datos para fines propios, no los venderá ni los cederá a terceros, y no los usará para entrenar modelos de inteligencia artificial.
- Crear, mostrar y actualizar la tarjeta de fidelidad del titular.
- Registrar las visitas, sellos y canjes que marque el personal de EL RESPONSABLE.
- Enviar al titular las comunicaciones del programa que EL RESPONSABLE active, por notificaciones del pase y, cuando se habilite, por WhatsApp, respetando los límites de frecuencia de la plataforma.
- Generar para EL RESPONSABLE reportes y exportaciones de sus propios clientes.
- Prevenir fraude y abuso en el uso de las tarjetas.
Cuarta. Obligaciones de EL RESPONSABLE
- Obtener la autorización previa, expresa e informada del titular. La plataforma ofrece el formulario con la casilla de autorización y guarda la evidencia; EL RESPONSABLE no debe inscribir personas sin ella.
- Contar con una política de tratamiento de datos e informar al titular las finalidades.
- Dar a EL ENCARGADO solo instrucciones lícitas y no pedir, en los campos adicionales, datos sensibles, de menores de edad ni financieros.
- Atender, directamente o a través de la plataforma, las consultas y reclamos de los titulares en los plazos de ley.
Quinta. Obligaciones de EL ENCARGADO
Además de los deberes del artículo 18 de la Ley 1581 de 2012, EL ENCARGADO se obliga a:
- Tratar los datos solo según las instrucciones de EL RESPONSABLE y este contrato.
- Conservar los datos con las medidas de seguridad de la cláusula sexta para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado.
- Permitir el acceso a los datos solo al personal que lo necesite para prestar el servicio, bajo deber de confidencialidad.
- Tramitar las consultas y reclamos de los titulares que le lleguen, en los términos de los artículos 14 y 15 de la Ley 1581 de 2012, y dar traslado a EL RESPONSABLE cuando corresponda.
- Registrar la leyenda "reclamo en trámite" y abstenerse de circular información en discusión judicial, cuando aplique.
- Informar a EL RESPONSABLE los incidentes de seguridad según la cláusula novena.
- Cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio.
Sexta. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS) entre los usuarios y la plataforma.
- Control de acceso por rol: cada negocio ve solo a sus clientes; cajeros, gerentes y contadores ven solo lo que su rol permite.
- Contraseñas guardadas con hash (bcrypt) y códigos de verificación guardados solo como hash.
- Registro de cada movimiento de la tarjeta con fecha, sede y cajero.
- Copias de respaldo de la base de datos a cargo del proveedor de infraestructura.
Séptima. Subencargados
EL RESPONSABLE autoriza a EL ENCARGADO a apoyarse en los siguientes proveedores para prestar el servicio, a quienes EL ENCARGADO exigirá obligaciones de seguridad y confidencialidad equivalentes a las de este contrato:
- Proveedores de infraestructura en la nube (servidores, base de datos y almacenamiento).
- Apple Inc. (Apple Wallet) y Google LLC (Google Wallet), que reciben solo los datos necesarios para mostrar y actualizar el pase.
- Meta Platforms, Inc. (WhatsApp Business), solo cuando EL RESPONSABLE active las comunicaciones por WhatsApp.
Octava. Transmisión internacional
Algunos proveedores de la cláusula séptima pueden tratar los datos fuera de Colombia. Las partes acuerdan que dicha transmisión se ampara en este contrato, conforme al artículo 25 del Decreto 1377 de 2013, y que EL ENCARGADO velará porque el nivel de protección no sea inferior al exigido por la ley colombiana.
Novena. Incidentes de seguridad
Si EL ENCARGADO conoce un incidente que comprometa los datos de EL RESPONSABLE, se lo informará sin demora injustificada y a más tardar dentro de las cuarenta y ocho (48) horas siguientes a su conocimiento, con la información disponible sobre su alcance y las medidas tomadas, para que EL RESPONSABLE pueda cumplir su deber de reportarlo a la Superintendencia de Industria y Comercio.
Décima. Derechos de los titulares
Los titulares pueden ejercer sus derechos ante EL RESPONSABLE, desde el panel de la plataforma, en vuelvo.co/mis-datos o escribiendo a soporte@digitra.rent. Las consultas se atienden en máximo diez (10) días hábiles, prorrogables cinco (5) más; los reclamos, en máximo quince (15) días hábiles, prorrogables ocho (8) más, informando al titular los motivos de la prórroga. La supresión anula la tarjeta del titular y anonimiza su registro, conservando solo la prueba de la autorización.
Undécima. Confidencialidad
Las partes guardarán reserva sobre los datos personales y la información del otro a la que accedan con ocasión de este contrato, incluso después de terminado.
Duodécima. Duración, terminación y devolución de los datos
Este contrato dura mientras EL RESPONSABLE tenga una cuenta activa en la plataforma. Al terminar, EL RESPONSABLE podrá exportar los datos de sus clientes durante treinta (30) días; vencido ese plazo, EL ENCARGADO los suprimirá o anonimizará, salvo que una norma exija conservarlos.
Decimotercera. Responsabilidad
Cada parte responde por los daños que cause por el incumplimiento de sus propias obligaciones legales y contractuales.
Decimocuarta. Ley aplicable
Este contrato se rige por la ley colombiana. Las diferencias se intentarán resolver primero de manera directa; de no lograrse, se acudirá a la jurisdicción ordinaria colombiana.
Decimoquinta. Aceptación
Este contrato se entiende aceptado por EL RESPONSABLE al crear su cuenta en Vuelvo o al firmarlo, lo que ocurra primero.