Acuerdo de tratamiento de datos (DPA)

1. Roles

El Cliente es el responsable del tratamiento de los datos personales contenidos en los documentos, correos y conversaciones que procesa con Sullivam. Sullivam, el Operador descrito en los Términos del servicio, actúa como encargado y trata esos datos solo por cuenta del Cliente.

2. Instrucciones

El Operador trata los datos únicamente para prestar el servicio según los Términos, la configuración que el Cliente haga en la aplicación y sus instrucciones documentadas, salvo que la ley exija otra cosa.

3. Confidencialidad

Las personas autorizadas a tratar los datos están sujetas a deberes de confidencialidad. El acceso interno se limita a lo necesario para operar, asegurar y dar soporte al servicio.

4. Seguridad

El Operador aplica las medidas descritas en la página de seguridad, incluidas la separación de datos por organización, el cifrado en tránsito, el cifrado de credenciales de integraciones y los registros de auditoría.

5. Subencargados

El Cliente autoriza el uso de los subencargados publicados en la página de subencargados. El Operador mantendrá esa lista actualizada, avisará con antelación razonable de la incorporación de nuevos subencargados y les impondrá obligaciones de protección de datos equivalentes.

6. Asistencia al Cliente

El Operador ayudará al Cliente, en la medida razonable, a atender solicitudes de los titulares y a cumplir sus obligaciones de seguridad y de notificación de incidentes.

7. Incidentes

El Operador notificará al Cliente sin demora injustificada cuando tenga conocimiento de un incidente de seguridad que afecte sus datos personales, con la información disponible para que el Cliente pueda cumplir sus propias obligaciones.

8. Transferencias y transmisiones internacionales

Cuando un subencargado trate datos fuera de Colombia, se hará con garantías adecuadas de seguridad y confidencialidad conforme a la ley aplicable.

9. Devolución y eliminación

Al terminar el servicio, el Cliente puede solicitar la exportación de sus datos durante el plazo indicado en la Política de privacidad. Después, el Operador eliminará los datos, salvo que la ley exija conservarlos.

10. Información y verificación

El Operador pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo. Sullivam no declara certificaciones de terceros que no tenga.

11. Datos de Meta y WhatsApp

Esta cláusula se aplica cuando el Cliente conecta a Sullivam su propia app de Meta, su cuenta de WhatsApp Business o su número de WhatsApp. En ese caso el Cliente es el titular de esos activos ante Meta y quien acepta sus condiciones. El Operador actúa como su proveedor de servicios: los opera por cuenta del Cliente para prestarle el servicio.

Datos de Meta son los tokens de acceso, las claves secretas de la app, los identificadores de cuentas y números, los mensajes, los archivos y los metadatos que el Operador recibe a través de las plataformas de Meta para el Cliente.

• Uso exclusivo: el Operador trata los datos de Meta solo por cuenta del Cliente, según sus instrucciones documentadas y para prestarle el servicio contratado. No los usa en su propio interés ni para otros clientes, y mantiene separados los datos de cada cliente.
• Prohibiciones: el Operador no vende, licencia, comparte ni cede los datos de Meta, salvo a los subencargados necesarios para prestar el servicio o cuando la ley lo exija. Tampoco los usa para crear perfiles o seguir a personas, ni para crear, entrenar o mejorar modelos de inteligencia artificial, propios o de terceros. Los proveedores de inteligencia artificial que usa el Operador se configuran para no conservar esos datos ni entrenar con ellos.
• Seguridad: los tokens y las claves secretas se guardan cifrados, por separado para cada organización, y no se muestran después de guardarlos. Solo los propietarios y administradores del Cliente pueden configurarlos, y su uso queda registrado.
• Revocación: el Cliente puede retirar en cualquier momento el acceso del Operador, desconectando el número en Sullivam o revocando el token o el usuario del sistema en Meta. Desde ese momento el Operador deja de usar esos datos.
• Fin de la relación: cuando termina el servicio o se desconecta la conexión, el Operador deja de tratar los datos de Meta de inmediato y elimina los tokens y las claves secretas en el momento de la desconexión. El resto de datos de Meta se elimina conforme a la cláusula 9, salvo que la ley exija conservarlos.
• Cooperación con Meta: el Operador facilitará a Meta, cuando lo exijan sus condiciones, la información sobre su condición de proveedor de servicios del Cliente y la existencia de este acuerdo. Informará al Cliente sin demora de cualquier comunicación de Meta sobre sus datos.
• Obligaciones del Cliente: el Cliente cumple las condiciones de Meta para WhatsApp Business y la Política de mensajería de WhatsApp Business. Debe obtener el consentimiento previo de las personas a las que escribe, atender sus solicitudes de baja y ofrecer una vía para hablar con una persona. Los cargos de Meta por mensajes se facturan directamente al Cliente.
• Subencargados: cuando el Cliente usa su propia app de Meta, Meta es proveedor del Cliente y no subencargado del Operador. Cuando la conexión se hace con la app de Sullivam, Meta figura en la lista de subencargados.