Contrato de transmisión de datos personales

• El responsable: la empresa cliente, que decide tratar los datos de su personal para controlar la asistencia.
• El encargado: Cristian Alejandro Muñoz Cardona, NIT 1017126012-3, que presta el servicio Orbik y trata esos datos por cuenta del responsable.

El objeto es que el encargado trate los datos del personal del responsable —identificación, marcaciones, horarios, ausencias, ubicación de la marcación y, si el responsable lo habilita, el vector facial (una serie de números que describe el rostro) y las fotografías— solo para prestar el servicio descrito en los términos, durante su vigencia.

• Tratar los datos solo según las instrucciones del responsable, que son las que da al configurar y usar el servicio, y avisarle si una instrucción le parece contraria a la ley.
• No usarlos para fines propios, no venderlos, no entrenar modelos con ellos y no cruzarlos con los de otras empresas.
• Guardar confidencialidad, y que la guarde toda persona que trabaje para él, también después de terminado el contrato.
• Aplicar las medidas de seguridad descritas en la política de tratamiento, y mantenerlas al menos en ese nivel.
• Dar al responsable lo que necesite para atender a los titulares: si un titular le escribe directamente, trasladarle la solicitud en 2 días hábiles.
• Avisar al responsable de un incidente de seguridad que afecte sus datos sin demora y a más tardar en 72 horas desde que se confirme, y ayudarle a manejarlo.
• Responder por escrito, una vez al año o tras un incidente, las preguntas razonables del responsable sobre cómo cumple este contrato.

• Obtener y conservar la autorización previa, expresa e informada de su personal, y la autorización aparte, facultativa, para el dato biométrico y para la fotografía. El anexo trae un modelo.
• Informar a su personal la finalidad del tratamiento y cómo ejercer sus derechos.
• Ofrecer otra forma de marcar a quien no autorice el dato biométrico.
• Atender las consultas y reclamos de su personal, con la ayuda del encargado.
• No cargar datos que el servicio no necesite.

El responsable autoriza al encargado a apoyarse en los proveedores que lista la política de tratamiento, con los que mantiene acuerdos que les imponen obligaciones equivalentes. Antes de sumar uno que trate datos del personal, el encargado avisa con 15 días; si el responsable no está de acuerdo, puede terminar el contrato sin penalidad.

El responsable sabe y acepta que los datos se guardan en servidores de la Unión Europea y de Estados Unidos, según la política de tratamiento.

Terminado el servicio, el encargado mantiene los datos 90 días para que el responsable los exporte, y después los suprime de sus sistemas activos y, en su ciclo normal, de las copias de respaldo. Si el responsable lo pide antes, los suprime antes, salvo lo que una ley obligue a conservar.

Rige mientras el responsable use el servicio y, para las obligaciones de confidencialidad y supresión, después de terminado.

La empresa puede usar este texto, en papel o en su formato, y conservar la firma o la constancia de aceptación. Es un modelo: la empresa lo adapta a su caso y responde por él.