Anexo Colombia: Contrato de Transmisión de Datos Personales

Colombia — ANX-CO: Contrato de Transmisión de Datos Personales

ID del documento: ANX-CO · Versión: 1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación]] Idioma: este texto en español es el auténtico. La versión en inglés (../annex-co.md) es una traducción de conveniencia. Se aplica a: las Clínicas establecidas en la República de Colombia. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.

1. Naturaleza y marco legal

1.1 Un contrato de transmisión. Este Anexo es el contrato de transmisión de datos personales exigido por el artículo 25 del Decreto 1377 de 2013, compilado en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 ("Decreto 1377"). Se celebra entre:

la Clínica, como Responsable del Tratamiento; y
VstreamX, como Encargado del Tratamiento,

conforme a la Ley Estatutaria 1581 de 2012 ("Ley 1581").

1.2 Efecto del contrato. Conforme al artículo 26 del Decreto 1377 (DUR 2.2.2.25.5.1), la transmisión de datos personales a un Encargado, dentro o fuera del territorio colombiano, no requiere ser informada al Titular ni contar con su consentimiento cuando exista este contrato.

2. Alcance del tratamiento

El tratamiento comprende los Datos de la Clínica descritos en el Apéndice 1 del MDPA, incluidos los datos sensibles de salud, de los Titulares allí enumerados. Se limita a la prestación de DentalX a la Clínica.

3. Actividades que el Encargado realiza por cuenta del Responsable

VstreamX realiza por cuenta de la Clínica las siguientes actividades, y ninguna otra:

alojamiento y almacenamiento;
cifrado por campo;
organización y consulta;
puesta a disposición de las funciones del Servicio para los Usuarios de la Clínica;
envío de correos electrónicos y mensajes de WhatsApp por instrucción de la Clínica;
redacción y lectura asistidas por IA a solicitud de un Usuario;
copia de seguridad y restauración;
exportación, anonimización y supresión por instrucción de la Clínica; y
soporte solicitado por la Clínica.

4. Compromisos del Encargado

Mediante este contrato, VstreamX se compromete a:

(a) dar aplicación a las obligaciones de la Clínica bajo la Política de Tratamiento de la información fijada por esta, que la Clínica pone a disposición de VstreamX a solicitud. Cuando esa política exija algo que el Servicio no pueda hacer, la Clínica lo comunicará a VstreamX y las Partes acordarán cómo abordarlo;
(b) realizar el tratamiento de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables;
(c) dar tratamiento, a nombre de la Clínica, a los datos conforme a los principios que los tutelan: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (Ley 1581, art. 4);
(d) salvaguardar la seguridad de las bases de datos en las que se contengan los datos (Apéndice 2 del MDPA); y
(e) guardar confidencialidad respecto del tratamiento de los datos (cláusula 5 del MDPA).

5. Deberes del Encargado conforme al artículo 18 de la Ley 1581

VstreamX, como Encargado:

(a) garantiza al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, a través de la Clínica (cláusula 7);
(b) conserva la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(c) realiza oportunamente la actualización, rectificación o supresión de los datos. El Servicio permite a la Clínica realizarlas por sí misma;
(d) actualiza la información reportada por la Clínica dentro de los 5 días hábiles siguientes a su recibo;
(e) tramita las consultas y los reclamos formulados por los Titulares en los términos de la Ley 1581, remitiéndolos a la Clínica y asistiéndola (cláusula 7);
(f) adopta un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581, en especial para la atención de consultas y reclamos [[TO CONFIRM: manual interno de políticas de VstreamX para Colombia adoptado antes de la publicación]];
(g) registra en la base de datos la leyenda "reclamo en trámite", en la forma que establece la reglamentación, cuando la Clínica así lo instruya;
(h) inserta en la base de datos la leyenda "información en discusión judicial" una vez notificado por la autoridad competente sobre procesos judiciales relacionados con la calidad del dato, cuando la Clínica así lo instruya;
(i) se abstiene de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio ("SIC");
(j) permite el acceso a la información únicamente a las personas que pueden tener acceso a ella;
(k) informa a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares. VstreamX también lo notifica a la Clínica conforme a la cláusula 8; y
(l) cumple las instrucciones y los requerimientos que imparta la SIC.

6. Destinos internacionales

6.1 La transmisión. Los Datos de la Clínica se transmiten a:

Canadá (VstreamX); y
los Estados Unidos y otros países donde operan los Subencargados (Apéndice 3 del MDPA).

6.2 Destinos reconocidos. Los Estados Unidos y Canadá figuran entre los destinos que la SIC reconoce como poseedores de un nivel adecuado de protección: los Estados Unidos expresamente, y Canadá como país declarado adecuado por la Comisión Europea (Circular Externa 005 de 2017, numeral 3.2, y sus modificaciones). En todo caso, la transmisión se realiza conforme a este contrato.

7. Solicitudes de los Titulares

7.1 Asistencia. VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud (cláusula 8 del MDPA). Esto permite a la Clínica responder:

las consultas dentro de los 10 días hábiles (Ley 1581, art. 14); y
los reclamos dentro de los 15 días hábiles (art. 15).

7.2 Solicitudes recibidas por VstreamX. VstreamX remite a la Clínica toda solicitud que reciba directamente dentro de los 2 días hábiles siguientes, e informa al Titular de que lo ha hecho.

8. Incidentes de seguridad

8.1 Aviso a la Clínica. VstreamX notifica a la Clínica dentro de las 24 horas siguientes a haber establecido un incidente de seguridad que afecte a los Datos de la Clínica (cláusula 9 del MDPA). Esto permite a la Clínica reportarlo a la SIC dentro de los 15 días hábiles siguientes a su conocimiento, a través del Registro Nacional de Bases de Datos (RNBD) o del canal que la SIC disponga.

8.2 Deber propio de VstreamX. Conforme al artículo 18(k) de la Ley 1581, VstreamX tiene un deber propio de informar a la SIC. VstreamX coordina su reporte con la Clínica sin retrasarlo. [[TO CONFIRM: procedimiento de reporte de incidentes de VstreamX ante la SIC y si reporta a través del RNBD como Encargado extranjero]]

9. Inteligencia artificial

VstreamX trata los Datos de la Clínica en las funciones de IA en consonancia con los principios de la Circular Externa 002 de 2024 de la SIC sobre el tratamiento de datos personales en sistemas de inteligencia artificial. En particular:

los datos se tratan solo por cuenta de la Clínica y a solicitud de un Usuario;
los resultados de la IA se etiquetan;
un profesional los revisa antes de basarse en ellos; y
los datos nunca se usan para entrenar modelos (cláusula 4.2(c) del MDPA).

10. Conservación e historia clínica

10.1 La obligación de la Clínica. La historia clínica debe conservarse por un mínimo de 15 años contados a partir de la fecha de la última atención (Resolución 1995 de 1999, modificada por la Resolución 839 de 2017). DentalX no suprime automáticamente las historias clínicas.

10.2 Al término del servicio. La exportación completa de la cláusula 14 del MDPA constituye la devolución de los datos. Permite a la Clínica cumplir esa obligación después de la supresión.

11. Registro

La inscripción de la Clínica. Cuando la Clínica deba inscribir sus bases de datos en el RNBD, es responsable de hacerlo.
La ayuda de VstreamX. VstreamX proporciona una ficha resumen con la información sobre el Encargado, sus Subencargados, los países de destino y las medidas de seguridad (cláusula 11.2 del MDPA).

12. Obligaciones de la Clínica

La Clínica es responsable de:

su Política de Tratamiento;
obtener la autorización previa, expresa e informada de cada Titular, incluida la relativa a datos sensibles. Esto incluye informar al Titular de que responder preguntas sobre datos sensibles es facultativo (Ley 1581, art. 6; Decreto 1377, art. 6), y DentalX proporciona la plantilla; y
atender las solicitudes de hábeas data.

13. Ley aplicable

La Ley 1581 y sus decretos reglamentarios se aplican al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA.

14. Cambio legislativo

Si la Ley 1581 es modificada o sustituida (incluso por el proyecto en trámite como PL 214 de 2025), VstreamX adaptará este Anexo conforme a la cláusula 18.4 del MDPA.

Puntos por confirmar antes de la publicación (Colombia)

La fecha de publicación.
El manual interno de políticas de VstreamX para Colombia, adoptado antes de la publicación (cláusula 5(f)).
El procedimiento de reporte de incidentes ante la SIC, y el canal que usa un Encargado extranjero (cláusula 8.2).