Acuerdo de Tratamiento de Datos (DPA)

Versión 1.0 · Última actualización: 10 de agosto de 2026

Este Acuerdo de Tratamiento de Datos (el "DPA") forma parte integrante de los Términos y Condiciones del Servicio konecia y regula el tratamiento de datos personales que ANCER Network S.A. ("ANCER") realiza por cuenta de la Empresa-cliente (el "Cliente") al prestar el Servicio, conforme a la Ley 81 de 26 de marzo de 2019 y su reglamento (Decreto Ejecutivo 285 de 2021), y de manera compatible con otros regímenes aplicables al Cliente (RGPD, LGPD, Ley 1581 de 2012, entre otros).

1. Roles de las partes

• El Cliente es el Responsable del tratamiento (controlador): determina las finalidades, medios y alcance del tratamiento de los datos de sus Contactos.
• ANCER es el Custodio de la base de datos / Encargado del tratamiento (procesador): trata esos datos únicamente por cuenta y según las instrucciones documentadas del Cliente, incluidas las instrucciones impartidas mediante la configuración del Servicio.

Si ANCER determinara por sí mismo finalidades y medios respecto de ciertos datos (p. ej. datos de la cuenta del Cliente), actuaría como Responsable respecto de esos datos, regidos por la Política de Privacidad, no por este DPA.

2. Definiciones

Se emplean los términos de la Ley 81 (Responsable, Custodio, Encargado, titular, tratamiento, base de datos, dato sensible) y, cuando aplique al Cliente, sus equivalentes en el RGPD/LGPD (responsable/ controlador, encargado/procesador, interesado/titular). "Violación de seguridad" es todo incidente que provoque destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales.

3. Objeto, alcance y duración

ANCER tratará los datos personales descritos en el Anexo I exclusivamente para prestar el Servicio al Cliente. El tratamiento durará mientras esté vigente el contrato y hasta la supresión o devolución de los datos conforme a la cláusula 10.

4. Instrucciones del Cliente

ANCER tratará los datos solo conforme a las instrucciones documentadas del Cliente (este DPA, los Términos y el uso del Servicio). ANCER informará al Cliente si, a su juicio, una instrucción infringe la normativa de protección de datos aplicable. ANCER no tratará los datos para finalidades propias distintas de la prestación del Servicio.

5. Obligaciones de ANCER como Encargado

1. Confidencialidad: garantizar que el personal autorizado a tratar los datos esté sujeto a deber de confidencialidad.
2. Seguridad: aplicar las medidas técnicas y organizativas apropiadas descritas en el Anexo II y en la Política de Seguridad, conforme al artículo de seguridad de la Ley 81 y su reglamento, con atención reforzada a datos sensibles.
3. Subencargados: el Cliente autoriza de forma general el uso de los subencargados listados en el Anexo III. ANCER impondrá a cada subencargado obligaciones de protección equivalentes a las de este DPA y responderá de su cumplimiento. ANCER informará de cualquier alta o cambio de subencargado con antelación razonable, y el Cliente podrá oponerse por motivos fundados de protección de datos.
4. Asistencia: asistir razonablemente al Cliente, mediante medidas técnicas y organizativas, para: (i) atender el ejercicio de derechos de los titulares (acceso, rectificación, cancelación, oposición y portabilidad); (ii) garantizar la seguridad; (iii) notificar violaciones; y (iv) realizar evaluaciones de impacto o consultas a la autoridad cuando corresponda.
5. Derechos de los titulares: si ANCER recibe directamente una solicitud de un titular del Cliente, la remitirá al Cliente sin atenderla por su cuenta, salvo obligación legal.
6. Registro: llevar registro de las categorías de tratamiento realizadas por cuenta del Cliente.
7. Información y auditoría: poner a disposición del Cliente la información razonablemente necesaria para acreditar el cumplimiento de este DPA y permitir auditorías o inspecciones proporcionadas, con preaviso razonable, sujetas a confidencialidad y sin comprometer la seguridad de otros clientes.

6. Obligaciones del Cliente como Responsable

El Cliente garantiza que: (i) cuenta con base legal y, cuando proceda, con el consentimiento de los titulares para el tratamiento que instruye; (ii) sus instrucciones son lícitas; (iii) ha informado a sus Contactos conforme a la ley; y (iv) es responsable de la exactitud y licitud del Contenido que carga al Servicio.

7. Transferencias internacionales

Algunos subencargados (Anexo III) tratan datos fuera de Panamá. Dichas transferencias se amparan en las causas de la Ley 81 (consentimiento, ejecución del contrato, obligación legal o tratado) y, cuando aplique al Cliente, en los mecanismos del RGPD/LGPD. ANCER exigirá garantías adecuadas a los subencargados.

8. Violaciones de seguridad (notificación)

Al tener conocimiento de una violación de seguridad que afecte datos tratados por cuenta del Cliente, ANCER informará al Cliente sin dilación indebida y le proporcionará la información disponible para que el Cliente cumpla su deber de notificar a la ANTAI y a los titulares afectados dentro de las 72 horas siguientes a que conozca el incidente, conforme al Decreto Ejecutivo 285 de 2021. La información incluirá, en la medida de lo disponible: la naturaleza del incidente, las categorías y datos afectados, las medidas correctivas adoptadas, recomendaciones para los titulares y un punto de contacto. ANCER cooperará en la contención y remediación.

9. Personal y auxiliares

ANCER limitará el acceso a los datos al personal que lo requiera para prestar el Servicio, bajo confidencialidad y formación adecuadas.

10. Duración, supresión y devolución

Terminado el contrato, y a elección del Cliente, ANCER devolverá o suprimirá de forma segura los datos personales tratados por su cuenta y eliminará las copias existentes, salvo aquellas que deba conservar por obligación legal, durante el plazo estrictamente necesario y bajo las mismas medidas de seguridad. El Cliente dispondrá de un plazo razonable para exportar su Contenido antes de la supresión.

11. Responsabilidad

Cada parte responde por el incumplimiento de sus obligaciones bajo este DPA conforme a la ley aplicable y a la cláusula de responsabilidad de los Términos. Nada en este DPA limita la responsabilidad que la ley imponga de forma imperativa.

12. Ley aplicable

Este DPA se rige por las leyes de la República de Panamá, sin perjuicio de las normas imperativas de protección de datos que resulten aplicables al Cliente por razón de su establecimiento o de los titulares.

Anexo I — Detalles del tratamiento

• Objeto: prestación del Servicio de CRM conversacional omnicanal con IA.
• Naturaleza y finalidad: recepción, almacenamiento, organización, consulta, comunicación por canales, automatización, análisis y generación asistida por IA de mensajes, por cuenta del Cliente.
• Duración: la del contrato, más los plazos de supresión/conservación legal.
• Categorías de titulares: los Contactos del Cliente (clientes, prospectos, leads, destinatarios de campañas) y los Usuarios del Cliente.
• Categorías de datos: identificación y contacto (nombre, teléfono, correo, identificadores de canal como WhatsApp/Instagram/Messenger), contenido de las conversaciones y archivos adjuntos, metadatos de mensajería, datos de segmentación y de negocio que el Cliente decida incorporar, y datos de citas/agenda cuando se usen esas funciones.
• Datos sensibles: no requeridos por el Servicio; si el Cliente los incorpora, bajo su responsabilidad y con medidas reforzadas.

Anexo II — Medidas de seguridad

Ver la Política de Seguridad. En resumen: cifrado en tránsito (TLS) y cifrado en reposo de secretos y credenciales; aislamiento lógico estricto por tenant; control de acceso por roles y autenticación reforzada (MFA) para funciones administrativas; registro de auditoría de accesos cross-tenant; validación de firma e idempotencia en webhooks; respaldos cifrados fuera de sitio; monitoreo y respuesta a incidentes; y minimización del acceso del personal.

Anexo III — Subencargados autorizados

La lista vigente se mantiene actualizada y se comunican los cambios conforme a la cláusula 5.3.