Acuerdo de encargo de tratamiento

1. Objeto y roles

El Responsable determina las finalidades y los medios del tratamiento de los datos de sus titulares (colaboradores, asegurados, estudiantes, asistentes u otros). El Custodio trata esos datos exclusivamente para prestar el servicio de emisión, gestión y verificación de credenciales digitales, siguiendo las instrucciones documentadas del Responsable.

2. Instrucciones del Responsable

Se consideran instrucciones documentadas: la configuración de plantillas y campos realizada por los administradores del Responsable, las cargas de datos, las órdenes de emisión, suspensión y revocación, y las solicitudes escritas dirigidas al Custodio. El Custodio informará al Responsable si considera que una instrucción infringe la Ley 81 de 2019.

3. Obligaciones del Custodio

• Tratar los datos únicamente conforme a este acuerdo y a las instrucciones del Responsable, y no para fines propios.
• Garantizar que el personal con acceso a los datos esté sujeto a un deber de confidencialidad que subsiste tras la terminación de la relación.
• Aplicar medidas técnicas y organizativas adecuadas: cifrado en tránsito, control de acceso por roles y organización, autenticación de dos factores, bitácora de auditoría con identificación de cada acceso, copias de seguridad diarias y pruebas de restauración.
• Informar al Responsable de todo incidente de seguridad que afecte a datos personales sin dilación y a más tardar en veinticuatro horas desde que tenga conocimiento, con la información necesaria para que el Responsable notifique a los titulares y a la ANTAI en el plazo legal de setenta y dos horas.
• Asistir al Responsable en la atención de los derechos de acceso, rectificación, cancelación, oposición y portabilidad, poniendo a su disposición herramientas de exportación y eliminación.
• Mantener un registro de las transferencias y accesos a los datos, disponible para el Responsable y para las autoridades competentes.
• Permitir auditorías del Responsable, de sus auditores y de los reguladores que le supervisen, con aviso razonable, incluido el acceso de lectura a los sistemas y bitácoras que traten sus datos.

4. Subencargados y transferencias internacionales

El Responsable autoriza al Custodio a utilizar los subencargados enumerados en la Política de privacidad para alojamiento, almacenamiento de archivos, envío de correos y emisión de pases de wallet. El Custodio informará con al menos treinta días de antelación de cualquier cambio de subencargado, y el Responsable podrá oponerse por motivos justificados.

Los datos se alojan fuera de la República de Panamá. El Custodio garantiza, mediante contrato con cada subencargado, un nivel de protección equivalente al exigido por el artículo 33 de la Ley 81 de 2019, y no realizará transferencias ulteriores sin autorización del Responsable.

5. Obligaciones del Responsable

• Contar con la base legal y, cuando corresponda, el consentimiento previo, expreso e informado de los titulares, en especial para datos sensibles.
• Informar a los titulares sobre el tratamiento y sobre esta relación de encargo.
• Cargar únicamente los datos necesarios para la finalidad de cada credencial y mantenerlos actualizados.
• Notificar a los titulares y a la ANTAI las violaciones de seguridad conforme a la ley.

6. Conservación y devolución

A la terminación del contrato, el Custodio devolverá al Responsable los datos en un formato estructurado de uso común y los eliminará de sus sistemas y copias de seguridad en un plazo máximo de noventa días, certificándolo por escrito, salvo que una obligación legal exija conservarlos. En ningún caso el Custodio comunicará datos identificables transcurridos siete años desde el fin de la relación.

7. Responsabilidad

Cada parte responde de los daños que cause por incumplimiento de sus obligaciones bajo la Ley 81 de 2019 y este acuerdo. El Custodio responde directamente ante la autoridad por los incumplimientos que le sean imputables.

8. Vigencia

Este acuerdo rige mientras el Custodio trate datos por cuenta del Responsable y subsiste en lo relativo a confidencialidad, devolución y eliminación tras la terminación del contrato. La aceptación electrónica de este acuerdo por un representante autorizado del Responsable al registrar la organización en Fesa ID tiene el valor probatorio previsto en la Ley 51 de 2008.