Acuerdo de Tratamiento de Datos Personales (DPA) de NoCodeCrud

Versión 1.0 · Vigente desde 2026-10-01

Este Acuerdo forma parte de los Términos y Condiciones entre NoCodeCrud (el "Encargado") y el Cliente (el "Responsable"). Aplica al tratamiento de datos personales contenidos en el Contenido del Cliente. Se redacta conforme a la Ley 1581 de 2012, el Decreto 1377 de 2013 (art. 25, compilado en el Decreto 1074 de 2015), el art. 28 del GDPR y, para residentes de California, la CCPA/CPRA (el Encargado actúa como "service provider").

1. Objeto, duración y naturaleza del tratamiento

1.1. Objeto: prestación de la Plataforma NoCodeCrud (lectura, escritura, visualización, automatización y asistencia con IA sobre las bases de datos que el Responsable conecta). 1.2. Duración: mientras exista la relación contractual y el plazo de devolución o eliminación previsto en la cláusula 11. 1.3. Naturaleza y finalidad: alojamiento, consulta, transmisión, almacenamiento transitorio y temporal (caché), registro de auditoría, ejecución de flujos de trabajo y funciones de IA, exclusivamente para ejecutar el servicio contratado. 1.4. Tipos de datos: los que el Responsable decida conectar o cargar. Categorías habituales: identificación y contacto, datos comerciales y transaccionales, datos de usuarios finales. Los datos sensibles o de menores solo pueden tratarse bajo las condiciones de la cláusula 12. 1.5. Titulares: clientes, empleados, usuarios finales y otras personas cuyos datos el Responsable trate en sus bases de datos.

2. Instrucciones del Responsable

2.1. El Encargado tratará los datos únicamente según las instrucciones documentadas del Responsable, que son: estos Términos, este DPA, la configuración que el Responsable establezca en la Plataforma y las solicitudes razonables adicionales por escrito. 2.2. El Encargado informará si considera que una instrucción infringe la ley. 2.3. El Encargado no tratará los datos para fines propios, no los venderá, no los compartirá para publicidad de comportamiento ni los combinará con otros datos, salvo lo permitido por ley.

3. Obligaciones del Responsable

El Responsable declara y garantiza que cuenta con base legal y autorizaciones necesarias, que informó a los titulares, que tiene derecho a encargar el tratamiento, que cumple los deberes de inscripción (RNBD) y de atención de derechos, y que las instrucciones que da son lícitas.

4. Confidencialidad y personal

El Encargado garantiza que las personas autorizadas a tratar los datos están sujetas a deber de confidencialidad y reciben formación adecuada, con acceso limitado a lo necesario.

5. Seguridad

El Encargado aplica las medidas del Anexo A, proporcionales al riesgo, y las revisa periódicamente. El Responsable es responsable de la seguridad de sus propias bases de datos, de las credenciales que entrega y de la configuración de perfiles y permisos.

6. Subencargados

6.1. El Responsable autoriza de forma general la contratación de los subencargados del Anexo B. 6.2. El Encargado avisará de cualquier incorporación o sustitución con al menos 15 días de antelación (por correo o aviso en la Plataforma). El Responsable podrá oponerse por motivos razonables y legítimos de protección de datos dentro de ese plazo; si no se llega a una solución, podrá terminar el servicio afectado sin penalidad por el periodo no consumido. 6.3. El Encargado impone a los subencargados obligaciones equivalentes y responde frente al Responsable por su cumplimiento.

7. Transferencias y transmisiones internacionales

Las transmisiones a subencargados fuera de Colombia se realizarán con las garantías del art. 26 de la Ley 1581 de 2012 y, para datos del EEE/Reino Unido, con las Cláusulas Contractuales Tipo (Módulo 2: Responsable a Encargado; Módulo 3 cuando el Responsable sea a su vez Encargado), que se incorporan por referencia, o con otro mecanismo válido de transferencia.

8. Asistencia al Responsable

El Encargado asistirá al Responsable, con medidas técnicas y organizativas razonables, para: (a) atender solicitudes de titulares (si recibe una solicitud directa, la trasladará sin demora y no responderá salvo instrucción); (b) cumplir sus obligaciones de seguridad, notificación de incidentes, evaluaciones de impacto y consultas previas a la autoridad; (c) proporcionar información necesaria para demostrar cumplimiento. La asistencia que exija un esfuerzo extraordinario podrá ser cobrada a tarifas razonables.

9. Notificación de incidentes

El Encargado notificará al Responsable, sin dilación indebida y a más tardar dentro de las 72 horas de tener conocimiento de una violación de seguridad que afecte datos personales del Responsable, indicando, en lo posible: naturaleza del incidente, categorías y número aproximado de titulares y registros, consecuencias probables, medidas adoptadas y punto de contacto. El Responsable decide si notifica a la autoridad (SIC, autoridad europea) y a los titulares; el Encargado colaborará.

10. Auditoría

El Responsable puede solicitar información y, una vez al año (o tras un incidente), una auditoría razonable por escrito, con aviso previo de 30 días, en horario hábil, sin afectar a otros clientes, bajo confidencialidad y a su costo. El Encargado podrá satisfacer la solicitud con informes de terceros, certificaciones o cuestionarios de seguridad.

11. Devolución y eliminación

Al terminar el servicio, el Responsable dispone de 30 días para exportar los datos y metadatos que se almacenen en la Plataforma. Luego, el Encargado eliminará o anonimizará de forma segura los datos personales y las credenciales de conexión, salvo que la ley exija conservarlos, y certificará la eliminación si el Responsable lo solicita por escrito. Las copias de seguridad se purgan en su ciclo de rotación (hasta 35 días). Las bases de datos conectadas pertenecen al Responsable y no son eliminadas por el Encargado.

12. Datos sensibles y de menores

El Responsable no conectará datos sensibles ni de menores sin informar previamente al Encargado, sin base legal y autorización específica, y sin evaluar que las medidas del Anexo A resultan suficientes. NoCodeCrud puede negarse a tratar datos de categorías especiales o exigir medidas adicionales.

13. Datos de Estados Unidos (CCPA/CPRA)

El Encargado actúa como "service provider": no vende ni comparte la información personal, no la retiene, usa o divulga fuera de la relación comercial directa ni para fines distintos de los servicios acordados, no la combina con datos de otras fuentes salvo lo permitido, notificará si no puede cumplir sus obligaciones y permitirá al Responsable tomar medidas razonables para detener y remediar usos no autorizados.

14. Responsabilidad

La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones de los Términos, sin afectar los derechos de los titulares ni las responsabilidades que la ley imponga directamente.

15. Prelación y ley aplicable

En caso de conflicto sobre datos personales prevalece este DPA sobre los Términos. Se rige por la ley colombiana, salvo las normas imperativas aplicables a los titulares (por ejemplo, GDPR) y las Cláusulas Contractuales Tipo, que se rigen por las leyes allí previstas.

Anexo A. Medidas técnicas y organizativas

• Cifrado en tránsito: HTTPS/TLS entre navegador y Plataforma; el cifrado entre Plataforma y base de datos del Responsable depende de que éste lo habilite.
• Cifrado en reposo de secretos: las contraseñas de conexión a bases de datos se almacenan cifradas con AES; la clave se mantiene fuera de la base de datos de metadatos.
• Autenticación y sesiones: contraseñas con hash; cookies HttpOnly/Secure/SameSite; token de acceso de 15 minutos y token de actualización revocable; protección antiforgery.
• Aislamiento: segregación lógica por empresa (identificador de tenant) en datos y caché; reglas de aislamiento configurables para usuarios finales.
• Control de acceso: perfiles y permisos por módulo y opción; principio de mínimo privilegio para personal interno; acceso a credenciales registrado.
• Auditoría y trazabilidad: registros de cambios con usuario, hora e IP; registros de errores; registros de ejecuciones de flujos y de IA.
• Integraciones: tokens firmados con claves por empresa para incrustación; protección contra solicitudes salientes hacia redes internas; límites de frecuencia y de tamaño de carga.
• Disponibilidad: caché con invalidación fina, monitoreo de salud, copias de seguridad de metadatos y rotación.
• Gestión de vulnerabilidades y cambios: configuración sensible fuera del código; despliegues controlados; ofuscación del código cliente en producción.
• Personal y proveedores: confidencialidad; evaluación y contratos con subencargados.
• Respuesta a incidentes: procedimiento de detección, contención, análisis y notificación.

Anexo B. Subencargados autorizados

La lista definitiva debe ser confirmada y mantenida por NoCodeCrud antes de la publicación.