Anexo de Encargado del Tratamiento de Datos Personales
Vigente desde 23 de septiembre de 2026
1. Preámbulo y objeto
Este Anexo es el contrato de transmisión de datos personales del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, que compiló el artículo 25 del Decreto 1377 de 2013.
Hace parte integral de los Términos y Condiciones de Uso de DEXORA y regula el tratamiento de los datos personales que el Cliente carga o hace tratar en la Plataforma —los de sus propios clientes, empleados, proveedores y terceros—.
Se celebra entre:
- IKISOFT AUTOMATIONS S.A.S., NIT [NIT], domiciliada en [DIRECCIÓN], Bosconia (Cesar), en adelante «DEXORA» o «el Encargado»; y
- el Cliente identificado en la orden de compra, en adelante «el Responsable».
El Cliente acepta este Anexo al contratar la Plataforma, y su aceptación se registra con fecha, hora y versión.
Objeto. DEXORA tratará, por cuenta y siguiendo las instrucciones del Responsable, los datos personales que éste y sus Usuarios carguen, generen o procesen en la Plataforma, con el único fin de prestar el servicio contratado.
El Responsable es y sigue siendo el Responsable del Tratamiento de esa información frente a los Titulares y frente a la Superintendencia de Industria y Comercio.
2. Alcance y finalidad del tratamiento
2.1 · Categorías de Titulares
Según los Módulos que el Responsable contrate, la Plataforma puede tratar datos de:
- Clientes y compradores del Responsable: POS, Facturación, Cartera, Restaurante/Bar, CRM.
- Proveedores del Responsable y sus contactos: Compras, Cuentas por Pagar, Tesorería.
- Empleados del Responsable: Usuarios de la Plataforma, Restaurante/Bar (meseros), Nómina.
- Terceros que aparezcan en documentos del Responsable: Facturación, Contabilidad.
2.2 · Categorías de datos
Identificación (nombre, tipo y número de documento), contacto (dirección, teléfono, correo), datos comerciales y de la operación (compras, consumos, saldos, mesas, pedidos), y datos laborales cuando el Responsable use el Módulo de Nómina.
Datos sensibles. El Módulo de Nómina puede alojar datos de salud de los empleados del Responsable. Esos datos son sensibles (artículo 5 de la Ley 1581) y su tratamiento exige del Responsable: autorización explícita del Titular, advertirle que no está obligado a autorizarla, e informarle cuáles datos son sensibles y para qué se usan. DEXORA no verifica ni puede verificar el contenido que el Responsable carga, y no asume responsabilidad por la falta de esas autorizaciones.
2.3 · Operaciones que DEXORA realiza
Almacenar, organizar, estructurar, consultar, actualizar, respaldar, sincronizar entre dispositivos, transmitir al Proveedor Autorizado cuando el Responsable emite un documento electrónico, poner a disposición del Responsable y sus Usuarios, exportar a petición del Responsable, y suprimir en los términos del numeral 8.
2.4 · Lo que DEXORA NO hace
DEXORA no:
1. Usa los datos del Responsable para finalidades propias.
2. Los vende, cede, arrienda ni comercializa.
3. Los cruza con los de otros Clientes ni con bases de terceros.
4. Los usa para entrenar modelos de inteligencia artificial.
5. Los comunica a terceros distintos de los subprocesadores del numeral 5, salvo orden de autoridad competente.
DEXORA podrá usar información agregada y disociada, que no permita identificar a ningún Titular ni a ningún Cliente, con fines estadísticos y de mejora del producto.
3. Obligaciones de DEXORA como Encargado
Conforme al artículo 18 de la Ley 1581 de 2012, DEXORA se obliga a:
1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio de su derecho de hábeas data, en coordinación con el Responsable.
2. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, conforme al numeral 4 de este Anexo.
3. Realizar oportunamente la actualización, rectificación o supresión de los datos, en los términos de la ley y a instrucción del Responsable.
4. Actualizar la información reportada por el Responsable dentro de los cinco (5) días hábiles contados desde su recibo.
5. Tramitar las consultas y reclamos formulados por los Titulares en los términos del numeral 6.
6. Registrar en la base de datos la leyenda «reclamo en trámite» cuando corresponda.
7. Insertar en la base de datos la leyenda «información en discusión judicial» una vez notificado por la autoridad competente.
8. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la SIC.
9. Permitir el acceso a la información únicamente a las personas que puedan tener acceso a ella.
10. Informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
11. Cumplir las instrucciones y requerimientos que imparta la SIC.
12. Tratar los datos únicamente conforme a las instrucciones del Responsable y abstenerse de usarlos para fines distintos.
13. No transferirlos ni transmitirlos a terceros distintos de los subprocesadores autorizados en el numeral 5.
14. Devolver o suprimir los datos al terminar la relación, conforme al numeral 8.
4. Seguridad
DEXORA aplica las medidas técnicas, humanas y administrativas descritas en el numeral 10 de su Política de Tratamiento de la Información y Datos Personales, que se entiende incorporada a este Anexo.
DEXORA informará al Responsable, sin demora injustificada y a más tardar dentro de las setenta y dos (72) horas siguientes a que tenga conocimiento de un incidente de seguridad que afecte a los datos personales de sus Titulares, con la información disponible sobre su naturaleza, alcance, consecuencias probables y medidas adoptadas, para que el Responsable pueda cumplir sus propios deberes de notificación.
5. Subprocesadores autorizados
El Responsable autoriza a DEXORA a apoyarse en los subprocesadores listados en el numeral 11 de la Política de Tratamiento de Datos Personales, publicada y actualizada en [DOMINIO]/subprocesadores.
DEXORA se obliga a:
1. Exigir a cada subprocesador obligaciones de confidencialidad y seguridad no inferiores a las de este Anexo.
2. Responder ante el Responsable por los actos de sus subprocesadores como si fueran propios.
3. Informar al Responsable, con al menos treinta (30) días de antelación, la incorporación o sustitución de un subprocesador que trate datos personales de sus Titulares. Si el Responsable se opone por motivos razonables y fundados en protección de datos, podrá terminar la suscripción sin penalidad y con devolución proporcional de lo pagado por el período no disfrutado.
Transferencia internacional. El Responsable reconoce y autoriza que, por la naturaleza del servicio, los datos se alojan y procesan en infraestructura ubicada fuera de Colombia, principalmente en Estados Unidos, país incluido en la lista de nivel adecuado de protección declarada por la SIC.
6. Atención de Titulares
1. Los Titulares ejercen sus derechos ante el Responsable, que es quien debe atenderlos y quien responde ante ellos y ante la SIC.
2. Si un Titular se dirige a DEXORA respecto de datos de la base del Responsable, DEXORA le trasladará la solicitud dentro de los dos (2) días hábiles siguientes, informará de ello al Titular, y no resolverá directamente.
3. DEXORA prestará al Responsable el apoyo técnico razonable para atender consultas, reclamos, actualizaciones, rectificaciones y supresiones, dentro de las funcionalidades de la Plataforma y sin costo adicional.
4. DEXORA informará al Responsable, sin demora, cualquier requerimiento que reciba de la SIC o de una autoridad judicial relativo a los datos de sus Titulares, salvo prohibición legal.
7. Obligaciones del Responsable
El Responsable declara y se obliga a:
1. Contar con la autorización previa, expresa e informada de los Titulares cuyos datos carga en la Plataforma, y conservar su prueba. DEXORA no verifica esas autorizaciones.
2. Tener y publicar su propia política de tratamiento de datos personales, y cumplir con ella.
3. Informar a los Titulares las finalidades del tratamiento y sus derechos.
4. Atender las consultas y reclamos de sus Titulares en los plazos legales.
5. Cargar únicamente los datos necesarios para las finalidades que persigue, y abstenerse de cargar datos sensibles sin el consentimiento reforzado del artículo 6 de la Ley 1581.
6. Administrar los Usuarios de su cuenta y retirar el acceso de quienes dejen de estar autorizados.
7. Registrar sus bases de datos ante el RNBD cuando esté obligado a ello.
8. Mantener indemne a DEXORA frente a reclamaciones de Titulares o sanciones derivadas del incumplimiento de estas obligaciones.
8. Devolución y supresión al terminar
1. Terminada la suscripción, el Responsable dispone de sesenta (60) días calendario para exportar sus datos desde la Plataforma, conforme a los Términos y Condiciones.
2. Vencido ese plazo, DEXORA suprimirá los datos personales tratados por cuenta del Responsable, salvo los que deba conservar por mandato legal —en particular la información con efectos tributarios y contable de las operaciones facturadas—, que permanecerán bloqueados y solo accesibles para atender requerimientos de autoridad.
3. A solicitud escrita del Responsable, DEXORA emitirá constancia de la supresión.
9. Auditoría
A solicitud escrita del Responsable, y no más de una vez al año, DEXORA entregará la información razonable que permita verificar el cumplimiento de este Anexo —descripción de medidas de seguridad, listado de subprocesadores y certificaciones vigentes si las hubiere—.
Este Anexo no concede al Responsable el derecho a auditar en sitio ni a acceder a la infraestructura.
10. Vigencia
Este Anexo rige mientras esté vigente la suscripción del Responsable y, respecto de las obligaciones de confidencialidad, seguridad y supresión, mientras DEXORA conserve datos personales tratados por su cuenta.
11. Ley aplicable
Este Anexo se rige por las leyes de la República de Colombia, en particular la Ley 1581 de 2012 y el Decreto 1074 de 2015, y se somete a lo dispuesto en el numeral 27 de los Términos y Condiciones.