Contrato de Encargo de Tratamiento de Datos Personales

01Definiciones

• Datos del Cliente: los datos personales de los contactos finales que el Cliente o sus agentes registran o reciben en Grupal.
• Contactos finales: las personas con las que el Cliente se comunica a través de Grupal, como prospectos, clientes o pacientes.
• Subencargado: el proveedor al que Grupal comunica Datos del Cliente para prestar el servicio.
• Vulneración: la pérdida, destrucción, robo, extravío, copia, uso, acceso, tratamiento, daño, alteración o modificación no autorizados de Datos del Cliente.

02Objeto del encargo

03Instrucciones del Cliente

1. Grupal tratará los Datos del Cliente solo conforme a las instrucciones del Cliente. Son instrucciones del Cliente:
   • este Contrato y los Términos;
   • la configuración que el Cliente haga de su organización, sus usuarios, sus agentes y sus formularios;
   • las solicitudes por escrito del Owner.
2. Si Grupal considera que una instrucción viola la ley, lo informará al Cliente y podrá abstenerse de ejecutarla.
3. Grupal no tratará los Datos del Cliente para fines propios. En particular, no los usará para entrenar modelos, ni para publicidad, ni los venderá.

04Obligaciones de Grupal

Grupal se obliga a:

1. tratar los Datos del Cliente únicamente para la finalidad de la sección 2;
2. aplicar las medidas de seguridad administrativas, técnicas y físicas descritas en la sección 9 y en la página de Seguridad;
3. guardar confidencialidad sobre los Datos del Cliente y exigirla por escrito a su personal y a sus subencargados, incluso después de terminado este Contrato;
4. no transferir los Datos del Cliente a terceros, salvo instrucción del Cliente o mandato de autoridad competente;
5. ayudar al Cliente a atender las solicitudes de derechos de sus contactos finales y a responder a las autoridades;
6. avisar al Cliente de las vulneraciones conforme a la sección 10;
7. suprimir los Datos del Cliente al terminar la relación, conforme a la sección 14.

05Obligaciones del Cliente

El Cliente se obliga a:

1. dar a sus contactos finales su propio aviso de privacidad;
2. contar con base legal para el tratamiento y obtener los consentimientos que exija la ley, incluido el consentimiento expreso y por escrito para datos sensibles;
3. dar instrucciones lícitas;
4. administrar los accesos de sus usuarios y proteger sus credenciales;
5. atender las solicitudes de derechos de sus contactos finales;
6. conservar, mediante la exportación, la información que la ley le obligue a mantener, antes de eliminarla de Grupal.

06Subencargados

1. El Cliente autoriza a Grupal a usar los subencargados de la lista publicada en Subencargados y ubicación de los datos.
2. Grupal avisará al Owner por correo y en esa página al menos 15 días naturales antes de agregar o sustituir un subencargado.
3. Si el Cliente tiene una objeción razonable relacionada con la protección de datos, podrá comunicarla en ese plazo. Si no se resuelve, podrá terminar el acuerdo sin penalización.
4. Grupal impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Contrato, y responde frente al Cliente por su cumplimiento.

07Servicios de cómputo en la nube

Grupal solo usa proveedores de cómputo en la nube que:

• tienen políticas de protección de datos acordes con la Ley;
• informan sobre sus propias subcontrataciones;
• no se atribuyen la titularidad de los datos;
• guardan confidencialidad;
• permiten conocer los cambios en sus condiciones;
• aplican medidas de seguridad adecuadas;
• garantizan la supresión de los datos al terminar el servicio;
• impiden el acceso a personas sin privilegios.

08Ubicación y remisiones internacionales

Los Datos del Cliente se alojan en Estados Unidos, en la infraestructura indicada en la página de Subencargados. El Cliente autoriza esas remisiones internacionales. Grupal aplicará a los datos remitidos las mismas garantías que este Contrato.

09Medidas de seguridad

Grupal mantendrá, como mínimo:

1. cifrado de los datos en tránsito y en reposo;
2. aislamiento de los datos de cada organización mediante políticas de seguridad a nivel de fila;
3. autenticación de dos pasos disponible para todos los usuarios;
4. control de acceso por roles;
5. bitácora de accesos y cambios a los datos de los contactos, para las organizaciones con el complemento Seguridad avanzada;
6. respaldos periódicos;
7. acceso restringido y registrado del personal de Grupal, conforme a la sección 12;
8. un procedimiento de respuesta a incidentes.

Grupal puede actualizar estas medidas siempre que no reduzca el nivel de protección.

10Vulneraciones de seguridad

1. Grupal avisará al Owner sin demora y, a más tardar, dentro de las 72 horas siguientes a confirmar una vulneración que afecte Datos del Cliente.
2. El aviso incluirá, en la medida en que se conozca:
   • la naturaleza de la vulneración;
   • los datos y las personas afectadas;
   • las medidas tomadas y las recomendadas;
   • un contacto para dar seguimiento.
3. Grupal cooperará con el Cliente para que este informe a sus contactos finales, como le exige la Ley. Le dará la información adicional conforme la vaya conociendo.

11Solicitudes de titulares y de autoridades

1. Si un contacto final dirige a Grupal una solicitud sobre sus datos, Grupal no la atenderá directamente. La turnará al Cliente dentro de los 5 días hábiles siguientes, siempre que pueda identificar al negocio.
2. El Cliente puede atender esas solicitudes desde la app: consultar, corregir, exportar y eliminar los datos del contacto.
3. Si una autoridad requiere Datos del Cliente, Grupal avisará al Cliente antes de entregarlos, salvo que la ley lo prohíba, y solo entregará lo estrictamente requerido.

12Acceso del personal de Grupal

El personal de Grupal solo accede a los Datos del Cliente en tres casos:

1. cuando un Owner o Admin lo autoriza para resolver una solicitud de soporte, y solo mientras dure esa solicitud;
2. cuando es necesario para atender un incidente de seguridad;
3. cuando lo exige la ley.

Cada acceso queda registrado. El personal con acceso firma obligaciones de confidencialidad y secreto profesional.

13Demostración de cumplimiento

A solicitud razonable del Cliente, y no más de una vez al año, Grupal le entregará información sobre sus medidas de seguridad y contestará cuestionarios de seguridad razonables. Las auditorías presenciales solo procederán en planes Enterprise, en los términos que se pacten por escrito.

14Devolución y supresión

1. Mientras la organización esté activa, el Cliente puede exportar todos sus datos desde la app.
2. Cuando el Owner elimina la organización, el Cliente tiene 14 días naturales para restaurarla. Después, Grupal suprime los Datos del Cliente de sus sistemas activos. Desaparecen de los respaldos a más tardar en 7 días.
3. Grupal no está obligada a conservar copias para el Cliente después de la supresión.
4. A solicitud del Owner, Grupal confirmará por escrito la supresión.

15Responsabilidad

La responsabilidad de cada parte se rige por las secciones 16 y 17 de los Términos. Si Grupal tratara los Datos del Cliente para una finalidad distinta de la instruida, asumirá para ese tratamiento la calidad de responsable y las obligaciones correspondientes.

16Vigencia y prevalencia

Este Contrato está vigente mientras lo estén los Términos y hasta la supresión de los Datos del Cliente. En lo relativo al tratamiento de los Datos del Cliente, prevalece sobre los Términos. El Anexo de Salud prevalece sobre ambos para las organizaciones de salud.