Saltar al contenido
Legal

Acuerdo de Tratamiento de Datos

Última actualización:

Este Acuerdo de Tratamiento de Datos (“Acuerdo” o “DPA”) forma parte de los Términos del Servicio entre IdeasCol, LLC (“Groveback”, “Encargado”) y el cliente que los aceptó (“Cliente”, “Responsable”). Aplica cuando Groveback trata Datos Personales del Cliente por cuenta de este. Al aceptar los Términos, el Cliente acepta este Acuerdo; no se requiere una firma aparte. Si necesitas una copia firmada por ambas partes, escribe a jairof@ideascol.com.

Este Acuerdo está diseñado para cumplir el artículo 28 del Reglamento General de Protección de Datos de la Unión Europea (RGPD) y del RGPD del Reino Unido, y es el contrato de transmisión de datos personales que exige el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 (antes artículo 25 del Decreto 1377 de 2013).

1. Definiciones

  • Normas de Protección de Datos: todas las normas sobre datos personales que apliquen al tratamiento, incluidos el RGPD, el RGPD del Reino Unido, la Ley Federal Suiza de Protección de Datos, la Ley 1581 de 2012 y sus decretos reglamentarios, y las leyes estatales de privacidad de EE. UU.
  • Datos Personales del Cliente: los datos personales contenidos en los Datos del Cliente (según se definen en los Términos) que Groveback trata por cuenta del Cliente para prestar el Servicio.
  • Subencargado: un tercero contratado por Groveback que trata Datos Personales del Cliente.
  • Incidente de Seguridad: una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o su comunicación o acceso no autorizados.
  • “Responsable”, “encargado”, “titular”, “dato personal” y “tratamiento” tienen el significado de la Ley 1581 de 2012 y, en lo que corresponda, del RGPD (“responsable” equivale a controller y “encargado” a processor).

2. Roles y alcance

El Cliente es el responsable de los Datos Personales del Cliente y Groveback su encargado. Cuando el Cliente es a su vez encargado de un tercero, Groveback es su subencargado, y el Cliente confirma que su responsable lo ha autorizado. Los detalles del tratamiento (objeto, duración, naturaleza, finalidad, tipos de datos y categorías de titulares) están en el Anexo 1.

Groveback trata como responsable los datos de las cuentas, la facturación y el uso del Servicio de sus propios clientes, según la Política de Privacidad; ese tratamiento queda fuera de este Acuerdo.

3. Instrucciones del Cliente

Groveback trata los Datos Personales del Cliente solo según sus instrucciones documentadas, que son: los Términos y este Acuerdo, la configuración y el uso que el Cliente haga del Servicio (incluso mediante el dashboard, la API, la CLI y el servidor MCP), y cualquier otra instrucción escrita que Groveback acepte. Groveback informará al Cliente si, a su juicio, una instrucción infringe las Normas de Protección de Datos, y podrá suspender ese tratamiento hasta que la instrucción se confirme o se modifique. Si la ley obliga a Groveback a tratar los datos de otra forma, se lo informará antes al Cliente, salvo que la ley lo prohíba.

4. Obligaciones del Cliente

El Cliente es responsable de contar con una base legal y, cuando se requiera, con la autorización previa, expresa e informada de los titulares para el tratamiento; de dar a los titulares los avisos que exige la ley, incluida su propia política de tratamiento de datos; de la veracidad de los Datos Personales del Cliente; y de la configuración que controla, incluidas las políticas de acceso, funciones, claves de API e integraciones. El Cliente no instruirá a Groveback para tratar datos sensibles ni datos de niñas, niños y adolescentes salvo que la ley lo permita y el Cliente cuente con las garantías exigidas.

5. Confidencialidad

Groveback garantiza que toda persona que autorice para tratar Datos Personales del Cliente está obligada a guardar confidencialidad, y solo da acceso a quienes lo necesitan para prestar, dar soporte o proteger el Servicio.

6. Seguridad

Groveback implementa y mantiene las medidas técnicas y organizativas del Anexo 2, teniendo en cuenta el estado de la técnica, los costos y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como sus riesgos. Groveback puede actualizar estas medidas siempre que no disminuya el nivel general de seguridad.

7. Subencargados

El Cliente otorga a Groveback una autorización general para contratar Subencargados. Los Subencargados actuales figuran en el Anexo 3.

  • Groveback impone a cada Subencargado, mediante contrato escrito, obligaciones de protección de datos que ofrezcan al menos el mismo nivel de protección que este Acuerdo, y sigue siendo responsable ante el Cliente por el cumplimiento de sus Subencargados.
  • Groveback anunciará cualquier Subencargado nuevo o de reemplazo actualizando el Anexo 3 y avisando al Cliente por correo o en el dashboard al menos 15 días antes de que empiece a tratar Datos Personales del Cliente.
  • El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo, escribiendo a jairof@ideascol.com. Las partes discutirán la objeción de buena fe. Si no logran resolverla, el Cliente podrá terminar la parte afectada del Servicio y recibir el reembolso de lo pagado por anticipado por el periodo restante.

Los servicios de terceros que el Cliente decida conectar a un proyecto (por ejemplo GitHub, Vercel, proveedores de correo o mensajería, o un proveedor de IA con la clave propia del Cliente) no son Subencargados de Groveback; el Cliente los contrata directamente.

8. Solicitudes de los titulares

Teniendo en cuenta la naturaleza del tratamiento, Groveback ayudará al Cliente a atender las solicitudes de los titulares que ejerzan sus derechos, principalmente con herramientas del Servicio para encontrar, exportar, corregir y eliminar datos. Si Groveback recibe una solicitud directamente, remitirá al titular al Cliente y no la responderá por sí misma salvo que el Cliente lo autorice o la ley lo exija.

9. Incidentes de Seguridad

Groveback notificará al Cliente sin demora indebida, y en todo caso dentro de las 48 horas siguientes a tener conocimiento de un Incidente de Seguridad que afecte Datos Personales del Cliente. La notificación incluirá, en lo que se sepa: la naturaleza del incidente, las categorías y el número aproximado de titulares y registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas. Groveback tomará medidas razonables para contener y remediar el incidente y cooperará con el Cliente para que cumpla sus propias obligaciones de reporte ante las autoridades (incluida la SIC en Colombia) y los titulares. Notificar un incidente no implica reconocer culpa.

10. Asistencia

Groveback prestará asistencia razonable al Cliente, con la información de que disponga, en las evaluaciones de impacto de protección de datos y las consultas previas a las autoridades de control relacionadas con el Servicio.

11. Devolución y eliminación

El Cliente puede exportar y eliminar los Datos Personales del Cliente con el Servicio en cualquier momento. Al terminar los Términos, el Cliente tiene 30 días para exportarlos. Después, Groveback los elimina de sus sistemas activos dentro de los 30 días siguientes, y de las copias de respaldo a medida que estas roten, salvo que la ley obligue a Groveback a conservarlos, en cuyo caso los mantendrá confidenciales y los tratará solo para ese fin.

12. Auditorías

Groveback pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, incluidas respuestas escritas a cuestionarios de seguridad. Si esa información no basta para cumplir un requisito de las Normas de Protección de Datos o de una autoridad de control, el Cliente podrá auditar a Groveback como máximo una vez al año, con al menos 30 días de aviso, en horario laboral, a su costo, mediante un auditor independiente obligado a confidencialidad y sin acceso a datos de otros clientes.

13. Transferencias internacionales

Groveback y sus Subencargados pueden tratar los Datos Personales del Cliente en los países indicados en el Anexo 3.

  • Colombia: este Acuerdo es el contrato de transmisión que exige la ley colombiana. Groveback, como encargado, se obliga a tratar los Datos Personales del Cliente solo para las finalidades del Anexo 1 y conforme a la política de tratamiento de datos del Cliente, a mantenerlos seguros y confidenciales y a cumplir la Ley 1581 de 2012.
  • Espacio Económico Europeo: en la medida en que el Cliente transfiera Datos Personales del Cliente desde el EEE a Groveback en un país sin decisión de adecuación, se incorporan a este Acuerdo las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión: el Módulo Dos (de responsable a encargado) y, cuando el Cliente sea encargado, el Módulo Tres (de encargado a encargado). Para esos efectos: aplica la cláusula 7 (adhesión); en la cláusula 9 aplica la opción 2 (autorización general) con el plazo de aviso de la sección 7 de este Acuerdo; no aplica el texto opcional de la cláusula 11; en las cláusulas 17 y 18 aplican la ley y los tribunales de Irlanda; y los Anexos I, II y III de las cláusulas se completan con los Anexos 1, 2 y 3 de este Acuerdo.
  • Reino Unido: para transferencias desde el Reino Unido se incorpora el Addendum de Transferencia Internacional de Datos emitido por el Comisionado de Información del Reino Unido, completado con la información de este Acuerdo.
  • Suiza: para transferencias desde Suiza aplican las cláusulas anteriores, con el Comisionado Federal Suizo de Protección de Datos e Información como autoridad competente y la Ley Federal Suiza de Protección de Datos en lugar del RGPD cuando corresponda.

Si esas cláusulas contradicen este Acuerdo, prevalecen las cláusulas.

14. Responsabilidad y prelación

La responsabilidad de cada parte bajo este Acuerdo está sujeta a las limitaciones de los Términos, en la medida en que las Normas de Protección de Datos lo permitan. Si este Acuerdo contradice los Términos, prevalece este Acuerdo en materia de protección de datos. Este Acuerdo rige mientras Groveback trate Datos Personales del Cliente.

Anexo 1: Detalles del tratamiento

  • Partes: el Cliente (exportador de datos, responsable o encargado), titular de la cuenta identificado en el Servicio. Groveback (importador de datos, encargado): IdeasCol, LLC, 131 Continental Dr, Suite 305, Newark, DE 19713, United States, contacto jairof@ideascol.com.
  • Objeto y naturaleza: alojamiento, almacenamiento, recuperación, consulta, indexación (incluidos embeddings vectoriales), transmisión, respaldo y eliminación de los Datos del Cliente, y la ejecución sobre ellos de las funciones del Cliente, para prestar el Servicio.
  • Finalidad: prestar, proteger y dar soporte al Servicio según los Términos y las instrucciones del Cliente.
  • Duración: la vigencia de los Términos, más los plazos de exportación y eliminación de la sección 11.
  • Frecuencia: continua.
  • Categorías de titulares: las que defina el Cliente; normalmente los usuarios finales de sus aplicaciones y su propio personal y miembros de su espacio de trabajo.
  • Tipos de datos personales: los que defina el Cliente; normalmente datos de identificación y contacto (nombre, correo, ID de usuario), datos de autenticación (hashes de contraseña, identificadores OAuth, datos de sesión), archivos y contenido subidos por los usuarios finales, y datos de uso generados por sus aplicaciones.
  • Datos sensibles: ninguno, salvo que el Cliente decida otra cosa según la sección 4.
  • Conservación: la que configure el Cliente, y lo descrito en la sección 11.
  • Transmisiones a Subencargados: las indicadas en el Anexo 3, para las finalidades allí descritas.

Anexo 2: Medidas técnicas y organizativas

  • Cifrado: los datos en tránsito entre los clientes y el Servicio se cifran con TLS. Los secretos que guarda el Cliente, como credenciales de integraciones y claves de proveedores de IA, se cifran en reposo con AES-256-GCM y nunca se devuelven al dashboard, al código de las funciones ni a las exportaciones.
  • Autenticación: las contraseñas de usuarios finales y miembros se guardan con hash argon2id. Las sesiones usan tokens firmados con vencimiento. Las claves de API están limitadas a un solo proyecto.
  • Autorización: el acceso a los datos de un proyecto depende de permisos explícitos. El plano de datos está cerrado por defecto: una colección es inaccesible para quienes no son administradores hasta que el Cliente agrega una política, y las políticas se aplican en el servidor en cada solicitud.
  • Aislamiento: los datos de cada proyecto están separados lógicamente. Las funciones del Cliente se ejecutan en un worker aislado sin credenciales de base de datos ni secretos, y solo llegan a los datos mediante un puente controlado por el servidor que aplica los permisos de quien llama.
  • Registro y monitoreo: las acciones administrativas quedan en un registro de auditoría por proyecto. El uso se mide y se limita por plan para proteger la plataforma.
  • Control de acceso del personal: el acceso a los sistemas de producción se limita a quienes lo necesitan, se protege con autenticación fuerte y se revoca cuando deja de ser necesario.
  • Desarrollo seguro: los cambios de código pasan por pruebas automatizadas, verificación de tipos y umbrales de cobertura antes de publicarse; las dependencias tienen versión fija.
  • Respuesta a incidentes: los Incidentes de Seguridad se gestionan según la sección 9; las vulnerabilidades pueden reportarse a jairof@ideascol.com.
  • Minimización y eliminación: el Cliente controla lo que guarda y puede exportarlo y eliminarlo en cualquier momento; la eliminación sigue la sección 11.

Anexo 3: Subencargados

Groveback usa los siguientes Subencargados para prestar el Servicio. Algunos solo intervienen cuando una función está activa o se usa.

Subencargado Finalidad Datos Ubicación
Civo Ltd. Infraestructura en la nube: el clúster de Kubernetes que ejecuta la API, las bases de datos (MongoDB y Redis), el almacenamiento de archivos, las funciones y el tiempo real Todos los Datos del Cliente guardados en la plataforma Nueva York, Estados Unidos (NYC1)
Civo Ltd. (almacenamiento de objetos) Copias de respaldo nocturnas de las bases de datos y archivos, guardadas fuera del clúster Copias de los Datos del Cliente Nueva York, Estados Unidos (NYC1)
Stripe, Inc. Pagos, suscripciones y facturación de planes pagos Nombre, correo y datos de facturación del titular de la cuenta; no Datos del Cliente Estados Unidos
Resend Correo transaccional: verificación, restablecimiento de contraseña, invitaciones y avisos Correo del destinatario y contenido del mensaje Estados Unidos
Anthropic, PBC Modelo de IA del asistente del dashboard y de las respuestas de bases de conocimiento (cuando se usan) Instrucciones y el contexto del proyecto necesario para responderlas Estados Unidos
OpenAI Modelo de IA y embeddings de texto para el asistente, las bases de conocimiento y la búsqueda vectorial (cuando se usan) Instrucciones, contexto del proyecto, texto a vectorizar Estados Unidos
Google LLC (API de Gemini) Modelo de IA del asistente del dashboard (cuando se usa) Instrucciones y el contexto del proyecto necesario para responderlas Estados Unidos
Voyage AI (MongoDB, Inc.) Embeddings de texto para bases de conocimiento y búsqueda vectorial (cuando se usan) Texto a vectorizar Estados Unidos
Vercel Inc. Alojamiento de groveback.com y docs.groveback.com Direcciones IP y registros de solicitudes de los visitantes; no Datos del Cliente Estados Unidos

Última actualización: 2026-10-17. Para recibir avisos de cambios, ver la sección 7.