Acuerdo de encargo del tratamiento de datos

Última actualización: 20 de octubre de 2026

EspañolEnglishPortuguês

1. Objeto y partes

Este acuerdo forma parte de los Términos de Uso de BoviMonitor. Lo celebran el Cliente —el titular de la Cuenta—, como responsable del tratamiento, y Inversiones Anaguaya S.A.S., sociedad domiciliada en Barranquilla, Colombia (la «Compañía»), como encargada. Regula el tratamiento de los datos personales que forman parte del Contenido del Cliente (los «Datos del Cliente») que la Compañía realiza para prestar el servicio. Las palabras con mayúscula inicial tienen el significado que les dan los Términos de Uso.

Los datos de las cuentas y de los usuarios de los que la Compañía es responsable se rigen por la Política de Privacidad, no por este acuerdo.

Este acuerdo cumple la función del contrato de transmisión de datos personales de la norma colombiana (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015), del contrato de encargo del artículo 28 del Reglamento (UE) 2016/679 («RGPD») y de su equivalente del Reino Unido (UK GDPR), y del contrato con el operador que prevé el artículo 39 de la Ley 13.709 de 2018 de Brasil («LGPD»).

2. Instrucciones del Cliente

La Compañía trata los Datos del Cliente solo para prestar el servicio y según las instrucciones documentadas del Cliente, que son: los Términos de Uso, este acuerdo, y la configuración y el uso que el Cliente y sus Usuarios hacen de la Plataforma, incluido el plan que contrata, que fija cuánto se conservan las fotografías. Si a juicio de la Compañía una instrucción infringe la normativa de protección de datos, se lo informará al Cliente. El Cliente autoriza además a la Compañía a anonimizar los Datos del Cliente para obtener las cifras agregadas previstas en la sección 8 de los Términos de Uso, que no permiten identificar a nadie.

El Cliente garantiza que cuenta con una base legal para cargar los Datos del Cliente en la Plataforma y que informó a las personas a las que se refieren —en particular, a quienes trabajan en sus fincas— de que en ella se registran sus actividades, ubicaciones y fotografías.

3. Confidencialidad y seguridad

Las personas autorizadas por la Compañía para tratar los Datos del Cliente están obligadas a guardar confidencialidad. La Compañía aplica las medidas técnicas y organizativas del anexo 2 y las revisa periódicamente; puede cambiarlas siempre que el nivel de protección no disminuya.

4. Subencargados

El Cliente autoriza a la Compañía a recurrir a los subencargados del anexo 3. La Compañía le avisará con al menos 30 días de anticipación, por correo al titular de la Cuenta o con un aviso en la Plataforma, antes de agregar o reemplazar uno. El Cliente puede oponerse por motivos razonables de protección de datos; si las partes no llegan a un acuerdo, el Cliente puede terminar el servicio afectado, con efecto inmediato y sin penalidad. La Compañía impone a cada subencargado obligaciones de protección de datos equivalentes a las de este acuerdo y responde ante el Cliente por su cumplimiento.

5. Derechos de las personas

La Plataforma permite al Cliente consultar, corregir y exportar los Datos del Cliente, y eliminar a un Usuario o la Cuenta entera; con eso puede atender por sí mismo las solicitudes de las personas a las que se refieren. Si una de ellas se dirige a la Compañía por Datos del Cliente, la Compañía remitirá la solicitud al Cliente sin responderla por su cuenta, salvo que el Cliente se lo indique. Si el Cliente no puede atender una solicitud con las herramientas de la Plataforma, la Compañía lo ayudará en lo que sea razonable.

6. Brechas de seguridad

La Compañía notificará al Cliente toda brecha de seguridad que afecte los Datos del Cliente sin dilación indebida y, a más tardar, 48 horas después de conocerla. La notificación describirá, en la medida en que se conozca, la naturaleza de la brecha, las categorías y el número aproximado de personas y registros afectados, sus consecuencias probables y las medidas tomadas o propuestas, y se completará a medida que se obtenga más información.

7. Colaboración y auditorías

La Compañía pondrá a disposición del Cliente la información razonable que necesite para hacer evaluaciones de impacto, consultar a una autoridad de protección de datos y demostrar el cumplimiento de este acuerdo.

El Cliente puede auditar ese cumplimiento una vez al año, a su costo, con 30 días de aviso, en horario hábil y sin acceso a datos de otros clientes, por sí mismo o mediante un auditor independiente obligado a confidencialidad. La Compañía puede atenderla primero con documentación y respuestas escritas; la auditoría presencial procede si esas no bastan o si la ordena una autoridad.

8. Fin del servicio

Terminada la relación, los Datos del Cliente se conservan 90 días para que el Cliente pueda exportarlos, como dice la sección 13 de los Términos de Uso. Vencido ese plazo, la Compañía los elimina de forma permanente, salvo que la ley exija conservarlos. Las copias de seguridad que todavía los contengan se renuevan automáticamente en un plazo máximo de 90 días.

9. Transferencias internacionales

La Compañía está en Colombia y aloja los Datos del Cliente en Chile; algunos subencargados están en Estados Unidos (anexo 3).

  • Unión Europea y Espacio Económico Europeo. Cuando el RGPD se aplica a la transferencia de los Datos del Cliente a la Compañía, las partes celebran las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, módulo dos (de responsable a encargado), que se incorporan por referencia a este acuerdo con estas opciones: la cláusula 7 no se aplica; en la cláusula 9, la opción 2 (autorización general), con el aviso de 30 días de la sección 4; en la cláusula 11, sin la opción; en la cláusula 13, la autoridad de control es la del Estado miembro donde está establecido el Cliente o, si no lo está, la que corresponda según esa cláusula; en la cláusula 17, el derecho de Irlanda, y en la cláusula 18, los tribunales de Irlanda. Los anexos I, II y III de las cláusulas se completan con los anexos 1, 2 y 3 de este acuerdo.
  • Reino Unido. Cuando el UK GDPR se aplica a la transferencia, rige además el anexo de la Information Commissioner's Office para las transferencias internacionales (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, versión B1.0), cuyas tablas se completan con este acuerdo y sus anexos; ninguna de las partes puede darlo por terminado según su sección 19.
  • Brasil. Cuando la LGPD se aplica a la transferencia, las partes adoptan, en su totalidad y sin alteraciones, las cláusulas contractuales estándar del anexo II de la Resolución CD/ANPD n.º 19 de 2024, con el Cliente como exportador y la Compañía como importadora; la información que esas cláusulas piden se completa con este acuerdo y sus anexos.

Con los subencargados de Estados Unidos, la Compañía se apoya en el Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado está certificado y, si no, en las cláusulas contractuales tipo previstas en sus condiciones.

Si hay contradicción, prevalecen las cláusulas tipo sobre este acuerdo, y este acuerdo sobre los Términos de Uso en lo que se refiere a la protección de los Datos del Cliente.

10. Responsabilidad y vigencia

La responsabilidad de cada parte frente a la otra se rige por los Términos de Uso, sin perjuicio de lo que las cláusulas tipo disponen frente a las personas a las que se refieren los datos. Este acuerdo rige mientras la Compañía trate Datos del Cliente. Las consultas sobre él se atienden en privacidad@bovimonitor.com.

Anexo 1. Descripción del tratamiento

  • Personas a las que se refieren los datos: los Usuarios de la Cuenta —propietarios, administradores y quienes trabajan en las fincas— y otras personas que el Cliente registre en la Plataforma.
  • Categorías de datos: nombre, usuario, correo y teléfono de contacto; rol y fincas asignadas; registros de la operación con su fecha, su hora y quién los hizo; coordenadas GPS de los registros que las capturan; fotografías y anexos; identificadores técnicos de los teléfonos.
  • Categorías especiales de datos: la Plataforma no las pide, y el Cliente se compromete a no cargarlas.
  • Naturaleza del tratamiento: alojamiento, almacenamiento, sincronización con los teléfonos, cálculo de reportes, copias de seguridad y eliminación.
  • Finalidad: prestar el servicio contratado y el soporte.
  • Frecuencia y duración: continua, mientras dure la relación y durante los plazos de la sección 8. Mientras dura, el archivo de cada fotografía se conserva el plazo de su plan: un año con el plan Básico y cinco con el Todo incluido, contados desde el final del mes en que se tomó (sección 6 de la Política de Privacidad).

Anexo 2. Medidas técnicas y organizativas

  • Cifrado en tránsito: todas las conexiones van por HTTPS con TLS 1.2 o superior, y el navegador está obligado a usarlo (HSTS).
  • Cifrado en reposo: la base de datos, los archivos y sus copias están cifrados (AES-256) en Google Cloud.
  • Separación entre clientes: cada consulta se limita a la cuenta y las fincas de quien la hace, y las fotografías y los anexos solo se abren con una credencial propia de imágenes.
  • Acceso por roles: lo que ve y hace cada Usuario depende del rol que le asigna el Cliente.
  • Contraseñas: se guardan con Argon2id, nunca en texto legible.
  • Protección del ingreso: verificación contra accesos automatizados (Cloudflare en la web, Play Integrity en Android), límite de intentos por dirección IP y bloqueo de la cuenta durante 15 minutos después de 10 intentos fallidos.
  • Sesiones: el token de acceso vence a los 15 minutos; la llave de renovación cambia en cada uso y, si se detecta que alguien reutiliza una vieja, se revocan las de esa sesión. En la web, la llave vive en una cookie que el código de la página no puede leer, y la página solo ejecuta su propio código (política de seguridad de contenido).
  • Teléfonos: las credenciales se guardan en el almacén seguro de Android, y un teléfono perdido se puede bloquear desde la web. Desde la versión 0.0.1386, la aplicación queda fuera de la copia de seguridad de Android y de la transferencia de datos a otro teléfono.
  • Registros: qué partes de la Plataforma consulta cada cuenta, con fecha, hora y dirección IP, y los registros técnicos de cada petición, durante 30 días.
  • Copias de seguridad: diarias, con las 14 más recientes y recuperación a cualquier momento de los últimos 7 días.
  • Entornos y personal: producción, pruebas y desarrollo usan bases de datos separadas, cada una con su propio usuario; las credenciales se guardan en un gestor de secretos, el acceso a producción está restringido y cada despliegue a producción requiere una aprobación manual.

Anexo 3. Subencargados

  • Google Cloud (Google LLC): aloja la aplicación, la base de datos, las fotografías y los archivos en la región de Santiago de Chile, y los registros técnicos.
  • Zoho Corporation (servidores en Estados Unidos): envía los correos de la Plataforma, incluidas las alertas, que pueden contener Datos del Cliente.
  • Mapbox, Inc. (Estados Unidos): imágenes satelitales y miniaturas de mapas, en la web y en la aplicación Android. Recibe la dirección IP y las coordenadas de la zona que se muestra; en las miniaturas, también el contorno del lugar.
  • Esri (Environmental Systems Research Institute, Inc., Estados Unidos): imágenes satelitales en la web. Recibe la dirección IP y las coordenadas de la zona que se muestra.
  • Google LLC (Estados Unidos), con Google Maps Platform: miniaturas de mapas en la web. Recibe la dirección IP y el contorno del lugar.

Cloudflare, Inc. y Google LLC, con Play Integrity, protegen el ingreso a la Plataforma y no reciben Datos del Cliente.

Acuerdo de encargo del tratamiento — BoviMonitor