*Borrador para revisión de abogado colombiano*

**IALABS.APP · AGENTRIXLABS.COM.CO · S360.TECH — CORDOVA GROUP S.A.S.**

# Contrato de Transmisión de Datos Personales (DPA)

Para clientes empresa (B2B) — el cliente como **Responsable** y Cordova Group S.A.S. como **Encargado**

Versión 1.0 · Vigente desde el 22 de octubre de 2026 · Cordova Group S.A.S., NIT 901578119-7 · Sitios: ialabs.app (sitio principal), agentrixlabs.com.co y s360.tech

> *Borrador elaborado con base en la Ley 1581 de 2012, el Decreto 1074 de 2015, la Circular Externa 002 de 2024 de la SIC, la Ley 1480 de 2011, la Ley 2300 de 2023 y las políticas de Meta vigentes a octubre de 2026. Es material de trabajo, no asesoría legal: debe revisarlo un abogado colombiano antes de publicarlo o firmarlo. Los espacios en blanco se llenan con los datos de cada cliente al firmar.*

Entre los suscritos, por una parte **____________________**, identificada con NIT ____________________, representada legalmente por ____________________ (en adelante, "el Responsable" o "el Cliente"), y por otra **Cordova Group S.A.S.**, identificada con NIT 901578119-7, representada legalmente por Mateo Piza Ruiz, que opera las marcas ialabs.app y Soluciones 360 Technology (S360T) y los sitios web ialabs.app (sitio principal), agentrixlabs.com.co y s360.tech (en adelante, "el Encargado"), se celebra el presente Contrato de Transmisión de Datos Personales y Acuerdo de Encargo del Tratamiento, conforme a los artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015, los artículos 17 y 18 de la Ley 1581 de 2012 y, cuando aplique, el artículo 28 del Reglamento (UE) 2016/679 (RGPD).

## Consideraciones

1. El Cliente contrató, por cualquiera de los sitios o marcas del Encargado, el servicio de agentes de inteligencia artificial de texto y voz ialabs.app para atender a sus propios clientes y prospectos por canales como WhatsApp Business Platform, Instagram, Messenger, SMS y telefonía.

2. Para prestar el servicio, el Encargado debe tratar datos personales de los que el Cliente es Responsable, por cuenta y según instrucciones de este.

3. Las partes quieren regular ese tratamiento conforme a la ley colombiana y, cuando aplique, a las normas extranjeras de protección de datos.

## Cláusula 1. Objeto

El Encargado tratará los datos personales descritos en el Anexo A únicamente para prestar el servicio contratado, según las instrucciones documentadas del Responsable, incluidas las configuraciones que este realice en la plataforma y las instrucciones de datos de la Orden de Servicio.

## Cláusula 2. Obligaciones del Responsable

1. Contar con la **autorización previa, expresa e informada** de los titulares y con el **opt-in** que exigen las políticas de WhatsApp para cada categoría de mensaje y para llamadas, y conservar prueba de ellos.

2. Tener publicada una Política de Tratamiento de Datos que informe el uso de proveedores tecnológicos y de inteligencia artificial.

3. Dar instrucciones lícitas. No ordenar tratamientos contrarios a la Ley 1581 de 2012, la Ley 2300 de 2023, la Ley 1480 de 2011 ni a las políticas de Meta.

4. Configurar los agentes para que se identifiquen como inteligencia artificial, informen la grabación de llamadas y ofrezcan escalamiento a un humano.

5. Respetar, en todo contacto saliente, los horarios y límites de la Ley 2300 de 2023 y consultar el Registro de Números Excluidos de la CRC.

6. Atender los derechos de los titulares y reportar a la SIC los incidentes de seguridad dentro de los 15 días hábiles siguientes a su detección.

## Cláusula 3. Obligaciones del Encargado

1. Tratar los datos solo para prestar el servicio y según las instrucciones del Responsable. Si una instrucción le parece ilícita, lo informará y podrá abstenerse de ejecutarla.

2. **No usar los datos para fines propios**, no venderlos, no combinarlos con datos de otros clientes y **no usarlos para entrenar o mejorar modelos de IA propios o de terceros**, salvo instrucción escrita del Responsable que cumpla la ley y las políticas de Meta.

3. Garantizar la confidencialidad del personal con acceso a los datos.

4. Aplicar las medidas de seguridad del Anexo B y mantener segregados los datos de cada cliente.

5. Trasladar al Responsable, dentro de los 2 días hábiles siguientes, toda consulta o reclamo de titulares que reciba, y ofrecer herramientas para buscar, rectificar y suprimir datos o, a solicitud del Responsable, entregarlos en formato estructurado (JSON o CSV).

6. Asistir al Responsable en los estudios de impacto de privacidad exigidos por la Circular Externa 002 de 2024 de la SIC.

7. Cumplir los deberes del artículo 18 de la Ley 1581 de 2012.

## Cláusula 4. Subencargados

El Responsable autoriza de forma general a los subencargados del Anexo C, publicado y actualizado en https://ialabs.app/legal/subencargados. El Encargado avisará con **30 días** de anticipación cualquier nuevo subencargado. Los subencargados «en reserva» ya publicados en esa lista pueden activarse con aviso por correo, sin un nuevo plazo. Si un subencargado falla o una autoridad lo exige, el Encargado puede reemplazarlo de inmediato por otro de la lista y, si ninguno sirve, avisará dentro de los 5 días hábiles siguientes, con el mismo derecho de oposición. El Responsable podrá oponerse por razones fundadas de protección de datos y, si no se encuentra solución, terminar el servicio afectado sin penalidad. El Encargado impondrá a cada subencargado obligaciones equivalentes a las de este contrato y responderá por su incumplimiento.

Meta Platforms (WhatsApp, Instagram, Messenger) y los operadores de canal que el Responsable elija tratan los datos bajo sus propios términos aceptados por el Responsable. El Encargado actúa como proveedor de solución tecnológica y solo se integra con ellos.

## Cláusula 5. Transmisión internacional

El Responsable autoriza que los datos se traten en los países indicados en el Anexo C. **El Encargado aloja y trata los datos solo en Colombia, Estados Unidos y Estados de la Unión Europea**, países con nivel adecuado de protección según el numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la SIC (Circular Externa 005 de 2017). No los alojará ni los transmitirá a otro país sin instrucción escrita del Responsable y sin las garantías que exija la ley (artículo 26 de la Ley 1581 de 2012 y artículo 2.2.2.25.5.2 del Decreto 1074 de 2015). El tráfico puede pasar cifrado por nodos de la red de entrega de contenidos cercanos al usuario, sin almacenarse en ellos. Si se tratan datos sujetos al RGPD, se incorporan por referencia las Cláusulas Contractuales Tipo de la Decisión (UE) 2021/914 (Módulo 2 o 3, según corresponda) o se verifica la certificación del importador en el EU-US Data Privacy Framework. Para titulares sujetos a la ley del Reino Unido aplica el UK Addendum, y para titulares sujetos a la LGPD de Brasil, las cláusulas estándar de la ANPD, sin que los datos se alojen en esos países.

## Cláusula 6. Incidentes de seguridad

El Encargado notificará al Responsable cualquier incidente que afecte sus datos **sin dilación y a más tardar dentro de las 48 horas** siguientes a su confirmación. Indicará la naturaleza del incidente, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables y las medidas adoptadas. Cooperará para que el Responsable reporte a la SIC dentro de los 15 días hábiles y, cuando aplique, a otras autoridades (por ejemplo, 72 horas bajo el RGPD). Además, como Encargado, informará a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares (artículo 18, literal k, de la Ley 1581 de 2012), en coordinación con el Responsable y dentro del mismo plazo.

## Cláusula 7. Auditoría

El Encargado pondrá a disposición informes de auditoría independientes cuando existan (ISO/IEC 27001, SOC 2) y responderá cuestionarios de seguridad razonables. El Responsable podrá auditar una vez al año, con 30 días de aviso, a su costo y bajo confidencialidad, o en cualquier momento ante un incidente o un requerimiento de autoridad.

## Cláusula 8. Conservación, devolución y supresión

Durante el servicio los datos se conservan según la configuración del Responsable. Por defecto: conversaciones 12 meses, audio 90 días, transcripciones 12 meses y registros técnicos 12 meses (los de seguridad, hasta 24 meses). Al terminar el contrato, y a elección del Responsable, el Encargado devolverá los datos en formato estructurado (JSON o CSV, y audio en formato estándar) dentro de 30 días y luego los suprimirá en máximo 15 días hábiles, incluidos los índices vectoriales, y emitirá un certificado de supresión. Las copias de respaldo se eliminan al cumplir su ciclo de rotación (máximo 35 días) y permanecen aisladas mientras tanto.

## Cláusula 9. Responsabilidad

Cada parte responde por sus propios incumplimientos frente a los titulares y a las autoridades. La responsabilidad del Encargado por incumplir este contrato tendrá el tope especial de la sección C.3 del Acuerdo de Nivel de Servicio o, si este no se firmó, de la sección 18.2 de los Términos de Servicio (2 veces lo pagado en los 12 meses anteriores), con las excepciones de la sección C.4 de ese Acuerdo.

## Cláusula 10. Vigencia, prevalencia y ley aplicable

Este contrato rige mientras el Encargado trate datos por cuenta del Responsable. En materia de datos personales prevalece sobre los Términos y Condiciones. Se rige por la ley colombiana, sin perjuicio de las normas imperativas extranjeras aplicables.

## Anexo A. Descripción del tratamiento

| **Elemento** | **Descripción** |
|---|---|
| Titulares | Clientes, prospectos, pacientes, usuarios y cualquier persona que interactúe con los Agentes del Responsable o cuyos datos el Responsable cargue en la Plataforma |
| Datos | Identificación y contacto (nombre, número telefónico, correo, ciudad o dirección y, cuando el caso de uso lo requiera, documento de identidad); identificadores de canal (número y nombre de perfil de WhatsApp, identificadores de mensaje); contenido de conversaciones (texto, imágenes, documentos, audios, ubicación compartida y respuestas a botones); grabaciones de voz y transcripciones; metadatos (fecha, hora, duración, estado de entrega y lectura, errores); datos de agendamiento (citas, eventos de calendario y asistentes); datos comerciales (productos o servicios de interés, cotizaciones, pedidos, pagos reportados y etapa del prospecto según las reglas del Responsable); datos que el Responsable cargue en bases de conocimiento, hojas de cálculo, CRM o archivos; Datos de Plataforma de Meta y Datos de Usuario de Google, según los permisos que el Responsable autorice |
| Datos sensibles | No, por defecto. Si el caso de uso los implica (por ejemplo, datos de salud en clínicas y consultorios), el Responsable lo indica en la Orden de Servicio y declara contar con la autorización explícita del artículo 6 de la Ley 1581 de 2012. Los datos de salud solo se tratan con el «modo clínica» activo en los Agentes (mínimo de datos, sin diagnósticos ni historia clínica, y escalamiento de los temas médicos). Datos de niños, niñas y adolescentes: solo con instrucción escrita y conforme al artículo 7 de la misma ley |
| Operaciones | Recolección por canales, almacenamiento, procesamiento con modelos de IA, indexación para búsqueda semántica, transcripción, síntesis de voz, envío de mensajes y llamadas, sincronización con calendarios, correo y hojas de cálculo del Responsable, reportes y supresión |
| Finalidades | Las que el Responsable active en la Orden de Servicio, entre ellas: atención al cliente, ventas y seguimiento de prospectos, agendamiento y recordatorios de citas, notificaciones, encuestas de satisfacción, cobranza, soporte y escalamiento a asesores humanos, y reportes para el Responsable |
| Duración | Vigencia del servicio más el plazo de devolución |

## Anexo B. Medidas de seguridad

- Cifrado TLS 1.2 o superior en tránsito y AES-256 en reposo.

- Segregación lógica por cliente, con identificador de cliente y seguridad a nivel de fila.

- Gestión segura de llaves y secretos, separados de los datos, con rotación.

- Autenticación multifactor y principio de mínimo privilegio. El acceso del personal de soporte a los datos de un Cliente se limita a lo necesario y queda registrado.

- Registros de auditoría protegidos contra modificación, conservados 12 meses (los de seguridad, hasta 24 meses).

- Los Agentes no piden números completos de tarjetas, de cuentas financieras ni contraseñas.

- Gestión de vulnerabilidades y evaluación de seguridad anual.

- Copias de respaldo cifradas, plan de continuidad y capacitación del personal en seguridad y protección de datos.

## Anexo C. Subencargados

La lista vigente es la publicada en https://ialabs.app/legal/subencargados, que forma parte de este Anexo. A la fecha de firma comprende:

| **Subencargado** | **Servicio** | **Ubicación de los datos** | **Garantía** |
|---|---|---|---|
| OVHcloud | Servidor virtual (VPS) principal | Estados Unidos | DPA |
| Supabase | Base de datos administrada (Postgres) | Estados Unidos o Unión Europea | DPA |
| Cloudflare | Red de entrega de contenidos, túneles y almacenamiento de archivos (R2) | Archivos en Estados Unidos o Unión Europea; tránsito cifrado por su red | DPA |
| n8n | Automatización de flujos | Unión Europea | DPA |
| OpenAI | Modelos de lenguaje, sin entrenamiento | Estados Unidos | DPA |
| Anthropic | Modelos de lenguaje, sin entrenamiento | Estados Unidos | DPA |
| Groq | Modelos de lenguaje, sin entrenamiento | Estados Unidos | DPA |
| OpenRouter | Enrutador de modelos de lenguaje, solo con proveedores en Estados Unidos o la Unión Europea y sin entrenamiento | Estados Unidos | DPA |
| ElevenLabs | Voz: síntesis, transcripción, agentes de voz y voces clonadas con autorización | Estados Unidos | DPA |
| Twilio | Telefonía, SMS y grabación de llamadas | Estados Unidos | DPA |
| Resend | Correo transaccional | Estados Unidos | DPA |

En reserva, sin datos hasta su activación: Contabo (Alemania), AWS y Google Cloud (regiones de Estados Unidos o la Unión Europea).

Meta (WhatsApp Business Platform, Instagram y Messenger) y Google (Calendar, Gmail, Drive y Sheets) no son Subencargados: el Responsable conecta sus propias cuentas y acepta sus términos directamente (cláusula 4).

Las partes firman en la fecha y el lugar indicados junto a cada firma, de forma manuscrita o electrónica, con plena validez según la Ley 527 de 1999.

| **Por el Responsable (Cliente)** | **Por el Encargado** |
|---|---|
| Firma: ____________________ | Firma: ____________________ |
| Razón social: ____________________ | Razón social: Cordova Group S.A.S. |
| NIT: ____________________ | NIT: 901578119-7 |
| Representante legal: ____________________ | Representante legal: Mateo Piza Ruiz |
| C.C.: ____________________ | C.C.: ____________________ |
| Fecha y lugar: ____________________ | Fecha y lugar: ____________________ |

---

## Anexo interno — no publicar

*Para el equipo y el abogado revisor. Se elimina antes de publicar o firmar.*

### Cambios respecto a versiones anteriores

| Sección | Antes | Ahora | Motivo |
|---|---|---|---|
| Partes y firmas | [NOMBRE CLIENTE], [NIT CLIENTE], [NOMBRE], C.C. [ ], [CIUDAD], [FECHA] | Cordova Group S.A.S. y Mateo Piza Ruiz; espacios en blanco para el Cliente; firma manuscrita o electrónica con fecha y lugar por firma | Plantilla reutilizable con cada cliente |
| Cláusula 4 | [URL]/subencargados | https://ialabs.app/legal/subencargados | Contexto Maestro |
| Cláusula 5 | Países del Anexo C con nivel adecuado «o garantías contractuales equivalentes» | Solo Colombia, EE. UU. y UE; otro país, solo con instrucción escrita del Responsable y las garantías legales | Instrucción del fundador; coherencia con 09 §4.3 |
| Cláusula 8 | Supresión «luego» de los 30 días; registros técnicos 12 meses | Supresión en máximo 15 días hábiles; registros de seguridad hasta 24 meses | Reglas de consistencia |
| Anexo A | Lista corta de datos; datos sensibles y finalidades abiertos | Lista amplia (incluye Datos de Plataforma de Meta y Datos de Usuario de Google); datos sensibles «No» por defecto; finalidades según la Orden de Servicio | Instrucción del fundador; plan P07 |
| Anexo B | Registros de auditoría 12 meses | 12 meses; los de seguridad, hasta 24 | Reglas de consistencia |
| Anexo C | Proveedores genéricos entre corchetes | Lista de la 09 limitada a EE. UU. y UE; Meta y Google aparte; Hostinger (Brasil) fuera; la fila «base de datos vectorial» se elimina porque el índice vive en la infraestructura listada | Una sola fuente de verdad (09); instrucción del fundador |
| Encabezado y partes | Solo ialabs.app como sitio | Se nombran los tres sitios: ialabs.app (sitio principal), agentrixlabs.com.co y s360.tech | Instrucción del fundador: un solo paquete legal para los tres sitios, con ialabs.app como principal |
| Cl. 4, 5, 6, 9; Anexos A, B y C | Tope remitido a la 04; sin deber propio de reporte a la SIC; promesas de KMS, registros inmutables, pentest y redacción de tarjetas | Tope de 05 C.3 o 06 §18.2 con las excepciones de 05 C.4; reporte a la SIC por el Encargado (art. 18 lit. k); reglas de reserva y urgencia de la 09; «modo clínica» para salud; Anexo B ajustado a lo que se puede cumplir; Instagram y Messenger | Auditoría de consistencia (22) |

### Pendientes antes de firmar con el primer cliente

- [ ] **El Anexo B es una promesa contractual.** Antes de firmar con el primer cliente: MFA en todas las cuentas de administración (EIPD, A10), aislamiento por cliente probado (A2), llaves y secretos separados de los datos (18, B1) y registros protegidos contra modificación (18, B7).
- [ ] **Dapta:** mientras haya agentes de Clientes en Dapta, agregarlo al Anexo C y a la 09 con su ubicación y contrato, o terminar la migración antes de firmar.
- [ ] Confirmar la entidad y la región de Supabase (EE. UU. o UE).
- [ ] **Configurar los proveedores para que cumplan la promesa de ubicación:** OVHcloud y Supabase en EE. UU. o UE; R2 de Cloudflare con ubicación EE. UU. o UE; Anthropic con inferencia en «us»; OpenRouter solo con proveedores en EE. UU. o UE y sin respaldo automático a otros; Groq sin inferencia en sus centros de Canadá o Arabia Saudita [VERIFICAR si Groq permite fijarlo].
- [ ] Si se usa una base de datos vectorial externa, agregarla al Anexo C y a la 09.
- [ ] Las instrucciones del Responsable (plazos, audio, canales e integraciones) van en la sección de datos de la Orden de Servicio (documento 15); no hace falta un Anexo D.
- [ ] **Sitios coherentes con este documento:** agentrixlabs.com.co y s360.tech tienen hoy páginas /legal propias, y los datos estructurados (JSON-LD) de agentrixlabs.com.co dicen «Agentrix Labs · Mateo Piza Ruiz», con otro teléfono y otro correo. Cambiarlos para que digan Cordova Group S.A.S. y enlacen a ialabs.app.
- [ ] Confirmar que los tres dominios están registrados a nombre de Cordova Group S.A.S. (o cederlos a la sociedad), porque el documento dice que la sociedad los opera.
- [ ] Revisión del abogado.