Acuerdo de Tratamiento de Datos Personales (Encargado)
Entre el Cliente (Responsable) y NTC CAPITAL HOLDING S.A.S. – NexToCloud (Encargado) Versión: 1.1 · Vigencia desde: 26 de junio de 2026 · Última actualización: 21 de agosto de 2026
Este Acuerdo forma parte integral de los Términos y Condiciones y del contrato de suscripción. Regula el tratamiento que NexToCloud realiza sobre los datos personales que el Cliente carga a la Plataforma, incluidos los datos de sus pacientes y usuarios finales.
1. Partes y roles
- EL CLIENTE ("Responsable"): la empresa o profesional que contrata la Plataforma y que decide las finalidades y medios del tratamiento de los datos de sus pacientes o usuarios finales.
- NTC CAPITAL HOLDING S.A.S. ("Encargado" o "NexToCloud"), NIT 902.096.121-7, Bogotá D.C., Colombia: provee la Plataforma y trata los datos por cuenta y bajo instrucción del Responsable.
Para todos los efectos de la Ley 1581 de 2012: el Cliente es Responsable y NexToCloud es Encargado.
2. Objeto
NexToCloud tratará datos personales suministrados o generados por el Cliente con el único fin de prestar los servicios contratados (alojamiento, procesamiento, mensajería, agenda, voz, soporte y funciones de los módulos), conforme a las instrucciones documentadas del Cliente y a la ley aplicable.
3. Categorías de datos y titulares
| Titulares | Categorías de datos (según módulos contratados) |
|---|---|
| Pacientes / usuarios finales del Cliente | Identificación, contacto, datos de citas, mensajes, y —cuando el módulo de salud lo requiera— datos sensibles de salud estrictamente necesarios. |
| Personal y usuarios del Cliente | Identificación, contacto, rol, registros de actividad. |
El alcance exacto depende de los módulos efectivamente activados por el Cliente.
4. Obligaciones del CLIENTE (Responsable)
El Cliente declara y garantiza que:
a) Cuenta con la autorización válida de cada titular para el tratamiento de sus datos, incluida la autorización expresa para datos sensibles (salud) cuando aplique. b) Ha entregado a sus titulares el aviso de privacidad correspondiente (puede usar la plantilla provista por NexToCloud). c) Define las finalidades del tratamiento y la licitud de los datos que carga. d) Atiende, como Responsable, las consultas y reclamos de sus propios titulares. e) No cargará datos para los que carezca de autorización o habilitación legal.
El incumplimiento de estas garantías es de exclusiva responsabilidad del Cliente y lo obliga a mantener indemne a NexToCloud.
5. Obligaciones de NEXTOCLOUD (Encargado)
NexToCloud se obliga a:
a) Tratar los datos únicamente conforme a las instrucciones documentadas del Cliente y no usarlos para fines propios. b) Garantizar confidencialidad y exigir compromisos de confidencialidad a su personal y subprocesadores. c) Implementar medidas de seguridad técnicas y organizativas razonables (ver Cláusula 7). d) Aislar los datos por Tenant mediante bases de datos independientes por cliente. e) Asistir al Cliente, en la medida de lo razonable, para atender solicitudes de los titulares y obligaciones legales del Responsable. f) Informar al Cliente, sin demora indebida, sobre incidentes de seguridad que afecten sus datos (ver Cláusula 8). g) Devolver o suprimir los datos a la terminación del servicio, según instrucción del Cliente, salvo obligación legal de conservación. h) No reclamar propiedad sobre los datos del Cliente.
6. Subprocesadores (Subencargados)
6.1. El Cliente autoriza a NexToCloud a apoyarse en proveedores tecnológicos (subprocesadores) para prestar el servicio, tales como proveedores de nube e infraestructura, mensajería (WhatsApp/SMS), correo transaccional, telefonía y voz, y modelos de inteligencia artificial.
6.2. NexToCloud mantiene con dichos subprocesadores obligaciones de confidencialidad y seguridad equivalentes a las de este Acuerdo y conserva una lista de subprocesadores vigente a disposición del Cliente.
6.3. NexToCloud informará los cambios relevantes en la lista de subprocesadores. El Cliente podrá objetar por motivos razonables de protección de datos.
7. Medidas de seguridad
NexToCloud aplica, como mínimo:
- Aislamiento por Tenant (una base de datos por cliente).
- Cifrado en tránsito y cifrado a nivel de campo para datos sensibles.
- Minimización de datos: la IA opera como extractor de datos estructurados y no tiene acceso de lectura a las bases de datos; la autoridad sobre los datos reside en el backend.
- Control de acceso por roles y gestión de secretos en bóveda.
- Registro y monitoreo de eventos y accesos.
- Cláusulas de confidencialidad con personal y proveedores.
Estas medidas pueden evolucionar para mantener un nivel de protección equivalente o superior.
8. Incidentes de seguridad
Ante un incidente que comprometa datos personales del Cliente, NexToCloud lo notificará sin demora indebida a través del canal de contacto registrado, con la información disponible sobre la naturaleza del incidente, datos afectados y medidas adoptadas, para que el Cliente cumpla sus obligaciones legales de reporte ante la autoridad y los titulares.
9. Transferencia y transmisión internacional
El tratamiento implica el uso de infraestructura y servicios alojados fuera de Colombia (entre otros, Estados Unidos y la Unión Europea). El Cliente, como Responsable, autoriza dicha transferencia y transmisión internacional para las finalidades del servicio, en los términos del artículo 26 de la Ley 1581 de 2012, sujeta a medidas contractuales de protección equivalente.
10. Datos de salud (cuando aplique el módulo de salud)
Cuando el Cliente active módulos clínicos:
- El Cliente reconoce que los datos de salud son datos sensibles que requieren autorización expresa del titular.
- El tratamiento se rige por la Ley 1581 de 2012 (régimen colombiano de habeas data). La normativa estadounidense (p. ej. HIPAA) no resulta aplicable a esta relación, salvo pacto expreso distinto.
- NexToCloud trata estos datos con cifrado a nivel de campo y minimización, exclusivamente para operar el servicio.
11. Responsabilidad
11.1. Cada parte responde por el incumplimiento de las obligaciones que este Acuerdo le asigna según su rol.
11.2. NexToCloud no responde frente a los titulares del Cliente por la licitud, exactitud o autorización de los datos que el Cliente decide tratar; dicha responsabilidad es del Cliente como Responsable.
11.3. La limitación de responsabilidad de los Términos y Condiciones aplica a este Acuerdo.
12. Vigencia
Este Acuerdo rige durante toda la relación contractual y subsiste en lo pertinente (confidencialidad, devolución/supresión) tras su terminación.
13. Contacto
Asuntos de protección de datos: privacidad@nextocloud.ai · Carrera 112 F # 72 C - 03, Torre 9, Apartamento 102, Engativá (Villas de Granada), Bogotá D.C..
Documento versionado. Para verificar la versión vigente, consulte el encabezado de este archivo.