Acuerdo de encargo del tratamiento de datos personales

1. Las partes y su papel

Este acuerdo se celebra entre el comercio que contrata Pidi (tú) y PIDI LABS S.A.S., NIT 902.110.093-9, teléfono +57 324 341 4116 («Pidi» o «nosotros»). Hace parte de los Términos y condiciones: se acepta con ellos y rige mientras uses Pidi, y después en lo que haga falta para devolver o suprimir los datos.

• Tú eres el responsable del tratamiento de los datos personales de tus clientes y de la información laboral de tu equipo que llega a Pidi: decides para qué se usan y respondes por haberlos recogido con autorización.
• Pidi es el encargado del tratamiento: trata esos datos por tu cuenta, para prestarte el servicio y según tus instrucciones.

No cubre los datos que Pidi trata como responsable: los de las cuentas de acceso de tu equipo en lo que toca a la cuenta, el vínculo de su WhatsApp, la facturación y el soporte, los de quienes le escriben a Pidi, el registro de quién pidió la baja en sus números y los demás que describe la Política de tratamiento de datos personales.

2. Definiciones

• Titular: la persona a quien se refieren los datos: tus clientes, las personas que le escriben a tu negocio y tu equipo.
• Tratamiento: cualquier operación con datos personales: recoger, guardar, usar, circular o suprimir.
• Subencargado: un proveedor que trata los datos por cuenta de Pidi para prestar el servicio.
• Transmisión: la comunicación de datos a un encargado o subencargado, dentro o fuera de Colombia, para que los trate por cuenta del responsable.
• Incidente de seguridad: la violación de los códigos de seguridad, o la pérdida, robo o acceso no autorizado a datos personales.

3. Qué datos, de quién y para qué

De quién

• Tus clientes: quienes reservan en tu página o con tu negocio, quienes reciben tus recordatorios desde el WhatsApp de recordatorios de Pidi o le contestan, y quienes le escriben a tu número, si tienes el add-on «WhatsApp para tus clientes».
• Tu equipo, en lo que decides tú: registro de entrada, citas atendidas, producción, comisiones, arriendos y liquidaciones, y lo que le escriben al asistente de tu negocio en el WhatsApp de Pidi.

Qué datos

• Identificación y contacto: nombre, teléfono, correo, foto si la subes.
• Historial con tu negocio: citas y servicios, compras y pedidos, anticipos y pagos (el resultado y su referencia; nunca el número de la tarjeta), faltas si activas ese control, reseñas.
• Conversaciones de WhatsApp: con tu número, si tienes el add-on (textos, notas de voz y su transcripción, fotos y documentos que envíen), y con los números de Pidi cuando hablan de tu negocio: lo que tu equipo le pide al asistente y lo que tus clientes contestan a un recordatorio.
• Preferencias y notas que tú, tu equipo o el asistente escriben sobre un cliente.
• Las autorizaciones de tus clientes y sus bajas, con el texto exacto que vieron, la fecha y el medio, y en la de los recordatorios que se marca al agendar, quién la marcó.
• Las devoluciones: el saldo a favor de cada cliente en tu negocio y sus movimientos, lo que eligió y, si pidió dinero, su llave Bre-B y el comprobante que adjuntas al devolver.

El registro de contacto de cada persona —nombre, teléfono y correo— es uno solo en toda la plataforma, como lo explica la política: tu negocio lo ve sólo si la persona tiene citas o compras contigo, y tu historial con ella no lo ve ningún otro negocio.

Para qué

Sólo para prestarte el servicio contratado: agendar, confirmar y cancelar citas, y recordarlas desde el WhatsApp de recordatorios de Pidi, a tu nombre; vender y cobrar con tu cuenta de pagos; atenderte a ti y a tu equipo en el WhatsApp del asistente de Pidi y avisarles; atender tu WhatsApp con el asistente de inteligencia artificial, si tienes el add-on; mostrar tu página y tus reseñas; llevar el saldo a favor y las devoluciones de tus clientes y avisarles de ellas; calcular la producción y las liquidaciones de tu equipo; y darte informes de tu negocio.

En los números de Pidi

En el WhatsApp del asistente y en el de recordatorios, Pidi habla en nombre de tu negocio y trata esos datos por tu cuenta, según este acuerdo. Los números y sus cuentas son de PIDI LABS S.A.S.. El registro de quién pidió la baja en un número de Pidi lo lleva Pidi como responsable, porque vale para todos los negocios que usan ese número.

4. Tus instrucciones

Pidi trata los datos según tus instrucciones, que son: estos términos, la configuración que eliges en el panel y en la app (horarios del asistente, políticas, anticipos, quién ve qué), lo que ordenas en el panel, en la app o por el asistente, y lo que nos pidas por escrito a infraestructura@pidi.app.

Los recordatorios y los avisos de servicio. Al aceptar este acuerdo nos instruyes a enviar desde el número de recordatorios de Pidi, a nombre de tu negocio, los recordatorios a cada cliente que los autorizó, y los avisos de su cita cancelada o cambiada y de su devolución a cada cliente, mientras no escriba BAJA. Esa instrucción vale para todo tu negocio y no se retira desde el panel: la decide cada cliente con su autorización y su BAJA, y tú puedes quitar o declarar la autorización de un cliente en su ficha. Pidi puede pausar los recordatorios de tu negocio si detecta un uso indebido.

Si una instrucción nos parece contraria a la ley, te lo decimos y podemos abstenernos de cumplirla mientras se aclara.

5. Lo que autorizas además, y lo que Pidi nunca hace

Al aceptar este acuerdo autorizas a Pidi a tratar los datos también para:

• Revisar la calidad del asistente. Cada semana un modelo de inteligencia artificial —el mismo que atiende el chat— lee una muestra de hasta ocho conversaciones de clientes de cada negocio, sin teléfonos, correos, enlaces ni números largos; los nombres propios que aparezcan en el texto pueden quedar. Las que salen mal se guardan así, ligadas a un identificador interno y no al teléfono, hasta seis (6) meses, para que el equipo de Pidi corrija el asistente.
• Medir el servicio en cifras agregadas (uso, tiempos de respuesta, costos) para operarlo, cobrarlo y mejorarlo.
• Proteger la plataforma: frenar el abuso y los mensajes automáticos; aplicar los topes del número de recordatorios y pausar los de tu negocio si tus clientes piden la baja en exceso; y registrar la actividad para investigar fallas e incidentes.

Pidi no vende los datos, no los usa para publicidad propia ni de terceros, no los usa para entrenar modelos de inteligencia artificial y no los cruza con los de otros comercios para fines propios.

6. Los deberes de Pidi como encargado

Además de los del artículo 18 de la Ley 1581 de 2012, Pidi se obliga a:

1. Tratar los datos conforme a los principios de la ley y sólo para lo que describe este acuerdo.
2. Mantenerlos seguros (ver Seguridad) y dejar entrar a ellos sólo a quien tenga que hacerlo.
3. Guardar confidencialidad, también después de terminado el contrato.
4. Actualizar, rectificar o suprimir los datos cuando lo ordenes, dentro de los cinco (5) días hábiles siguientes a tu instrucción.
5. Marcar los datos con «reclamo en trámite» o «información en discusión judicial» cuando nos lo pidas, y no circular la información cuyo bloqueo ordene la Superintendencia de Industria y Comercio.
6. Ayudarte a atender las solicitudes de los titulares (ver Solicitudes de los titulares).
7. Avisarte de los incidentes de seguridad e informarlos a la Superintendencia (ver Incidentes).
8. Cumplir las instrucciones y los requerimientos de la Superintendencia de Industria y Comercio.

7. Tus deberes como responsable

1. Tener la autorización previa, expresa e informada de cada titular, o una base legal para tratar sus datos, y poder probarla. El chat de tu número, con el add-on, les da a quienes escriben el aviso de datos a tu nombre y guarda el texto que vieron; los datos que cargues por otros medios (una lista, el panel) son tu responsabilidad. Si al agendar una cita marcas que el cliente autoriza recibir los recordatorios de Pidi, declaras que tienes esa autorización —con Pidi como remitente, desde un número de Pidi— y respondes por ella frente al titular y a la autoridad. Si invitas a alguien al asistente, nos das sólo el teléfono de esa persona de tu equipo.
2. Tener tu propia política de tratamiento de datos y ponerla a disposición de tus clientes.
3. Registrar un dato sensible —de salud, por ejemplo una alergia— sólo con la autorización explícita del titular, dejándole claro que no está obligado a darla, y marcarlo como «dato sensible» en el panel: así sólo lo ven el dueño, los administradores del negocio, quien lo escribió y quien atiende al cliente en su cita, y nunca llega al asistente. Una nota sin esa marca sí se le muestra al asistente para atenderlo.
4. Informar a tu equipo que Pidi registra su entrada, su producción y sus liquidaciones, quién ve esa información y para qué la usas.
5. Atender las consultas y los reclamos de tus clientes en los plazos de la ley y darnos las instrucciones que requieran de nosotros.
6. Mantener exacta la información que cargas y enviar sólo promociones a quien las autorizó. Pidi sólo manda las difusiones en los días y horas que permite la Ley 2300 de 2023, y una por día.
7. Usar la llave Bre-B de un cliente sólo para devolverle su dinero, dentro de los cinco (5) días hábiles que dicen los términos, y configurar como costo de la pasarela sólo lo que de verdad te cobra.

8. Confidencialidad

Las personas de Pidi que acceden a los datos están obligadas a mantenerlos en reserva, entran sólo cuando su trabajo lo exige y no pueden usarlos para nada distinto. La obligación sigue después de terminado este acuerdo.

9. Seguridad

Pidi aplica medidas técnicas, humanas y administrativas razonables para proteger los datos, entre ellas:

• Conexiones cifradas en todas las comunicaciones.
• Separación de la información de cada comercio y, dentro de él, de cada sede, con permisos por rol que se verifican en cada operación.
• Entrada sin contraseñas, con un código de un solo uso enviado al correo, y cierre de todas las sesiones si una se usa desde otro aparato.
• Llaves y secretos de pago cifrados en la base de datos, y registros técnicos que tachan tokens, teléfonos, correos y el texto de los mensajes.
• Registro de las acciones sensibles (pagos, cancelaciones, reembolsos, dominios, cambios del catálogo), copias de respaldo y monitoreo de errores.
• Acceso del personal de Pidi sólo cuando hace falta para soporte, seguridad, calidad o una obligación legal, con deber de reserva.

Ningún sistema es infalible, y no prometemos lo contrario.

10. Subencargados

Autorizas a Pidi a apoyarse en estos proveedores, que tratan los datos por su cuenta según sus condiciones de servicio:

Si contratas «WhatsApp para tus clientes», tu número de WhatsApp Business es tuyo: lo conectas con tu propia cuenta de Meta y aceptas sus condiciones directamente. Los recordatorios y el asistente de tu equipo salen de los números de Pidi, en cuentas de WhatsApp Business de PIDI LABS S.A.S.. Los pagos de tus clientes van a tu propia cuenta de Wompi.

Si incorporamos o cambiamos un proveedor que trate estos datos, lo publicamos en la política y te avisamos por correo quince (15) días antes de empezar a usarlo, salvo que el cambio sea urgente para la seguridad o la continuidad del servicio, caso en el que te avisamos en cuanto lo hagamos. Si no estás de acuerdo, puedes terminar el contrato sin penalidad. Pidi elige a sus subencargados y responde ante ti por el tratamiento que hacen por su cuenta, según los Términos y condiciones.

11. Transmisiones internacionales

Varios subencargados están fuera de Colombia. Estados Unidos e Irlanda figuran entre los países con nivel adecuado de protección de datos según la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017, numeral 3.2), y ese numeral incluye también a los países declarados adecuados por la Comisión Europea. Kapso declara que su filial en Chile apoya su operación, y los registradores de dominios con que trabaja Vercel pueden estar fuera de Estados Unidos. Cada transmisión se ampara en este acuerdo y en el contrato con el subencargado, con las mismas obligaciones de seguridad y confidencialidad (artículo 25 del Decreto 1377 de 2013).

12. Solicitudes de los titulares

Tú respondes a tus clientes; Pidi te ayuda.

• Si un titular nos escribe a nosotros sobre datos que tratamos por tu cuenta, te trasladamos la solicitud dentro de los dos (2) días hábiles siguientes y le informamos que lo hicimos.
• Desde el panel ves los datos y el historial de tus clientes, descargas la copia de los datos de uno para contestar su consulta y, ante una solicitud de supresión, borras sus datos: se conserva, sin nada que lo identifique, lo que la ley obliga a guardar, y queda la constancia. Corregir un dato que el panel no deja editar nos lo pides y lo hacemos dentro de los cinco (5) días hábiles siguientes a tu instrucción.
• En tu número, con el add-on, BAJA corta en el acto tus mensajes de WhatsApp a esa persona y también su autorización para recibir tus recordatorios de Pidi; SIN PROMOS, sólo las promociones. En el WhatsApp de recordatorios de Pidi, BAJA corta en el acto los recordatorios de todos los negocios por ese número, porque lo comparten, y ALTA (o el botón para volver que le ofrecemos si escribe después) los devuelve; escribir no basta. Si después marca la casilla en tu página, vuelve a recibir sólo los tuyos, y lo que tú declaras al agendar no quita su baja. Nada de eso te pide hacer algo. Los recordatorios por correo no se cortan con BAJA: si te lo piden, escríbenos.
• Cuando alguien le pide al chat de tu número que borren sus datos, el sistema deja de escribirle, registra la solicitud con el plazo de la ley (quince días hábiles desde el día siguiente), se lo dice y te avisa por correo y en el panel, donde la atiendes. La respuesta le llega por WhatsApp o por correo cuando se puede; si no, el panel te la deja lista para que se la envíes tú. Si te lo pide por otro medio, lo atiendes igual desde el panel.

13. Incidentes de seguridad

Si Pidi confirma un incidente que afecte datos que trata por tu cuenta, te avisa sin dilación y, a más tardar, dentro de las setenta y dos (72) horas siguientes a confirmarlo, por el correo de tu cuenta, con lo que se sepa: qué pasó, qué datos y titulares pueden estar afectados, qué hicimos para contenerlo y qué te recomendamos; y te mantiene al tanto mientras se sepa más. Lo informamos a la Superintendencia de Industria y Comercio (artículo 18, literal k, de la Ley 1581 de 2012) en el plazo que ella fije, y te damos lo que necesites para cumplir tus propios deberes.

14. Al terminar: devolución y supresión

• Copia de tus datos. El dueño la descarga cuando quiera desde el panel (Configuración → Tus datos): un archivo con una tabla por cada tipo de dato, que se abre en cualquier hoja de cálculo. Si ya no puedes entrar al panel, pídela a infraestructura@pidi.app desde el correo del dueño dentro de los seis (6) meses siguientes a la terminación, y te la enviamos dentro de los quince (15) días hábiles siguientes.
• Supresión. Si nos pides suprimir los datos, lo hacemos dentro de los quince (15) días hábiles siguientes, salvo lo que la ley nos obligue a conservar, y te lo confirmamos.
• El saldo a favor de tus clientes es dinero de ellos que tu negocio debe: antes de terminar, devuélveselo o dales cómo usarlo; terminar la suscripción no lo extingue. Si un cliente pide suprimir sus datos, su saldo no se borra: se conservan la cifra y lo mínimo para devolvérselo, y te avisamos al recibir la solicitud.
• Borrado al terminar. Seis (6) meses después de terminada tu suscripción borramos los datos personales de tus clientes, sus conversaciones, las de tu equipo con el asistente de Pidi y el registro de entrada de tu equipo, salvo lo que la ley obliga a conservar: las citas y ventas con sus montos, y el saldo a favor y las devoluciones como cifras, quedan sin datos que identifiquen a nadie (las llaves Bre-B, tachadas). Te avisamos por correo treinta (30) y siete (7) días antes, y si reactivas tu plan antes de esa fecha no se borra nada. Las copias de respaldo de la base de datos se reemplazan solas en unos días.

15. Demostración y cooperación

Pidi te da la información razonable que necesites para demostrar que se cumple este acuerdo y para responder a la Superintendencia de Industria y Comercio o a un titular, y colabora contigo cuando lo requiera una autoridad. Puedes pedirnos por escrito, una vez al año o después de un incidente, que respondamos un cuestionario sobre nuestras medidas de seguridad y de tratamiento, y lo respondemos dentro de los treinta (30) días siguientes. Una revisión en sitio, o por un tercero, se acuerda por escrito, con aviso de treinta (30) días, deber de confidencialidad, sin acceso a datos de otros comercios y a costa de quien la pide, salvo que la ordene una autoridad.

16. Responsabilidad, vigencia y cambios

Cada parte responde por sus propias obligaciones frente a los titulares y a la autoridad. En lo demás se aplican las reglas de responsabilidad de los Términos y condiciones.

Este acuerdo rige desde la fecha de la versión indicada arriba y mientras uses Pidi. Los cambios se avisan como los de los términos, con quince (15) días de antelación.