Versión 2.0 — octubre 2026
Acuerdo de Tratamiento de Datos (DPA)
Este Acuerdo de Tratamiento de Datos ("DPA") establece las obligaciones y responsabilidades de ColombiaTIC Ingeniería SAS como Operador del tratamiento de datos, y de la entidad pública contratante como Responsable del tratamiento, conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013.
Base legal: Ley 1581/2012 Decreto 1377/2013 Ley 1755/2015 Ley 1712/2014 Decreto 1166/2016
1. Partes del Acuerdo
| Rol | Parte | Obligación principal |
|---|
| Responsable del Tratamiento | Entidad pública contratante (alcaldía, gobernación u otra entidad) | Determina las finalidades y medios del tratamiento; responde ante los ciudadanos y los entes de control |
| Operador del Tratamiento | ColombiaTIC Ingeniería SAS | Procesa los datos conforme a las instrucciones del Responsable; implementa medidas de seguridad técnica; no puede usar los datos para sus propios fines |
| Suboperadores autorizados | Amazon Web Services (AWS), MongoDB Atlas | Infraestructura cloud; sujetos a cláusulas contractuales estándar |
2. Instrucciones de Tratamiento
ColombiaTIC tratará los datos personales únicamente para:
- Recepción y clasificación de solicitudes PQRS
- Análisis jurídico asistido por IA (con datos tokenizados)
- Generación de borradores de expedientes para revisión humana
- Archivo digital con validez administrativa
- Notificación al ciudadano sobre el estado de su trámite
- Generación de estadísticas agregadas y anonimizadas para informes de gestión
ColombiaTIC no realizará ningún tratamiento adicional sin instrucción escrita del Responsable.
3. Medidas de Seguridad Técnica y Organizativa
ColombiaTIC implementa las siguientes medidas (ver Política de Seguridad completa en /seguridad):
- Cifrado en tránsito: TLS 1.3
- Cifrado en reposo: AES-256 (AWS RDS + S3 con SSE-KMS)
- Firma digital: ECDSA P-256 (AWS KMS asimétrico)
- Object Lock COMPLIANCE 7 años en S3 (documentos finales)
- Tokenización de PII antes de procesamiento por IA
- Autenticación con JWT + bcrypt para funcionarios
- Rate limiting y protección contra ataques de fuerza bruta
- Ledger de auditoría inmutable con hashes SHA-256
4. Obligaciones de ColombiaTIC como Operador
- Tratar los datos solo según las instrucciones del Responsable
- No revelar los datos a terceros sin autorización escrita, salvo obligación legal
- Notificar al Responsable dentro de las 72 horas siguientes a conocer un incidente de seguridad
- Asistir al Responsable en el ejercicio de los derechos ARCO de los ciudadanos
- Eliminar o devolver los datos al final del contrato, según instrucción
- Mantener el Registro de Actividades de Tratamiento actualizado
- Someter a auditoría las medidas de seguridad si el Responsable lo requiere
5. Obligaciones de la Entidad como Responsable
- Obtener el consentimiento válido de los ciudadanos antes del tratamiento
- Informar a los ciudadanos sobre el uso del sistema automatizado
- Garantizar que los funcionarios siguen el protocolo de revisión humana
- Responder ante la SIC y entes de control por el tratamiento
- Notificar a ColombiaTIC sobre cambios en las finalidades del tratamiento
- Mantener registro actualizado del personal autorizado para acceder al sistema
6. Transferencias Internacionales
Los datos son procesados en servidores de Amazon Web Services ubicados en us-east-1 (Virginia, EE.UU.). Esta transferencia internacional se realiza al amparo de:
- Cláusulas contractuales estándar entre ColombiaTIC y AWS
- Certificaciones ISO 27001 y SOC 2 de AWS
- AWS Government Cloud compliance frameworks
Las claves KMS son administradas por ColombiaTIC dentro de la cuenta AWS del cliente, garantizando que AWS no tiene acceso al contenido cifrado.
7. Retención y Eliminación de Datos
| Tipo de dato | Período de retención | Fundamento |
|---|
| Expedientes PQRS completos | 7 años desde la radicación | Decreto 1166/2016 — Tabla de Retención Documental |
| Ledger de auditoría | 7 años (Object Lock COMPLIANCE, no modificable) | Misma base legal + integridad criptográfica |
| Sesiones activas en Redis | 3 días (TTL automático) | Mínimo necesario para la continuidad del trámite |
| Logs de acceso del sistema | 1 año | Seguridad informática |
| Datos estadísticos anonimizados | Indefinido (sin PII) | Mejora del servicio público |
Los documentos sellados con Object Lock COMPLIANCE no pueden ser eliminados antes del plazo, ni siquiera por ColombiaTIC o AWS. Esto es una garantía para el ciudadano y para la entidad, no una restricción arbitraria.
8. Incidentes de Seguridad — Protocolo de Notificación
- Detección: ColombiaTIC identifica el incidente y activa el protocolo de respuesta
- Evaluación (0-2h): Clasificación del incidente (bajo/medio/alto/crítico) y datos afectados
- Notificación al Responsable (≤72h): Reporte con tipo de incidente, datos afectados, medidas tomadas y recomendaciones
- Notificación a la SIC: Si hay riesgo para los derechos de los titulares, la entidad notifica a la Superintendencia
- Remediación: Implementación de medidas correctivas y preventivas
- Postmortem: Análisis de causa raíz y actualización de medidas de seguridad
9. Terminación del Acuerdo y Cese del Tratamiento
9.1 Causales de terminación
- Vencimiento del contrato de prestación de servicios
- Acuerdo mutuo entre las partes
- Incumplimiento grave de alguna de las partes
- Decisión judicial o administrativa que ordene el cese
9.2 Procedimiento de cese
Al término del contrato, ColombiaTIC se compromete a:
- Entregar a la entidad todos los datos en formato estándar (CSV, JSON) dentro de los 30 días hábiles siguientes a la terminación
- Eliminar las copias de datos en los sistemas de ColombiaTIC, excepto las obligaciones legales de retención
- Certificar por escrito la eliminación
- Los documentos bajo Object Lock permanecerán en S3 hasta cumplir el período legal — la entidad puede acceder a ellos directamente
10. Resolución de Conflictos y Cláusula de No Culpa Recíproca
Las partes acuerdan que antes de iniciar cualquier acción legal, se someterán a un proceso de mediación ante el Centro de Arbitraje y Conciliación de la Cámara de Comercio de Cali, con un plazo máximo de 60 días calendario. Si la mediación fracasa, se acudirá a arbitramento en derecho conforme al Decreto 1818 de 1998.
Ninguna de las partes será responsable ante la otra por daños indirectos, lucro cesante, daño emergente indirecto o daños punitivos, salvo en casos de dolo o culpa grave debidamente probados.
Version 2.0 — October 2026
Data Processing Agreement (DPA)
This Data Processing Agreement establishes the obligations of ColombiaTIC Ingeniería SAS as Data Processor, and the contracting public entity as Data Controller, under Colombian Law 1581/2012 and Decree 1377/2013.
1. Parties
Data Controller: The contracting public entity (municipality, department, or other entity) — determines purposes and means of processing; accountable to citizens and oversight bodies.
Data Processor: ColombiaTIC Ingeniería SAS — processes data per Controller's instructions; implements technical security measures; may not use data for its own purposes.
2. Processing Purposes
ColombiaTIC will process personal data solely for: receiving and classifying PQRS requests, AI-assisted legal analysis (with tokenized data), draft case file generation for human review, digital archiving with administrative validity, citizen notification, and anonymized statistics for management reports.
3. Security Measures
TLS 1.3 in transit, AES-256 at rest (AWS RDS + S3 with SSE-KMS), ECDSA P-256 digital signatures (AWS asymmetric KMS), 7-year COMPLIANCE Object Lock on S3, PII tokenization before AI processing, JWT + bcrypt authentication, immutable audit ledger with SHA-256 hashes.
4. International Transfers
Data is processed on Amazon Web Services servers in us-east-1 (Virginia, USA), under standard contractual clauses, AWS ISO 27001 and SOC 2 certifications. KMS keys are managed by ColombiaTIC within the client's AWS account, ensuring AWS cannot access encrypted content.
5. Data Retention
PQRS case files: 7 years (Decree 1166/2016). Audit ledger: 7 years COMPLIANCE Object Lock (immutable). Active Redis sessions: 3 days (automatic TTL). System access logs: 1 year.
6. Incident Notification
ColombiaTIC will notify the Controller within 72 hours of becoming aware of a security incident affecting personal data, per Decree 1377/2013 requirements.
7. Termination and Data Return
Upon contract termination, ColombiaTIC will deliver all data in standard formats (CSV, JSON) within 30 business days, then delete copies from its systems (except legally required retention), and certify the deletion in writing.
8. Dispute Resolution
Prior to any legal action, parties agree to mediation before the Cali Chamber of Commerce Arbitration and Conciliation Center, for a maximum of 60 calendar days. This agreement is governed by the laws of the Republic of Colombia.