Acuerdo de tratamiento de datos

Son partes el cliente identificado en la contratación, que determina las finalidades del tratamiento, y el operador de Oruka identificado en esta página. Este acuerdo se incorpora a la contratación alojada cuando el cliente lo acepta expresamente o ambas partes lo acuerdan por escrito. Publicar el documento o visitar el sitio no prueba su aceptación.

El cliente actúa como responsable y Oruka como encargado. Si el cliente es encargado de otro responsable, debe estar autorizado para subcontratar a Oruka y transmitir sus instrucciones. Los datos que Oruka trata por fines propios de contratación, cobro, seguridad y cumplimiento se rigen por la política de privacidad. En Enterprise, este encargo solo alcanza servicios adicionales expresamente acordados que permitan a Oruka acceder a datos; no convierte la instalación propia en un servicio alojado.

El encargo permite prestar las funciones contratadas de atención mediante agentes de IA, canales de mensajería y voz, CRM, conocimiento, formularios, agendas y automatizaciones. Comprende recibir, registrar, organizar, almacenar, consultar, recuperar, generar respuestas, transmitir a destinatarios autorizados y eliminar datos, exclusivamente para esas funciones e instrucciones.

El tratamiento puede ser continuo mientras estén activas las funciones. Este acuerdo dura mientras Oruka conserve datos por cuenta del cliente, incluidos los períodos de devolución, eliminación o conservación legal. Los términos fijan el plan y la ficha operativa de esta página describe la infraestructura, conservación y copias de la instalación.

Pueden incluirse clientes, prospectos, proveedores, empleados, colaboradores y otros contactos del negocio. Los datos comprenden identificadores y contacto, perfiles, mensajes y archivos, documentos de conocimiento y sus índices, instrucciones y memoria del agente, formularios, citas, operaciones y registros técnicos. Audio y transcripciones solo corresponden a funciones de voz activadas. Las categorías concretas dependen de lo que el cliente decida tratar.

No se autoriza por este acuerdo el tratamiento indiscriminado de datos sensibles, datos de menores o información médica regulada. Antes de utilizar esas categorías, el cliente debe confirmar la base legal, informar a los titulares, obtener las autorizaciones exigidas y acordar con Oruka las garantías adicionales necesarias. Este documento no es un Business Associate Agreement de HIPAA ni certifica cumplimiento de esa norma.

Las instrucciones documentadas son este acuerdo, la oferta aceptada, la configuración de funciones, permisos y automatizaciones, y las instrucciones escritas compatibles con el servicio. El cliente garantiza la legalidad de los datos y finalidades, proporciona los avisos y autorizaciones necesarios, mantiene sus contactos actualizados y concede acceso solo a personas y cuentas autorizadas.

Oruka trata los datos únicamente según esas instrucciones, incluso para transmisiones internacionales. Si una instrucción parece infringir la legislación aplicable, lo comunicará y suspenderá esa operación hasta aclararla. Si una norma obliga a otro tratamiento, informará al cliente antes de realizarlo, salvo prohibición legal. Las acciones del agente requieren que el cliente configure permisos, límites y supervisión humana apropiados.

Oruka limita el acceso a quienes lo necesiten para prestar y proteger el servicio y estén sujetos a confidencialidad o a un deber legal equivalente. Los datos del cliente no se venden, no se utilizan para publicidad propia ni se comunican para finalidades ajenas al encargo. La licencia técnica sobre el contenido no transfiere su propiedad.

La generación de respuestas y los embeddings implican comunicar el contexto necesario al proveedor configurado. Oruka no recibe por este acuerdo autorización para entrenar modelos de propósito general con datos del cliente. Deben elegirse y configurarse APIs y contratos compatibles con estas instrucciones antes de enviarles datos. Para información obtenida de Google se mantienen, además, las restricciones de uso limitado descritas en la política de privacidad.

Oruka mantendrá medidas técnicas y organizativas proporcionales al riesgo: control de sesiones y acceso, contraseñas locales mediante hash con sal, comunicaciones HTTPS en el servicio alojado, separación de las instalaciones y bases de datos de clientes y verificación de las integraciones. El acceso de soporte se limita a lo necesario y se exige proteger credenciales y revocar permisos que dejen de ser necesarios.

La ficha operativa identifica alojamiento, almacenamiento, regiones y recuperación. El cliente administra los permisos de sus usuarios, los dispositivos y los servicios que conecta. No se promete cifrado de todos los campos, retención cero, certificaciones de seguridad ni copias distintas de las descritas. Las medidas se revisarán según el riesgo; no se reducirán de forma que incumplan este acuerdo o la ley.

Para el servicio alojado, el cliente autoriza Vercel (aplicación y ejecución) y Neon (base de datos y almacenamiento de la aplicación), en las regiones indicadas en la ficha operativa. Los proveedores de IA, embeddings, voz, correo o canales solo intervienen en la medida necesaria para funciones activadas. La sección de destinatarios de Privacidad distingue los servicios posibles de los efectivamente configurados; no autoriza por sí sola a todos ellos.

Oruka debe mantener con sus subencargados contratos escritos con obligaciones de protección compatibles con este encargo y responde por el cumplimiento de lo que les encomiende. Las cuentas que el cliente contrate directamente pueden actuar bajo una relación propia con él; su función y condiciones deben aclararse antes de comunicarles datos.

Antes de añadir o sustituir un subencargado de Oruka, se informará por escrito al contacto del cliente de su identidad, función y ubicación con al menos quince días de antelación, salvo una urgencia justificada de seguridad, que se comunicará sin demora. El cliente puede objetar por motivos razonables de protección de datos. Las partes buscarán una alternativa; si no existe, podrán finalizar la función afectada y liquidar los importes anticipados no consumidos que correspondan conforme a la ley y el acuerdo.

El servicio se opera desde Colombia y utiliza infraestructura en Estados Unidos y las ubicaciones de las integraciones activadas. Cuando corresponda, este acuerdo documenta el alcance, las actividades, la seguridad y confidencialidad del encargo de transmisión conforme al Decreto 1074 de 2015. Las transferencias a otro responsable requieren su propia base y no se confunden con una transmisión a un encargado.

Si se aplica el RGPD, el régimen británico u otra norma con garantías adicionales para transferencias, las partes deben identificar los exportadores, importadores y destinos y formalizar el mecanismo válido antes de la transferencia restringida. Este texto no incorpora automáticamente cláusulas contractuales tipo europeas, un anexo británico o una certificación de adecuación. Se acordarán los anexos y medidas complementarias que sean necesarios; si no pueden cumplirse, no deberá iniciarse ese tratamiento.

El cliente decide sobre las solicitudes relativas a los datos que controla. Oruka le comunicará las que reciba sin dilación indebida y colaborará, según la naturaleza del tratamiento y la información disponible, para localizar, corregir, restringir, devolver o eliminar datos y atender los plazos legales. No responderá en nombre del cliente salvo autorización o deber legal.

Oruka facilitará la información y asistencia razonablemente necesarias para evaluar el riesgo, las medidas de seguridad, las evaluaciones de impacto y las consultas a autoridades cuando sean exigibles. El procedimiento público de derechos también sirve para contactar con Oruka; no sustituye el canal que cada negocio debe ofrecer a sus titulares.

Al conocer un incidente que afecte datos del encargo, Oruka notificará al contacto del cliente sin dilación indebida. Comunicará la naturaleza del incidente, las categorías y alcance conocidos, las consecuencias probables, las medidas adoptadas o propuestas y el punto de contacto. La información podrá completarse progresivamente conforme avance la investigación.

Oruka colaborará en la contención, recuperación y documentación. El cliente evalúa sus deberes de comunicación a titulares y autoridades; cada parte mantiene sus propias obligaciones legales. Una notificación no acredita por sí sola responsabilidad ni sustituye los plazos legales que correspondan.

Al terminar el servicio alojado se detiene el tratamiento activo y se aplica el ciclo de eliminación de la ficha operativa. El cliente debe solicitar oportunamente por el contacto publicado la devolución o supresión de los datos, a su elección cuando la legislación aplicable lo exija. La devolución que corresponda se gestiona de forma segura por soporte; no se ofrece una herramienta de exportación del negocio en la aplicación. Las obligaciones legales de conservación se comunicarán y los datos retenidos quedarán limitados a esa finalidad.

Las copias y ventanas de recuperación se eliminan conforme a los ciclos informados; no se usarán para nuevas finalidades. Oruka facilitará constancia de eliminación cuando se solicite. El fin del servicio no elimina derechos de los titulares ni permite conservar indefinidamente los datos por comodidad.

Oruka facilitará información razonable para demostrar el cumplimiento del encargo y permitirá las auditorías o inspecciones legalmente exigibles, acordando alcance, confidencialidad, seguridad y una programación proporcionada. La protección de otros clientes no puede utilizarse para impedir un derecho de supervisión obligatorio.

Para datos tratados por cuenta del cliente, este acuerdo prevalece sobre condiciones generales incompatibles. Los acuerdos particulares pueden concretarlo sin reducir garantías legales. Rigen la ley colombiana y las normas imperativas aplicables; se mantienen las autoridades competentes y los derechos irrenunciables. La aceptación de este encargo no es una autorización de los titulares ni acredita por sí sola la configuración o contratación correcta de proveedores.

• Términos y condiciones
• Política de privacidad
• Tus derechos de privacidad