Contrato de transmisión de datos personales (encargo del tratamiento)

Borrador para revisión de abogado. No es asesoría legal.

Versión 0.2 · 4 de octubre de 2026 · Vigente desde [FECHA DE ENTRADA EN VIGENCIA]

Este contrato hace parte de los Términos y condiciones de Mensajazo y regula los datos de los contactos que subes para enviarles SMS. Lo aceptas electrónicamente junto con los términos. Es el contrato de transmisión de datos personales que piden la Ley 1581 de 2012 y el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.

1. Partes y roles

• Responsable: el cliente. Decide qué datos sube, a quién le escribe y con qué finalidad.
• Encargado: [RAZÓN SOCIAL DE NEUFSOFT] (Mensajazo), NIT [NIT DE NEUFSOFT]. Trata los datos por cuenta del cliente, solo para prestarle el servicio.
• Subencargados: InsForge (Estados Unidos, región us-east), que aloja la base de datos y ejecuta las funciones del servidor, y LabsMobile (001TECH SL, España), que entrega los SMS a los operadores móviles. Los operadores reciben el número y el texto solo para entregar el mensaje.

El cliente autoriza a Mensajazo a usar estos subencargados y a cambiarlos por otros con garantías equivalentes. Avisamos cada cambio con 15 días de anticipación. Si el cliente no está de acuerdo, puede terminar el contrato y pedir la devolución del saldo pagado no usado.

2. Qué datos y qué tratamiento

Datos. Número de celular, nombre y las demás columnas que importes como variables; el texto de cada mensaje; los estados de entrega con su motivo; y las bajas, con su fecha, origen y motivo.

Archivo original. El archivo que importas se lee en tu navegador. Guardamos solo los contactos válidos, el nombre del archivo y los nombres de sus columnas; el archivo queda en tu poder.

Datos sensibles. No subas datos sensibles, como datos de salud, orientación política, religión o biométricos, ni columnas que no necesites para el mensaje. Si el contenido de un mensaje revela un dato sensible, por ejemplo el tipo de cita médica, necesitas la autorización explícita del titular (artículo 6 de la Ley 1581 de 2012).

Datos de niños, niñas y adolescentes. Solo puedes incluirlos si respetas su interés superior y sus derechos fundamentales y tienes la autorización de su representante legal (artículo 7 de la Ley 1581 de 2012 y artículo 2.2.2.25.2.9 del Decreto 1074 de 2015). Un colegio, por ejemplo, debe escribirles a los padres o acudientes.

Actividades que Mensajazo hace por cuenta del cliente:

1. Recibir los contactos que importas o pegas y guardarlos en tus listas.
2. Normalizar los números y apartar los inválidos, fijos, números cortos y repetidos.
3. Armar y enviar los mensajes que ordenas, al momento o programados, con las variables de cada contacto.
4. Excluir las bajas en los mensajes publicitarios, y a quien ya recibió un mensaje de cobranza ese día.
5. Recibir y mostrarte los estados de entrega.
6. Registrar las bajas que llegan por el enlace, las que agregas y las que los titulares nos piden.
7. Revisar el contenido y una muestra de destinatarios cuando el filtro retiene un envío, para prevenir abuso y cumplir la ley.
8. Borrar los contactos, listas y envíos cuando tú lo pidas o cuando corresponda según el punto 10.

Hoy Mensajazo no mide clics en los enlaces de tus mensajes. Si activamos esa función, actualizaremos antes este contrato.

3. Instrucciones y límites

• Mensajazo trata los datos solo según las instrucciones que das en la plataforma y según este contrato. Se compromete a aplicar las obligaciones que tienes como responsable según tu política de tratamiento y a tratar los datos de acuerdo con la finalidad que los titulares autorizaron y con la ley (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015).
• Si tu política tiene una restricción que afecta el servicio, por ejemplo finalidades limitadas, infórmanosla. La aplicamos en lo que permita la plataforma y te avisamos si no podemos.
• Mensajazo no vende los datos, no los usa para su publicidad ni la de terceros, no los cruza con otras bases y no los comparte, salvo con los subencargados o con una autoridad que los pida formalmente.
• Mensajazo puede producir estadísticas agregadas y anónimas, por ejemplo la tasa de entrega por operador, que no identifican a nadie.
• Si una instrucción tuya es contraria a la ley, Mensajazo puede negarse a cumplirla y te avisa.

4. Lo que garantiza el cliente como responsable

1. Autorización. Cada destinatario le dio una autorización previa, expresa e informada para recibir SMS de su negocio con la finalidad del envío (artículo 9 de la Ley 1581 de 2012). La publicidad requiere el consentimiento expreso de la persona, y la cobranza, que use un canal que la persona autorizó (artículo 2 de la Ley 2300 de 2023).
2. Información al titular. Informó a cada persona cómo usará sus datos y sus derechos, y tiene su propia política de tratamiento (artículo 12 de la Ley 1581 de 2012).
3. Origen lícito. Los datos no vienen de bases compradas, alquiladas, copiadas de internet ni tomadas de otra empresa. Comprar o vender datos personales sin estar facultado puede ser delito (artículo 269F del Código Penal, agregado por la Ley 1273 de 2009).
4. Prueba. Conserva la prueba de cada autorización (literal b del artículo 17 de la Ley 1581 de 2012) y la entrega a Mensajazo en 5 días hábiles si se la pide, o a la SIC u otra autoridad. Al subir cada lista declara que tiene esas autorizaciones, y Mensajazo guarda la fecha y hora de esa declaración.
5. Calidad de los datos. Solo sube datos veraces, completos, actualizados y cuyo tratamiento esté autorizado, y corrige en la plataforma los que cambien (literales e, f, g y h del artículo 17).
6. Reclamos en curso. Avisa a Mensajazo cuando un dato esté en discusión por un reclamo del titular que no haya terminado (literal l del artículo 17).
7. Solicitudes de los titulares. Atiende, como responsable, las consultas y reclamos de sus contactos en los plazos de ley: 10 días hábiles para consultas y 15 para reclamos (artículos 14 y 15 de la Ley 1581 de 2012).
8. RNE. Consulta el Registro de Números Excluidos de la CRC antes de enviar publicidad.
9. Incidentes de su lado. Avisa a Mensajazo si sospecha que alguien entró a su cuenta o usó sus credenciales.

5. Obligaciones de Mensajazo como encargado

Según el artículo 18 de la Ley 1581 de 2012 y el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, Mensajazo se obliga a:

• Tratar los datos a nombre del cliente, conforme a los principios de la Ley 1581 de 2012 y solo para prestar el servicio.
• Facilitar que los titulares ejerzan su derecho de hábeas data, trasladando sus solicitudes al cliente y dándole la información técnica que tenga.
• Conservar los datos con las medidas de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado (punto 6).
• Guardar confidencialidad: solo accede el personal autorizado que lo necesita, con deber de reserva que sigue vigente después de terminado el contrato.
• Actualizar, rectificar o suprimir los datos a tiempo. Lo que el cliente cambia en el panel se aplica de inmediato; lo que pida por escrito, en máximo 5 días hábiles.
• Tramitar, en lo que le corresponde, las consultas y reclamos que le lleguen (punto 8).
• Tener un manual interno de políticas y procedimientos para cumplir la ley y atender consultas y reclamos.
• Marcar los datos con "reclamo en trámite" o "información en discusión judicial" cuando el cliente o la autoridad lo informen, y no circular datos cuyo bloqueo haya ordenado la SIC.
• Informar a la SIC los incidentes de seguridad (punto 9) y cumplir sus instrucciones.

Cuando Mensajazo trata datos como responsable, por ejemplo los de sus propios clientes, cumple además los deberes de responsable.

6. Seguridad

• Conexiones cifradas (HTTPS).
• Los datos de cada cliente están aislados en la base de datos: ningún cliente ve los de otro.
• Las llaves de los proveedores viven solo en el servidor, nunca en el navegador.
• Solo el personal autorizado entra al panel interno, y sus acciones quedan registradas.
• Los datos se alojan en la infraestructura de InsForge en Estados Unidos, con copias de respaldo del proveedor.
• No guardamos el archivo original que importas.

Las mismas medidas protegen los datos de nuestros clientes, según la Política de tratamiento de datos personales.

7. Bajas

• Cada mensaje publicitario lleva un enlace de baja (mensajazo.com/b/…). La persona confirma su número y queda registrada. También cuentan las bajas que el cliente agrega a mano y las que los titulares nos piden directamente.
• Cada baja queda en la lista del cliente y se excluye sola de todos sus envíos publicitarios.
• Las bajas que llegan por el enlace no las puede borrar el cliente. Solo las reactivamos si la persona le da una nueva autorización al cliente y este puede probarla.
• La lista de bajas filtra los mensajes publicitarios. Si una persona revoca su autorización para mensajes informativos o de cobranza, el cliente debe atenderla según la ley.
• Las bajas se conservan mientras exista la cuenta del cliente y se borran con ella.

8. Solicitudes de los titulares

• Si un titular le escribe a Mensajazo, trasladamos la solicitud al cliente dentro de los 2 días hábiles siguientes y se lo informamos al titular (artículo 15 de la Ley 1581 de 2012).
• Si pide no recibir más publicidad de ese cliente, registramos la baja de inmediato.
• El cliente responde dentro de los plazos de ley, y Mensajazo le entrega la información técnica que tenga, por ejemplo las fechas y estados de los mensajes enviados a ese número.

9. Incidentes de seguridad

• Si ocurre un incidente que afecta los datos de los contactos del cliente, Mensajazo le avisa sin demoras injustificadas y a más tardar dentro de las 72 horas siguientes a confirmarlo, con lo que sepa en ese momento: qué pasó, qué datos se vieron afectados, qué medidas tomamos y qué recomendamos.
• Cooperamos para que el cliente cumpla su deber de reportar a la SIC y de avisar a los titulares.
• Como encargados, reportamos el incidente a la SIC dentro de los 15 días hábiles siguientes a detectarlo (literal k del artículo 18 de la Ley 1581 de 2012 y numeral 2.1, literal f, del Título V de la Circular Única de la SIC).

10. Conservación y qué pasa al terminar

• Los contactos se guardan mientras la lista exista en la cuenta.
• Cuando el cliente borra un contacto o una lista, se elimina de los sistemas activos de inmediato. Los envíos ya hechos siguen en su historial, con el número, el nombre y el texto de cada mensaje.
• El detalle de cada envío se conserva 12 meses desde el envío. Después queda solo un resumen sin datos de los destinatarios: fecha, tipo, cantidad, créditos y resultados.
• Cuando el cliente elimina su cuenta o termina el contrato, borramos de inmediato sus listas, contactos, bajas y envíos de los sistemas activos. De las copias de respaldo desaparecen en máximo [PLAZO DE LAS COPIAS DE RESPALDO]. Como el archivo original quedó en poder del cliente, no hay archivo que devolver.
• Excepción: lo relacionado con un reclamo, una investigación o una orden de autoridad abiertos se conserva mientras dure.
• La confidencialidad y las obligaciones de borrado siguen vigentes después de terminado el contrato.

11. Transmisión internacional

• El cliente autoriza que los datos de sus contactos se transmitan a Estados Unidos (InsForge) y a España (LabsMobile). Ambos países están en la lista de países con nivel adecuado de protección de la SIC (numeral 3.2 del Título V de la Circular Única de la SIC), que permite transmitir datos a ellos.
• Las transmisiones a encargados con este contrato no requieren que el cliente informe a sus contactos ni que les pida consentimiento para la transmisión (artículo 2.2.2.25.5.1 del Decreto 1074 de 2015). Eso no reemplaza la autorización que necesita para enviarles mensajes.
• LabsMobile puede usar a su vez operadores y proveedores de nube y soporte en otros países, bajo sus propias condiciones de protección de datos. [VALIDAR: condiciones de LabsMobile e InsForge frente al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.]
• Mensajazo exige a sus subencargados medidas equivalentes a las de este contrato.

12. Cooperación con autoridades y auditoría

• Mensajazo coopera con el cliente y con la SIC en los requerimientos sobre estos datos y entrega lo que tenga: registros de envío, bajas y fechas de las declaraciones de autorización.
• Si una autoridad le pide a Mensajazo datos de los contactos de un cliente, Mensajazo le avisa al cliente, salvo que la ley o la autoridad lo prohíban.
• El cliente puede pedir una vez al año, o después de un incidente, información sobre nuestras medidas de seguridad, por cuestionario o en una reunión. Las auditorías presenciales solo proceden por orden de autoridad o por acuerdo escrito, a costo del cliente.

13. Responsabilidad y duración

• Cada parte responde por sus propias obligaciones. El cliente mantiene indemne a Mensajazo por la falta de autorización o el uso ilícito de los datos (cláusula 17 de los términos). Mensajazo responde si trata los datos por fuera de las instrucciones del cliente.
• Este contrato dura lo mismo que la relación con el cliente. La confidencialidad y las obligaciones de borrado siguen vigentes después de terminado.