1. Partes y roles
Wiston Amet Figueroa, como responsable, impartirá instrucciones documentadas. El proveedor identificado actuará como encargado únicamente para los servicios y finalidades del anexo. Si decide finalidades o medios por cuenta propia, deberá analizarse su rol independiente.
2. Objeto y alcance
El anexo describirá servicio, duración, naturaleza, categorías de titulares, tipos de datos, operaciones permitidas, sistemas, ubicaciones y frecuencia. Todo tratamiento fuera del anexo requiere instrucción adicional y evaluación jurídica.
3. Instrucciones y prohibiciones
El encargado tratará datos solo para prestar el servicio, no venderá, perfilará, enriquecerá, publicará ni reutilizará la información, y advertirá si una instrucción parece contraria a la ley. Queda prohibido usar datos reales en demostraciones o entrenamiento no autorizado.
4. Personas autorizadas
El acceso estará limitado a personal que lo necesite, con obligaciones de confidencialidad, formación, identidad individual, mínimo privilegio y baja inmediata al cambiar de función o terminar la relación.
5. Seguridad mínima
- Cifrado en tránsito y reposo, gestión de llaves y secretos.
- MFA administrativo, acceso por roles y registros de auditoría.
- Gestión de vulnerabilidades, parches, malware y respaldo probado.
- Separación de clientes y ambientes; datos ficticios en pruebas.
- Retención definida y eliminación segura verificable.
6. Incidentes
El encargado notificará a Wiston sin demora y dentro del término contractual acordado, aportando naturaleza, fecha, datos, titulares, sistemas, impacto, medidas y contacto. No comunicará a titulares o autoridades en nombre de Wiston salvo obligación legal o instrucción escrita.
7. Subencargados y ubicación
No se incorporarán subencargados ni nuevas ubicaciones sin el mecanismo de autorización pactado. El encargado impondrá obligaciones equivalentes y seguirá respondiendo por su cadena. Las transmisiones o transferencias internacionales se documentarán y cumplirán las reglas colombianas aplicables.
8. Derechos de titulares y autoridades
El encargado asistirá oportunamente en consultas, reclamos, supresión, evidencia, auditorías e investigaciones. No responderá de fondo por cuenta propia salvo instrucción o deber legal, y preservará los plazos del responsable.
9. Retorno, eliminación y continuidad
Al terminar, el responsable escogerá devolución estructurada o eliminación certificada, salvo conservación legal identificada y bloqueada. El proveedor garantizará portabilidad, continuidad y recuperación, sin retener datos como presión comercial.
10. Verificación y responsabilidad
Wiston podrá recibir evidencias, certificaciones, pruebas y auditorías proporcionales. Las responsabilidades se asignarán según la ley y la conducta de cada parte; ninguna cláusula excluirá obligaciones irrenunciables frente a titulares o autoridades.
11. Caso Ole Pacific
En la versión actual Ole Pacific no procesa datos de clientes porque el portal no los recolecta. Si en el futuro administra alojamiento, soporte, copias, registros o credenciales con acceso, este modelo deberá completarse y firmarse antes del acceso. Si solo mantiene el DNS sin acceso a datos de aplicación, se documentará la separación técnica y contractual.