Contrato de transmisión de datos personales

1. Partes y objeto

Este contrato se celebra entre la empresa que crea una cuenta en Grand Line ("la Empresa" o "el Responsable") y TABO ECOM S.A.S. ("Grand Line" o "el Encargado"). Regula el tratamiento que Grand Line hace, por cuenta de la Empresa, de los datos personales de los clientes finales y contactos de la Empresa, en los términos del artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y de la Ley 1581 de 2012. Lo acepta el administrador de la Empresa dentro de la Plataforma; queda registrada la versión (2026-10-22), la fecha y quién lo aceptó.

2. Datos y tratamientos encargados

Titulares: clientes, compradores, prospectos y contactos de la Empresa.

Datos: nombre, teléfono, correo, identificadores de redes sociales, dirección y ciudad de envío, pedidos, valores, estados de envío y recaudo, mensajes, notas de voz, imágenes y archivos que intercambian con la Empresa, y la atribución publicitaria del contacto.

Tratamientos: recibir, guardar, organizar, consultar, mostrar al equipo de la Empresa, responder mensajes por los canales que la Empresa conecta, crear y actualizar pedidos en las plataformas logísticas que la Empresa conecta, enviar avisos de envío, analizar con inteligencia artificial para proponer o enviar respuestas, generar reportes y cifras, exportar, anonimizar y suprimir.

Duración: mientras la Empresa tenga una cuenta en Grand Line, y hasta la supresión descrita en la cláusula 8.

3. Obligaciones del Encargado

Grand Line se obliga a:

• Tratar los datos solo para prestar el servicio y según las instrucciones de la Empresa, que se dan por la configuración que ella hace en la Plataforma; nunca para fines propios
• No vender, ceder ni usar los datos para publicidad, perfilamiento propio ni para entrenar modelos de inteligencia artificial propios o de terceros
• Aplicar los principios de la Ley 1581 de 2012 (legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad)
• Mantener medidas técnicas y administrativas de seguridad: cifrado en tránsito y en reposo, separación de los datos por empresa, control de acceso por rol y registro de auditoría
• Guardar confidencialidad, también por parte de su personal y subencargados, incluso después de terminado el contrato
• Dar a la Empresa herramientas para atender los derechos de los titulares (exportar y anonimizar los datos de un cliente final, y descargar o borrar todos los datos de la Empresa) y apoyarla para responder dentro de los plazos legales
• Trasladar a la Empresa, sin demora, las peticiones de titulares que lleguen directamente a Grand Line
• Avisar a la Empresa sin demora injustificada cuando conozca un incidente de seguridad que afecte sus datos, con la información disponible para que la Empresa cumpla sus deberes, incluido el reporte a la Superintendencia de Industria y Comercio
• Abstenerse de circular datos cuyo bloqueo haya ordenado la autoridad

4. Obligaciones de la Empresa (Responsable)

• Tener una política de tratamiento propia y darla a conocer a sus clientes
• Contar con la autorización previa, expresa e informada de los titulares cuando la ley la exige, y conservar la prueba
• Pedir autorización explícita para datos sensibles e informar que su entrega es facultativa; tratar datos de menores solo con la autorización de su representante
• Atender las consultas y reclamos de los titulares dentro de los plazos legales (10 y 15 días hábiles)
• Configurar la Plataforma de acuerdo con sus finalidades (qué canales conecta, si la IA responde sola o propone, cuánto tiempo conserva los chats) y cumplir las políticas de WhatsApp, Meta y demás plataformas
• Informar a Grand Line cualquier novedad que deba conocer para tratar los datos correctamente

5. Subencargados

La Empresa autoriza a Grand Line a apoyarse en estos proveedores, que tratan datos solo para prestar el servicio y bajo obligaciones de seguridad y confidencialidad:

• Google Cloud / Firebase (base de datos, archivos, autenticación)
• Vercel (alojamiento de la aplicación)
• Google Gemini, OpenAI y Anthropic (inteligencia artificial, mediante API comerciales que no usan por defecto los datos para entrenar)
• Meta (WhatsApp, Instagram, Messenger) y TikTok, cuando la Empresa conecta esos canales
• Dropi, Shopify, MercadoLibre y Mercado Pago, cuando la Empresa los conecta

Avisaremos en esta página los cambios en la lista. Las plataformas que la Empresa conecta por decisión propia (por ejemplo, su cuenta de WhatsApp Business) tratan los datos también bajo el contrato que la Empresa tiene con ellas.

6. Transferencia internacional

Algunos subencargados procesan datos fuera de Colombia, principalmente en Estados Unidos. La Empresa autoriza esa transmisión. Grand Line la hace con proveedores que ofrecen niveles adecuados de protección y con las garantías contractuales que exige la ley.

7. Retención

El contenido de los mensajes de Den Den se conserva por el plazo que la Empresa elija en Configuración › Privacidad (24 meses por defecto); vencido, se elimina el texto y los adjuntos y quedan solo cifras. Los demás datos se conservan mientras la Empresa tenga su cuenta.

8. Terminación, devolución y supresión

Al terminar la relación, la Empresa puede descargar sus datos desde Configuración › Privacidad. Si pide el borrado, se ejecuta 30 días después de la solicitud (plazo en el que puede cancelarlo). Grand Line conserva solo lo que la ley le obligue a guardar y los registros de auditoría, por el tiempo que la ley exija.

9. Verificación

A petición razonable de la Empresa, Grand Line le dará la información necesaria para verificar el cumplimiento de este contrato, sin revelar datos de otras empresas ni información que comprometa la seguridad de la Plataforma.

10. Ley aplicable y contacto

Este contrato se rige por la ley colombiana y forma parte de los Términos de Servicio. Para cualquier asunto de datos personales: ceo@taboecom.com.