1.1 El presente Acuerdo de Tratamiento de Datos Personales (el "DPA") se celebra entre Axxon B.V., sociedad constituida conforme a las leyes de Curazao, registrada bajo el número 133383 ante la Cámara de Comercio e Industria de Curazao, con domicilio social en Bon Bini Business Center Unit 1-10, Curazao, actuando por sí misma y en nombre de sus filiales que traten Datos Personales en relación con los Servicios (conjuntamente, "Axxon"), y la entidad identificada como cliente en el Contrato Principal (el "Cliente").
1.2 Se entiende por "Contrato Principal" el acuerdo marco de servicios, propuesta, orden de compra, cotización u otro acuerdo escrito celebrado entre Axxon y el Cliente que rija el acceso y uso por parte del Cliente de los servicios de gestión de flotas en la nube, cámaras de tablero (dashcam), telemática de video y servicios conexos de Axxon (los "Servicios").
1.3 Mediante la suscripción de un Contrato Principal que haga referencia al presente DPA, o mediante el uso continuado de los Servicios con posterioridad al aviso del presente DPA, el Cliente acepta quedar vinculado por este. El presente DPA forma parte integral del Contrato Principal y se incorpora a este por referencia. No se requiere firma separada.
1.4 El presente DPA aplica cuando y en la medida en que Axxon trate Datos Personales por cuenta del Cliente en relación con la prestación de los Servicios.
1.5 Cuando los Servicios se presten respecto de Tratamiento realizado en la República de Colombia, aplicará el Anexo Colombia y el término "Axxon" se interpretará conforme al literal A de dicho Anexo. Axxon B.V. celebra el presente DPA por sí misma y en nombre de Axxon Latam S.A.S.
1.6 En caso de conflicto respecto del Tratamiento de Datos Personales: (i) el Anexo Regional aplicable prevalecerá sobre el cuerpo del presente DPA respecto del Tratamiento realizado en la jurisdicción a la que dicho Anexo aplique; (ii) el presente DPA prevalecerá sobre el Contrato Principal; y (iii) cuando resulten aplicables las Cláusulas Contractuales Tipo, estas prevalecerán en la medida de cualquier conflicto, conforme a su Cláusula 5.
1.7 Axxon podrá actualizar el presente DPA conforme a lo previsto en la Sección 18.2.
1.8 Toda notificación bajo el presente DPA deberá dirigirse a Axxon a [email protected] y al Cliente a los datos de contacto indicados en el Contrato Principal.
Para efectos del presente DPA:
"Datos Personales" significa cualquier información vinculada o que pueda asociarse a una persona natural identificada o identificable.
"Tratamiento" significa cualquier operación realizada sobre Datos Personales.
"Responsable del Tratamiento" significa la entidad que determina las finalidades y los medios del Tratamiento.
"Encargado del Tratamiento" significa la entidad que trata Datos Personales por cuenta del Responsable del Tratamiento.
"Legislación Aplicable en Materia de Protección de Datos" significa todas las leyes y reglamentos aplicables en materia de protección de datos, privacidad y seguridad de la información vigentes de tiempo en tiempo que resulten aplicables al Tratamiento de Datos Personales bajo el presente DPA, incluyendo sin limitación: (i) el Reglamento General de Protección de Datos (UE) 2016/679 ("RGPD") y su legislación nacional de desarrollo; (ii) el RGPD del Reino Unido y la UK Data Protection Act 2018; (iii) la Ley Federal Suiza de Protección de Datos ("FADP"), en su versión revisada; (iv) la Ley 1581 de 2012 y el Decreto 1074 de 2015 de Colombia y sus normas reglamentarias; (v) las leyes federales y estatales de privacidad aplicables de los Estados Unidos, incluida la California Consumer Privacy Act ("CCPA") según fue modificada por la California Privacy Rights Act ("CPRA"); y (vi) cualquier otra ley de protección de datos o privacidad aplicable a la jurisdicción correspondiente en la que el Cliente opere o en la que se encuentren los Titulares de los Datos Personales.
El Cliente actúa como Responsable del Tratamiento de los Datos Personales.
Axxon actúa como Encargado del Tratamiento y tratará los Datos Personales exclusivamente por cuenta del Cliente y conforme a las instrucciones documentadas de este.
Axxon trata los Datos Personales en la medida necesaria para prestar los Servicios bajo el Contrato Principal, incluidas las funcionalidades de rastreo de flotas, telemática de video, monitoreo operativo y las funcionalidades conexas de analítica y reportería.
Los Datos Personales tratados bajo el presente DPA pueden incluir:
Axxon no realiza intencionalmente reconocimiento facial ni trata datos biométricos.
Los Titulares pueden incluir conductores, empleados, contratistas y usuarios autorizados del Cliente.
Axxon tratará los Datos Personales únicamente en la medida necesaria para prestar los Servicios y estrictamente conforme a las instrucciones documentadas del Cliente, incluidas las establecidas en el presente DPA y en el Contrato Principal. La configuración y el uso de los Servicios por parte del Cliente constituirán instrucciones documentadas para efectos del presente DPA. Si la Legislación Aplicable en Materia de Protección de Datos exigiera a Axxon tratar Datos Personales más allá del alcance de las instrucciones del Cliente, Axxon informará al Cliente de dicha exigencia legal con anterioridad al Tratamiento (salvo que la ley aplicable lo prohíba por razones de interés público). Si Axxon considera que alguna instrucción del Cliente infringe la Legislación Aplicable en Materia de Protección de Datos, lo notificará al Cliente sin demora.
Axxon no tratará los Datos Personales para sus propias finalidades.
Los Datos Personales se conservarán conforme a las instrucciones del Cliente y a la configuración de los Servicios.
Los datos de ubicación GPS se conservan durante la vigencia del Contrato Principal, salvo configuración distinta por parte del Cliente.
Las grabaciones de video se conservan por aproximadamente treinta (30) días, salvo configuración distinta por parte del Cliente.
No obstante lo anterior, Axxon podrá conservar Datos Personales por periodos más prolongados cuando ello sea exigido para cumplir la ley aplicable, obligaciones de retención legal (legal hold), requerimientos de resolución de controversias o necesidades legítimas de preservación probatoria.
El Cliente otorga por este medio autorización general y escrita para que Axxon vincule subencargados en apoyo de la prestación de los Servicios, sujeto a las condiciones establecidas en la presente Sección 9. Axxon dará aviso previo y escrito al Cliente de cualquier cambio previsto relativo a la adición o sustitución de subencargados, mediante la actualización de la lista contenida en el Anexo III o mediante notificación al Cliente por correo electrónico con al menos treinta (30) días de antelación. El Cliente podrá objetar dicho cambio por motivos razonables de protección de datos, notificando a Axxon por escrito dentro de los quince (15) días siguientes a la recepción de dicho aviso. Si las partes no logran resolver la objeción dentro de un plazo razonable, cualquiera de ellas podrá dar por terminada la porción afectada de los Servicios mediante notificación escrita, sin penalidad.
Los subencargados de Axxon incluyen, sin limitación:
Axxon impondrá a cada subencargado obligaciones de protección de datos no menos protectoras que las establecidas en el presente DPA. Axxon permanecerá plenamente responsable frente al Cliente por el cumplimiento de las obligaciones del subencargado, en la medida en que este incumpla sus obligaciones de protección de datos. La lista vigente de subencargados se encuentra en el Anexo III.
Axxon implementará medidas técnicas y organizativas apropiadas, diseñadas para proteger los Datos Personales contra el Tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidentales.
Dichas medidas serán apropiadas a la naturaleza de los Datos Personales tratados, a los riesgos involucrados y al estado de la técnica, e incluirán, como mínimo:
Axxon, teniendo en cuenta la naturaleza del Tratamiento, asistirá al Cliente mediante medidas técnicas y organizativas apropiadas en el cumplimiento de las obligaciones del Cliente de atender las solicitudes de los Titulares.
Axxon no responderá directamente dichas solicitudes, salvo que la ley aplicable así se lo exija.
Axxon notificará al Cliente sin dilación indebida, una vez tenga conocimiento de ello, de cualquier violación de seguridad que afecte los Datos Personales tratados bajo el presente DPA. Dicha notificación incluirá, en la medida en que la información esté disponible en ese momento: (i) una descripción de la naturaleza de la violación, incluidas las categorías y el número aproximado de Titulares y de registros de Datos Personales afectados; (ii) las consecuencias probables de la violación; (iii) las medidas adoptadas o propuestas por Axxon para atender la violación, incluidas las medidas de mitigación; y (iv) el nombre y los datos de contacto del punto de contacto de protección de datos de Axxon.
Cuando la información completa no se encuentre disponible al momento de la notificación inicial, Axxon suministrará una notificación inicial seguida de información complementaria tan pronto como sea razonablemente posible. Axxon cooperará con el Cliente y adoptará las medidas razonables que este indique para asistir en la investigación, mitigación y remediación de dicha violación.
A la terminación o vencimiento del Contrato Principal, Axxon, a elección del Cliente, suprimirá o devolverá los Datos Personales, salvo que su conservación sea exigida por la ley aplicable.
Axxon completará dicha supresión o devolución dentro de los treinta (30) días siguientes a la terminación o vencimiento del Contrato Principal, y entregará al Cliente certificación escrita de dicha supresión cuando este así lo solicite. Las copias residuales contenidas en sistemas de respaldo se suprimirán en el curso ordinario del ciclo de rotación de respaldos de Axxon, y no serán accesibles para el personal de Axxon durante dicho periodo, salvo en la medida requerida para mantener la integridad del sistema de respaldo.
Los Datos Personales se suprimirán mediante métodos de eliminación segura comercialmente razonables, diseñados para impedir su recuperación o reconstrucción no autorizadas.
Cuando los Datos Personales se transfieran a un país o territorio distinto de la jurisdicción en la que fueron originalmente recolectados, Axxon garantizará que dicha transferencia se realice en cumplimiento de la Legislación Aplicable en Materia de Protección de Datos y que existan garantías apropiadas para proteger los Datos Personales, incluyendo sin limitación: (i) para transferencias desde el EEE o el Reino Unido: las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea o el UK International Data Transfer Agreement equivalente, según corresponda; (ii) para transferencias desde Colombia: un contrato de transmisión de datos que cumpla con la Ley 1581 de 2012; (iii) para transferencias desde otras jurisdicciones: los mecanismos de transferencia equivalentes que exija la Legislación Aplicable en Materia de Protección de Datos. Axxon prestará al Cliente asistencia razonable en la documentación y formalización de dichos mecanismos de transferencia cuando este así lo solicite.
Axxon garantizará que toda persona autorizada para tratar Datos Personales por su cuenta esté sujeta a obligaciones apropiadas de confidencialidad, ya sea por contrato o por deber profesional, y que el acceso a los Datos Personales se limite al personal que lo requiera para la prestación de los Servicios.
La responsabilidad de cada parte bajo el presente DPA o en relación con este, ya sea de naturaleza contractual, extracontractual (incluida la culpa), por incumplimiento de un deber legal o de cualquier otra índole, estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el Contrato Principal. Nada en el presente DPA limitará la responsabilidad de cualquiera de las partes por fraude, culpa grave o dolo, ni cualquier responsabilidad que no pueda excluirse o limitarse conforme a la ley aplicable.
17.1 Acuerdo íntegro. El presente DPA, junto con el Contrato Principal y sus anexos, constituye el acuerdo íntegro entre las partes respecto del Tratamiento de Datos Personales y sustituye todos los acuerdos y entendimientos previos relativos a la misma materia.
17.2 Modificaciones y actualizaciones.
(a) Axxon podrá actualizar el presente DPA de tiempo en tiempo cuando ello resulte razonablemente necesario para reflejar cambios en la Legislación Aplicable en Materia de Protección de Datos, en los Servicios, en los subencargados de Axxon o en las medidas técnicas y organizativas de Axxon.
(b) Axxon notificará al Cliente toda actualización sustancial con al menos treinta (30) días de antelación a su entrada en vigencia, mediante correo electrónico dirigido a la dirección de contacto del Cliente o mediante la publicación de la versión actualizada en https://axxon.co/dpa, notificando al Cliente que así lo ha hecho. Las actualizaciones no sustanciales, incluida la corrección de errores formales, entran en vigencia con su publicación. Cuando una actualización sea exigida para cumplir la Legislación Aplicable en Materia de Protección de Datos o una orden vinculante de autoridad competente en un plazo más breve, la actualización entrará en vigencia en la fecha exigida por dicha ley u orden, y Axxon lo notificará al Cliente tan pronto como sea razonablemente posible.
(c) Ninguna actualización realizada bajo la presente Sección reducirá materialmente el nivel general de protección otorgado a los Datos Personales, en comparación con la versión del presente DPA vigente en el momento en que el Cliente celebró o renovó por última vez el Contrato Principal.
(d) Sujeto al literal (c), la versión del presente DPA publicada en https://axxon.co/dpa a la fecha de un Tratamiento determinado regirá dicho Tratamiento.
(e) Los cambios al Anexo III (Subencargados) se rigen exclusivamente por la Sección 9, y los literales (b) y (c) de la presente Sección no les resultan aplicables.
(f) Cuando Axxon y el Cliente hayan acordado por escrito, mediante documento suscrito por representantes autorizados de ambas partes, condiciones que se aparten del presente DPA, dichas condiciones acordadas prevalecerán sobre cualquier actualización posterior realizada bajo la presente Sección durante la vigencia del Contrato Principal, y solo podrán modificarse mediante nuevo documento escrito suscrito por ambas partes.
17.3 Divisibilidad. Si alguna disposición del presente DPA resultare inexigible, las demás disposiciones continuarán en pleno vigor y efecto.
| Concepto | Detalle |
| Responsable del Tratamiento | El Cliente |
| Encargado del Tratamiento | Axxon |
| Objeto | Prestación de servicios de gestión de flotas y telemática de video en la nube |
| Naturaleza y finalidad | Tratamiento necesario para prestar los Servicios |
| Categorías de datos | Según se describe en la Sección 5 |
| Categorías de Titulares | Según se describe en la Sección 6 |
| Conservación | Según se describe en la Sección 8 |
Según se describe en la Sección 10 del presente DPA.
El presente DPA incorpora los requisitos del artículo 28 del RGPD.
Cuando resulte aplicable, las Cláusulas Contractuales Tipo (Responsable a Encargado) aplicarán a las transferencias de Datos Personales fuera del EEE.
El presente Anexo complementa, desarrolla y forma parte integral del presente DPA, y aplica exclusivamente respecto del Tratamiento de datos realizado en la República de Colombia.
En caso de conflicto, inconsistencia o contradicción entre las condiciones generales del DPA y el presente Anexo Colombia, prevalecerán las disposiciones de este último, exclusivamente respecto del Tratamiento de datos realizado en Colombia.
Para efectos del Tratamiento de datos realizado en Colombia, aplican las siguientes modificaciones a los términos del DPA:
Para efectos del Tratamiento de Datos Personales realizado en la República de Colombia, "Axxon" se referirá exclusivamente a Axxon Latam S.A.S., sociedad debidamente constituida conforme a las leyes de la República de Colombia, identificada con NIT 901.911.215-4 y domiciliada en Cali, Colombia.
Para efectos del presente Anexo, significa la Ley 1581 de 2012 y el Decreto 1074 de 2015 de Colombia y sus normas reglamentarias.
El presente DPA constituye un Contrato de Transmisión de Datos Personales conforme al artículo 25 de la Ley 1581 de 2012, al Decreto 1074 de 2015 y a las instrucciones de la Superintendencia de Industria y Comercio (SIC). Mediante la celebración del presente DPA, las partes confirman que se han implementado las protecciones contractuales exigidas para una transmisión de datos.
Para efectos de la legislación colombiana de protección de datos personales, las partes reconocen y aceptan que el Tratamiento de Datos Personales realizado por Axxon constituye una Transmisión de Datos Personales, en virtud de la cual Axxon actúa como Encargado del Tratamiento exclusivamente por cuenta y bajo las instrucciones del Cliente, quien actúa como Responsable del Tratamiento. Axxon no determinará de manera independiente las finalidades ni los medios del Tratamiento, y tratará los Datos Personales exclusivamente para las finalidades de prestación de los Servicios bajo el Contrato Principal.
Axxon tratará los Datos Personales exclusivamente conforme a las instrucciones del Cliente y en cumplimiento de la Ley 1581 de 2012 y su marco reglamentario. En su calidad de Encargado del Tratamiento, Axxon deberá:
(i) implementar medidas de seguridad técnicas, humanas y administrativas apropiadas para proteger los Datos Personales;
(ii) mantener la confidencialidad respecto de los Datos Personales tratados;
(iii) no compartir los Datos Personales con terceros distintos de los subencargados autorizados;
(iv) notificar al Cliente sin demora cualquier incidente de seguridad o acceso no autorizado a los Datos Personales;
(v) abstenerse de utilizar los Datos Personales para finalidades distintas de las previstas en el presente DPA;
(vi) suprimir o devolver los Datos Personales a la terminación de la relación, salvo que la ley aplicable exija lo contrario; y
(vii) abstenerse de cumplir cualquier instrucción del Cliente que, en opinión razonable de Axxon, vulnere las leyes o reglamentos colombianos aplicables en materia de protección de datos, siempre que Axxon informe al Cliente sin demora de la respectiva preocupación jurídica.
Cuando la legislación colombiana exija que la autorización aplicable para el Tratamiento de Datos Personales sea obtenida expresamente de los Titulares, el Cliente será responsable de obtener dichas autorizaciones con anterioridad a la transmisión de los Datos Personales a Axxon.
Las funcionalidades de grabación de audio y video solo podrán ser habilitadas por el Cliente, a su exclusiva discreción y bajo su exclusiva responsabilidad.
El Cliente será el único responsable de determinar si el uso de las funcionalidades de grabación de audio y video cumple con las leyes aplicables en materia laboral, de empleo, privacidad, videovigilancia y protección de datos en las jurisdicciones donde se utilicen los Servicios, incluida la obtención de los avisos, autorizaciones o consentimientos que resulten exigibles de los Titulares.
El Cliente será igualmente el único responsable de definir las finalidades y condiciones bajo las cuales se utilicen dichas funcionalidades. Axxon no verifica, monitorea ni garantiza la validez jurídica de dichos avisos, autorizaciones, consentimientos o actividades de Tratamiento realizadas por el Cliente.
La Sección 12 incluirá el siguiente texto adicional:
Axxon cooperará razonablemente con el Cliente en relación con cualquier obligación de notificación ante la Superintendencia de Industria y Comercio (SIC) o ante cualquier otra autoridad competente derivada de una violación de seguridad de Datos Personales.
Axxon mantendrá registros apropiados relativos a dicho incidente de seguridad y preservará la evidencia relevante que resulte razonablemente necesaria para efectos de investigación y remediación.
La Sección 14 incluirá el siguiente texto adicional:
El Cliente reconoce y acepta que los Datos Personales pueden ser transmitidos o transferidos internacionalmente en la medida necesaria para la prestación de los Servicios, incluso hacia jurisdicciones que pueden no ofrecer un nivel equivalente de protección de datos conforme a la legislación colombiana.
El Cliente será responsable de obtener las autorizaciones, consentimientos o fundamentos jurídicos exigidos por la legislación colombiana aplicable para dichas transferencias o transmisiones internacionales de Datos Personales.
Las partes acuerdan que toda transmisión o transferencia internacional de Datos Personales se realizará conforme al principio de circulación restringida y sujeta a las garantías exigidas por la Ley 1581 de 2012 y sus normas reglamentarias.
18. DATOS SENSIBLES
Las partes reconocen que los Servicios no están destinados a la recolección ni al Tratamiento intencional de Datos Personales sensibles, incluidos datos biométricos, datos de salud u otras categorías de datos sensibles conforme a la ley aplicable.
En la medida en que se capten incidentalmente Datos Personales sensibles mediante el uso de los Servicios, el Cliente será responsable de garantizar que exista un fundamento jurídico apropiado para dicho Tratamiento y que se satisfagan todos los requisitos legales aplicables.
En la medida en que resulte aplicable, Axxon actuará como "Service Provider" o "Processor" conforme a las leyes de privacidad aplicables de los Estados Unidos, incluidas la California Consumer Privacy Act (CCPA) y la California Privacy Rights Act (CPRA).
Axxon no venderá Datos Personales y no conservará, utilizará ni divulgará Datos Personales para finalidad distinta de la finalidad específica de prestar los Servicios conforme al Contrato Principal.
