En adelante ADA se denominará "el Proveedor" y la institución se denominará "la Institución". Conjuntamente se les llamará "las Partes".
Este Acuerdo de Tratamiento de Datos (ATD) regula las condiciones bajo las cuales el Proveedor otorga a la Institución acceso parcial a la plataforma Paloma y a ciertos datos de bienestar de niños y adolescentes vinculados a dicha institución, para los siguientes propósitos exclusivos:
| Tipo de institución | Propósito autorizado |
|---|---|
| 🏫 Colegio / institución educativa | Monitoreo colectivo anonimizado del clima emocional estudiantil; recepción de alertas de crisis individuales únicamente con autorización parental previa; herramientas para orientadores escolares. |
| 🏥 EPS / aseguradora de salud | Oferta de Paloma como beneficio complementario de bienestar para afiliados; acceso a reportes de uso anonimizados y agregados; sin acceso a datos individuales identificados. |
| 🩺 IPS / centro terapéutico | Dashboard clínico multi-paciente para los profesionales de la institución que hayan sido autorizados individualmente por cada acudiente; hilo clínico; exportación de reportes. |
| Actor | Rol bajo la Ley 1581 | Responsabilidades principales |
|---|---|---|
| ADA (Proveedor) | Responsable del Tratamiento | Define las finalidades; garantiza los derechos de los titulares; mantiene la seguridad de la infraestructura; es el punto de contacto ante la SIC. |
| La Institución | Encargado del Tratamiento | Accede a los datos solo para los fines autorizados; garantiza la confidencialidad de sus usuarios; notifica incidentes a ADA; no cede datos a terceros. |
| Acudiente / padre de familia | Titular (representante del menor) | Otorga o revoca el consentimiento de vinculación con la institución; puede limitar el acceso en cualquier momento. |
| Niño / adolescente | Titular de los datos | Sus datos solo se comparten con la institución cuando el acudiente lo autoriza expresamente. |
| Dato | 🏫 Colegio | 🏥 EPS | 🩺 IPS/terapeuta |
|---|---|---|---|
| Nombre del estudiante | En alertas Nivel 0 y Nivel 1 | ❌ Nunca | ✅ Sí (autorizado por acudiente) |
| Indicador semanal de bienestar | ✅ Anonimizado (grupo) | ✅ Solo agregados | ✅ Individual autorizado |
| Registros emocionales detallados | ❌ Nunca | ❌ Nunca | ✅ Solo si acudiente lo autoriza |
| Pensamientos libres (texto) | ❌ Nunca | ❌ Nunca | ❌ Nunca (cifrado de extremo a extremo) |
| Alertas de crisis (Nivel 0 y 1) | Niveles 0 y 1 con autorización | ❌ Nunca | ✅ Niveles 0 y 1 (autorizado) |
| Estadísticas de uso agregadas | ✅ Del grupo completo | ✅ De la población afiliada | ✅ Del paciente autorizado |
| Datos de facturación / pago | ❌ Nunca | ❌ Nunca | ❌ Nunca |
Al suscribir este acuerdo, la Institución se compromete a:
| Medida | Descripción |
|---|---|
| Cifrado en tránsito | TLS 1.3 en todas las comunicaciones entre app, plataforma web y servidores |
| Cifrado en reposo | AES-256 para datos sensibles. Los pensamientos libres del menor usan cifrado de extremo a extremo — ADA no tiene acceso |
| Control de acceso por roles (RBAC) | Row Level Security en base de datos: cada usuario institucional solo ve los datos de sus estudiantes/pacientes autorizados |
| Autenticación segura | Contraseñas con hash bcrypt · JWT de corta duración · Soporte 2FA para cuentas institucionales |
| Logs de auditoría | Registro de todos los accesos a datos sensibles con timestamp, IP y usuario — retención 12 meses |
| Gestión de incidentes | Protocolo documentado de respuesta a incidentes con notificación a la SIC sin dilación indebida |
ADA utiliza los siguientes subprocesadores para prestar el servicio. La Institución acepta estos subprocesadores al firmar este acuerdo:
| Subprocesador | Propósito | Ubicación | Garantías |
|---|---|---|---|
| Supabase | Base de datos, autenticación e infraestructura | EE.UU. (Oregon) | DPA firmado · cifrado en tránsito (TLS) y en reposo |
| Expo (EAS) | Plataforma de apps móviles y notificaciones push | EE.UU. | Solo tokens de dispositivo · sin acceso a datos sensibles |
| Groq | Inferencia del asistente Lumi (IA) | EE.UU. | Procesa los mensajes del chat de Lumi para generar la respuesta · no se usan para entrenar modelos |
ADA notificará a la Institución con al menos 15 días de anticipación ante la adición de nuevos subprocesadores que puedan afectar los datos de la institución.
| Evento | ADA notifica a la Institución | ADA notifica a la SIC |
|---|---|---|
| Acceso no autorizado a datos de la institución | Dentro de 24 horas | Dentro de 72 horas |
| Brecha de datos confirmada que afecta menores | Dentro de 24 horas | Dentro de 72 horas |
| Vulnerabilidad crítica sin explotación confirmada | Dentro de 72 horas | Según evaluación de riesgo |
| Indisponibilidad del servicio > 4 horas | Inmediatamente por el canal de soporte | No aplica |
Este acuerdo entra en vigor en la fecha de firma y tiene una vigencia de un (1) año, renovable automáticamente por períodos iguales salvo que cualquiera de las partes notifique su intención de no renovar con 30 días de anticipación.
Al término del acuerdo, la Institución deberá: (1) cesar inmediatamente el acceso a la plataforma, (2) destruir o devolver a ADA toda información obtenida, (3) confirmar por escrito el cumplimiento de estas obligaciones dentro de los 5 días hábiles siguientes a la terminación.
Este acuerdo se rige por las leyes de la República de Colombia, en particular la Ley 1581 de 2012, el Decreto 1377 de 2013 y el Código de Comercio. Las controversias se resolverán conforme al mecanismo establecido en los Términos y Condiciones de Uso de Paloma (negociación → conciliación → jueces de Ibagué).
Las partes, debidamente representadas, suscriben el presente Acuerdo de Tratamiento de Datos en la ciudad de _________________, el día _____ del mes de _________________ de _______.
En señal de aceptación de todas y cada una de las cláusulas aquí establecidas: