Versión preliminar del 13 de octubre de 2026, pendiente de revisión jurídica. No constituye asesoría legal.

Acuerdo de encargo de tratamiento de datos (DPA)

Operador: VETCITAS. NIT: en trámite. Contacto: dderek770@gmail.com. La identificación jurídica completa y los datos de notificación del operador están pendientes de validación antes de aprobar estos documentos.

1. Partes y representación

Este modelo vincula a la clínica identificada en alta y condiciones particulares, como responsable, y a VETCITAS, como encargado de su información clínica. Antes de formalizarlo deben completarse identidad jurídica de ambas partes y representación válida de quien actúe por la clínica. No se presume que cualquier integrante del personal pueda obligarla.

La aceptación corresponde al administrador que declare expresamente actuar con facultades por la clínica, para la versión y ámbito mostrados. La aceptación individual del personal no sustituye esa declaración. La suplantación de soporte no permite aceptar por el titular o representante. La evidencia debe identificar documento, versión, integridad, actor, ámbito, fecha, canal y decisión; no se presenta como firma digital certificada.

La clínica es responsable de los datos de sus clientes: decide las finalidades de atención, agenda, historia veterinaria y cobros. VETCITAS es encargado al tratarlos por sus instrucciones. VETCITAS es responsable de las cuentas de plataforma y de los contactos comerciales, así como de sus finalidades propias de contratación, facturación del servicio y seguridad. Administrar la identidad técnica global del dueño no autoriza a reunir historias de distintas clínicas ni a reutilizarlas para publicidad propia.

2. Objeto, alcance y duración

El encargo comprende recoger, registrar, alojar, consultar, actualizar, comunicar a destinatarios autorizados, exportar y suprimir datos por instrucciones documentadas de la clínica, para agenda, atención veterinaria, historia, vacunas, documentos, cobros, comunicaciones asistenciales y soporte contratado. Comprende clientes y representantes, contactos de emergencia, personal clínico y terceros legítimamente incorporados a documentos; incluye identidad, contacto, animales vinculados, citas, registros veterinarios, firmas visuales, adjuntos, pagos y actividad necesaria.

Se concreta con el inventario de la política de tratamiento, configuración clínica y condiciones particulares. No comprende usos propios de VETCITAS sobre expedientes clínicos para publicidad, venta o entrenamiento propio de modelos. Las cuentas técnicas y finalidades comerciales propias se rigen por su política como responsable y se separan del encargo.

Dura mientras se preste el servicio y se ejecute devolución o eliminación pendiente. Confidencialidad y conservación legal delimitada subsisten mientras correspondan.

3. Instrucciones y obligaciones del responsable

La clínica deberá documentar finalidades, política, legitimación, autorizaciones o excepción aplicable, categorías de datos y usuarios autorizados. Asegurará exactitud, minimización, permisos, baja de personal y archivo obligatorio y decidirá solicitudes de titulares sobre sus registros.

Las instrucciones se documentarán mediante configuración autorizada, solicitudes de soporte y condiciones acordadas. VETCITAS informará las que considere contrarias a la normativa y requerirá aclaración antes de ejecutarlas. Una obligación legal que exija otro tratamiento deberá identificarse y comunicarse cuando la ley lo permita. El responsable no instruirá acceso a datos de otras clínicas ni autorizará datos de contactos ajenos sin legitimación.

4. Obligaciones del encargado y soporte

VETCITAS deberá limitar el tratamiento a instrucciones válidas, restringir acceso a personas autorizadas sujetas a confidencialidad, mantener separación por clínica y asistir en derechos, rectificaciones, exportación y supresión. El acceso de soporte por suplantación será justificado, limitado y registrado según los controles disponibles; no permite prestar consentimiento por el titular ni cambiar su contraseña o correo en su nombre.

El encargado no debe copiar expedientes completos a registros de diagnóstico ni reutilizar información asistencial para fines propios. Las entregas excluyen datos ajenos y secretos y se realizan a destinatarios verificados. Datos humanos sensibles o de menores requieren evaluación específica; no se incorporan como categoría rutinaria.

Seguridad y confidencialidad

Las medidas de seguridad describen controles de acceso, protección de credenciales y aislamiento por clínica, con sus límites. Historias y archivos no tienen cifrado integral a nivel de aplicación; el cifrado de disco, copias y configuración del servidor requieren verificación. La auditoría cubre operaciones y eventos seleccionados, con alcance parcial. Estos controles reducen riesgos y requieren mantenimiento, sin garantizar ausencia de incidentes.

Las partes deben acordar medidas técnicas, humanas y administrativas proporcionales al riesgo, revisar servidor, copias, accesos y recuperación y conservar evidencia de esas verificaciones. El enlace describe el alcance técnico documentado; no acredita por sí solo todas las medidas contractuales propuestas ni una certificación de producción.

Proveedores y circulación de datos

Según las funciones utilizadas y la configuración, intervienen:

• Resend: correo transaccional principal; Brevo: correo de respaldo. Reciben destinatario, asunto, contenido y adjuntos, que pueden incluir recibos e historias veterinarias. Un reintento puede pasar por ambos.
• Cloudflare Turnstile: protección de formularios contra abuso; trata el desafío, señales del navegador y, cuando se envía en la verificación, la IP.
• Groq IA: asistencia mediante texto, mensajes y contexto enviados al asistente cuando está habilitado y se utiliza. No se ha acreditado anonimización automática ni exclusión de entrenamiento o retención en la cuenta contratada.
• Firebase Cloud Messaging (FCM): entrega de notificaciones a dispositivos mediante su token y el contenido del aviso; requiere credenciales y dispositivos registrados. Su activación efectiva está por confirmar.
• Sentry: errores y trazas técnicas cuando está configurado. Reducir los datos personales predeterminados no garantiza que errores o contexto estén libres de ellos.
• Mercado Pago y Wompi: pagos de clientes cuando la clínica activa y conecta la pasarela. Mercado Pago también puede gestionar suscripciones de VETCITAS con configuración de plataforma, como operación distinta. El medio de pago se introduce en el proveedor externo, que puede tratar datos para fines propios.
• Hosting y almacenamiento: alojamiento de aplicación, base de datos, archivos y copias según el despliegue; proveedor y condiciones por confirmar.

El inventario de terceros explica datos, finalidades y condiciones de activación. Estas integraciones no prueban que todas estén activas ni que sus contratos estén formalizados. Entidades contratadas, países de tratamiento, subencargados y garantías deben confirmarse; algunos tratamientos pueden ocurrir fuera del país del titular. Debe distinguirse la transmisión por cuenta de un responsable de la transferencia a otro responsable y verificar el mecanismo jurídico aplicable antes de habilitar cada tratamiento. La lista no autoriza cualquier proveedor o finalidad futura.

Subencargados y tratamiento internacional

El inventario público es punto de partida y no sustituye el anexo contractual aprobado. Antes de habilitar un subencargo identificable, las partes confirmarán entidad, función, datos, países, garantías, conservación, incidentes y salida y formalizarán obligaciones. Se exigirán confidencialidad y protección compatibles con el encargo. No se declara que estos contratos ya estén firmados.

Se propone informar cambios relevantes de subencargados con 15 días de antelación y permitir objeción fundada, alternativa viable o salida acordada si no puede resolverse. Plazo y mecanismo requieren aprobación en condiciones particulares; no se autoriza indiscriminadamente cualquier proveedor futuro. Las responsabilidades propias de pasarelas se distinguen del subencargo.

En Colombia se revisarán el artículo 26 de la Ley 1581 y los artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 según sea transferencia o transmisión. No se presume que toda circulación internacional exija idéntico consentimiento separado ni que una casilla sanee una transferencia. Para Venezuela se validará el régimen antes de tratar datos fuera del país. La IA identificable debe limitarse hasta confirmar instrucciones y garantías suficientes; no se asegura anonimización ni exclusión de entrenamiento por Groq sin evidencia.

Derechos y canales de atención

El titular puede conocer, actualizar y rectificar sus datos, acceder gratuitamente a ellos, solicitar prueba de autorización e información sobre su uso, y pedir revocación o supresión cuando proceda. Puede presentar queja ante la Superintendencia de Industria y Comercio en Colombia, después del trámite previo aplicable ante responsable o encargado. Una obligación legal o contractual de conservación puede limitar la supresión; la respuesta debe explicar fundamento, datos conservados y plazo.

Los canales son el formulario de derechos, el portal o la app con cuenta autenticada, y dderek770@gmail.com. Este contacto recibe las solicitudes y coordina con la clínica cuando sea responsable. La designación interna de la persona o área de protección de datos está pendiente de formalización. Se debe indicar nombre, medio de respuesta, clínica si corresponde, solicitud y hechos. Se verifica identidad o representación con información proporcional, sin exigir copia de documento por defecto ni revelar datos ajenos. Los derechos no dependen de pagar o mantener una prueba activa.

En Colombia, las consultas se responden en 10 días hábiles desde su recepción; una extensión de hasta 5 días hábiles adicionales exige informar motivo y nueva fecha antes de vencer. Los reclamos se atienden en 15 días hábiles desde el día siguiente a su recepción, con extensión motivada e informada antes del vencimiento de hasta 8 días hábiles adicionales. Se utiliza el calendario hábil aplicable, incluidos sus festivos.

Si el reclamo está incompleto, se pide subsanarlo dentro de los 5 días siguientes a su recepción; tras 2 meses desde el requerimiento sin completarlo, se entiende desistido. Quien no sea competente lo traslada en máximo 2 días hábiles e informa al solicitante. Recibido el reclamo completo, se incorpora la indicación de reclamo en trámite y su motivo en un máximo de 2 días hábiles hasta decidirlo. La coordinación con la clínica no reinicia los términos.

Estos plazos corresponden a la Ley 1581 de 2012. Para Venezuela se proponen como estándar contractual de atención, pendiente de aprobación, sin presentarlos como plazos legales locales ni limitar derechos o recursos exigibles allí.

Se propone remitir a la clínica solicitudes de su competencia en máximo 2 días hábiles y asistirla sin reiniciar ni ampliar los términos del titular. La clínica comunica decisión motivada y VETCITAS ejecuta instrucciones válidas; el operador atiende directamente solicitudes relativas a sus fines propios.

Incidentes, colaboración y auditoría

El encargado notificará a la clínica incidentes de datos conocidos sin dilación indebida. Se propone un objetivo contractual de 24 horas desde el conocimiento, pendiente de aprobación y capacidad operativa; no es un plazo legal universal. Se comunicará información disponible sobre hechos, datos y titulares afectados, consecuencias posibles, contención y contacto, con actualizaciones según avance la investigación.

Las partes determinarán y cumplirán reportes exigibles a autoridades y titulares, preservando evidencia con acceso limitado. El encargado colaborará en evaluaciones y documentación de cumplimiento. Se permitirán revisiones y auditorías proporcionales previamente coordinadas, protegiendo secretos, seguridad y datos de otras clínicas; no concede acceso indiscriminado a producción o información ajena.

Conservación, prueba y salida

Se conservan datos mientras sean necesarios para la finalidad informada o exista una obligación de archivo o conservación justificada. Cerrar una cuenta no elimina automáticamente las historias de todas las clínicas. La clínica debe fijar plazo y custodio del archivo veterinario, vacunas y adjuntos conforme a sus obligaciones; no se adopta automáticamente el plazo de historias humanas. Para documentos comerciales y contables colombianos se toma como referencia 10 años desde el último asiento, documento o comprobante, sujeto a su clasificación y normas especiales; esto no obliga a guardar todo perfil o registro por 10 años. Los plazos contables venezolanos están pendientes de revisión local.

La prueba propuesta dura 14 días desde la activación del administrador. Sin conversión a un plan, se prevé borrar el contenido operativo a los 30 días de su vencimiento, con una ventana de consulta y exportación para la clínica. Antes de cargar datos reales, la clínica debe obtener autorizaciones y asegurar su archivo obligatorio fuera del servicio. Solo se exceptúa conservación delimitada por obligación legal o reclamación justificada, con fundamento, acceso restringido y fecha de revisión. Esta regla no se extiende automáticamente a clínicas pagadas, suspensiones administrativas ni reversiones de pago.

La purga operativa no elimina de inmediato todas las copias. El plan propone rotación de backups de hasta 30 días desde la purga y copia preventiva de prueba de máximo 7 días, aislada y cifrada. Son objetivos pendientes de verificación operativa, no medidas acreditadas de producción. Deben registrarse expiración y destrucción y reaplicarse las supresiones antes de habilitar una restauración. Los detalles figuran en la política de tratamiento. No se promete eliminación irreversible de toda copia al día 30.

Devolución, eliminación y anexos pendientes

Al finalizar, la clínica elegirá y coordinará devolución o exportación y eliminación de copias operativas que proceda. La ventana de 30 días corresponde a prueba no convertida; la salida de clínicas pagadas debe acordarse. La clínica asume custodia de copias recibidas y archivo obligatorio. Se documentarán alcance de entrega, supresiones, excepciones y expiración pendiente de copias. Una excepción no autoriza conservar todo indefinidamente ni reutilizarlo.

Antes de formalizar, se aprobarán condiciones particulares de identidad y representación, inventario y fines, subencargados y circulación internacional, medidas comprobadas, retención por país, responsables y canales de incidentes y salida. Objetivos de 15 días para cambios, 2 días hábiles para traslado y 24 horas para incidentes requieren validación contractual y operativa. No se desplazan derechos legales del titular ni responsabilidad de cada parte.

Versión y cambios

Este borrador se identifica como 2026-10-13-preliminar-v1, de fecha 13 de octubre de 2026; no certifica cumplimiento ni sustituye la revisión jurídica o la política propia de cada clínica. Las nuevas versiones se identificarán y, para documentos que requieren aceptación, se solicitará aceptación expresa conservando la evidencia anterior. Abrir un texto o continuar usando el servicio no equivale a aceptar. Los cambios de finalidad que lo requieran deberán contar con autorización antes de iniciar ese tratamiento.

Complementa los términos de clínicas; una contradicción sobre el encargo exige aclarar instrucciones y aplicar la normativa obligatoria sin reducir garantías del titular.