# Acuerdo de Tratamiento de Datos Personales de Actib **Versión:** 1.0 · 15 de octubre de 2026 Este Acuerdo de Tratamiento de Datos se incorpora a toda Orden de Servicio y forma parte del contrato entre Actib y el Cliente. Sus obligaciones aplican en la medida en que Actib trate Datos Personales por cuenta del Cliente, sin necesidad de una firma separada cuando la Orden identifique esta versión y el Cliente la acepte válidamente. ## 1. Objeto Regular el tratamiento de Datos Personales que Actib realiza por cuenta del Cliente para prestar el Servicio, conforme a la Ley 81 de 26 de marzo de 2019, su reglamentación y demás normas aplicables. ## 2. Roles ### 2.1 Cliente como Responsable El Cliente actúa como Responsable del Tratamiento de los datos de sus consumidores, porque determina las finalidades para las que se tratan, incluyendo: - pedidos; - reservaciones; - marketing; - fidelización; - historial de compras; - servicio al cliente; - delivery; - análisis de su negocio. ### 2.2 Actib como Custodio Actib actúa como Custodio de la Base de Datos y trata esos Datos Personales por cuenta del Cliente, siguiendo sus instrucciones documentadas y únicamente para prestar los servicios contratados. ### 2.3 Actib como Responsable independiente Cada parte puede tener responsabilidades independientes respecto de otros tratamientos. Actib actúa como Responsable independiente, y así los identifica, en los tratamientos necesarios para: - administrar cuentas B2B y contactos del Cliente; - cobrar suscripciones; - cumplir obligaciones legales y fiscales; - seguridad de la plataforma; - prevenir fraude y abuso; - mantener registros contractuales; - gestionar soporte y relación comercial propia. ### 2.4 Inteligencia artificial Cuando el Cliente activa respuestas automatizadas, se aplican estas reglas: - las conversaciones se tratan únicamente para prestar el Servicio; - Actib no utiliza los Datos Personales del Cliente para entrenar sus propios modelos; - los proveedores de inteligencia artificial tratan el texto necesario para generar respuestas conforme a sus propios términos de servicio y están identificados en la Lista de Subprocesadores; - las respuestas automatizadas pueden contener errores, y el Cliente decide qué tareas delega en ellas. ## 3. Categorías de titulares Actib puede procesar datos de: - consumidores del restaurante; - usuarios autorizados del Cliente; - empleados o contratistas del Cliente; - repartidores; - contactos de soporte; - prospectos del Cliente cuando sean cargados lícitamente. ## 4. Categorías de datos Según funciones activadas: - nombre y apellido; - teléfono; - correo; - dirección de entrega; - coordenadas o ubicación; - historial de pedidos; - productos y preferencias; - notas del pedido; - mensajes de WhatsApp, incluidas imágenes y notas de voz enviadas por el consumidor; - identificadores de mensaje; - reservaciones; - estado de pago y referencias de transacción; - comprobantes de pago; - datos operativos del repartidor; - ubicación temporal del repartidor; - IP, dispositivo y logs técnicos; - información de cuenta de usuarios autorizados. ## 5. Datos sensibles e información especial Los consumidores pueden introducir espontáneamente información sensible, por ejemplo alergias, salud o restricciones alimentarias. El Cliente deberá: - evitar solicitar datos sensibles innecesarios; - establecer instrucciones claras cuando su operación necesite tratarlos; - informar adecuadamente al titular; - aplicar medidas de acceso reforzadas cuando corresponda. Actib no utilizará deliberadamente datos sensibles para publicidad propia o perfiles no relacionados con la prestación del Servicio sin una base jurídica independiente válida. ## 6. Finalidad y duración del tratamiento Actib tratará Datos Personales únicamente para: - ejecutar pedidos y reservaciones; - mostrar información al Cliente; - automatizar conversaciones; - procesar integraciones; - coordinar pagos y delivery; - prestar soporte; - asegurar y diagnosticar la plataforma; - cumplir instrucciones documentadas compatibles con la Orden de Servicio. Los Datos Personales se conservan mientras el Servicio esté activo. Al terminar el Servicio, la ventana de exportación y la eliminación se rigen por la sección 17, salvo las obligaciones legales de conservación que correspondan. ## 7. Instrucciones documentadas Se consideran instrucciones documentadas: - la Orden de Servicio; - estos términos; - configuraciones realizadas por el Cliente; - acciones válidas dentro del dashboard; - tickets o instrucciones escritas de usuarios autorizados. Actib podrá negarse a ejecutar una instrucción que razonablemente considere ilícita, insegura o incompatible con el contrato, informando al Cliente cuando corresponda. ## 8. Confidencialidad del personal Actib limitará el acceso a Datos Personales a personal y contratistas que necesiten conocerlos para prestar o proteger el Servicio y procurará que estén sujetos a obligaciones de confidencialidad apropiadas. ## 9. Seguridad Actib implementará medidas técnicas y organizativas razonables y proporcionales al riesgo, incluyendo según corresponda: - autenticación; - control de acceso por cliente y sucursal; - protección de secretos y credenciales; - cifrado en tránsito; - servicios cloud con controles de seguridad; - logging y monitoreo; - separación lógica de clientes; - backups según arquitectura; - controles para credenciales de pago; - captura de datos de tarjeta en páginas alojadas por el procesador de pago, sin que Actib reciba ni almacene el número de tarjeta; - minimización de datos en logs; - procedimientos de respuesta a incidentes. No se garantiza seguridad absoluta. ## 10. Credenciales de integraciones Actib almacena de forma segura y con acceso restringido las credenciales necesarias para las integraciones. ## 11. Subprocesadores / terceros El Cliente autoriza con carácter general a Actib a utilizar los proveedores tecnológicos necesarios para prestar el Servicio que figuren en la Lista de Subprocesadores, sujeto a: - mantener la Lista de Subprocesadores actualizada, con la identidad, la función y, cuando corresponda, la ubicación de cada proveedor; - imponer obligaciones de protección razonablemente equivalentes cuando corresponda; - informar al Cliente la incorporación de un nuevo subprocesador; - permitir que el Cliente formule objeciones razonables por motivos de protección de datos dentro de los 15 días siguientes a ese aviso. Si una objeción no puede resolverse razonablemente, las partes podrán desactivar la función afectada o terminar el módulo correspondiente. La Lista de Subprocesadores vigente se publica en https://actib.app/legal/subprocessors e incluye los proveedores de inteligencia artificial que reciben el texto necesario para automatizar conversaciones. ## 12. Transferencias internacionales El Cliente reconoce que los Datos Personales se tratan fuera de Panamá. Los datos se alojan en Estados Unidos, en Google Cloud, y son tratados por los proveedores indicados en la Lista de Subprocesadores junto con su ubicación. Actib se apoya en los términos contractuales y las salvaguardas de esos proveedores y documenta el mecanismo aplicable a cada transferencia, conforme a las obligaciones panameñas sobre transferencias de datos. ## 13. Solicitudes de derechos de titulares Cuando Actib reciba directamente una solicitud de acceso, rectificación, cancelación, oposición u otro derecho respecto de datos que procesa únicamente por cuenta del Cliente: - podrá dirigir al titular al Cliente; - notificará al Cliente cuando sea razonablemente necesario; - prestará asistencia técnica razonable para atender la solicitud. Costos extraordinarios de asistencia masiva o desarrollo específico podrán cotizarse, salvo obligación legal distinta. ## 14. Corrección y exactitud El Cliente es responsable de la calidad de los datos que recopila y de corregir información comercial o personal cuando corresponda. Actib mantendrá herramientas razonables para modificar o eliminar datos cuando la arquitectura lo permita y exista instrucción válida. ## 15. Incidentes de seguridad Actib mantendrá un procedimiento de respuesta a incidentes. Cuando Actib tenga conocimiento de una vulneración de seguridad que afecte Datos Personales tratados por cuenta del Cliente, notificará al Cliente sin demora indebida y, cuando sea posible, dentro de las 72 horas siguientes. La notificación incluirá la información disponible en ese momento, que Actib actualizará a medida que obtenga más datos, incluyendo: - naturaleza del incidente; - categorías de datos afectadas; - categorías o número aproximado de titulares cuando sea posible; - medidas de contención; - punto de contacto; - recomendaciones operativas. Actib cooperará razonablemente con el Cliente para que este pueda cumplir sus propios deberes de notificación ante autoridades y titulares. ## 16. Auditoría y evidencia Actib proporcionará información razonable sobre sus medidas de cumplimiento. El Cliente podrá auditar el cumplimiento de este DPA con estas condiciones: - como máximo una vez al año; - con un aviso previo por escrito de 30 días; - en primer lugar mediante cuestionario y documentación; solo si esa información resulta insuficiente se acordará otra forma de verificación; - con deber de confidencialidad sobre la información obtenida; - sin afectar la seguridad ni los datos de otros clientes de Actib. Los costos de la auditoría corren por cuenta del Cliente, salvo que la auditoría revele un incumplimiento material de Actib. ## 17. Eliminación o devolución al terminar Al terminar el Servicio se aplican estos plazos: - el Cliente podrá solicitar la exportación de sus datos en formato CSV o JSON, sin costo, dentro de los 30 días siguientes a la terminación; - Actib entregará la exportación dentro de los 15 días hábiles siguientes a la verificación de la solicitud; - Actib eliminará o anonimizará los datos de los sistemas activos dentro de los 30 días siguientes al cierre de la ventana de exportación; - las copias de respaldo se eliminan en su propio ciclo de rotación, de hasta 90 días. Se exceptúan los datos que Actib deba conservar por obligación legal y los que sean necesarios para la defensa de reclamaciones, que se conservarán solo durante el plazo correspondiente. Los datos anonimizados de forma que ya no constituyan Datos Personales no están sujetos a esta sección. ## 18. Backups Los datos eliminados de sistemas activos pueden permanecer en backups hasta su rotación normal, de hasta 90 días. Mientras permanezcan, estarán sujetos a las medidas de seguridad aplicables y no deberán restaurarse para fines ordinarios no relacionados con recuperación o continuidad. ## 19. Datos agregados y anonimizados El DPA no impide que Actib genere información agregada o anonimizada de manera razonable, siempre que no permita identificar a titulares ni revele información confidencial específica del Cliente. ## 20. Cooperación regulatoria Cada parte cooperará razonablemente en investigaciones o requerimientos legítimos de ANTAI u otras autoridades competentes relacionados con tratamientos bajo este DPA. ## 21. Prioridad En materia de Datos Personales, este DPA prevalece sobre cláusulas contradictorias de los Términos Maestros, salvo que una disposición escrita posterior establezca expresamente lo contrario y sea válida bajo ley aplicable. ## Anexo A. Descripción del tratamiento - Objeto: prestación de plataforma de pedidos, CRM, pagos integrados, comunicaciones y capacidades contratadas. - Duración: vigencia del Servicio más los plazos de exportación y eliminación de la sección 17. - Naturaleza: recopilación, recepción, almacenamiento, consulta, transmisión, clasificación, actualización, eliminación y automatización. - Finalidades: operación del restaurante y prestación técnica del Servicio. - Titulares: consumidores, usuarios, empleados, repartidores y contactos. - Datos: los enumerados en este acuerdo según capacidades y canales habilitados.