Acuerdo de tratamiento de datos
Entrada en vigor: 31 de julio de 2026
# Acuerdo de Transmisión de Datos Personales (DPA) — Plataforma Sella > **Documento:** Anexo A de los Términos y Condiciones de la Plataforma Sella > **Versión:** 1.1 > **Idioma:** Español (Colombia) > **Marco normativo:** Ley Estatutaria 1581 de 2012 (arts. 17 y 18), Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015, en especial las reglas sobre contratos de transmisión), Circular Única de la SIC (Título V) y normas concordantes > **Fecha de elaboración:** 19 de julio de 2026 > **Estado:** Aprobado por asesoría jurídica --- ## CLÁUSULA PRIMERA — PARTES Y ROLES **1.1.** El presente Acuerdo de Transmisión de Datos Personales (el "**Acuerdo**" o "**DPA**") se celebra entre: - **Sella Wallet**, NIT 11433830120, domiciliada en Cartagena de Indias D.T. y C., Colombia, representada legalmente por Jesus Avila, correo notificacioneslegales@sellawallet.com (en adelante, "**Sella**" o el "**Encargado**"); y - el negocio identificado en el registro de la plataforma que acepta los Términos y Condiciones (en adelante, el "**Negocio**" o el "**Responsable**"). **1.2.** Respecto de los datos personales de los clientes finales y participantes de los programas de lealtad del Negocio, el Negocio actúa como **Responsable del Tratamiento** y Sella como **Encargado del Tratamiento**. Los roles se determinan por la actividad real de cada parte; una denominación contractual distinta no los altera. **1.3.** Este Acuerdo forma parte integral de los Términos y Condiciones y prevalece sobre cualquier estipulación comercial en materia de protección de datos. ## CLÁUSULA SEGUNDA — OBJETO, DURACIÓN, NATURALEZA Y FINALIDAD **2.1. Objeto.** Regular el tratamiento que Sella realiza por cuenta del Negocio sobre los Datos Transmitidos, con ocasión de la prestación del servicio descrito en los Términos y Condiciones. **2.2. Duración.** Este Acuerdo rige mientras esté vigente la relación contractual y, respecto de los datos que permanezcan en poder de Sella, hasta su devolución, supresión o anonimización efectiva. **2.3. Naturaleza del tratamiento.** Recolección a través de formularios configurados por el Negocio, almacenamiento, organización, consulta, uso operativo, comunicación por instrucción del Negocio, respaldo, y supresión o anonimización. **2.4. Datos y titulares comprendidos.** Datos de identificación y contacto; datos de tarjetas, pases y estados; saldos, movimientos y ledger de lealtad; preferencias, autorizaciones y consentimientos; comunicaciones y su trazabilidad; solicitudes de derechos y soporte; y campos personalizados definidos por el Negocio dentro de las reglas de la plataforma. Titulares: clientes finales y participantes de los programas del Negocio. Quedan prohibidos por defecto los datos sensibles, los datos de menores de edad y los datos completos de instrumentos de pago. **2.5. Finalidad.** Exclusivamente la operación de los programas de lealtad del Negocio y las funciones de la plataforma contratadas. Sella no tratará los Datos Transmitidos para finalidades propias no autorizadas. ## CLÁUSULA TERCERA — INSTRUCCIONES DOCUMENTADAS **3.1.** Sella tratará los Datos Transmitidos únicamente conforme a las instrucciones documentadas del Negocio, que se expresan mediante: (i) este Acuerdo y los Términos y Condiciones; (ii) la configuración que el Negocio realiza en la plataforma (campos, finalidades, campañas, retención, usuarios y permisos); y (iii) instrucciones escritas adicionales aceptadas por Sella. **3.2.** Si Sella considera que una instrucción es manifiestamente contraria a la ley o a este Acuerdo, lo advertirá al Negocio y podrá suspender su ejecución hasta que se aclare o corrija, sin que ello constituya incumplimiento de Sella. **3.3.** Sella podrá tratar los datos sin instrucción del Negocio únicamente cuando un deber legal aplicable lo exija, informándolo al Negocio salvo prohibición legal. ## CLÁUSULA CUARTA — CUMPLIMIENTO DE PRINCIPIOS Y POLÍTICA DEL RESPONSABLE Sella observará los principios del artículo 4 de la Ley 1581 de 2012 (legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad) y respetará el alcance de la política de tratamiento y de las autorizaciones obtenidas por el Negocio, en los términos registrados en la plataforma. ## CLÁUSULA QUINTA — CONFIDENCIALIDAD Y PERSONAL **5.1.** Sella garantiza que las personas autorizadas para tratar los Datos Transmitidos están sujetas a deberes de confidencialidad contractuales o legales, reciben capacitación en protección de datos y acceden únicamente bajo el principio de mínimo privilegio y necesidad de conocer. **5.2.** El acceso del personal de soporte de Sella a datos personales del tenant del Negocio se realiza mediante mecanismos just-in-time, con ticket, motivo, aprobación, alcance limitado, expiración y registro de auditoría. ## CLÁUSULA SEXTA — MEDIDAS DE SEGURIDAD Sella implementará medidas técnicas, humanas y administrativas apropiadas al riesgo, que incluyen: aislamiento lógico multi-tenant; control de acceso por rol y acción con autenticación reforzada; cifrado en tránsito y en reposo; gestión de secretos en bóveda; registro de auditoría; monitoreo y detección; desarrollo seguro; copias de respaldo cifradas con expiración controlada; y separación de ambientes con datos sintéticos fuera de producción. ## CLÁUSULA SÉPTIMA — SUBENCARGADOS Y PAÍSES **7.1.** El Negocio autoriza de manera general la contratación de subencargados para componentes del servicio (alojamiento, identidad, mensajería, billeteras digitales, analítica aprobada y pasarelas de pago), siempre que Sella: (i) les imponga por contrato obligaciones equivalentes a las de este Acuerdo; (ii) publique la lista vigente de subencargados, con servicio, finalidad, categorías de datos y país, en **https://sellawallet.com/legal/subencargados**; y (iii) responda ante el Negocio por su gestión. **7.2.** Sella avisará los cambios materiales de subencargados con antelación razonable. Si el Negocio objeta fundadamente un nuevo subencargado y no existe alternativa razonable, podrá terminar el servicio afectado sin penalidad. **7.3.** Todo flujo internacional de datos se documentará y ejecutará conforme al régimen colombiano de transmisiones y transferencias internacionales, incluida la Circular Única de la SIC, con el instrumento contractual, las comunicaciones ante la autoridad cuando procedan y las medidas complementarias necesarias (cifrado, minimización y seudonimización). ## CLÁUSULA OCTAVA — ASISTENCIA AL RESPONSABLE Sella asistirá al Negocio, mediante las herramientas de la plataforma y cooperación razonable, en: (i) la atención de consultas, reclamos, revocatorias, supresiones y exportaciones de los titulares dentro de los plazos de la Ley 1581 de 2012; (ii) la gestión y notificación de incidentes; (iii) las evaluaciones de impacto de privacidad que el Negocio deba realizar; y (iv) los requerimientos de la Superintendencia de Industria y Comercio u otra autoridad competente. ## CLÁUSULA NOVENA — INCIDENTES DE SEGURIDAD **9.1.** Sella notificará al Negocio, **sin dilación indebida** desde que tenga conocimiento, todo incidente de seguridad que afecte Datos Transmitidos, con la información disponible sobre: naturaleza del incidente, categorías y volumen aproximado de titulares y datos afectados, medidas adoptadas y recomendadas, y punto de contacto. La notificación inicial no se retrasará por estar incompleta; se actualizará progresivamente. **9.2.** Los plazos de notificación contractual serán suficientemente breves para permitir al Negocio cumplir sus deberes de reporte ante la SIC y ante los titulares. El deber de reporte a la autoridad corresponde a la parte que ostente la calidad de Responsable respecto de los datos afectados. ## CLÁUSULA DÉCIMA — PROHIBICIONES Sella no podrá: (i) vender, arrendar o ceder los Datos Transmitidos; (ii) usarlos para publicidad propia o de terceros; (iii) combinarlos con datos de otros negocios para finalidades no autorizadas; (iv) usarlos para entrenar modelos de inteligencia artificial propios o de terceros, salvo autorización expresa, previa y documentada del Negocio y de los titulares cuando sea exigible; ni (v) conservarlos más allá de lo previsto en este Acuerdo. ## CLÁUSULA DÉCIMA PRIMERA — RETENCIÓN, DEVOLUCIÓN Y SUPRESIÓN **11.1.** Durante la vigencia del servicio, los datos se conservan conforme a la configuración del Negocio y a la matriz de retención de la plataforma. **11.2.** A la terminación del servicio, Sella: (i) pondrá a disposición del Negocio una exportación estructurada de sus datos durante la ventana prevista en los Términos y Condiciones; (ii) suprimirá o anonimizará de forma segura los datos del tenant, incluidos índices, cachés y colas; (iii) aplicará marcadores de supresión (tombstones) para que las restauraciones de copias de respaldo no revivan datos suprimidos, dejando expirar los respaldos según su ciclo; y (iv) conservará bloqueado únicamente aquello cuya retención sea legalmente obligatoria, con acceso restringido y finalidad limitada. **11.3.** A solicitud del Negocio, Sella emitirá **certificación de la supresión** efectuada, con fecha, alcance y excepciones legales documentadas. ## CLÁUSULA DÉCIMA SEGUNDA — AUDITORÍA Y EVIDENCIA **12.1.** Sella conservará evidencia de instrucciones, accesos, exportaciones, incidentes y eliminaciones, y pondrá a disposición del Negocio reportes de cumplimiento razonables. **12.2.** El Negocio podrá solicitar, con antelación razonable y máximo una vez por año salvo incidente, una auditoría documental del cumplimiento de este Acuerdo. Las auditorías no darán acceso a datos de otros tenants, secretos industriales ni información que comprometa la seguridad de la plataforma; cuando exista un informe de tercero independiente vigente, este podrá satisfacer la solicitud. **12.3.** Los hallazgos razonables serán remediados por Sella en plazos proporcionales a su severidad. ## CLÁUSULA DÉCIMA TERCERA — CONTINUIDAD Y SALIDA Sella mantendrá planes de continuidad y recuperación proporcionales al servicio. A la terminación, además de lo previsto en la Cláusula Décima Primera, Sella cooperará razonablemente en la portabilidad operativa de los datos exportados, sin obligación de migrar a sistemas de terceros ni de revelar secretos de la plataforma. ## CLÁUSULA DÉCIMA CUARTA — RESPONSABILIDAD **14.1.** Cada parte responde por los daños derivados del incumplimiento de sus propios deberes legales y contractuales en materia de protección de datos. Sella responde ante el Negocio por el incumplimiento demostrado de este Acuerdo, incluida la gestión de sus subencargados. **14.2.** Los límites de responsabilidad de los Términos y Condiciones aplican a este Acuerdo únicamente en cuanto no vacíen de contenido los deberes legales imperativos frente a los titulares ni la responsabilidad por dolo o culpa grave. **14.3.** El Negocio mantendrá indemne a Sella por reclamaciones originadas en tratamientos ordenados sin autorización suficiente de los titulares o en contravención de la ley, conforme al Anexo de Responsabilidad del Negocio. ## CLÁUSULA DÉCIMA QUINTA — SUPERVIVENCIA Y ACEPTACIÓN **15.1.** Las obligaciones de confidencialidad, supresión, evidencia y responsabilidad sobreviven a la terminación del Acuerdo hasta que agoten su objeto. **15.2.** Este Acuerdo se acepta electrónicamente junto con los Términos y Condiciones, conforme a la Ley 527 de 1999, y su versión aceptada queda archivada de forma inmutable con fecha, hora e identificación del aceptante. --- ## CONTROL DE VERSIONES | Versión | Fecha | Naturaleza del cambio | Autor/Owner | |---|---|---|---| | 1.0 (borrador) | 19 de julio de 2026 | Redacción inicial conforme a D16 §21.2 | Legal/Privacidad Sella | | 1.1 | 19 de julio de 2026 | Aprobación por asesoría jurídica | Legal/Privacidad Sella |