Anexo A - Acuerdo de encargo y contrato de transmisión internacional

Este Anexo constituye el contrato de transmisión previsto en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, entre el Comercio (Responsable) y Treli (Encargado).

A.1. Instrucciones

Treli tratará los Datos Personales suministrados por el Comercio únicamente conforme a sus instrucciones documentadas, impartidas mediante: (i) estos Términos y este Anexo; (ii) la configuración que el Comercio realice en el Servicio; y (iii) las instrucciones escritas adicionales que las Partes acuerden.

A.2. Detalle del tratamiento

A.3. Obligaciones de Treli como Encargado

Treli se obliga a: (a) tratar los datos únicamente para las finalidades pactadas y conforme a las instrucciones del Comercio, sin usarlos para fines propios distintos de los permitidos en la Cláusula 12.4; (b) garantizar su seguridad mediante las medidas del Anexo C; (c) conservarlos bajo condiciones que impidan su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; (d) actualizar, rectificar o suprimir datos dentro de los cinco (5) días hábiles siguientes a la instrucción del Comercio; (e) trasladar al Comercio, dentro de los dos (2) días hábiles siguientes, las consultas y reclamos que reciba directamente de los Titulares, informándoles que el Responsable es el Comercio; (f) asistir razonablemente al Comercio en la atención de los derechos de los Titulares y en los requerimientos de autoridades; (g) registrar la leyenda "reclamo en trámite" cuando el Comercio lo instruya; (h) abstenerse de circular información controvertida cuyo bloqueo haya ordenado la Superintendencia de Industria y Comercio; (i) permitir el acceso solo a personas autorizadas y sujetas a deberes de confidencialidad; (j) notificar los incidentes conforme a A.9; (k) informar al Comercio cuando, a su juicio razonable, una instrucción infrinja la normativa; (l) suprimir o devolver los datos conforme a A.8; y (m) poner a disposición del Comercio la información razonablemente necesaria para demostrar el cumplimiento de estas obligaciones.

A.4. Obligaciones del Comercio como Responsable

Obtener y conservar las autorizaciones de los Titulares; garantizar la calidad, veracidad y actualización de los datos; informar a los Titulares las finalidades, sus derechos y la identidad del Encargado; adoptar y publicar su política de tratamiento; atender consultas y reclamos en los términos legales; inscribir sus bases de datos en el RNBD cuando corresponda; e impartir instrucciones lícitas a Treli.

A.5. Subencargados

A.5.1. El Comercio autoriza de manera general a Treli para vincular subencargados, incluidos los del Anexo B.

A.5.2. Treli suscribirá con cada subencargado obligaciones no menos exigentes que las de este Anexo y responderá frente al Comercio por su actuación.

A.5.3. Treli mantendrá actualizado el listado y notificará la incorporación o sustitución de un subencargado con treinta (30) días calendario de antelación. El Comercio podrá objetar por motivos razonables y documentados de protección de datos dentro de los quince (15) días siguientes; de no alcanzarse una solución, podrá terminar el contrato sin penalidad respecto del servicio afectado.

A.6. Localización y bases legales de la salida de datos

A.6.1. Localización. Treli no tiene infraestructura en Colombia. La totalidad del tratamiento se ejecuta sobre servicios de Amazon Web Services en los Estados Unidos de América — región us-east-1, y los Componentes de IA se ejecutan en esa misma región. El canal de WhatsApp transita adicionalmente por Twilio Inc. y por la WhatsApp Business Platform de Meta Platforms, Inc. En consecuencia, todo dato cargado sale del territorio colombiano desde el primer momento.

A.6.2. Transmisión internacional. El envío de datos del Comercio a Treli, y de Treli a quienes los tratan por su cuenta y bajo sus instrucciones (Amazon Web Services, incluido Amazon Bedrock; Twilio en su rol de proveedor de mensajería; el proveedor de correo transaccional), constituye transmisión y no transferencia. Conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, la transmisión internacional no requiere ser informada al Titular ni contar con su consentimiento cuando medie un contrato de transmisión entre Responsable y Encargado. El presente Anexo A constituye ese contrato, con los elementos que la norma exige.

A.6.3. Transferencia internacional. El flujo hacia Meta Platforms, Inc. —responsable independiente respecto de números telefónicos y metadatos de entrega, conforme al numeral 11.8— constituye transferencia, regida por el artículo 26 de la Ley 1581 de 2012, y se ampara en la autorización expresa del Titular obtenida por el Comercio conforme al numeral 7.3, que debe cubrir expresamente el contacto por WhatsApp y el envío de datos al exterior. Subsidiariamente resulta aplicable la excepción del literal b) del mismo artículo.

A.6.4. Nivel adecuado de protección. Los Estados Unidos de América figuran en la lista de países con un nivel adecuado de protección de datos personales reconocida por la Superintendencia de Industria y Comercio en el numeral 3.2 del Capítulo Tercero del Título V de su Circular Única (Circular Externa 005 de 2017 y normas que la modifican). En consecuencia, la transferencia de A.6.3 se encuentra amparada directamente por el literal a) del artículo 26 de la Ley 1581 de 2012, con independencia de la autorización del Titular, que opera como base concurrente.

A.6.5. Obligación reforzada del Comercio. Como no existe alternativa de alojamiento en Colombia, la autorización que el Comercio recabe de cada Titular debe mencionar expresamente la transmisión y transferencia internacional a proveedores ubicados fuera de Colombia, incluidos los servicios de nube, de inteligencia artificial y de mensajería por WhatsApp.

A.6.6. Residencia de datos. Treli no ofrece alojamiento en Colombia. El Comercio sujeto a una obligación sectorial de residencia local debe informarlo antes de contratar, en el entendido de que Treli no garantiza poder satisfacer ese requisito.

A.6.7. Requerimientos de autoridades extranjeras. Treli se obliga a: exigir que todo requerimiento sea jurídicamente válido y motivado; limitar la entrega a lo estrictamente exigido; oponer los recursos razonablemente disponibles frente a requerimientos excesivos; y notificar al Comercio afectado, salvo prohibición legal expresa.

A.6.8. Ausencia de representante en Colombia. La Ley 1581 de 2012 no exige a los encargados domiciliados en el exterior designar representante en Colombia. Treli designa como punto de contacto privacidad@treli.co, atendido en español y en horario colombiano, sin que ello implique domicilio, establecimiento permanente ni sometimiento a jurisdicción distinta de la pactada en la Cláusula 31.

A.7. Atención de derechos de los Titulares

Treli pondrá a disposición del Comercio funcionalidades para consultar, exportar, rectificar, actualizar y suprimir datos de un Titular, y para registrar solicitudes de no contacto y preferencias de canal y horario. Cuando el Comercio no pueda ejecutar la acción por sí mismo, Treli la ejecutará dentro de los cinco (5) días hábiles siguientes a la instrucción escrita.

A.8. Supresión y devolución

Vencido el periodo de exportación de la Cláusula 25.1, Treli suprimirá o anonimizará el Contenido del Comercio de sus sistemas productivos dentro de los treinta (30) días calendario siguientes, y de sus respaldos conforme al ciclo normal de rotación. Se conservan, conforme a la Cláusula 25.2: información contable y tributaria por diez (10) años; información de cumplimiento por cinco (5) años; y registros de auditoría de comunicaciones e invocaciones a los Componentes de IA, en forma seudonimizada, por veinticuatro (24) meses, con fines de seguridad, defensa jurídica y atención de requerimientos de autoridades.

A.9. Incidentes de seguridad

Treli notificará al Comercio sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a la confirmación de un incidente que afecte Datos Personales, con la información disponible sobre su naturaleza, los datos comprometidos y las medidas adoptadas y recomendadas. El reporte a la Superintendencia de Industria y Comercio corresponde al Comercio, en su calidad de Responsable inscrito en el RNBD. Treli cooperará razonablemente en la contención, la investigación y la elaboración de dicho reporte.

A.10. Auditoría

Aplica lo previsto en la Cláusula 17.4.

A.11. Responsabilidad

Cada Parte responde por el incumplimiento de las obligaciones que le corresponden conforme a la Ley 1581 de 2012. El Comercio, como Responsable, es el interlocutor de los Titulares y de la Superintendencia de Industria y Comercio. Las estipulaciones de estos Términos sobre distribución de riesgos y límites de responsabilidad rigen solo entre las Partes y no menoscaban los derechos de los Titulares ni las facultades de la Superintendencia, conforme al numeral 21.6.

FIN DEL ANEXO A

Versión 1.0 — 01/06/2026. Anexo A de los Términos y Condiciones del Servicio Treli AI.