Este contrato cumple el artículo 25 del Decreto 1377 de 2013, compilado en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Se celebra entre:
- El estudio que contrata Vitriospot, identificado en su cuenta, en calidad de Responsable del Tratamiento («el Responsable»), y
- Kuilmer Santiago Hernandez Cruz, persona natural, NIT 1.029.144.754-1, con domicilio en la Calle 24A # 59-59, oficina 803, Bogotá D.C., que presta el servicio Vitriospot, en calidad de Encargado del Tratamiento («el Encargado»).
Se entiende celebrado cuando el estudio acepta los Términos del servicio, y dura lo mismo que ellos.
1. Objeto
El Responsable le encarga a Vitriospot el tratamiento de los datos personales de sus clientes y de las personas que aparecen en su material, solo para prestar el servicio de galerías privadas descrito en los Términos.
2. Qué datos y de quién
| Titulares | Datos |
|---|---|
| Clientes del estudio que reciben galerías | Nombre, usuario, correo, teléfono si el estudio lo registra, aceptación de documentos legales con fecha y versión, registros de ingreso y descarga (fecha, hora, dirección IP), fotos que eligieron |
| Personas que aparecen en las fotografías y videos | Su imagen. Si el estudio activa la búsqueda por persona: datos biométricos (un vector de 512 números por rostro, que no permite reconstruir la cara) y un recorte pequeño del rostro para el buscador |
| Personal del estudio | Lo necesario para su usuario del panel |
Las fotografías pueden mostrar a niñas, niños y adolescentes y, por su contexto, datos sensibles (por ejemplo, ceremonias religiosas).
3. Qué hace Vitriospot con los datos (alcance)
Solo estas actividades, y solo por instrucción del Responsable a través de su panel:
- almacenarlos y hacer respaldos;
- mostrarlos a las personas que el Responsable autoriza (sus clientes, su equipo);
- procesar el material: miniaturas, marca de agua, compresión y archivos de descarga;
- agrupar fotografías por persona con los vectores de rostros, cuando el Responsable activa esa función. El análisis de rostros lo hace el navegador del propio estudio; Vitriospot guarda solo el resultado (los vectores y los recortes);
- enviar correos a los clientes en nombre del estudio, cuando el plan lo incluye;
- registrar accesos y descargas, por seguridad y como constancia de la entrega;
- borrar los datos cuando el Responsable lo decide o al terminar el contrato.
4. Obligaciones de Vitriospot (Encargado)
Conforme al artículo 18 de la Ley 1581 de 2012, Vitriospot se obliga a:
- Tratar los datos solo para prestar el servicio y según las instrucciones del Responsable. No usarlos para fines propios, no venderlos, no cederlos, no usarlos para entrenar modelos de inteligencia artificial y no cruzarlos con los de otros estudios.
- Mantener la confidencialidad, también después de terminado el contrato. Las personas que trabajen con Vitriospot quedan obligadas a lo mismo.
- Aplicar medidas de seguridad razonables: conexiones cifradas, cifrado en reposo, aislamiento entre estudios probado en cada cambio, contraseñas guardadas con PBKDF2, doble factor para la operación, registro de accesos.
- No acceder al contenido de las galerías del Responsable, salvo cuando este conceda el acceso de soporte desde su panel (24 horas, revocable y registrado) o cuando lo ordene una autoridad.
- Usar solo los subencargados de la sección 6, que tratan los datos bajo condiciones de protección equivalentes, y avisar al Responsable con 30 días de anticipación si agrega uno nuevo, para que pueda oponerse y, en ese caso, terminar el contrato.
- Avisar al Responsable sin demora injustificada, y a más tardar dentro de los 3 días hábiles siguientes a que lo detecte, de cualquier incidente de seguridad que afecte sus datos, con la información disponible para que pueda reportarlo a la SIC y a los titulares.
- Ayudar al Responsable a atender las consultas y reclamos de los titulares. Si un titular le escribe directamente a Vitriospot, se lo trasladará al Responsable dentro de los 2 días hábiles siguientes.
- Borrar o devolver los datos al terminar el contrato (sección 7).
- Dar al Responsable, si lo pide por escrito y con motivo razonable, la información necesaria para comprobar que cumple este contrato.
5. Obligaciones del estudio (Responsable)
- Obtener y conservar la autorización previa, expresa e informada de sus clientes y de las personas que aparecen en el material, en particular:
- la autorización expresa y facultativa para tratar datos biométricos, de todas las personas que aparecen en el material, antes de activar la búsqueda por persona. La aceptación que hace un cliente al entrar a su galería solo lo cubre a él: no a los invitados ni a las demás personas fotografiadas;
- la de los padres o representantes legales en el caso de menores de edad, respetando su interés superior.
- Tener su propia política de tratamiento de datos. La galería presenta a los clientes la política y los términos del estudio, que deben aceptar para entrar; el estudio completa en su panel los datos que esos documentos necesitan (razón social, NIT, contactos).
- Atender las consultas y reclamos de sus clientes en los plazos de la ley.
- Dar instrucciones lícitas y subir solo material sobre el que tenga derechos y autorizaciones.
- Decidir cuánto tiempo se conservan los datos (caducidad de las galerías) y borrarlos cuando ya no sean necesarios.
- Reportar a la SIC los incidentes de seguridad cuando corresponda.
6. Subencargados autorizados
| Subencargado | Para qué | Dónde |
|---|---|---|
| Cloudflare, Inc. | Alojamiento de la plataforma, base de datos, archivos y respaldos | Varios países, incluidos EE. UU. y la Unión Europea |
| Resend, Inc. | Envío de correos a los clientes del estudio | EE. UU. |
El Responsable autoriza la transmisión internacional de datos a estos subencargados.
7. Al terminar el contrato
- Mientras el contrato esté vigente, el Responsable borra lo que quiera desde su panel.
- Cuando el plan vence sin pago, Vitriospot borra las galerías y todos los datos de los clientes del Responsable 15 días después del vencimiento, salvo que este pida antes que se le entreguen sus archivos. La cuenta del estudio queda inactiva, sin datos de sus clientes.
- Las copias de seguridad de la base de datos (incluidos los vectores de rostros y los registros de acceso) guardan información hasta 30 días más y se eliminan solas. Los archivos (fotos, videos y recortes de rostros) no se respaldan: se borran del todo en el momento del borrado.
- Vitriospot solo conserva lo que la ley le obligue a guardar (por ejemplo, información contable), que no incluye datos de los clientes del estudio.
8. Responsabilidad
Cada parte responde por el cumplimiento de sus propias obligaciones. Vitriospot responde ante el Responsable por los tratamientos que haga fuera de sus instrucciones o incumpliendo este contrato. El límite de responsabilidad de los Términos no aplica cuando Vitriospot use los datos para fines propios o actúe con dolo o culpa grave.
9. Vigencia y ley aplicable
Este contrato dura lo mismo que los Términos del servicio y sus obligaciones de confidencialidad y borrado siguen después. Se rige por la ley colombiana.
Versión 1, del 15 de octubre de 2026. Rige desde su publicación en vitriospot.com.