CONTRATO DE TRANSMISIÓN DE DATOS, ACUERDO DE CONFIDENCIALIDAD Y MATRIZ DE ROLES
1. Partes y Objeto del Contrato
El presente contrato de transmisión de datos personales y acuerdo de estricta reserva de información se celebra entre Prontera SST, operada comercialmente por Juan Emmanuel Gaviria López, persona natural identificada con Cédula de Ciudadanía No. 1.039.697.633 de Colombia, con correo de notificaciones emmanuel.gaviria.25@gmail.com y portal oficial https://prontera-sst.com (en adelante el "ENCARGADO" o "PRONTERA") y la persona natural o jurídica que contrata el servicio de suscripción y licenciamiento del software (en adelante el "RESPONSABLE" o el "CLIENTE").
Objeto: Establecer las condiciones técnicas, jurídicas, operativas y de confidencialidad bajo las cuales PRONTERA tratará los datos personales, biométricos, laborales y de salud ocupacional de los trabajadores del CLIENTE, así como delimitar con precisión las facultades, accesos y limitaciones de cada rol de usuario dentro del sistema informático.
2. Matriz Exhaustiva de Facultades, Limitaciones y Responsabilidades por Rol
Con el fin de garantizar el principio de acceso y circulación restringida (Art. 4 Literal f Ley 1581 de 2012), la plataforma implementa un modelo estricto de Control de Acceso Basado en Roles (RBAC). A continuación se definen los cuatro roles del ecosistema y sus límites infranqueables:
ADMINISTRADOR (Director SST / Gerente de la Empresa)
Facultades y Privilegios Autorizados:
- Creación, edición y administración de sedes, centros de trabajo y parámetros de la empresa.
- Creación, activación y asignación de usuarios con rol AUXILIAR u OPERADOR.
- Cargue masivo o individual de nómina de empleados y enrolamiento de firmas.
- Visualización integral de tableros de control (Dashboards), métricas de cumplimiento SG-SST y reportes de salud ocupacional (
HealthReport). - Configuración de plantillas de inspección, inventario de EPP y políticas corporativas.
- Emisión de firmas digitales y asignación de PIN de seguridad para validez de actas.
Limitaciones y Deberes de Reserva:
- Responsabilidad de Consentimiento: Es el único responsable legal de contar con la autorización previa, expresa e informada de cada trabajador antes de cargar su información personal o biométrica al software.
- Custodia de Credenciales: Prohibición estricta de compartir su usuario o delegar su PIN de firma a terceros.
- Aislamiento Tenant: No tiene acceso a datos de otras empresas alojadas en Prontera SST.
- Integridad de Registros: No puede modificar ni eliminar inspecciones o actas que cuenten con hash criptográfico cerrado.
AUXILIAR (Consultor / Especialista SST Operativo)
Facultades y Privilegios Autorizados:
- Ejecución de inspecciones de seguridad en campo utilizando plantillas configuradas.
- Programación y ejecución de capacitaciones con toma de asistencia digital y biométrica.
- Registro y entrega física de Elementos de Protección Personal (EPP) y firmas de constancia.
- Reporte de hallazgos críticos, actos y condiciones inseguras.
- Acceso al módulo
/auxiliaradaptado para su flujo diario.
Limitaciones y Deberes de Reserva:
- Alcance Circunscrito: Solo puede operar en las empresas y sedes a las que el Administrador le haya concedido acceso explícito.
- Prohibición de Extracción Masiva: Prohibida la copia, descarga masiva o divulgación a terceros de listas de empleados o hallazgos confidenciales del cliente.
- Sin Acceso a Configuración Global: No puede crear nuevas empresas, eliminar sedes ni alterar las estructuras de planes comerciales.
- Inalterabilidad de Auditoría: Sus acciones quedan registradas con huella temporal e IP del dispositivo.
OPERADOR (Trabajador de Campo / Inspector de Sitio / Empleado)
Facultades y Privilegios Autorizados:
- Uso de la aplicación móvil optimizada en
/operadorpara captura en terreno. - Diligenciamiento de formularios de inspección asignados de manera online u offline.
- Registro de firmas y validación biométrica en actas de capacitación y entrega de dotación.
- Consulta de sus propias asignaciones de EPP y políticas corporativas firmadas.
Limitaciones y Deberes de Reserva:
- Cero Visibilidad Cruzada: No tiene acceso bajo ninguna circunstancia a los datos personales, diagnósticos de salud ni registros de otros trabajadores.
- Bloqueo Administrativo: Acceso bloqueado automáticamente por middleware hacia paneles gerenciales, dashboards, finanzas o configuraciones de empresa.
- No Modificación de Evidencias: Una vez sincronizada una inspección, no puede alterar las fotografías ni el hash de integridad.
SUPERADMIN (Equipo Técnico de Infraestructura de Prontera SST)
Facultades Técnicas:
- Mantenimiento y monitorización del rendimiento de la base de datos PostgreSQL y Supabase Storage.
- Gestión de copias de seguridad (Backups) automatizadas y recuperación ante desastres (DRP).
- Despliegue de actualizaciones de seguridad, parches criptográficos y soporte técnico autorizado.
Prohibiciones y Secreto Profesional:
- Prohibición de Comercialización: Prohibida la venta, cesión, arriendo o explotación económica de las bases de datos de los clientes.
- Secreto Absoluto: Deber legal de secreto y reserva respecto de toda la información corporativa, secretos industriales y datos de trabajadores de los clientes.
- Acceso Restringido: Solo puede acceder a registros de clientes previa solicitud explícita de soporte técnico y bajo registro de auditoría.
3. Deberes del Encargado y Prevenciones con la Información
En cumplimiento del Artículo 18 de la Ley 1581 de 2012 y el Artículo 25 del Decreto 1377 de 2013, PRONTERA asume las siguientes prevenciones y compromisos:
- Tratamiento Exclusivo por Cuenta del Cliente: Tratar los datos personales únicamente conforme a las instrucciones del CLIENTE y las finalidades del SG-SST, sin utilizarlos para fines propios ni de terceros.
- Prevención de Fugas y Accesos No Autorizados: Implementar controles técnicos (firewalls, cifrado SSL/TLS 1.3, autenticación con tokens seguros) que impidan la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
- Garantía de No-Repudio e Integridad: Generar hashes criptográficos SHA-256 en cada reporte e inspección para que ni el cliente, ni usuarios externos, ni PRONTERA puedan alterar retroactivamente el contenido de un hallazgo.
- Aislamiento Estricto de Datos: Cada consulta a base de datos se encuentra condicionada al identificador único de empresa (
empresaId), impidiendo que una empresa visualice registros de otra.
4. Acuerdo de Confidencialidad, Reserva y Secreto Empresarial (NDA)
Toda la información ingresada en la plataforma, incluyendo de manera enunciativa más no limitativa: matrices de peligros y valoración de riesgos (GTC 45), inventarios de sustancias químicas con hojas de seguridad, metodologías de trabajo seguro, listados de personal, planes de contingencia y conceptos médicos ocupacionales, constituye INFORMACIÓN CONFIDENCIAL Y SECRETO EMPRESARIAL al amparo de la Decisión 486 de la Comisión de la Comunidad Andina y las normas sobre competencia desleal (Ley 256 de 1996).
Ambas partes se comprometen a:
- Mantener la más estricta reserva y confidencialidad respecto de dicha información.
- No divulgarla, publicarla, reproducirla ni ponerla a disposición de terceros sin autorización previa y por escrito.
- Aplicar a la información del cliente las mismas medidas de seguridad que utilizaría para proteger sus propios secretos de valor equivalente.
5. Vigencia de la Reserva y Deber de Custodia Post-Contractual
La obligación de reserva, secreto profesional y confidencialidad pactada en este acuerdo permanecerá vigente durante toda la duración de la relación contractual y continuará en pleno vigor por un término de cinco (5) años contados a partir de la fecha de terminación del servicio.
Tratándose de datos relativos a historias clínicas ocupacionales y registros que por mandato del Decreto 1072 de 2015 deban conservarse por veinte (20) años, el deber de custodia y confidencialidad subsistirá durante todo el término exigido por la ley.
6. Procedimiento de Devolución y Destrucción Segura de Información
A la terminación de la suscripción, el CLIENTE dispondrá de un plazo de treinta (30) días calendario para exportar la totalidad de sus informes, registros de inspección y actas firmadas en formatos universales (PDF y hojas de cálculo). Concluido dicho término, PRONTERA procederá al borrado seguro y definitivo de los datos de los servidores activos, manteniendo únicamente los respaldos criptográficos requeridos para cumplimiento de responsabilidades legales.