Anexo de tratamiento de datos personales — Versión 2 · Vigente desde 16 de octubre de 2026

1. Partes y papeles

El Responsable determina las finalidades del tratamiento y es quien tiene la relación previa con los titulares. FLANCO trata los datos exclusivamente por cuenta y siguiendo las instrucciones documentadas del Responsable, sin decidir sobre finalidades ni medios esenciales.

Esta calificación no cambia si el Responsable es persona natural comerciante en vez de persona jurídica.

Si un titular, en una consulta o en un reclamo, pregunta quién trata sus datos, el Responsable le informará que FLANCO TECH S.A.S. presta el servicio del asistente como su encargado. FLANCO acepta ser nombrado en ese caso. Si la pregunta llega directamente a FLANCO, este podrá identificarse como encargado del Responsable y trasladará la solicitud según el §5, numeral 5.

2. Objeto y finalidad — exclusiva y única

FLANCO trata los datos personales de los contactos del Responsable con la única finalidad de gestionar y confirmar sus citas: confirmar, recordar, reprogramar y cancelar, y escalar a una persona del Responsable cuando el caso lo exija.

Cualquier tratamiento distinto de esa finalidad requiere instrucción documentada y previa del Responsable. FLANCO no usa estos datos para entrenar modelos, para elaborar perfiles, para publicidad, ni para ningún fin propio.

Las finalidades de los datos opcionales. Las finalidades de los datos opcionales del §3 que el Responsable declara al darse de alta son instrucción documentada y previa del Responsable, en el sentido del párrafo anterior. FLANCO recoge esos datos por cuenta del Responsable y solo para la finalidad declarada; lo que el Responsable haga con ellos fuera de la plataforma —por ejemplo, publicar una foto y etiquetar al titular— es tratamiento suyo.

3. Datos tratados, y los que no

Categorías tratadas —y ninguna otra, salvo los datos opcionales que el Responsable declare al darse de alta, en la tabla de abajo:

FLANCO conserva esta constancia por cuenta del Responsable como prueba de la autorización; tras la supresión, se conserva ligada solo al identificador interno.

Datos opcionales, que FLANCO trata solo si el Responsable los declara al darse de alta y el titular los da:

Cómo se piden. Cada dato opcional se le pide al titular aparte, después de su nombre, con su finalidad dicha al pedirlo, y esa finalidad tiene que ser verdadera. Ninguno de los datos que siguen siendo opcionales es condición para agendar. El que tiene una finalidad distinta de agendar la cita —como el usuario de Instagram— necesita además un «SÍ» expreso del titular en ese momento, y sin él no se guarda. Cualquier uso promocional del correo exige una autorización aparte, que este Anexo no da. Se conservan lo mismo que los demás datos del titular: hasta que termina la relación con el Responsable (§11).

Un dato opcional puede declararse obligatorio solo si es necesario para agendar o confirmar la cita; en ese caso, el Responsable declara el uso, y FLANCO lo pide con esa finalidad. El usuario de Instagram nunca puede declararse obligatorio.

FLANCO NO trata datos sensibles. En particular no trata datos de salud, diagnósticos, historia clínica ni información médica de ninguna clase, y el producto no dispone de campo alguno para almacenarlos. El Responsable se obliga a no remitirlos.

4. Duración

El presente anexo rige durante toda la vigencia del contrato principal y subsiste, respecto de las obligaciones de confidencialidad y de devolución o supresión, hasta el cumplimiento íntegro de estas.

5. Obligaciones de FLANCO como Encargado

FLANCO se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones del Responsable, y a informarle de inmediato si a su juicio una instrucción infringe la Ley 1581 de 2012 o sus decretos reglamentarios.
2. Guardar reserva y confidencialidad sobre los datos, obligación que subsiste después de terminada la relación.
3. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado (§9).
4. Realizar oportunamente la actualización, rectificación o supresión que el Responsable le indique (§10).
5. Tramitar las consultas y reclamos que reciba directamente de un titular trasladándolos al Responsable dentro de los dos (2) días hábiles siguientes a su recepción, a quien corresponde atenderlos.
6. Registrar en la bitácora del sistema toda acción ejecutada sobre una cita, de modo que el Responsable pueda consultarla en cualquier momento.
7. Abstenerse de circular o divulgar los datos fuera de lo previsto en este anexo.
8. Devolver o suprimir los datos al terminar la relación (§11).

• Tramitar las supresiones conforme al §10A.

6. Obligaciones del Responsable

El Responsable se obliga a:

1. Recabar la autorización de los titulares y entregar el aviso de privacidad en el momento de capturar la cita, presencial o digitalmente. Este deber es del Responsable y no se traslada a FLANCO. Cuando la cita se captura por la recepcionista de FLANCO, el Responsable instruye a FLANCO para que muestre el aviso de privacidad, recoja la aceptación y los "SÍ" por su cuenta, conforme al §8 bis (g), y le conserve la prueba (§3). El deber de contar con la autorización sigue siendo del Responsable; FLANCO responde por mostrar el aviso tal como se le instruye y por registrar la aceptación.
2. Garantizar que los datos que entrega son exactos, completos y actualizados, y que está legitimado para entregarlos.
3. Atender las consultas y reclamos de los titulares, incluidos los que FLANCO le traslade.
4. No remitir datos sensibles, conforme al §3.
5. Informar a FLANCO de toda solicitud de supresión, rectificación o revocatoria que deba ejecutarse en el sistema.

• Cumplir el §10A.

Medidas de apoyo de FLANCO, que no sustituyen lo anterior. Son dos, y no se mezclan: el aviso con «Acepto», que la recepcionista de FLANCO muestra por cuenta del Responsable al titular que escribe primero, antes de pedirle ningún dato, conforme a la obligación 1 y al §8 bis (g); y el pie informativo, un texto breve e igual para todos los negocios que acompaña los mensajes salientes a los contactos que carga el Responsable, y que les dice para qué se usan sus datos. El pie informa; no recoge ninguna autorización.

7. Subencargados — autorización general previa

El Responsable autoriza de forma general y previa a FLANCO para apoyarse en los siguientes proveedores de infraestructura, cada uno limitado a su función:

Cuando el Responsable conecta a FLANCO un número que también usa en la aplicación WhatsApp Business (coexistencia), el Responsable instruye a FLANCO para recibir: (i) copia de los mensajes que el Responsable envía desde esa aplicación, y (ii) los contactos y el historial de conversaciones de la aplicación, que FLANCO solicita a Meta porque esta lo exige como condición para mantener la conexión. FLANCO trata esta información solo durante el tiempo técnicamente necesario para procesarla y no almacena su contenido, el historial ni los contactos. Cuando un mensaje enviado desde la aplicación va dirigido a un contacto con una cita en curso, FLANCO usa el destinatario solo para identificarlo y conserva únicamente la hora del envío en el registro de esa cita, con el fin de suspender sus mensajes a ese contacto durante las veinticuatro horas siguientes o hasta que el contacto haga una nueva solicitud, lo que ocurra primero. Todo lo demás lo suprime al recibirlo. Del historial y los contactos, FLANCO registra solo la fecha de recepción y el número de elementos recibidos.

El proveedor del calendario del Responsable no es subencargado de FLANCO. Google o Microsoft, cuando el Responsable conecta su calendario, no están en esta lista: con una cuenta de empresa son encargados del Responsable, y con una cuenta personal, un proveedor de servicio elegido por el Responsable que trata los datos bajo sus propios términos. Lo regula el §8 bis.

Los proveedores que no reciben datos de los contactos, como el de correo transaccional con el que FLANCO avisa al Responsable, no son subencargados de este Anexo y están en la política de FLANCO.

Si FLANCO pone su aplicación o su panel detrás de la red de Cloudflare, o usa cualquier servicio de Cloudflare distinto de la resolución de nombres que trate datos de los contactos, Cloudflare se incorpora a esta lista con la ubicación "Red global de Cloudflare, sin un único país", previo aviso al Responsable conforme al párrafo de sustitución o adición de proveedores de esta cláusula.

Alcance del envío a Anthropic, dicho con precisión porque importa: la interacción ordinaria se resuelve con botones deterministas que no salen del sistema. Al proveedor de modelo de lenguaje solo se envía el texto libre que el contacto escriba, y únicamente para clasificar su intención. El modelo nunca ejecuta acciones: qué se hace con cada intención lo decide el código.

Entrenamiento y retención, declarados por separado porque no son lo mismo:

• No entrenamiento. FLANCO contrata el acceso mediante los términos comerciales del proveedor, que establecen expresamente que el contenido del cliente no se utiliza para entrenar modelos.
• Retención. El proveedor conserva el contenido durante un plazo operativo limitado, definido en su política de retención vigente, y lo suprime al vencerlo. FLANCO no declara retención cero, porque esa modalidad requiere habilitación expresa del proveedor y no está activa hoy. Si llegara a activarse, se comunicará al Responsable por el mecanismo de notificación de esta misma cláusula.

Proveedores de contingencia

Sustitución o adición de proveedores: FLANCO notificará al Responsable con quince (15) días calendario de antelación. Dentro de ese plazo el Responsable podrá objetar por escrito; de hacerlo, y de no llegarse a una solución, podrá terminar el contrato sin penalidad. Los cambios que reduzcan el alcance del tratamiento, la ubicación o el plazo de conservación no requieren aviso previo; FLANCO los informa al Responsable dentro de los diez (10) días siguientes y actualiza este Anexo.

Proveedores de contingencia. El §7 identifica proveedores de seguridad de red que no tratan datos de los contactos en condiciones normales y cuyo acuerdo de tratamiento FLANCO tiene archivado. Cuando un incidente de seguridad en curso lo exija, FLANCO podrá activar de inmediato uno de ellos, y lo notificará al Responsable dentro de las cuarenta y ocho (48) horas siguientes indicando el proveedor, la fecha de activación y las categorías de datos afectadas. El plazo de objeción del Responsable y su derecho a terminar sin penalidad se cuentan desde esa notificación. La activación de cualquier proveedor no listado como de contingencia requiere el aviso previo ordinario de esta cláusula.

8. Transmisión internacional

Los proveedores del §7 se encuentran fuera de Colombia. Las operaciones descritas constituyen transmisión internacional de datos —tratamiento por cuenta del Responsable— amparada en el presente contrato conforme al art. 2.2.2.25.5.2 del Decreto 1074 de 2015, y no requiere autorización previa de la Superintendencia de Industria y Comercio.

La ubicación de cada proveedor es la que este publica en su documentación vigente y se refleja en el §7; puede comprender varias regiones o no fijar un único país. FLANCO conserva copia fechada de la documentación y del acuerdo de tratamiento de cada proveedor, la pone a disposición del Responsable a su solicitud, y le notifica cualquier cambio material de ubicación conforme al §7. En todos los casos existe con cada proveedor un contrato de transmisión en los términos del artículo 2.2.2.25.5.1 del Decreto 1074 de 2015.

FLANCO mantiene con cada proveedor un acuerdo de tratamiento de datos, aceptado bajo los términos del proveedor, con obligaciones de confidencialidad y seguridad, y conserva copia de la versión aceptada.

La escritura de FLANCO en el calendario del Responsable no es una operación de los proveedores del §7: es transmisión por instrucción del Responsable a su propio proveedor, regulada en el §8 bis.

8 bis. El calendario del Responsable

El calendario del Responsable. Cuando el Responsable instruye a FLANCO para escribir sus citas en un servicio de calendario de Google o de Microsoft, la elección del proveedor y del tipo de cuenta es decisión del Responsable. El Responsable declara en cuál de estos dos regímenes está, y FLANCO ajusta a esa declaración el aviso que se muestra al titular:

(a) Cuenta empresarial. El proveedor es encargado del Responsable bajo su contrato de tratamiento de datos, y la escritura de FLANCO es una transmisión por instrucción del Responsable, sin autorización adicional del titular, sin perjuicio de la información que la política del Responsable le da (Decreto 1074 de 2015, art. 2.2.2.25.5.1).

(b) Cuenta personal. El proveedor es un proveedor de servicio elegido por el Responsable, que trata los datos bajo sus propios términos, sin contrato de transmisión, con base en la autorización informada del titular. El Responsable asume las obligaciones de la letra (c) de esta cláusula. Mientras el Responsable no declare el tipo de cuenta, se aplica el régimen de la letra (b).

(c) Con una cuenta personal, el Responsable se obliga, además:

• a verificar y aceptar los términos y condiciones del proveedor de la cuenta, y a verificar que permiten el uso comercial de la cuenta; asume la responsabilidad por el tratamiento que el proveedor haga de los datos, y reconoce que FLANCO no es parte de esos términos ni responde por ellos;
• a mantener la cuenta bajo el control de su representante legal o del propietario, con los métodos de recuperación actualizados y en poder del Responsable, y a notificar a FLANCO por el canal declarado en la parte 4 de la declaración del alta si cambia el titular de la cuenta;
• a notificar a FLANCO dentro de las veinticuatro (24) horas siguientes a conocer un acceso no autorizado a la cuenta, para que FLANCO pueda revocar su integración y ayudar con el reporte que la Ley 1581 de 2012, art. 17, lit. n), pone a cargo del Responsable;
• a no compartir el calendario en el que escribe FLANCO fuera de su personal, y a no publicarlo.

(d) Qué escribe FLANCO en el calendario. En Google, FLANCO escribe en un calendario que crea en la cuenta del Responsable, y solo tiene permiso sobre los eventos que crea. El Responsable instruye a FLANCO para que escriba ahí un evento por cada cita que agende, con estas condiciones y ninguna otra: el evento lleva el servicio y, si el titular aceptó el aviso de la letra (g), su nombre; no lleva el teléfono del titular; y lleva un identificador interno de la cita, que es un enlace a la cita en el panel de FLANCO: el enlace pide iniciar sesión y no lleva ningún dato del titular; el correo del titular va solo como invitado del evento, y solo cuando se le manda la invitación; el usuario de Instagram no va nunca al calendario; y si el titular no aceptó el aviso de la letra (g), el evento no lleva ningún dato personal: solo el servicio, el enlace a la cita y un texto neutro. Cuando el titular va como invitado del evento, el evento no lleva ese enlace ni notas internas del Responsable: solo los datos de la cita que el titular puede ver.

(e) La supresión. Cuando un titular ejerza la supresión, FLANCO borrará o anonimizará los eventos que creó para él, si todavía tiene acceso al calendario, y en todo caso lo dirá en el traslado al Responsable (§10A, letra (b)).

(f) Si el calendario es de Microsoft. El permiso que el Responsable concede a FLANCO al conectar una cuenta de Microsoft es más amplio que el uso que FLANCO hace de él: técnicamente permite leer los eventos del calendario, y FLANCO solo lee de ellos la hora y si están ocupados. Esa limitación no la impone Microsoft: la impone FLANCO, por contrato, y por su código.

Los eventos del calendario que FLANCO no creó. Respecto de los eventos del calendario que FLANCO no creó, FLANCO accede únicamente a su hora y estado de disponibilidad; no lee, conserva ni registra su asunto, contenido, ubicación ni asistentes, aunque el permiso concedido por el proveedor lo permita técnicamente.

(g) El aviso al titular. Antes de pedirle cualquier dato, FLANCO le muestra al titular el aviso de privacidad con «Acepto», que nombra el destino de su cita. Con una cuenta personal, o si el Responsable no ha declarado el tipo de cuenta, con esta frase: «Tu cita (servicio y nombre) queda registrada en el calendario de ⟨negocio⟩ en ⟨Google/Microsoft⟩, que la guarda bajo sus propios términos y condiciones y puede alojarla fuera de Colombia.» Con una cuenta de empresa, con esta: «Tu cita (servicio y nombre) queda registrada en el calendario de ⟨negocio⟩ en ⟨Google/Microsoft⟩, que puede alojarla fuera de Colombia.» El aviso enlaza la política de tratamiento del Responsable, y esta, la del proveedor.

9. Seguridad

FLANCO aplica, como mínimo:

• Cifrado en tránsito y en reposo. Los tokens de acceso a calendarios se almacenan cifrados.
• Aislamiento entre clientes impuesto por la base de datos, no por el código de la aplicación: un cliente no puede leer los datos de otro ni por error de programación.
• Registros técnicos sin datos personales: nunca contienen teléfonos completos, tokens ni el cuerpo de los mensajes.
• Entornos de desarrollo con datos sintéticos, nunca con datos reales.

Incidentes. FLANCO notificará al Responsable sin dilación indebida y a más tardar dentro de las setenta y dos (72) horas siguientes a la confirmación de un incidente de seguridad que comprometa efectivamente la confidencialidad, integridad o disponibilidad de datos personales, con la información disponible, y colaborará en la notificación a la Superintendencia de Industria y Comercio cuando proceda.

10. Derechos de los titulares, y la bitácora

FLANCO pone a disposición del Responsable los medios para ejecutar el conocimiento, actualización, rectificación y supresión de los datos, y atenderá su instrucción dentro de cinco (5) días hábiles.

Precisión sobre la bitácora, que se declara por diseño y no como limitación: el registro de acciones del sistema es append-only y está encadenado criptográficamente, porque de eso depende que sirva como evidencia frente al propio Responsable.

Ejercida la supresión, se eliminan los datos identificables del titular y los registros de sus mensajes; el registro de auditoría conserva únicamente referencias al identificador interno, que no permiten identificar a la persona. El código de reingreso del §10A se trata como dato personal, con el alcance que allí se describe.

Las copias de seguridad. Las copias de seguridad conservan los datos hasta que expira la ventana de restauración del proveedor de base de datos, hoy de seis (6) horas, publicada en la política de FLANCO. FLANCO implementará un procedimiento por el cual, si se restaura una copia de seguridad, las supresiones ya atendidas se vuelven a aplicar, y lo publicará en su política con su fecha de entrada en operación. Desde esa fecha, el procedimiento forma parte de este Anexo sin necesidad de nueva aceptación, porque solo añade una obligación de FLANCO. Hasta entonces, si se restaura una copia, FLANCO reaplica manualmente las supresiones atendidas dentro de la ventana, a partir de las solicitudes que conserva.

10A. Supresión: traslado, código de reingreso y purga

(a) La instrucción para conservar el código. El Responsable instruye a FLANCO para que, cuando un titular ejerza la supresión, conserve un código calculado a partir de su número de teléfono con una clave que solo tiene FLANCO, con la única finalidad de impedir que los datos del titular reingresen en cargas posteriores del Responsable, y para que omita toda fila de esas cargas cuyo número coincida con él. FLANCO no usará el código para ninguna otra finalidad, ni para reconocer ante el Responsable a un titular que vuelva a escribir por su cuenta. El código se elimina al terminar la relación, junto con los demás datos del Responsable, o antes, si el titular lo pide o vuelve a autorizar el tratamiento. FLANCO conservará el código en un repositorio separado, con acceso restringido, y el Responsable reconoce que, si el titular pide eliminarlo, FLANCO no podrá impedir el reingreso. Mientras FLANCO no calcule el código, no admite cargas de agendas del Responsable. FLANCO le comunica por escrito la fecha desde la cual el código está operativo, y solo desde entonces el Responsable puede cargar agendas.

(b) La solicitud que llega a FLANCO: canal y plazos del traslado. Cuando FLANCO reciba directamente de un titular una solicitud de supresión de datos del Responsable: (i) la registrará y suprimirá los datos del titular en sus sistemas de inmediato y, a más tardar, dentro de los dos días hábiles siguientes; (ii) dentro de los dos (2) días hábiles siguientes la trasladará al Responsable por el canal declarado en la parte 4 de la declaración del alta, e informará de ello al titular; y (iii) el Responsable atenderá al titular dentro de los quince (15) días hábiles que fija el art. 15 de la Ley 1581 de 2012.

(c) La solicitud que llega al Responsable. Cuando el Responsable reciba directamente una solicitud de supresión de un titular cuyos datos estén en FLANCO, la comunicará a FLANCO por el canal declarado en la parte 4 de la declaración del alta dentro de los dos (2) días hábiles siguientes, para que FLANCO ejecute la supresión y conserve el código de la letra (a) de este §10A.

(d) Purga del sistema fuente y certificación. Recibido el traslado de una supresión, o informado de ella por cualquier medio, el Responsable retirará los datos del titular de su propio sistema fuente dentro de los quince (15) días hábiles siguientes a la fecha en que recibió el traslado o conoció la solicitud, lo que ocurra primero, y en el mismo plazo certificará por escrito a FLANCO que lo hizo. FLANCO le recordará la certificación al décimo día hábil; si el Responsable no certifica, FLANCO mantendrá el código y dejará constancia de la omisión; la omisión activa la letra (e).

(e) Indemnidad. El Responsable mantendrá indemne a FLANCO frente a sanciones, multas, indemnizaciones y costos de defensa derivados del reingreso o tratamiento de datos de titulares cuya solicitud de supresión le fue trasladada o notificada, salvo que el reingreso se deba a que FLANCO no aplicó el código de la letra (a).

(f) Acceso restringido a los reportes de carga. El Responsable restringirá el acceso a los resultados de carga que informan filas omitidas por supresión al personal que gestiona datos personales, y los tratará como información confidencial.

(g) Bandera «no exportar». El Responsable podrá marcar en su propio sistema los registros de titulares que no deben exportarse a FLANCO, y FLANCO rechazará las filas que lleguen con esa marca.

11. Devolución o supresión al terminar

Dentro de los treinta (30) días calendario siguientes a la terminación de la relación, y según lo que el Responsable indique por escrito, FLANCO devolverá los datos en formato exportable o los suprimirá, salvo lo que deba conservarse por deber legal.

De no recibir instrucción dentro de ese plazo, FLANCO procederá a la supresión.

12. Auditoría

El Responsable podrá solicitar, una vez al año y con preaviso mínimo de quince (15) días hábiles, información documentada sobre las medidas de seguridad aplicadas.

Forma de la auditoría. Al tratarse de una arquitectura multiinquilino, la auditoría no comprende la inspección física ni el acceso directo a bases de datos compartidas —que expondría datos de terceros—: se satisface mediante cuestionarios y certificaciones documentales.

La bitácora de acciones sobre sus propias citas es consultable en cualquier momento y sin preaviso, por construcción.