Acuerdo de encargo del tratamiento de datos personales

Modelo v1.0 · octubre de 2026 · THE PROJECT MASTER S.A.S. (PMOvio)

Es un modelo. Lo firmamos con cada cliente que lo pida, completando sus datos. Si tu área legal necesita ajustes, escríbenos a ceo@theprojectmaster.com o pídelo a tu partner.

Descargar PDF Volver al Centro de Confianza

Entre [NOMBRE DEL CLIENTE], identificado con [NIT / ID FISCAL], con domicilio en [DIRECCIÓN] (el «Responsable»), y THE PROJECT MASTER S.A.S., sociedad colombiana identificada con NIT 902.080.975-1, con domicilio en la Carrera 3G # 55-49, Bogotá D.C., titular de la plataforma PMOvio (el «Encargado»), se celebra este acuerdo, que forma parte del contrato o de los términos de servicio por los que el Responsable usa PMOvio (el «Contrato»).

1. Objeto

El Encargado trata datos personales por cuenta del Responsable únicamente para prestarle el servicio de PMOvio, plataforma de gestión de proyectos y portafolios, en los términos del Contrato y de este acuerdo. El detalle del tratamiento está en el Anexo I.

2. Normas aplicables

Este acuerdo se rige por la Ley 1581 de 2012 de Colombia y sus normas reglamentarias. Cuando el tratamiento esté sujeto al Reglamento (UE) 2016/679 (RGPD) o a otra ley de protección de datos del país del Responsable, las Partes cumplirán también esas normas, y este acuerdo se interpretará de forma que las cumpla, incluido el artículo 28 del RGPD.

3. Obligaciones del Encargado

  1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son el Contrato, este acuerdo y la configuración que el Responsable hace en la plataforma. Si una instrucción le parece contraria a la ley, lo avisará al Responsable.
  2. No usar los datos para fines propios ni venderlos, cederlos o comunicarlos a terceros, salvo a los subencargados de la cláusula 5 o por obligación legal, de la que avisará al Responsable si la ley lo permite.
  3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
  4. Aplicar las medidas técnicas y organizativas del Anexo II, que podrá mejorar pero no rebajar.
  5. Ayudar al Responsable a atender las solicitudes de los titulares (acceso, rectificación, supresión, oposición, portabilidad), mediante las funciones de la plataforma o, si no bastan, a petición del Responsable. Si un titular se dirige directamente al Encargado, se lo trasladará al Responsable sin responder por su cuenta.
  6. Ayudar al Responsable, con la información de que disponga, en las evaluaciones de impacto y en las consultas a la autoridad de protección de datos que le correspondan.

4. Incidentes de seguridad

El Encargado notificará al Responsable cualquier violación de seguridad que afecte a sus datos personales sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de ella. La notificación describirá, en lo que se sepa, la naturaleza del incidente, las categorías y el número aproximado de titulares y registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas. La información que no esté disponible se enviará en cuanto lo esté.

5. Subencargados

  1. El Responsable autoriza al Encargado a recurrir a los subencargados que figuran en el Anexo III y en pmovio.com/seguridad.
  2. El Encargado avisará al Responsable con al menos 30 días de antelación antes de añadir o sustituir un subencargado. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si las Partes no encuentran una solución, el Responsable podrá terminar el servicio afectado sin penalización y con el reembolso de lo pagado por adelantado por el periodo no prestado.
  3. El Encargado impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo, y responderá frente al Responsable por su cumplimiento.

6. Ubicación y transferencias internacionales

La base de datos de PMOvio se aloja en la Unión Europea (Irlanda). Algunos subencargados (Anexo III) tratan datos fuera de ella, sobre todo en Estados Unidos. Esas transferencias se hacen con las garantías que exige la ley aplicable: las cláusulas contractuales tipo aprobadas por la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU., según el proveedor. Para la ley colombiana, el Responsable autoriza la transmisión a esos países en los términos de este acuerdo.

7. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar que cumple este acuerdo y responderá a sus cuestionarios de seguridad. Si eso no basta, el Responsable, o un auditor obligado a confidencialidad que no sea competidor del Encargado, podrá hacer una auditoría, como máximo una vez al año, con 30 días de preaviso, en horario laboral, a su cargo y sin acceder a datos de otros clientes. Las certificaciones de seguridad de los proveedores de infraestructura se aceptan como prueba de los controles que cubren.

8. Fin del tratamiento

Al terminar el servicio, el Responsable puede exportar sus datos desde la plataforma o pedir al Encargado que se los entregue en un formato de uso común. Dentro de los 30 días siguientes, el Encargado suprimirá los datos del Responsable, salvo que la ley le obligue a conservar alguno, y lo confirmará por escrito si se le pide. Las copias de seguridad se borran en su ciclo ordinario de rotación y, mientras existan, siguen protegidas por este acuerdo.

9. Responsabilidad, vigencia y prevalencia

La responsabilidad de cada Parte se rige por el Contrato. Este acuerdo dura lo mismo que el servicio y, después, mientras el Encargado conserve datos del Responsable. Si contradice al Contrato en materia de protección de datos, prevalece este acuerdo. Las controversias se resolverán como prevea el Contrato.

Anexo I · Descripción del tratamiento

TitularesUsuarios del Responsable (empleados, contratistas) y personas que figuran en sus proyectos como recursos, responsables o interesados.
Categorías de datosNombre, correo electrónico, cargo y rol en la plataforma; asignaciones, horas y coste de recursos; comentarios y actividad en proyectos; datos técnicos de acceso (fecha, hora, dirección IP). No se piden categorías especiales de datos; el Responsable no debe cargarlas.
FinalidadPrestar el servicio de PMOvio: gestión de proyectos, portafolios, recursos, riesgos y cambios, informes, asistente de IA, notificaciones y soporte.
OperacionesRecogida, almacenamiento, consulta, cálculo, modificación, comunicación a los subencargados y supresión.
DuraciónMientras dure el servicio, más el plazo de la cláusula 8.

Anexo II · Medidas técnicas y organizativas

  • Cifrado: TLS en tránsito con HSTS; AES-256 en reposo en la base de datos.
  • Aislamiento: cada organización ve solo sus datos, con políticas de seguridad a nivel de fila (RLS) en la base de datos, no solo en la aplicación.
  • Acceso: contraseñas con requisitos mínimos, doble factor (TOTP) que la organización puede exigir a todos sus usuarios, y roles con permisos distintos.
  • Acceso administrativo: las operaciones de soporte pasan por una pasarela que valida el permiso; ninguna clave maestra llega al navegador. Los partners gestionan cuentas y usuarios, no el contenido de los proyectos.
  • Trazabilidad: historial de cambios por proyecto con autor, fecha y valores anteriores y nuevos.
  • IA: por defecto, el asistente recibe métricas con los proyectos seudonimizados (P1, P2…) y las personas solo por su rol; los proveedores de IA no entrenan modelos con esos datos.
  • Continuidad: copias de seguridad automáticas de la base de datos del proveedor de infraestructura.
  • Personal: acceso a datos de clientes limitado a quien lo necesita para prestar el servicio, con deber de confidencialidad.

Anexo III · Subencargados autorizados

ProveedorFunciónUbicación
SupabaseBase de datos y autenticaciónUnión Europea (Irlanda)
VercelAlojamiento de la aplicaciónInfraestructura global
GroqMotor de IA principalEstados Unidos
AnthropicMotor de IA de respaldoEstados Unidos
ResendCorreo transaccionalEstados Unidos
PaddleFacturación y cobro, cuando el Responsable paga por esa víaReino Unido / UE

La lista vigente está en pmovio.com/seguridad.

El Responsable
[Nombre, cargo]
Fecha:
El Encargado
Ronny Castro Fonseca, Representante Legal
THE PROJECT MASTER S.A.S.
Fecha:

Data Processing Agreement

Template v1.0 · October 2026 · THE PROJECT MASTER S.A.S. (PMOvio)

This is a template. We sign it with every customer that asks, filling in their details. If your legal team needs changes, write to ceo@theprojectmaster.com or ask your partner.

Download PDF Back to the Trust Center

Between [CUSTOMER NAME], tax ID [TAX ID], with address at [ADDRESS] (the "Controller"), and THE PROJECT MASTER S.A.S., a Colombian company with tax ID (NIT) 902.080.975-1, with address at Carrera 3G # 55-49, Bogotá D.C., owner of the PMOvio platform (the "Processor"). This agreement forms part of the contract or terms of service under which the Controller uses PMOvio (the "Contract").

1. Subject matter

The Processor processes personal data on behalf of the Controller solely to provide the PMOvio service, a project and portfolio management platform, under the Contract and this agreement. The processing is described in Annex I.

2. Applicable law

This agreement is governed by Colombian Law 1581 of 2012 and its regulations. Where processing is subject to Regulation (EU) 2016/679 (GDPR) or another data protection law of the Controller's country, the Parties will also comply with it, and this agreement will be read so as to comply, including Article 28 GDPR.

3. Processor obligations

  1. Process the data only on the Controller's documented instructions, which are the Contract, this agreement and the configuration the Controller sets in the platform. The Processor will inform the Controller if it believes an instruction infringes the law.
  2. Not use the data for its own purposes, nor sell, assign or disclose it to third parties, except to the sub-processors in clause 5 or where required by law, in which case it will inform the Controller where legally allowed.
  3. Ensure that persons authorised to process the data have committed to confidentiality.
  4. Apply the technical and organisational measures in Annex II, which it may improve but not degrade.
  5. Assist the Controller in responding to data subject requests (access, rectification, erasure, objection, portability) through the platform's features or, where these are not enough, on request. Requests received directly by the Processor will be forwarded to the Controller without answering them.
  6. Assist the Controller, with the information available to it, with data protection impact assessments and consultations with the supervisory authority.

4. Security incidents

The Processor will notify the Controller of any personal data breach affecting its data without undue delay and in any case within 48 hours of becoming aware of it. The notice will describe, as far as known, the nature of the breach, the categories and approximate number of data subjects and records concerned, its likely consequences and the measures taken or proposed. Information not yet available will be provided as soon as it is.

5. Sub-processors

  1. The Controller authorises the Processor to engage the sub-processors listed in Annex III and at pmovio.com/seguridad.
  2. The Processor will give at least 30 days' notice before adding or replacing a sub-processor. The Controller may object on reasonable data protection grounds; if the Parties cannot find a solution, the Controller may terminate the affected service without penalty, with a refund of any prepaid amount for the period not provided.
  3. The Processor will bind each sub-processor by contract to data protection obligations equivalent to this agreement and remains liable to the Controller for their performance.

6. Location and international transfers

PMOvio's database is hosted in the European Union (Ireland). Some sub-processors (Annex III) process data outside it, mainly in the United States. Those transfers rely on the safeguards required by applicable law: the European Commission's standard contractual clauses or the EU-U.S. Data Privacy Framework, depending on the provider. For Colombian law purposes, the Controller authorises the transmission to those countries under this agreement.

7. Audits

The Processor will make available the information needed to demonstrate compliance with this agreement and will answer the Controller's security questionnaires. Where that is not enough, the Controller, or an auditor bound by confidentiality who is not a competitor of the Processor, may carry out an audit at most once a year, with 30 days' notice, during business hours, at the Controller's expense and without access to other customers' data. Security certifications held by the infrastructure providers are accepted as evidence of the controls they cover.

8. End of processing

When the service ends, the Controller may export its data from the platform or ask the Processor to deliver it in a commonly used format. Within 30 days, the Processor will delete the Controller's data unless the law requires it to keep some of it, and will confirm this in writing on request. Backups are deleted in their ordinary rotation cycle and remain covered by this agreement while they exist.

9. Liability, term and precedence

Each Party's liability is governed by the Contract. This agreement lasts as long as the service and thereafter for as long as the Processor holds the Controller's data. In case of conflict with the Contract on data protection matters, this agreement prevails. Disputes will be resolved as provided in the Contract.

Annex I · Description of the processing

Data subjectsThe Controller's users (employees, contractors) and people listed in its projects as resources, owners or stakeholders.
Categories of dataName, email, job title and platform role; resource assignments, hours and cost; project comments and activity; technical access data (date, time, IP address). No special categories of data are requested; the Controller must not upload them.
PurposeProviding the PMOvio service: project, portfolio, resource, risk and change management, reports, AI assistant, notifications and support.
OperationsCollection, storage, retrieval, calculation, modification, disclosure to sub-processors and erasure.
DurationFor the term of the service, plus the period in clause 8.

Annex II · Technical and organisational measures

  • Encryption: TLS in transit with HSTS; AES-256 at rest in the database.
  • Isolation: each organisation sees only its own data, enforced by row-level security (RLS) policies in the database, not just in the application.
  • Access: minimum password requirements, two-factor authentication (TOTP) that the organisation can require for all its users, and roles with different permissions.
  • Administrative access: support operations go through a gateway that validates permissions; no master key ever reaches the browser. Partners manage accounts and users, not project content.
  • Traceability: per-project change history with author, date and previous and new values.
  • AI: by default the assistant receives metrics with pseudonymised projects (P1, P2…) and people only by role; AI providers do not train models on that data.
  • Continuity: automatic database backups by the infrastructure provider.
  • Staff: access to customer data limited to those who need it to provide the service, under a duty of confidentiality.

Annex III · Authorised sub-processors

ProviderFunctionLocation
SupabaseDatabase and authenticationEuropean Union (Ireland)
VercelApplication hostingGlobal infrastructure
GroqPrimary AI engineUnited States
AnthropicFallback AI engineUnited States
ResendTransactional emailUnited States
PaddleBilling and payments, when the Controller pays that wayUnited Kingdom / EU

The current list is at pmovio.com/seguridad.

The Controller
[Name, title]
Date:
The Processor
Ronny Castro Fonseca, Legal Representative
THE PROJECT MASTER S.A.S.
Date: