Acuerdo de Tratamiento de Datos

Última actualización: 7 de noviembre de 2026

Este Acuerdo de Tratamiento de Datos (el “Acuerdo”) forma parte de los Términos de Servicio de Grabitt y regula el tratamiento de datos personales que Eventt S.A.S. (“Eventt”) realiza por cuenta del Cliente al prestar Grabitt. Tiene el alcance de un contrato de transmisión de datos personales en los términos del Decreto 1074 de 2015, artículo 2.2.2.25.5.2.

Los términos con mayúscula inicial tienen el significado que les dan los Términos de Servicio.

1. Partes y funciones

1.1. Partes. Son partes Eventt S.A.S., NIT 901454420-7, domiciliada en Bogotá D.C., Colombia, y el Cliente titular de la cuenta de Grabitt.

1.2. Funciones. El Cliente, o la organización por cuya cuenta actúa el Cliente cuando este realiza mediciones para terceros, actúa como Responsable del Tratamiento de los datos de los participantes de sus mediciones. Eventt actúa como Encargado del Tratamiento.

1.3. Consultoras y mediciones para terceros. Cuando el Cliente realiza mediciones por cuenta de otra organización, la distribución de funciones depende de quién determina las finalidades y condiciones del tratamiento. Si el Cliente actúa como Encargado de esa organización, Eventt actúa como Encargado del Cliente para esas mediciones. En ese caso el Cliente declara que cuenta con la autorización de esa organización para utilizar a Eventt y a sus proveedores, que identifica a esa organización como Responsable en cada medición y que le traslada las obligaciones de este Acuerdo que le correspondan. El Cliente es el único interlocutor de Eventt para efectos de este Acuerdo, sin perjuicio de la atención directa de los titulares y de las autoridades.

1.4. Exclusión. Este Acuerdo no se aplica a los datos que Eventt trata como Responsable, descritos en la Política de Privacidad, entre ellos los de las cuentas de usuario, la facturación, el registro de aceptaciones y el registro de solicitudes de titulares.

2. Alcance del tratamiento

2.1. Finalidades. Prestar las funcionalidades de Grabitt que el Cliente utiliza: configurar mediciones, administrar participantes, enviar invitaciones y códigos de verificación, recibir y almacenar respuestas, calcular resultados y reportes, permitir consultas y exportaciones conforme a la modalidad de privacidad, atender solicitudes de titulares, y mantener la seguridad, el soporte y la continuidad del servicio.

2.2. Categorías de titulares. Participantes de las mediciones; personas registradas en las listas de participantes; lectores de reportes, cuando aplique.

2.3. Categorías de datos. Los que el Cliente decida incorporar o solicitar, entre ellos: nombre, correo electrónico, identificador y atributos de los participantes; respuestas, incluidos comentarios cuando la modalidad los admite; registros de aceptación de páginas de autorización; estado de participación y de entrega de correos; identificadores técnicos. Pueden incluir datos sensibles o de niños, niñas y adolescentes cuando el Cliente así lo configure, bajo su responsabilidad conforme a la cláusula 13.

2.4. Operaciones autorizadas. Recolección mediante el formulario; almacenamiento; consulta por los usuarios del Cliente dentro de lo que permite la modalidad; cálculo de resultados y aplicación de los controles de confidencialidad; presentación en reportes; exportación conforme a la modalidad; envío de correos; transmisión a los proveedores del Anexo 1; conservación y eliminación conforme a la Política de Retención; y las operaciones de atención de derechos de la cláusula 8.

2.5. Duración. Mientras el Cliente utilice Grabitt y, después, durante los periodos de la Política de Retención de Información y los ciclos de respaldo.

3. Instrucciones documentadas

3.1. Eventt trata los datos conforme a las instrucciones documentadas del Cliente. Constituyen instrucciones documentadas los Términos, este Acuerdo, la configuración que el Cliente establece en la plataforma, incluida la modalidad de privacidad de cada medición, y las instrucciones escritas adicionales que Eventt acepte.

3.2. Las modalidades de privacidad limitan las instrucciones. La modalidad elegida para cada medición (anónima, confidencial o identificada) queda congelada desde su primera activación y determina qué operaciones puede realizar el Cliente. En una medición confidencial, ningún usuario del Cliente puede consultar, descargar ni exportar respuestas individuales. Una respuesta individual es el conjunto de respuestas de un participante, o cualquiera de ellas asociada a su identidad, a su segmento o a su fecha de envío; los comentarios de preguntas abiertas que la plataforma muestra por separado, conforme a los Términos de Servicio, no lo son. Ninguna instrucción del Cliente, cualquiera sea su forma, obliga a Eventt a eludir esas garantías ni a entregar al Cliente respuestas individuales de una medición confidencial. Eventt puede negarse a cumplir una instrucción que las contradiga, sin que ello constituya incumplimiento.

3.3. Eventt informará al Cliente si considera que una instrucción infringe la legislación aplicable.

3.4. Eventt se obliga a dar tratamiento a los datos, a nombre del Cliente, conforme a los principios que los tutelan, a aplicar la política de tratamiento del Responsable en lo que le corresponda como Encargado y a tratarlos solo para las finalidades del numeral 2.1.

4. Confidencialidad

4.1. Eventt limita el acceso a los datos a las personas que lo necesitan para prestar el servicio, sujetas a deberes de confidencialidad que subsisten tras la terminación de su vínculo.

4.2. El acceso de las personas autorizadas por Eventt a respuestas individuales de mediciones confidenciales se limita a la atención de solicitudes de titulares, obligaciones legales, órdenes de autoridad o incidentes de seguridad. Para las solicitudes de titulares se realiza mediante una herramienta restringida a las personas autorizadas por Eventt, vinculada a un caso registrado con la identidad del titular verificada, limitada a un participante y una medición en cada consulta, con una justificación obligatoria y un registro de auditoría.

5. Seguridad

5.1. Eventt aplica las medidas técnicas y organizativas del Anexo 2 para salvaguardar la seguridad de las bases de datos que contienen los datos del Cliente.

5.2. Ninguna medida garantiza una seguridad absoluta. Eventt revisa estas medidas conforme evolucionan el servicio y los riesgos, sin reducir el nivel de protección del Anexo 2.

6. Subencargados

6.1. El Cliente autoriza a Eventt a utilizar los proveedores del Anexo 1 para tratar los datos por cuenta de Eventt.

6.2. Eventt impone a sus proveedores obligaciones de seguridad y confidencialidad adecuadas mediante los contratos que celebra con ellos, y responde frente al Cliente por su actuación en los términos de la ley y de los Términos.

6.3. Eventt informará al Cliente, con una antelación razonable, la incorporación o sustitución de un proveedor que trate datos de participantes, mediante la actualización del Anexo 1 y un aviso por correo electrónico o dentro de la plataforma. Si el Cliente tiene objeciones razonables, podrá terminar el servicio conforme a los Términos.

6.4. Inteligencia artificial. Grabitt AI se ejecuta solo a solicitud de un usuario autorizado y respetando sus permisos. La asistencia para diseñar encuestas trata solo la información de configuración que el usuario suministra al solicitarla, y no datos de participantes ni resultados de mediciones. La generación de reportes trata los resultados agregados de las mediciones que el usuario selecciona, calculados por Grabitt conforme a la modalidad de cada medición y a su umbral mínimo de respuestas (cantidad de respuestas, promedios, distribución por bandas y porcentajes de opciones), junto con los nombres de la medición, sus dimensiones y preguntas; en mediciones confidenciales, solo los resultados agregados protegidos que la modalidad permite consultar una vez cerrada. No trata respuestas individuales, respuestas de texto libre ni datos de identificación de los participantes. El proveedor de ambas funcionalidades figura en el Anexo 1. El análisis de respuestas individuales o de texto libre mediante inteligencia artificial no está disponible a la fecha de este Acuerdo. Antes de enviar otros datos de mediciones a un proveedor de inteligencia artificial, Eventt lo incorporará al Anexo 1 con su finalidad, la información enviada, el lugar del tratamiento y las condiciones sobre entrenamiento y conservación verificadas en su contrato. Esas funcionalidades se ejecutarán solo a solicitud de un usuario autorizado, respetando sus permisos y la modalidad de cada medición, y, en mediciones confidenciales, solo sobre los resultados agregados que la modalidad permite consultar.

7. Tratamiento internacional

7.1. Los proveedores del Anexo 1 tratan los datos fuera de Colombia, en los lugares que allí se indican. Como esos proveedores actúan por cuenta de Eventt y no deciden sobre las finalidades del tratamiento, la comunicación de datos a ellos es una transmisión internacional, y no una transferencia, y se realiza con base en este Acuerdo y en los contratos de Eventt con cada proveedor. El Cliente, como Responsable, autoriza esa transmisión para las finalidades de este Acuerdo.

7.2. Eventt no realizará transferencias internacionales de los datos del Cliente, en las que el receptor los trate como responsable, sin instrucción del Cliente y sin cumplir los requisitos del artículo 26 de la Ley 1581 de 2012.

7.3. Eventt pondrá a disposición del Cliente, a solicitud, la información sobre el lugar de tratamiento de cada proveedor.

8. Atención de derechos de los titulares

8.1. El Cliente, como Responsable, atiende las consultas y reclamos de los titulares. Eventt colabora con él para que la respuesta se dé dentro de los plazos de los artículos 14 y 15 de la Ley 1581 de 2012.

8.2. En las mediciones anónimas e identificadas, el Cliente dispone en la plataforma de herramientas para consultar y exportar las respuestas y para eliminar a un participante de los resultados. La eliminación desde el espacio de trabajo no es una supresión definitiva; la supresión definitiva la ejecuta Eventt a solicitud.

8.3. En las mediciones confidenciales, el Cliente no puede consultar, modificar ni eliminar respuestas individuales desde la plataforma. Las solicitudes que lo requieran se atienden mediante el procedimiento restringido de Eventt: registro de la solicitud, verificación de identidad del titular, acceso técnico mínimo y registrado de la cláusula 4.2, entrega directa al titular por un canal seguro y no al Cliente ni, por defecto, a un buzón corporativo, y ejecución de la rectificación o supresión cuando proceda. El Cliente recibe la información necesaria para dar trámite a la solicitud, pero no las respuestas individuales.

8.4. Rectificación. Eventt puede corregir los datos objetivos de un participante (nombre, correo, identificador, atributos) cuando proceda. Las respuestas no se modifican libremente. En una medición confidencial con resultados ya calculados, la corrección no altera esos resultados; Eventt evalúa con el Cliente si deben conservarse, restringirse o retirarse. Las participaciones de mediciones anónimas no se rectifican.

8.5. Si Eventt recibe directamente una solicitud relativa a una medición de un Cliente, la registrará y la comunicará al Cliente, salvo cuando ello pueda afectar la confidencialidad que la modalidad garantiza al titular, en cuyo caso coordinará con el Cliente sin revelarle el contenido de las respuestas.

9. Incidentes de seguridad

9.1. Eventt notificará al Cliente, sin demora injustificada desde que tenga conocimiento y en un plazo que le permita cumplir sus propios deberes de reporte, los incidentes que afecten datos tratados por su cuenta. La notificación incluirá, en la medida en que se conozca: la naturaleza del incidente, las mediciones y categorías de datos y de titulares afectados, el número aproximado de titulares, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información que no esté disponible se entregará por fases.

9.2. Eventt cooperará con el Cliente en la investigación, contención y mitigación del incidente, en la evaluación del reporte a la Superintendencia de Industria y Comercio y en la comunicación a los titulares cuando corresponda. Eventt cumplirá además los deberes de reporte que la ley le impone como Encargado.

9.3. El Cliente informará a Eventt, sin demora, los incidentes que detecte en el uso de su cuenta, como el acceso no autorizado de un usuario o la pérdida de una exportación.

10. Resultados agregados protegidos

10.1. Los resultados de una medición confidencial se calculan una vez cerrada y se almacenan en un registro estable, sin respuestas individuales ni identificadores, que no se recalcula mientras la medición permanece cerrada. Si el Cliente reabre la medición, el registro se elimina y se calcula de nuevo, con las respuestas disponibles, cuando vuelve a cerrarse. Forman parte de la medición y se eliminan con ella.

10.2. Tras la supresión individual de las respuestas de un titular, o la rectificación de sus atributos, la conservación de esos resultados se somete a la evaluación prevista en la Política de Privacidad, sección 14. Cuando proceda, Eventt, en coordinación con el Cliente, los retirará y dejará constancia de la decisión.

10.3. El retiro es definitivo, no da lugar a un nuevo cálculo, impide reabrir la medición y elimina las cifras del registro y de los reportes de Grabitt que las utilizaban, que se mantienen accesibles en el resto de su contenido. El retiro no alcanza las copias obtenidas antes por el Cliente, como reportes descargados en PDF; el Cliente se obliga a aplicar a esas copias, en lo que le corresponda, la decisión que Eventt le comunique.

11. Conservación, devolución y eliminación

11.1. La conservación sigue la Política de Retención de Información y el plan del Cliente.

11.2. Antes del vencimiento de los periodos aplicables, el Cliente puede exportar la información que la modalidad de privacidad permita. La devolución de datos de mediciones confidenciales se limita a sus resultados agregados y reportes.

11.3. La eliminación de información desde el espacio de trabajo la deja fuera de la interfaz y de los resultados; la eliminación definitiva la ejecuta Eventt conforme a la Política de Retención.

11.4. Al terminar el servicio, Eventt elimina los datos conforme a la Política de Retención y a las instrucciones del Cliente, salvo que la ley exija conservarlos. Las copias de respaldo se eliminan conforme a sus ciclos técnicos.

11.5. Eventt conserva los registros de consumo necesarios para la facturación, los registros de aceptación y los registros de auditoría de las actuaciones de las personas autorizadas por Eventt, que no contienen respuestas ni datos de contacto de los participantes.

12. Responsabilidad demostrada y auditoría

12.1. Eventt pondrá a disposición del Cliente, a solicitud razonable, la información necesaria para demostrar el cumplimiento de este Acuerdo, incluidas las medidas de seguridad aplicadas y la relación de proveedores.

12.2. Las auditorías presenciales o de terceros se sujetan a lo que se pacte por escrito.

13. Obligaciones del Cliente

El Cliente garantiza que tiene la legitimación necesaria para el tratamiento, incluidas las autorizaciones de los titulares cuando se requieran o el fundamento legal que las exceptúe; que identifica en cada medición al Responsable y su canal de atención; que informa a los participantes conforme a los Términos, sección 5; que elige la modalidad de privacidad adecuada; que no solicita datos sensibles innecesarios y cumple las condiciones especiales cuando los solicita; que respeta la prohibición de reidentificación de los Términos, sección 12; y que, cuando opera para terceros, cuenta con sus instrucciones y acuerdos.

14. Aceptación

14.1. Este Acuerdo lo acepta electrónicamente, en nombre del Cliente, el propietario del equipo en la plataforma. Grabitt registra el equipo, el usuario que acepta, la versión, una huella criptográfica del texto y la fecha y hora. El propietario declara contar con facultades para obligar al Cliente.

14.2. La publicación de este Acuerdo no equivale a su aceptación. Cada nueva versión se somete a una nueva aceptación.

14.3. Este Acuerdo debe quedar formalizado antes de que Eventt comience a tratar datos personales por cuenta del Cliente. Mientras el propietario no haya aceptado la versión vigente, Grabitt no permite al equipo agregar ni importar participantes, ni programar o activar mediciones.

15. Vigencia y terminación

15.1. Este Acuerdo rige mientras Eventt trate datos por cuenta del Cliente.

15.2. La terminación de los Términos termina este Acuerdo respecto del tratamiento futuro. Las obligaciones de confidencialidad, seguridad y eliminación subsisten mientras Eventt conserve datos del Cliente.

15.3. Tras la terminación, Eventt elimina los datos conforme a la cláusula 11 y deja constancia de la eliminación.

16. Prevalencia

En lo que regule expresamente sobre el tratamiento de datos, este Acuerdo prevalece sobre los Términos. Un acuerdo de tratamiento firmado específicamente con un Cliente prevalece sobre este Acuerdo en lo que regule expresamente, sin que pueda debilitar las garantías de las modalidades de privacidad frente a los participantes.

Anexo 1. Subencargados

Proveedor	Servicio	Finalidad	Lugar del tratamiento
Google Cloud	Cloud Run, Cloud Storage, Cloud Scheduler, Secret Manager	Ejecución de la API, almacenamiento de archivos, tareas programadas	Región us-east1, Estados Unidos de América
Google Cloud	Cloud Logging	Registros técnicos de la operación	Ubicación global de Google Cloud
Google	Firebase Hosting	Alojamiento de las aplicaciones web	Infraestructura global de Google
MongoDB	Atlas (sobre Amazon Web Services)	Base de datos y respaldos automáticos diarios (se conservan las ocho copias más recientes)	Región us-east-1 de Amazon Web Services, Virginia del Norte, Estados Unidos de América
Resend	Correo transaccional	Invitaciones, códigos de verificación y avisos	Región de envío us-east-1, Virginia del Norte, Estados Unidos de América
Google	Google Workspace	Correo de contacto de Eventt y entrega segura al titular de la información de una solicitud de acceso	Infraestructura de Google
Anthropic	API de Claude	Grabitt AI: asistencia para diseñar encuestas, a partir de la configuración que suministra el usuario, y generación de reportes, a partir de los resultados agregados de las mediciones que selecciona; no recibe respuestas individuales, respuestas de texto libre ni datos de identificación de participantes	Estados Unidos de América, según lo informado por el proveedor

Los lugares indicados corresponden a la región principal de cada servicio. Los proveedores y sus subencargados pueden tratar información en otros lugares para fines de soporte, seguridad o continuidad, conforme a sus contratos.

Los proveedores de analítica (Umami) y de autenticación (Google y Microsoft) no tratan datos de los participantes de las mediciones y se describen en la Política de Privacidad.

Anexo 2. Medidas de seguridad

• Control de acceso por roles dentro de cada equipo y separación lógica de la información por equipo.
• Un perfil de operador de Eventt separado de los roles de los equipos, sin acceso derivado de una membresía.
• Conexiones cifradas (HTTPS obligatorio en todos los dominios).
• Contraseñas almacenadas como representación criptográfica; sesiones de la consola con duración máxima.
• Claves de acceso a reportes restringidos cifradas en reposo.
• En mediciones confidenciales: identificación con código de verificación, sesiones de corta duración limitadas a la pestaña, umbral mínimo de cinco respuestas válidas, retención complementaria de cifras, restricción de segmentación y resultados calculados una sola vez.
• Registro de auditoría de las eliminaciones, accesos a datos de titulares, rectificaciones y retiros de resultados realizados por las personas autorizadas por Eventt, escrito antes de ejecutar la acción.
• Respaldo automático diario de la base de datos.
• Límites de frecuencia en los puntos de acceso públicos.