English · Este texto en español es el que rige; la versión en inglés es una traducción.

Acuerdo de Tratamiento de Datos (DPA)

Versión: 2026-10-27

Este Acuerdo de Tratamiento de Datos (DPA) forma parte de los Términos del Servicio de engman. También es el contrato de transmisión de datos personales del Decreto 1377 de 2013, art. 25. Lo celebran:

• engman: Ruben Amauri Melo Carballo, persona natural domiciliada en Colombia, que actúa bajo el nombre comercial engman. Dirección para notificaciones: Carrera 15 # 39-20, Cartagena de Indias, Bolívar, Colombia. Correo: hello@engmanapp.com.
• el Cliente: la empresa o la persona que tiene el Espacio de trabajo, identificada como lo dicen los Términos (sección 1.1). En este Acuerdo, «usted» es el Cliente.

Las palabras con mayúscula inicial tienen el significado que les dan los Términos: por ejemplo, Espacio de trabajo, Propietario, Usuario, Personas del Cliente, Registros, Propuesta, Agente conectado y Subencargado (un proveedor que trata los datos personales del Cliente para engman). Además, en este Acuerdo:

• Datos del Cliente son los datos personales que los Usuarios registran, importan o reciben en el Espacio de trabajo y que engman trata por cuenta de usted.
• Un titular es la persona a quien se refieren los Datos del Cliente.
• RGPD es el Reglamento (UE) 2016/679, el Reglamento General de Protección de Datos de la Unión Europea.

1. Objeto y roles

Este Acuerdo regula cómo engman trata los Datos del Cliente al prestar el servicio.

Usted es el Responsable del tratamiento de los Datos del Cliente: usted decide para qué y cómo sus Usuarios llevan Registros sobre su personal. Cuando aplique el RGPD, usted es el responsable del tratamiento.

engman es el Encargado del tratamiento: trata los Datos del Cliente solo por cuenta de usted y según sus instrucciones (sección 4). Cuando aplique el RGPD, engman es el encargado del tratamiento.

engman es Responsable solo de sus propias bases de datos, como las cuentas de los Usuarios (para iniciar sesión y proteger la cuenta), la lista de espera y la evidencia de aceptación de los Términos. Esas bases las rige la Política de Privacidad, no este Acuerdo.

2. Forma y aceptación

Este Acuerdo se acepta en línea, con la misma casilla con la que se aceptan los Términos, que lo incorporan por referencia. Quien crea el Espacio de trabajo lo acepta en nombre de usted y declara que tiene facultades para obligarlo. Cada Usuario invitado lo acepta al aceptar su invitación, como usuario autorizado por usted. La aceptación del Propietario obliga a usted; la de otro Usuario solo lo obliga a él.

Las partes acuerdan que este Acuerdo consta por escrito, en formato electrónico, como lo exige el RGPD, art. 28(9), y que esa aceptación en línea es la forma en que ambas lo suscriben.

engman conserva un registro de cada aceptación: quién aceptó, en qué Espacio de trabajo, qué versión, cuándo, desde qué dirección IP y con qué navegador. Ese registro es la prueba de la aceptación.

Si los Términos y este Acuerdo dicen cosas distintas sobre datos personales, prevalece este Acuerdo. Para un Cliente exportador de la Unión Europea, el anexo 4 prevalece sobre ambos.

Este Acuerdo se publica en español y en inglés. El texto en español es el que rige; el texto en inglés es una traducción.

3. Detalle del tratamiento (anexo 1)

El anexo 1 describe el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos, las categorías de titulares, y los alcances y las actividades que engman realiza por cuenta de usted. El tratamiento dura lo que dure el contrato y termina con la supresión de la sección 12.

4. Instrucciones

engman trata los Datos del Cliente solo según las instrucciones documentadas de usted. Son instrucciones documentadas:

• los Términos y este Acuerdo;
• lo que los Usuarios hacen en la aplicación: crear, editar, importar, confirmar, compartir o suprimir datos, y conectar Google Calendar, Google Drive o un Agente conectado; y
• las instrucciones escritas adicionales que el Propietario envíe a hello@engmanapp.com, si son compatibles con el servicio. engman las guarda junto con este Acuerdo.

Estas instrucciones incluyen las transmisiones y transferencias de la sección 14: usted instruye a engman para tratar los Datos del Cliente desde Colombia y para transmitirlos a los Subencargados del anexo 3, en los países que allí se indican.

engman le avisará de inmediato si cree que una instrucción infringe la ley de protección de datos, y puede suspender su cumplimiento hasta que usted la confirme o la cambie. Si una ley obliga a engman a tratar Datos del Cliente de otra forma, engman se lo informará antes, salvo que esa misma ley lo prohíba.

engman trata los Datos del Cliente solo para las finalidades que los titulares autorizaron y de acuerdo con las leyes aplicables. También aplica la política de tratamiento de la información de usted en lo que corresponde a su papel de Encargado; usted puede enviarla a hello@engmanapp.com. Si una instrucción o esa política pide algo que el servicio no ofrece, engman se lo dirá y las partes buscarán una solución. Si no la encuentran, usted puede terminar el contrato eliminando el Espacio de trabajo.

engman no usa los Datos del Cliente para fines propios: no los vende, no los usa para publicidad y no los usa para entrenar modelos de inteligencia artificial.

5. Confidencialidad

engman mantiene la confidencialidad de los Datos del Cliente. Toda persona que engman autorice a acceder a ellos se compromete por escrito a guardar confidencialidad, o tiene el deber legal de hacerlo, y solo accede a lo que su tarea necesita.

engman solo accede al contenido de los Datos del Cliente para prestar el servicio, para atender una solicitud de soporte de usted, para mantener la seguridad del servicio o cuando la ley lo exija.

6. Medidas de seguridad (anexo 2)

engman aplica las medidas técnicas y organizativas del anexo 2 para proteger los Datos del Cliente contra el acceso no autorizado, la pérdida, la alteración y la divulgación. El anexo 2 es un mínimo: engman puede agregar o reforzar medidas sin que eso cambie este Acuerdo, pero nunca reduce el nivel de protección que el anexo describe.

7. Subencargados

Autorización general. Al aceptar este Acuerdo, usted da a engman una autorización general por escrito para usar los Subencargados del anexo 3 y para agregar o reemplazar Subencargados según esta sección.

Criterios. engman elige solo Subencargados que ofrecen garantías suficientes de seguridad y de protección de datos. A cada uno le entrega solo los Datos del Cliente que su tarea necesita, y con cada uno tiene un contrato que le impone, en lo sustancial, las mismas obligaciones de protección de datos de este Acuerdo. engman sigue siendo plenamente responsable ante usted por lo que hagan sus Subencargados (RGPD, arts. 28(2) y 28(4); cláusulas contractuales tipo, cláusula 9).

Aviso de cada cambio. Antes de agregar o reemplazar un Subencargado, engman envía un correo electrónico al Propietario de cada Espacio de trabajo. El correo dice:

• el nombre del Subencargado y su dirección o ubicación;
• lo que hará;
• los Datos del Cliente que tratará;
• sus garantías; y
• dónde está la lista actualizada, con el enlace a la dirección fechada de la nueva versión de este Acuerdo.

El correo se envía al menos 30 días calendario antes de que el Subencargado reciba cualquier dato. Un reemplazo sigue la misma regla, y no hay un procedimiento más corto para urgencias.

Silencio u oposición. Si usted no se opone dentro de esos 30 días, el cambio queda autorizado. Si se opone, puede terminar el contrato eliminando el Espacio de trabajo antes de la fecha en que el cambio surte efecto. En ese caso, engman le reembolsa la parte proporcional de las tarifas que usted haya pagado por anticipado por el periodo que no usará.

8. Lista de subencargados (anexo 3)

El anexo 3 es la lista vigente de Subencargados, con el nombre, la dirección, la ubicación, la actividad, los datos que trata y las garantías de cada uno. engman nombra a sus proveedores solo en esa lista, y los Términos remiten a ella. El anexo 3 también dice qué proveedores no son Subencargados y por qué. Cada versión de la lista queda publicada en la dirección fechada de su versión de este Acuerdo.

9. Solicitudes de los titulares

Usted atiende las consultas y los reclamos de los titulares sobre los Datos del Cliente. engman no responde en nombre de usted.

Si engman recibe una solicitud de un titular sobre Datos del Cliente, dentro de los 2 días hábiles siguientes:

• la reenvía al Propietario por correo electrónico; y
• le informa al titular que la reenvió a usted (Ley 1581 de 2012, art. 15).

engman conserva la prueba de que recibió y reenvió cada solicitud. En engman, estas solicitudes las atiende el Área de Protección de Datos Personales, en hello@engmanapp.com.

La ley colombiana le da a usted 10 días hábiles para responder una consulta, prorrogables por 5, y 15 días hábiles para responder un reclamo, prorrogables por 8. Para que usted cumpla esos plazos, engman le ayuda así:

• La aplicación permite consultar, corregir y suprimir Datos del Cliente según los permisos de cada Usuario, y exportarlos con las funciones disponibles en ese momento. Los cambios hechos en la aplicación se aplican de inmediato.
• Si una solicitud no se puede atender desde la aplicación, el Propietario escribe a hello@engmanapp.com con el titular, lo que pide y lo que necesita de engman. engman responde a tiempo para que usted cumpla esos plazos, y aplica las actualizaciones, rectificaciones o supresiones que usted le instruya dentro de los 5 días hábiles siguientes (art. 18).
• Mientras un reclamo esté en trámite, el Registro afectado debe llevar la leyenda «reclamo en trámite» (art. 18). Mientras la aplicación no tenga una marca propia para eso, el Usuario puede anotar la leyenda en el Registro, o engman la anota a petición de usted dentro de los 2 días hábiles siguientes.

10. Asistencia al Responsable

Según la naturaleza del tratamiento y la información de que dispone, engman le ayuda a cumplir sus deberes sobre:

• la seguridad del tratamiento;
• la notificación de incidentes a la autoridad y a los titulares;
• las evaluaciones de impacto relativas a la protección de datos; y
• las consultas previas a la autoridad de control.

Este Acuerdo y sus anexos ya describen el tratamiento, las medidas de seguridad y los Subencargados, y usted puede usarlos en esas evaluaciones. Para lo que falte, el Propietario escribe a hello@engmanapp.com y engman responde con la información que tenga, en un plazo razonable que le permita a usted cumplir sus propios plazos legales.

11. Incidentes de seguridad

Un incidente de seguridad es una violación de la seguridad que causa la destrucción, la pérdida, la alteración, la divulgación o el acceso no autorizado a Datos del Cliente.

Aviso a usted. engman notifica al Propietario por correo electrónico cada incidente que afecta Datos del Cliente, sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a confirmarlo razonablemente (RGPD, art. 33(2)). El aviso dice, en la medida en que engman lo sepa:

• qué pasó;
• qué categorías de datos afecta, y el número aproximado de titulares y de Registros;
• sus consecuencias probables;
• las medidas que engman tomó o propone; y
• a quién contactar.

Si engman no tiene toda la información de una vez, la entrega por partes, sin más demora. engman también le avisa, en el mismo plazo, de los incidentes que le informen sus Subencargados y que afecten Datos del Cliente.

Aviso de engman a la Superintendencia de Industria y Comercio. engman cumple su propio deber de informar el incidente a la Superintendencia de Industria y Comercio (Ley 1581 de 2012, art. 18(k)), dentro de los 15 días hábiles siguientes a su detección. El aviso de engman a la Superintendencia no reemplaza los deberes de usted como Responsable, ni el aviso a usted reemplaza el de engman a la Superintendencia.

Colaboración. engman colabora con usted para investigar, contener y remediar el incidente. No informa a los titulares en nombre de usted, salvo que usted se lo pida o la ley lo exija.

12. Supresión y devolución

Usted elige. Al terminar el contrato, usted elige entre suprimir o recuperar los Datos del Cliente. Si no elige, se suprimen.

Devolución. Usted puede recuperar los Datos del Cliente con las funciones de exportación disponibles en ese momento en la aplicación, antes de eliminar el Espacio de trabajo. engman no hace exportaciones manuales.

Supresión al eliminar el Espacio de trabajo. El Propietario puede eliminar el Espacio de trabajo en cualquier momento desde la aplicación, después de verificar otra vez su segundo factor y de escribir el nombre del Espacio de trabajo. Entonces:

• engman suprime de inmediato los Datos del Cliente de la base de datos en uso, junto con las cuentas de los Usuarios del Espacio de trabajo;
• las copias de seguridad que todavía los contengan expiran en un plazo máximo de 7 días; y
• engman le confirma la supresión al Propietario por correo electrónico, con la fecha en que expira la última copia de seguridad.

Después de que una copia de seguridad expira, Google, como Subencargado, la purga de sus sistemas en un máximo de 180 días; durante ese plazo ni engman ni usted pueden recuperarla ni restaurarla.

engman conserva solo los registros de aceptación de los Términos, que son datos propios de engman, prueba del contrato, y que rige la Política de Privacidad.

Terminación por otra causa. Si el contrato termina de otra forma (por ejemplo, porque engman lo termina según los Términos), usted puede exportar los Datos del Cliente hasta la fecha de terminación o, si engman lo terminó de inmediato, durante los 30 días siguientes, salvo que hacerlo cree un riesgo para la seguridad del servicio o sea ilícito. Después, engman los suprime en un plazo de 30 días calendario, con las mismas reglas de copias de seguridad y de confirmación.

Supresiones programadas durante el contrato. Mientras el contrato está vigente, engman suprime automáticamente:

• lo que un manager que salió de la empresa todavía tenga a su nombre (sus Registros privados, sus notas privadas y el feedback ascendente que anotó), 30 días después de su archivo;
• una persona archivada, con sus Registros y su historial, 24 meses después de su salida de la empresa, y nunca antes de que su archivo sea definitivo; el Propietario puede suprimirla antes;
• los archivos originales importados, apenas se resuelve su importación y como máximo 30 días después de subirlos; y
• las Propuestas que nadie confirmó ni descartó en 30 días.

Una persona archivada se puede restaurar durante los 30 días siguientes a su archivo; después, el archivo es definitivo.

Conservación exigida por ley. engman no conserva Datos del Cliente después de suprimirlos, salvo que una ley lo obligue. En ese caso se lo informa a usted y los sigue protegiendo según este Acuerdo.

13. Auditorías e información

Información. engman pone a disposición de usted la información necesaria para demostrar que cumple este Acuerdo: este Acuerdo y sus anexos, respuestas escritas a cuestionarios razonables de seguridad y protección de datos, y la información de cumplimiento que cada Subencargado publica o le permite compartir. Usted la pide a hello@engmanapp.com, en cualquier momento, y engman responde en un plazo razonable.

Auditoría. Si esa información no basta, usted puede auditar el cumplimiento de este Acuerdo, por sí mismo o con un auditor que usted elija, una vez cada 12 meses. Además, puede hacerlo después de un incidente que afecte Datos del Cliente o cuando una autoridad de control lo exija. Las reglas son estas:

• usted avisa con al menos 30 días calendario de anticipación, salvo que una autoridad fije un plazo menor;
• la auditoría se hace primero a distancia (documentos y entrevistas), y en sitio solo si lo anterior no basta;
• el auditor se compromete por escrito a guardar confidencialidad, y engman solo puede objetarlo si es competidor de engman;
• la auditoría no da acceso a datos de otros clientes ni a información que ponga en riesgo la seguridad del servicio; y
• la infraestructura de los Subencargados se audita a través de los informes y las certificaciones que ellos ofrecen.

Costos. Cada parte asume sus propios costos. Si una auditoría le exige a engman un trabajo que excede lo razonable, engman puede cobrar costos razonables y documentados, acordados antes con usted y nunca desproporcionados.

14. Transferencias internacionales

Dónde se tratan los datos. engman opera desde Colombia. Los Datos del Cliente se alojan en Google Cloud en los Estados Unidos, y los Subencargados del anexo 3 los tratan en los países que allí se indican.

Clientes en Colombia. El envío de Datos del Cliente a engman y a sus Subencargados en los Estados Unidos es una transmisión de datos de un Responsable a un Encargado. Este Acuerdo es el contrato de transmisión del Decreto 1377 de 2013, art. 25. Los Estados Unidos están en la lista de países con un nivel adecuado de protección de la Superintendencia de Industria y Comercio.

Otros clientes fuera de la Unión Europea. Se aplica este mismo Acuerdo.

Clientes exportadores de la Unión Europea. Colombia no tiene una decisión de adecuación de la Comisión Europea. Por eso, si usted está sujeto al RGPD y transfiere Datos del Cliente a engman, se aplica además el anexo 4, que incorpora las cláusulas contractuales tipo de la Comisión Europea (Módulo 2). El anexo 4 se rige por la ley de un Estado miembro de la Unión Europea (cláusulas 17 y 18), como excepción a la ley colombiana. También prevé la evaluación de la cláusula 14 y las transferencias ulteriores a los Subencargados según las cláusulas 8.8 y 9(b).

15. Datos sensibles y menores

Datos de categorías especiales. En este Acuerdo, los «datos de categorías especiales» son los datos sensibles de la ley colombiana y las categorías especiales de datos del RGPD: la salud de cualquier persona, la religión, la política, la vida sexual, la afiliación sindical, el origen étnico y los datos biométricos, entre otros.

• Usted garantiza que, si sus Usuarios registran datos de categorías especiales, lo hacen solo cuando es necesario y lícito, con la autorización explícita del titular u otra base que la ley permita, y sin condicionar ninguna actividad a que el titular los entregue. Evite los datos de salud, salvo que sean indispensables.
• engman no puede distinguir los datos de categorías especiales dentro del texto libre de un Registro. Los trata solo según las instrucciones de usted y con las medidas del anexo 2, sin un trato aparte, salvo los campos cifrados que ese anexo indica.
• Ninguna función de engman depende de datos de categorías especiales. La inteligencia artificial de engman no los propone: conserva el hecho útil para el trabajo, sin la razón.

Menores. engman no está diseñado para llevar Registros sobre niños, niñas o adolescentes. Si usted lleva alguno, lo hace bajo su responsabilidad y cumpliendo las reglas especiales de la ley colombiana.

16. Cambios del DPA

Todo cambio de este Acuerdo, incluidos sus anexos, es un cambio material de la versión de los Términos, aunque sea solo de redacción o de la traducción al inglés. La única excepción es agregar o reemplazar un Subencargado, que sigue la sección 7.

Para un cambio material de este Acuerdo:

• engman envía un correo electrónico al Propietario de cada Espacio de trabajo, al menos 30 días calendario antes de la fecha de vigencia, que dice qué cambia. engman conserva esos correos como evidencia.
• La nueva versión se publica en su dirección fechada, y las versiones anteriores siguen publicadas en las suyas.
• Desde la fecha de vigencia, cada Usuario debe aceptar la nueva versión en la aplicación web para seguir usándola, y sus Agentes conectados no pueden trabajar hasta que la acepte.
• La aceptación del Propietario es la aprobación del cambio por parte de usted, como Responsable. Publicar el cambio en el sitio web no basta (Comité Europeo de Protección de Datos, Directrices 07/2020, párr. 110).
• Hasta que el Propietario acepte, la versión anterior sigue rigiendo el tratamiento de los Datos del Cliente.
• Si usted no acepta el cambio, puede terminar el contrato eliminando el Espacio de trabajo, con el reembolso proporcional de la sección 7.

17. Ley aplicable y controversias

Este Acuerdo se rige por la misma ley que los Términos, y las controversias sobre él se resuelven como lo dicen los Términos. La excepción es el anexo 4: para un Cliente exportador de la Unión Europea, las cláusulas contractuales tipo se rigen por la ley de un Estado miembro de la Unión Europea, y sus controversias van a los tribunales que allí se indican (cláusulas 17 y 18).

18. Plantilla de aviso para el personal del cliente (anexo 5, es/en)

Usted debe informar a cada persona sobre la que sus Usuarios llevan Registros: que usa engman, para qué, qué derechos tiene y cómo ejercerlos. El anexo 5 trae un aviso listo, en español y en inglés, con espacios para que usted lo complete.

Entréguelo a cada persona dentro del mes siguiente a registrar sus primeros datos en engman y, en todo caso, antes de registrar su primer 1:1. Usar la plantilla no cambia que el aviso es responsabilidad de usted.

Anexo 1. Detalle del tratamiento

Partes y contactos

• Responsable (y exportador, para el anexo 4): el Cliente, con la razón social (o, si es una persona natural, su nombre), el país y, si se registró, el número de identificación tributaria registrados al crear el Espacio de trabajo. Contacto: el Propietario, en el correo de su cuenta.
• Encargado (e importador, para el anexo 4): engman, Ruben Amauri Melo Carballo, Carrera 15 # 39-20, Cartagena de Indias, Bolívar, Colombia. Correo: hello@engmanapp.com. Teléfono: +57 318 659 4497. Solicitudes de titulares: Área de Protección de Datos Personales.

Objeto. Prestar el servicio engman: un espacio donde los líderes de tecnología del Cliente llevan los 1:1, el feedback y los planes de carrera de las personas que dirigen, e importan los registros que ya llevan en otra parte.

Duración. Lo que dure el contrato, hasta la supresión de la sección 12.

Finalidad. Que los Usuarios del Cliente preparen, lleven y den seguimiento a los 1:1, el feedback y los planes de carrera de su personal, y organicen sus equipos, para las finalidades que el Cliente defina como Responsable. engman no trata los Datos del Cliente para ninguna finalidad propia.

Naturaleza y actividades. engman realiza estas actividades por cuenta del Cliente:

• alojar y guardar los Datos del Cliente y sus copias de seguridad;
• mostrárselos a cada Usuario según las reglas de visibilidad: la cadena de mando, los Registros privados y el contenido de un 1:1, que solo ve el manager que lo tiene;
• buscar y ordenar Registros para el Usuario;
• importar los documentos que un Usuario sube o elige en Google Drive, y extraer de ellos Propuestas con inteligencia artificial;
• preparar agendas con inteligencia artificial;
• enviar los correos del servicio: invitaciones, avisos de cuenta y, cuando un Usuario los envía, agendas de 1:1 y el correo periódico de novedades;
• si un Usuario conecta Google Calendar, leer los eventos de sus calendarios propios para encontrar sus 1:1, y escribir la agenda en la descripción de los eventos que él organiza;
• entregar a los Agentes conectados que un Usuario autoriza solo los datos que este Acuerdo permite (hoy, solo identificadores: nombres, correos de trabajo, equipos, a quién reporta cada persona, fechas, estados, conteos (por ejemplo, de acciones abiertas o vencidas), idioma de los correos e identificadores internos, nunca lo que dicen los Registros), y guardar como Propuestas lo que esos agentes escriben;
• registrar eventos de auditoría (quién hizo qué y cuándo, con identificadores); y
• suprimir los datos según la sección 12.

Sobre la inteligencia artificial:

• La inteligencia artificial de engman extrae, agrupa y resume los Registros del propio Cliente, con enlaces a sus fuentes, y redacta agendas.
• La inteligencia artificial de engman nunca califica, clasifica, puntúa ni compara a las personas, no infiere emociones y no recomienda contratar, promover, sancionar ni despedir a nadie.
• Todo resultado de la inteligencia artificial y toda escritura de un Agente conectado es una Propuesta que una persona revisa y confirma en la aplicación web antes de que se guarde.

Alcances. Solo los Datos del Cliente de su Espacio de trabajo; solo para prestar el servicio; solo desde Colombia (engman) y en los países del anexo 3; y solo con los Subencargados del anexo 3.

Categorías de titulares

• Personas del Cliente: sus empleados y, cuando el Cliente haya determinado que es lícito, contratistas o ingenieros de proveedores.
• Usuarios, como parte del personal del Cliente: su lugar en el organigrama y los Registros que otros Usuarios llevan sobre ellos.
• Otras personas que un Usuario mencione en el texto libre de un Registro, bajo la responsabilidad del Cliente.

Tipos de datos

• Identificación y organización: nombre, correo de trabajo, equipo, manager directo y cadena de mando, disciplina, nivel y trayectoria, funciones (por ejemplo, manager o tech lead), idioma de los correos, fecha de salida e historial de cambios.
• 1:1: agenda, notas y acciones, incluidos los 1:1 skip-level.
• Feedback que un manager le dio a una persona, memos y planes de carrera (objetivos, niveles y recursos).
• Notas privadas y feedback ascendente (lo que una persona dice de su manager), cifrados como indica el anexo 2.
• Documentos importados: el archivo original hasta que se resuelve la importación (como máximo 30 días), el texto extraído y las Propuestas. Después, del archivo solo quedan su nombre, su tamaño y su huella SHA-256.
• Propuestas de la inteligencia artificial y de los Agentes conectados.
• Datos de calendario, si un Usuario conecta Google Calendar: los eventos de sus calendarios propios (por ejemplo, fecha, hora, título y asistentes).
• Eventos de auditoría.
• Datos de categorías especiales: el servicio no los necesita; solo existen si el Cliente los registra, según la sección 15.

Frecuencia. Continua, mientras el contrato esté vigente.

Conservación. Según la sección 12. Eventos de auditoría: mientras exista el Espacio de trabajo; se suprimen al eliminarlo.

Transmisiones a Subencargados. Las del anexo 3, para las actividades que allí se indican, mientras dure el contrato.

Obligaciones de engman. Las obligaciones de engman para con usted y para con los titulares son las de las secciones 4 a 16 de este Acuerdo. Entre ellas: tratar los datos en nombre de usted conforme a los principios que los protegen, salvaguardar la seguridad de las bases de datos y guardar confidencialidad sobre el tratamiento.

Anexo 2. Medidas de seguridad

Estas son las medidas mínimas que engman aplica a los Datos del Cliente (sección 6).

Cifrado

• Cifrado en tránsito entre el navegador, la aplicación y los Subencargados, y cifrado en reposo de la base de datos, los archivos y las copias de seguridad.
• Además, el texto de las notas privadas y del feedback ascendente se cifra campo por campo con AES-256-GCM, con una clave de datos por Espacio de trabajo, protegida a su vez por una clave de Google Cloud KMS que rota automáticamente. Un valor cifrado nunca aparece en el título ni en el texto de búsqueda de un Registro.
• Los tokens de acceso y de actualización de Google de los Usuarios y sus códigos de recuperación se guardan cifrados.

Aislamiento entre clientes

• Cada fila de datos lleva el identificador de su Espacio de trabajo, y la seguridad a nivel de fila de la base de datos impide leer o escribir datos de otro Espacio de trabajo. La aplicación usa un rol de base de datos que no puede saltarse esa regla.
• Cada excepción a esa regla es una función pequeña, con nombre propio, que se revisa en materia de seguridad. Pruebas automáticas fallan si una tabla queda sin esa protección.

Control de acceso dentro del Espacio de trabajo

• Cada Usuario ve solo lo que le permiten las reglas de visibilidad: su cadena de mando, los Registros privados de cada manager y el contenido de un 1:1, que solo ve el manager que lo tiene.
• Las acciones sensibles (cambiar factores, eliminar una persona archivada, exportar, aprobar un Agente conectado, eliminar el Espacio de trabajo) exigen verificar otra vez el segundo factor.

Autenticación

• Todo Usuario inicia sesión con un segundo factor (llave de acceso o código de una aplicación autenticadora), también con Google.
• Las contraseñas se comparan con listas de contraseñas filtradas y se guardan con Argon2id.
• Las sesiones se guardan en la base de datos y vencen por inactividad y por un límite absoluto.

Agentes conectados

• Un agente solo se conecta después de que su Usuario verifica su segundo factor y aprueba la conexión.
• Hoy los agentes solo ven identificadores; todo lo que escriben es una Propuesta que una persona confirma en la aplicación web.
• El Propietario puede desactivar los agentes del Espacio de trabajo, y él o el Usuario pueden revocar cada conexión. Las llamadas de los agentes tienen un límite de frecuencia.

Registros de actividad y monitoreo

• Cada acción sobre los Datos del Cliente pasa por un único punto que revisa los permisos y escribe un evento de auditoría.
• Los registros técnicos, los errores, las métricas y las alertas solo llevan identificadores, nunca nombres, correos, contenido de Registros ni tokens, y cada fuente tiene una prueba que lo verifica. Se quedan en Google Cloud; ningún otro proveedor los recibe.

Copias de seguridad y continuidad

• Copias de seguridad diarias que expiran en 7 días, recuperación a un momento dado y protección contra el borrado de la base de datos.
• Un procedimiento escrito de restauración, que engman prueba antes de recibir los datos de su primer cliente y después de cada cambio en las copias de seguridad.

Minimización

• Los archivos originales importados se suprimen apenas se resuelve la importación, y como máximo 30 días después de subirlos.
• Una Propuesta resuelta conserva solo sus datos de control (tipo, estado, origen, quién la resolvió, el Agente conectado que la hizo, el Registro resultante y sus fechas); su contenido se borra. Las Propuestas sin resolver se descartan a los 30 días.

Infraestructura y desarrollo

• La base de datos no acepta conexiones directas desde internet; solo la aplicación llega a ella. Las claves y contraseñas del servicio se guardan en Google Secret Manager.
• Cada cambio de software llega a producción por una solicitud de cambios, con pruebas automáticas y análisis de seguridad de las dependencias, de los secretos y de la imagen del contenedor.

Organización

• Confidencialidad de toda persona con acceso (sección 5), acceso solo a lo que cada tarea necesita, y procedimientos escritos para incidentes, restauraciones y despliegues.

Anexo 3. Lista de subencargados

Lista vigente en la versión 2026-10-27.

No son Subencargados:

• Paddle, cuando engman cobre a través de Paddle: es responsable independiente de los datos de pago y no recibe Datos del Cliente.
• Los Agentes conectados. Lo que un Usuario envía a un agente que él conecta sale de engman y queda bajo los términos del proveedor de ese agente.
• Google Calendar y Google Drive del Usuario. Cuando un Usuario los conecta, engman lee y escribe en la cuenta de Google del propio Usuario, por instrucción suya. Lo que queda en esa cuenta se rige por el contrato de usted o del Usuario con Google.

Anexo 4. Cláusulas contractuales tipo de la UE (Módulo 2)

Cuándo aplica. Este anexo aplica cuando usted, como responsable sujeto al RGPD, transfiere Datos del Cliente a engman, que los trata desde Colombia, un país sin decisión de adecuación de la Comisión Europea.

Incorporación. Las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (DO L 199 de 7.6.2021), Módulo 2 (de responsable a encargado), forman parte de este Acuerdo por referencia, con las opciones de este anexo. Su texto es el publicado en https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Usted es el exportador de datos; engman es el importador de datos.

Opciones elegidas

• Cláusula 7 (incorporación): se incluye. Otra entidad puede adherirse a las cláusulas con el acuerdo de las partes, por ejemplo una filial de usted como exportadora: escribe a hello@engmanapp.com con sus datos para el anexo I.A, y la adhesión se perfecciona cuando engman la acepta por escrito.
• Cláusula 9(a): opción 2, autorización general por escrito. engman informa cada adición o reemplazo de un Subencargado con al menos 30 días de anticipación, según la sección 7 de este Acuerdo.
• Cláusula 11(a): no se incluye la opción de un órgano independiente de resolución de litigios.
• Cláusula 13 (supervisión): la autoridad de control competente es:
  • si usted está establecido en un Estado miembro de la UE, la autoridad responsable de supervisar que usted cumpla el RGPD como exportador;
  • si usted no está establecido en la UE, está sujeto al RGPD según su art. 3(2) y designó un representante, la autoridad del Estado miembro donde está establecido su representante;
  • si usted no está establecido en la UE, está sujeto al RGPD según su art. 3(2) y no está obligado a designar representante, la autoridad de uno de los Estados miembros donde se encuentran los titulares, que usted le indica por escrito a engman.
• Cláusula 17 (ley aplicable): opción 2. Rige la ley del Estado miembro de la UE donde usted está establecido. Si esa ley no reconoce los derechos de terceros beneficiarios, rige la ley de España.
• Cláusula 18(b) (tribunales): los tribunales del Estado miembro cuya ley rige según la cláusula 17.

Correspondencia de los apéndices

Evaluación de la cláusula 14. engman le entrega a usted la información que razonablemente tenga sobre las leyes y prácticas de Colombia y de los países de los Subencargados que sea pertinente para su evaluación, y le avisa según esa cláusula si deja de poder cumplirla.

Transferencias ulteriores. engman solo transfiere Datos del Cliente a los Subencargados del anexo 3, con un contrato que les impone, en lo sustancial, las mismas obligaciones (cláusula 9(b)), y solo cuando se cumple una de las condiciones de la cláusula 8.8.

Prelación. Si este Acuerdo o los Términos contradicen las cláusulas contractuales tipo, prevalecen las cláusulas. Las secciones de este Acuerdo sobre instrucciones, auditorías, supresión e incidentes son la forma en que engman cumple las cláusulas, en lo que no las contradigan. La confirmación de la supresión de la sección 12 vale como la certificación que piden las cláusulas.

Anexo 5. Plantilla de aviso para el personal del cliente

Cómo usarla. Copie el aviso en el idioma de cada persona y complete cada espacio entre comillas angulares («…»). Quite las partes marcadas Solo si aplica (en inglés, Only if it applies) que no apliquen y ajuste las finalidades a su caso. Entréguelo a cada persona dentro del mes siguiente a registrar sus primeros datos en engman y, en todo caso, antes de registrar su primer 1:1; a las personas que ya trabajan con usted, cuando empiece a usar engman. Guarde la prueba de la entrega y, si la base es la autorización, obténgala por un medio que permita probarla.

Versión en español

Aviso sobre el uso de engman

Quién es el responsable. «Razón social de la empresa» (la empresa o el Cliente), identificada con «NIT o número de registro», con domicilio en «dirección», es la responsable del tratamiento de los datos personales que describe este aviso. Contacto para temas de datos personales: «correo», «teléfono», «dirección». Delegado de protección de datos: «nombre y contacto, o "no aplica"».

Qué es engman. Sus managers usan engman, una aplicación donde los líderes de tecnología llevan los 1:1, el feedback y los planes de carrera de las personas que dirigen. engman (Ruben Amauri Melo Carballo, que actúa bajo el nombre comercial engman) trata sus datos solo por cuenta de la empresa, como encargado. En este aviso, los Registros son los 1:1, las acciones, el feedback, los planes de carrera, los documentos importados y las notas que sus managers llevan en engman; una Propuesta es un borrador que espera confirmación; y un Agente conectado es un asistente de inteligencia artificial que un manager conecta a engman.

Para qué usamos sus datos. Preparar y llevar sus 1:1 y dar seguimiento a lo acordado; registrar el feedback que su manager le da; acordar y dar seguimiento a su plan de carrera; organizar los equipos y la cadena de mando; «otras finalidades, o quite las que no apliquen».

Con qué base. En Colombia: «la autorización que usted nos da por (medio), u otra base que la ley permita (cuál)». Solo si aplica: para personas en la Unión Europea, la base jurídica del RGPD es «por ejemplo, el interés legítimo de la empresa en (cuál), o la ejecución del contrato de trabajo».

Qué datos. Su nombre, correo de trabajo, equipo, manager, nivel y trayectoria; lo que se habla en sus 1:1 (agenda, notas y acciones); el feedback que recibe; su plan de carrera; los documentos sobre usted que la empresa importa; «otros datos».

Datos sensibles. Su manager no necesita datos sensibles, como los de salud, afiliación sindical, religión, política, vida sexual, origen étnico o biométricos. Si una conversación los toca, usted no está obligado a autorizar su tratamiento, y responder preguntas sobre ellos es facultativo.

De dónde vienen. De lo que usted cuenta en sus 1:1, de lo que su manager observa y anota, y de «otras fuentes, por ejemplo, sistemas de recursos humanos o documentos que la empresa importa».

Quién los ve. Lo que dice un 1:1 solo lo ve el manager que lo tiene. Los demás Registros los ve su manager y, salvo los privados, la cadena de mando por encima de él. «Otras áreas o personas de la empresa que reciben estos datos, si las hay».

Quién más los trata. engman, como encargado, y sus subencargados (hoy, Google Cloud para el alojamiento y la inteligencia artificial, y Postmark para los correos), según la lista vigente en https://engmanapp.com/es/dpa. Si un manager conecta un Agente conectado, ese proveedor recibe hoy solo identificadores (nombres, correos de trabajo, equipos, a quién reporta cada persona, fechas, estados, conteos (por ejemplo, de acciones abiertas o vencidas), idioma de los correos e identificadores internos), bajo sus propios términos.

Transferencias internacionales. Sus datos se alojan en los Estados Unidos (Google Cloud) y engman los trata desde Colombia. Solo si aplica: para personas en la Unión Europea, Colombia no tiene una decisión de adecuación de la Comisión Europea, y la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea; puede pedir una copia en «contacto».

Inteligencia artificial. La inteligencia artificial de engman extrae, agrupa y resume los Registros del propio Cliente, con enlaces a sus fuentes, y redacta agendas. La inteligencia artificial de engman nunca califica, clasifica, puntúa ni compara a las personas, no infiere emociones y no recomienda contratar, promover, sancionar ni despedir a nadie. Todo resultado de la inteligencia artificial y toda escritura de un Agente conectado es una Propuesta que una persona revisa y confirma en la aplicación web antes de que se guarde. La empresa no toma decisiones automatizadas sobre usted con engman, y no usa los resultados de la inteligencia artificial de engman como base para evaluar su desempeño ni para decisiones de contratación, promoción, salario, sanción o despido.

Cuánto tiempo. «Plazo o criterio de la empresa». Cuando la empresa registra en engman que una persona salió, engman suprime sus datos 24 meses después de su salida, o antes si la empresa lo pide.

Sus derechos. Usted puede conocer, actualizar y rectificar sus datos; pedir prueba de la autorización; saber cómo se usan sus datos; revocar la autorización o pedir la supresión cuando no se respeten sus derechos; acceder gratis a sus datos; y presentar quejas ante la Superintendencia de Industria y Comercio después de consultar o reclamar a la empresa. Solo si aplica: si usted está en la Unión Europea, también puede pedir el acceso, la rectificación, la supresión, la limitación y la portabilidad de sus datos, retirar su consentimiento si esa es la base, y reclamar ante «autoridad de control».

Solo si aplica, para personas en la Unión Europea: Derecho de oposición. Usted puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos basado en el interés legítimo de la empresa.

Cómo ejercerlos. Escriba a «correo». La empresa responde las consultas en un máximo de 10 días hábiles (prorrogables por 5) y los reclamos en un máximo de 15 días hábiles (prorrogables por 8). Si usted le escribe a engman (hello@engmanapp.com), engman reenvía su solicitud a la empresa dentro de 2 días hábiles y le avisa a usted.

Fecha de este aviso: «fecha».

English version

Notice about the use of engman

Who the controller is. «Company legal name» (the company or the Customer), identified by «tax ID or registration number», with its registered address at «address», is the controller of the personal data this notice describes. Contact for personal data matters: «email», «phone», «address». Data protection officer: «name and contact, or "not applicable"».

What engman is. Your managers use engman, an application where tech leaders keep 1:1s, feedback and career plans for the people they manage. engman (Ruben Amauri Melo Carballo, acting under the trade name engman) processes your data only on behalf of the company, as a processor. In this notice, Records are the 1:1s, action items, feedback, career plans, imported documents and notes your managers keep in engman; a Proposal is a draft waiting for confirmation; and a Connected agent is an artificial-intelligence assistant a manager connects to engman.

What we use your data for. Preparing and holding your 1:1s and following up on what was agreed; recording the feedback your manager gives you; agreeing and following your career plan; organizing teams and the chain of command; «other purposes, or remove those that do not apply».

On what basis. In Colombia: «the authorization you give us through (means), or another basis the law allows (which)». Only if it applies: for people in the European Union, the GDPR legal basis is «for example, the company's legitimate interest in (what), or the performance of the employment contract».

What data. Your name, work email, team, manager, level and track; what is discussed in your 1:1s (agenda, notes and action items); the feedback you receive; your career plan; the documents about you that the company imports; «other data».

Sensitive data. Your manager does not need sensitive data, such as data about health, union membership, religion, politics, sex life, ethnic origin or biometrics. If a conversation touches on it, you are not obliged to authorize its processing, and answering questions about it is optional.

Where it comes from. From what you say in your 1:1s, from what your manager observes and writes down, and from «other sources, for example HR systems or documents the company imports».

Who sees it. What a 1:1 says is seen only by the manager who holds it. Your manager sees your other Records and, except private ones, so does the chain of command above them. «Other areas or people in the company who receive this data, if any».

Who else processes it. engman, as a processor, and its subprocessors (today, Google Cloud for hosting and artificial intelligence, and Postmark for email), as listed at https://engmanapp.com/dpa. If a manager connects a Connected agent, that provider today receives only identifiers (names, work emails, teams, who each person reports to, dates, statuses, counts (for example, of open or overdue action items), email language and internal ids), under its own terms.

International transfers. Your data is hosted in the United States (Google Cloud) and engman processes it from Colombia. Only if it applies: for people in the European Union, Colombia has no European Commission adequacy decision, and the transfer relies on the European Commission's standard contractual clauses; you can ask for a copy at «contact».

Artificial intelligence. engman's artificial intelligence extracts, groups and summarizes the Customer's own Records, with links to their sources, and drafts agendas. engman's artificial intelligence never rates, ranks, scores or compares people, never infers emotion, and never recommends hiring, promoting, disciplining or dismissing anyone. Every artificial-intelligence output and every write by a Connected agent is a Proposal that a person reviews and confirms in the web app before it is saved. The company makes no automated decisions about you with engman, and does not use engman's artificial-intelligence output as a basis for evaluating your performance or for hiring, promotion, pay, discipline or dismissal decisions.

How long. «The company's period or criteria». When the company records in engman that a person has left, engman deletes their data 24 months after they left, or sooner if the company asks.

Your rights. You can know, update and correct your data; ask for proof of the authorization; find out how your data is used; revoke the authorization or ask for deletion when your rights are not respected; access your data free of charge; and complain to the Superintendencia de Industria y Comercio after first asking or complaining to the company. Only if it applies: if you are in the European Union, you can also ask for access to, correction, erasure, restriction and portability of your data, withdraw your consent if that is the basis, and complain to «supervisory authority».

Only if it applies, for people in the European Union: Right to object. You can object at any time, on grounds relating to your particular situation, to processing of your data based on the company's legitimate interest.

How to exercise them. Write to «email». The company answers requests for information within 10 business days at most (extendable by 5) and complaints within 15 business days at most (extendable by 8). If you write to engman (hello@engmanapp.com), engman forwards your request to the company within 2 business days and tells you it did.

Date of this notice: «date».