Anexo III al Acuerdo de Tratamiento de Datos (DPA) — Categorías de datos en import bulk de clientes

Versión: 1.0

Vigencia: 8 de mayo de 2026

Naturaleza: Anexo unilateral al DPA. NO requiere re-firma del Responsable; el uso de la funcionalidad de importación masiva implica aceptación expresa de los términos aquí descritos.

1. Contexto

Este Anexo III complementa el Acuerdo de Tratamiento de Datos (DPA) suscrito entre Workflow507 (en adelante, “el Encargado”) y la firma legal o profesional usuaria de Cobros al Día (en adelante, “el Responsable”), conforme al artículo 32 de la Ley 81 de 2019 de la República de Panamá y al Decreto Ejecutivo 285 de 2021.

Su finalidad es enumerar las categorías de datos personales que el Responsable podrá transferir al Encargado mediante la funcionalidad de importación masiva de clientes (Clientes → Importar) y los compromisos operativos asociados.

2. Roles bajo Ley 81 PA

Titular del dato: el cliente final del Responsable (persona natural o representante legal de la persona jurídica), cuyos datos identificativos, de contacto y financieros se transfieren a la plataforma Cobros al Día.
Responsable del tratamiento: la firma legal o profesional usuaria del servicio. Determina la finalidad del tratamiento, posee la base legal (ejecución de contrato profesional y obligación legal de llevar registro de honorarios — artículo 5 Ley 81) y conserva el deber de información (aviso de privacidad) frente a sus clientes.
Encargado del tratamiento: Workflow507, operador de la plataforma Cobros al Día. Trata los datos por cuenta del Responsable según las instrucciones del DPA. No realiza tratamientos propios sobre los datos importados.
Autoridad de control: Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI).

3. Categorías de datos transferibles vía import bulk

El Responsable podrá transferir, en archivos .xlsx o .csv con formato canónico definido por el Encargado, las siguientes categorías de datos personales:

3.1 Datos identificativos

Nombre completo o razón social.
Tipo de persona (natural o jurídica) y número de identificación oficial:
- Cédula de identidad personal panameña (formato X-XXX-XXXX).
- Registro Único del Contribuyente (RUC) panameño (formato N-NNNNNNN-N-NNNNNN).

3.2 Datos de contacto

Número de teléfono móvil (con prefijo +507).
Dirección de correo electrónico.
Dirección postal.

3.3 Datos financieros

Saldos pendientes de cobro (montos adeudados por el cliente al Responsable al cierre de la libreta o sistema previo).
Fecha de cierre del saldo (sirve como referencia histórica del adeudo).

3.4 Datos no admitidos por diseño

El Encargado rechaza por diseño cualquier campo que contenga categorías especiales de datos en los términos del artículo 4 de la Ley 81 PA, incluyendo pero no limitándose a:

Datos de salud, condición médica o discapacidad.
Datos biométricos (huellas, reconocimiento facial, voz) o genéticos.
Información sobre origen racial o étnico, opinión política, convicción religiosa, vida u orientación sexual.
Información sobre afiliación sindical.
Datos de menores de edad.

La plantilla canónica del archivo de import no contempla columnas para estos datos. El Responsable se compromete a no introducirlos en columnas de texto libre como Notas.

4. Compromisos operativos del Encargado

Cifrado en tránsito y en reposo: los archivos se transmiten vía HTTPS y se almacenan cifrados en Supabase Storage (subprocesador autorizado en el DPA principal).
Aislamiento multi-tenant: los archivos y los datos importados quedan aislados por organización mediante Row Level Security (RLS) en la base de datos y políticas RLS específicas en Storage. Ningún Responsable puede acceder a datos de otro.
Control de acceso: únicamente el rol owner activo de la organización puede iniciar importaciones en la fase actual del servicio.
Trazabilidad: cada importación queda registrada en un evento de auditoría inmutable que incluye conteo de registros, monto total migrado, hash criptográfico SHA-256 del archivo y fecha de aceptación del aviso de tratamiento. El payload de auditoría no incluye datos personales de los titulares.
Retención del archivo crudo: el archivo Excel/CSV subido se conserva en Supabase Storage por un período de hasta noventa (90) días a fin de permitir trazabilidad ante incidentes o solicitudes regulatorias. Tras ese período, el archivo es eliminado del Storage de forma manual y centralizada por el Encargado, con verificación de cumplimiento. Los registros importados (clientes, saldos) y el evento de auditoría asociado se conservan conforme a la política de retención general del DPA principal.

5. Obligaciones del Responsable

Informar a sus clientes finales, en su aviso de privacidad propio, que utiliza sistemas digitales de gestión que pueden almacenar sus datos.
Garantizar que cuenta con base legal para el tratamiento (artículo 5 Ley 81 — ejecución de contrato profesional u obligación legal).
Aceptar el aviso de tratamiento que se presenta en pantalla en cada importación masiva.
Abstenerse de importar datos pertenecientes a categorías especiales o a menores de edad.
Atender directamente las solicitudes ARCO (Acceso, Rectificación, Cancelación, Oposición) de sus clientes finales, conforme al procedure de derechos descrito en la Política de Privacidad. El Encargado prestará asistencia razonable.

6. Subprocesadores

El tratamiento se realiza con los subprocesadores ya autorizados en el DPA principal (Supabase, Cloudflare). No se incorporan subprocesadores adicionales para esta funcionalidad.

7. Modificaciones

Cualquier modificación material de este Anexo (ampliación de categorías, cambio de subprocesadores, cambio del período de retención) será notificada al Responsable con al menos quince (15) días de anticipación a través del correo registrado y publicada en esta página.

8. Contacto

Para consultas sobre este Anexo, el Responsable puede escribir a info@cobrosaldia.com.