encargo

name	encargo
description	Revisor de encargos de tratamiento — revisa un contrato de encargado del tratamiento contra el playbook configurado (como responsable o como encargado). Comprueba las cláusulas obligatorias del encargo conforme a la Ley 81 de 2019, identifica gaps y genera tabla de cláusulas con posición, contrato y recomendación. Usar cuando el usuario diga "revisa este encargo", "DPA del proveedor", "contrato de encargado" o adjunte un DPA.
argument-hint	[archivo | enlace | pegar texto del contrato]

/encargo

1. Cargar ~/.claude/plugins/config/claude-para-abogados/privacidad/CLAUDE.md → playbook de encargos.
2. Obtener el contrato. Determinar dirección: ¿somos responsable o encargado? Preguntar si es ambiguo.
3. Revisar cláusula por cláusula contra el playbook.
4. Comprobar coherencia con la política de privacidad.
5. Generar memo de revisión con tabla de cláusulas.

/privacidad:encargo contrato-encargo-proveedor.pdf

---

Propósito

Los encargos de tratamiento llegan en dos direcciones y la revisión es casi opuesta para cada una. Cuando un cliente nos envía su contrato, defendemos flexibilidad operativa. Cuando enviamos uno a un proveedor, protegemos los datos. Este skill aplica la mitad correcta del playbook.

---

Dirección: ¿responsable o encargado?

Antes de nada, establecer:

• Somos responsable → revisamos contrato de nuestro encargado/proveedor → fila "como responsable" del playbook
• Somos encargado → un cliente nos envía su contrato → fila "como encargado" del playbook

Si no queda claro, preguntar. Invertir la dirección invierte cada recomendación.

---

Cláusulas obligatorias del encargo de tratamiento (Ley 81 de 2019)

Verificar que el contrato incluye todas las cláusulas obligatorias:

#	Cláusula obligatoria	Referencia	¿Presente?	Observaciones
1	Objeto, duración, naturaleza y finalidad del tratamiento	Ley 81 de 2019
2	Tipo de datos y categorías de titulares	Ley 81 de 2019
3	Tratar solo siguiendo instrucciones documentadas del responsable	Ley 81 de 2019
4	Confidencialidad del personal autorizado	Ley 81 de 2019
5	Medidas de seguridad técnicas y organizativas	Ley 81 de 2019
6	Régimen de subencargados	Ley 81 de 2019
7	Asistencia al responsable en derechos del titular	Ley 81 de 2019
8	Asistencia en la evaluación de impacto	Ley 81 de 2019
9	Devolución o supresión de datos al finalizar	Ley 81 de 2019
10	Poner a disposición información para auditoría	Ley 81 de 2019

---

Revisión término por término

Para cada término, comparar lo que dice el contrato con la posición del playbook:

Término	Posición playbook	Lo que dice el contrato	Gap	Riesgo	Recomendación
Subencargados	[del playbook]
Transferencias internacionales	[del playbook]
Notificación de brechas	[del playbook]
Derecho de auditoría	[del playbook]
Devolución/destrucción	[del playbook]
Responsabilidad	[del playbook]
Medidas de seguridad	[del playbook]
Localización de datos	[del playbook]

Puntos críticos como responsable (revisión protectora)

Cláusula	Gap habitual	Acción
Sin lista de subencargados	No sabemos quién trata los datos	Exigir lista + notificación previa
"Medidas de seguridad adecuadas" sin anexo	Promesa vacía	Exigir anexo con controles o referencia a ISO 27001 / SOC 2
Sin plazo de notificación de brechas	Nos avisan cuando quieren	Exigir plazo concreto (ej. 24-48h), coherente con el plazo de notificación a la ANTAI de la Ley 81 de 2019
Proveedor usa datos para "mejora del servicio"	Posible tratamiento para fines propios	Eliminar; tratamiento limitado a las instrucciones del responsable
Sin mecanismo de transferencia internacional	Transferencia ilícita	Exigir cláusulas contractuales de protección de datos / país con nivel adecuado / consentimiento del titular conforme a la Ley 81 de 2019
Sin compromiso de supresión	Datos retenidos indefinidamente	Exigir supresión + certificado al finalizar

Puntos críticos como encargado (revisión defensiva)

Cláusula	Riesgo	Acción
Derecho de veto sobre subencargados	Bloquea cambios de infraestructura	Negociar autorización general con derecho de oposición
Auditoría presencial sin preaviso	Inviable a escala	Limitar a informes independientes + presencial con preaviso razonable
Notificación de brechas <24h	Antes de saber qué ha pasado	Negociar "sin dilación indebida" con plazo razonable
Responsabilidad ilimitada como encargado	Riesgo existencial	Someter a cap del contrato principal
Supresión en plazos muy cortos	Backups y logs lo impiden	Documentar carveout de rotación de backups

---

Comprobación de coherencia con política de privacidad

• Si el encargo limita el tratamiento a fines X, Y, Z → ¿la política de privacidad los recoge?
• Si la política dice "no vendemos datos" → ¿alguna cláusula del encargo parece una cesión?
• Si la política nombra categorías de encargados → ¿coincide con la lista de subencargados?

Marcar desajustes — normalmente es la política la que está desactualizada.

---

Formato de salida

# Revisión de encargo de tratamiento: [Contraparte]

**Dirección:** [Somos responsable / Somos encargado]
**Fecha de revisión:** [fecha]
**Vinculado a:** [contrato principal / standalone]

---

## Conclusión

[Dos frases. ¿Se puede firmar? ¿Qué debe cambiar?]

**Hallazgos:** [N] Conforme [N] Riesgo medio [N] Riesgo alto [N] Bloqueante

---

## Tabla de cláusulas

| Cláusula | Posición playbook | Contrato | Gap | Riesgo | Recomendación |
|---|---|---|---|---|---|
| ... | ... | ... | ... | ... | ... |

---

## Coherencia con política de privacidad

[Conforme | Desajustes: lista]

---

## Redlines recomendados

[Consolidado — listo para enviar]

---

## Si no aceptan

[Para cada issue: el fallback del playbook o escalado]

---

Legislación de referencia

• Ley 81 de 2019 — encargado del tratamiento, cláusulas obligatorias, seguridad y transferencias internacionales (las transferencias requieren que el destino ofrezca un nivel de protección equivalente o superior, o que concurran condiciones como consentimiento o contrato; Ley 81 de 2019 y Decreto Ejecutivo 285 de 2021)
• Decreto Ejecutivo 285 de 2021 — reglamento de la Ley 81 de 2019
• Guías y resoluciones de la ANTAI sobre contratos de encargado del tratamiento
• Ley 23 de 2015 — prevención de blanqueo (conservación de datos por sujetos obligados ante la UAF)

---

Lo que este skill NO hace

• No redacta un encargo de tratamiento desde cero — para eso, usar la plantilla house de los documentos semilla.
• No realiza la evaluación de las transferencias internacionales — marca cuándo es necesaria.
• No decide si aceptar términos fuera del playbook — escala según la tabla de escalado.