ACUERDO DE PROCESAMIENTO DE DATOS
Versión 2.0
Fecha de entrada en vigor: 23 de febrero de 2026
ÍNDICE
-
Definiciones y Alcance
-
Tratamiento de Datos Personales
-
Derechos del Sujeto de Datos
-
Protección de Datos y Seguridad
-
Transferencias Internacionales de Datos
-
Plazo y Terminación
-
Responsabilidad e Indemnización
-
Ley aplicable
Anexo A: Categorías de Datos Personales
Anexo B: Subprocesadores Autorizados
Anexo C: Medidas Técnicas y Organizativas
Anexo D: Cláusulas Contractuales Estándar -
DEFINICIONES Y ALCANCE
Este Acuerdo de Procesamiento de Datos ("Acuerdo") se celebra entre Syntari International, Inc. ("Empresa" o "Procesador") y el Cliente ("Controlador").
1.1 Definiciones
● Datos Personales: Cualquier información relacionada con una persona física identificada o identificable.
● Tratamiento: Cualquier operación realizada sobre Datos Personales, incluida la recopilación, grabación, organización, estructuración, almacenamiento, adaptación, recuperación, uso, divulgación y eliminación.
● Sujeto de Datos: La persona a la que se refieren los Datos Personales.
● Subprocesador: Cualquier entidad legal contratada por el Procesador para procesar Datos Personales en nombre del Controlador.
● Subprocesador de IA: Proveedores de servicios de IA de terceros, incluidos pero no limitados a Anthropic, OpenAI y Google.
● Incidente: Cualquier violación de seguridad sospechada o confirmada o pérdida de Datos Personales.
1.2 Alcance
Este Acuerdo se aplica al procesamiento de Datos Personales según lo descrito en el Acuerdo de Servicio y los Planes adjuntos. -
PROCESAMIENTO DE DATOS PERSONALES
2.1 Base Legal y Propósito
El Procesador procesará Datos Personales solo:
● Según instrucciones documentadas del Controlador;
● Para propósitos especificados en el Acuerdo de Servicio;
● De acuerdo con el GDPR, CCPA y las leyes de protección de datos aplicables.
2.2 Instrucciones de Procesamiento
El Controlador reconoce que el Procesador procesa Datos Personales únicamente según las instrucciones documentadas del Controlador. Los cambios deben proporcionarse por escrito y ser aprobados por ambas partes.
2.3 Duración del Procesamiento
El Procesador procesará Datos Personales durante la duración del Acuerdo de Servicio y, posteriormente, según lo requiera la ley. -
DERECHOS DEL SUJETO DE DATOS
3.1 Derecho de Acceso
El Procesador proporcionará, a solicitud del Controlador y dentro de 10 días hábiles, asistencia razonable para permitir que los sujetos de datos ejerzan su derecho de acceso a sus Datos Personales.
3.2 Derecho de Corrección y Eliminación
El Procesador proporcionará asistencia razonable para permitir que los sujetos de datos ejerzan sus derechos de corrección, eliminación y restricción del procesamiento.
3.3 Portabilidad
El Procesador ayudará al Controlador a habilitar a los sujetos de datos para que ejerzan su derecho a la portabilidad de datos en un formato legible por máquina.
3.4 No Toma de Decisiones Automatizadas
El Procesador no se involucrará en la toma de decisiones automatizadas que produzcan efectos legales sin la autorización explícita del Controlador. -
PROTECCIÓN DE DATOS Y SEGURIDAD
4.1 Confidencialidad
El Procesador asegura que todas las personas autorizadas para procesar Datos Personales se comprometen a la confidencialidad o están bajo una obligación legal apropiada de confidencialidad.
4.2 Medidas de Seguridad de Datos
El Procesador implementa medidas técnicas y organizativas apropiadas como se detalla en el Anexo C:
● Cifrado de datos en tránsito y en reposo
● Controles de acceso y mecanismos de autenticación
● Evaluaciones de seguridad regulares y pruebas de vulnerabilidad
● Capacitación y programas de concienciación para empleados
● Procedimientos de respuesta a incidentes
4.3 Cifrado y Controles de Acceso
Todos los Datos Personales están cifrados utilizando AES-256 o equivalente. El acceso está restringido al personal autorizado con autenticación multifactor requerida.
4.4 Subprocesamiento y Subprocesadores de IA
4.4.1 Autorización y Notificación
El Procesador puede contratar Subprocesadores, incluidos los proveedores de IA enumerados en el Anexo B. El Controlador tiene el derecho de objetar dentro de los 30 días posteriores a la notificación por escrito.
4.4.2 Requisitos de Subprocesador de IA
Todos los Subprocesadores de IA deben:
● Ejecutar DPAs alineados con el GDPR y leyes aplicables
● Proporcionar medidas técnicas y organizativas equivalentes a este Acuerdo
● Proporcionar transparencia respecto a los lugares y propósitos del procesamiento de datos
● Someterse a auditorías y verificación de cumplimiento
4.4.3 DPAs de Subprocesadores Incorporados
Los DPAs de todos los proveedores de IA listados en el Anexo B se incorporan por referencia y son términos vinculantes de este Acuerdo. El Procesador deberá garantizar que el Controlador tenga acceso a estos acuerdos a solicitud.
4.4.4 Notificación Anticipada de 30 Días
El Procesador deberá proporcionar un aviso por escrito con 30 días de anticipación antes de agregar, eliminar o cambiar materialmente cualquier compromiso de Subprocesador. Este aviso deberá incluir la ubicación, propósito y salvaguardas del Subprocesador.
4.5 Notificación de Brecha de Datos
Al tomar conocimiento de un Incidente, el Procesador deberá:
● Evaluar de inmediato la naturaleza y alcance de la brecha
● Notificar al Controlador sin demora indebida
● Proporcionar toda la información para las obligaciones de notificación regulatoria
4.6 Respuesta a Incidentes de Seguridad (Estándar de Notificación de 48 Horas)
4.6.1 Cronograma de Notificación
El Procesador deberá notificar al Controlador de cualquier Incidente de Seguridad dentro de las 48 horas posteriores a su descubrimiento. Esto se alinea con las mejores prácticas de la industria y los requisitos de DPA de Anthropic.
4.6.2 Contenidos del Informe del Incidente
Todas las notificaciones de incidentes deberán incluir:
● Descripción del incidente y sistemas afectados
● Categorías y número aproximado de sujetos de datos afectados
● Posibles consecuencias del incidente
● Medidas tomadas o propuestas para abordar y mitigar daños
● Nombre y contacto del Oficial de Protección de Datos
4.6.3 Cooperación con Autoridades
El Procesador deberá cooperar razonablemente con el Controlador y las autoridades regulatorias en la investigación y respuesta a Incidentes.
4.7 Retención y Eliminación de Datos
El Procesador deberá eliminar o devolver Datos Personales al finalizar, a menos que se retengan según lo exige la ley. Se proporcionará un certificado de eliminación a solicitud.
4.8 Certificación del Procesador
El Procesador mantiene la certificación SOC 2 en progreso y certificar ISO 27001 en progreso. Los certificados actuales están disponibles a solicitud.
4.9 Derechos de Auditoría
4.9.1 Derechos Generales de Auditoría
El Controlador tiene el derecho de auditar el cumplimiento del Procesador con este Acuerdo. Las auditorías pueden realizarse:
● Con 15 días de aviso por escrito
● No más de una vez al año calendario a menos que sea provocado por un Incidente sospechado
● Durante el horario laboral normal
4.9.2 Auditorías de Terceros
El Controlador puede contratar auditores independientes, siempre que el auditor firme un acuerdo de confidencialidad.
4.9.3 Auditorías de Subprocesadores de IA
Las auditorías de Subprocesadores de IA se llevarán a cabo a través de:
● Revisión de SOC 2 en progreso e informes en progreso de ISO 27001
● Revisión de la documentación de seguridad del proveedor
● Auditorías en el sitio, sujeto a la aprobación del proveedor
4.10 Procesamiento de Datos Específico de IA
4.10.1 Usos Permitidos
Los Datos Personales del Cliente pueden ser procesados a través de funciones de IA exclusivamente para proporcionar los servicios contratados. No se permite ningún otro uso.
4.10.2 Prohibición de Entrenamiento de Modelos
El Procesador y todos los Subprocesadores de IA se comprometen a que:
● Los Datos Personales del Cliente NO se utilizarán para entrenar, ajustar o mejorar ningún modelo de aprendizaje automático (para niveles de pago)
● Esta restricción se aplica independientemente de las políticas del proveedor de IA
● El Controlador recibirá confirmación por escrito de todos los proveedores de IA
4.10.3 Manejo de Prompts y Salidas
● Prompts: Eliminados inmediatamente después del procesamiento, retención máxima de 24 horas
● Salidas: Retenidas de acuerdo con la configuración de retención especificada por el Cliente
● Metadatos: Los proveedores de IA pueden retener metadatos limitados solo para monitoreo de abusos
4.10.4 Retención de Monitoreo de Abusos
Los proveedores de IA pueden retener datos limitados durante 30 días para monitorear abusos, fraudes y actividades ilegales. Estos datos son separados de los datos de prompts/salidas.
4.10.5 Transparencia del Proveedor de IA
El Procesador deberá asegurarse de que los Subprocesadores de IA proporcionen:
● Informes trimestrales sobre prácticas de manejo de datos
● Notificación de incidentes alineada con la Sección 4.6
● Documentación de salvaguardas técnicas
4.11 Coordinación de Derechos de los Sujetos de Datos
4.11.1 Alcance de las Solicitudes de Sujetos de Datos
Las Solicitudes de Acceso de Sujetos de Datos (DSAR) incluirán datos en posesión del Procesador y todos los Subprocesadores, incluidos los proveedores de IA.
4.11.2 Procedimientos de Coordinación
El Procesador deberá:
● Acusar recibo de las DSAR dentro de 5 días hábiles
● Coordinar con los Subprocesadores de IA para recuperar datos dentro de 10 días hábiles
● Proporcionar respuesta consolidada al Controlador dentro de 30 días calendario
● Asegurar que las eliminaciones se ejecuten en todos los sistemas y subprocesadores
4.11.3 Cooperación del Subprocesador
Todos los Subprocesadores cooperarán plenamente con las solicitudes de DSAR sin cobrar tarifas adicionales por solicitudes razonables. -
TRANSFERENCIAS INTERNACIONALES DE DATOS
5.1 Marco de Privacidad de Datos UE-EE.UU.
En la medida en que los Datos Personales provengan de la UE o del Reino Unido, el Procesador se basa en el Marco de Privacidad de Datos UE-EE.UU. y la Extensión del Reino Unido para la transferencia internacional lícita. El Procesador está certificado bajo ambos marcos.
5.2 Cláusulas Contractuales Estándar
Para transferencias no cubiertas por decisiones de adecuación, el Procesador incorpora Cláusulas Contractuales Estándar por referencia (Anexo D). Estas cláusulas se aplican a EEE, Reino Unido y otras jurisdicciones que requieren salvaguardias.
5.3 Transferencias de Subprocesadores
Todos los Subprocesadores, incluidos los proveedores de IA, están contractualmente obligados a mecanismos de transferencia equivalentes. El Procesador garantiza salvaguardias apropiadas para todas las transferencias posteriores.
5.4 Evaluaciones de Impacto de Transferencia
El Procesador llevará a cabo Evaluaciones de Impacto de Transferencia según lo requiera la ley y proporcionará documentación a solicitud. -
TÉRMINO Y TERMINACIÓN
6.1 Fecha Efectiva
Este Acuerdo es efectivo a partir del 23 de febrero de 2026 y continúa por la duración del Acuerdo de Servicio.
6.2 Terminación
Al terminar o expirar el Acuerdo de Servicio, el Procesador, a elección del Controlador:
● Eliminar todos los Datos Personales dentro de 30 días
● Devolver todos los Datos Personales en un formato estructurado, de uso común y legible por máquina
6.3 Obligaciones Post-Termino
Las obligaciones de confidencialidad, seguridad y auditoría sobreviven a la terminación por el período requerido por la ley. -
RESPONSABILIDAD E INDEMNIZACIÓN
7.1 Responsabilidad del Procesador
El Procesador es responsable por daños causados por el incumplimiento de obligaciones bajo este Acuerdo, sujeto a las limitaciones del Acuerdo de Servicio.
7.2 Indemnización
El Procesador indemnizará y mantendrá indemne al Controlador de reclamaciones de terceros que surjan de la violación por parte del Procesador de la legislación aplicable sobre protección de datos.
7.3 Responsabilidad del Subprocesador
El Procesador asegurará que todos los Sub-procesadores proporcionen obligaciones de responsabilidad e indemnización equivalentes. -
LEY APLICABLE
Este Acuerdo se regirá e interpretará de acuerdo con las leyes de la jurisdicción en la que se ubique el Controlador, con leyes de protección de datos aplicables (GDPR, CCPA, etc.) teniendo prevalencia.
ANEXO A: CATEGORÍAS DE DATOS PERSONALES
Las siguientes categorías de Datos Personales pueden ser procesadas por el Procesador:
● Datos de Identificación: Nombre, dirección de correo electrónico, número de teléfono, ID de usuario, dirección IP
● Datos de Perfil: Cargo, departamento, organización, rol, preferencias
● Datos de Uso: Frecuencia de inicio de sesión, uso de funciones, duración de la sesión, interacciones
● Datos de Comunicación: Mensajes, historiales de chat, registros de colaboración
● Datos de Documentos: Archivos, documentos y contenido cargado o creado
● Datos Técnicos: Información del dispositivo, tipo de navegador, sistema operativo, registros del sistema
● Datos de Comportamiento: Patrones de compromiso con el servicio, adopción de funciones, análisis
● Datos de Transacción: Detalles de suscripción, información de pago (tokenizada)
● Datos Procesados por IA: Texto, documentos o contenido ingresado en características de IA
Las categorías específicas procesadas dependen de los servicios suscritos y se detallan en el Acuerdo de Servicio.
ANEXO B: SUB-PROCESADORES AUTORIZADOS
Los siguientes Sub-procesadores están autorizados a procesar Datos Personales en nombre del Controlador. Todos están sujetos a Acuerdos de Procesamiento de Datos que incorporan los requisitos de este Acuerdo.
Nombre del Sub-procesador Ubicación Propósito Salvaguardias
Anthropic Claude API EE. UU. (San Francisco, CA) Procesamiento de IA, análisis de texto, generación de contenido SOC 2 en progreso, ISO 27001 en progreso, DPA con el Marco de Privacidad de Datos
OpenAI EE. UU. (San Francisco, CA) Procesamiento de IA, incrustaciones, inferencia de modelos de lenguaje SOC 2 en progreso, ISO 27001 en progreso, DPA con SCCs
Google Gemini API EE. UU. (Múltiples ubicaciones) Procesamiento de IA, inferencia multimodal de IA SOC 2 en progreso, ISO 27001 en progreso, DPA de Google Cloud
AWS (Proveedor de Infraestructura) EE. UU., UE (Selección regional) Almacenamiento de datos, recursos de computación, respaldo y recuperación SOC 2 en progreso, ISO 27001 en progreso, DPA con DPF
SendGrid (Servicios de Correo Electrónico) EE. UU. (Denver, CO) Entrega y registro de correo electrónico transaccional SOC 2 en progreso, ISO 27001 en progreso, cumplimiento de DPA
Todos los Sub-procesadores de IA están obligados contractual a:
● Mantener DPAs alineados con este Acuerdo
● Prohibir el uso de Datos Personales de Clientes para el entrenamiento de modelos (niveles pagados)
● Eliminar indicaciones dentro de las 24 horas, excepto para monitoreo de abusos (retención de 30 días)
● Proporcionar SOC 2 en informes de progreso anuales
● Notificar al Procesador sobre violaciones de datos dentro de las 48 horas
● Cooperar con solicitudes de auditoría e investigaciones de sujetos de datos
El Procesador deberá proporcionar 30 días de aviso antes de agregar o eliminar Sub-procesadores.
ANEXO C: MEDIDAS TÉCNICAS Y ORGANIZATIVAS
El Procesador implementa las siguientes medidas técnicas y organizativas para garantizar la seguridad adecuada:
Medidas Técnicas
● Cifrado: cifrado AES-256 para datos en reposo; TLS 1.2+ para datos en tránsito
● Controles de Acceso: RBAC, principio de menor privilegio, autenticación multifactor
● Autenticación: Políticas de contraseña seguras, integración SSO, gestión de sesiones
● Monitoreo: Monitoreo de seguridad en tiempo real, detección de intrusiones, análisis de registros
● Gestión de Vulnerabilidades: Pruebas de penetración, escaneo de vulnerabilidades, gestión de parches
● Seguridad de Red: Cortafuegos, protección DDoS, segmentación de red
● Respaldo y Recuperación: Copias de seguridad automatizadas diarias, redundancia geográfica, procedimientos de recuperación
Medidas Organizativas
● Capacitación del Personal: Capacitación anual sobre la GDPR y protección de datos
● Gestión de Acceso: Verificaciones de antecedentes para empleados con acceso a datos
● Acuerdos de Confidencialidad: Todo el personal firma acuerdos de confidencialidad
● Respuesta a Incidentes: Procedimientos documentados con simulacros regulares
● Oficial de Protección de Datos: DPO designado disponible (dpo@syntari.ai)
● Registros de Auditoría: Registro completo de todos los accesos y modificaciones de datos
● Gestión de Proveedores: Sub-procesadores se someten a evaluación de seguridad
Medidas de Seguridad Específicas para IA
● Aislamiento de Indicaciones: Indicaciones procesadas en entornos aislados y efímeros
● Sin Contaminación Cruzada: Datos de diferentes clientes nunca se mezclan
● Filtrado de Metadatos: Metadatos PII eliminados de registros de IA
● Validación de Salidas: Salidas revisadas para fugas accidentales de datos
● Monitoreo Continuo: Monitoreo de abusos por parte del proveedor de IA durante 30 días
Certificación y Cumplimiento
● SOC 2 en curso: Auditoría anual por auditores independientes
● ISO 27001 en curso: Sistema de gestión de seguridad de la información certificado
● Cumplimiento de la GDPR: Certificado por asesoría externa de protección de datos
● Evaluaciones Regulares: Evaluaciones de seguridad de terceros cada 12 meses
ANEXO D: CLÁUSULAS CONTRACTUALES ESTÁNDAR
Este Anexo incorpora las Cláusulas Contractuales Estándar ("SCCs") como mecanismos para transferencias internacionales de datos legales.
D.1 Alcance
Las SCC se aplican a las transferencias de Datos Personales desde el EEE, el Reino Unido u otra jurisdicción que requiera salvaguardias adicionales a ubicaciones fuera de dicha jurisdicción.
D.2 Selección del Módulo
El Procesador y el Controlador son partes de transferencias de Controlador a Procesador sujetas al Módulo 2 de las Cláusulas Contractuales Estándar (C2P).
D.3 Cláusulas Incorporadas
Las siguientes Cláusulas Contractuales Estándar están incorporadas por referencia:
● Cláusula 1: Propósito y Duración
● Cláusula 2: Detalles de Procesamiento
● Cláusula 3: Subprocesamiento
● Cláusula 4: Asistencia con Derechos
● Cláusula 5: Asistencia con Obligaciones
● Cláusula 6: Eliminación o Devolución
● Cláusula 7: Derechos de Auditoría
● Cláusula 8: Derechos del Sujeto de Datos
● Cláusula 9: Transferencias Internacionales
● Cláusula 10: Responsabilidad del Subcontratista Procesador
Texto completo disponible en: https://ec.europa.eu/commission/presscorner/detail/en/ip_21_2847
D.4 Certificación del Marco de Protección de Datos
El Procesador está certificado bajo el Marco de Privacidad de Datos UE-EE. UU. y la Extensión del Reino Unido, proporcionando un mecanismo de adecuación alternativo para transferencias cubiertas.
D.5 Evaluación de Adecuación
El Procesador ha realizado una evaluación de impacto de transferencia concluyendo que:
● La ley de EE. UU. proporciona salvaguardias adecuadas a través de protecciones legales y contractuales
● El Marco de Privacidad de Datos proporciona derechos y recursos robustos
● Medidas técnicas y organizativas proporcionan defensa contra la vigilancia masiva
D.6 Transferencias de Subprocesadores
Todos los Subprocesadores participan en mecanismos de transferencia equivalentes:
● Cláusulas Contractuales Estándar (Módulo 2 o Módulo 3)
● Certificación del Marco de Privacidad de Datos
● Reglas Corporativas Vinculantes
● Decisiones de Adecuación
D.7 Recursos y Ejecución
Los sujetos de datos retienen todos los derechos bajo las SCC y pueden presentar reclamaciones contra el Procesador en la jurisdicción donde se ubique el sujeto de datos o donde esté establecido el Procesador.
EJECUCIÓN
Este Acuerdo de Procesamiento de Datos se ejecuta a partir del 23 de febrero de 2026.
POR SYNTARI AI, INC.:
Representante Autorizado
Título: _____________________
Fecha: _____________________
POR EL CLIENTE:
Representante Autorizado
Título: _____________________
Fecha: _____________________
