Anexo de Residencia de Datos

ANEXO DE RESIDENCIA DE DATOS
Versión 1.0
Fecha de vigencia: 23 de febrero de 2026
Syntari International, Inc.
855 Boylston Street, Suite 1000
Boston, MA 02116

PROPÓSITO Y ÁMBITO
Este Anexo de Residencia de Datos (este "Anexo") complementa e incorpora el Acuerdo de Procesamiento de Datos (el "DPA") entre Syntari International, Inc. ("Compañía") y el Cliente, y regula la(s) ubicación(es) geográfica(s) donde se almacenarán, procesarán y respaldarán los Datos del Cliente. Este Anexo establece requisitos específicos de residencia de datos, opciones regionales disponibles y mecanismos para el cumplimiento de las regulaciones aplicables de protección de datos y localización.
Este Anexo se aplica a todos los Datos del Cliente procesados por la Compañía en relación con la provisión de la plataforma Syntari y sus características impulsadas por IA, incluyendo, pero no limitado a, análisis, recomendaciones e información generada a través de proveedores de IA de terceros.
DEFINCIONES
Además de los términos definidos en el DPA, las siguientes definiciones se aplican a este Anexo:
"Residencia de Datos": La(s) región(es) geográfica(s) específica(s) donde se almacenan, respaldan y replican los Datos del Cliente, como se especifica en una Especificación de Residencia de Datos.
"Localización de Datos": Requisitos legales o regulatorios que exigen la ubicación donde ciertas categorías de datos deben ser almacenadas o procesadas.
"Ubicación de Procesamiento": Cualquier ubicación geográfica donde los Datos del Cliente sean accedidos, leídos, analizados, transformados o de otro modo procesados, incluyendo por proveedores de IA de terceros.
"Ubicación de Almacenamiento": El(los) centro(s) de datos físicos o virtuales donde se mantienen y almacenan los Datos del Cliente en reposo.
"Ubicación de Tránsito": El(los) camino(s) geográfico(s) por los cuales los Datos del Cliente viajan durante su transmisión entre sistemas, servicios o regiones.
RESIDENCIA DE DATOS POR DEFECTO
A menos que el Cliente haya seleccionado una opción regional alternativa de conformidad con la Sección 5, los Datos del Cliente se almacenarán y harán respaldos en los Estados Unidos de la siguiente manera:
3.1 Almacenamiento Primario
● AWS US-EAST-1 (N. Virginia, EE.UU.)
● AWS US-WEST-2 (Oregón, EE.UU.)
3.2 Respaldo y Recuperación ante Desastres
● AWS US-EAST-2 (Ohio, EE.UU.) para redundancia y conmutación por error
3.3 Procesamiento de IA
El procesamiento de IA por proveedores de terceros ocurre en los Estados Unidos, independientemente de la región de almacenamiento primaria seleccionada por el Cliente (ver Sección 4 para detalles).
UBICACIONES DE PROCESAMIENTO DE DATOS DEL PROVEEDOR DE IA
Syntari aprovecha proveedores de IA de terceros para potenciar sus análisis y características de IA. Lo siguiente revela las ubicaciones de procesamiento primarias de cada proveedor:
Proveedor de IA Ubicación de Procesamiento Primaria Ubicación Secundaria
Anthropic (Claude) Estados Unidos (centros de datos basados en EE. UU.) N/A – solo EE. UU.
OpenAI (GPT) Estados Unidos (infraestructura basada en EE. UU.) N/A – solo EE. UU.
Google Cloud AI (Gemini) Estados Unidos (configurable a través de regiones de Google Cloud) Disponible solo en regiones de EE. UU. para Syntari

4.1 Términos de Procesamiento de Datos del Proveedor de IA
Los Datos del Cliente procesados por los proveedores de IA pueden ser retenidos temporalmente por dichos proveedores con fines de mejora del servicio. Los siguientes términos de retención se aplican:
● Anthropic: Los datos pueden ser retenidos hasta 30 días para la mejora de modelos y detección de abusos
● OpenAI: Los datos pueden ser retenidos según la política de retención de datos de la API de OpenAI (típicamente 30 días)
● Google Cloud AI: La retención de datos depende de las políticas y acuerdos configurados de Google Cloud
4.2 Divulgación de Procesamiento
El Cliente reconoce que el uso de funciones de IA constituye una operación de procesamiento de datos por parte de proveedores de IA de terceros. Todo el procesamiento de IA ocurre en los Estados Unidos. Los Datos del Cliente no serán redirigidos a proveedores de IA no estadounidenses a menos que el Cliente solicite explícitamente dicha redirección y cumpla con las regulaciones de transferencia de datos aplicables.
5. OPCIONES REGIONALES DISPONIBLES
Para cumplir con los diversos requisitos regulatorios y comerciales, Syntari ofrece las siguientes opciones de almacenamiento regional. El procesamiento de IA permanece basado en EE. UU. independientemente de la selección de la región de almacenamiento. El Cliente debe especificar su región seleccionada durante la incorporación.
5.1 Región de Estados Unidos (Predeterminada)
● Almacenamiento: AWS US-EAST-1, US-WEST-2
● Copia de seguridad: AWS US-EAST-2
● Procesamiento de IA: Proveedores de Estados Unidos
● Disponibilidad: Todos los clientes
5.2 Región de la Unión Europea (UE)
● Almacenamiento: AWS EU-WEST-1 (Irlanda), AWS EU-CENTRAL-1 (Fráncfort)
● Copia de seguridad: Regiones de AWS basadas en la UE
● Procesamiento de IA: Estados Unidos (datos transferidos para procesamiento de IA según la Sección 4)
● Disponibilidad: Clientes de la UE/EEE sujetos a GDPR
● Nota: La selección de almacenamiento en la UE no impide el procesamiento de IA en los Estados Unidos
5.3 Región del Reino Unido (RU)
● Almacenamiento: AWS EU-WEST-2 (Londres)
● Copia de seguridad: Regiones de AWS basadas en la UE
● Procesamiento de IA: Estados Unidos (datos transferidos para procesamiento de IA)
● Disponibilidad: Clientes del RU sujetos al GDPR del RU y Ley de Protección de Datos de 2018
5.4 Región de Canadá
● Almacenamiento: AWS CA-CENTRAL-1 (Canadá Central)
● Copia de seguridad: Regiones de AWS basadas en Canadá
● Procesamiento de IA: Estados Unidos (datos transferidos para procesamiento de IA)
● Disponibilidad: Clientes canadienses sujetos a PIPEDA y requisitos regulatorios
5.5 Limitación Importante
El Cliente reconoce que independientemente de la región de almacenamiento seleccionada, el uso de funciones de IA resultará en la transferencia de datos y procesamiento por proveedores de IA basados en EE. UU. Si el Cliente requiere que los datos nunca transiten por los Estados Unidos, el Cliente debe desactivar todas las funciones y funcionalidades de procesamiento de IA.
6. MECANISMOS DE TRANSFERENCIA
Donde los Datos del Cliente deben ser transferidos a través de fronteras, incluyendo de la UE/EEE a los Estados Unidos para procesamiento de IA, la Empresa se basa en los siguientes mecanismos de transferencia lícitos:
6.1 Marco de Privacidad de Datos UE-EE.UU.
Para transferencias de datos personales de la UE/EEE a los Estados Unidos, la Empresa y sus subprocesadores de IA se basan en el Marco de Privacidad de Datos UE-EE.UU. (DPF), que reemplazó el marco del Escudo de Privacidad invalidado. Este marco establece la adecuación de la protección de datos en los Estados Unidos para fines de restricciones de transferencia de datos de la UE.
6.2 Cláusulas Contractuales Estándar
Como mecanismo suplementario, la Empresa incorpora las Cláusulas Contractuales Estándar (Módulo Dos: Responsable a Procesador y Módulo Tres: Procesador a Sub-procesador) según lo adoptado por la Decisión de la Comisión 2021/914 del 4 de junio de 2021, con todas las medidas técnicas y organizativas suplementarias necesarias según lo requerido por la decisión del TJUE Schrems II.
6.3 Acuerdo de Transferencia Internacional de Datos del Reino Unido
Para las transferencias de datos personales del Reino Unido a los Estados Unidos, la Empresa cumple con el Acuerdo de Transferencia Internacional de Datos del Reino Unido (UK IDTA) e incorpora Cláusulas Contractuales Estándares aprobadas bajo la ley de protección de datos del Reino Unido.
6.4 Evaluaciones de Impacto de Transferencia
La Empresa ha realizado Evaluaciones de Impacto de Transferencia de Datos (DTIAs) y Evaluaciones de Impacto de Transferencia (TIAs) evaluando el marco legal para la transferencia a los Estados Unidos, incluida la evaluación de las leyes de vigilancia de EE. UU. y la adecuación de las salvaguardias. Las evaluaciones están disponibles a solicitud para auditorías regulatorias o Solicitudes de Acceso de Sujetos de Datos.
7. REQUISITOS REGULATORIOS
Este Anexo refleja el compromiso de la Empresa con el cumplimiento de las normas de protección de datos y regulación de localización aplicables:
7.1 Artículos 44-49 del RGPD
La Empresa asegura que las transferencias de datos personales desde la UE/EEE se ejecutan únicamente sobre la base de mecanismos de transferencia legítimos (DPF, SCCs) según lo requerido por el Capítulo V del RGPD. La Empresa realiza Evaluaciones de Impacto de Transferencia para cada mecanismo de transferencia.
7.2 Medidas Suplementarias de Schrems II
Siguiendo el fallo Schrems II del TJUE, la Empresa implementa medidas organizativas y técnicas suplementarias que incluyen:
● Cifrado de datos en tránsito y en reposo donde sea técnicamente viable
● Principios de minimización de datos para el procesamiento de IA
● Pseudonimización de datos donde sea aplicable
● Controles de acceso restringidos para solicitudes de aplicación de la ley extranjera
7.3 DORA (Ley de Resiliencia Operacional Digital)
Para clientes de servicios financieros, la Empresa cumple con los requisitos de DORA respecto a la resiliencia operativa, gestión de riesgos de terceros y reporte de incidentes de ICT, incluida la resiliencia basada en la ubicación de los centros de datos críticos.
7.4 Regulación de Localización de Datos de Seguro
La Empresa reconoce que los reguladores de seguros en diversas jurisdicciones (incluyendo ciertos estados de EE. UU.) pueden imponer requisitos de localización de datos. El Cliente es responsable de identificar y comunicar los mandatos de localización aplicables a la Empresa. La Empresa trabajará con el Cliente para implementar configuraciones de almacenamiento conformes.
7.5 APRA CPS 234 (Australia)
Para clientes de servicios financieros australianos, la Empresa reconoce el Estándar Prudencial CPS 234 de la Autoridad Prudencial de Australia (APRA) respecto a la residencia crítica de datos en Australia. Los clientes sujetos a APRA CPS 234 no deben seleccionar regiones de almacenamiento en EE. UU. o UE sin aprobación regulatoria explícita y deben contactar a la Empresa para disponibilidad en la región australiana (si está disponible).
8. CONTROLES DEL CLIENTE
8.1 Selección de Región de Datos
El Cliente puede seleccionar su región de almacenamiento de datos preferida durante la incorporación. La selección de la región debe hacerse considerando los requisitos regulatorios aplicables y las necesidades comerciales. La selección de la región se documenta en la Especificación de Residencia de Datos.
8.2 Migración de Región
El Cliente puede solicitar la migración de datos a una región alternativa. Las solicitudes de migración de región deben ser enviadas a privacy@syntari.ai. La Empresa proporcionará un cronograma y una evaluación de impacto para la migración solicitada. Los cronogramas de migración varían según el volumen de datos y pueden requerir una ventana de servicio.
8.3 Verificación y Certificación de Residencia de Datos
A solicitud, la Empresa proporcionará certificación de residencia de datos, incluyendo:
● Confirmación de las ubicaciones de almacenamiento primarias y de respaldo
● Atestación de certificaciones de centros de datos (SOC 2 en progreso, ISO 27001 en progreso, etc.)
● Mapa de rutas de red utilizadas para la transmisión de datos
8.4 Derechos de Auditoría para la Ubicación de Datos
El Cliente conserva el derecho a auditar las prácticas de residencia de datos y ubicaciones de almacenamiento de la Empresa, ya sea a través de informes de auditoría de terceros de la Empresa (SOC 2 en progreso, etc.) o mediante auditoría directa. Las solicitudes de auditoría deben ser enviadas a dpo@syntari.ai y estarán sujetas a los procedimientos de auditoría habituales y protecciones de confidencialidad.
9. TRANSPARENCIA EN EL PROCESAMIENTO DE IA
9.1 Divulgación de Ubicaciones de Procesamiento de IA
La Empresa divulga que todas las características de IA implican la transmisión de Datos del Cliente a proveedores de IA de terceros ubicados en los Estados Unidos, incluyendo:
● Anthropic (Claude) – procesamiento basado en EE. UU.
● OpenAI (GPT) – procesamiento basado en EE. UU.
● Google Cloud AI (Gemini) – procesamiento basado en EE. UU.
9.2 Retención y Eliminación de Proveedores de IA
Los datos del cliente transmitidos a los proveedores de IA pueden ser retenidos temporalmente (hasta 30 días para Anthropic y OpenAI) para la mejora del servicio y la detección de abusos. Después del período de retención, los proveedores de IA eliminarán o anonimizarán dichos datos. La empresa no controla la retención de los proveedores de IA más allá de los términos de nuestros acuerdos con dichos proveedores.
9.3 Notificación al Cliente sobre Cambios en la Ubicación de Proveedores de IA
Si algún proveedor de IA cambia su ubicación de procesamiento principal fuera de los Estados Unidos, o expande el procesamiento a ubicaciones no estadounidenses, la empresa proporcionará al cliente un aviso escrito inmediato (dentro de los 10 días hábiles de tener conocimiento de tal cambio) a privacy@syntari.ai y dpo@syntari.ai (según corresponda). El cliente puede solicitar entonces proveedores de IA alternativos o optar por no participar en las funciones de IA.
9.4 Opción de No Participar de Proveedores de IA Específicos
El cliente puede optar por no participar de proveedores de IA específicos basados en preocupaciones sobre la ubicación de los datos. Para optar por no participar, el cliente debe enviar una solicitud a privacy@syntari.ai especificando qué proveedor(es) excluir. La empresa configurará la plataforma Syntari para desactivar funciones impulsadas por el(los) proveedor(es) excluido(s). Las solicitudes de optar por no participar pueden afectar la disponibilidad o funcionalidad de las funciones.
10. GESTIÓN DE UBICACIÓN DE SUBPROCESADORES
10.1 Requisitos de Ubicación de Subprocesadores
La empresa puede contratar subprocesadores para ayudar con el procesamiento de datos. Todos los subprocesadores deben mantener los datos del cliente en ubicaciones consistentes con este Anexo (o en la(s) ubicación(es) especificadas por el cliente). Los subprocesadores deben contar con salvaguardas técnicas y organizativas adecuadas para la protección de datos.
10.2 Notificación de Cambios en Subprocesadores
La empresa proporcionará al cliente un aviso escrito de cualquier cambio en las ubicaciones de los subprocesadores, incluida la adición de nuevos subprocesadores o la reubicación de subprocesadores existentes, al menos 30 días antes. La notificación se enviará a la dirección de correo electrónico del cliente registrada.
10.3 Derechos de Objeción del Cliente
Al recibir una notificación de un cambio en la ubicación de un subprocesador, el cliente puede oponerse a la nueva ubicación dentro de los 15 días contactando a privacy@syntari.ai. Los motivos para la objeción incluyen preocupaciones sobre la adecuación de la protección de datos en la nueva ubicación. La empresa trabajará con el cliente para abordar las objeciones, lo que puede incluir ofrecer subprocesadores alternativos o ubicaciones de almacenamiento.
11. ACCESO Y VIGILANCIA GUBERNAMENTAL
11.1 Informes de Transparencia
La empresa reconoce que los datos almacenados en Estados Unidos pueden estar sujetos a acceso por agencias gubernamentales estadounidenses bajo la ley estadounidense, incluidos FISA, la Ley Patriota y autoridades relacionadas. La empresa publica informes de transparencia sobre las solicitudes de datos del gobierno. Los informes de transparencia actuales y pasados están disponibles en /legal/ai-transparency-statement (o ubicación equivalente).
11.2 Notificación al Cliente
Cuando la ley lo permita, la empresa notificará al cliente sobre las solicitudes de datos del gobierno dentro de un plazo razonable. Las notificaciones incluirán la naturaleza de la solicitud, la agencia solicitante y el alcance de los datos solicitados. Se dará al cliente la oportunidad de buscar recursos legales donde lo permita la ley.
11.3 Compromisos para Desafiar Solicitudes Legales
La empresa se compromete a desafiar solicitudes de datos del gobierno demasiado amplias o irrazonables en la medida permitida por la ley. La empresa no divulgará voluntariamente los datos del cliente a agencias gubernamentales sin un proceso legal a menos que la ley lo exija.
11.4 Medidas Técnicas Suplementarias
Para mitigar los riesgos del acceso gubernamental, la empresa implementa medidas suplementarias que incluyen:
● Encriptación de datos en tránsito y en reposo (donde sea técnicamente y comercialmente viable)
● Pseudonimización y tokenización de datos personales sensibles
● Controles de acceso que limitan la visibilidad de los datos brutos del cliente solo al personal esencial
● Minimización de datos en el procesamiento de IA (limitando los datos transmitidos a los proveedores de IA)
12. INFORMES DE UBICACIÓN DE INCIDENCIAS Y VIOLACIONES
12.1 Notificación de Violación Específica de Ubicación
En caso de una violación de datos o incidente de seguridad que afecte los Datos del Cliente, la Compañía proporcionará notificación al Cliente que incluya:
● Identificación de la(s) ubicación(es) de almacenamiento o procesamiento donde ocurrió el incidente
● Fecha y hora de descubrimiento del incidente
● Alcance y naturaleza de la violación, incluidos los tipos de datos afectados
● Medidas tomadas para asegurar y recuperar los datos
● Cronograma esperado para la remediación
12.2 Notificación Regulatoria por Jurisdicción
La Compañía apoyará las obligaciones de notificación regulatoria del Cliente proporcionando la información necesaria para las notificaciones de violaciones a las autoridades en la jurisdicción del Cliente, incluyendo:
● Autoridades de protección de datos de la UE/EEE (notificaciones del Artículo 33 y 34 del GDPR)
● Oficina del Comisionado de Información del Reino Unido (notificaciones del UK GDPR y DPA 2018)
● Comisionados de privacidad de Canadá (notificaciones de PIPEDA)
● Fiscales generales de estados en EE. UU. (notificaciones de la ley de notificación de violaciones estatal)
● Organismos reguladores de seguros
● Autoridades regulatorias de servicios financieros
12.3 Cronograma de Notificación al Cliente
La Compañía proporcionará la notificación inicial de violación al Cliente dentro de las 48 horas de descubrimiento del incidente, o según lo requiera la ley aplicable, lo que ocurra primero. Los informes detallados de seguimiento del incidente se proporcionarán dentro de los 10 días hábiles posteriores a la notificación inicial.
13. PLAZO Y TERMINACIÓN
Este Anexo es efectivo a partir de la Fecha Efectiva y continúa durante la duración del DPA. Al terminar el DPA, las obligaciones de la Compañía bajo este Anexo cesan, excepto que la Compañía continuará cumpliendo con las obligaciones de eliminación de datos respecto a los Datos del Cliente según se establece en el DPA.
14. ENMIENDA Y MODIFICACIÓN
La Compañía puede enmendar este Anexo tras un aviso por escrito de 30 días al Cliente. Las modificaciones materiales a la residencia de datos, mecanismos de transferencia o cumplimiento regulatorio estarán sujetas al derecho del Cliente a objetar según los procedimientos de subprocesadores del DPA (Sección 10.3). El uso continuado de la plataforma Syntari tras el período de enmienda constituye aceptación de los términos enmendados.
15. INFORMACIÓN DE CONTACTO
Para preguntas sobre la residencia de datos, opciones regionales o cumplimiento con este Anexo, el Cliente debe contactar a:

Privacidad y Protección de Datos:
Correo Electrónico: privacy@syntari.ai
Oficial de Protección de Datos:
Correo Electrónico: dpo@syntari.ai
Seguridad y Respuesta a Incidentes:
Correo Electrónico: security@syntari.ai
16. ACUERDO COMPLETO
Este Anexo constituye el acuerdo completo entre la Compañía y el Cliente respecto a la residencia de datos y ubicación del procesamiento. En caso de cualquier conflicto entre este Anexo y el DPA, las disposiciones de este Anexo prevalecerán en lo que respecta a asuntos de residencia de datos.