AVISO Y ADENDA DEL GDPR
VERSIÓN 3.0
Fecha de entrada en vigor: 23 de febrero de 2026
Syntari International, Inc.
855 Boylston Street, Suite 1000
Boston, MA 02116
© 2026 Syntari International, Inc. Todos los derechos reservados.
-
PROPÓSITO Y ALCANCE DEL DOCUMENTO
Este Aviso y Adenda del GDPR ("Aviso") complementa y actualiza las políticas de privacidad y los acuerdos de procesamiento de datos de Syntari International, Inc. ("Compañía," "Controlador de Datos," o "nosotros") para abordar el cumplimiento de:
● Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos - GDPR)
● Reglamento (UE) 2023/1230 (Ley de IA de la UE)
● El Marco de Privacidad de Datos UE-EE. UU. (DPF) y la Extensión del Reino Unido
● Ley de Protección de Datos del Reino Unido de 2018 y GDPR del Reino Unido
● Ley Federal Suiza sobre Protección de Datos (nFADP)
● Acuerdo de Transferencia Internacional de Datos del Reino Unido (UK IDTA)
Este Aviso está diseñado específicamente para los interesados y controladores que procesan datos personales a través de la plataforma de consultoría de gestión nativa de IA de Syntari. -
INFORMACIÓN DEL CONTROLADOR DE DATOS
2.1 Contacto Principal
Información sobre el Rol de Contacto
Delegado de Protección de Datos dpo@syntari.ai
Oficial de Privacidad privacy@syntari.ai
Representante de la UE eu-representative@syntari.ai
Representante del Reino Unido uk-representative@syntari.ai
Dirección Postal 855 Boylston Street, Suite 1000, Boston, MA 02116, EE. UU.
2.2 Designación del Controlador de Datos
A efectos del GDPR y el GDPR del Reino Unido, Syntari International, Inc. actúa como el Controlador de Datos para los datos personales procesados a través de la plataforma. Cuando los datos personales son procesados tanto por la Compañía como por nuestros clientes, podemos actuar como un Controlador Conjunto según se describe en la Sección 9. -
CATEGORÍAS DE DATOS PERSONALES PROCESADOS
3.1 Datos Personales Estándar
● Información de identidad (nombre, correo electrónico, título del trabajo, organización)
● Información de contacto (teléfono, dirección física, dirección IP)
● Credenciales profesionales e historial laboral
● Datos de autenticación (contraseñas, claves API, tokens de sesión)
● Registros de actividad y análisis de comportamiento del usuario
3.2 Datos personales específicos de IA
● Prompts y consultas enviadas por los usuarios a sistemas de IA
● Salidas y recomendaciones generadas por IA
● Registros de conversaciones e historial de interacciones
● Preferencias del usuario para la selección de modelos de IA y parámetros
● Metadatos relacionados con el procesamiento de IA (marcas de tiempo, versiones de modelo, registros de inferencia)
● Información sobre la procedencia de datos de entrenamiento
3.3 Categorías Especiales
● Datos de salud (cuando se proporcionan en contextos de consulta)
● Métricas de diversidad e inclusión (cuando son relevantes para compromisos de consultoría) -
BASES LEGALES PARA EL PROCESSAMIENTO (ARTÍCULO 6 GDPR)
Procesamos datos personales sobre las siguientes bases legales:
● Necesidad contractual: Procesamiento necesario para realizar servicios que has solicitado
● Intereses legítimos: Análisis, seguridad, prevención del fraude y mejora del servicio
● Obligación legal: Cumplimiento con requisitos fiscales, laborales y regulatorios
● Consentimiento: Para comunicaciones de marketing y características de servicio opcionales (donde sea aplicable)
● Interés público: Recomendaciones de consultoría que fomentan las mejores prácticas de la industria de servicios profesionales
4.1 Prueba de Balancing de Interés Legítimo para el Procesamiento de IA
Al procesar datos personales a través de sistemas de IA, realizamos la siguiente prueba de balanceo:
● Evaluación de necesidad: Si el procesamiento de IA es el medio menos intrusivo para lograr el propósito
● Revisión de proporcionalidad: Beneficio para el sujeto de datos y la empresa frente al impacto en la privacidad
● Análisis de expectativa razonable: Si el sujeto de datos podría razonablemente esperar tal procesamiento
● Minimización de datos: Usar solo los datos necesarios para entrenar, ajustar o operar modelos de IA
● Medidas de transparencia: Divulgación clara de la participación de IA en la toma de decisiones -
TRANSFERENCIAS INTERNACIONALES DE DATOS
5.1 Marco de Privacidad de Datos EUA-UE (DPF)
Syntari International, Inc. cumple con el Marco de Privacidad de Datos EUA-UE (DPF) establecido por el Departamento de Comercio de EE. UU., respecto al procesamiento de datos personales transferidos de la Unión Europea y el Reino Unido a los Estados Unidos.
● Certificación DPF: Syntari AI está certificado bajo el DPF
● Extensión de FADP Suiza: También cumplimos con la extensión suiza del DPF para datos personales suizos
● Responsabilidad: Permanecemos responsables si no cumplimos con los principios del DPF
● Ejecución: Sujeto a la autoridad investigativa de la Comisión Federal de Comercio de EE. UU. (FTC)
5.2 Cláusulas Contractuales Estándar (SCCs)
Donde el DPF es insuficiente o para protección suplementaria, nos basamos en Cláusulas Contractuales Estándar (Decisión de la Comisión 2021/914) para transferencias a:
● Proveedores de servicios de IA de terceros
● Proveedores de infraestructura técnica
● Subprocesadores y subcontratistas
5.3 Mecanismos de Transferencia Específicos para el Reino Unido
Para datos personales del Reino Unido, usamos:
● Decisión de adecuación del Reino Unido (donde sea aplicable)
● Acuerdo de Transferencia de Datos Internacional del Reino Unido (UK IDTA)
● Cláusulas Contractuales Estándar específicas del Reino Unido
5.4 Evaluación de Impacto en la Transferencia (TIA) - Post-Schrems II
Realizamos Evaluaciones de Impacto en la Transferencia para todas las transferencias fuera del EEE e implementamos medidas de salvaguarda adicionales:
● Evaluación de las leyes nacionales que afectan los datos de la UE en los países receptores
● Evaluación del acceso por parte de las autoridades gubernamentales
● Implementación de controles de acceso y cifrado
● Documentación y registros de auditoría para todas las transferencias transfronterizas -
PROVEEDORES DE IA Y SUBPROCESADORES
6.1 Subprocesadores de IA Autorizados
Los siguientes proveedores de servicios de IA procesan datos personales (incluyendo indicaciones, resultados y registros de conversaciones) en nuestro nombre:
Proveedor de IA Tipo de Servicio Ubicación de Procesamiento Mecanismo de Transferencia
Anthropic PBC API de Modelo de Lenguaje Grande Estados Unidos EU-U.S. DPF, SCCs
OpenAI Inc. API de ChatGPT/GPT-4 Estados Unidos EU-U.S. DPF, SCCs
Google LLC Vertex AI / Modelos PaLM Estados Unidos, Multi-región EU-U.S. DPF, SCCs
6.2 Derechos de Auditoría de Subprocesadores
Los controladores y sujetos de datos (previa solicitud) tienen el derecho de auditar el cumplimiento de los subprocesadores de IA a través de:
● Informes de SOC 2 en progreso anuales (certificaciones de Control de Organizaciones de Servicios)
● Certificaciones de cumplimiento en progreso de ISO 27001
● Certificaciones de cumplimiento del GDPR y Acuerdos de Procesamiento de Datos
● Evaluaciones de seguridad bajo demanda (con 30 días de aviso por escrito)
Los informes de auditoría pueden solicitarse a través de dpo@syntari.ai. -
TOMA DE DECISIONES AUTOMATIZADA Y ARTÍCULO 22 DE LA IA
7.1 Artículo 22 del GDPR - Derecho a No Ser Sometido a Decisiones Automáticas Exclusivas
Los sujetos de datos tienen el derecho a no ser sometidos a una decisión basada únicamente en el procesamiento automatizado (incluyendo IA) que produzca efectos legales o de relevancia similar.
7.2 Categorías de Decisiones de IA
Syntari IA procesa datos personales mediante IA para:
● Recomendaciones (perspectivas de consultoría no vinculantes)
● Evaluación de riesgos y perfiles
● Análisis de rendimiento y benchmarking
● Sugerencias para la optimización del personal
7.3 Requisitos de Supervisión Humana
Para cualquier decisión con efecto legal o significativo, proporcionamos:
● Revisión humana por consultores calificados
● Explicación clara de la participación de IA
● Derecho a solicitar la toma de decisiones humana
● Derecho a impugnar conclusiones derivadas de IA
7.4 Derecho a la Explicación
Los sujetos de datos tienen el derecho a solicitar una explicación de:
● Por qué un modelo de IA generó una salida particular
● La lógica y el razonamiento detrás de las recomendaciones
● Qué entradas de datos influyeron en la decisión
● Cómo los datos de entrenamiento afectan los resultados -
ALINEACIÓN DE LA LEY DE IA DE LA UE (ARTÍCULOS 13-14)
8.1 Transparencia del Sistema de IA (Artículo 13)
Para sistemas de IA de alto riesgo, proporcionamos documentación transparente:
● Identificación y propósito del sistema de IA
● Uso previsto y usuarios objetivo
● Clasificación de riesgo (bajo, medio, alto)
● Fuente y procedencia de los datos de entrenamiento
● Tipo de modelo y descripción de la arquitectura
● Lógica de decisión y limitaciones
8.2 Supervisión Humana (Artículo 14)
Requisitos de supervisión humana:
● Revisores humanos designados para decisiones de IA de alto riesgo
● Capacidades de anulación para recomendaciones automatizadas
● Capacitación sobre limitaciones y sesgos del sistema de IA
● Documentación de decisiones de anulación
8.3 Clasificación de Riesgo de IA
Nuestras actividades de procesamiento de IA se clasifican como:
● Bajo riesgo: Análisis generales, tableros de rendimiento
● Medio riesgo: Motores de recomendación, análisis predictivo
● Alto riesgo: Decisiones de personal, recomendaciones de compensación (donde tengan efecto legal) -
EVALUACIÓN DEL IMPACTO EN LA PROTECCIÓN DE DATOS (DPIA) PARA IA
9.1 Cuándo se Requiere DPIA
Realizamos DPIAs formales cuando el procesamiento de IA involucra:
● Procesamiento a gran escala de datos personales
● Toma de decisiones automatizada con efecto legal o significativo
● Monitoreo sistemático de individuos
● Procesamiento de categorías de datos sensibles o especiales
● Procesamiento que podría restringir derechos o libertades
9.2 Componentes de DPIA para Sistemas de IA
● Evaluación de propósito y necesidad
● Revisión de minimización de datos
● Evaluación de riesgos (seguridad de datos, sesgo, discriminación)
● Medidas de mitigación y salvaguardas
● Mecanismos de supervisión
● Evaluación de subprocesadores
9.3 Disponibilidad de DPIA
Los DPIA completados están disponibles a solicitud de los sujetos de datos y de las autoridades de supervisión a través de dpo@syntari.ai. -
REGISTROS DE ACTIVIDADES DE PROCESAMIENTO (ROPA) - ARTÍCULO 30
10.1 Documentación del Procesamiento de IA
Mantenemos registros detallados de todas las actividades de procesamiento de IA, incluyendo:
● Propósito y alcance del procesamiento
● Nombre del modelo de IA, versión y tipo
● Categorías de datos procesados
● Destinatarios y subencargados
● Períodos de retención
● Medidas de seguridad técnicas y organizativas
● Base legal para el procesamiento
10.2 Documentación del Ciclo de Vida del Modelo
● Fuentes de datos de entrenamiento y preprocesamiento
● Actividades y parámetros de ajuste fino
● Registro de inferencias y controles de acceso
● Control de versiones del modelo y actualizaciones
● Desactivación y procedimientos de eliminación de datos -
ESCENARIOS DE CONTROLADORES CONJUNTOS
11.1 Evaluación de Controlador Conjunto
Cuando las organizaciones de clientes controlan el contenido y el tema de los resultados generados por IA, podemos actuar como controladores conjuntos. En tales casos:
● Se requiere un Acuerdo de Controlador Conjunto (Artículo 26 GDPR)
● Las responsabilidades por las solicitudes de derechos de los sujetos están claramente asignadas
● Las responsabilidades de comunicación con los sujetos de datos están definidas
● Las responsabilidades de gestión de subencargados están asignadas
11.2 Escenarios de Controlador Separado
Syntari AI actúa como único controlador de datos para:
● Análisis de la plataforma y datos de uso
● Seguridad del sistema y prevención de fraudes
● Métricas de desempeño contractual
● Mejora de las características de nuestra plataforma -
DERECHOS Y SOLICITUDES DE LOS SUJETOS DE DATOS
12.1 Alcance de las Solicitudes Incluyendo Datos de IA
Las solicitudes de sujetos de datos (DSR) incluyen los siguientes datos específicos de IA:
● Todos los comandos y consultas enviados a los sistemas de IA
● Resultados generados y recomendaciones
● Registros completos de conversaciones e historial de interacciones
● Metadatos y registros de procesamiento
● Procedencia de los datos de entrenamiento (si se usaron los datos del sujeto)
12.2 Derecho de Acceso (Artículo 15)
Los interesados tienen el derecho a:
● Confirmar si procesamos sus datos personales
● Acceder a todos los datos personales, incluidos los resultados generados por IA
● Obtener copias de los datos en un formato legible por máquina
● Entender la lógica y el razonamiento detrás de las recomendaciones de IA
12.3 Derecho de Rectificación (Artículo 16)
Los interesados pueden solicitar la corrección de datos inexactos, incluidos:
● Correcciones a los datos de entrada
● Corrección de las interpretaciones del modelo de IA
● Solicitudes de reentrenamiento para modelos que interpretan datos de manera sistemática
12.4 Derecho a la Supresión (Artículo 17)
Los interesados pueden solicitar la eliminación, sujeto a limitaciones:
● Cese del almacenamiento de datos personales
● Eliminación de conjuntos de datos de entrenamiento y ajuste fino de IA
● Regeneración de resultados si se usaron datos personales
● Excepciones: Obligación legal, intereses legítimos, tarea pública
12.5 Derecho a Restringir el Procesamiento (Artículo 18)
Los interesados pueden solicitar restricciones de procesamiento para:
● Datos de precisión discutida
● Procesamiento pendiente de decisión de supresión
● Procesamiento que ya no es necesario pero que se necesita para reclamaciones legales
● Procesamiento basado en consentimiento pendiente de retiro
12.6 Derecho a la Portabilidad de Datos (Artículo 20)
Los interesados tienen el derecho a obtener y reutilizar datos en un formato legible por máquina:
● Exportación de todos los datos personales en formatos comunes (JSON, CSV, XML)
● Incluyendo registros de conversaciones e historia de interacciones de IA
● Transmisión directa a otros servicios (donde sea técnicamente factible)
12.7 Derecho a Oponerse (Artículo 21)
Los interesados pueden oponerse al procesamiento por razones legítimas:
● Procesamiento para marketing directo
● Procesamiento basado en intereses legítimos
● Procesamiento para perfilado y toma de decisiones automatizadas
12.8 Derechos en Relación con la Toma de Decisiones Automatizada (Artículo 22)
Los interesados tienen derechos a:
● Solicitar revisión humana de decisiones generadas por IA
● Recibir una explicación de la lógica de decisiones
● Desafiar recomendaciones con intervención humana
● Optar por no participar en decisiones puramente automatizadas con efecto legal -
PERÍODOS DE RETENCIÓN DE DATOS
13.1 Retención Estándar de Datos
Justificación del Período de Retención de la Categoría de Datos
Información de la cuenta Duración del servicio + 3 años Requisitos legales/contractuales
Registros de transacciones 5-7 años Cumplimiento fiscal y regulatorio
Registros de actividad 12 meses Seguridad y mejora del servicio
Comunicaciones de soporte 2 años Registros de servicio al cliente
13.2 Retención Específica de IA
Tipo de Datos de IA Justificación del Período de Retención
Registros de conversación 12-24 meses Calidad del servicio, resolución de disputas
Datos de entrenamiento de modelos Ciclo de entrenamiento + 1 año Versionado del modelo, historial de auditoría
Registros de inferencia 6-12 meses Monitoreo del sistema, depuración
Conjuntos de datos de ajuste Hasta que el modelo sea retirado + 1 año Seguimiento del rendimiento del modelo -
SEGURIDAD DE DATOS Y MEDIDAS TÉCNICAS
14.1 Estándares de Seguridad
● Certificación ISO 27001 en progreso (Gestión de Seguridad de la Información)
● Cumplimiento SOC 2 en progreso (para organizaciones de servicios)
● Alineación con el Marco de Ciberseguridad NIST
14.2 Salvaguardias Técnicas
● Cifrado de extremo a extremo para datos en tránsito (TLS 1.3)
● Cifrado en reposo utilizando AES-256
● Autenticación multifactor para acceso administrativo
● Auditorías de seguridad regulares y pruebas de penetración
● Sistemas de detección y prevención de intrusiones
● Herramientas de prevención de pérdida de datos
14.3 Salvaguardias Organizacionales
● Controles de acceso y principios de menor privilegio
● Capacitación en protección de datos para empleados y NDAs
● Verificaciones de antecedentes para el personal con acceso a datos
● Procedimientos de respuesta a incidentes y notificación de violaciones -
PROCEDIMIENTOS DE NOTIFICACIÓN DE VIOLACIONES
15.1 Cadena de Notificación de 48 Horas
Al descubrir una violación de datos personales, notificamos en la siguiente secuencia:
Etapa de Notificación Destinatario Plazo Método
Etapa 1 (Urgente) Cliente/Controlador Dentro de 4 horas Correo electrónico + llamada telefónica
Etapa 2 (Formal) Autoridad Supervisora Dentro de 48 horas Informe escrito a ICO/DPA
Etapa 3 (Transparencia) Sujetos de Datos (si alto riesgo) Sin demora indebida Correo electrónico con pasos de remediación
15.2 Investigación de Violaciones
● Contención inmediata y preservación de evidencia
● Análisis de causa raíz dentro de 72 horas
● Evaluación del alcance (datos afectados, individuos impactados)
● Evaluación de riesgos (probabilidad de daño a los sujetos de datos)
● Documentación de todas las actividades de respuesta a violaciones -
PROTECCIÓN DE DATOS DEL REINO UNIDO Y SUIZA
16.1 Cumplimiento del RGPD del Reino Unido
Para los titulares de datos en el Reino Unido:
● Cumplimiento total con la Ley de Protección de Datos del Reino Unido de 2018 y el RGPD del Reino Unido
● Dependencia de la Decisión de Adecuación del Reino Unido donde sea aplicable
● Mecanismos IDTA del Reino Unido para transferencias a países no adecuados
● Documentación de procesamiento de datos específica del Reino Unido
16.2 Alineación con la LDP Federal Suiza (nFADP)
Para titulares de datos suizos:
● Cumplimiento con la nueva Ley Federal Suiza de Protección de Datos (nFADP)
● Ampliación de derechos de protección de datos y requisitos de consentimiento
● Certificación de extensión del DPF suizo
● Consideraciones de localización de datos donde sea necesario -
PROTECCIÓN DE DATOS DE LOS NIÑOS EN EL CONTEXTO DE LA IA
17.1 Verificación de Edad
La plataforma de Syntari AI está destinada a un uso profesional por personas de 18 años o más.
● Se implementan mecanismos de verificación de edad en la creación de cuentas
● Se requiere consentimiento parental para usuarios de 13 a 17 años (donde sea aplicable por jurisdicción)
● No se permite el uso de la plataforma a usuarios menores de 13 años
17.2 Restricciones en las Características de IA para Menores
Para usuarios menores de 18 años, se aplican las siguientes restricciones:
● Acceso limitado a ciertas características de IA
● No se permite la creación de perfiles ni recomendaciones basadas en intereses
● Mayor transparencia para cualquier toma de decisiones automatizada
● Notificación parental de interacciones significativas con la IA -
INFORMACIÓN DE CONTACTO DE PRIVACIDAD
Tipo de Consulta Correo Electrónico de Contacto Tiempo de Respuesta
Solicitudes de titular de datos dpo@syntari.ai Dentro de 30 días
Consultas de privacidad privacy@syntari.ai Dentro de 5 días hábiles
Solicitudes de la UE eu-representative@syntari.ai Dentro de 7 días
Solicitudes del Reino Unido uk-representative@syntari.ai Dentro de 7 días
Notificación de incumplimiento dpo@syntari.ai Escalación inmediata
Quejas dpo@syntari.ai Reconocer dentro de 24 horas -
AUTORIDADES DE SUPERVISIÓN Y QUEJAS
19.1 Derecho a presentar una queja
Los interesados tienen derecho a presentar quejas ante la autoridad supervisora correspondiente:
● Junta Europea de Protección de Datos (para datos de la UE)
● Oficina del Comisionado de Información (ICO) para datos del Reino Unido
● Comisionado Federal Suizo de Protección de Datos e Información para datos suizos
19.2 Cooperación con las autoridades
Cooperamos plenamente con las consultas de la autoridad supervisora y proporcionamos:
● Respuestas oportunas a solicitudes de investigación
● Registros completos de actividades de procesamiento
● Documentación de medidas de cumplimiento
● Acceso del interesado cuando esté autorizado -
VERSIÓN Y CONTROL DEL DOCUMENTO
Valor del atributo
Título del documento Aviso GDPR y Adenda
Versión 3.0
Fecha de entrada en vigor 23 de febrero de 2026
Emitido por el Responsable de Protección de Datos
Última actualización 23 de febrero de 2026
Fecha de próxima revisión 23 de febrero de 2027
Este documento anula todas las versiones anteriores del Aviso GDPR.
Para preguntas sobre este Aviso, comuníquese con dpo@syntari.ai.
