# GDPR | Syntari

Source: https://syntari-ai.com/es/legal/gdpr

LEGAL
GDPR
← Todas las políticas legales
AVISO Y ADENDA DEL GDPR VERSIÓN 3.0 Fecha de entrada en vigor: 23 de febrero de 2026 Syntari International, Inc. 855 Boylston Street, Suite 1000 Boston, MA 02116 © 2026 Syntari International, Inc. Todos los derechos reservados.
PROPÓSITO Y ALCANCE DEL DOCUMENTO Este Aviso y Adenda del GDPR ("Aviso") complementa y actualiza las políticas de privacidad y los acuerdos de procesamiento de datos de Syntari International, Inc. ("Compañía," "Controlador de Datos," o "nosotros") para abordar el cumplimiento de: ● Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos - GDPR) ● Reglamento (UE) 2023/1230 (Ley de IA de la UE) ● El Marco de Privacidad de Datos UE-EE. UU. (DPF) y la Extensión del Reino Unido ● Ley de Protección de Datos del Reino Unido de 2018 y GDPR del Reino Unido ● Ley Federal Suiza sobre Protección de Datos (nFADP) ● Acuerdo de Transferencia Internacional de Datos del Reino Unido (UK IDTA) Este Aviso está diseñado específicamente para los interesados y controladores que procesan datos personales a través de la plataforma de consultoría de gestión nativa de IA de Syntari.
INFORMACIÓN DEL CONTROLADOR DE DATOS 2.1 Contacto Principal Información sobre el Rol de Contacto Delegado de Protección de Datos dpo@syntari.ai Oficial de Privacidad privacy@syntari.ai Representante de la UE eu-representative@syntari.ai Representante del Reino Unido uk-representative@syntari.ai Dirección Postal 855 Boylston Street, Suite 1000, Boston, MA 02116, EE. UU. 2.2 Designación del Controlador de Datos A efectos del GDPR y el GDPR del Reino Unido, Syntari International, Inc. actúa como el Controlador de Datos para los datos personales procesados a través de la plataforma. Cuando los datos personales son procesados tanto por la Compañía como por nuestros clientes, podemos actuar como un Controlador Conjunto según se describe en la Sección 9.
CATEGORÍAS DE DATOS PERSONALES PROCESADOS 3.1 Datos Personales Estándar ● Información de identidad (nombre, correo electrónico, título del trabajo, organización) ● Información de contacto (teléfono, dirección física, dirección IP) ● Credenciales profesionales e historial laboral ● Datos de autenticación (contraseñas, claves API, tokens de sesión) ● Registros de actividad y análisis de comportamiento del usuario 3.2 Datos personales específicos de IA ● Prompts y consultas enviadas por los usuarios a sistemas de IA ● Salidas y recomendaciones generadas por IA ● Registros de conversaciones e historial de interacciones ● Preferencias del usuario para la selección de modelos de IA y parámetros ● Metadatos relacionados con el procesamiento de IA (marcas de tiempo, versiones de modelo, registros de inferencia) ● Información sobre la procedencia de datos de entrenamiento 3.3 Categorías Especiales ● Datos de salud (cuando se proporcionan en contextos de consulta) ● Métricas de diversidad e inclusión (cuando son relevantes para compromisos de consultoría)
BASES LEGALES PARA EL PROCESSAMIENTO (ARTÍCULO 6 GDPR) Procesamos datos personales sobre las siguientes bases legales: ● Necesidad contractual: Procesamiento necesario para realizar servicios que has solicitado ● Intereses legítimos: Análisis, seguridad, prevención del fraude y mejora del servicio ● Obligación legal: Cumplimiento con requisitos fiscales, laborales y regulatorios ● Consentimiento: Para comunicaciones de marketing y características de servicio opcionales (donde sea aplicable) ● Interés público: Recomendaciones de consultoría que fomentan las mejores prácticas de la industria de servicios profesionales 4.1 Prueba de Balancing de Interés Legítimo para el Procesamiento de IA Al procesar datos personales a través de sistemas de IA, realizamos la siguiente prueba de balanceo: ● Evaluación de necesidad: Si el procesamiento de IA es el medio menos intrusivo para lograr el propósito ● Revisión de proporcionalidad: Beneficio para el sujeto de datos y la empresa frente al impacto en la privacidad ● Análisis de expectativa razonable: Si el sujeto de datos podría razonablemente esperar tal procesamiento ● Minimización de datos: Usar solo los datos necesarios para entrenar, ajustar o operar modelos de IA ● Medidas de transparencia: Divulgación clara de la participación de IA en la toma de decisiones
TRANSFERENCIAS INTERNACIONALES DE DATOS 5.1 Marco de Privacidad de Datos EUA-UE (DPF) Syntari International, Inc. cumple con el Marco de Privacidad de Datos EUA-UE (DPF) establecido por el Departamento de Comercio de EE. UU., respecto al procesamiento de datos personales transferidos de la Unión Europea y el Reino Unido a los Estados Unidos. ● Certificación DPF: Syntari AI está certificado bajo el DPF ● Extensión de FADP Suiza: También cumplimos con la extensión suiza del DPF para datos personales suizos ● Responsabilidad: Permanecemos responsables si no cumplimos con los principios del DPF ● Ejecución: Sujeto a la autoridad investigativa de la Comisión Federal de Comercio de EE. UU. (FTC) 5.2 Cláusulas Contractuales Estándar (SCCs) Donde el DPF es insuficiente o para protección suplementaria, nos basamos en Cláusulas Contractuales Estándar (Decisión de la Comisión 2021/914) para transferencias a: ● Proveedores de servicios de IA de terceros ● Proveedores de infraestructura técnica ● Subprocesadores y subcontratistas 5.3 Mecanismos de Transferencia Específicos para el Reino Unido Para datos personales del Reino Unido, usamos: ● Decisión de adecuación del Reino Unido (donde sea aplicable) ● Acuerdo de Transferencia de Datos Internacional del Reino Unido (UK IDTA) ● Cláusulas Contractuales Estándar específicas del Reino Unido 5.4 Evaluación de Impacto en la Transferencia (TIA) - Post-Schrems II Realizamos Evaluaciones de Impacto en la Transferencia para todas las transferencias fuera del EEE e implementamos medidas de salvaguarda adicionales: ● Evaluación de las leyes nacionales que afectan los datos de la UE en los países receptores ● Evaluación del acceso por parte de las autoridades gubernamentales ● Implementación de controles de acceso y cifrado ● Documentación y registros de auditoría para todas las transferencias transfronterizas
PROVEEDORES DE IA Y SUBPROCESADORES 6.1 Subprocesadores de IA Autorizados Los siguientes proveedores de servicios de IA procesan datos personales (incluyendo indicaciones, resultados y registros de conversaciones) en nuestro nombre: Proveedor de IA Tipo de Servicio Ubicación de Procesamiento Mecanismo de Transferencia Anthropic PBC API de Modelo de Lenguaje Grande Estados Unidos EU-U.S. DPF, SCCs OpenAI Inc. API de ChatGPT/GPT-4 Estados Unidos EU-U.S. DPF, SCCs Google LLC Vertex AI / Modelos PaLM Estados Unidos, Multi-región EU-U.S. DPF, SCCs 6.2 Derechos de Auditoría de Subprocesadores Los controladores y sujetos de datos (previa solicitud) tienen el derecho de auditar el cumplimiento de los subprocesadores de IA a través de: ● Informes de SOC 2 en progreso anuales (certificaciones de Control de Organizaciones de Servicios) ● Certificaciones de cumplimiento en progreso de ISO 27001 ● Certificaciones de cumplimiento del GDPR y Acuerdos de Procesamiento de Datos ● Evaluaciones de seguridad bajo demanda (con 30 días de aviso por escrito) Los informes de auditoría pueden solicitarse a través de dpo@syntari.ai .
TOMA DE DECISIONES AUTOMATIZADA Y ARTÍCULO 22 DE LA IA 7.1 Artículo 22 del GDPR - Derecho a No Ser Sometido a Decisiones Automáticas Exclusivas Los sujetos de datos tienen el derecho a no ser sometidos a una decisión basada únicamente en el procesamiento automatizado (incluyendo IA) que produzca efectos legales o de relevancia similar. 7.2 Categorías de Decisiones de IA Syntari IA procesa datos personales mediante IA para: ● Recomendaciones (perspectivas de consultoría no vinculantes) ● Evaluación de riesgos y perfiles ● Análisis de rendimiento y benchmarking ● Sugerencias para la optimización del personal 7.3 Requisitos de Supervisión Humana Para cualquier decisión con efecto legal o significativo, proporcionamos: ● Revisión humana por consultores calificados ● Explicación clara de la participación de IA ● Derecho a solicitar la toma de decisiones humana ● Derecho a impugnar conclusiones derivadas de IA 7.4 Derecho a la Explicación Los sujetos de datos tienen el derecho a solicitar una explicación de: ● Por qué un modelo de IA generó una salida particular ● La lógica y el razonamiento detrás de las recomendaciones ● Qué entradas de datos influyeron en la decisión ● Cómo los datos de entrenamiento afectan los resultados
ALINEACIÓN DE LA LEY DE IA DE LA UE (ARTÍCULOS 13-14) 8.1 Transparencia del Sistema de IA (Artículo 13) Para sistemas de IA de alto riesgo, proporcionamos documentación transparente: ● Identificación y propósito del sistema de IA ● Uso previsto y usuarios objetivo ● Clasificación de riesgo (bajo, medio, alto) ● Fuente y procedencia de los datos de entrenamiento ● Tipo de modelo y descripción de la arquitectura ● Lógica de decisión y limitaciones 8.2 Supervisión Humana (Artículo 14) Requisitos de supervisión humana: ● Revisores humanos designados para decisiones de IA de alto riesgo ● Capacidades de anulación para recomendaciones automatizadas ● Capacitación sobre limitaciones y sesgos del sistema de IA ● Documentación de decisiones de anulación 8.3 Clasificación de Riesgo de IA Nuestras actividades de procesamiento de IA se clasifican como: ● Bajo riesgo: Análisis generales, tableros de rendimiento ● Medio riesgo: Motores de recomendación, análisis predictivo ● Alto riesgo: Decisiones de personal, recomendaciones de compensación (donde tengan efecto legal)
EVALUACIÓN DEL IMPACTO EN LA PROTECCIÓN DE DATOS (DPIA) PARA IA 9.1 Cuándo se Requiere DPIA Realizamos DPIAs formales cuando el procesamiento de IA involucra: ● Procesamiento a gran escala de datos personales ● Toma de decisiones automatizada con efecto legal o significativo ● Monitoreo sistemático de individuos ● Procesamiento de categorías de datos sensibles o especiales ● Procesamiento que podría restringir derechos o libertades 9.2 Componentes de DPIA para Sistemas de IA ● Evaluación de propósito y necesidad ● Revisión de minimización de datos ● Evaluación de riesgos (seguridad de datos, sesgo, discriminación) ● Medidas de mitigación y salvaguardas ● Mecanismos de supervisión ● Evaluación de subprocesadores 9.3 Disponibilidad de DPIA Los DPIA completados están disponibles a solicitud de los sujetos de datos y de las autoridades de supervisión a través de dpo@syntari.ai .
REGISTROS DE ACTIVIDADES DE PROCESAMIENTO (ROPA) - ARTÍCULO 30 10.1 Documentación del Procesamiento de IA Mantenemos registros detallados de todas las actividades de procesamiento de IA, incluyendo: ● Propósito y alcance del procesamiento ● Nombre del modelo de IA, versión y tipo ● Categorías de datos procesados ● Destinatarios y subencargados ● Períodos de retención ● Medidas de seguridad técnicas y organizativas ● Base legal para el procesamiento 10.2 Documentación del Ciclo de Vida del Modelo ● Fuentes de datos de entrenamiento y preprocesamiento ● Actividades y parámetros de ajuste fino ● Registro de inferencias y controles de acceso ● Control de versiones del modelo y actualizaciones ● Desactivación y procedimientos de eliminación de datos
ESCENARIOS DE CONTROLADORES CONJUNTOS 11.1 Evaluación de Controlador Conjunto Cuando las organizaciones de clientes controlan el contenido y el tema de los resultados generados por IA, podemos actuar como controladores conjuntos. En tales casos: ● Se requiere un Acuerdo de Controlador Conjunto (Artículo 26 GDPR) ● Las responsabilidades por las solicitudes de derechos de los sujetos están claramente asignadas ● Las responsabilidades de comunicación con los sujetos de datos están definidas ● Las responsabilidades de gestión de subencargados están asignadas 11.2 Escenarios de Controlador Separado Syntari AI actúa como único controlador de datos para: ● Análisis de la plataforma y datos de uso ● Seguridad del sistema y prevención de fraudes ● Métricas de desempeño contractual ● Mejora de las características de nuestra plataforma
DERECHOS Y SOLICITUDES DE LOS SUJETOS DE DATOS 12.1 Alcance de las Solicitudes Incluyendo Datos de IA Las solicitudes de sujetos de datos (DSR) incluyen los siguientes datos específicos de IA: ● Todos los comandos y consultas enviados a los sistemas de IA ● Resultados generados y recomendaciones ● Registros completos de conversaciones e historial de interacciones ● Metadatos y registros de procesamiento ● Procedencia de los datos de entrenamiento (si se usaron los datos del sujeto) 12.2 Derecho de Acceso (Artículo 15) Los interesados tienen el derecho a: ● Confirmar si procesamos sus datos personales ● Acceder a todos los datos personales, incluidos los resultados generados por IA ● Obtener copias de los datos en un formato legible por máquina ● Entender la lógica y el razonamiento detrás de las recomendaciones de IA 12.3 Derecho de Rectificación (Artículo 16) Los interesados pueden solicitar la corrección de datos inexactos, incluidos: ● Correcciones a los datos de entrada ● Corrección de las interpretaciones del modelo de IA ● Solicitudes de reentrenamiento para modelos que interpretan datos de manera sistemática 12.4 Derecho a la Supresión (Artículo 17) Los interesados pueden solicitar la eliminación, sujeto a limitaciones: ● Cese del almacenamiento de datos personales ● Eliminación de conjuntos de datos de entrenamiento y ajuste fino de IA ● Regeneración de resultados si se usaron datos personales ● Excepciones: Obligación legal, intereses legítimos, tarea pública 12.5 Derecho a Restringir el Procesamiento (Artículo 18) Los interesados pueden solicitar restricciones de procesamiento para: ● Datos de precisión discutida ● Procesamiento pendiente de decisión de supresión ● Procesamiento que ya no es necesario pero que se necesita para reclamaciones legales ● Procesamiento basado en consentimiento pendiente de retiro 12.6 Derecho a la Portabilidad de Datos (Artículo 20) Los interesados tienen el derecho a obtener y reutilizar datos en un formato legible por máquina: ● Exportación de todos los datos personales en formatos comunes (JSON, CSV, XML) ● Incluyendo registros de conversaciones e historia de interacciones de IA ● Transmisión directa a otros servicios (donde sea técnicamente factible) 12.7 Derecho a Oponerse (Artículo 21) Los interesados pueden oponerse al procesamiento por razones legítimas: ● Procesamiento para marketing directo ● Procesamiento basado en intereses legítimos ● Procesamiento para perfilado y toma de decisiones automatizadas 12.8 Derechos en Relación con la Toma de Decisiones Automatizada (Artículo 22) Los interesados tienen derechos a: ● Solicitar revisión humana de decisiones generadas por IA ● Recibir una explicación de la lógica de decisiones ● Desafiar recomendaciones con intervención humana ● Optar por no participar en decisiones puramente automatizadas con efecto legal
PERÍODOS DE RETENCIÓN DE DATOS 13.1 Retención Estándar de Datos Justificación del Período de Retención de la Categoría de Datos Información de la cuenta Duración del servicio + 3 años Requisitos legales/contractuales Registros de transacciones 5-7 años Cumplimiento fiscal y regulatorio Registros de actividad 12 meses Seguridad y mejora del servicio Comunicaciones de soporte 2 años Registros de servicio al cliente 13.2 Retención Específica de IA Tipo de Datos de IA Justificación del Período de Retención Registros de conversación 12-24 meses Calidad del servicio, resolución de disputas Datos de entrenamiento de modelos Ciclo de entrenamiento + 1 año Versionado del modelo, historial de auditoría Registros de inferencia 6-12 meses Monitoreo del sistema, depuración Conjuntos de datos de ajuste Hasta que el modelo sea retirado + 1 año Seguimiento del rendimiento del modelo
SEGURIDAD DE DATOS Y MEDIDAS TÉCNICAS 14.1 Estándares de Seguridad ● Certificación ISO 27001 en progreso (Gestión de Seguridad de la Información) ● Cumplimiento SOC 2 en progreso (para organizaciones de servicios) ● Alineación con el Marco de Ciberseguridad NIST 14.2 Salvaguardias Técnicas ● Cifrado de extremo a extremo para datos en tránsito (TLS 1.3) ● Cifrado en reposo utilizando AES-256 ● Autenticación multifactor para acceso administrativo ● Auditorías de seguridad regulares y pruebas de penetración ● Sistemas de detección y prevención de intrusiones ● Herramientas de prevención de pérdida de datos 14.3 Salvaguardias Organizacionales ● Controles de acceso y principios de menor privilegio ● Capacitación en protección de datos para empleados y NDAs ● Verificaciones de antecedentes para el personal con acceso a datos ● Procedimientos de respuesta a incidentes y notificación de violaciones
PROCEDIMIENTOS DE NOTIFICACIÓN DE VIOLACIONES 15.1 Cadena de Notificación de 48 Horas Al descubrir una violación de datos personales, notificamos en la siguiente secuencia: Etapa de Notificación Destinatario Plazo Método Etapa 1 (Urgente) Cliente/Controlador Dentro de 4 horas Correo electrónico + llamada telefónica Etapa 2 (Formal) Autoridad Supervisora Dentro de 48 horas Informe escrito a ICO/DPA Etapa 3 (Transparencia) Sujetos de Datos (si alto riesgo) Sin demora indebida Correo electrónico con pasos de remediación 15.2 Investigación de Violaciones ● Contención inmediata y preservación de evidencia ● Análisis de causa raíz dentro de 72 horas ● Evaluación del alcance (datos afectados, individuos impactados) ● Evaluación de riesgos (probabilidad de daño a los sujetos de datos) ● Documentación de todas las actividades de respuesta a violaciones
PROTECCIÓN DE DATOS DEL REINO UNIDO Y SUIZA 16.1 Cumplimiento del RGPD del Reino Unido Para los titulares de datos en el Reino Unido: ● Cumplimiento total con la Ley de Protección de Datos del Reino Unido de 2018 y el RGPD del Reino Unido ● Dependencia de la Decisión de Adecuación del Reino Unido donde sea aplicable ● Mecanismos IDTA del Reino Unido para transferencias a países no adecuados ● Documentación de procesamiento de datos específica del Reino Unido 16.2 Alineación con la LDP Federal Suiza (nFADP) Para titulares de datos suizos: ● Cumplimiento con la nueva Ley Federal Suiza de Protección de Datos (nFADP) ● Ampliación de derechos de protección de datos y requisitos de consentimiento ● Certificación de extensión del DPF suizo ● Consideraciones de localización de datos donde sea necesario
PROTECCIÓN DE DATOS DE LOS NIÑOS EN EL CONTEXTO DE LA IA 17.1 Verificación de Edad La plataforma de Syntari AI está destinada a un uso profesional por personas de 18 años o más. ● Se implementan mecanismos de verificación de edad en la creación de cuentas ● Se requiere consentimiento parental para usuarios de 13 a 17 años (donde sea aplicable por jurisdicción) ● No se permite el uso de la plataforma a usuarios menores de 13 años 17.2 Restricciones en las Características de IA para Menores Para usuarios menores de 18 años, se aplican las siguientes restricciones: ● Acceso limitado a ciertas características de IA ● No se permite la creación de perfiles ni recomendaciones basadas en intereses ● Mayor transparencia para cualquier toma de decisiones automatizada ● Notificación parental de interacciones significativas con la IA
INFORMACIÓN DE CONTACTO DE PRIVACIDAD Tipo de Consulta Correo Electrónico de Contacto Tiempo de Respuesta Solicitudes de titular de datos dpo@syntari.ai Dentro de 30 días Consultas de privacidad privacy@syntari.ai Dentro de 5 días hábiles Solicitudes de la UE eu-representative@syntari.ai Dentro de 7 días Solicitudes del Reino Unido uk-representative@syntari.ai Dentro de 7 días Notificación de incumplimiento dpo@syntari.ai Escalación inmediata Quejas dpo@syntari.ai Reconocer dentro de 24 horas
AUTORIDADES DE SUPERVISIÓN Y QUEJAS 19.1 Derecho a presentar una queja Los interesados tienen derecho a presentar quejas ante la autoridad supervisora correspondiente: ● Junta Europea de Protección de Datos (para datos de la UE) ● Oficina del Comisionado de Información (ICO) para datos del Reino Unido ● Comisionado Federal Suizo de Protección de Datos e Información para datos suizos 19.2 Cooperación con las autoridades Cooperamos plenamente con las consultas de la autoridad supervisora y proporcionamos: ● Respuestas oportunas a solicitudes de investigación ● Registros completos de actividades de procesamiento ● Documentación de medidas de cumplimiento ● Acceso del interesado cuando esté autorizado
VERSIÓN Y CONTROL DEL DOCUMENTO Valor del atributo Título del documento Aviso GDPR y Adenda Versión 3.0 Fecha de entrada en vigor 23 de febrero de 2026 Emitido por el Responsable de Protección de Datos Última actualización 23 de febrero de 2026 Fecha de próxima revisión 23 de febrero de 2027
Este documento anula todas las versiones anteriores del Aviso GDPR. Para preguntas sobre este Aviso, comuníquese con dpo@syntari.ai .