Acuerdo de procesamiento de datos: DPA GDPR

1. Anexo sobre procesamiento de datos

GPTCenter se compromete con la privacidad, la seguridad y el cumplimiento normativo de los datos del cliente. Este Anexo de Procesamiento de Datos (“DPA”) describe los términos que rigen cómo procesamos, almacenamos y protegemos los datos personales de acuerdo con las leyes de protección de datos aplicables. El DPA amplía nuestro acuerdo principal con los clientes y se aplica cuando GPTCenter procesa datos personales en nombre del cliente como encargado del tratamiento.

Establece responsabilidades claras para ambas partes respecto al tratamiento de los datos y garantiza el cumplimiento de las leyes de privacidad pertinentes. Al utilizar GPTCenter, los clientes reconocen y aceptan los términos establecidos en este DPA. Si necesita una copia firmada para fines de cumplimiento, escríbanos a [email protected].

2. Definiciones

Afiliado se refiere a cualquier entidad que directa o indirectamente controle, esté controlada o esté bajo control común de una parte. “Control” significa la propiedad directa o indirecta de al menos el 50% de las acciones con derecho a voto, participaciones accionarias o derechos similares en la entidad. Se considera que los afiliados están sujetos a las obligaciones y responsabilidades descritas en este DPA en la medida en que participan en el procesamiento de Datos personales.

Subprocesador autorizado significa cualquier proveedor externo, prestador de servicios o contratista contratado por GPTCenter para procesar los Datos Personales del Cliente estrictamente en nombre de GPTCenter y bajo sus instrucciones. Todos los Subprocesadores deben cumplir las mismas obligaciones de protección de datos, manteniendo la seguridad, confidencialidad y cumplimiento normativo.

Datos de cuenta se refiere a toda la información comercial recopilada, almacenada y procesada por GPTCenter en relación con su relación contractual con el Cliente. Esto incluye nombres, direcciones de email, números de teléfono, detalles de pago y credenciales de acceso de personas autorizadas por el Cliente para administrar y operar su cuenta en la plataforma. Los datos de la cuenta se utilizan estrictamente con fines administrativos, de facturación y de soporte.

Leyes de protección de datos abarcan todas las leyes, regulaciones y marcos aplicables que rigen la recopilación, el procesamiento, el almacenamiento, la transferencia y la protección de datos personales —, incluido, entre otros, el Reglamento general de protección de datos (GDPR) de la Unión Europea, el GDPR del Reino Unido, la Ley de privacidad del consumidor de California (CCPA) y cualquier otra ley de privacidad nacional o internacional relevante para el procesamiento de datos en virtud de este Acuerdo.

Datos Personales se refiere a cualquier información relativa a una persona física identificada o identificable (“Sujeto de Datos”). Los datos personales excluyen los datos anónimos o agregados que no se pueden utilizar para identificar a un individuo.

Tratamiento significa cualquier operación o conjunto de operaciones realizadas con Datos personales, ya sea por medios automatizados o manualmente —, incluida la recopilación, grabación, organización, estructuración, almacenamiento, adaptación, alteración, recuperación, consulta, uso, divulgación, transmisión, restricción, borrado o destrucción de Datos personales.

Medidas de seguridad se refieren a las salvaguardas técnicas y organizativas implementadas para garantizar la confidencialidad, integridad y disponibilidad de los Datos personales. Estos incluyen cifrado, controles de acceso, cortafuegos, enmascaramiento de datos, seudonimización, auditorías de seguridad periódicas y mecanismos de notificación de infracciones.

Autoridad de control se refiere a una autoridad pública independiente responsable de supervisar y exigir el cumplimiento de las Leyes de Protección de Datos — por ejemplo, el Comité Europeo de Protección de Datos (EDPB), la Oficina del Comisionado de Información del Reino Unido (ICO) y la Agencia de Protección de la Privacidad de California (CPPA).

Derechos de los interesados se refiere a los derechos otorgados a las personas por las leyes de protección de datos aplicables, incluidos el acceso, la rectificación, la eliminación, la restricción, la portabilidad, la oposición y el derecho a presentar reclamaciones ante una autoridad de control.

3. Tratamiento de datos

El Cliente puede actuar cómo Controlador de datos o Procesador de datos, dependiendo de su relación con el Interesado y los fines para los cuales se procesan los Datos personales. En todos los casos, GPTCenter actúa cómo Encargado del Tratamiento, procesando Datos Personales en nombre y bajo las instrucciones del Cliente.

El Cliente es responsable de garantizar que todas las actividades de procesamiento de datos realizadas utilizando nuestros servicios cumplan con las Leyes de Protección de Datos aplicables. El Cliente reconoce que tiene la base legal para procesar Datos Personales e indemniza a GPTCenter contra cualquier reclamo, responsabilidad o daño resultante del incumplimiento de estos requisitos legales.

GPTCenter procesa Datos Personales únicamente de acuerdo con las instrucciones escritas del Cliente y solo en la medida necesaria para prestar los servicios, salvo que la ley exija otra cosa. No usamos, divulgamos ni compartimos Datos Personales para ningún fin distinto de los autorizados por el Cliente o descritos explícitamente en este Acuerdo.

Al finalizar el Acuerdo o a solicitud del Cliente, GPTCenter, a elección del Cliente, (a) eliminará de forma segura todos los Datos Personales procesados en virtud de este Acuerdo, garantizando que no queden copias salvo que la ley lo exija, o (b) devolverá los Datos Personales al Cliente en un formato estructurado, de uso común y legible por máquina antes de eliminarlos.

4. Seguridad y confidencialidad

GPTCenter se compromete a proteger la seguridad y la confidencialidad de los Datos personales tratados por cuenta del Cliente. Aplicamos y mantenemos medidas de seguridad acordes con las mejores prácticas del sector para impedir el acceso, la divulgación, la alteración o la destrucción no autorizados, entre ellas:

Data Encryption. Los datos personales se cifran en tránsito (TLS 1.2+) y en reposo (AES-256) utilizando protocolos estándar de la industria.
Controles de acceso. Las estrictas políticas de gestión de accesos garantizan que solo el personal autorizado acceda a los datos personales conforme al principio de mínimo privilegio.
Network & System Security. Los firewalls, los sistemas de detección de intrusiones y el monitoreo continuo ayudan a prevenir el acceso no autorizado y las amenazas cibernéticas.
Anonimización de datos & Seudonimización. Cuando corresponda, los datos personales se anonimizan o se seudonimizan para reducir los riesgos asociados con la exposición de los datos.
Auditorias de seguridad regulares. Las evaluaciones de seguridad periódicas, las pruebas de vulnerabilidad y los controles de cumplimiento identifican y mitigan los riesgos.
Iplan de respuesta a incidentes. Un protocolo estructurado garantiza que los incidentes de seguridad se identifiquen, mitiguen y notifiquen rápidamente de conformidad con las leyes de protección de datos aplicables.

Cualquier empleado, contratista o proveedor de servicios autorizado que procese datos personales en nuestro nombre está sujeto a estrictas obligaciones de confidencialidad, incluidos acuerdos de confidencialidad firmados y el cumplimiento de las políticas internas de tratamiento de datos.

5. Subprocesadores

GPTCenter contrata subprocesadores externos para ayudar a proporcionar y mantener el servicio. Estos Subprocesadores realizan funciones específicas cómo alojamiento de infraestructura, procesamiento de pagos, email transaccional y seguridad. Nos aseguramos de que todos los Subprocesadores comprometidos cumplan con obligaciones de protección de datos equivalentes a las descritas en este DPA, respaldadas por acuerdos firmados.

Una lista actualizada está disponible previa solicitud a [email protected]. Los subprocesadores actuales incluyen (pero no se limitan a):

Stripe — procesamiento de pagos, facturación y detección de fraude.
Mailgun — entrega de email transaccional y de notificación.
Cloudflare — CDN, protección DDoS y el desafío del bot Turnstile.
Proveedores de bases de datos administradas — Almacenamiento en reposo cifrado para datos de aplicaciones.

Puntos finales del motor de IA

Para medir cómo los asistentes generativos describen el negocio de un cliente, GPTCenter envía consultas públicas cuidadosamente elaboradas a las API oficiales de ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), Meta AI (Meta), DeepSeek y Grok (xAI). Estos motores son proveedores de servicios independientes que operan su propia infraestructura bajo sus propios términos.

Solo enviamos los prompts que nuestros equipo prepararon para la optimización — no los datos de su cuenta, ni sus archivos privados, ni los datos personales de sus clientes.
Nosotros nunca enviamos datos personales o contenido propietario cómo carga útil de entrenamiento. Cuando el proveedor ofrece una configuración de “no usar mis datos para entrenar modelos”, la habilitamos en nuestras cuentas de servicio.
Cada motor procesa las solicitudes según su propia política de privacidad y calendario de conservación. Los enlaces a esas políticas figuran en el apéndice de la Política de cookies y también están disponibles previa solicitud.

Derechos del Cliente & Objeciones. GPTCenter notificará a los Clientes sobre cualquier nueva contratación de Subprocesador con al menos 10 días de anticipación. Los clientes pueden presentar una objeción por escrito dentro de ese período si tienen inquietudes legítimas sobre la protección de datos. Participaremos en debates de buena fe para abordar las inquietudes; Si no se llega a una resolución mutuamente aceptable, el Cliente puede tener derecho a rescindir los servicios afectados.

6. Transferencias de datos personales

GPTCenter puede transferir Datos personales fuera del Espacio Económico Europeo (EEE), el Reino Unido o Suiza para facilitar la prestación de servicios. Cuando se producen dichas transferencias, nos aseguramos de que existan las salvaguardas legales adecuadas, que incluyen:

Cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea u otras autoridades competentes.
Medidas complementarias — salvaguardias técnicas, organizativas y contractuales adicionales.
Reglas Corporativas Vinculantes (BCR) cuando sean aplicables a entidades afiliadas.
Otros mecanismos de transferencia aprobados reconocidos según la ley aplicable.

7. Derechos del interesado

GPTCenter reconoce y respeta los derechos de los interesados conforme a la normativa de protección de datos aplicable. Ayudaremos al Cliente, en calidad de responsable del tratamiento, a responder a las solicitudes de las personas relativas a sus Datos personales:

Derecho de acceso — Confirmación de si se están tratando datos y acceso a los mismos.
Derecho a Rectificación — corrección de datos inexactos o incompletos.
Derecho de supresión (“derecho al olvido”) — eliminación de los datos personales, sujeta a obligaciones legales y contractuales.
Derecho a restringir el procesamiento — limitando el procesamiento de Datos personales bajo ciertas condiciones.
Derecho a la Portabilidad de los Datos — obtener y transferir Datos Personales a otro responsable del tratamiento cuando sea técnicamente viable.
Derecho de oposición — al tratamiento basado en intereses legítimos, marketing directo o toma de decisiones automatizada.
Derecho a retirar el consentimiento — en cualquier momento si el procesamiento se basa en el consentimiento.

8. Notificación de violación de datos

GPTCenter implementa medidas preventivas para salvaguardar los Datos Personales. En caso de una Violación de Datos Personales confirmada, debemos:

Evaluar el impacto de la infracción y tomar medidas de mitigación inmediatas;
Notificar al Cliente sin demoras indebidas (normalmente dentro de las 48 horas posteriores a la confirmación);
Proporcionar detalles sobre la naturaleza y alcance de la violación, el tipo de datos afectados, las posibles consecuencias y las medidas tomadas;
Ayudar al Cliente a cumplir con cualquier obligación reglamentaria de notificación a las autoridades y a los Sujetos de datos afectados;
Implementar acciones correctivas para evitar que se repita.

El Cliente es responsable de determinar si debe notificar a las autoridades reguladoras y a los Sujetos de datos de conformidad con las Leyes de Protección de Datos aplicables.

9. Conservación y eliminación de datos

GPTCenter conserva Datos personales solo durante el tiempo necesario para cumplir con sus obligaciones en virtud de este Acuerdo o según lo exijan las leyes aplicables. Seguimos principios de minimización de datos: los datos se conservan solo para necesidades comerciales y de cumplimiento legítimas, y se eliminan o anonimizan cuando ya no son necesarios.

Los Clientes pueden solicitar la eliminación de Datos Personales en cualquier momento. Al finalizar los servicios, GPTCenter eliminará o devolverá los Datos Personales de acuerdo con las instrucciones del Cliente. Si no se presenta una solicitud de eliminación, los Datos Personales se eliminan automáticamente dentro de un plazo razonable, salvo que se apliquen requisitos legales de conservación (registros fiscales, investigaciones de prevención de fraude, etc.).

10. Ley que rige la resolución de disputas &

Este DPA se rige e interpreta conforme a las mismas leyes y jurisdicción definidas en el acuerdo principal entre GPTCenter y el cliente. Las disputas se resolverán primero mediante negociaciones de buena fe; si no se alcanza una solución, podrán someterse a mediación, arbitraje o a los tribunales competentes de la jurisdicción aplicable. En caso de conflicto entre este DPA y el acuerdo principal, prevalecerán los términos de este DPA en materia de protección de datos.

11. Disposiciones finales

Este DPA forma parte integral del acuerdo general entre GPTCenter y el cliente. Al continuar utilizando los servicios, el cliente reconoce y acepta los términos de este DPA. Si alguna disposición se considera inválida o inaplicable, las disposiciones restantes seguirán plenamente vigentes.

GPTCenter se reserva el derecho de modificar o actualizar este DPA para reflejar cambios en las leyes de protección de datos aplicables, las prácticas del sector o las necesidades operativas. Los clientes recibirán una notificación de los cambios sustanciales; el uso continuado de los servicios constituye la aceptación de los términos actualizados.

12. Contacto

Para cualquier pregunta, solicitud formal o para obtener una copia firmada de este DPA, comuníquese con [email protected]. Para consultas generales relacionadas con la privacidad, comuníquese con [email protected].