Anexo de tratamiento de datos

Este Anexo de tratamiento de datos (el “DPA”) forma parte de los Términos del servicio entre DocInfra (el “Encargado”, “nosotros”) y el cliente que usa el Servicio por cuenta propia (el “Cliente”, “tú”). Aplica siempre que el contenido que envías a través de la API o del dashboard contiene datos personales de los que eres Responsable. Está escrito para que un cliente empresarial pueda apoyarse en él sin negociar un contrato aparte; cuando un cliente necesite cláusulas adicionales (por ejemplo un mecanismo concreto de transferencia internacional), podemos firmarlas como parte de un acuerdo Enterprise.

1. Objeto, duración, naturaleza y finalidad

Objeto. Tratamiento de los datos personales contenidos en los textos y documentos que el Cliente envía para reescribir o convertir, y en los datos de cuenta y uso de los usuarios del Cliente.

Duración. El tiempo durante el cual el Cliente usa el Servicio, más los periodos de retención de la sección 8.

Naturaleza. Recepción, almacenamiento temporal, transformación por software (incluido un modelo de lenguaje ejecutado en Cloudflare Workers AI), devolución del resultado y eliminación.

Finalidad. Prestar el Servicio según las instrucciones del Cliente a través de la API y del dashboard. No tratamos el contenido con ningún otro fin y no lo usamos para entrenar modelos.

2. Categorías de datos y de titulares

El Cliente decide qué envía. Normalmente: nombres, datos de contacto, identificadores, información profesional o académica y cualquier otro dato personal presente en documentos y textos de trabajo. Los titulares son las personas a las que se refiere el contenido del Cliente (empleados, clientes, usuarios, autores, terceros) y los propios usuarios del dashboard del Cliente. El Cliente no debe enviar categorías especiales de datos (salud, biométricos, políticos, religiosos o similares) ni datos de menores salvo que tenga una base legal para hacerlo y haya valorado el riesgo.

3. Roles

Para el contenido que envía, el Cliente es el Responsable y DocInfra es el Encargado. Para los datos de cuenta, facturación, seguridad y analítica descritos en la Política de privacidad, DocInfra es el Responsable. El Cliente garantiza que cuenta con las autorizaciones o la base legal necesarias para enviar el contenido, incluida su transferencia a DocInfra y a los encargados de la sección 6.

4. Instrucciones

Tratamos el contenido solo según las instrucciones documentadas del Cliente, que son las llamadas a la API y las acciones del dashboard que realiza, las opciones que elige (modo, intensidad, términos protegidos) y este DPA. Si creemos que una instrucción infringe la ley, se lo decimos al Cliente. No accedemos al contenido con otro fin que prestar el Servicio, atender una solicitud de soporte abierta por el Cliente o investigar un incidente de seguridad.

5. Confidencialidad y seguridad

Toda persona que opera el Servicio está obligada a la confidencialidad. Aplicamos las medidas descritas en la página de seguridad en apidocinfra.com/es/security/, entre ellas: cifrado en tránsito, motores sin acceso a internet, análisis de malware de los archivos subidos, API keys guardadas como hash, secretos fuera del código, acceso a producción restringido y registrado, un registro de auditoría de solo inserción, eliminación de los documentos 24 horas después de la operación, ningún almacenamiento del texto reescrito y logs de aplicación sin contenido. Mantenemos las medidas al día y no las rebajamos para el Cliente durante la vigencia.

6. Encargados adicionales

El Cliente autoriza a los encargados listados en apidocinfra.com/es/subprocessors/, con su función y ubicación. Imponemos a cada uno obligaciones de protección de datos coherentes con este DPA a través de sus condiciones publicadas o de un acuerdo firmado. Antes de añadir un encargado que trate el contenido del Cliente, actualizamos la lista con al menos 15 días de antelación y lo anunciamos en esa página; el Cliente puede oponerse por motivos razonables de protección de datos, en cuyo caso buscamos una alternativa o el Cliente puede terminar la parte afectada del Servicio sin penalización.

7. Asistencia

Ayudamos al Cliente a cumplir sus obligaciones frente a titulares y autoridades, teniendo en cuenta la naturaleza del tratamiento: respondemos preguntas sobre cómo funciona el Servicio, entregamos la exportación de los datos de cuenta y uso del Cliente y, cuando el Cliente recibe una solicitud de un titular sobre contenido tratado a través del Servicio, colaboramos en un plazo razonable. Como el contenido no se conserva más allá de los periodos de retención, la mayoría de las solicitudes quedan satisfechas por la eliminación que ya ocurre automáticamente.

8. Eliminación y devolución

El texto reescrito no se guarda. Los documentos se eliminan 24 horas después de la operación y, a más tardar, 2 días después por la regla de ciclo de vida del almacenamiento. El Cliente puede eliminar un documento antes desde la API o el dashboard. Al terminar el acuerdo eliminamos o anonimizamos los datos de cuenta y workspace del Cliente en 30 días, salvo los registros que debemos conservar por ley (evidencia de facturación, registros de aceptación), que quedan aislados y no se usan para ningún otro fin.

9. Incidentes

Si tenemos conocimiento de un incidente de seguridad que afecte datos personales del Cliente, se lo notificamos sin demora indebida tras confirmarlo, con la información que tengamos (naturaleza, categorías y número aproximado de registros y personas, consecuencias probables, medidas adoptadas) y la actualizamos conforme avanza la investigación. Nuestro procedimiento interno cubre identificación, contención, evidencia, alcance, evaluación de riesgo, decisión de notificación, comunicaciones, cierre y postmortem.

10. Auditoría e información

A petición, no más de una vez al año salvo que un incidente lo justifique, entregamos la información razonablemente necesaria para demostrar el cumplimiento de este DPA: la documentación de seguridad, la lista de encargados, el calendario de retención y respuestas a un cuestionario escrito. Si eso no basta para una obligación legal del Cliente, acordamos una revisión por un auditor independiente bajo confidencialidad, a costa del Cliente y sin interrumpir el Servicio.

11. Tratamiento internacional

El Servicio funciona sobre proveedores ubicados en Estados Unidos y otros países (ver la lista de encargados), así que el contenido puede tratarse fuera de Colombia y fuera del país del Cliente. Nos apoyamos en las condiciones de tratamiento y los mecanismos de transferencia publicados por esos proveedores (por ejemplo el Data Processing Addendum de Cloudflare, que incluye cláusulas contractuales tipo para transferencias desde el Espacio Económico Europeo). No redactamos cláusulas tipo propias. Cuando una transferencia exija un mecanismo contractual concreto entre el Cliente y DocInfra, firmamos el módulo aplicable de las cláusulas oficiales como parte de un acuerdo Enterprise.

12. Responsabilidad y prevalencia

La responsabilidad bajo este DPA está sujeta a las limitaciones de los Términos del servicio, sin limitar los derechos de los titulares. Si este DPA y los Términos entran en conflicto en un asunto de protección de datos, prevalece este DPA.

13. Cómo aceptar este DPA

Este DPA aplica automáticamente a todo cliente empresarial que usa el Servicio por cuenta propia y acepta los Términos del servicio; no hace falta firma. Un cliente que necesite una copia firmada por ambas partes o cláusulas adicionales puede solicitarla en [email protected].