Acuerdo de tratamiento de datos

1. Anexo sobre el tratamiento de datos

GPTSignal se compromete a proteger la privacidad y la seguridad de los datos del cliente y a cumplir la normativa aplicable. Este Anexo de tratamiento de datos (“DPA”) describe las condiciones conforme a las que tratamos, almacenamos y protegemos los datos personales. Complementa nuestro acuerdo principal con los clientes y se aplica cuando GPTSignal trata datos personales por cuenta del cliente como encargado del tratamiento.

Establece responsabilidades claras para ambas partes respecto al tratamiento de los datos y garantiza el cumplimiento de las leyes de privacidad pertinentes. Al utilizar GPTSignal, los clientes reconocen y aceptan los términos establecidos en este DPA. Si necesita una copia firmada para fines de cumplimiento, escríbanos a [email protected].

2. Definiciones

Entidad vinculada significa cualquier entidad que controle directa o indirectamente a una parte, esté controlada por ella o se encuentre bajo control común con ella. “Control” significa la titularidad directa o indirecta de al menos el 50% de las acciones con derecho a voto, las participaciones o derechos similares en la entidad. Las entidades vinculadas quedan sujetas a las obligaciones y responsabilidades de este DPA en la medida en que participen en el tratamiento de datos personales.

Subencargado autorizado del tratamiento significa cualquier proveedor externo, prestador de servicios o contratista al que GPTSignal encomiende el tratamiento de datos personales del cliente, exclusivamente por cuenta de GPTSignal y bajo sus instrucciones. Todos los subencargados deben cumplir las mismas obligaciones de protección de datos y garantizar la seguridad, la confidencialidad y el cumplimiento normativo.

Datos de la cuenta significa toda la información comercial que GPTSignal recopila, almacena y trata en el marco de su relación contractual con el cliente. Incluye nombres, direcciones de correo electrónico, teléfonos, datos de pago y credenciales de acceso de las personas autorizadas por el cliente para gestionar y utilizar su cuenta en la plataforma. Estos datos se usan exclusivamente con fines administrativos, de facturación y de soporte.

Leyes de protección de datos significa todas las leyes, normas y marcos aplicables a la recogida, el tratamiento, el almacenamiento, la transferencia y la protección de datos personales — incluidos, entre otros, el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, el RGPD del Reino Unido, la Ley de Privacidad del Consumidor de California (CCPA) y las demás leyes nacionales o internacionales de privacidad pertinentes para el tratamiento de datos conforme a este Acuerdo.

Datos personales significa cualquier información sobre una persona física identificada o identificable (“interesado”). No incluye datos anonimizados o agregados que no puedan utilizarse para identificar a una persona.

Tratamiento significa cualquier operación o conjunto de operaciones realizadas sobre datos personales, por medios automatizados o manuales — incluidas la recogida, el registro, la organización, la estructuración, la conservación, la adaptación, la modificación, la recuperación, la consulta, el uso, la comunicación, la transmisión, la limitación, la supresión o la destrucción.

Medidas de seguridad significa las salvaguardas técnicas y organizativas que se aplican para garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales. Incluyen cifrado, controles de acceso, cortafuegos, enmascaramiento de datos, seudonimización, auditorías de seguridad periódicas y mecanismos de notificación de brechas de seguridad.

Autoridad de control se refiere a una autoridad pública independiente responsable de supervisar y exigir el cumplimiento de las Leyes de Protección de Datos — por ejemplo, el Comité Europeo de Protección de Datos (EDPB), la Oficina del Comisionado de Información del Reino Unido (ICO) y la Agencia de Protección de la Privacidad de California (CPPA).

Derechos de los interesados significa los derechos que la normativa aplicable reconoce a las personas, incluidos el acceso, la rectificación, la supresión, la limitación del tratamiento, la portabilidad, la oposición y el derecho a presentar una reclamación ante una autoridad de control.

3. Tratamiento de datos

El cliente puede actuar como responsable o encargado del tratamiento, según su relación con el interesado y los fines para los que se traten los datos personales. En todos los casos, GPTSignal actúa como encargado del tratamiento, tratando los datos personales por cuenta del cliente y bajo sus instrucciones.

El Cliente es responsable de garantizar que todas las actividades de procesamiento de datos realizadas utilizando nuestros servicios cumplan con las Leyes de Protección de Datos aplicables. El Cliente reconoce que tiene la base legal para procesar Datos Personales e indemniza a GPTSignal contra cualquier reclamo, responsabilidad o daño resultante del incumplimiento de estos requisitos legales.

GPTSignal procesa Datos Personales únicamente de acuerdo con las instrucciones escritas del Cliente y solo en la medida necesaria para prestar los servicios, salvo que la ley exija otra cosa. No usamos, divulgamos ni compartimos Datos Personales para ningún fin distinto de los autorizados por el Cliente o descritos explícitamente en este Acuerdo.

Al finalizar el Acuerdo o a solicitud del Cliente, GPTSignal, a elección del Cliente, (a) eliminará de forma segura todos los Datos Personales procesados en virtud de este Acuerdo, garantizando que no queden copias salvo que la ley lo exija, o (b) devolverá los Datos Personales al Cliente en un formato estructurado, de uso común y legible por máquina antes de eliminarlos.

4. Seguridad y confidencialidad

GPTSignal se compromete a proteger la seguridad y la confidencialidad de los Datos personales tratados por cuenta del Cliente. Aplicamos y mantenemos medidas de seguridad acordes con las mejores prácticas del sector para impedir el acceso, la divulgación, la alteración o la destrucción no autorizados, entre ellas:

• Cifrado de datos. Los datos personales se cifran durante la transmisión (TLS 1.2+) y en reposo (AES-256) mediante protocolos estándar del sector.
• Controles de acceso. Las estrictas políticas de gestión de accesos garantizan que solo el personal autorizado acceda a los datos personales conforme al principio de mínimo privilegio.
• Seguridad de redes y sistemas. Los cortafuegos, los sistemas de detección de intrusiones y la supervisión continua ayudan a prevenir los accesos no autorizados y las amenazas informáticas.
• Anonimización y seudonimización de datos. Cuando procede, los datos personales se anonimizan o se seudonimizan para reducir los riesgos asociados a su exposición.
• Auditorías de seguridad periódicas. Las evaluaciones de seguridad, las pruebas de vulnerabilidad y los controles de cumplimiento permiten identificar y reducir riesgos.
• Plan de respuesta a incidentes. Un protocolo estructurado garantiza que los incidentes de seguridad se identifiquen, se mitiguen y se notifiquen con rapidez conforme a la normativa de protección de datos aplicable.

Cualquier empleado, contratista o proveedor de servicios autorizado que procese datos personales en nuestro nombre está sujeto a estrictas obligaciones de confidencialidad, incluidos acuerdos de confidencialidad firmados y el cumplimiento de las políticas internas de tratamiento de datos.

5. Subencargados del tratamiento

GPTSignal contrata a subencargados externos para ayudar a prestar y mantener el servicio. Realizan tareas concretas, como alojamiento de infraestructura, procesamiento de pagos, entrega de correos transaccionales y seguridad. Mediante acuerdos firmados, nos aseguramos de que todos cumplan obligaciones de protección de datos equivalentes a las descritas en este DPA.

Puede solicitar una lista actualizada en [email protected]. Entre los subencargados actuales se encuentran:

• Stripe — procesamiento de pagos, facturación y detección de fraude.
• Mailgun — entrega de correos transaccionales y notificaciones.
• Cloudflare — CDN, protección DDoS y verificación de bots mediante Turnstile.
• Proveedores de bases de datos gestionadas — almacenamiento cifrado en reposo de los datos de la aplicación.

Puntos de conexión de los sistemas de IA

Para medir cómo los asistentes generativos describen el negocio de un cliente, GPTSignal envía consultas públicas cuidadosamente elaboradas a las API oficiales de ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), DeepSeek y Grok (xAI). Estos motores son proveedores de servicios independientes que operan su propia infraestructura bajo sus propios términos.

• Solo enviamos las consultas que nuestro equipo prepara para la optimización — no los datos de su cuenta, sus archivos privados ni los datos personales de sus clientes.
• Nunca enviamos datos personales ni contenido protegido como datos de entrenamiento. Si el proveedor ofrece una opción para “no usar mis datos para entrenar modelos”, la activamos en nuestras cuentas de servicio.
• Cada motor procesa las solicitudes según su propia política de privacidad y calendario de conservación. Los enlaces a esas políticas figuran en el apéndice de la Política de cookies y también están disponibles previa solicitud.

Derechos del cliente y objeciones. GPTSignal notificará la contratación de nuevos subencargados con al menos 10 días de antelación. Los clientes podrán oponerse por escrito dentro de ese plazo si tienen motivos legítimos relacionados con la protección de datos. Dialogaremos de buena fe para resolver sus inquietudes. Si no se alcanza una solución aceptable para ambas partes, el cliente podrá tener derecho a rescindir los servicios afectados.

6. Transferencias de datos personales

GPTSignal puede transferir Datos personales fuera del Espacio Económico Europeo (EEE), el Reino Unido o Suiza para facilitar la prestación de servicios. Cuando se producen dichas transferencias, nos aseguramos de que existan las salvaguardas legales adecuadas, que incluyen:

• Cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea u otras autoridades competentes.
• Medidas complementarias — salvaguardias técnicas, organizativas y contractuales adicionales.
• Normas corporativas vinculantes (BCR), cuando sean aplicables a las entidades vinculadas.
• Otros mecanismos de transferencia aprobados reconocidos según la ley aplicable.

7. Derechos del interesado

GPTSignal reconoce y respeta los derechos de los interesados conforme a la normativa de protección de datos aplicable. Ayudaremos al Cliente, en calidad de responsable del tratamiento, a responder a las solicitudes de las personas relativas a sus Datos personales:

• Derecho de acceso — Confirmación de si se están tratando datos y acceso a los mismos.
• Derecho de rectificación — corrección de datos inexactos o incompletos.
• Derecho de supresión (“derecho al olvido”) — eliminación de los datos personales, sujeta a obligaciones legales y contractuales.
• Derecho a la limitación del tratamiento — limitación del tratamiento de datos personales en determinadas circunstancias.
• Derecho a la portabilidad de los datos — obtención y transferencia de datos personales a otro responsable cuando sea técnicamente viable.
• Derecho de oposición — al tratamiento basado en intereses legítimos, marketing directo o toma de decisiones automatizada.
• Derecho a retirar el consentimiento — en cualquier momento si el procesamiento se basa en el consentimiento.

8. Notificación de brechas de seguridad

GPTSignal aplica medidas preventivas para proteger los datos personales. Si se confirma una brecha de seguridad que afecte a datos personales, nos comprometemos a:

• Evaluar el impacto de la brecha y tomar medidas inmediatas para mitigarlo;
• Notificar al Cliente sin demoras indebidas (normalmente dentro de las 48 horas posteriores a la confirmación);
• Proporcionar información sobre la naturaleza y el alcance de la brecha, los tipos de datos afectados, las posibles consecuencias y las medidas adoptadas;
• Ayudar al cliente a cumplir las obligaciones de notificación a las autoridades y a los interesados afectados;
• Implementar acciones correctivas para evitar que se repita.

El cliente es responsable de determinar si debe notificar a las autoridades de control y a los interesados conforme a la normativa de protección de datos aplicable.

9. Conservación y eliminación de datos

GPTSignal conserva Datos personales solo durante el tiempo necesario para cumplir con sus obligaciones en virtud de este Acuerdo o según lo exijan las leyes aplicables. Seguimos principios de minimización de datos: los datos se conservan solo para necesidades comerciales y de cumplimiento legítimas, y se eliminan o anonimizan cuando ya no son necesarios.

Los Clientes pueden solicitar la eliminación de Datos Personales en cualquier momento. Al finalizar los servicios, GPTSignal eliminará o devolverá los Datos Personales de acuerdo con las instrucciones del Cliente. Si no se presenta una solicitud de eliminación, los Datos Personales se eliminan automáticamente dentro de un plazo razonable, salvo que se apliquen requisitos legales de conservación (registros fiscales, investigaciones de prevención de fraude, etc.).

10. Ley aplicable y resolución de disputas

Este DPA se rige e interpreta conforme a las mismas leyes y jurisdicción definidas en el acuerdo principal entre GPTSignal y el cliente. Las disputas se resolverán primero mediante negociaciones de buena fe; si no se alcanza una solución, podrán someterse a mediación, arbitraje o a los tribunales competentes de la jurisdicción aplicable. En caso de conflicto entre este DPA y el acuerdo principal, prevalecerán los términos de este DPA en materia de protección de datos.

11. Disposiciones finales

Este DPA forma parte integral del acuerdo general entre GPTSignal y el cliente. Al continuar utilizando los servicios, el cliente reconoce y acepta los términos de este DPA. Si alguna disposición se considera inválida o inaplicable, las disposiciones restantes seguirán plenamente vigentes.

GPTSignal se reserva el derecho de modificar o actualizar este DPA para reflejar cambios en las leyes de protección de datos aplicables, las prácticas del sector o las necesidades operativas. Los clientes recibirán una notificación de los cambios sustanciales; el uso continuado de los servicios constituye la aceptación de los términos actualizados.

12. Contacto

Para cualquier pregunta, solicitud formal o para obtener una copia firmada de este DPA, comuníquese con [email protected]. Para consultas generales relacionadas con la privacidad, comuníquese con [email protected].