1 Definiciones

• "Ley de Protección de Datos Aplicable" — Todas las leyes de privacidad y protección de datos aplicables al Procesamiento de Datos Personales, incluyendo el GDPR (UE), UK GDPR, FADP suizo y CCPA/CPRA (California).
• "Subprocesador Autorizado" — Cualquier tercero contratado por DeepCerebra para procesar Datos Personales del Cliente, según se detalla en el Anexo 1.
• "Responsable del Tratamiento" — La entidad que determina los fines y medios del Procesamiento de Datos Personales.
• "Datos Personales del Cliente" — Cualquier Dato Personal procesado por DeepCerebra en nombre del Cliente, incluyendo Datos de Cuenta (nombres, correos electrónicos), Contexto de Prompt y Código transmitido para cumplir solicitudes, Datos de Uso y Medición, y Datos Técnicos (direcciones IP, información del dispositivo).
• "Interesado" — La persona física identificada o identificable a la que se refieren los Datos Personales.
• "Violación de Datos Personales" — Una violación de seguridad que conlleva la destrucción, pérdida, alteración o divulgación no autorizada de Datos Personales del Cliente, de forma accidental o ilícita.
• "Procesamiento" — Cualquier operación realizada sobre Datos Personales, incluyendo la recopilación, el almacenamiento, el uso, la transmisión y la eliminación.
• "Cláusulas Contractuales Tipo (SCCs)" — La Decisión de Ejecución 2021/914 de la Comisión de la UE sobre las SCCs, la Adenda de Transferencia Internacional de Datos del Reino Unido y las cláusulas reconocidas por el FDPIC suizo, según corresponda.

2 Procesamiento de Datos Personales: Roles y Alcance

2.1 Roles de las Partes

En relación con los Datos Personales del Cliente, el Cliente actúa como Responsable del Tratamiento (o como Procesador que actúa en nombre de un Responsable del Tratamiento), y DeepCerebra actúa como Procesador de Datos. DeepCerebra procesará los Datos Personales del Cliente únicamente en nombre y de acuerdo con las instrucciones documentadas del Cliente.

2.2 Alcance y Propósito del Procesamiento

DeepCerebra procesa los Datos Personales del Cliente únicamente para proporcionar los Servicios tal como se describen en la Descripción de los Servicios y como se documenta adicionalmente en el Anexo 1. El contexto de prompt y código enrutado a modelos de lenguaje grandes se procesa bajo términos de Zero Data Retention (ZDR) y no se retiene más allá de lo estrictamente necesario para devolver una respuesta, ni se utiliza para entrenar modelos fundacionales.

2.3 DeepCerebra como Responsable del Tratamiento

DeepCerebra puede procesar ciertos Datos Personales como un Responsable del Tratamiento independiente para sus propios fines comerciales legítimos, incluyendo la facturación y gestión de cuentas, la medición de uso, la monitorización de seguridad y prevención de fraude, el cumplimiento de obligaciones legales y la mejora de los Servicios utilizando datos agregados y anonimizados.

3 Obligaciones de DeepCerebra como Procesador

3.1 Instrucciones de Procesamiento

DeepCerebra procesará los Datos Personales del Cliente únicamente de acuerdo con las instrucciones documentadas del Cliente, a menos que la ley aplicable exija lo contrario, e informará prontamente al Cliente si, en su opinión, una instrucción infringe la Ley de Protección de Datos Aplicable.

3.2 Confidencialidad

DeepCerebra garantizará que todo el personal autorizado para procesar Datos Personales del Cliente esté sujeto a obligaciones de confidencialidad apropiadas.

3.3 Medidas de Seguridad

DeepCerebra implementa y mantiene medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente:

• Almacenamiento Confidencial en el Navegador: Los archivos del proyecto se mantienen en el lado del cliente, minimizando los datos enviados o almacenados en los servidores.
• Enrutamiento con Zero Data Retention: El contexto de prompt y código enrutado a los modelos no se retiene más allá de la solicitud y no se utiliza para el entrenamiento del modelo.
• Cifrado en Tránsito: TLS 1.2+ para todas las comunicaciones API y web.
• Cifrado en Reposo: Los datos de cuenta almacenados se cifran utilizando algoritmos estándar de la industria; las contraseñas se hash de forma irreversible.
• Controles de Acceso: Controles de acceso basados en roles y acceso con el mínimo privilegio a los sistemas de producción.
• Limitación de Tasa y Monitorización: Limitación de tasa de API y monitorización continua de incidentes de seguridad y actividad anómala.

3.4 Subprocesadores

El Cliente otorga a DeepCerebra autorización general para contratar Subprocesadores Autorizados. DeepCerebra mantendrá una lista actualizada (Anexo 1), notificará al Cliente sobre adiciones o reemplazos previstos, impondrá obligaciones de protección de datos equivalentes a los Subprocesadores Autorizados y seguirá siendo responsable de sus actos y omisiones en la medida prevista en el Acuerdo.

3.5 Asistencia para los Derechos de los Interesados

DeepCerebra notificará prontamente al Cliente si recibe una solicitud de un Interesado para ejercer sus derechos y asistirá al Cliente en la respuesta proporcionando las herramientas e información necesarias.

3.6 Notificación de Violación de Datos Personales

DeepCerebra notificará al Cliente sin demora indebida (y dentro de las 72 horas de tener conocimiento) de una Violación de Datos Personales que afecte a los Datos Personales del Cliente, incluyendo la naturaleza de la violación, las categorías y el número aproximado de Interesados afectados, las posibles consecuencias y las medidas tomadas para abordarla.

4 Obligaciones del Cliente

El Cliente es responsable de garantizar que su uso de los Servicios cumpla con la Ley de Protección de Datos Aplicable, incluyendo la provisión de todos los avisos necesarios y la obtención de todos los consentimientos necesarios de los Interesados antes de procesar sus Datos Personales a través de los Servicios, asegurando que los Datos Personales del Cliente y cualquier código fuente enviado se recopilen y utilicen legalmente, y gestionando las claves, repositorios y herramientas de terceros que conecte a los Servicios.

5 Transferencias Internacionales de Datos

Cuando DeepCerebra transfiera Datos Personales del Cliente desde el EEE, el Reino Unido o Suiza a un tercer país no reconocido por proporcionar un nivel adecuado de protección de datos, dichas transferencias estarán sujetas a salvaguardias apropiadas, incluyendo las Cláusulas Contractuales Tipo (SCCs) aplicables, que por la presente se incorporan a esta DPA por referencia.

6 Eliminación y Devolución de Datos

Tras la terminación del Acuerdo, DeepCerebra, a elección del Cliente y dentro de un plazo razonable, devolverá o eliminará de forma segura los Datos Personales del Cliente que se encuentren en sus sistemas y en los de sus Subprocesadores Autorizados, excepto cuando la ley aplicable exija su retención. Dado que los archivos del proyecto se mantienen en almacenamiento confidencial en el navegador, permanecen bajo el control del Cliente. DeepCerebra proporcionará confirmación por escrito de la eliminación a solicitud del Cliente.

7 Derechos de Auditoría

A solicitud razonable por escrito del Cliente (no más de una vez al año), DeepCerebra pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de esta DPA y permitirá y contribuirá a auditorías, sujetas a obligaciones razonables de confidencialidad y aviso previo.

8 Responsabilidad

La responsabilidad de cada parte que surja de o esté relacionada con esta DPA, ya sea por contrato, agravio o bajo cualquier otra teoría de responsabilidad, está sujeta a la limitación de responsabilidad establecida en los Términos de Servicio. En consecuencia, la responsabilidad acumulada total de DeepCerebra por todas las reclamaciones que surjan de o estén relacionadas con esta DPA y el Acuerdo no excederá los doscientos dólares estadounidenses (US $200), en la medida máxima permitida por la ley aplicable.

9 Información de Contacto

Para cualquier consulta relacionada con la privacidad, solicitudes de interesados o para informar una Violación de Datos Personales, póngase en contacto con: