Acuerdo de procesamiento de datos (plantilla)

Esta es la plantilla del acuerdo de procesamiento de datos (DPA) que GPT Workspace firma con clientes empresariales. Para recibirlo prellenado, escriba a contact@gpt.space con el nombre legal de su empresa, dirección, persona de contacto y número de licencias. Los procesadores que nombra están listados y se mantienen actualizados en el Centro de confianza.

Esta plantilla se proporciona con fines informativos y no constituye asesoramiento legal. Haga que su asesor la revise antes de firmar. Los campos entre corchetes se rellenan antes de la firma.

---

Este Acuerdo de procesamiento de datos (“DPA”) forma parte del acuerdo para el uso de GPT Workspace (el “Servicio”) entre:

• [CUSTOMER LEGAL NAME], [CUSTOMER ADDRESS], [REGISTRATION NUMBER] (el “Cliente” o “Responsable”), y
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (el “Proveedor” o “Encargado”),

conjuntamente las “Partes”. Se celebra el [EFFECTIVE DATE] y se aplica mientras el Proveedor procese Datos Personales en nombre del Cliente.

“RGPD” significa el Reglamento (UE) 2016/679 y, cuando proceda, el RGPD del Reino Unido definido en la Ley de Protección de Datos de 2018. “Datos Personales”, “Tratamiento”, “Responsable”, “Encargado”, “Interesado”, “Autoridad de Control” y “Violación de Datos Personales” tienen los significados otorgados en el Artículo 4 del RGPD. “Subencargado” significa un tercero contratado por el Proveedor para procesar Datos Personales en nombre del Cliente. “Datos del Cliente” significa los Datos Personales que el Proveedor procesa para el Cliente bajo el acuerdo del Servicio, tal como se describe en el Anexo 1.

2.1 El Cliente es el Responsable y el Proveedor es el Encargado de los Datos del Cliente. Cuando el Cliente actúa como encargado para sus propios clientes, el Proveedor actúa como subencargado y el Cliente garantiza que sus propias instrucciones están autorizadas por el responsable correspondiente.

2.2 El objeto, la duración, la naturaleza y el propósito del Tratamiento, los tipos de Datos Personales y las categorías de Interesados se establecen en el Anexo 1.

3.1 El Proveedor procesa los Datos del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluidas las relativas a transferencias a un tercer país, a menos que lo exija el derecho de la Unión o del Estado miembro al que está sujeto el Proveedor; en ese caso, el Proveedor informa al Cliente de ese requisito legal antes del tratamiento, a menos que la ley lo prohíba.

3.2 Las instrucciones del Cliente son: el acuerdo del Servicio, este DPA, la configuración que el Cliente y sus usuarios establecen en el Servicio, y las solicitudes que los usuarios del Cliente envían al Servicio. El Proveedor informa al Cliente de inmediato si, en su opinión, una instrucción infringe el RGPD.

El Proveedor garantiza que las personas autorizadas para procesar los Datos del Cliente se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada, y que el acceso se limite a lo que cada persona necesita para prestar el Servicio.

El Proveedor implementa las medidas técnicas y organizativas enumeradas en el Anexo 2 y las revisa periódicamente. Teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, alcance, contexto y fines del Tratamiento, las medidas garantizan un nivel de seguridad adecuado al riesgo.

6.1 El Cliente otorga una autorización escrita general al Proveedor para contratar a los Subencargados enumerados en el Anexo 3.

6.2 El Proveedor informa al Cliente de cualquier adición o reemplazo previsto de un Subencargado al menos [30] días antes de que el cambio entre en vigor, por correo electrónico a [CUSTOMER NOTIFICATION E-MAIL] y actualizando la lista en https://gpt.space/trust. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese período; si las Partes no pueden resolver la objeción, el Cliente puede rescindir la parte afectada del Servicio sin penalización.

6.3 El Proveedor impone a cada Subencargado, mediante contrato, las mismas obligaciones de protección de datos establecidas en este DPA, en particular proporcionando garantías suficientes para implementar medidas técnicas y organizativas adecuadas. Cuando un Subencargado no cumpla sus obligaciones, el Proveedor sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de dicho Subencargado.

Teniendo en cuenta la naturaleza del Tratamiento, el Proveedor asiste al Cliente mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para el cumplimiento de la obligación del Cliente de responder a las solicitudes de ejercicio de los derechos del Interesado conforme al Capítulo III del RGPD. El Proveedor reenvía al Cliente, sin dilación indebida, cualquier solicitud recibida directamente de un Interesado relativa a los Datos del Cliente, y no responde a la misma salvo por instrucción del Cliente o cuando lo exija la ley.

El Proveedor asiste al Cliente para garantizar el cumplimiento de las obligaciones establecidas en los Artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto en la protección de datos y consulta previa), teniendo en cuenta la naturaleza del Tratamiento y la información disponible para el Proveedor.

El Proveedor notifica al Cliente sin dilación indebida, y en cualquier caso dentro de las [48] horas, tras tener conocimiento de una Violación de Datos Personales que afecte a los Datos del Cliente, por correo electrónico a [CUSTOMER NOTIFICATION E-MAIL]. La notificación describe, en la medida en que se conozca en ese momento, la naturaleza de la violación, las categorías y el número aproximado de Interesados y registros afectados, las probables consecuencias, las medidas adoptadas o propuestas, y un punto de contacto; la información que aún no esté disponible se proporciona por fases sin más dilación indebida.

10.1 A elección del Cliente, el Proveedor suprime o devuelve todos los Datos del Cliente después de la finalización de la prestación del Servicio, y suprime las copias existentes, a menos que el derecho de la Unión o del Estado miembro exija el almacenamiento de los Datos Personales.

10.2 Independientemente de 10.1, el Cliente y cada uno de sus usuarios pueden eliminar su cuenta y los datos que el Proveedor conserva en el Servicio en cualquier momento; la eliminación se realiza dentro de las 24 horas siguientes a la solicitud. Las facturas y los registros de pago se conservan durante el período exigido por la legislación fiscal.

11.1 El Proveedor pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Artículo 28 del RGPD, y permite y contribuye a las auditorías, incluidas las inspecciones, realizadas por el Cliente o un auditor designado por el Cliente.

11.2 El Proveedor satisface primero las solicitudes de auditoría proporcionando su certificado ISO 27001 e informe de auditoría (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), su evaluación CASA Tier III y respuestas escritas a un cuestionario de seguridad. Una inspección in situ o remota se realiza como máximo [una vez al año], con un preaviso por escrito de [30] días, durante el horario laboral, bajo un acuerdo de confidencialidad y a expensas del Cliente, a menos que una Autoridad de Control exija lo contrario o se haya producido una Violación de Datos Personales.

12.1 El Proveedor tiene su sede en Estados Unidos y el Servicio está alojado en Google Cloud Platform en Estados Unidos. Cuando los Datos del Cliente de Interesados en el EEE, el Reino Unido o Suiza se transfieren a un país sin una decisión de adecuación, las Partes se basan en las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea en la Decisión (UE) 2021/914 (Módulo Dos, de responsable a encargado, o Módulo Tres, de encargado a encargado, según proceda), que se incorporan por referencia, junto con el Addendum de Transferencia Internacional de Datos del Reino Unido cuando se trate de datos del Reino Unido. Los Subencargados del Proveedor que reciben Datos del Cliente participan en el EU-US Data Privacy Framework cuando dicho marco esté disponible para ellos; las Cláusulas Contractuales Tipo rigen todas las transferencias que realiza el propio Proveedor.

12.2 Para las opciones de las Cláusulas Contractuales Tipo: se aplica la Cláusula 7 (adhesión); la Cláusula 9 opción 2 (autorización general) con el período de preaviso de la Sección 6.2; el lenguaje opcional de la Cláusula 11 no se aplica; Cláusula 13 y Cláusula 17: la legislación de [MEMBER STATE, e.g. Ireland]; Cláusula 18: los tribunales de [MEMBER STATE]. El Anexo I y el Anexo II de las Cláusulas son los Anexos 1 y 2 de este DPA.

13.1 La responsabilidad de cada Parte bajo este DPA está sujeta a las limitaciones y exclusiones de responsabilidad del acuerdo del Servicio, excepto cuando estas no puedan limitarse bajo la ley de protección de datos aplicable.

13.2 Este DPA entra en vigor en la Fecha de Entrada en Vigor y permanece vigente mientras el Proveedor procese Datos del Cliente. En caso de conflicto entre este DPA y el acuerdo del Servicio, este DPA prevalece para el Tratamiento de Datos Personales.

13.3 Este DPA se rige por la ley que rige el acuerdo del Servicio, excepto que las Cláusulas Contractuales Tipo se rigen por la ley elegida en la Sección 12.2.

Por el Cliente	Por el Proveedor
Nombre: [NAME]	Nombre: [NAME]
Cargo: [TITLE]	Cargo: [TITLE]
Fecha: [DATE]	Fecha: [DATE]
Firma:	Firma:

---

Elemento	Descripción
Objeto	Prestación del Servicio GPT Workspace: asistencia de IA dentro de Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, la extensión de Chrome y los servidores MCP.
Duración	El plazo del acuerdo del Servicio, más los períodos de retención del Anexo 2.
Naturaleza y propósito	Leer el contenido al que el usuario apunta en su cuenta de Google, enviarlo con el prompt del usuario a un proveedor de modelos de IA y escribir la respuesta en el archivo o chat del usuario. Administración de cuentas, facturación y soporte.
Categorías de Interesados	Los empleados y contratistas del Cliente que utilizan el Servicio; personas cuyos datos aparecen en los documentos, hojas de cálculo, correos electrónicos y archivos del Cliente procesados a través del Servicio.
Tipos de Datos Personales	Datos de la cuenta (nombre, correo electrónico, foto de perfil, identificador de cuenta de Google); datos de facturación (nombre de facturación, dirección, número de IVA); metadatos de uso (número de solicitudes, fechas, títulos de documentos); el contenido de los prompts y de los archivos de Google, correos electrónicos y adjuntos que el usuario envía, que pueden contener cualquier categoría de Datos Personales que el Cliente coloque allí.
Categorías especiales	Ninguna por diseño. El Servicio no requiere datos de categorías especiales; el Cliente decide lo que envían sus usuarios. [Customer to indicate if special categories are expected: NONE / DESCRIBE]
Frecuencia	Continua, en cada solicitud que realiza un usuario.
Retención	Ver Anexo 2, “Retención”.

Área	Medida
Certificaciones	Sistema de gestión de seguridad de la información certificado ISO 27001 (informe de auditoría disponible). Evaluación CASA Tier III (App Defense Alliance) para la integración de Google Workspace. Cumplimiento de la Política de Datos de Usuario de los Servicios de la API de Google, incluidos los requisitos de Uso Limitado.
Alojamiento	Google Cloud Platform (Firebase), Estados Unidos, regiones del Este y Oeste de EE. UU. Los componentes que procesan los Datos del Cliente se ejecutan dentro de la red privada del Proveedor detrás de balanceadores de carga y un firewall de aplicaciones web.
Cifrado	TLS 1.2 o superior para todos los datos en tránsito. Cifrado AES-256 del lado del servidor en reposo en Firebase, gestión de claves a través de GCP IAM. Tokens de acceso y actualización de Google cifrados en reposo.
Sin copia de archivos del Cliente	Los archivos, correos electrónicos y hojas de cálculo de Google se leen en tiempo real con el propio token OAuth del usuario y no se copian en el almacenamiento del Proveedor. La única excepción es un archivo que el usuario adjunta para la búsqueda de archivos, que se sube a un almacén vectorial de OpenAI (ver Anexo 3): el índice de búsqueda se elimina 1 día después del último uso y la copia se suprime después de 7 días.
Proveedores de modelos	Utilizados bajo los términos de la API que prohíben el entrenamiento con las solicitudes. El Proveedor nunca entrena ni ajusta un modelo con los Datos del Cliente.
Control de acceso	Acceso a sistemas de producción restringido a personal autorizado con cuentas individuales, autenticación multifactor y privilegios mínimos a través de GCP IAM. Aislamiento de datos por usuario aplicado por las reglas de seguridad de Firebase. La autenticación multifactor es obligatoria para todas las cuentas con acceso a producción; los derechos de acceso se revisan semanalmente.
Monitoreo y pruebas	GCP Security Command Center escaneo continuo de vulnerabilidades de todos los activos en el alcance; política de divulgación de vulnerabilidades para investigadores externos.
Retención	Datos de la cuenta, hilos de chat, configuración y metadatos de uso: 18 meses después de la última actividad del usuario, o 24 horas después de una solicitud de eliminación. Archivos adjuntos para búsqueda de archivos: índice de búsqueda eliminado 1 día después del último uso, copia subida suprimida después de 7 días. Registros de solicitudes del gateway de modelos: 30 días, solo para uso de soporte. Prompts y respuestas: procesados en tiempo real, no almacenados a largo plazo por el Proveedor. Facturas: la duración exigida por la legislación fiscal.
Eliminación	Eliminación autoservicio de la cuenta y todos los datos relacionados en el Servicio; eliminación a solicitud en 24 horas.
Continuidad del negocio	Copia de seguridad nativa de Google Cloud y herramientas de disponibilidad en múltiples regiones; copias de seguridad completas cada 7 días.
Personal	Obligaciones de confidencialidad en los acuerdos de empleo y contratistas; concienciación de seguridad para el personal con acceso a producción.

La lista actual se mantiene en https://gpt.space/trust y se reproduce aquí con fecha de Entrada en Vigor.

Subencargado	Propósito	Ubicación
Google Cloud Platform / Firebase (Google LLC)	Alojamiento, base de datos, almacenamiento, autenticación, secretos	Estados Unidos
OpenRouter, Inc.	Pasarela que enruta cada solicitud de modelo al proveedor inferior; registros de solicitudes guardados 30 días solo para soporte, nunca usados para entrenamiento	Estados Unidos
OpenAI	Modelos de texto e imagen; almacén vectorial para búsqueda de archivos	Estados Unidos
Anthropic	Modelos Claude (fijados en el propio punto de conexión de Anthropic)	Estados Unidos
Google (AI Studio)	Modelos de texto e imagen Gemini	Estados Unidos
Perplexity	Modelos de búsqueda web	Estados Unidos
Hosts de inferencia de OpenRouter	Hosts de inferencia para los modelos de pesos abiertos GLM-5.3-flash y gpt-oss-120b	A través de OpenRouter
Typesafe	Modelo de decisión detrás de la fórmula GPT_CLASSIFY	A través de OpenRouter
Google Programmable Search	Búsqueda de imágenes de stock para diapositivas generadas (solo consulta)	Estados Unidos
Stripe	Pagos, facturas, portal de facturación	Estados Unidos e Irlanda, bajo el DPA de Stripe
PostHog (instancia autoalojada)	Analítica de producto	Unión Europea
Sentry	Monitoreo de errores	Unión Europea (región de datos de la UE)