Acuerdo de tratamiento de datos (plantilla)

Esta es la plantilla del acuerdo de tratamiento de datos (DPA) que GPT Workspace firma con clientes corporativos. Para recibirlo relleno, escriba a contact@gpt.space con el nombre legal de su empresa, dirección, persona de contacto y número de licencias. Los encargados que nombra figuran y se mantienen actualizados en el Centro de confianza.

Esta plantilla se proporciona con fines informativos y no constituye asesoramiento legal. Pídale a su asesor legal que la revise antes de firmar. Los campos entre corchetes se rellenan antes de la firma.

---

Este Acuerdo de Tratamiento de Datos (el “DPA”) forma parte del acuerdo para el uso de GPT Workspace (el “Servicio”) entre:

• [CUSTOMER LEGAL NAME], [CUSTOMER ADDRESS], [REGISTRATION NUMBER] (el “Cliente” o “Responsable”), y
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (el “Proveedor” o “Encargado”),

conjuntamente las “Partes”. Se celebra el [EFFECTIVE DATE] y se aplica mientras el Proveedor trate Datos Personales por cuenta del Cliente.

El “RGPD” significa el Reglamento (UE) 2016/679 y, cuando sea aplicable, el RGPD del Reino Unido tal como se define en la Data Protection Act 2018. “Datos personales”, “Tratamiento”, “Responsable”, “Encargado”, “Interesado”, “Autoridad de control” y “Violación de datos personales” tienen los significados otorgados en el Artículo 4 del RGPD. “Subencargado” significa un tercero contratado por el Proveedor para tratar Datos personales por cuenta del Cliente. “Datos del cliente” significa los Datos personales que el Proveedor trata para el Cliente bajo el acuerdo del Servicio, tal como se describe en el Anexo 1.

2.1 El Cliente es el Responsable y el Proveedor es el Encargado de los Datos del cliente. Cuando el Cliente actúa como encargado para sus propios clientes, el Proveedor actúa como subencargado y el Cliente garantiza que sus propias instrucciones están autorizadas por el responsable correspondiente.

2.2 El objeto, la duración, la naturaleza y la finalidad del Tratamiento, los tipos de Datos personales y las categorías de Interesados se establecen en el Anexo 1.

3.1 El Proveedor trata los Datos del cliente solo según las instrucciones documentadas del Cliente, incluidas las relativas a transferencias a un tercer país, a menos que lo exija el Derecho de la Unión o de un Estado miembro al que esté sometido el Proveedor; en ese caso, el Proveedor informa al Cliente de ese requisito legal antes del tratamiento, a menos que la ley lo prohíba.

3.2 Las instrucciones del Cliente son: el acuerdo del Servicio, este DPA, la configuración que el Cliente y sus usuarios establezcan en el Servicio y las solicitudes que los usuarios del Cliente envíen al Servicio. El Proveedor informa al Cliente inmediatamente si, en su opinión, una instrucción infringe el RGPD.

El Proveedor garantiza que las personas autorizadas para tratar los Datos del cliente se han comprometido a mantener la confidencialidad o están sujetas a una obligación legal de confidencialidad apropiada, y que el acceso se limita a lo que cada persona necesita para prestar el Servicio.

El Proveedor aplica las medidas técnicas y organizativas enumeradas en el Anexo 2 y las somete a revisión continua. Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y las finalidades del Tratamiento, las medidas garantizan un nivel de seguridad adecuado al riesgo.

6.1 El Cliente otorga al Proveedor una autorización general por escrito para contratar a los Subencargados enumerados en el Anexo 3.

6.2 El Proveedor informa al Cliente de cualquier adición o sustitución prevista de un Subencargado al menos [30] días antes de que el cambio surta efecto, por correo electrónico a [CUSTOMER NOTIFICATION E-MAIL] y mediante la actualización de la lista en https://gpt.space/trust. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese periodo; si las Partes no logran resolver la objeción, el Cliente puede rescindir la parte afectada del Servicio sin penalización.

6.3 El Proveedor impone a cada Subencargado, mediante contrato, las mismas obligaciones de protección de datos establecidas en este DPA, en particular proporcionando garantías suficientes para aplicar las medidas técnicas y organizativas adecuadas. Si un Subencargado no cumple sus obligaciones, el Proveedor sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de dicho Subencargado.

Teniendo en cuenta la naturaleza del Tratamiento, el Proveedor ayuda al Cliente mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para el cumplimiento de la obligación del Cliente de responder a las solicitudes de ejercicio de los derechos del Interesado conforme al Capítulo III del RGPD. El Proveedor remite al Cliente, sin demora indebida, cualquier solicitud recibida directamente de un Interesado relativa a los Datos del cliente, y no responde a ella salvo por instrucción del Cliente o cuando lo exija la ley.

El Proveedor ayuda al Cliente a garantizar el cumplimiento de las obligaciones establecidas en los Artículos 32 a 36 del RGPD (seguridad, notificación de brechas, evaluaciones de impacto en la protección de datos y consulta previa), teniendo en cuenta la naturaleza del Tratamiento y la información disponible para el Proveedor.

El Proveedor notifica al Cliente sin demora indebida, y en cualquier caso dentro de las [48] horas, tras tener conocimiento de una Violación de datos personales que afecte a los Datos del cliente, por correo electrónico a [CUSTOMER NOTIFICATION E-MAIL]. La notificación describe, en la medida en que se conozca en ese momento, la naturaleza de la brecha, las categorías y el número aproximado de Interesados y registros afectados, las probables consecuencias, las medidas adoptadas o propuestas y un punto de contacto; la información que aún no esté disponible se proporciona por fases sin demora indebida adicional.

10.1 A elección del Cliente, el Proveedor suprime o devuelve todos los Datos del cliente después de la finalización de la prestación del Servicio, y suprime las copias existentes, a menos que el Derecho de la Unión o de un Estado miembro exija la conservación de los Datos personales.

10.2 Independientemente de lo dispuesto en el apartado 10.1, el Cliente y cada uno de sus usuarios pueden suprimir su cuenta y los datos que obren en poder del Proveedor en el Servicio en cualquier momento; la supresión se realiza en un plazo de 24 horas desde la solicitud. Las facturas y los registros de pago se conservan durante el plazo que exija la legislación fiscal.

11.1 El Proveedor pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Artículo 28 del RGPD, y permite y contribuye a las auditorías, incluidas las inspecciones, realizadas por el Cliente o un auditor designado por el Cliente.

11.2 El Proveedor satisface primero las solicitudes de auditoría proporcionando su certificado ISO 27001 e informe de auditoría (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), su evaluación CASA Tier III y respuestas por escrito a un cuestionario de seguridad. Se realiza una inspección in situ o remota como máximo [una vez al año], con un preaviso por escrito de [30] días, durante el horario laboral, bajo un acuerdo de confidencialidad y a expensas del Cliente, a menos que una Autoridad de control exija lo contrario o se haya producido una Violación de datos personales.

12.1 El Proveedor tiene su sede en Estados Unidos y el Servicio se aloja en Google Cloud Platform en Estados Unidos. Cuando se transfieran Datos del cliente de Interesados en el EEE, el Reino Unido o Suiza a un país sin una decisión de adecuación, las Partes se acogen a las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea en la Decisión (UE) 2021/914 (Módulo Dos, de responsable a encargado, o Módulo Tres, de encargado a encargado, según corresponda), que se incorporan por referencia, junto con el Apéndice de Transferencia Internacional de Datos del Reino Unido cuando se trate de datos del Reino Unido. Los Subencargados del Proveedor que reciben Datos del cliente participan en el Marco de Privacidad de Datos UE-EE. UU. cuando dicho marco esté disponible para ellos; las Cláusulas Contractuales Tipo rigen todas las transferencias que el Proveedor realiza.

12.2 Para las opciones de las Cláusulas Contractuales Tipo: se aplica la Cláusula 7 (acoplamiento); la Cláusula 9 opción 2 (autorización general) con el periodo de preaviso de la Sección 6.2; el lenguaje opcional de la Cláusula 11 no se aplica; Cláusula 13 y Cláusula 17: la ley de [MEMBER STATE, e.g. Ireland]; Cláusula 18: los tribunales de [MEMBER STATE]. El Anexo I y el Anexo II de las Cláusulas son los Anexos 1 y 2 de este DPA.

13.1 La responsabilidad de cada Parte bajo este DPA está sujeta a las limitaciones y exclusiones de responsabilidad del acuerdo del Servicio, excepto cuando estas no puedan limitarse según la legislación de protección de datos aplicable.

13.2 Este DPA entra en vigor en la Fecha de entrada en vigor y permanece vigente mientras el Proveedor trate los Datos del cliente. En caso de conflicto entre este DPA y el acuerdo del Servicio, este DPA prevalece para el Tratamiento de Datos personales.

13.3 Este DPA se rige por la ley que rige el acuerdo del Servicio, excepto que las Cláusulas Contractuales Tipo se rigen por la ley elegida en la Sección 12.2.

Por el Cliente	Por el Proveedor
Nombre: [NAME]	Nombre: [NAME]
Cargo: [TITLE]	Cargo: [TITLE]
Fecha: [DATE]	Fecha: [DATE]
Firma:	Firma:

---

Elemento	Descripción
Objeto	Prestación del Servicio GPT Workspace: asistencia con IA dentro de Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, la extensión de Chrome y los servidores MCP.
Duración	El plazo del acuerdo del Servicio, más los periodos de conservación del Anexo 2.
Naturaleza y finalidad	Lectura del contenido al que el usuario apunta en su cuenta de Google, envío con el prompt del usuario a un proveedor de modelos de IA y escritura de la respuesta en el archivo o chat del usuario. Administración de cuentas, facturación y soporte.
Categorías de Interesados	Los empleados y contratistas del Cliente que usan el Servicio; personas cuyos datos aparecen en los documentos, hojas de cálculo, correos electrónicos y archivos del Cliente tratados a través del Servicio.
Tipos de Datos personales	Datos de la cuenta (nombre, correo electrónico, foto de perfil, identificador de cuenta de Google); datos de facturación (nombre de facturación, dirección, número de IVA); metadatos de uso (número de solicitudes, fechas, títulos de documentos); el contenido de los prompts y de los archivos, correos electrónicos y adjuntos de Google que envía el usuario, que pueden contener cualquier categoría de Datos personales que el Cliente coloque allí.
Categorías especiales	Ninguna por diseño. El Servicio no requiere datos de categorías especiales; el Cliente decide qué envían sus usuarios. [Customer to indicate if special categories are expected: NONE / DESCRIBE]
Frecuencia	Continua, en cada solicitud que realiza un usuario.
Conservación	Consulte el Anexo 2, “Conservación”.

Área	Medida
Certificaciones	Sistema de gestión de seguridad de la información certificado ISO 27001 (informe de auditoría disponible). Evaluación CASA Tier III (App Defense Alliance) para la integración con Google Workspace. Cumplimiento de la Política de Datos de Usuario de los Servicios de la API de Google, incluidos los requisitos de Uso Limitado.
Alojamiento	Google Cloud Platform (Firebase), Estados Unidos, regiones de EE. UU. Este y EE. UU. Oeste. Los componentes que procesan los Datos del cliente se ejecutan dentro de la red privada del Proveedor detrás de balanceadores de carga y un firewall de aplicaciones web.
Cifrado	TLS 1.2 o superior para todos los datos en tránsito. Cifrado AES-256 del lado del servidor en reposo en Firebase, gestión de claves a través de GCP IAM. Tokens de acceso y actualización de Google cifrados en reposo.
Sin copia de los archivos del Cliente	Los archivos, correos electrónicos y hojas de cálculo de Google se leen en tiempo real con el token OAuth del propio usuario y no se copian al almacenamiento del Proveedor. La única excepción es un archivo que el usuario adjunta para la búsqueda de archivos, que se sube a un almacén de vectores de OpenAI (consulte el Anexo 3): el índice de búsqueda se elimina 1 día después del último uso y la copia se suprime después de 7 días.
Proveedores de modelos	Utilizados bajo los términos de la API que prohíben el entrenamiento con las solicitudes. El Proveedor nunca entrena ni ajusta un modelo con Datos del cliente.
Control de acceso	Acceso a los sistemas de producción restringido al personal autorizado con cuentas individuales, autenticación multifactor y mínimos privilegios a través de GCP IAM. Aislamiento de datos por usuario aplicado por las reglas de seguridad de Firebase. La autenticación multifactor es obligatoria para todas las cuentas con acceso a producción; los derechos de acceso se revisan semanalmente.
Supervisión y pruebas	GCP Security Command Center escaneo continuo de vulnerabilidades de todos los activos en el alcance; política de divulgación de vulnerabilidades para investigadores externos.
Conservación	Datos de la cuenta, hilos de chat, configuración y metadatos de uso: 18 meses después de la última actividad del usuario, o 24 horas después de una solicitud de supresión. Archivos adjuntos para la búsqueda de archivos: índice de búsqueda eliminado 1 día después del último uso, copia subida suprimida después de 7 días. Registros de solicitudes de la pasarela de modelos: 30 días, solo para uso de soporte. Prompts y respuestas: procesados en tiempo real, no almacenados a largo plazo por el Proveedor. Facturas: el plazo que exija la legislación fiscal.
Supresión	Supresión autoservicio de la cuenta y todos los datos relacionados en el Servicio; supresión a solicitud en un plazo de 24 horas.
Continuidad de negocio	Copia de seguridad nativa de Google Cloud y herramientas de disponibilidad en múltiples regiones; copias de seguridad completas cada 7 días.
Personal	Obligaciones de confidencialidad en los acuerdos laborales y de contratistas; concienciación sobre seguridad para el personal con acceso a producción.

La lista actual se mantiene en https://gpt.space/trust y se reproduce aquí con la fecha de entrada en vigor.

Subencargado	Propósito	Ubicación
Google Cloud Platform / Firebase (Google LLC)	Alojamiento, base de datos, almacenamiento, autenticación, secretos	Estados Unidos
OpenRouter, Inc.	Pasarela que enruta cada solicitud de modelo al proveedor inferior; registros de solicitudes conservados 30 días solo para soporte, nunca usados para entrenamiento	Estados Unidos
OpenAI	Modelos de texto e imagen; almacén de vectores para búsqueda de archivos	Estados Unidos
Anthropic	Modelos Claude (fijados en el propio punto final de Anthropic)	Estados Unidos
Google (AI Studio)	Modelos de texto e imagen Gemini	Estados Unidos
Perplexity	Modelos de búsqueda web	Estados Unidos
Hosts de inferencia de OpenRouter	Hosts de inferencia para los modelos de pesos abiertos GLM-5.3-flash y gpt-oss-120b	Vía OpenRouter
Typesafe	Modelo de decisión detrás de la fórmula GPT_CLASSIFY	Vía OpenRouter
Google Programmable Search	Búsqueda de imágenes de stock para diapositivas generadas (solo consulta)	Estados Unidos
Stripe	Pagos, facturas, portal de facturación	Estados Unidos e Irlanda, bajo el DPA de Stripe
PostHog (instancia autoalojada)	Analítica de producto	Unión Europea
Sentry	Monitorización de errores	Unión Europea (región de datos de la UE)