Acuerdo de Tratamiento de Datos

Última actualización: 6 de octubre de 2026 · Vigente desde el 6 de octubre de 2026 para cuentas nuevas y desde el 5 de noviembre de 2026 para cuentas creadas antes del 6 de octubre de 2026

1. Definiciones

• "Contrato": los Términos de Servicio y cualquier orden de compra entre el Cliente y Prosabe.
• "Datos Personales del Cliente": los datos personales contenidos en el Contenido del Cliente que Prosabe trata por cuenta del Cliente al prestar el Servicio.
• "Leyes de Protección de Datos": todas las leyes aplicables al tratamiento de los Datos Personales del Cliente conforme al Contrato, incluidos, según corresponda, el Reglamento General de Protección de Datos de la UE 2016/679 ("RGPD"), el RGPD del Reino Unido y la Data Protection Act 2018, la Ley Federal Suiza de Protección de Datos, la Ley de Privacidad del Consumidor de California y sus modificaciones ("CCPA") y otras leyes estatales de privacidad de EE. UU., la Lei Geral de Proteção de Dados de Brasil ("LGPD"), la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México, las Leyes N.° 19.628 y 21.719 de Chile, la Ley N.° 25.326 de Argentina, la Ley 1581 de 2012 de Colombia y la Ley N.° 29733 de Perú.
• "Violación de Datos Personales": toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita, la comunicación no autorizada o el acceso a Datos Personales del Cliente.
• "Subencargado": todo tercero contratado por Prosabe para tratar Datos Personales del Cliente.
• "CCT": las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, el Addendum de Transferencia Internacional de Datos emitido por la Information Commissioner del Reino Unido y las cláusulas contractuales estándar aprobadas por la ANPD de Brasil en la Resolución CD/ANPD N.° 19/2024, según corresponda.

Los términos "responsable", "encargado", "titular" o "interesado", "tratamiento", "business", "service provider", "venta" y "compartir" tienen el significado que les dan las Leyes de Protección de Datos aplicables.

2. Roles y alcance

2.1. El Cliente es el responsable (o "business") y Prosabe es el encargado (o "service provider") de los Datos Personales del Cliente. Cuando el Cliente sea a su vez encargado por cuenta de un tercero responsable, Prosabe actúa como subencargado del Cliente.

2.2. Este Acuerdo no se aplica a los datos personales de los que Prosabe es responsable, como los datos de administración de cuentas, facturación, seguridad y comunicaciones, que se rigen por la Política de Privacidad.

3. Detalle del tratamiento

Elemento	Descripción
Objeto	Prestación del Servicio Prosabe: repositorio de SOPs, generación, edición, importación y análisis con IA, asistente operativo (web y WhatsApp), colaboración en equipo, compartir y almacenamiento.
Duración	La vigencia del Contrato más el plazo de eliminación de la Sección 12.
Naturaleza y finalidad	Alojamiento, almacenamiento, consulta, organización, transmisión a proveedores de IA y mensajería, visualización, exportación, compartir según instrucciones del Cliente, respaldo y eliminación, únicamente para prestar, proteger y dar soporte al Servicio.
Titulares de los datos	Empleados, contratistas y demás Miembros del Cliente que usan el Servicio; personas mencionadas o que aparecen en el Contenido del Cliente.
Categorías de datos	Nombres, datos de contacto laborales (correo, teléfono para WhatsApp), cargos y áreas de responsabilidad, preguntas y mensajes, comentarios, imágenes y cualquier otro dato personal que el Cliente decida incluir en el Contenido del Cliente.
Categorías especiales	No previstas. El Cliente no enviará categorías especiales de datos personales salvo que sea estrictamente necesario y lo permita la ley, y es responsable de las que envíe.
Frecuencia	Continua, durante la vigencia del Contrato.

4. Instrucciones y obligaciones del Cliente

4.1. Prosabe tratará los Datos Personales del Cliente solo según las instrucciones documentadas del Cliente, que constan en el Contrato, en este Acuerdo y en la configuración y uso que el Cliente haga del Servicio, salvo que la ley exija otra cosa, en cuyo caso Prosabe informará al Cliente antes del tratamiento, salvo que la ley lo prohíba. Prosabe informará al Cliente si, en su opinión, una instrucción infringe las Leyes de Protección de Datos.

4.2. El Cliente es responsable de la licitud del tratamiento que instruye, lo que incluye contar con una base legal válida, entregar los avisos a los titulares y obtener sus consentimientos cuando corresponda (incluidos los Miembros cuyos números de teléfono se registren para el asistente de WhatsApp), y de la exactitud y minimización de los datos que envía.

5. Obligaciones del Encargado

Prosabe:

1. asegurará que las personas autorizadas para tratar Datos Personales del Cliente estén sujetas a obligaciones de confidencialidad;
2. aplicará las medidas técnicas y organizativas del Anexo 1;
3. no venderá ni compartirá los Datos Personales del Cliente, no los conservará, usará ni divulgará con ningún fin distinto de prestar el Servicio (incluido cualquier fin comercial fuera de la relación directa de negocio), no los combinará con datos personales de otras fuentes salvo lo permitido por la CCPA, y no los usará para entrenar modelos de IA; Prosabe certifica que comprende estas restricciones y las cumplirá;
4. avisará al Cliente si ya no puede cumplir sus obligaciones conforme a la CCPA u otras Leyes de Protección de Datos;
5. teniendo en cuenta la naturaleza del tratamiento, asistirá al Cliente mediante medidas técnicas y organizativas apropiadas para responder a las solicitudes de los titulares y para cumplir sus obligaciones en materia de seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas; y
6. pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, según la Sección 10.

6. Subencargados

6.1. El Cliente otorga una autorización general para que Prosabe contrate Subencargados. Los Subencargados vigentes son:

Subencargado	Servicio	Ubicación
Supabase, Inc.	Base de datos, autenticación, almacenamiento de archivos y funciones de servidor	Estados Unidos (y otras regiones donde esté alojado el proyecto)
Anthropic PBC	Modelos de lenguaje de IA (sin entrenamiento con datos del Cliente)	Estados Unidos
n8n GmbH	Automatización de flujos para el chat de SOPs y el asistente de WhatsApp	Alemania (UE)
Twilio Inc.	Entrega de mensajes de WhatsApp	Estados Unidos
WhatsApp LLC / Meta Platforms Ireland Ltd.	Canal de mensajería WhatsApp (solo si el Cliente activa el asistente de WhatsApp)	Estados Unidos / Irlanda
Stripe, Inc.	Procesamiento de pagos (solo datos de facturación de la cuenta)	Estados Unidos
Sendinblue SAS (Brevo)	Correo transaccional (invitaciones y notificaciones)	Francia (UE)
Hostinger International Ltd.	Alojamiento web y scripts de servidor (exportaciones, invitaciones)	UE / Estados Unidos

6.2. Prosabe impone a cada Subencargado obligaciones de protección de datos que otorguen al menos el mismo nivel de protección que este Acuerdo, en lo aplicable a los servicios que presta, y responde ante el Cliente por el cumplimiento de cada Subencargado según lo exijan las Leyes de Protección de Datos.

6.3. Prosabe avisará con al menos 14 días de anticipación la incorporación o sustitución de un Subencargado, actualizando esta página y, si el Cliente se ha suscrito a las actualizaciones escribiendo a privacy@prosabe.com, por correo electrónico. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo. Si las partes no logran resolver la oposición de buena fe, el Cliente podrá terminar el Servicio afectado y recibir el reembolso de lo pagado por el período no utilizado, como único remedio.

7. Transferencias internacionales

7.1. El Cliente reconoce que los Datos Personales del Cliente se tratarán en Estados Unidos y en las demás ubicaciones indicadas en la Sección 6.

7.2. En la medida en que una transferencia de Datos Personales del Cliente desde el EEE, Suiza o el Reino Unido a Prosabe no esté cubierta por una decisión de adecuación, las partes acuerdan incorporar por referencia las CCT de la UE, Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado) según corresponda, con las siguientes opciones: se aplica la Cláusula 7 (cláusula de incorporación); Cláusula 9, opción 2 (autorización general) con el plazo de aviso de la Sección 6.3; no se aplica la redacción opcional de la Cláusula 11; Cláusulas 17 y 18: la ley y los tribunales de Irlanda; el Anexo I se completa con la Sección 3 de este Acuerdo y el Anexo II con el Anexo 1. Para las transferencias desde el Reino Unido se aplica el Addendum de Transferencia Internacional de Datos del Reino Unido, y la Tabla 4 permite a cualquiera de las partes ponerle fin. Para las transferencias desde Suiza, las referencias al RGPD se entienden hechas a la Ley Federal Suiza de Protección de Datos y la autoridad competente es el FDPIC suizo.

7.3. Para las transferencias sujetas a la LGPD, se incorporan por referencia las cláusulas contractuales estándar aprobadas por la Resolución CD/ANPD N.° 19/2024, que prevalecen en caso de conflicto. Para las transferencias sujetas a otras leyes latinoamericanas, Prosabe otorgará las garantías que esas leyes exijan, y las partes acuerdan que las transferencias a Subencargados son necesarias para ejecutar el Contrato.

7.4. Prosabe asegura que los Subencargados ubicados fuera del EEE o del Reino Unido que reciban transferencias estén sujetos a mecanismos de transferencia apropiados.

8. Violación de Datos Personales

Prosabe notificará al Cliente sin dilación indebida, y en todo caso dentro de las 72 horas siguientes a tomar conocimiento, toda Violación de Datos Personales que afecte a Datos Personales del Cliente. El aviso describirá, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas para abordarla, y se complementará a medida que se disponga de más información. Prosabe adoptará medidas razonables para contener y remediar la violación y cooperará con el Cliente para que este cumpla sus propias obligaciones de notificación. La notificación no constituye reconocimiento de culpa ni de responsabilidad.

9. Solicitudes de los titulares

Si Prosabe recibe de un titular una solicitud relativa a Datos Personales del Cliente, la remitirá con prontitud al Cliente y no responderá directamente, salvo para acusar recibo y derivar al solicitante al Cliente, a menos que el Cliente lo autorice o la ley lo exija. El Cliente puede acceder, corregir, exportar y eliminar el Contenido del Cliente a través del Servicio; cuando eso no sea suficiente, Prosabe prestará asistencia razonable.

10. Auditorías

Prosabe responderá a las solicitudes escritas razonables del Cliente de información sobre su tratamiento y seguridad, no más de una vez al año (o con mayor frecuencia tras una Violación de Datos Personales o a solicitud de una autoridad competente), incluso respondiendo por escrito cuestionarios de seguridad y entregando documentación pertinente. Cuando las Leyes de Protección de Datos o las CCT lo exijan y la información entregada no sea suficiente, Prosabe permitirá una auditoría del Cliente o de un auditor independiente obligado a confidencialidad, con al menos 30 días de aviso, en horario hábil, a costo del Cliente y de una manera que no comprometa la seguridad ni la confidencialidad de los datos de otros clientes.

11. Evaluaciones de impacto

Prosabe entregará información razonable para ayudar al Cliente a realizar evaluaciones de impacto en la protección de datos y consultas previas con las autoridades de control relativas al Servicio.

12. Devolución y eliminación

El Cliente puede exportar el Contenido del Cliente en cualquier momento durante el Contrato. Dentro de los 30 días siguientes a la terminación del Contrato, o al eliminar el Cliente su cuenta, Prosabe eliminará los Datos Personales del Cliente de sus sistemas en producción; las copias en respaldos se eliminarán en su rotación habitual dentro de 90 días. Prosabe podrá conservar Datos Personales del Cliente cuando la ley lo exija, en cuyo caso seguirá protegiéndolos conforme a este Acuerdo y los tratará solo para cumplir ese requisito legal.

13. Responsabilidad y prelación

La responsabilidad de cada parte conforme a este Acuerdo o en relación con él está sujeta a las exclusiones y limitaciones de responsabilidad del Contrato, salvo en la medida en que las Leyes de Protección de Datos o las CCT prohíban esas limitaciones. En caso de conflicto, las CCT prevalecen sobre este Acuerdo, y este Acuerdo prevalece sobre el Contrato en lo relativo al tratamiento de los Datos Personales del Cliente.

14. Vigencia

Este Acuerdo rige mientras Prosabe trate Datos Personales del Cliente. Se rige por la ley que rige el Contrato, sin perjuicio de la ley aplicable a las CCT.

Anexo 1 — Medidas técnicas y organizativas de seguridad

1. Cifrado: TLS para todos los datos en tránsito; cifrado en reposo de las bases de datos y del almacenamiento de archivos provisto por nuestros proveedores de infraestructura; contraseñas y claves de API guardadas como hash.
2. Control de acceso: políticas de seguridad a nivel de fila en la base de datos que restringen el acceso a los datos de cada cliente y a los miembros autorizados del equipo según su rol; acceso administrativo con privilegios mínimos; credenciales de servicio mantenidas en el servidor y nunca expuestas a los navegadores; autenticación multifactor en las cuentas administrativas de los proveedores de infraestructura.
3. Seguridad de la aplicación: verificación de la sesión del usuario en el servidor para la IA y demás funciones privilegiadas; búsquedas por token exacto para enlaces públicos e invitaciones; límites de uso por plan aplicados en el servidor; validación de entradas; actualización de dependencias.
4. Proveedores de IA: se envían solo los datos necesarios para atender la solicitud del usuario; los proveedores tienen prohibido por contrato entrenar con ellos.
5. Disponibilidad y resiliencia: infraestructura administrada con redundancia provista por nuestros proveedores de alojamiento y base de datos; respaldos periódicos para recuperación ante desastres, conservados por no más de 90 días.
6. Registro y monitoreo: las acciones relevantes para la seguridad se registran y conservan hasta 24 meses.
7. Personal: el acceso a los Datos Personales del Cliente se limita al personal que lo necesita para prestar y dar soporte al Servicio, sujeto a confidencialidad.
8. Gestión de proveedores: Subencargados seleccionados por sus prácticas de seguridad y sujetos a términos escritos de protección de datos.
9. Respuesta a incidentes: proceso documentado para investigar, contener y notificar las Violaciones de Datos Personales dentro de los plazos de la Sección 8.
10. Eliminación: la eliminación de la cuenta borra de los sistemas en producción el Contenido del Cliente, los registros relacionados y los archivos cargados.

Contacto

ALCO GROUP LLC — Prosabe · 30 N Gould St, Sheridan, WY 82801, USA · privacy@prosabe.com