Acuerdo de Tratamiento de Datos (DPA)

Este Acuerdo de Encargado del Tratamiento (en adelante, "DPA"), conforme al art. 28 del RGPD, forma parte de los Términos de Servicio y queda aceptado por el Cliente al contratar SCOPE Core. Regula el tratamiento de datos personales que SCOPE Core (Pablo Gómez García, NIF 54967597N; ver Aviso Legal) realiza por cuenta del Cliente.

1. Roles

El Cliente es el Responsable del tratamiento del contenido que sus usuarios envían a los modelos de IA. SCOPE Core actúa como Encargado del tratamiento y trata esos datos únicamente siguiendo las instrucciones documentadas del Cliente (este DPA y el uso normal de la plataforma).

2. Objeto, naturaleza y finalidad

SCOPE Core transmite las solicitudes (prompts) al proveedor de IA elegido para generar respuestas y registra la telemetría de consumo (modelo, tokens, fechas) para el control de costes y la gobernanza. El tratamiento dura mientras esté vigente el contrato de servicio.

3. Datos e interesados

• Interesados: usuarios autorizados del Cliente (administradores, managers, empleados).
• Datos: el contenido de los prompts y adjuntos (controlado por el Cliente), identificadores de usuario y telemetría de uso (modelo, tokens, fechas, IP, user-agent).

4. Obligaciones de SCOPE Core

SCOPE Core se obliga a: tratar los datos solo según las instrucciones del Cliente; garantizar la confidencialidad; aplicar las medidas de seguridad del art. 32; respetar las condiciones de subcontratación; asistir al Cliente en el ejercicio de derechos de los interesados y en sus obligaciones de los arts. 32 a 36; suprimir o devolver los datos al finalizar el servicio; y notificar al Cliente sin dilación indebida cualquier brecha de seguridad que afecte a sus datos.

5. Subencargados

El Cliente autoriza el uso de los siguientes subencargados: Supabase (base de datos, UE), OpenAI y Anthropic (inferencia, EE. UU., bajo DPF/SCCs), Google Vertex AI (inferencia, UE), DeepSeek (inferencia, China — solo si el Cliente lo activa expresamente), Paddle (pagos) y Resend (email). SCOPE Core informará de cualquier cambio con antelación razonable, permitiendo al Cliente oponerse por motivos fundados.

6. Transferencias internacionales

• OpenAI, Anthropic (EE. UU.): amparadas en el Data Privacy Framework UE-EE. UU. y/o Cláusulas Contractuales Tipo (SCCs), con compromiso de no entrenamiento y de no retención del contenido (Zero Data Retention).
• Google (Vertex AI): procesamiento en la Unión Europea, sin entrenamiento ni retención del contenido (Zero Data Retention, excepción de abuse monitoring aprobada).
• DeepSeek (China): desactivado por defecto. Solo se activa si un administrador del Cliente acepta expresamente la transferencia internacional fuera del EEE y la Evaluación de Impacto correspondiente; dicha aceptación queda registrada de forma auditable. En tal caso, el Cliente asume esa transferencia como Responsable.

7. Brechas de seguridad

SCOPE Core notificará al Cliente sin dilación indebida desde que tenga conocimiento de cualquier brecha que afecte a sus datos, aportando la información disponible para que el Cliente cumpla los arts. 33 y 34 del RGPD.

8. Medidas de seguridad (art. 32)

Cifrado TLS en tránsito y AES-256 en reposo; contraseñas con hash; autenticación con tokens de vida corta y revocación; control de acceso por roles; rate limiting y cabeceras de seguridad; residencia de datos en la UE (base de datos y Google Vertex); registro de auditoría; y eliminación definitiva de datos tras el período de gracia.

9. Aceptación

Al aceptar los Términos de Servicio en el alta, el Cliente acepta el presente DPA en su versión vigente. SCOPE Core conserva prueba auditable de dicha aceptación (fecha, IP y versión). Las modificaciones sustanciales se comunicarán para su renovada aceptación.