Acuerdo de tratamiento de datos

1. Objeto y roles

• Objeto: los datos personales contenidos en los archivos, fuentes, etiquetas y datasets que envías al servicio (contenido del cliente), sobre tus propios clientes, empleados u otras personas.
• Tú eres el responsable: decides por qué se tratan los datos y respondes por tener una base legal para ello, incluido informar a las personas afectadas.
• Nosotros somos el encargado: tratamos los datos solo para prestarte el servicio (enmascaramiento, estructuración, etiquetado, entrenamiento, comparación con Jev, entrega del modelo), durante el tiempo que permite la conservación de la política de privacidad.

2. Tus instrucciones

Tus instrucciones son los términos de uso, este DPA y lo que haces en el servicio (envíos, las decisiones elegidas, etiquetas, entrenamientos, eliminaciones, publicación en Hugging Face). No damos a los datos ningún otro uso. Si creemos que una instrucción infringe la ley, te avisaremos y podremos rechazarla.

3. Categorías de datos y de interesados

• Datos: lo que contenga tu contenido, normalmente nombres, datos de contacto, documentos, mensajes, tickets, reseñas y registros de tu operación.
• Interesados: tus clientes, usuarios, empleados, proveedores y otras personas que aparecen en tu contenido.
• No deben enviarse datos sensibles (LGPD art. 11, RGPD art. 9) ni datos de menores, salvo con base legal y aviso previo a nosotros.

4. Enmascaramiento y minimización

• Lo primero que hacemos con un envío es enmascarar los datos personales (nombres, correos, teléfonos, documentos como CPF y CNPJ, números de tarjeta). El envío original se borra en cuanto existe la copia enmascarada.
• Todos los pasos siguientes, incluidas las máquinas de entrenamiento y los modelos de lenguaje, reciben solo datos enmascarados.
• Si declaras que tus archivos no tienen datos personales, el enmascaramiento se omite a tu pedido y bajo tu responsabilidad.

5. Confidencialidad y seguridad

• Solo las personas y los sistemas que necesitan los datos para prestar el servicio tienen acceso a ellos, con deber de confidencialidad.
• El tráfico está cifrado (TLS), el almacenamiento está cifrado en reposo por nuestros proveedores, las contraseñas y claves de API se guardan solo como hash, y las máquinas de entrenamiento se destruyen al terminar cada ejecución.

6. Subencargados

• Autorizas a los subencargados listados en la sección 6 de la política de privacidad (Cloudflare, Railway, vast.ai y sus hosts, OpenRouter y los proveedores de modelos detrás de él, Stripe, Resend, Sentry, Better Stack), cada uno bajo términos de protección de datos al menos tan protectores como este DPA.
• Te avisamos por correo con al menos 15 días de antelación antes de añadir o cambiar un subencargado que trate contenido del cliente. Si te opones por un motivo razonable de protección de datos y no podemos resolverlo, puedes cerrar la cuenta y recibir el dinero de los créditos no gastados.
• Respondemos ante ti por los subencargados que elegimos.

7. Transferencias internacionales

Los subencargados pueden tratar datos fuera de Brasil, sobre todo en Estados Unidos, y las máquinas de vast.ai pueden estar en otros países (nunca en China). Las transferencias se basan en los mecanismos del art. 33 de la LGPD y del RGPD, como cláusulas contractuales tipo y los términos de tratamiento de datos de cada proveedor, y solo datos enmascarados van a las máquinas de entrenamiento y a los modelos de lenguaje.

8. Solicitudes de los interesados

Si alguien nos pide ejercer un derecho sobre datos de tu contenido, te reenviamos la solicitud y no la respondemos directamente, salvo que la ley lo exija. Te ayudamos a responder, sobre todo con lo que ya hace el panel: borrar datasets, modelos y la cuenta.

9. Incidentes de seguridad

Si tenemos conocimiento de un incidente que afecte a datos personales de tu contenido, te avisamos sin demora indebida y en todo caso en un plazo de 48 horas, con lo que sepamos: qué pasó, los datos e interesados probablemente afectados, las medidas tomadas y un contacto. Tú decides la comunicación a la ANPD u otra autoridad y a los interesados, y te ayudamos con la información que tengamos.

10. Supresión y devolución

• Los datos se borran en los plazos de la sección 8 de la política de privacidad: envíos originales justo después del enmascaramiento, datos enmascarados 90 días después del último uso, archivos de modelo 30 días después del entrenamiento, todo 30 días después del cierre de la cuenta.
• Antes de la supresión puedes descargar tus modelos y borrar tus datasets cuando quieras. Los registros que la ley nos obliga a conservar (pagos, registros de acceso) se guardan solo para ese fin.

11. Auditoría e información

Ponemos a disposición la información necesaria para demostrar el cumplimiento de este DPA: este texto, la política de privacidad, la lista de subencargados y el archivo de auditoría de cada entrenamiento. Otras preguntas o una auditoría razonable, como máximo una vez al año y con 30 días de aviso, pueden pedirse en privacy@typestrict.ai; la auditoría corre por tu cuenta y bajo confidencialidad.

12. Vigencia, responsabilidad y ley

Este DPA rige mientras tratemos datos personales de tu contenido. La responsabilidad sigue los límites de los términos de uso, salvo donde la ley no los admita. Se rige por la ley brasileña y los tribunales definidos en los términos de uso.