Acuerdo de Tratamiento de Datos Personales (DPA)

Versión 1.0 · Vigente desde el 11 de octubre de 2026 · Forma parte de los Términos y Condiciones del Servicio

Este Acuerdo regula cómo Astralink Labs LLC trata los datos personales que el Cliente carga en QuantOps. Cumple la función de contrato de encargo del artículo 28 del RGPD, de contrato de transmisión del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 de Colombia y de los contratos equivalentes de otras leyes, como la remisión en México o el contrato con el operador en Brasil.

1. Definiciones

Los términos con mayúscula inicial tienen el sentido de los Términos. Además:

• Datos Personales del Cliente: los datos personales incluidos en los Datos del Cliente.
• Ley de Protección de Datos: toda norma aplicable al tratamiento, incluidas la Ley 1581 de 2012 de Colombia, el RGPD y la LGPD de Brasil.
• Subencargado: un tercero que trata Datos Personales del Cliente por cuenta de Astralink.
• Incidente de Seguridad: una violación de la seguridad que cause la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o su comunicación o acceso no autorizados.

2. Roles y objeto

2.1. El Cliente es el responsable del tratamiento de los Datos Personales del Cliente y Astralink es su encargado.

2.2. Astralink trata esos datos solo para prestar el Servicio, con el alcance del Anexo I.

2.3. Astralink no decide los fines del tratamiento de los Datos Personales del Cliente. Si lo hiciera en infracción de este Acuerdo, se la considerará responsable de ese tratamiento, sin perjuicio de su incumplimiento.

3. Obligaciones del Cliente

3.1. El Cliente garantiza que tiene base legal o autorización de los titulares para cargar y tratar los Datos Personales del Cliente en QuantOps, incluidas las transferencias de la sección 7. También garantiza que les informó lo que exige la ley, incluido que sus datos se alojan en EE. UU. y pueden procesarse con proveedores de IA.

3.2. El Cliente informará a sus empleados y Usuarios que el Servicio registra las acciones que realizan.

3.3. El Cliente no cargará datos sensibles, números completos de tarjetas ni datos de menores, salvo en los términos de la sección 9.3 de los Términos.

3.4. Las instrucciones del Cliente deben cumplir la ley.

4. Obligaciones de Astralink

4.1. Instrucciones. Tratar los Datos Personales del Cliente solo según sus instrucciones documentadas, que son los Términos, este Acuerdo y la configuración y el uso que el Cliente haga del Servicio. Si una instrucción infringe la ley, Astralink lo avisará.

4.2. Política del Cliente. Respetar la política de tratamiento del Cliente y las finalidades que los titulares autorizaron, en lo que corresponda a las funciones del Servicio.

4.3. Confidencialidad. Asegurar que las personas autorizadas a tratar los datos estén obligadas a guardar reserva.

4.4. Seguridad. Aplicar las medidas del Anexo II.

4.5. Asistencia. Ayudar al Cliente, con medidas técnicas y organizativas apropiadas, a atender las solicitudes de los titulares, a hacer evaluaciones de impacto y consultas previas, y a cumplir sus deberes de seguridad y de notificación.

4.6. Registro. Llevar un registro de las actividades de tratamiento que realiza por cuenta del Cliente.

4.7. Uso propio. No usar los Datos Personales del Cliente para fines propios, salvo para crear información agregada y anonimizada que no permita identificar al Cliente ni a ninguna persona. No venderlos nunca.

4.8. Acceso del personal de Astralink. El personal autorizado de Astralink solo accede a los Datos del Cliente cuando lo requieren el soporte solicitado por el Cliente, la seguridad, la revisión de la calidad de las respuestas que las Funciones de IA dan a ese Cliente, nunca para fines propios de Astralink, o la ley. Cada acceso queda registrado.

5. Subencargados

5.1. El Cliente autoriza a Astralink a usar los Subencargados del Anexo III.

5.2. Astralink avisará al Propietario por correo al menos 30 días antes de añadir o reemplazar un Subencargado. Dentro de ese plazo, el Cliente puede oponerse por motivos razonables de protección de datos. Si no se encuentra una solución, el Cliente podrá terminar el contrato y recibir el reembolso proporcional del periodo prepagado no usado.

5.3. Astralink impondrá por contrato a cada Subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo y responderá ante el Cliente por su cumplimiento.

6. Solicitudes de los titulares

Si Astralink recibe una solicitud de un titular sobre Datos Personales del Cliente, la remitirá al Cliente en máximo 2 días hábiles y no la responderá directamente, salvo instrucción del Cliente o deber legal. El Servicio permite al Cliente consultar, corregir, exportar y eliminar los datos.

7. Transferencias internacionales

7.1. Astralink y sus Subencargados tratan los datos en EE. UU. y en los demás lugares del Anexo III.

7.2. Colombia. La SIC incluye a EE. UU. entre los países con nivel adecuado de protección, y este Acuerdo es el contrato de transmisión.

7.3. EEE, Reino Unido y Suiza. Cuando el Cliente esté sujeto al RGPD, las partes celebran mediante este Acuerdo las cláusulas contractuales tipo de la Decisión (UE) 2021/914, Módulo 2 (de responsable a encargado), con las opciones del Anexo IV, la adenda del Reino Unido y los ajustes suizos. Con sus Subencargados, Astralink usa el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, si no, cláusulas contractuales tipo.

7.4. Brasil. Cuando aplique, las cláusulas estándar de la ANPD (Resolución CD/ANPD n.º 19/2024). Argentina. Las cláusulas modelo de la autoridad.

7.5. Si una autoridad o un tribunal invalida un mecanismo de transferencia, las partes adoptarán otro sin demora.

8. Incidentes de seguridad

8.1. Astralink notificará al Propietario cualquier Incidente de Seguridad sin demora indebida y, en todo caso, dentro de las 24 horas siguientes a tener conocimiento de él, aunque todavía no lo haya confirmado ni conozca todos sus detalles.

8.2. En la medida de lo posible, la notificación incluirá: la naturaleza del incidente; las categorías y el número aproximado de titulares y registros afectados; las consecuencias probables; las medidas adoptadas o propuestas; y un contacto. Si no se dispone de toda la información, se entregará por fases.

8.3. Corresponde al Cliente, como responsable, notificar a las autoridades y a los titulares cuando la ley lo exija, y Astralink colaborará. Cuando la ley imponga al encargado un deber propio de informar a la autoridad, como en Colombia el del artículo 18, literal k, de la Ley 1581 de 2012 ante la SIC, Astralink lo cumplirá y enviará copia al Cliente. Algunas leyes fijan plazos cortos: Perú, 48 horas; RGPD, 72 horas; Brasil, 3 días hábiles; Ecuador, 5 días; Colombia, 15 días hábiles.

8.4. Notificar un incidente no implica reconocer culpa.

9. Devolución y supresión

9.1. Al terminar el contrato, el Cliente podrá exportar los Datos del Cliente durante el plazo de la sección 20.4 de los Términos.

9.2. Después, Astralink eliminará los Datos Personales del Cliente en los 30 días siguientes, incluidos los que estén en Subencargados, como conversaciones de IA y archivos. Las copias de seguridad se sobrescribirán en un máximo de 35 días.

9.3. Astralink solo conservará lo que la ley la obligue a guardar, protegido y aislado, durante el plazo legal.

9.4. A petición del Cliente, Astralink certificará por escrito la eliminación.

10. Auditoría

10.1. Astralink pondrá a disposición del Cliente la información necesaria para demostrar que cumple este Acuerdo, por ejemplo respuestas a cuestionarios de seguridad y las certificaciones de sus proveedores de infraestructura.

10.2. Si eso no basta, o si lo exige una autoridad, el Cliente podrá auditar a su costo, con 30 días de aviso y como máximo una vez al año salvo incidente, por medio de un auditor sujeto a confidencialidad y sin acceso a datos de otros clientes.

11. Responsabilidad y prevalencia

11.1. La responsabilidad de cada parte bajo este Acuerdo está sujeta a las limitaciones de los Términos, salvo cuando la ley no las permita.

11.2. En materia de datos personales, este Acuerdo prevalece sobre los Términos, y las cláusulas contractuales tipo prevalecen sobre este Acuerdo.

12. Duración

Este Acuerdo rige mientras Astralink trate Datos Personales del Cliente.

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

Astralink aplica, como mínimo, estas medidas:

1. Cifrado en tránsito. HTTPS/TLS en la web, la API y las apps; HSTS.
2. Cifrado en reposo. Discos del servidor y almacenamiento de archivos de AWS cifrados.
3. Contraseñas. Guardadas con hash PBKDF2, nunca en texto legible.
4. Separación entre clientes. Cada consulta se limita a la empresa del Usuario que la hace.
5. Control de acceso. Permisos por rol que define el Cliente; sesiones que expiran; revocación de sesiones al cerrar sesión o cambiar la contraseña; verificación en dos pasos para el personal de Astralink.
6. Acceso del personal. Solo el mínimo necesario, con registro de cada acceso a datos de clientes. Ninguna copia de producción en equipos personales salvo cifrada, autorizada y temporal.
7. Protección de la aplicación. Límite de intentos en el inicio de sesión y en los códigos; verificación de la firma de los mensajes de Stripe, Mailgun, Google y Apple; política de seguridad de contenido (CSP).
8. Copias de seguridad. Diarias, guardadas fuera del servidor, con retención máxima de 35 días y pruebas periódicas de restauración.
9. Gestión de credenciales. Fuera del código, con rotación tras cualquier exposición.
10. Registro y monitoreo. Registros del servidor guardados 90 días y alertas de disponibilidad.
11. Gestión de incidentes. Procedimiento escrito con responsables, plazos y registro de incidentes.
12. Personal. Acuerdos de confidencialidad y formación en protección de datos.
13. Proveedores. Contrato de tratamiento con cada Subencargado; infraestructura de AWS con certificaciones ISO 27001 y SOC 2.

Anexo III. Subencargados

La lista vigente de Subencargados se publica en quantops.app/legal/subprocessors.

Anexo IV. Opciones de las cláusulas contractuales tipo de la UE