ANEXO DE PROCESAMIENTO DE DATOS

Última actualización: 9 de abril de 2026

Este Anexo de Procesamiento de Datos ("DPA") complementa el Términos de servicio de APIANT (el "Acuerdo") entre Apiant, Inc. ("APIANT", "nosotros" o "nuestro") y el cliente ("Cliente", "usted" o "su") y rige el procesamiento de datos personales por parte de APIANT en nombre del Cliente en relación con los Servicios, incluidos los datos procesados a través de la infraestructura del servidor MCP (Protocolo de Contexto de Modelo) del Cliente.

Este Acuerdo de Protección de Datos (APD) se aplica en la medida en que APIANT procesa datos personales en nombre del Cliente como encargado del tratamiento de datos (o proveedor de servicios, según corresponda conforme a las leyes estatales de privacidad de EE. UU.). En caso de conflicto entre este APD y el Contrato, prevalecerá este APD en lo que respecta al tratamiento de datos personales.

1. Definiciones

"Datos personales" significa cualquier información relativa a una persona física identificada o identificable que sea procesada por APIANT en nombre del Cliente a través de los Servicios.

"Tratamiento" significa cualquier operación realizada sobre Datos Personales, incluyendo la recopilación, registro, organización, almacenamiento, adaptación, recuperación, consulta, uso, divulgación, combinación, restricción, borrado o destrucción.

"Subprocesador" significa cualquier tercero contratado por APIANT para procesar Datos Personales en nombre del Cliente.

"Leyes de protección de datos" significa todas las leyes y regulaciones aplicables relacionadas con la privacidad y la protección de datos, incluido el Reglamento General de Protección de Datos (RGPD) de la UE, el RGPD del Reino Unido, la Ley de Privacidad del Consumidor de California (CCPA) modificada por la Ley de Derechos de Privacidad de California (CPRA), la Ley de Protección de Datos del Consumidor de Virginia (VCDPA) y cualquier otra ley estatal de privacidad de EE. UU. aplicable.

"Infraestructura del servidor MCP" se refiere al/los servidor/es compatible/s con MCP que el Cliente implementa en la infraestructura APIANT dedicada del Cliente (incluido/s el/los nombre/s de dominio propio/s del Cliente), a través de los cuales los usuarios finales del Cliente pueden interactuar con la Plataforma a través de plataformas de IA de terceros.

2. Alcance y funciones

2.1 Con respecto a los Datos Personales procesados a través de los Servicios, el Cliente es el responsable del tratamiento de datos (o la empresa, según corresponda) y APIANT es el encargado del tratamiento de datos (o el proveedor de servicios, según corresponda).

2.2 APIANT procesa los Datos Personales únicamente en nombre del Cliente y de acuerdo con sus instrucciones documentadas. El uso que el Cliente haga de los Servicios, incluida la configuración de automatizaciones y el procesamiento de datos a través de la infraestructura del servidor MCP del Cliente, constituye instrucciones documentadas a los efectos del presente Acuerdo de Protección de Datos.

2.3 APIANT no procesará Datos Personales para ningún otro fin que no sea la prestación de los Servicios, salvo que así lo exija la ley aplicable. En tal caso, APIANT informará al Cliente de dicho requisito legal antes de procesar los Datos, a menos que la ley prohíba dicha notificación.

3. Categorías de datos procesados

3.1 Servicios de la plataforma

Cuando el Cliente utiliza la Plataforma directamente, APIANT puede procesar las siguientes categorías de Datos Personales según lo determine la configuración del Cliente:

Información de contacto (nombres, direcciones de correo electrónico, números de teléfono)
Credenciales de cuenta y tokens de autenticación
Datos comerciales transmitidos entre aplicaciones de terceros.
Cualquier otro dato que el Cliente decida procesar a través de la Plataforma.

3.2 Infraestructura del servidor MCP

Cuando los datos se procesan a través de la infraestructura del servidor MCP del cliente, APIANT (como proveedor de la plataforma subyacente) puede procesar:

Credenciales de autenticación (como los tokens OAuth 2.0) utilizados para verificar la identidad y autorizar el acceso al servidor MCP del cliente.
Parámetros de llamada de la herramienta: las entradas estructuradas transmitidas por una plataforma de IA al servidor MCP del cliente para ejecutar las acciones solicitadas
Respuestas a llamadas de herramientas: los resultados devueltos por el servidor MCP del cliente a la plataforma de IA

APIANT lo hace no Recibir o procesar el texto completo de las conversaciones de los usuarios finales con las plataformas de IA. Solo se procesan en el servidor APIANT del cliente los datos estructurados de la llamada a la herramienta necesarios para ejecutar la acción solicitada.

4. Retención y eliminación de datos

4.1 APIANT conserva los Datos Personales procesados a través de los Servicios durante la vigencia del Contrato, a menos que el Cliente solicite su eliminación anticipada.

4.2 Para los datos procesados específicamente a través de la infraestructura del servidor MCP:

tokens de autenticación Se conservan en la memoria durante la duración de la sesión y no se mantienen después de la desconexión.
Registros de llamadas de herramientas (parámetros y respuestas) pueden conservarse hasta noventa (90) días para fines de depuración y operativos, después de lo cual se eliminan automáticamente.
No hay perfiles de usuario se construyen a partir de datos de interacción de MCP.

4.3 Dentro de los treinta (30) días siguientes a la expiración o terminación del Acuerdo, APIANT eliminará o devolverá todos los Datos Personales en su posesión o bajo su control, excepto en la medida en que la retención sea requerida por la ley aplicable.

4.4 El cliente puede solicitar la eliminación de sus datos personales en cualquier momento poniéndose en contacto con nosotros. privacy@apiant.comAPIANT deberá cumplir con dichas solicitudes dentro de los treinta (30) días, sujeto a cualquier obligación legal de retención.

5. Falta de capacitación sobre datos de clientes

APIANT lo hace no Utilizar datos personales, datos de usuario, parámetros de llamadas a herramientas, respuestas a llamadas a herramientas o cualquier otro dato del cliente para entrenar modelos de inteligencia artificial, modelos de aprendizaje automático o cualquier sistema automatizado de toma de decisiones. Esto se aplica a todos los datos procesados a través de la Plataforma, la infraestructura del servidor MCP y cualquier otro componente de los Servicios.

6. Subprocesadores

6.1 El cliente autoriza a APIANT a contratar a los siguientes subprocesadores para que le ayuden a prestar los Servicios:

Subprocesador	Objetivo	Ubicación
Servicios web de Amazon (AWS)	Infraestructura y alojamiento en la nube	Estados Unidos
Recurrentemente	Procesamiento de facturación y pagos	Estados Unidos
Google (Google Analytics)	Análisis de sitios web	Estados Unidos
HubSpot	Gestión de relaciones con el cliente y comunicaciones	Estados Unidos
Smartlook	Grabación de sesiones y análisis de UX (solo para el sitio web, no para la plataforma).	UE (República Checa)
Splunk	Monitorización y registro del rendimiento de la plataforma	Estados Unidos

6.2 APIANT notificará al Cliente cualquier cambio previsto en los Subprocesadores actualizando este DPA. El Cliente puede oponerse a un nuevo Subprocesador poniéndose en contacto con legal@apiant.com dentro de los treinta (30) días siguientes a la notificación.

6.3 APIANT suscribirá acuerdos por escrito con cada subencargado del tratamiento que impongan obligaciones de protección de datos no menos estrictas que las establecidas en este Acuerdo de Protección de Datos.

7. Medidas de seguridad

APIANT implementa y mantiene medidas técnicas y organizativas apropiadas para proteger los Datos Personales, incluyendo:

Cifrado en tránsito: Todos los datos transmitidos hacia y desde los servidores de APIANT, incluidas las comunicaciones con el servidor MCP, están cifrados mediante HTTPS/TLS.
Cifrado en reposo: Los datos personales almacenados en la infraestructura de APIANT se cifran en reposo mediante un sistema de cifrado estándar del sector.
Controles de acceso: El acceso a los datos personales está restringido al personal autorizado que necesite conocerlos para el desempeño de sus funciones.
Autenticación: La plataforma requiere acceso autenticado. La infraestructura del servidor MCP requiere autenticación OAuth 2.0 o equivalente.
Escucha: APIANT supervisa sus sistemas para detectar incidentes de seguridad y accesos no autorizados.
Respuesta ante incidentes: APIANT mantiene un proceso de respuesta ante incidentes y notificará al Cliente sin demora indebida (y en cualquier caso dentro de las 72 horas) tan pronto como tenga conocimiento de una violación de datos personales.
Infraestructura: La plataforma está alojada en la infraestructura de Amazon Web Services (AWS), que cuenta con las certificaciones SOC 2, ISO 27001 y otras certificaciones del sector.

8. Derechos del interesado

8.1 APIANT prestará asistencia al Cliente para atender las solicitudes de los interesados conforme a las leyes de protección de datos aplicables, incluidas las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición al tratamiento de datos.

8.2 Si APIANT recibe una solicitud directamente de un interesado en relación con los Datos Personales tratados en nombre del Cliente, APIANT deberá remitir rápidamente al interesado al Cliente y notificarle la solicitud, salvo que la ley lo prohíba.

8.3 APIANT proporcionará una cooperación y asistencia razonables al Cliente para responder a las solicitudes de los interesados, teniendo en cuenta la naturaleza del Tratamiento.

9. Transferencias internacionales de datos

9.1 La infraestructura principal de APIANT se encuentra en los Estados Unidos. Al utilizar los Servicios, el Cliente autoriza la transferencia de Datos Personales a los Estados Unidos.

9.2 En la medida en que cualquier transferencia de Datos Personales desde el Espacio Económico Europeo (EEE), el Reino Unido o Suiza a los Estados Unidos constituya una transferencia restringida según las Leyes de Protección de Datos aplicables, dicha transferencia estará sujeta a las Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea (Módulo Dos: Responsable del Tratamiento a Encargado del Tratamiento), que se incorporan al presente documento por referencia.

9.3 El cliente puede solicitar una copia del mecanismo de transferencia aplicable poniéndose en contacto con legal@apiant.com.

10. Cumplimiento de la CCPA y las leyes estatales de privacidad de EE. UU.

10.1 En la medida en que APIANT procesa Datos Personales sujetos a la CCPA u otras leyes estatales de privacidad de EE. UU., APIANT actúa como un "proveedor de servicios" (según se define en la CCPA) o desempeña un papel equivalente según la ley estatal aplicable.

10.2 APIANT no venderá ni compartirá (según se define en la CCPA) los Datos Personales recibidos del Cliente.

10.3 APIANT no conservará, utilizará ni divulgará Datos Personales para ningún otro fin que no sea la prestación de los Servicios, incluyendo cualquier fin comercial distinto a la prestación de los Servicios.

10.4 APIANT no combinará los Datos Personales recibidos del Cliente con la información personal recibida de otras fuentes, excepto en los casos permitidos por la ley aplicable para prestar los Servicios.

10.5 APIANT certifica que entiende y cumplirá con las restricciones establecidas en esta Sección 10.

11. Auditorías

11.1 APIANT pondrá a disposición del Cliente, previa solicitud razonable y no más de una vez cada doce (12) meses, la información necesaria para demostrar el cumplimiento de este DPA.

11.2 El cliente podrá solicitar una auditoría de las actividades de procesamiento de datos de APIANT, o bien designar a un auditor externo cualificado para que la realice, previa notificación por escrito con treinta (30) días de antelación. Dichas auditorías se llevarán a cabo durante el horario laboral habitual y no interrumpirán de forma indebida las operaciones de APIANT. El cliente correrá con los gastos de dicha auditoría.

12. Duración y Terminación

Este Acuerdo de Protección de Datos (APD) permanecerá vigente durante la vigencia del Acuerdo. Las obligaciones de APIANT en virtud de este APD con respecto a los Datos Personales que obren en su poder o bajo su control subsistirán tras la finalización del Acuerdo hasta que todos los Datos Personales hayan sido eliminados o devueltos de conformidad con la Sección 4.

13. Contacto

Para cualquier pregunta o solicitud relacionada con este acuerdo de protección de datos, póngase en contacto con:

Apiant, Inc.
196 W Ashland St, Doylestown
Doylestown, PA 18901
Estados Unidos

Correo electrónico: privacy@apiant.com
Legal: legal@apiant.com