Acuerdo de Procesamiento de Datos (DPA)
Effective date:
Este Acuerdo de Procesamiento de Datos (DPA) se celebra en virtud del Artículo 28 del Reglamento (UE) 2016/679 (GDPR) como anexo de protección de datos de su acuerdo con PDFLean: usted, como controlador de los datos, determina los fines y los medios del tratamiento; PDFLean, como procesador de datos, ejecuta el procesamiento en la nube únicamente según sus instrucciones documentadas y nunca utiliza los datos de los clientes para su propio marketing, elaboración de perfiles ni entrenamiento de modelos. Al utilizar las herramientas WASM locales del navegador, los archivos nunca salen de su dispositivo y no surge ninguna delegación de tratamiento bajo este DPA.
1. Alcance y precedencia del acuerdo
Este DPA se aplica al procesamiento de datos personales enviados por o generados en nombre del cliente a través de los servicios de computación en la nube de PDFLean. Las herramientas locales del navegador que operan en el lado del cliente en WebAssembly sin transmitir archivos a la infraestructura de PDFLean no crean ninguna relación de procesador, y este DPA no les aplica. Si surge algún conflicto entre este DPA y los Términos de Servicio generales, este DPA prevalecerá con respecto a la privacidad y la protección de datos.
2. Roles de controlador y procesador
A los fines de la ley de protección de datos aplicable, el cliente actúa como Controlador de Datos, y PDFLean actúa como Procesador de Datos. PDFLean procesa los documentos del cliente basándose únicamente en las instrucciones documentadas del controlador (iniciadas a través de comandos web interactivos como fusionar, dividir, OCR o conversión) y nunca procesa datos personales para sus propios fines de marketing, elaboración de perfiles o entrenamiento de aprendizaje automático.
3. Obligaciones legales del procesador
PDFLean se compromete a cumplir las siguientes obligaciones legales en virtud del Art. 28 del GDPR:
- Instrucciones documentadas y minimización de datos: Procesar los datos exclusivamente según las indicaciones del cliente, conservar los documentos temporales solo durante el ciclo de vida técnico necesario para completar el procesamiento (se eliminan automáticamente al completarse o caducar) y notificar al cliente si una instrucción parece violar las regulaciones de protección de datos aplicables.
- Confidencialidad del personal: Asegurar que todo el personal autorizado para manejar la infraestructura o los tickets de soporte al cliente esté sujeto a una estricta confidencialidad contractual.
- Notificación de incidentes: En el caso de un incidente de seguridad de datos personales confirmado, notificar a los controladores afectados dentro de las 72 horas con evaluaciones exhaustivas de riesgo técnico.
- Asistencia y derechos del interesado: Ayudar a los controladores a cumplir sus obligaciones de responder a los interesados que ejerzan derechos legales (acceso, supresión, rectificación).
4. Subprocesadores de infraestructura autorizados
Las certificaciones de los subprocesadores son aquellas divulgadas públicamente por cada proveedor (por ejemplo, Cloudflare, Stripe). PDFLean en sí no afirma tener certificación SOC 2 / ISO 27001:
| Subprocesador | Función del servicio | Ubicación | Estándar de cumplimiento |
|---|---|---|---|
| Cloudflare, Inc. | Computación en el borde, defensa DDoS y almacenamiento encriptado R2 | Nodos de borde en la UE y EE. UU. | SOC 2 Type II, ISO 27001 |
| Stripe, Inc. | Pasarela de pago y facturación de IVA conforme | Centros globales de nivel 1 | PCI-DSS Nivel 1 |
| Resend, Inc. | Entrega de correo electrónico del sistema transaccional | Canales en EE. UU. / UE | SOC 2 Type II |
| DeepSeek | Resumen o traducción opcional con IA (solo proxy del lado del servidor) | China (continental) — transferencia transfronteriza | Pesos del modelo bajo licencia MIT; se invoca solo cuando se solicitan funciones de IA; transferencia bajo cláusulas contractuales tipo (SCCs) / sus instrucciones |
5. Medidas técnicas y organizativas (TOMs)
Desplegamos medidas de defensa en profundidad: cifrado TLS 1.3 en tránsito; cifrado AES-256 en reposo; sin almacenamiento permanente de documentos de clientes (se eliminan automáticamente al caducar); y control de acceso con privilegio mínimo.
6. Ejecución del DPA y contacto legal
Los equipos empresariales y jurídicos que requieran un DPA formal contrafirmado con Cláusulas Contractuales Tipo (SCCs) pueden solicitar el paquete de ejecución a través de nuestra mesa de cumplimiento legal: support@pdflean.com; nuestro equipo legal proporcionará el paquete de ejecución en un plazo de un día hábil.