Acuerdo de tratamiento de datos (DPA) para servicios de IA

Cómo usar este documento

• Para qué sirve. Es un anexo contractual base entre una organización cliente y un proveedor de servicios de IA que trata datos personales por cuenta del cliente. Recoge el contenido habitual de un contrato de encargo de tratamiento y lo completa con lo propio de la IA: prohibición de entrenar modelos con los datos del cliente, informe del proveedor sobre el funcionamiento, las limitaciones y los riesgos del sistema, documentación para el uso responsable, subencargados (incluidos los proveedores de modelos), transferencias internacionales, incidentes y supresión de datos en modelos y bases vectoriales.
• Quién lo usa. Sirve tanto al cliente que contrata IA como al proveedor que la vende. Si su organización es el proveedor, adapte las cláusulas a su servicio real y no ofrezca compromisos que su arquitectura no pueda cumplir.
• Quién debe ser su dueño. El área legal, con el DPO o la función de privacidad, seguridad de la información y el área de compras. Indique el área en [ÁREA RESPONSABLE].
• Decisiones previas. Decida qué opción de uso de datos para mejora del servicio acepta (cláusula 5), el plazo de notificación de incidentes (cláusula 13), el régimen de autorización de subencargados (cláusula 8), qué documentación exige al proveedor (cláusula 11 y anexo IV) y qué cláusulas opcionales incluye (cláusula 19).
• Campos a completar. Sustituya los textos entre corchetes y complete los anexos I a IV. Las cláusulas [OPCIONAL] son propuestas para que su asesor valore si las incluye; borre la marca al conservarlas.
• Variantes por país. Conserve las variantes de los países cuya normativa de protección de datos se aplica al tratamiento (por la ubicación del cliente, de las personas titulares o del proveedor) e incorpore su contenido al texto o como anexo. Elimine las demás.
• Revisión. Este anexo debe revisarlo un abogado antes de firmarse, en especial la ley aplicable, la responsabilidad, los mecanismos de transferencia y su encaje con el contrato principal y con las condiciones estándar del proveedor.
• Firma y conservación. Fírmelo junto con el contrato principal o como adenda, conserve la versión firmada y sus anexos actualizados, y registre al proveedor en el inventario de sistemas de IA y en el registro de actividades de tratamiento.

Acuerdo de tratamiento de datos (DPA) para servicios de IA

Campo	Contenido
Cliente (responsable del tratamiento)	[COMPLETAR: razón social, domicilio e identificación fiscal del cliente]
Proveedor (encargado del tratamiento)	[PROVEEDOR], [COMPLETAR: domicilio e identificación fiscal]
Contrato principal	[COMPLETAR: nombre y fecha del contrato de servicios o licencia]
Servicio de IA	[SISTEMA DE IA]
Fecha de entrada en vigor	[FECHA]
Contacto de privacidad del cliente	[EMAIL DE PRIVACIDAD]
Contacto de privacidad y seguridad del proveedor	[COMPLETAR]

1. Objeto, ámbito y prelación

1.1 Este acuerdo regula el tratamiento de datos personales que el Proveedor realiza por cuenta del Cliente al prestar el servicio de IA descrito en el contrato principal y en el anexo I.

1.2 Forma parte del contrato principal. En caso de contradicción en materia de tratamiento de datos, uso de datos para entrenamiento o seguridad, prevalece este acuerdo, salvo que el contrato principal sea más protector para las personas titulares.

1.3 Las condiciones generales, políticas de uso o documentos en línea del Proveedor no modifican este acuerdo salvo aceptación expresa y por escrito del Cliente.

2. Definiciones

• Datos del Cliente: toda información que el Cliente o sus usuarios introducen, cargan o ponen a disposición del servicio, incluidos los datos personales.
• Entradas: instrucciones, consultas, archivos, documentos, audio, imágenes y demás contenido que se envía al sistema de IA.
• Resultados: respuestas, contenidos, puntuaciones, clasificaciones, recomendaciones y demás salidas que genera el sistema de IA a partir de las Entradas.
• Datos derivados: representaciones vectoriales (embeddings), índices, metadatos, registros (logs), valoraciones de usuarios y cualquier otro dato derivado de las Entradas o de los Resultados.
• Entrenar: entrenar, reentrenar, ajustar (fine-tuning), destilar, evaluar o mejorar de cualquier otra forma un modelo de IA.
• Modelo general: cualquier modelo del Proveedor o de terceros que se usa o puede usarse para prestar servicios a otros clientes.
• Subencargado: cualquier tercero que trate datos personales del Cliente por encargo del Proveedor, incluidos los proveedores de modelos de IA, de infraestructura en la nube y de herramientas de monitoreo.
• Violación de seguridad: toda violación de la seguridad que ocasione la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales del Cliente.
• Incidente de IA: fallo, comportamiento inesperado, manipulación o uso indebido del sistema de IA que cause o pueda causar un perjuicio relevante al Cliente o a las personas, aunque no constituya una violación de seguridad, por ejemplo resultados sistemáticamente erróneos o sesgados, revelación de datos a través de los Resultados o compromiso del modelo por inyección de instrucciones.
• Legislación aplicable: las normas de protección de datos y de IA aplicables al tratamiento, incluidas las indicadas en las variantes por país que las partes conserven.