Acuerdo de Tratamiento de Datos
Última actualización: 25 de febrero de 2026
Este documento es una traducción del original en inglés. En caso de conflicto, la versión en inglés prevalecerá.
1. Partes
El presente Acuerdo de Tratamiento de Datos ("ATD") se celebra entre:
- Controller: Responsable del tratamiento: El cliente ("usted" o "Cliente") que ha aceptado los Términos del Servicio de Tender Analyzer y utiliza el Servicio para procesar documentos de licitación
- Processor: Encargado del tratamiento: Tender Analyzer ("nosotros" o "Encargado"), la entidad que opera https://www.tender-analyzer.com y https://app.tender-analyzer.com
Este ATD complementa y forma parte de los Términos del Servicio. En caso de conflicto entre este ATD y los Términos del Servicio, prevalecerá este ATD en lo relativo a las cuestiones de tratamiento de datos.
2. Definiciones
- Datos Personales: Toda información relativa a una persona física identificada o identificable, según se define en el Artículo 4(1) del GDPR
- Tratamiento: Cualquier operación realizada sobre Datos Personales, incluyendo la recogida, registro, organización, estructuración, conservación, adaptación, consulta, utilización, comunicación, supresión o destrucción
- Interesado: Persona física identificada o identificable cuyos Datos Personales son objeto de tratamiento
- Subencargado: Cualquier tercero contratado por el Encargado para tratar Datos Personales por cuenta del Responsable
- Autoridad de Control: Autoridad pública independiente establecida por un Estado miembro de la UE conforme al Artículo 51 del GDPR
3. Ámbito del Tratamiento
3.1 Finalidad
El Encargado trata Datos Personales únicamente para prestar el servicio Tender Analyzer, lo que incluye:
- Análisis documental de los archivos de licitación cargados (PDF, Excel, DOCX, CAD)
- Extracción de especificaciones técnicas y datos estructurados de los documentos
- Almacenamiento temporal de documentos durante el período de procesamiento
- Generación y almacenamiento de resultados de extracción
3.2 Tipos de Datos Personales
Los Datos Personales tratados pueden incluir nombres, datos de contacto e información empresarial contenidos en los documentos de licitación cargados. El Encargado no recopila ni extrae Datos Personales de los documentos de forma intencionada; cualquier Dato Personal presente es incidental a la extracción de especificaciones técnicas.
3.3 Interesados
Los Interesados pueden incluir empleados, clientes, socios del Responsable y cualquier persona referenciada en los documentos de licitación cargados.
4. Subencargados
El Responsable autoriza al Encargado a contratar los siguientes Subencargados. El Encargado notificará al Responsable cualquier cambio previsto en esta lista con al menos 30 días de antelación.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Hetzner Online GmbH | Alojamiento en la nube e infraestructura | Alemania (UE) |
| OpenRouter / Together AI | Inferencia LLM para análisis documental (solo API, sin retención de datos) | Estados Unidos |
| Proveedor SMTP | Envío de correo electrónico transaccional (verificación, notificaciones) | UE / Estados Unidos |
Los proveedores de inferencia LLM procesan el contenido de los documentos únicamente mediante llamadas a API. No almacenan, conservan ni utilizan los datos enviados para el entrenamiento de modelos. Todas las llamadas a la API están cifradas en tránsito mediante TLS.
5. Retención de Datos
El Encargado conserva los Datos Personales solo durante el tiempo necesario para prestar el Servicio:
- Documentos cargados: Eliminados 90 días después de completar el análisis
- Datos de cuenta: Conservados hasta que el Responsable elimine su cuenta
- Registros de uso: Conservados durante 12 meses para supervisión de seguridad y mejora del servicio
- Resultados de extracción: Conservados hasta que el Responsable los elimine o cierre la cuenta
Tras la finalización del acuerdo de servicio, el Encargado eliminará o devolverá todos los Datos Personales en un plazo de 30 días, salvo que la legislación aplicable exija su conservación.
6. Medidas de Seguridad
El Encargado implementa las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo:
- Cifrado en tránsito: Todos los datos se transmiten mediante TLS 1.3
- Cifrado en reposo: Cifrado AES-256 para documentos y datos almacenados
- Control de acceso: Políticas de Seguridad a Nivel de Fila (RLS) en base de datos que garantizan el aislamiento estricto entre inquilinos
- Autenticación: Control de acceso basado en JWT con tokens de corta duración
- Limitación de solicitudes: Protección contra abuso y ataques de denegación de servicio en todos los endpoints
- Aislamiento de infraestructura: Entorno de servidor dedicado con servicios contenerizados
- Copias de seguridad automatizadas: Copias diarias cifradas de la base de datos
7. Derechos de los Interesados
El Encargado asistirá al Responsable en el cumplimiento de sus obligaciones de responder a las solicitudes de los Interesados conforme al Capítulo III del GDPR, incluyendo:
- Derecho de acceso (Artículo 15) — obtener una copia de los Datos Personales en tratamiento
- Derecho de rectificación (Artículo 16) — corregir Datos Personales inexactos
- Derecho de supresión (Artículo 17) — solicitar la eliminación de Datos Personales
- Derecho a la limitación (Artículo 18) — restringir el tratamiento de Datos Personales
- Derecho a la portabilidad (Artículo 20) — recibir los Datos Personales en un formato estructurado y legible por máquina
- Derecho de oposición (Artículo 21) — oponerse al tratamiento de Datos Personales
El Encargado responderá a las solicitudes de los Interesados remitidas por el Responsable sin demora indebida y en un plazo máximo de 30 días.
8. Notificación de Brechas de Seguridad
En caso de una brecha de seguridad de Datos Personales, el Encargado deberá:
- Notificar al Responsable sin demora indebida y a más tardar en un plazo de 72 horas desde que tenga conocimiento de la brecha, de conformidad con el Artículo 33 del GDPR
- Proporcionar al Responsable información suficiente para cumplir con su obligación de comunicar la brecha a la Autoridad de Control correspondiente
- Cooperar con el Responsable y adoptar medidas razonables para asistir en la investigación, mitigación y resolución de la brecha
- Documentar todas las brechas, incluyendo los hechos relativos a la brecha, sus efectos y las medidas correctivas adoptadas
9. Transferencias Internacionales
El Encargado almacena todos los datos primarios dentro de la Unión Europea (Hetzner, Alemania).
Cuando el contenido de los documentos se transmite a proveedores de inferencia LLM ubicados fuera de la UE (OpenRouter, Together AI), dichas transferencias se realizan mediante llamadas API cifradas. Estos proveedores procesan los datos en tiempo real y no conservan el contenido enviado. El Encargado garantiza que se aplican las salvaguardias adecuadas, incluidas las Cláusulas Contractuales Tipo (CCT) cuando sea necesario conforme al Capítulo V del GDPR.
El Responsable reconoce que el contenido de los documentos se transmite a proveedores de LLM con el único fin de la extracción impulsada por IA y que no se incluyen Datos Personales intencionadamente en dichas transmisiones.
10. Derecho de Auditoría
El Responsable, o un auditor externo independiente designado por el Responsable, podrá auditar el cumplimiento del Encargado con este ATD, sujeto a las siguientes condiciones:
- El Responsable deberá comunicar por escrito con al menos 30 días de antelación cualquier auditoría
- Las auditorías se realizarán durante el horario laboral habitual y no perturbarán de forma irrazonable las operaciones del Encargado
- El Responsable asumirá los costes de cualquier auditoría, salvo que esta revele un incumplimiento sustancial por parte del Encargado
- El Encargado pondrá a disposición toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este ATD
11. Legislación Aplicable
Este ATD se rige e interpreta de conformidad con las leyes de la Unión Europea y las leyes aplicables del Estado miembro donde esté establecido el Responsable. Cualquier controversia derivada de este ATD quedará sometida a la jurisdicción exclusiva de los tribunales competentes de dicho Estado miembro.
12. Contacto
Para consultas sobre este Acuerdo de Tratamiento de Datos o para ejercer cualquier derecho conforme al mismo, contáctenos en:
Legal: [email protected]
Privacy: [email protected]
Website: https://www.tender-analyzer.com