Acuerdo de Procesamiento de Datos (DPA)

Partes

Responsable del tratamiento ("la Agencia"): la agencia titular de la cuenta de Lumen.

Encargado del tratamiento ("Lumen"): SCHWAB NICOLAS, contacto contact@getlumen.lat.

1. Roles, objeto y duración

La Agencia es responsable del tratamiento de los datos personales que carga en Lumen sobre sus clientes y su equipo; Lumen los trata como encargado, únicamente por cuenta de la Agencia. Este DPA rige mientras Lumen preste el servicio y hasta la devolución o supresión de los datos (cláusula 11).

2. Finalidad y datos tratados

Finalidad: prestar el servicio de monitoreo de visibilidad en motores de IA contratado por la Agencia (ejecutar prompts, calcular métricas, generar reportes y recomendaciones).

Datos: nombre, correo y foto de los usuarios de la Agencia; nombres de marca, dominios, competidores, ubicaciones y prompts de sus clientes; resultados de ejecuciones; y datos de las integraciones que la Agencia conecte. Titulares: usuarios de la Agencia y, eventualmente, contactos de sus clientes. La Agencia no debe cargar datos sensibles ni datos que no necesite para el servicio.

3. Instrucciones

Lumen tratará los datos solo según las instrucciones documentadas de la Agencia, que son este DPA, los Términos y el uso de la configuración del servicio. Si considera que una instrucción infringe la normativa aplicable, lo informará a la Agencia. Lumen no usa los datos de la Agencia para entrenar modelos de IA ni para fines propios distintos de prestar el servicio, salvo la elaboración de estadísticas y estudios agregados y anonimizados descritos en la Política de Privacidad, que no identifican a la Agencia, a sus clientes ni a sus marcas.

4. Confidencialidad

Lumen garantiza que las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad.

5. Medidas de seguridad

Lumen aplica medidas técnicas y organizativas adecuadas, descritas en la página de Seguridad, entre ellas:

• Cifrado en tránsito (HTTPS/TLS) y almacenamiento cifrado.
• Credenciales de integraciones cifradas a nivel de aplicación (AES-256-GCM).
• Autenticación mediante Google OAuth 2.0 o enlace de acceso por correo electrónico, y separación de los datos por cuenta y por cliente.
• Conexiones de Google Search Console y GA4 de solo lectura, opcionales y desconectables.
• Acceso del equipo restringido a personal autorizado, con registro de quién y cuándo, y autenticación de dos factores.

6. Subencargados

La Agencia autoriza de forma general el uso de los subprocesadores listados en la página de Subprocesadores. Lumen les impondrá obligaciones de protección de datos equivalentes y seguirá siendo responsable ante la Agencia por su cumplimiento.

Lumen avisará a la Agencia con 30 días de anticipación por correo electrónico sobre la incorporación o el reemplazo de un subprocesador. Dentro de ese plazo, la Agencia podrá objetar por motivos razonables de protección de datos; si no hay acuerdo, podrá terminar el servicio afectado.

7. Transferencias internacionales

Los datos se alojan en Estados Unidos (Supabase, región us-east-2, Ohio; Vercel, región cle1, Cleveland), por lo que implican una transferencia internacional desde Argentina, Colombia u otros países. Al aceptar este DPA, la Agencia autoriza expresamente esa transferencia y declara que la ha informado a los titulares de los datos cuando la normativa aplicable lo exija.

8. Derechos de los titulares

Lumen asistirá a la Agencia, con medidas técnicas razonables y en plazos que le permitan cumplir la normativa, para responder a solicitudes de acceso, rectificación, supresión, oposición y portabilidad. Si Lumen recibe una solicitud directamente, la derivará a la Agencia.

9. Incidentes de seguridad

Lumen notificará a la Agencia sin demora indebida, y dentro de 72 horas desde que tome conocimiento, cualquier violación de seguridad que afecte datos personales de la Agencia, indicando su naturaleza, los datos afectados, las medidas adoptadas y un punto de contacto, y asistirá a la Agencia en la notificación a las autoridades y a los titulares cuando corresponda.

10. Auditoría

Lumen pondrá a disposición de la Agencia la información razonablemente necesaria para demostrar el cumplimiento de este DPA. Una vez por año, con aviso previo, la Agencia podrá solicitarla; Lumen la entregará respondiendo un cuestionario de seguridad y aportando documentación sobre las medidas descritas en la página de Seguridad.

11. Devolución y supresión

Al terminar el servicio, la Agencia podrá exportar sus datos y Lumen los eliminará dentro de 30 días, salvo obligación legal de conservarlos. A solicitud, Lumen confirmará la supresión por escrito.

12. Responsabilidad y ley aplicable

La responsabilidad de cada parte se rige por los Términos de Servicio. Este DPA se rige por la ley de la República Argentina y se somete a la jurisdicción indicada en los Términos.

Aceptación

Este DPA forma parte de los Términos de Servicio y se aplica a la Agencia desde que los acepta al crear su cuenta o usar el servicio; no hace falta una firma aparte. Si la Agencia necesita una copia firmada, puede pedirla a contact@getlumen.lat.