Acuerdo de encargo del tratamiento (DPA)

1. Partes y aceptación

1.1 Tantea: CUALITE, RNC 132798491, con domicilio en Calle Emile Boyrie de Moya 44, Santo Domingo, República Dominicana, que opera la plataforma Tantea en tantea.me («Tantea»). Privacidad: info@tantea.me. Seguridad: security@tantea.me.

1.2 El Cliente: la organización que se registra en Tantea y acepta este acuerdo, sea una agencia o una cuenta Creador. Lo acepta en su nombre el usuario que la da de alta, que declara tener facultades para ello.

1.3 Aceptación: el Cliente acepta este acuerdo en el alta, junto con los términos, al marcar «Acepto los términos y el acuerdo de tratamiento de datos (versión 2026-10-30-borrador)». Tantea guarda la versión aceptada, la fecha y un registro de auditoría, que valen como aceptación por escrito.

1.4 Este acuerdo forma parte de los términos de servicio de Tantea (tantea.me/legal/terminos) y prevalece sobre ellos en lo relativo a datos personales (§21).

2. Definiciones

• Servicio: la plataforma Tantea: perfiles de influencers, landings, directorio de la agencia, propuestas y media kits, con su IA, su analítica y sus avisos.
• Datos del encargo: los datos personales que el Cliente, sus usuarios o los influencers que representa suben a Tantea, o que Tantea genera al prestarle el Servicio (§6).
• Influencer o titular: la persona a la que se refiere un perfil. Tutor: su madre, padre o tutor legal, si es menor de edad.
• Consentimiento del influencer: el que da el influencer, o su tutor, a través de Tantea, por permisos separados, cada uno con el nombre que ve el influencer: identity_photos («Tu identidad y tus fotos»), audience («Tus cifras y tu audiencia»), rates («Tus tarifas»), media_ai («Análisis de tus fotos y videos con IA») y us_hosting («Guardar y tratar tus datos en EE. UU.»).
• Portal del titular: el enlace permanente app.tantea.me/portal/{token}, desde el que el influencer revisa y retira sus permisos y ejerce sus derechos sin crear una cuenta.
• Subencargado: el proveedor al que Tantea encarga parte del tratamiento (Anexo II).
• Brecha: cualquier incidente de seguridad que destruya, pierda o altere datos del encargo, o que los divulgue o dé acceso a ellos sin autorización.
• Días hábiles: de lunes a viernes, sin los feriados nacionales de República Dominicana.
• Normativa de protección de datos: la Ley 172-13 de República Dominicana y, cuando se aplique al tratamiento del Cliente, el Reglamento (UE) 2016/679 (RGPD) y la de otros países.
• CCT: las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914). DPF: el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795).

3. Objeto y papel de cada parte

3.1 Este acuerdo regula el tratamiento de los datos del encargo que Tantea hace por cuenta del Cliente para prestarle el Servicio.

3.2 El Cliente es el responsable del tratamiento, y Tantea, el encargado.

3.3 Quedan fuera de este acuerdo, porque de ellos Tantea es responsable y los regula su política de privacidad: los datos de las cuentas de usuario de la app (acceso, sesiones y seguridad), los del propio creador en una cuenta Creador, la facturación y el cobro, la relación comercial de Tantea con sus clientes y las métricas de uso del producto. [pendiente de revisión legal]

4. Duración

Desde la aceptación hasta que se borren los datos del encargo tras el cierre de la cuenta (§17). La confidencialidad y lo que por su naturaleza deba sobrevivir siguen vigentes después.

5. Naturaleza y finalidad del tratamiento

5.1 Finalidad: prestar el Servicio al Cliente: preparar, publicar y mantener las landings, el directorio, las propuestas y los media kits de sus influencers; pedir y registrar su consentimiento y atender sus derechos; recibir las solicitudes de las marcas; medir visitas y aperturas, y dar soporte.

5.2 Operaciones:

• recogida de lo que suben el Cliente y sus usuarios (a mano, por CSV, con capturas o con fotos) y de lo que aportan los influencers, las marcas y los visitantes;
• conservación en EE. UU. y copias de seguridad;
• análisis con IA (§13): extracción de cifras desde capturas de estadísticas, perfil de estilo y textos sugeridos;
• cálculo por código de cifras derivadas, solo con datos declarados;
• publicación: landings en {slug}.tantea.me, la página de la agencia, propuestas y media kits por enlace, PDF e imágenes para compartir;
• comunicación a las marcas a las que el Cliente decide enviar propuestas;
• envío de los correos del Servicio;
• analítica propia sin cookies;
• exportación, rectificación, supresión y purga.

5.3 Tantea no usa los datos del encargo para fines propios ni los vende o cede, salvo a los subencargados del Anexo II, a quien el Cliente decida a través del Servicio, lo que exija la ley y lo previsto en §3.3.

6. Interesados y categorías de datos

6.2 Datos sensibles: el Servicio no está pensado para datos sensibles (salud, vida sexual, opiniones y creencias, afiliación sindical u origen étnico). El Cliente no los sube, y la IA no puede deducirlos (§13.2).

6.3 Menores: si el influencer es menor, el Cliente lo marca así e indica el email de su madre, padre o tutor, que es quien consiente (§8.3).

7. Instrucciones

7.1 Tantea trata los datos del encargo solo según las instrucciones documentadas del Cliente: este acuerdo, los términos, la configuración del Servicio y lo que hacen sus usuarios en la app. También cuando la ley obligue a Tantea; en ese caso se lo dirá antes al Cliente, salvo que la ley lo prohíba.

7.2 Instrucciones permanentes. El Cliente instruye a Tantea para que:

a) pida el consentimiento del influencer, o de su tutor, en el email que declara el Cliente, por permisos separados y sin premarcar; lo registre de forma inmutable, y no publique nada sin identity_photos y us_hosting;

b) antes de ese consentimiento, guarde en EE. UU. los datos que suba el Cliente y use la IA en EE. UU. con sus textos y sus capturas de estadísticas, nunca con fotos ni fotogramas sin media_ai; no publique nada, y los purgue 30 días después del rechazo o de la caducidad de la solicitud, si no hay una nueva [pendiente de revisión legal];

c) atienda directamente al influencer desde su portal, sin esperar al Cliente: retirar permisos (con despublicación en menos de 60 segundos y purga a las 72 horas), obtener una copia, borrar sus datos, transferir su perfil a otra agencia o a una cuenta Creador propia y verificar sus canales (§14). El Cliente recibe aviso de cada solicitud;

d) aplique «No me representa»: rechace la solicitud, bloquee nuevas solicitudes del Cliente a ese email y abra una denuncia que revisa Tantea;

e) suspenda una landing cuando una persona demuestre, con la prueba que revisa Tantea, que el perfil la suplanta [pendiente de revisión legal];

f) republique la landing cuando cambien los datos que muestra, y oculte los segmentos de audiencia de menos del 2 %;

g) envíe los correos del Servicio (solicitudes, recordatorios, avisos y copias) y, cuando el Cliente lo pida, sus propuestas;

h) mida visitas y aperturas sin cookies, con aviso en las propuestas, sin medir nada a los destinatarios de la UE, el EEE y el Reino Unido hasta que lo acepten;

i) conserve la prueba mínima del consentimiento y los registros de actividad (§17.4).

7.3 Si una instrucción infringe a su juicio la normativa de protección de datos, Tantea se lo dice al Cliente y puede no ejecutarla mientras tanto.

8. Obligaciones del Cliente

8.1 Responder de la licitud de sus tratamientos, incluida la información a los interesados de los que es responsable: leads, contactos de marcas y visitantes.

8.2 Garantía de representación: el Cliente garantiza que representa al influencer, que el email que declara es suyo (o de su tutor) y que tiene su autorización para preparar su perfil, y responde si no es así ([pendiente de revisión legal]).

8.3 Marcar a los menores e indicar el nombre y el email de su madre, padre o tutor.

8.4 No subir datos sensibles ni más datos de terceros de los necesarios, y contar con la autorización de los autores de los testimonios que publica [pendiente de revisión legal].

8.5 Atender las solicitudes de rectificación que le reenvíe Tantea dentro del plazo legal (§14).

8.6 Si usa los datos de leads o de contactos de marcas para enviar correos comerciales, cumplir la Ley 310-14: consentimiento o relación previa, «PUBLICIDAD» en el asunto y opción de baja.

8.7 No pedir a Tantea tratamientos que el consentimiento del influencer no cubra.

9. Confidencialidad

9.1 Solo acceden a los datos del encargo las personas de Tantea que lo necesitan para prestar el Servicio, obligadas a la confidencialidad también después de terminar su relación con Tantea.

9.2 El acceso del equipo de Tantea a la cuenta del Cliente para darle soporte es de solo lectura, con un motivo, durante 60 minutos, con un aviso visible y un email a los owners, y queda en el registro de actividad que ve el Cliente. Escribir exige un segundo motivo y se limita a una lista cerrada de acciones, que nunca incluye la facturación, la seguridad, los roles, los borrados ni las exportaciones, ni actuar como el influencer.

9.3 El desarrollo, las pruebas y las demostraciones usan solo datos ficticios. Los datos reales solo están en producción y nunca se copian a otros entornos.

9.4 Tantea guarda secreto sobre los datos del encargo, también tras el fin del acuerdo.

10. Seguridad

10.1 Tantea aplica las medidas técnicas y organizativas del Anexo I, adecuadas al riesgo.

10.2 Puede sustituirlas por otras que den un nivel de seguridad igual o mayor, y lo refleja en el Anexo I.

11. Subencargados

11.1 El Cliente autoriza de forma general a Tantea a usar los subencargados del Anexo II.

11.2 Antes de añadir o sustituir un subencargado, o de cambiar el país o la región donde trata los datos, Tantea avisa al Cliente con al menos 30 días de antelación, por email a los owners y en la app, y actualiza el Anexo II.

11.3 El Cliente puede oponerse dentro de ese plazo por motivos razonables de protección de datos. Las partes buscarán una solución; si no la hay, el Cliente puede dar de baja el Servicio antes de que el cambio entre en vigor, con el reembolso prorrateado del periodo pagado que no haya usado.

11.4 Si un proveedor falla o compromete la seguridad y hay que sustituirlo con urgencia, Tantea avisa en cuanto pueda, y el Cliente conserva su derecho de oposición.

11.5 Tantea impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo, y responde ante el Cliente de que las cumpla.

11.6 Un subencargado o una región fuera de EE. UU. exige además el consentimiento de los influencers afectados, porque us_hosting solo cubre EE. UU. (§12.3 y §13.5). El aviso de §11.2 no basta.

12. Transferencias internacionales

12.1 Tantea trata los datos del encargo en EE. UU. (Anexo II). Lo publicado se sirve desde las redes globales de Vercel y Cloudflare, como cualquier web pública, y los correos llegan a los proveedores de sus destinatarios.

12.2 Tantea se opera desde República Dominicana: su equipo accede a los datos en remoto, sin copiarlos fuera de EE. UU.

12.3 República Dominicana. Alojar los datos fuera del país es una transferencia (art. 6.20 de la Ley 172-13), que el art. 80 permite con la autorización del titular (80.1) o por necesidad contractual o precontractual (80.6). La autorización del influencer es el permiso us_hosting; antes de él, rige la necesidad contractual o precontractual: la relación de representación del Cliente con el influencer o los pasos previos para establecerla (§7.2.b). Para los leads, los contactos de marcas y los visitantes, la base la fija el Cliente como responsable [pendiente de revisión legal].

12.4 RGPD. Cuando el tratamiento del Cliente esté sujeto al RGPD:

a) entre el Cliente y Tantea rigen las CCT, módulo 2 (de responsable a encargado), con las opciones del Anexo III, porque República Dominicana no cuenta con una decisión de adecuación;

b) para los subencargados de EE. UU., Tantea se apoya en el DPF, si el subencargado está certificado, o en las CCT, módulo 3 (de encargado a encargado);

c) Tantea ayuda al Cliente a evaluar el impacto de esas transferencias;

d) si hace falta, Tantea designa un representante en la UE (art. 27 del RGPD): [pendiente de revisión legal].

12.5 Otros países: [pendiente de revisión legal].

13. Inteligencia artificial

13.1 Qué hace. La IA del Servicio extrae cifras de capturas de estadísticas, propone un perfil de estilo y redacta sugerencias de textos, traducciones y propuestas. Todo es una sugerencia que una persona del Cliente acepta o corrige: la IA no toma decisiones sobre los interesados.

13.2 Qué no hace. No infiere personalidad, emociones ni atributos sensibles: el esquema de sus respuestas no los admite. No inventa cifras, marcas, precios ni testimonios, que solo entran por referencia a los datos guardados. No analiza fotos, capturas del feed ni fotogramas sin el permiso media_ai.

13.3 Proveedores. Tantea solo usa con datos del encargo proveedores de IA cuyas condiciones contractuales excluyan entrenar sus modelos con esos datos y fijen un plazo de conservación conocido. Hoy es Anthropic (Claude), que los borra en 30 días como máximo, salvo el contenido que sus sistemas de seguridad marquen como infracción (Anexo II).

13.4 Residencia. Con datos personales, toda llamada se hace por defecto con inferencia en EE. UU. (inference_geo: "us"), desde un espacio de trabajo que solo admite esa región. En cada respuesta, Tantea comprueba la región que informa el proveedor: si no es EE. UU., descarta la respuesta y lo trata como incidente.

13.5 Registro de modelos. Tantea mantiene un registro de los modelos y proveedores de IA, con la región de inferencia, si entrenan con los datos y cuánto los conservan. Solo los que cumplen §13.3 y §13.4 se usan con datos personales; los demás, solo con datos ficticios o sin datos personales. Para usar con datos del encargo un modelo que no los cumpla harían falta, antes, una modificación de este acuerdo, una instrucción documentada del Cliente y el consentimiento específico de los influencers afectados [pendiente de revisión legal].

13.6 Qué se guarda. Ni los prompts ni las imágenes enviadas. Se guardan los metadatos de cada llamada (modelo, región, tokens, costo y hashes) durante 13 meses, y las sugerencias sin aplicar, 30 días.

13.7 Pruebas. Las evaluaciones de calidad de la IA usan solo datos ficticios.

14. Derechos de los interesados

14.1 El influencer ejerce sus derechos en autoservicio desde su portal, y Tantea los ejecuta por instrucción del Cliente (§7.2.c):

14.2 Cuando se aplique el RGPD, el plazo es de un mes, ampliable en dos (art. 12.3).

14.3 Los derechos de los leads, los contactos de marcas y los visitantes los atiende el Cliente, con las herramientas del Servicio (exportar la organización, borrar leads y editar marcas). A petición suya, Tantea borra los datos de quien respondió a un enlace.

14.4 Si una solicitud le llega a Tantea por otra vía, la reenvía al Cliente en [pendiente de revisión legal] o remite al influencer a su portal, y no la contesta por su cuenta salvo para eso.

14.5 Tantea vigila los plazos con alertas internas al tercer día hábil (acceso) y a los 7 días naturales (rectificación y supresión).

15. Brechas de seguridad

15.1 Tantea notifica al Cliente cualquier brecha que afecte a datos del encargo sin dilación indebida y, como mucho, 48 horas después de detectarla, por email a sus owners.

15.2 La notificación dice, en lo que se sepa: qué pasó; qué datos e interesados afecta, y cuántos; sus consecuencias probables; las medidas tomadas o propuestas, y un contacto. Lo que aún no se sepa se envía por fases.

15.3 Tantea ayuda al Cliente a cumplir sus obligaciones: avisar a los interesados con riesgo alto (a través del Cliente, o directamente si el Cliente no puede) y, si se aplica el RGPD, notificar a la autoridad de control en 72 horas. La ley dominicana no obliga a notificar; Tantea aplica de todos modos su protocolo de 72 horas (Anexo I.14).

15.4 En una cuenta Creador, Tantea avisa directamente al titular.

15.5 Tantea documenta cada brecha, con sus hechos, sus efectos y sus medidas, y la analiza en los 30 días siguientes.

15.6 Notificar una brecha no supone reconocer responsabilidad.

16. Otras ayudas al Cliente

Con la información de que dispone, Tantea ayuda al Cliente con las evaluaciones de impacto (por ejemplo, en España, para el perfilado o la IA), las consultas previas y los requerimientos de las autoridades, y su registro de actividades. Tantea lleva su propio registro de las actividades que trata como encargado.

17. Fin del encargo: devolución y borrado

17.1 Devolución. El Cliente puede exportar sus datos cuando quiera desde la app (un owner, con sesión reciente): un ZIP con JSON, CSV sin fórmulas y los archivos, disponible 7 días.

17.2 Borrado. Al cerrar la cuenta, sus landings se despublican en el acto, y todos los datos del encargo, en la base y en los archivos, se borran 30 días después. Si la prueba gratuita termina sin pago, o el Cliente da de baja un plan de pago, la cuenta pasa a solo lectura, las landings siguen publicadas 14 días y los datos se borran a los 30.

17.3 Hasta el borrado, cada influencer conserva su derecho a transferir su perfil (§14.1).

17.4 Lo que queda tras el borrado:

17.5 A petición del Cliente, Tantea certifica por escrito el borrado [pendiente de revisión legal].

17.6 Los plazos de conservación mientras dura el Servicio están en el Anexo I.13.

18. Auditorías

18.1 Tantea pone a disposición del Cliente la información necesaria para demostrar que cumple este acuerdo: este documento y sus anexos, el registro de actividad de su organización (visible para sus owners y admins) y respuestas por escrito a cuestionarios razonables, una vez al año.

18.2 El Cliente puede auditar el cumplimiento, por sí o mediante un auditor independiente obligado a confidencialidad, una vez al año, con 30 días de preaviso y a su costa, sin acceder a datos de otros clientes ni a secretos de seguridad. Además, tras una brecha o cuando lo pida una autoridad.

18.3 Para los subencargados, Tantea se apoya en sus certificaciones e informes de auditoría, y los facilita al Cliente cuando el proveedor lo permita.

19. Responsabilidad

La que fijan los términos ([pendiente de revisión legal]), salvo lo que la ley no permita limitar.

20. Cambios del acuerdo

20.1 Tantea puede publicar una versión nueva de este acuerdo, con 30 días de aviso por email a los owners y en la app. Si un cambio reduce la protección de los datos, Tantea pedirá al Cliente que acepte la nueva versión [pendiente de revisión legal].

20.2 Un cambio que exija la ley rige cuando la ley lo disponga.

20.3 Cada aceptación queda registrada con su versión y su fecha.

21. Ley aplicable, jurisdicción y prelación

21.1 Ley aplicable: la de la República Dominicana. Tribunales: los de [pendiente de revisión legal], como en los términos. Cuando se apliquen las CCT, prevalecen su ley y su foro (Anexo III).

21.2 Si se aplican las CCT, prevalecen sobre este acuerdo, y este, sobre los términos en lo relativo a datos personales.

21.3 Si hay versiones en varios idiomas, prevalece la española [pendiente de revisión legal].

---

Anexo I. Medidas técnicas y organizativas

Fuente: arquitectura/seguridad.md, operacion.md, datos.md e ia.md.

I.1 Residencia

• Cómputo de la aplicación, trabajos en segundo plano, tareas programadas y PDF: Vercel, solo en la región iad1 (EE. UU.). Ejecutar en otra región salta como alerta de prioridad máxima.
• Base de datos y sus copias: Supabase, us-east-1.
• Archivos: Cloudflare R2, con jurisdicción us, fijada al crear los buckets y que no se puede cambiar.
• IA: Anthropic, con inferencia en EE. UU. (§13.4).
• Correo: Resend, us-east-1. Errores: Sentry, región de EE. UU.
• Las copias se generan en iad1 y se guardan en R2 con jurisdicción us; nunca pasan por los equipos de integración continua.

I.2 Entornos

• Solo producción guarda datos personales reales. Local, integración continua, preview y staging usan datos ficticios, y nada se copia desde producción.
• Credenciales distintas por entorno: un valor de producción nunca se usa en otro. Preview y staging tienen el acceso protegido.

I.3 Aislamiento entre clientes

• Cada tabla de clientes lleva el identificador de la organización. El acceso pasa por una capa de datos con el alcance de la organización, y la seguridad a nivel de fila (RLS) de Postgres, forzada, actúa como segunda barrera.
• Pedir un recurso de otra organización responde «no encontrado».
• Los tests de aislamiento son obligatorios en cada cambio.
• El rol de la base que puede saltarse la RLS solo lo usan los trabajos del sistema.

I.4 Acceso de los usuarios del Cliente

• Acceso con Google o con un código por email, sin contraseñas, desde un único formulario que responde igual exista o no la cuenta.
• Sesión en cookies __Host- (Secure, HttpOnly, SameSite=Lax) de 7 días renovables; en la base solo se guarda el hash del token.
• Segundo factor (TOTP) opcional, con códigos de respaldo; obligatorio para el equipo de Tantea.
• Las sesiones abiertas se ven y se cierran desde la cuenta.
• Las acciones sensibles exigen una sesión de 10 minutos como máximo o volver a autenticarse: cambiar el email o el segundo factor; cambiar los roles o transferir la propiedad; contratar, cambiar o cancelar el plan y comprar paquetes; pasar el perfil de una cuenta Creador a una agencia; cerrar la cuenta, borrar la cuenta personal y exportar la organización.
• Roles por organización: owner, admin y member.

I.5 Acceso del equipo de Tantea

• Rol de superadministrador, con segundo factor obligatorio y sesiones de 12 horas.
• Acceso de soporte a una cuenta, según §9.2.
• Las copias de producción no se descargan a equipos personales.

I.6 Cifrado y claves

• En tránsito: TLS 1.2 o superior en todo, HSTS y verificación completa del certificado hacia la base.
• En reposo: el cifrado de Supabase, R2 y Vercel. Las exportaciones semanales de la base se cifran con una clave que no está en línea.
• En la aplicación: AES-256-GCM con claves versionadas para tokens y datos sensibles: enlaces de propuestas y de consentimiento, emails de las reclamaciones y lo que espera en la cola de correos.
• Hashes: SHA-256 para tokens y códigos; argon2id para las contraseñas de los enlaces; HMAC-SHA256, con claves propias, para los emails de la prueba mínima y de los bloqueos.
• Secretos por entorno, en el gestor de contraseñas y en las variables protegidas del proveedor; rotación cada 180 o 365 días según el secreto, e inmediata ante cualquier sospecha.

I.7 Enlaces, tokens y códigos

• Tokens de 32 bytes aleatorios, de los que se guarda el hash, no el token.
• Solicitud de consentimiento: solo por email al influencer o a su tutor, sin enlace copiable, de un solo uso y con 14 días de validez.
• Portal del titular: enlace permanente, que se rota al consentir, a petición del titular o al recuperarlo.
• Código de 6 dígitos, válido 10 minutos y con 5 intentos, para exportar, borrar o transferir.
• Enlaces de propuesta no adivinables, con caducidad (30 días por defecto), revocables y con contraseña opcional e intentos limitados.
• Las páginas con token no se guardan en caché, no pasan la dirección de origen (no-store, no-referrer) y no se indexan.
• Ningún token llega a los registros ni a Sentry.

I.8 Subidas, imágenes y video

• Subida directa con una URL firmada que fija el tipo y el tamaño exacto. El tipo se comprueba por el contenido; las imágenes se recodifican sin metadatos EXIF, que pueden llevar la ubicación, y los SVG se sanean.
• Los originales van a un bucket privado; las variantes públicas llevan un nombre firmado que no se deduce del original.
• El video nunca se sube: con media_ai, el navegador extrae los fotogramas, que se borran al terminar el análisis, con registro, y una regla del bucket borra lo que quede al día siguiente.

I.9 Vistas públicas y analítica

• Política de seguridad de contenidos (CSP) con nonce y sin scripts ni rastreadores de terceros, salvo los reproductores oficiales de Instagram, TikTok y YouTube, que solo cargan al pulsarlos.
• Analítica propia sin cookies: el visitante es un hash diario de una sal que se borra cada día, el sitio, la IP y el navegador. La IP no se guarda, y los bots no cuentan.
• Las propuestas avisan de que miden aperturas. A los destinatarios de la UE, el EEE y el Reino Unido no se les mide nada hasta que aceptan.
• Los segmentos de audiencia de menos del 2 % no se muestran.
• Límites de peticiones: cortafuegos de Vercel por IP en el acceso, los formularios, el beacon y las contraseñas, y límites por organización en la IA y las subidas. El formulario de leads descarta los envíos automáticos.

I.10 IA

• Una sola puerta de acceso al proveedor, que comprueba la residencia antes de cada llamada y en cada respuesta (§13.4).
• Un turno, sin herramientas ni memoria: el modelo no puede actuar sobre nada.
• Respuestas con un esquema validado; cifras, marcas y precios, solo por referencia a datos guardados.
• Las entradas de los usuarios van delimitadas como datos, contra la inyección de instrucciones, y las pruebas periódicas incluyen esos casos.
• Ni prompts ni imágenes en la base, en los registros ni en Sentry.

I.11 Registro de actividad y prueba del consentimiento

• Registro de las acciones sensibles, escrito en la misma transacción que la acción, sin datos personales en su contenido, y que no se puede modificar ni borrar. Los owners y admins ven el de su organización.
• El registro del consentimiento tampoco se puede modificar ni borrar. Guarda la versión y el hash del texto, la IP, el navegador, la vía y quién otorgó.

I.12 Registros técnicos y monitorización

• Registros estructurados sin tokens, emails, IP ni contenido de clientes. Sentry, sin datos personales: se enmascaran tokens y emails, y no se adjuntan cuerpos de peticiones.
• Los registros de peticiones de Vercel incluyen las rutas visitadas, que pueden contener tokens de enlaces, y se guardan 1 día.
• Una purga fallida, un plazo legal en riesgo, una región distinta de iad1 o una inferencia fuera de EE. UU. son alertas de prioridad máxima, que se atienden en 4 horas como máximo.

I.13 Conservación

I.14 Incidentes

• Protocolo de 72 horas: detección; contención en 4 horas como máximo (rotar secretos, cerrar sesiones, revocar enlaces, reglas del cortafuegos o modo de mantenimiento), preservando las pruebas; alcance en 24 horas; aviso a los clientes afectados en 48; avisos completos en 72, y análisis y corrección en 30 días, con una prueba que cubra el caso.
• Contacto público de seguridad, security@tantea.me, publicado en /.well-known/security.txt.
• Procedimientos escritos para la purga, las copias, la rotación de secretos, las caídas de proveedores y la residencia.

I.15 Copias y continuidad

• Copia diaria de la base (7 días) y exportación semanal cifrada a un bucket con bloqueo de borrado (35 días como máximo).
• Un registro de borrados, sin datos personales, permite reaplicarlos al restaurar una copia.
• Ensayo de restauración trimestral, con un objetivo de menos de 2 horas.

I.16 Desarrollo

• Cada cambio pasa una batería automática de pruebas, con los tests de aislamiento, y la revisión de un desarrollador sénior antes de integrarse.
• Parte del código lo escriben agentes de IA, que solo trabajan con datos ficticios.

Anexo II. Subencargados

No son subencargados de los datos del encargo:

• Paddle, vendedor registrado (merchant of record) que cobra al Cliente: trata como responsable propio los datos de facturación del Cliente, no los del encargo.
• Google, en el acceso con Google de los usuarios del Cliente, del que Tantea es responsable.
• TikTok, Google (YouTube) y Meta (Instagram), cuando el influencer se autentica en ellas para verificar su canal. Tantea solo guarda el resultado, nunca sus tokens.
• Los reproductores oficiales de Instagram, TikTok y YouTube, que cargan cuando un visitante pulsa un video.
• Los proveedores de correo de los destinatarios.
• GitHub (código e integración continua) y el gestor de contraseñas, que no tratan datos del encargo.

Anexo III. Cláusulas contractuales tipo (CCT)

Solo se aplican cuando el tratamiento del Cliente está sujeto al RGPD (§12.4). Se incorporan por referencia, en su texto oficial, con estas opciones:

Apéndice:

• Anexo I.A (partes): exportador, el Cliente, responsable; importador, Tantea (CUALITE, Calle Emile Boyrie de Moya 44, Santo Domingo, República Dominicana), encargado. Contacto: info@tantea.me.
• Anexo I.B (descripción): interesados y datos, §6; finalidad y operaciones, §5; transferencia continua; conservación, Anexo I.13; subencargados, Anexo II.
• Anexo I.C (autoridad): [pendiente de revisión legal].
• Anexo II (medidas): el Anexo I de este acuerdo.
• Anexo III (subencargados): el Anexo II de este acuerdo.

Además: [pendiente de revisión legal] · [pendiente de revisión legal].