tosgenerator — Anexo de Tratamiento de Datos

Esta es una traducción. Si hay diferencias, se aplica la versión en inglés, salvo que la ley de tu país exija aplicar la versión en español.

Fecha de entrada en vigor: 5 de octubre de 2026 · Versión 2026-10-05

Cambios en esta versión: el Apéndice III añade OpenRouter, OpenAI y Cloudflare Workers AI como Subencargados previstos para el clasificador de proveedores (no activos; no hay fecha de activación fijada, ver la sección 7.2) e indica los proveedores que no tratan Datos Personales del Cliente (GitHub, Stripe, Cloudflare Turnstile). Ya no se usa PostHog: Sprout ya no envía eventos del producto a ningún tercero. El Apéndice I describe ahora los datos de repositorios y cuánto tiempo se guardan los registros del servidor. La sección 7.2 indica ahora quién recibe el correo de aviso, y el Apéndice II describe las comprobaciones de estado tal como funcionan hoy.

Este Anexo de Tratamiento de Datos («Anexo» o «DPA») forma parte de los Términos del Servicio de tosgenerator (/legal/terms) (los «Términos») entre Sprout LLC, 299 NW 46th St, Boca Raton, FL 33431, USA («Sprout», «Encargado») y el cliente que acepta los Términos («Cliente»). Se aplica cuando Sprout trata Datos Personales del Cliente por cuenta del Cliente. El Cliente acepta este Anexo cuando acepta los Términos. No hace falta firma. Si el Cliente quiere una copia firmada, puede escribir a facundomartin@sproutco.io.

Si este Anexo contradice los Términos, se aplica este Anexo. Si este Anexo contradice las Cláusulas Contractuales Tipo, se aplican las Cláusulas Contractuales Tipo.

• Leyes de Protección de Datos: todas las leyes sobre datos personales que se aplican al tratamiento según este Anexo, incluidos el Reglamento General de Protección de Datos de la UE 2016/679 («RGPD»), el UK GDPR y la Data Protection Act 2018 del Reino Unido, la Ley Federal suiza de Protección de Datos (FADP), la California Consumer Privacy Act en su versión modificada («CCPA») y otras leyes de privacidad de estados de EE. UU., la LGPD de Brasil (Lei 13.709/2018) y la Ley 25.326 de Argentina.
• Datos Personales del Cliente: los datos personales que Sprout trata por cuenta del Cliente para prestar el Servicio, según se describe en el Apéndice I.
• Violación de Datos Personales: una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o su comunicación o acceso no autorizados.
• Subencargado: un tercero al que Sprout recurre para tratar Datos Personales del Cliente.
• Cláusulas Contractuales Tipo: las cláusulas contractuales tipo aprobadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/914.
• Addendum del Reino Unido: el Addendum de Transferencia Internacional de Datos del Reino Unido a las Cláusulas Contractuales Tipo, emitido por la Information Commissioner del Reino Unido (versión B1.0, en vigor desde el 21 de marzo de 2022, con sus modificaciones).
• Los demás términos (responsable del tratamiento, encargado del tratamiento, interesado, tratamiento, business, service provider) tienen el significado que les dan las Leyes de Protección de Datos.

2.1. El Cliente es el responsable del tratamiento (o, según la CCPA, el «business») de los Datos Personales del Cliente. Si el Cliente actúa como encargado del tratamiento de su propio cliente (por ejemplo, una agencia), el Cliente confirma que su cliente ha autorizado las instrucciones del Cliente y el uso de Sprout, y Sprout es subencargado del Cliente.

2.2. Sprout es el encargado del tratamiento (o «service provider») de los Datos Personales del Cliente.

2.3. Este Anexo no se aplica a los datos personales que Sprout trata como responsable del tratamiento para sus propios fines, por ejemplo los registros de cuenta, facturación, seguridad y contrato de los usuarios del Cliente. La Política de Privacidad (/legal/privacy) cubre esos datos.

3.1. El Cliente es responsable de la licitud del tratamiento, incluido tener una base jurídica, informar a los visitantes de su sitio web (incluido que usa a Sprout LLC como su proveedor de gestión del consentimiento) y configurar correctamente el banner de consentimiento.

3.2. El Cliente no debe usar el Servicio para tratar categorías especiales de datos personales ni datos de menores, salvo que haya evaluado que es lícito y que el Servicio es adecuado.

4.1. Sprout trata los Datos Personales del Cliente solo siguiendo instrucciones documentadas del Cliente, también respecto de las transferencias a terceros países, salvo que la ley exija otra cosa. En ese caso, Sprout informa al Cliente antes del tratamiento, salvo que la ley lo prohíba.

4.2. Los Términos, este Anexo y el uso y la configuración del Servicio por el Cliente son las instrucciones completas del Cliente. Las instrucciones adicionales requieren acuerdo por escrito.

4.3. Sprout informa de inmediato al Cliente si, en su opinión, una instrucción infringe las Leyes de Protección de Datos.

Sprout garantiza que toda persona autorizada para tratar Datos Personales del Cliente está sujeta a un deber de confidencialidad y accede a los datos solo cuando es necesario para prestar, proteger o dar soporte al Servicio.

Sprout aplica las medidas técnicas y organizativas del Apéndice II. Sprout puede actualizar estas medidas siempre que no disminuya el nivel general de seguridad.

7.1. El Cliente otorga a Sprout una autorización general para recurrir a Subencargados. Los Subencargados actuales figuran en el Apéndice III y en tosgenerator.com/legal/subprocessors.

7.2. Sprout avisa con al menos 30 días de antelación antes de añadir o sustituir un Subencargado, actualizando la página de subencargados y por correo electrónico a los titulares de las cuentas de pago. Los titulares de otras cuentas pueden pedir estos correos escribiendo a facundomartin@sproutco.io.

7.3. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo escribiendo a facundomartin@sproutco.io. Las partes tratarán la objeción de buena fe. Si no pueden resolverla, el Cliente puede terminar la parte afectada del Servicio antes de que el cambio entre en vigor, y Sprout reembolsa las tarifas pagadas por adelantado por el resto del período pagado.

7.4. Sprout impone a cada Subencargado, mediante contrato por escrito, obligaciones de protección de datos que ofrecen al menos el mismo nivel de protección que este Anexo. Sprout sigue siendo responsable ante el Cliente del cumplimiento de las obligaciones de sus Subencargados.

8.1. Solicitudes de los interesados. Sprout ayuda al Cliente, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de los interesados. El Cliente puede ver y exportar los registros de consentimiento en el Servicio. Si Sprout recibe una solicitud directamente, la envía al Cliente sin demora indebida y no la responde, salvo que el Cliente indique otra cosa o la ley lo exija.

8.2. Otra asistencia. Teniendo en cuenta la información de que dispone, Sprout ayuda al Cliente con sus obligaciones de seguridad, la notificación de Violaciones de Datos Personales, las evaluaciones de impacto relativas a la protección de datos y las consultas previas (artículos 32 a 36 del RGPD).

9.1. Sprout notifica al Cliente sin demora indebida y, en cualquier caso, dentro de las 48 horas siguientes a tener conocimiento de una Violación de Datos Personales que afecte a Datos Personales del Cliente.

9.2. La notificación incluye, en la medida en que se conozcan: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y una persona de contacto. Sprout facilita más información a medida que la obtiene.

9.3. Una notificación no es un reconocimiento de culpa ni de responsabilidad.

10.1. Durante la vigencia, el Cliente puede pedir a facundomartin@sproutco.io una exportación en CSV de sus registros de consentimiento y una copia de sus documentos. Sprout los envía sin demora indebida.

10.2. Los registros de consentimiento se borran automáticamente al final del plazo de conservación que el Cliente eligió para su banner (de 1 a 5 años, según el plan).

10.3. Cuando el Cliente borra su cuenta o terminan los Términos, Sprout borra los Datos Personales del Cliente dentro de los 30 días, salvo que la ley exija a Sprout conservarlos. Durante los 30 días posteriores a la terminación de los Términos, el Cliente puede pedir a Sprout una copia de sus datos. Las copias en las copias de seguridad se borran cuando el ciclo de copias las sobrescribe, y hasta entonces están protegidas.

11.1. Sprout pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Anexo y del artículo 28 del RGPD.

11.2. El Cliente puede auditar el cumplimiento de Sprout una vez al año, o con más frecuencia si lo exige una autoridad de control o después de una Violación de Datos Personales. El Cliente debe avisar por escrito con 30 días de antelación, usar un auditor sujeto a confidencialidad que no sea competidor de Sprout, evitar interrupciones y pagar sus propios costos. Sprout puede responder primero a un cuestionario por escrito o facilitar informes de sus proveedores, si son suficientes.

12.1. Sprout está en Estados Unidos y trata los Datos Personales del Cliente en Estados Unidos y en las demás ubicaciones del Apéndice III.

12.2. EEE. Para las transferencias de Datos Personales del Cliente desde el EEE a Sprout, las Cláusulas Contractuales Tipo se incorporan a este Anexo por referencia: Módulo 2 (de responsable a encargado) cuando el Cliente es responsable del tratamiento, y Módulo 3 (de encargado a encargado) cuando el Cliente es encargado del tratamiento. Las partes eligen: se aplica la cláusula 7 (cláusula de adhesión); cláusula 9, letra a), opción 2 (autorización general por escrito) con el plazo de aviso de la sección 7.2; no se aplica la opción de la cláusula 11, letra a); cláusula 13: la autoridad de control determinada según la cláusula 13, letra a); cláusula 17, opción 1: el Derecho de Irlanda; cláusula 18, letra b): los tribunales de Irlanda. Los Apéndices I y II de este Anexo completan los Anexos I y II de las Cláusulas Contractuales Tipo, y el Apéndice III de este Anexo completa el Anexo III de las Cláusulas Contractuales Tipo.

12.3. Reino Unido. Para las transferencias desde el Reino Unido, el Addendum del Reino Unido se incorpora por referencia. Tabla 1: los datos de las partes figuran en el Apéndice I. Tabla 2: las Cláusulas Contractuales Tipo tal como se incorporan en la sección 12.2. Tabla 3: los Apéndices I a III de este Anexo. Tabla 4: ambas partes pueden terminar el Addendum del Reino Unido según su sección 19.

12.4. Suiza. Para las transferencias desde Suiza, las Cláusulas Contractuales Tipo se aplican con estos cambios: la autoridad de control competente es el Comisionado Federal de Protección de Datos e Información de Suiza (FDPIC); las referencias al RGPD incluyen la FADP suiza; y el término «Estado miembro» no excluye que los interesados en Suiza puedan demandar en su lugar de residencia habitual.

12.5. Brasil y Argentina. Cuando la LGPD o la Ley 25.326 exijan un mecanismo de transferencia específico, las partes aceptan las cláusulas contractuales tipo aprobadas por la ANPD (Resolução CD/ANPD 19/2024) o por la autoridad argentina (Disposición 60-E/2016), según corresponda, que se incorporan por referencia, con los datos de los Apéndices de este Anexo.

12.6. Si Sprout se certifica en el Marco de Privacidad de Datos UE-EE. UU. (o en sus partes para el Reino Unido o Suiza), Sprout puede basarse en esa certificación en su lugar e informa de ello al Cliente.

13.1. Sprout es el service provider (y encargado del tratamiento) del Cliente y trata los Datos Personales del Cliente solo para los fines empresariales del Apéndice I.

13.2. Sprout no: (a) vende ni comparte Datos Personales del Cliente; (b) los conserva, usa ni comunica para ningún fin distinto de los fines empresariales del Apéndice I, incluido cualquier fin comercial distinto de prestar el Servicio; (c) los conserva, usa ni comunica fuera de la relación empresarial directa entre Sprout y el Cliente; ni (d) los combina con datos personales que Sprout recibe de otra persona o por cuenta de ella, o que recoge en su propia interacción con el consumidor, salvo lo que la CCPA permite a los service providers.

13.3. Sprout cumple la CCPA y ofrece el mismo nivel de protección que la CCPA exige al Cliente. Sprout informa al Cliente si ya no puede cumplir sus obligaciones. El Cliente puede tomar medidas razonables para detener y corregir un uso no autorizado, incluida la auditoría de la sección 11. Sprout certifica que entiende las restricciones de esta sección y que las cumplirá.

La responsabilidad de cada parte según este Anexo está sujeta a las limitaciones de los Términos, salvo cuando las Leyes de Protección de Datos o las Cláusulas Contractuales Tipo no permitan esa limitación frente a los interesados.

Este Anexo se aplica mientras Sprout trate Datos Personales del Cliente. Las secciones 10 y 12 siguen vigentes después de la terminación de los Términos hasta que Sprout haya borrado todos los Datos Personales del Cliente.

---

A. Partes

• Exportador de datos: el Cliente, identificado en su cuenta. Contacto: el correo electrónico del titular de la cuenta. Función: responsable del tratamiento (o encargado del tratamiento de su cliente). Actividades: uso del Servicio tosgenerator.
• Importador de datos: Sprout LLC, 299 NW 46th St, Boca Raton, FL 33431, USA. Contacto: facundomartin@sproutco.io. Función: encargado del tratamiento (o subencargado). Actividades: prestación del Servicio tosgenerator.

B. Descripción del tratamiento

Los documentos alojados y el banner de consentimiento no se ofrecen a nuevos clientes. Las referencias a documentos generados, alojamiento, inserciones y registros de consentimiento describen solo el uso de clientes existentes.

C. Autoridad de control competente: la que determine la cláusula 13 de las Cláusulas Contractuales Tipo.

• Cifrado en tránsito: HTTPS/TLS en todos los puntos de acceso públicos, HSTS en producción.
• Minimización de datos: los registros de consentimiento no guardan la dirección IP ni el agente de usuario completo del visitante; el analizador no guarda el contenido de las páginas, los valores de las cookies ni los valores de los formularios.
• Control de acceso: autorización denegada por defecto en cada acción; aislamiento estricto entre clientes en la capa de base de datos, con pruebas automáticas de aislamiento; funciones dentro de cada organización; acceso de administración limitado a personal identificado, con motivo, aviso visible y registro de auditoría en caso de suplantación.
• Autenticación: enlaces de inicio de sesión de un solo uso que caducan a los 15 minutos, hashes de contraseña bcrypt con un mínimo de 12 caracteres, límites de solicitudes, lista de sesiones con revocación, reautenticación para cambios sensibles, cookies de sesión firmadas y cifradas.
• Auditoría: registro de auditoría de solo anexado (la base de datos rechaza cambios y supresiones).
• Red e infraestructura: aplicación y base de datos en una red privada; el puerto de la base de datos no está expuesto a internet; protección de red de Cloudflare; protección contra bots en los formularios públicos; comprobación de origen y límites de solicitudes en los puntos de acceso públicos de consentimiento.
• Seguridad de la aplicación: política de seguridad de contenidos con nonces por solicitud, protección CSRF, cabeceras seguras, validación de entradas, controles de archivos subidos; auditorías automáticas de dependencias y análisis estático de seguridad en cada versión.
• Secretos: credenciales guardadas solo en el entorno de despliegue, nunca en el código fuente.
• Resiliencia: ediciones publicadas inmutables; comprobaciones de estado que una nueva versión debe superar antes de recibir tráfico.
• Personal: deberes de confidencialidad; acceso solo cuando es necesario.
• Respuesta a incidentes: proceso documentado para evaluar, contener y notificar Violaciones de Datos Personales (sección 9).
• Supresión: supresión automática de los registros de consentimiento al final del plazo de conservación; supresión de los datos del cliente después de borrar la cuenta (sección 10).

Los documentos alojados y el banner de consentimiento no se ofrecen a nuevos clientes. Las referencias a documentos generados, alojamiento, inserciones y registros de consentimiento describen solo el uso de clientes existentes.

La lista de proveedores que no tratan Datos Personales del Cliente es nueva; Cloudflare Turnstile pasa a esa lista.

Proveedores que no tratan Datos Personales del Cliente (se indican por transparencia; no son Subencargados según este Anexo):

Sprout no envía Datos Personales del Cliente a proveedores de inteligencia artificial. El clasificador de proveedores previsto enviaría solo los datos de las filas de OpenRouter, OpenAI y Cloudflare Workers AI, y Sprout lo activa solo después del plazo de aviso de la sección 7.2.

Estado a 5 de octubre de 2026: OpenRouter, OpenAI y Cloudflare Workers AI siguen sin estar activos. No hay fecha de activación fijada. Cualquier activación requiere el aviso de la sección 7.2, y el Cliente puede oponerse según la sección 7.3 escribiendo a facundomartin@sproutco.io.