Subencargados y Transferencias Internacionales

Índice#

1. Cómo leer esta página
2. Alojamiento y ubicaciones
3. Lista de subencargados del tratamiento
4. Subencargados del tratamiento por producto
5. Proveedores de IA elegidos por el cliente (clave de API propia del cliente, BYOK)
6. Mecanismo de transferencia por subencargado del tratamiento
7. Responsables del tratamiento independientes (no subencargados)
8. Cambios y cómo suscribirse
9. Transferencias internacionales (Brasil — Res. CD/ANPD 19/2024)

1. Cómo leer esta página#

1.1 Dos funciones. SonhoLab (L. M. PEREZ MONTANA, CNPJ 61.620.014/0001-00) utiliza estas empresas en dos funciones:

• como encargado del tratamiento para los clientes empresariales, respecto de los datos que cargan en un Sistema. El Anexo de Tratamiento de Datos (DPA) rige esta función. Para esos datos, esta página es el Anexo III del DPA.
• como responsable del tratamiento de su propio sitio web, cuentas, facturación, soporte y aplicaciones para consumidores. La Política de Privacidad rige esta función.

1.2 Qué significa aquí "subencargado del tratamiento". Un subencargado del tratamiento es una empresa que trata datos personales de clientes o usuarios por cuenta de SonhoLab. Los servicios que SonhoLab opera por sí misma en su alojamiento (por ejemplo, su propio servidor de correo electrónico) no se enumeran como subencargados del tratamiento separados.

1.3 Lista completa. SonhoLab no utiliza sus propias cuentas de IA para tratar Datos del Cliente. Los proveedores de IA que un cliente conecta con su propia clave son proveedores del cliente (Sección 5). La cuenta de IA propia de SonhoLab se utiliza únicamente para las actividades propias de SonhoLab como responsable del tratamiento (Sección 3.1).

2. Alojamiento y ubicaciones#

2.1 Alojamiento principal. Hetzner Online GmbH (Alemania) aloja los Sistemas en servidores situados en Helsinki, Finlandia (UE).

2.2 Copias de seguridad. Hetzner realiza copias de seguridad automáticas del servidor en Finlandia. Las copias de seguridad de las bases de datos en el lado del servidor se conservan hasta 14 días. Una copia externa se cifra antes de salir del servidor y se almacena hasta 14 días en equipos operados por SonhoLab en Brasil. Brasil y la UE se reconocen mutuamente como adecuados (Sección 6). Los datos eliminados desaparecen de las copias de seguridad cuando estas caducan, en un plazo máximo de 30 días.

2.3 Correo electrónico. SonhoLab opera su propio servidor de correo electrónico (mailcow) en la misma infraestructura de Hetzner.

2.4 Acceso remoto. El personal de SonhoLab trabaja desde Brasil y puede acceder a los datos de forma remota para tareas de soporte y operaciones.

2.5 Equipos en Brasil. Aparte de la copia de seguridad cifrada de la Sección 2.2, ningún Sistema empresarial se trata en equipos operados por SonhoLab en Brasil. Hades, que actualmente no se ofrece al público, tiene sus propias ubicaciones y proveedores, descritos únicamente en la Adenda Hades: Voz, Biometría, Memoriales e IA de Compañía.

3. Lista de subencargados del tratamiento#

Ninguna cuenta de IA de SonhoLab para Datos del Cliente. Ningún proveedor de IA es subencargado del tratamiento de SonhoLab para Datos del Cliente. Todas las funciones de IA de todos los Sistemas funcionan con la cuenta y la clave propias del cliente con su proveedor de IA (Sección 5). SonhoLab no entrena modelos con Datos del Cliente. No vende datos personales ni comparte datos personales para publicidad conductual entre contextos.

3.1 Proveedores para las actividades propias de SonhoLab (SonhoLab como responsable del tratamiento)#

Hades actualmente no se ofrece al público. Los proveedores y equipos que utiliza se enumeran en la Adenda Hades: Voz, Biometría, Memoriales e IA de Compañía, sección 14.

4. Subencargados del tratamiento por producto#

"Funciones de IA" significa las funciones que ofrece un Sistema y que utilizan un modelo de lenguaje, de voz o de visión. En todos los Sistemas solo están disponibles en los planes de pago y solo funcionan con la clave de IA propia del cliente (Sección 5). Permanecen desactivadas hasta que el cliente añade una clave.

Actualizamos esta lista antes de que una nueva función de IA entre en funcionamiento en cualquier Sistema.

5. Proveedores de IA elegidos por el cliente (clave de API propia del cliente, BYOK)#

5.1 Todos los Sistemas. Todas las funciones de IA de todos los Sistemas y productos de agentes de SonhoLab funcionan con la cuenta propia del cliente con un proveedor de IA. Esto incluye Inventario, Verita, Clínicas, Granja, CRM Inmobiliario, Bidstream, Brain SaaS, el gateway de LLM, Jesse y Digital Team OS. El Portal de Empleo no tiene funciones de IA. Las cuentas de IA propias de SonhoLab nunca se utilizan para los clientes.

5.2 Solo planes de pago; el cliente elige y contrata. El plan Gratis de todos los Sistemas no tiene funciones de IA. Las funciones de IA solo existen en los planes de pago (Básico y Premium, o el plan de pago propio del producto). El cliente elige el proveedor y el modelo de IA (habitualmente OpenAI), contrata directamente con ese proveedor e introduce su propia clave de API en la configuración del Sistema. SonhoLab nunca proporciona una clave de IA a ningún cliente. Las funciones de IA de un Sistema permanecen desactivadas hasta que el cliente añade una clave.

5.3 No es subencargado del tratamiento de SonhoLab. Ese proveedor de IA es proveedor propio del cliente, conforme al contrato propio del cliente. SonhoLab le transmite únicamente los datos que envía la configuración del cliente, porque el cliente se lo instruye al añadir la clave. SonhoLab no incluye a ese proveedor como su subencargado del tratamiento, y el aviso de cambios de 30 días de SonhoLab no se le aplica.

5.4 Responsabilidades del cliente. El cliente es responsable de:

• (a) las condiciones y políticas de uso de ese proveedor, su acuerdo de tratamiento de datos y sus garantías para transferencias internacionales;
• (b) elegir un proveedor, un plan y una configuración que no permitan el entrenamiento con los datos;
• (c) pagar a ese proveedor por el uso. El proveedor factura directamente al cliente. SonhoLab no es responsable de los cargos, la disponibilidad, las interrupciones, los resultados ni los cambios de política del proveedor; y
• (d) informar a sus propios clientes, pacientes, estudiantes o usuarios de qué proveedor de IA utiliza, cuando la ley lo exija.

5.5 Qué hace SonhoLab. SonhoLab almacena la clave fuera del código fuente, con acceso restringido al personal de SonhoLab, la utiliza únicamente para las funciones propias de ese cliente, envía solo lo que la función necesita y elimina la clave cuando el cliente lo solicita o la retira. Todo lo demás queda sujeto al DPA. La Adenda de Agentes de IA y Mensajería y el Aviso de Transparencia sobre IA explican las funciones.

6. Mecanismo de transferencia por subencargado del tratamiento#

Términos utilizados:

• Adecuación de la UE (Brasil): Decisión de Ejecución (UE) 2026/179 de la Comisión, para las transferencias del EEE a Brasil. Res. CD/ANPD 32/2026, para las transferencias de Brasil a la UE.
• CCT de la UE: las cláusulas contractuales tipo de la Decisión (UE) 2021/914. El Módulo 2 se aplica cuando SonhoLab es responsable del tratamiento. El Módulo 3 se aplica cuando SonhoLab es encargado del tratamiento.
• DPF: el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework, Decisión (UE) 2023/1795) y su extensión al Reino Unido. Nos basamos en él solo cuando la empresa está certificada, y siempre junto con las CCT.
• Adenda del Reino Unido / IDTA: los instrumentos de transferencia del Reino Unido emitidos por el Information Commissioner.
• Cláusulas de la ANPD: las cláusulas contractuales tipo de la Res. CD/ANPD 19/2024, Anexo II, utilizadas íntegramente y sin modificaciones.

Para un proveedor de IA que el cliente conecta con su propia clave (Sección 5), el cliente establece las garantías de transferencia conforme a su propio contrato con ese proveedor.

Las transferencias desde el EEE a SonhoLab en Brasil, incluida la copia de seguridad externa cifrada (Sección 2.2), se basan en la adecuación de la UE. Las transferencias desde el Reino Unido a SonhoLab en Brasil se basan en la Adenda del Reino Unido, porque el Reino Unido no ha reconocido a Brasil como adecuado. El DPA, Anexo IV, establece las condiciones completas.

Copias. Puedes solicitar una copia de las cláusulas de transferencia en contacto@sonholab.com. Enviamos el texto completo dentro de los 15 días. Podemos suprimir las condiciones comerciales que no sean pertinentes.

7. Responsables del tratamiento independientes (no subencargados)#

Estas empresas reciben datos personales cuando las utilizas, pero deciden por sí mismas cómo tratarlos. Se aplican sus propias políticas de privacidad.

8. Cambios y cómo suscribirse#

8.1 Plazo de aviso. SonhoLab avisa a los clientes empresariales con al menos 30 días de antelación antes de añadir o reemplazar un subencargado del tratamiento que trate Datos Personales del Cliente. Lo hace:

• (a) actualizando esta página, con la fecha y una descripción de cada cambio en el registro de cambios que figura a continuación; y
• (b) enviando un correo electrónico a la dirección del propietario de la cuenta de cada organización afectada y a cada persona suscrita a los avisos de cambios.

8.2 Suscripción. Cualquier persona puede suscribirse a los avisos de cambios. Escribe a contacto@sonholab.com con el asunto "Subprocessor updates". Puedes darte de baja en cualquier momento de la misma forma.

8.3 Oposiciones. Los clientes empresariales pueden oponerse dentro de los 30 días, según se describe en el DPA, Sección 8.

8.4 Cambios de emergencia. Si un subencargado del tratamiento debe reemplazarse con urgencia por razones de seguridad o de continuidad, avisamos lo antes posible. El derecho de oposición sigue aplicándose.

8.5 Registro de cambios.

9. Transferencias internacionales (Brasil — Res. CD/ANPD 19/2024)#

9.1 Quiénes somos. L. M. PEREZ MONTANA (SonhoLab), CNPJ 61.620.014/0001-00, Rua Fausto Cabral, 871, Casa A, Vicente Pinzon, Fortaleza-CE, 60181-227, Brasil. Encargado de protección de datos (DPO / encarregado): contacto@sonholab.com. La autoridad de control es la Agência Nacional de Proteção de Dados (ANPD).

9.2 Adónde van tus datos.

La copia de seguridad externa cifrada se conserva en equipos operados por SonhoLab en Brasil. Conservarla en Brasil no constituye una transferencia internacional. Los proveedores de IA que un cliente conecta con su propia clave son proveedores del cliente; el cliente acuerda con ellos las garantías de transferencia (Sección 5).

9.3 Qué datos. Depende del producto y de las funciones que utilices. La Sección 4 de esta página muestra qué empresas utiliza cada producto. El Anexo de Tratamiento de Datos (DPA), Anexo I, describe los datos por Sistema.

9.4 Cláusulas utilizadas sin modificaciones. Cuando utilizamos las cláusulas contractuales tipo de la ANPD, las utilizamos íntegramente y sin modificaciones (Res. CD/ANPD 19/2024, art. 16).

9.5 Copia de las cláusulas. Puedes solicitar el texto completo de las cláusulas que utilizamos en contacto@sonholab.com. Lo enviamos dentro de los 15 días.

9.6 Tus derechos. Puedes ejercer tus derechos conforme a la LGPD, incluida la información sobre el uso compartido y las transferencias internacionales (LGPD, art. 18), según se explica en Tus Derechos de Privacidad y Cómo Ejercerlos. También puedes presentar una reclamación ante la ANPD.

9.7 Datos de los clientes. Cuando SonhoLab actúa como operador (encargado del tratamiento) de una escuela, clínica o empresa, esa organización es el responsable del tratamiento. Contáctala primero. Nosotros la ayudamos a responder.

Versión 0.9.0 (preliminar) · Vigente desde el 26 de septiembre de 2026 · © L. M. PEREZ MONTANA (SonhoLab), CNPJ 61.620.014/0001-00. Esta versión está en revisión jurídica; te avisaremos de los cambios relevantes como se describe en estos documentos.

Traducción del original en inglés. En caso de discrepancia prevalece la versión en inglés, salvo que la ley aplicable exija la versión en español.