Resumen de nuestro DPA estándar. Versión firmable completa disponible a clientes enterprise bajo NDA. Alineado con LGPD (Brasil), GDPR (UE) y CCPA (California).
Esta página resume el Acuerdo de Procesamiento de Datos (DPA) estándar de Brainiall. La versión firmable completa está disponible para clientes enterprise bajo NDA mutuo. Solicite el DPA ejecutable en legal@brainiall.com.
El DPA rige el tratamiento de datos personales por Brainiall ("Operador", LGPD art. 39; "Processor", GDPR art. 28) en nombre del Cliente ("Controlador"). Aplica siempre que el Cliente envíe datos personales a las plataformas Brainiall — Speech AI, NLP, Image o AI Autopilot.
El Cliente determina las finalidades y los medios del tratamiento. Brainiall procesa datos solo bajo instrucciones documentadas del Cliente, incluyendo el contrato de suscripción, la configuración específica del producto y cualquier instrucción por escrito enviada por los canales de soporte enterprise.
Brainiall trata los datos personales del Cliente exclusivamente para prestar, mantener y mejorar los Servicios contratados. Incluye: inferencia sobre entradas del Cliente, almacenamiento de artefactos (casos, documentos, transcripciones), generación de logs de auditoría y soporte al Cliente bajo solicitud.
Brainiall no utiliza datos personales del Cliente para entrenar modelos de Brainiall ni de terceros. Una cláusula explícita de no-entrenamiento consta del DPA ejecutable.
Una lista actualizada de subprocesadores autorizados se mantiene y entrega bajo NDA. Los subprocesadores actuales incluyen AWS (compute/almacenamiento), Microsoft Azure (redundancia), Vercel (entrega de activos estáticos de marketing) y Latitude (AI gateway de app.brainiall.com).
Brainiall notifica al Cliente con al menos 30 días de antelación antes de añadir o sustituir subprocesadores. El Cliente puede objetar; si las partes no resuelven la objeción, el Cliente puede rescindir el servicio afectado.
Para clientes brasileños, los datos se procesan en Brasil (región AWS São Paulo) por defecto y no salen del territorio nacional sin configuración explícita. Para transferencias internacionales, Brainiall adopta salvaguardas adecuadas: mecanismos aprobados por la ANPD para Brasil, Cláusulas Contractuales Estándar (SCCs) para transferencias UE-a-tercer-país y mecanismos comparables en otras jurisdicciones.
Brainiall implementa medidas técnicas y organizativas proporcionales al riesgo: cifrado AES-256 en reposo, TLS 1.3 en tránsito, MFA para todo el personal, acceso con alcance y mínimo privilegio, llaves de seguridad por hardware para acceso administrativo, logging continuo y gestión de vulnerabilidades. Security whitepaper completo disponible bajo NDA. Véase también /trust.
Brainiall notifica al Cliente sin demora indebida — dentro de las 48 horas posteriores a la confirmación — de cualquier incidente que afecte datos personales del Cliente. La notificación incluye: naturaleza del incidente, categorías y número aproximado de titulares afectados, consecuencias probables y medidas de mitigación adoptadas o propuestas.
Brainiall ayuda al Cliente a cumplir sus propias obligaciones de notificación a la ANPD, autoridades europeas competentes, state AGs y, cuando se exija, a los propios titulares de datos.
Brainiall ayuda al Cliente a responder a solicitudes de titulares que ejerzan derechos del art. 18 de la LGPD (acceso, corrección, anonimización, portabilidad, eliminación, información sobre compartición, revocación) y de los arts. 15-22 del GDPR. La asistencia se presta vía endpoints de API documentados y, para clientes enterprise, vía canal dedicado de privacidad.
Brainiall ofrece derechos de auditoría a los clientes enterprise mediante: (a) informe SOC 2 Type II vigente bajo NDA cuando esté disponible (meta Q4 2026); (b) cuestionarios de seguridad y compliance; (c) auditorías in situ con cadencia razonable y aviso previo de 30 días, a cargo del Cliente salvo si se identifica un incidente.
Al término de los Servicios, Brainiall — a criterio del Cliente — devuelve o elimina todos los datos personales. La retención estándar tras el término es de 30 días para solicitudes de devolución y 90 días para la purga completa de backups, salvo que la ley exija retención más larga.
La responsabilidad bajo el DPA sigue el Master Services Agreement, con carve-outs para (a) violación de confidencialidad, (b) infracción de propiedad intelectual, (c) negligencia grave o dolo, y (d) incumplimiento de obligaciones de protección de datos — ninguno de estos ítems sujeto al cap general de responsabilidad.
Para recibir el DPA firmable para su revisión, contacte a legal@brainiall.com con razón social, jurisdicción, requisitos de residencia de datos y cláusulas específicas que su equipo legal necesite negociar.