Acuerdo de Tratamiento de Datos

1. Partes y roles

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte del contrato entre el cliente ("Cliente"), la organización en cuyo nombre sus miembros y los asistentes de IA de estos usan Arroway, y Arroway, operada por Alexandre Viola ("Arroway"), conforme a los Términos de Uso de Arroway.

Para el contenido que las personas y los asistentes de IA del Cliente escriben en los proyectos de Arroway, el Cliente es el responsable del tratamiento y Arroway es la encargada. "Contenido" significa memorias, reglas, decisiones, entradas del registro diario y traspasos, con el nombre de quien los escribió.

Para los datos de cuenta y de acceso, los correos del servicio y la medición de audiencia de las páginas públicas, Arroway es la responsable, conforme a su Política de Privacidad. Este DPA no los rige.

2. Alcance del tratamiento

Arroway trata el Contenido solo para prestar el servicio que usa el Cliente, mientras exista la cuenta del Cliente y hasta que termine la eliminación descrita en la Sección 9.

• Naturaleza del tratamiento: guardar el Contenido; mostrarlo a las personas del Cliente en el panel; devolverlo a los asistentes de IA que esas personas conectan, que leen solo los proyectos a los que pertenece su persona; comparar con el Contenido un texto que uno de esos asistentes está por publicar, para devolver lo que toca, sin guardar ese texto; enviar por correo resúmenes de proyecto y avisos a esas personas; y, cuando una de ellas pide al cockpit una sugerencia de configuración, enviar la tarea que escribió, con el nombre y el alcance del proyecto, a un modelo de lenguaje que devuelve la sugerencia.
• Categorías de datos: el texto del Contenido; el nombre y el correo de cada autor, junto a lo que escribió; qué herramienta de IA conectó cada persona y cuándo estuvo activa por última vez en un proyecto; y el registro de lo que cada lectura entregó a una IA, que se elimina automáticamente después de 90 días.
• Interesados: los miembros del Cliente, las personas que el Cliente invita y cualquier persona mencionada en el Contenido.
• Categorías especiales de datos: Arroway no está hecha para ellas y el Cliente no debe escribirlas en el Contenido. La instrucción que recibe toda IA conectada prohíbe escribir credenciales, tokens y claves de API en un proyecto, sin excepción.

Arroway nunca guarda contraseñas (no tiene ninguna), la conversación entre una persona y su IA, sus archivos ni la memoria propia del asistente: no puede alcanzar nada de eso.

3. Instrucciones y confidencialidad

Arroway trata el Contenido solo según las instrucciones documentadas del Cliente: este DPA, los Términos de Uso y lo que las personas del Cliente hacen con las funciones del producto. Arroway no vende, no alquila ni comparte el Contenido con terceros, y no lo usa para entrenar ningún modelo de IA.

Si Arroway considera que una instrucción infringe la ley, se lo dice al Cliente antes de cumplirla. Todas las personas de Arroway que pueden acceder al Contenido están obligadas a confidencialidad.

Tu asistente de IA (Claude, ChatGPT u otro) recibe lo que lee en Arroway, porque es él quien lee. Lo que ese proveedor haga con ello se rige por su propia política, no por este DPA.

4. Medidas de seguridad

Arroway aplica las medidas siguientes, descritas tal como funciona el sistema en la fecha de este DPA. Un cambio que debilite cualquiera de ellas se avisa al Cliente por correo antes de que entre en vigor.

• En tránsito: el panel, las páginas públicas y la dirección a la que se conecta una IA responden solo por HTTPS, y la conexión entre la aplicación y la base de datos está cifrada.
• En reposo: el proveedor de la base de datos cifra los datos guardados con AES-256, con claves gestionadas en AWS Key Management Service.
• Secretos: la dirección privada de cada conexión de IA, cada invitación y cada credencial OAuth se guardan solo como resúmenes SHA-256, que reconocen el valor correcto y no permiten reconstruirlo.
• Autenticación: Arroway no tiene contraseñas. Las personas entran con Google o con un enlace enviado a su correo.
• Acceso: una IA alcanza solo los proyectos a los que pertenece su persona, y ese acceso siempre se deriva de la identidad de la persona, nunca de lo que diga la IA. Revocar una conexión termina su acceso de inmediato.
• Monitoreo: el monitoreo de errores del servidor está configurado para no enviar datos personales y para enmascarar las direcciones de conexión.
• Correo: los mensajes se envían con TLS oportunista, así que van cifrados siempre que el servidor de correo que los recibe lo admite.
• Límites de conservación: el registro de lo que entregó cada lectura y las mediciones de primer uso se eliminan automáticamente después de 90 días. Las entradas del registro diario con más de 14 días dejan de enviarse a las IAs.

5. Subencargados

El Cliente da a Arroway autorización general para usar los subencargados del Anexo A en el tratamiento del Contenido.

Arroway avisa al Cliente por correo con al menos 30 días de antelación antes de añadir o sustituir un subencargado que trate Contenido. En ese plazo el Cliente puede oponerse por motivos razonables de protección de datos. Si la objeción no se resuelve, el Cliente puede dejar de usar el servicio afectado y pedir que se elimine su Contenido, conforme a la Sección 9.

Arroway obliga a cada subencargado a cumplir términos de protección de datos que protegen el Contenido en un nivel, en sustancia, no inferior al de este DPA, y sigue siendo responsable de lo que un subencargado haga con el Contenido.

El Anexo A, al final de esta página, es la lista vigente. La página de confianza enlaza a él, así que un cambio aparece aquí el día en que entra en vigor.

6. Transferencias internacionales

El Contenido se guarda en servidores en Estados Unidos (base de datos en Amazon Web Services, US East; alojamiento de la aplicación en Vercel). Si el Cliente o sus miembros están fuera de Estados Unidos, su Contenido se transfiere allí. Las partes del Contenido que viajan en correos (Anexo A) se envían por la región de São Paulo de Resend.

Cuando esa transferencia está sujeta al RGPD, las partes incorporan las Cláusulas Contractuales Tipo de la UE (Módulo Dos, de responsable a encargado), y el Addendum del Reino Unido cuando se aplica el UK GDPR. Cuando está sujeta a la LGPD, las partes usan las cláusulas contractuales estándar aprobadas por la autoridad brasileña de protección de datos (ANPD). Las Secciones 2 y 4 y el Anexo A completan los anexos de esas cláusulas.

7. Solicitudes de los interesados

Arroway ayuda al Cliente a responder solicitudes de personas que ejercen sus derechos según la LGPD o el RGPD (acceso, rectificación, supresión, limitación, portabilidad y oposición).

Una solicitud que llega primero a Arroway se traslada al Cliente sin demora y no se responde en nombre del Cliente, salvo que el Cliente lo pida. Una solicitud del Cliente a Arroway en hello@arroway.app se responde en un plazo de 15 días.

Dentro del producto, las personas ya pueden revocar una conexión de IA, corregir o archivar una memoria, cerrar un proyecto y eliminar su propia cuenta. No hay botón de exportar: una copia de los datos es algo que Arroway envía cuando se solicita.

Arroway también colabora, dentro de lo razonable, en evaluaciones de impacto de protección de datos y consultas previas que tengan que ver con el Contenido.

8. Incidentes con datos personales

Arroway avisa al Cliente sin dilación indebida, y en un plazo de 72 horas, después de tener conocimiento de un incidente que afecte al Contenido. El aviso dice qué pasó, qué datos y aproximadamente cuántas personas se vieron afectadas, las consecuencias probables y lo que Arroway hizo y hará al respecto.

Arroway mantiene informado al Cliente a medida que sabe más y lo ayuda a cumplir su propio deber de notificar a la autoridad competente y a las personas afectadas, según exija la ley aplicable.

9. Devolución y eliminación

El Contenido se conserva mientras exista la cuenta del Cliente. Cerrar un proyecto o archivar una memoria la saca de las lecturas de las IAs y conserva el historial, porque saber que algo se decidió y después se revirtió es parte del registro.

Cuando una persona elimina su cuenta, se eliminan su acceso, sus conexiones de IA, su correo, su foto y su proyecto personal. Lo que escribió en un proyecto de equipo se queda, con su nombre, porque es el registro de ese equipo. El Cliente, como responsable de ese proyecto de equipo, puede en cambio pedir por escrito que se eliminen el proyecto y su Contenido, y Arroway lo hace en un plazo de 30 días.

Al terminar el contrato, Arroway devuelve una copia del Contenido si se le pide y después lo elimina, salvo que la ley exija conservarlo. El Contenido eliminado permanece en el historial de restauración puntual del proveedor de la base de datos hasta un día, y Arroway no guarda snapshots.

10. Auditoría y registros

Arroway lleva un registro del tratamiento que hace para el Cliente y le da la información necesaria para demostrar que este DPA se cumple: la página de confianza, el Anexo A y respuestas por escrito a un cuestionario de seguridad, una vez al año.

El Cliente puede auditar a Arroway en sus instalaciones, o mediante un auditor independiente obligado a confidencialidad, solo cuando la ley lo exija o después de un incidente que haya afectado al Contenido. Arroway recibe aviso con 30 días de antelación, la auditoría corre por cuenta del Cliente y nunca alcanza datos de otros clientes.

11. Disposiciones generales

Si este DPA y los Términos de Uso no coinciden sobre el tratamiento de datos personales, prevalece este DPA. La responsabilidad derivada de este DPA está sujeta a los límites de los Términos de Uso.

Este DPA se rige por la ley brasileña, igual que los Términos de Uso. Cuando el Cliente es consumidor, conserva el derecho a presentar la demanda donde vive. En los demás casos, las disputas van a los tribunales del domicilio del operador en Brasil.

Este DPA se publica en inglés, portugués y español. La versión en inglés es la original y, si las versiones no coinciden, prevalece la versión en inglés.

Última actualización: 2026-10-14. Un cambio relevante en este DPA se avisa por correo antes de que entre en vigor, y la fecha de aquí siempre indica desde cuándo rige esta versión. Para lo que esta página no responda, escribe a hello@arroway.app.