Acuerdo de Procesamiento de Datos (DPA) — PluCi

Versión: 1.0

Fecha de entrada en vigor: 21 de abril de 2026

Procesador: Luis Ropero / PluCi — Bogotá D.C., Colombia

Contacto DPA: hola@pluci.luisropero.com

Este DPA complementa los Términos de Servicio cuando el Cliente (empresa

que usa Gateway B2B o plan enterprise) actúa como Responsable del

tratamiento y PluCi como Encargado bajo Ley 1581 de 2012 y Artículo

28 GDPR (cuando aplicable).

---

1. Definiciones

• Cliente: la empresa/organización que contrata PluCi.
• Datos del Cliente: información personal que el Cliente o sus usuarios

finales envían al Servicio (mensajes, números, emails, archivos).

• Subencargado: tercero que PluCi usa para prestar el Servicio

(ver sección 5).

• Titular: persona natural cuyos datos procesa el Cliente.

2. Objeto del tratamiento

PluCi procesa Datos del Cliente únicamente para prestar las funciones

contratadas (envío/recepción de mensajes, procesamiento de texto con IA,

almacenamiento de notas y tareas). No determina las finalidades

(responsabilidad exclusiva del Cliente).

3. Instrucciones documentadas

El tratamiento se rige por:

• Estos Términos y DPA.
• Configuración hecha por el Cliente en su panel.
• Instrucciones adicionales por escrito (email a contacto DPA).

PluCi notificará al Cliente si considera que una instrucción viola la ley

aplicable.

4. Confidencialidad del personal

Quien acceda a Datos del Cliente (hoy: únicamente Luis Ropero como

administrador único) está sujeto a deber de confidencialidad contractual y

por ley. Futuras contrataciones incluirán NDA firmado.

5. Subencargados autorizados

El Cliente autoriza los siguientes subencargados:

Subencargado	Rol	País	Datos procesados
Meta Platforms (WhatsApp)	Transporte de mensajes	USA / múltiples	Mensajes, números
Telegram FZ-LLC	Transporte de mensajes	UAE	Mensajes, usernames
DeepSeek AI	LLM provider	China/USA	Texto para inferencia
Anthropic	LLM provider	USA	Texto para inferencia
OpenAI	LLM + TTS/STT	USA	Texto y audio para inferencia
DigitalOcean	Relay VPS (TLS)	USA (NYC)	Tráfico HTTPS/WS cifrado
MariaDB (local)	Almacenamiento DB	Local (laptop owner)	Todos los Datos del Cliente
MercadoPago	Pagos	Argentina / LatAm	Email, monto
Grafana Cloud	Observabilidad (opcional)	USA	Métricas/logs sin PII

PluCi notificará al Cliente con 30 días de anticipación sobre nuevos

subencargados. El Cliente puede objetar y, si no hay alternativa, terminar

el servicio sin penalidad.

6. Seguridad (Artículo 32 GDPR)

PluCi implementa:

• Cifrado en tránsito: TLS 1.3 en todos los endpoints públicos.
• Cifrado en reposo: AES-256-GCM para secrets en vault; DB cifrada a nivel

de filesystem LUKS en el laptop.

• Backups cifrados: GPG AES-256 con clave separada del repo.
• Segregación multi-tenant: toda tabla tiene org_id, queries filtran

por defecto; ningún endpoint expone datos cruzados entre orgs.

• Control de acceso: API keys con scopes granulares, rate limiting por

key y por IP.

• Auditoría: logs estructurados pino persistidos 14d (Grafana Cloud) o

local (indefinido).

7. Notificación de brechas

PluCi notificará al Cliente sin demora indebida y dentro de 72 horas si

detecta una brecha que afecte Datos del Cliente. La notificación incluirá:

• Naturaleza de la brecha y categorías/cantidad aproximada de titulares.
• Consecuencias probables.
• Medidas tomadas o propuestas.
• Persona de contacto para seguimiento.

8. Derechos de los Titulares

PluCi asiste al Cliente para responder solicitudes de acceso, rectificación,

cancelación y oposición en el plazo legal (10-15 días hábiles Ley 1581).

Si un Titular contacta directamente a PluCi, lo redirigimos al Cliente

(responsable) salvo que la ley exija otra cosa.

9. Auditoría

El Cliente puede solicitar una vez al año:

• Resumen escrito de medidas de seguridad vigentes.
• Copia de informes de auditoría externa (cuando existan).
• Reunión virtual de 1 hora con el administrador.

Auditorías in situ deberán acordarse con 30 días de anticipación y costo por

cuenta del Cliente.

10. Devolución y eliminación

Al terminar el contrato:

• 30 días para export de datos en formato JSON o SQL.
• Tras 30 días, eliminación lógica de DB + purga de backups en el siguiente

ciclo mensual.

• Certificado de eliminación disponible bajo solicitud.

11. Transferencias internacionales

Ver sección 5 de la Política de Privacidad. Al firmar este DPA el Cliente

autoriza las transferencias descritas bajo cláusulas contractuales estándar

equivalentes a las aprobadas por la Comisión Europea (para transferencias

que requieran garantías GDPR).

12. Vigencia

Este DPA acompaña el contrato de servicio y termina con éste, sin perjuicio

de las obligaciones de confidencialidad y seguridad que subsistan.

13. Ley aplicable

Ley 1581 de 2012 (Colombia) como mínimo obligatorio. Cuando el Cliente sea

sujeto a GDPR, se aplican adicionalmente los artículos 28-36 GDPR. En caso

de conflicto, prevalece el estándar más estricto.

14. Cómo firmar este DPA

Para clientes B2B que requieran DPA firmado:

1. Escribe a hola@pluci.luisropero.com indicando razón social + NIT + nombre del contacto legal.
2. Enviamos PDF firmado con fecha.
3. Retornas copia contrafirmada por email.

No es obligatorio firmar DPA para usar el Servicio — la aceptación de ToS y

Política de Privacidad cubre el caso estándar. El DPA firmado es recomendado

para clientes enterprise o sujetos a GDPR/HIPAA/etc.

---

_Este documento está diseñado para cumplir Ley 1581 de 2012 y Artículo 28

GDPR. No reemplaza asesoría legal personalizada._