⚠ BORRADOR DE TRABAJO — NO REVISADO POR UN ABOGADO
Este documento no es asesoramiento legal y no fue redactado por un abogado. Lo redactó el equipo de producto de autonomah el 11 de septiembre de 2026 tomando como insumo fuentes primarias recuperadas y fechadas, sin ninguna intervención de un profesional matriculado.
Qué significa esto, sin eufemismo:
- No ha sido revisado por un abogado. Ninguna de sus cláusulas fue validada por alguien habilitado para ejercer.
- No puede publicarse, no puede firmarse con un cliente y no puede oponerse a un tercero en este estado. Si se usa así, parece cobertura y no la da — que es peor que no tenerlo.
- La validación por un abogado matriculado en la jurisdicción aplicable (Florida, Estados Unidos) es condición previa a producción. Decisión del operador del 2026-09-11.
- Los huecos están marcados como
[HUECO: …]y no se completaron con texto plausible. Un hueco marcado es utilizable; uno tapado, no. - Mientras no exista esa revisión, el mantenimiento de este documento es del equipo de producto y cada cambio conserva este encabezado.
data processing agreement
Anexo E — Acuerdo de Tratamiento de Datos (DPA)
Versión: borrador 0.1 · Redactado: 2026-09-11 · Estado: sin revisión legal Emitido por: DX CLOUDITIVE LLC (nombre comercial autonomah), sociedad de Florida, número de documento de Sunbiz L26000219015, 7901 4th St N, Ste 300, St Petersburg, FL 33702, Estados Unidos.
Por qué este documento existe aunque la LLC sea de Estados Unidos y la ley aplicable sea la de Florida. Porque no lo pide sólo una ley: lo pide Meta por contrato. Los Meta Platform Terms imponen tratar los datos de plataforma únicamente por cuenta y bajo dirección del Cliente, y mantener los de cada Cliente separados de los de los demás. Sin un documento que asigne esos roles, autonomah está incumpliendo un término de plataforma — y eso cuesta el canal.
E.1. Roles
| Dato | Quién decide para qué se usa | Quién lo trata materialmente |
|---|---|---|
| Datos de las audiencias y seguidores de los Canales del Cliente | el Cliente (responsable) | autonomah (encargado) |
| Datos de contacto de las personas del Cliente que usan la aplicación | autonomah (responsable) | autonomah |
| Datos de facturación del Cliente | autonomah (responsable) | autonomah y su procesador de pagos |
E.2. Instrucciones
autonomah trata los datos personales del Cliente únicamente conforme a las instrucciones documentadas de éste, que son: este DPA, el Acuerdo y la configuración que el Cliente establece en la aplicación. autonomah no usa esos datos para fines propios ni para los de otro Cliente.
Meta, Platform Terms (leídos 2026-09-11): «You will only use Platform and Process Platform Data on behalf of and at the direction of your Client on whose behalf you access it to help such Client to use Platform or Process Platform Data in accordance with these Terms and all other applicable terms and policies ("Client's Purpose"), and not for your own purposes or another Client's or entity's purposes».
E.3. Separación entre clientes
autonomah mantiene los datos de plataforma de cada Cliente separados de los de cualquier otro Cliente, a nivel lógico y de acceso.
Meta, Platform Terms: «You will ensure that Platform Data you maintain on behalf of one Client is maintained separately from that of other Clients;»
[HUECO: la verificación técnica de que la aplicación efectivamente cumple E.3 —aislamiento por cliente en base de datos, en almacenamiento de piezas y en los registros del Cerebro— no forma parte de este documento y no está hecha. Un DPA que promete aislamiento que el código no implementa es una declaración falsa. Debe verificarse antes de firmar con un cliente.]
E.4. Categorías de datos y finalidades
| Categoría | Origen | Para qué |
|---|---|---|
| Identificadores de cuenta y tokens de acceso de los Canales | el Cliente, al conectar | publicar y leer los Canales autorizados |
| Contenido publicado y su histórico | las redes | diagnóstico y criterio del Cerebro |
| Métricas agregadas que la red expone al titular | las redes | criterio del calendario |
| Contenido de las Piezas, incluidos insumos aportados por el Cliente | el Cliente y el Cerebro | generación y evaluación |
| Registro de Aprobaciones: quién, cuándo, qué Pieza, qué Canal | la aplicación | prueba de la aprobación humana |
| Identidad de las personas autorizadas | Google OAuth | control de acceso |
[HUECO: no existe todavía un inventario de tratamiento verificado contra el código. Esta tabla es la descripción del diseño, no una medición.]
E.5. Subencargados
Los subencargados vigentes están en el Anexo F. autonomah notifica al Cliente antes de incorporar uno nuevo que trate sus datos, y responde por sus subencargados como por sus propios actos.
E.6. Seguridad
autonomah aplica, como mínimo: cifrado en tránsito; control de acceso por identidad; almacenamiento de secretos fuera del código fuente; y almacenamiento de contraseñas con derivación de clave (PBKDF2-HMAC-SHA256, 600.000 iteraciones, conforme a la OWASP Password Storage Cheat Sheet leída el 2026-09-10, según product/integrations.md).
[HUECO: no hay una evaluación de seguridad independiente. Enumerar controles no es acreditarlos.]
E.7. Brechas
autonomah notifica al Cliente sin demora indebida tras tomar conocimiento de una brecha que afecte sus datos, con lo que sepa en ese momento, y actualiza a medida que sepa más. [HUECO: plazo concreto en horas. Las distintas normas aplicables a los siete mercados fijan plazos distintos y no se armonizan solos. Decisión legal.]
E.8. Derechos de las personas
Cuando una persona ejerza un derecho de acceso, rectificación, supresión, oposición o portabilidad sobre datos que autonomah trata por cuenta del Cliente, autonomah reenvía la solicitud al Cliente y le presta asistencia razonable. autonomah no resuelve por su cuenta una solicitud sobre datos de los que no es responsable.
E.9. Devolución y supresión
Terminado el Acuerdo, autonomah revoca sus accesos a los Canales y, a elección del Cliente, le devuelve o suprime los datos personales tratados por su cuenta, salvo lo que deba conservar por obligación legal. Las publicaciones ya realizadas permanecen en las redes y autonomah no puede retirarlas (Acuerdo, 3.4.b).
E.10. El mapa normativo, con lo que se verificó y lo que no
| Jurisdicción | Estado a 2026-09-11 |
|---|---|
| Federal, EE. UU. | no hay ley federal general de privacidad. [HUECO: verificado sólo por ausencia; no se buscó exhaustivamente.] |
| California (CCPA/CPRA) | aplica a una entidad con fines de lucro que hace negocios en California y supera uno de tres umbrales: ingresos brutos anuales superiores a USD 25.000.000 el año anterior; comprar, vender o compartir datos de 100.000 o más consumidores u hogares al año; o derivar 50 % o más de sus ingresos de vender o compartir datos personales. Fuente: Cal. Civ. Code § 1798.140(d)(1)(A)–(C), leído 2026-09-11 en leginfo.legislature.ca.gov. autonomah no alcanza ninguno hoy, pero la calificación de «service provider» frente a un Cliente que sí los alcance es una obligación distinta y no está analizada. [HUECO.] |
| Florida | [HUECO: la Florida Digital Bill of Rights no se recuperó. No se afirma acá si aplica ni desde qué umbral.] |
| Argentina | Ley 25.326 de Protección de los Datos Personales — texto recuperado el 2026-09-11 (infoleg.gob.ar). [HUECO: no se analizó su aplicación extraterritorial a un prestador estadounidense.] |
| Colombia | Ley 1581 de 2012 — texto recuperado el 2026-09-11 (secretariasenado.gov.co). [HUECO: mismo análisis pendiente.] |
| Uruguay | Ley 18.331 — texto recuperado el 2026-09-11 (impo.com.uy). [HUECO: ídem.] |
| México | [HUECO: no recuperado. diputados.gob.mx no respondió desde esta máquina el 2026-09-11 — curl devolvió timeout a los 40 s y Bright Data devolvió cuerpo de 0 bytes.] |
| Perú | [HUECO: no recuperado. indecopi.gob.pe no resolvió por DNS; el PDF de la Ley 29571 obtenido de leyes.congreso.gob.pe resultó ser un escaneo de una sola página sin texto extraíble — pdftotext devolvió 30 bytes.] |
| Puerto Rico | [HUECO: no investigado.] |
Esta tabla es deliberadamente incompleta y lo dice. Un DPA que afirmara cumplimiento en las nueve jurisdicciones sería falso.