Acuerdo de Tratamiento de Datos
Última actualización: 3 de junio de 2026 (Versión 1.0)
1. Partes
Este Acuerdo de Tratamiento de Datos ("DPA") se celebra entre:
Encargado del Tratamiento: ReveLumi (operada por Gyaco Educação e Treinamento Ltda., CNPJ 17.798.899/0001-32), empresa brasileña que presta servicios de investigación cualitativa con apoyo de inteligencia artificial, con sede en São Paulo, Brasil.
Responsable del Tratamiento: la organización identificada en la orden de pedido o contrato de servicio que hace referencia a este DPA ("Responsable"), cuyos datos personales son tratados por ReveLumi en el marco de la prestación de sus servicios.
Este DPA forma parte e se incorpora a los Términos de Uso y/o al contrato de servicio entre las partes (el "Contrato").
2. Definiciones
A los efectos de este DPA:
"Datos Personales" significa cualquier información relativa a una persona física identificada o identificable, según se define en la legislación aplicable de protección de datos, incluida la Ley General de Protección de Datos Personales de Brasil (LGPD, Ley nº 13.709/2018).
"Tratamiento" significa cualquier operación realizada sobre Datos Personales, incluyendo recolección, registro, almacenamiento, uso, transmisión o eliminación.
"Titular de los Datos" significa la persona física cuyos Datos Personales son tratados — en el contexto de los servicios de ReveLumi, normalmente las personas respondientes invitadas por el Responsable a participar de conversaciones de investigación.
"Subencargado" significa cualquier tercero contratado por ReveLumi para tratar Datos Personales en nombre del Responsable.
"Sesión de Investigación" significa una entrevista conversacional conducida vía WhatsApp u otro canal soportado, orquestada por la plataforma de IA de ReveLumi en nombre del Responsable.
3. Alcance y finalidad del tratamiento
ReveLumi trata Datos Personales únicamente para prestar sus servicios de investigación cualitativa, según se describe en el Contrato. Las actividades de tratamiento cubiertas por este DPA incluyen:
• Conducir Sesiones de Investigación conversacionales automatizadas con Titulares vía WhatsApp u otros canales soportados.
• Transcribir, analizar y sintetizar respuestas para generar insights de investigación para el Responsable.
• Gestionar listas de contactos e invitaciones a sesiones provistas por el Responsable.
• Almacenar grabaciones de sesiones, transcripciones e insights derivados en la plataforma de ReveLumi.
ReveLumi no tratará Datos Personales para ninguna finalidad distinta de las especificadas en el Contrato y en este DPA, salvo cuando lo exija la legislación aplicable.
4. Categorías de Datos Personales tratados
Según la investigación realizada, ReveLumi puede tratar las siguientes categorías de Datos Personales:
• Información de contacto: nombre, número de teléfono y dirección de correo electrónico (según lo provisto por el Responsable para el envío de invitaciones).
• Datos conversacionales: mensajes de texto, grabaciones de audio y transcripciones generadas durante las Sesiones de Investigación.
• Metadatos de uso: marcas de tiempo de las sesiones, estado de entrega de mensajes y registros de interacción con la plataforma.
ReveLumi no recopila intencionalmente categorías especiales de Datos Personales sensibles (por ejemplo, datos de salud, biométricos o financieros). El Responsable es responsable de asegurar que los guiones de investigación no soliciten dichos datos, salvo que exista un acuerdo escrito específico.
5. Obligaciones de ReveLumi como Encargado
ReveLumi se compromete a:
• Tratar los Datos Personales únicamente conforme a instrucciones documentadas del Responsable, según lo previsto en el Contrato y en este DPA.
• Asegurar que el personal autorizado para tratar Datos Personales esté sujeto a obligaciones adecuadas de confidencialidad.
• Implementar y mantener medidas técnicas y organizativas apropiadas para proteger los Datos Personales contra acceso no autorizado, pérdida o divulgación.
• Notificar al Responsable sin demora indebida y, en todo caso, dentro de las 72 horas siguientes al conocimiento de una brecha de Datos Personales que afecte a los datos tratados bajo este DPA.
• Asistir al Responsable en el cumplimiento de sus obligaciones de respuesta a solicitudes de derechos de los Titulares (acceso, rectificación, supresión, portabilidad) en la medida técnicamente posible.
• A elección del Responsable, eliminar o devolver todos los Datos Personales al término del Contrato y eliminar las copias existentes, salvo que la legislación aplicable exija su conservación.
• Poner a disposición del Responsable toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este DPA.
6. Obligaciones del Responsable
El Responsable se compromete a:
• Asegurar que cuenta con una base legal válida bajo la LGPD y cualquier otra legislación aplicable para proporcionar Datos Personales a ReveLumi y para las actividades de tratamiento descritas en este DPA.
• Obtener los consentimientos necesarios de los Titulares antes de compartir su información de contacto con ReveLumi.
• Proporcionar instrucciones precisas y lícitas a ReveLumi respecto del alcance del tratamiento.
• Informar de inmediato a ReveLumi si cualquier instrucción dada pudiera resultar en una violación de la legislación aplicable de protección de datos.
7. Subencargados
El Responsable otorga a ReveLumi autorización general para contratar a los subencargados listados a continuación. ReveLumi informará al Responsable sobre cualquier incorporación o sustitución prevista con antelación razonable, dándole la oportunidad de oponerse.
Todos los subencargados están vinculados por contratos de tratamiento de datos que imponen obligaciones de protección no menos estrictas que las establecidas en este DPA.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Supabase (PostgreSQL + Storage) | Almacenamiento principal de datos | US-West-2 (Oregón, EE. UU.) |
| Amazon Web Services (AWS) | Infraestructura de procesamiento | US-West-2 (Oregón, EE. UU.) |
| Google (Gemini AI + Speech-to-Text) | Inferencia de IA y transcripción de audio | EE. UU. / Google Cloud us-central1 |
| Meta / WhatsApp Cloud API | Interfaz conversacional para las sesiones de investigación | EE. UU. |
| Langfuse | Observabilidad y registro de LLM | EE. UU. |
| Amplitude | Analítica de producto | EE. UU. |
| Stripe | Facturación y gestión de suscripciones | EE. UU. |
| Salvy | Números dedicados de WhatsApp (cuando corresponda) | Brasil / EE. UU. |
| Google OAuth | Autenticación de usuarios en la plataforma | EE. UU. |
8. Transferencias internacionales de datos
Los Datos Personales tratados bajo este DPA podrán ser transferidos y almacenados en los Estados Unidos de América, donde se ubican la infraestructura principal de ReveLumi y sus subencargados. ReveLumi asegurará que dichas transferencias se realicen conforme a la legislación aplicable de protección de datos, incluidas las disposiciones de transferencia internacional de la LGPD (artículos 33 a 36).
Cuando lo exija la legislación aplicable, ReveLumi implementará garantías adecuadas para las transferencias internacionales, como cláusulas contractuales estándar o mecanismos equivalentes.
9. Retención y eliminación de datos
ReveLumi conserva los Datos Personales tratados bajo este DPA durante la vigencia del contrato de servicio activo con el Responsable, más un periodo de hasta 12 (doce) meses después de la terminación, para fines de auditoría y resolución de disputas. Transcurrido ese plazo, los Datos Personales serán eliminados de forma segura o anonimizados.
El Responsable puede solicitar la eliminación de Datos Personales específicos en cualquier momento escribiendo a privacy@revelumi.com. ReveLumi atenderá tales solicitudes en un plazo de 30 (treinta) días, salvo cuando la retención sea exigida por la legislación aplicable.
10. Derechos de los Titulares
En la medida en que ReveLumi reciba una solicitud directamente de un Titular respecto de sus Datos Personales, ReveLumi remitirá prontamente (y en todo caso dentro de los 5 días hábiles) dicha solicitud al Responsable. ReveLumi no responderá a solicitudes de Titulares en nombre del Responsable sin su autorización previa por escrito, salvo cuando la ley lo exija.
11. Medidas de seguridad
ReveLumi mantiene medidas técnicas y organizativas adecuadas al riesgo del tratamiento, incluidas:
• Cifrado de datos en tránsito (TLS 1.2 o superior) y en reposo.
• Controles de acceso y mecanismos de autenticación que restringen el acceso a Datos Personales solo a personal autorizado.
• Evaluaciones de seguridad periódicas de su infraestructura y subencargados.
• Procedimientos de respuesta a incidentes para detectar, contener y notificar brechas de Datos Personales.
12. Responsabilidad
La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones y exclusiones previstas en el Contrato. En la máxima medida permitida por la legislación aplicable, la responsabilidad agregada de ReveLumi frente al Responsable bajo este DPA no excederá el total de los importes pagados por el Responsable a ReveLumi en los 12 meses anteriores al evento que dio origen al reclamo.
13. Ley aplicable y jurisdicción
Este DPA se rige por las leyes de la República Federativa del Brasil. Cualquier disputa derivada o relacionada con este DPA quedará sujeta a la jurisdicción exclusiva de los tribunales de la ciudad de São Paulo, Estado de São Paulo, Brasil.
14. Contacto para protección de datos
Para cualquier consulta, solicitud o notificación relacionada con la protección de datos bajo este DPA, el Responsable puede contactar a ReveLumi en:
Correo electrónico: privacy@revelumi.com
Sitio web: https://revelumi.com