Acuerdo de tratamiento de datos (DPA)
31 de octubre de 2026
Este acuerdo rige entre la empresa cliente (la "Cliente", responsable de los datos) y GrowRockets Consultoria em TI Ltda ("GrowRockets", encargada) cuando GrowRockets trata datos personales por cuenta de la Cliente en Radar de conversión. Forma parte de los Términos de uso y se aplica por sí solo cuando la Cliente acepta los Términos. Quien necesite una copia con contrafirma escribe a privacidade@growrockets.com.
Cumple el art. 28 del GDPR y del UK GDPR, los arts. 39 y 42 a 46 de la LGPD de Brasil y, en lo que toca a México, el deber de contrato entre responsable y encargado de la LFPDPPP.
1. Objeto, naturaleza y duración
GrowRockets trata los datos personales necesarios para que la Cliente use Radar: guardar totales por mes y etapa, mostrar dónde se traban las personas, registrar solicitudes y mejoras, gestionar el equipo de la Cliente y avisarle. El tratamiento dura mientras la Cliente use el servicio y termina como dice la cláusula 9.
Titulares: las personas del equipo de la Cliente que usan Radar (invitadas o dueñas de la cuenta). Datos: correo, nombre, rol en la empresa, fecha del último acceso y el contenido de las solicitudes y notas que escriben. Radar está hecho para no recibir datos personales de los clientes de la Cliente: guarda solo totales. La Cliente se compromete a no enviarlos, ni siquiera en un campo libre.
Inteligencia artificial: lo que GrowRockets envía a un proveedor de IA son totales de la empresa y texto público, nunca datos personales de un titular. Hoy los totales de la Cliente conectada a Radar no van a la IA. Si empiezan a ir, seguirán siendo solo totales, y GrowRockets avisará a la Cliente antes, por el mismo camino de la cláusula 5.
2. Instrucciones de la Cliente
GrowRockets trata los datos solo según las instrucciones documentadas de la Cliente: los Términos, este acuerdo y el uso que la Cliente hace de las funciones del producto. Si una instrucción parece infringir la ley de protección de datos, GrowRockets avisa a la Cliente y puede suspender su ejecución hasta que la confirme o la corrija.
3. Confidencialidad
Las personas de GrowRockets que acceden a los datos de la Cliente están sujetas a un deber de confidencialidad y acceden solo a lo que el trabajo exige.
4. Seguridad
GrowRockets mantiene medidas técnicas y organizativas adecuadas al riesgo (GDPR art. 32, LGPD art. 46), descritas en /es/seguranca. Entre ellas: aislamiento por empresa en la base de datos, probado; cifrado en tránsito y en reposo; cifrado propio de claves y tokens; control de acceso por rol; límites de uso; registro de errores sin datos personales; y corrección de fallas conocidas. Podemos actualizar las medidas, nunca a un nivel menor de protección.
5. Subencargados
La Cliente autoriza de forma general a los subencargados de la tabla de abajo. Con cada uno, GrowRockets usa el acuerdo de tratamiento de datos que ofrece el propio proveedor y responde ante la Cliente por sus actos.
Para incluir o cambiar un subencargado, GrowRockets avisa a la Cliente por correo, a la dirección del dueño de la cuenta, antes del cambio. La Cliente puede oponerse por escrito por un motivo razonable de protección de datos. Si no hay solución, la Cliente puede terminar solo el servicio afectado y recibir el valor pagado por el período restante. Un plazo de aviso fijo, cuando la Cliente lo necesite, entra en la propuesta.
| Empresa | Para qué | Datos | Dónde |
|---|---|---|---|
| Supabase | Base de datos, inicio de sesión y almacenamiento de archivos | Cuenta, totales por mes, solicitudes, invitaciones y contactos comerciales | Brasil (São Paulo) |
| Vercel | Alojamiento del sitio y de las funciones del servidor | Todo lo que pasa por la app, en tránsito, y los registros de acceso | Funciones en São Paulo; páginas estáticas por la red global de entrega |
| Resend | Envío de correos: invitaciones de equipo y avisos | Correo y nombre de quien recibe, y el texto del aviso | Estados Unidos |
| Sentry | Monitoreo de errores | Mensaje y lugar del error. Sin cuerpo de la solicitud, sin cookies y sin correo (se eliminan antes del envío) | Estados Unidos |
| Cloudflare (Turnstile) | Verifica que quien envía un formulario público es una persona | Señales del navegador y dirección IP, solo en los formularios públicos | Estados Unidos y red global |
| PostHog | Estadísticas de uso de la app y del sitio | Clics y pantallas vistas, solo después de tu consentimiento. Nunca en la demostración | Estados Unidos |
| Anthropic | Responde las preguntas hechas a Rocky en la demostración y lee el sitio en el escaneo de ingresos | Totales y texto público: la pregunta y los números de la pantalla de la demostración; en el escaneo, el texto de la página de inicio del sitio y los totales escritos. Sin nombre ni correo | Estados Unidos |
| Stripe | Pago con tarjeta, cuando la empresa contrata un plan de pago | Datos de cobro. El número de la tarjeta va directo a Stripe y nunca pasa por nuestros servidores | Estados Unidos y UE |
Lo que enviamos a un proveedor de IA son totales de la empresa y texto público, nunca datos personales. Hoy eso pasa en dos lugares, los dos con Anthropic (Estados Unidos). En Rocky, el asistente de la demostración, van la pregunta y los números de la pantalla: de las empresas de ejemplo, que son ficticias, o los que la propia persona escribió. No guardamos la pregunta ni la respuesta; solo contamos cuántas preguntas hubo por día, sin saber de quién. En el escaneo de ingresos, van el texto público de la página de inicio del sitio y los totales escritos (registros, pagantes y ticket promedio); el correo de quien pide el informe no va. Los totales de una empresa conectada a Radar no van a ningún proveedor de IA. Si eso cambia, seguirán yendo solo totales, sin datos personales, y la empresa recibirá el aviso antes, como dice el DPA. Otros módulos de GrowRockets (Turbo e Ignite) también usan Anthropic, y OpenAI (Estados Unidos) para transcribir audio.
6. Derechos de los titulares
Si un titular pide a GrowRockets algo sobre datos que trata por cuenta de la Cliente, GrowRockets reenvía la solicitud a la Cliente sin demora y no responde por su cuenta, salvo que la ley lo exija. Radar trae en Configuración las herramientas para descargar, corregir y borrar datos, y GrowRockets ayuda a la Cliente con lo que falte, en un plazo razonable.
7. Ayuda con el cumplimiento de la Cliente
Dentro de la información que tiene, GrowRockets ayuda a la Cliente con las evaluaciones de impacto en la protección de datos, las consultas previas a la autoridad y los deberes de seguridad y de aviso de incidentes.
8. Incidente con datos personales
Si GrowRockets se entera de un incidente que afecte datos personales de la Cliente, avisa a la Cliente sin demora indebida. El aviso dice, en lo que ya se sepa: qué pasó, qué datos y cuántas personas, las consecuencias probables y qué se está haciendo. GrowRockets coopera en la investigación y en la comunicación a las autoridades y a los titulares, que es decisión de la Cliente.
9. Devolución y eliminación
La Cliente puede descargar los datos cuando quiera (Configuración, Privacidad y datos). Cuando la Cliente cierra la cuenta, o cuando termina el contrato, GrowRockets borra los datos: los totales y solicitudes de Radar al instante, el resto de la empresa en un máximo de 7 días, y lo que esté en copias de seguridad de los proveedores en su ciclo normal. GrowRockets solo conserva lo que la ley obligue a conservar, por ejemplo registros de cobro, e indica cuál es la ley si la Cliente lo pregunta.
10. Auditorías e información
GrowRockets da a la Cliente la información necesaria para demostrar el cumplimiento de este acuerdo respondiendo el cuestionario de seguridad (pídelo en /es/seguranca). Una auditoría adicional, cuando la Cliente la necesite, se acuerda en la propuesta, a su cargo y con confidencialidad. Hoy GrowRockets no tiene certificación SOC 2 ni ISO 27001.
11. Transferencias internacionales
Los datos de Radar se guardan en São Paulo. Los subencargados fuera de Brasil tratan datos según los acuerdos de tratamiento de datos y las cláusulas de transferencia que ellos mismos ofrecen.
Si la Cliente está en la Unión Europea, el Espacio Económico Europeo, Suiza o el Reino Unido y necesita cláusulas contractuales tipo firmadas con GrowRockets, entran en la propuesta.
12. Responsabilidad, plazo y orden de prelación
La responsabilidad de cada parte sigue los límites de los Términos de uso, sin quitar lo que la ley de protección de datos no deja limitar. Este acuerdo dura mientras GrowRockets trate datos de la Cliente. En caso de conflicto sobre datos personales, prevalece este acuerdo y, por encima de él, las cláusulas tipo que se firmen en la propuesta.
Contacto
Encargado (DPO): Rony Lussari, privacidade@growrockets.com. Última actualización: 31 de octubre de 2026.
Consulta también la Política de privacidad, los Términos de uso y la página de Seguridad. Política de privacidad · Términos de uso · Seguridad