Anexo de Procesamiento de Datos de Perplexity

Última actualización: 8 de julio de 2025

Este Anexo de Procesamiento de Datos («DPA») forma parte e incorpora ciertos términos de servicio y otros acuerdos que hacen referencia expresa al mismo entre Perplexity AI, Inc. («Perplexity») y los clientes empresariales («Cliente»), incluidos, sin limitación, los Términos de servicio de Perplexity Pro for Enterprise y los Términos de servicio de la API de Perplexity, que rigen el uso de los servicios de Perplexity por parte del Cliente (los «Servicios», y dichos términos de servicio o acuerdo relevantes, el «Acuerdo»). En la medida en que Perplexity procese cualquier Dato Personal en relación con el uso de los Servicios por parte del Cliente, este DPA establece las instrucciones del Cliente para el procesamiento de dichos Datos Personales y los derechos y obligaciones de ambas Partes. Excepto por lo establecido expresamente en este DPA, el Acuerdo permanecerá sin modificaciones y en pleno vigor y efecto. En caso de conflicto entre este DPA y el Acuerdo, prevalecerá el DPA.

Definiciones. Para los fines de este DPA, los siguientes términos tendrán los significados establecidos a continuación. Los términos en mayúsculas utilizados pero no definidos en este DPA tendrán los significados otorgados en los Términos y Condiciones de Perplexity Pro for Enterprise. Todos los demás términos en mayúsculas en este DPA no definidos de otro modo en el Acuerdo tendrán los significados correspondientes otorgados en las Leyes de Privacidad.

«Cláusulas de Responsable a Encargado» significa (i) con respecto a las transferencias de Datos Personales sujetas al RGPD, las cláusulas contractuales tipo para la transferencia de Datos Personales a terceros países establecidas en la Decisión de Ejecución 2021/914 de la Comisión, de 4 de junio de 2021, que incluye específicamente el Módulo 2 (Responsable a Encargado) («SCC de la UE»); y (ii) con respecto a las transferencias de Datos Personales sujetas al RGPD del Reino Unido, el Anexo de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea (versión B.1.0) emitido por el Comisionado de Información del Reino Unido («Anexo del Reino Unido»), en cada caso según se modifique, actualice o reemplace periódicamente.

«Leyes de Privacidad de la UE/Reino Unido» significa, según corresponda: (i) el Reglamento General de Protección de Datos 2016/679 (el «RGPD»); (ii) la Directiva sobre privacidad y comunicaciones electrónicas 2002/58/CE; (iii) la Ley de Protección de Datos del Reino Unido de 2018, el Reglamento General de Protección de Datos del Reino Unido según lo definido por la Ley de Protección de Datos del Reino Unido de 2018, modificada por el Reglamento de Protección de Datos, Privacidad y Comunicaciones Electrónicas (Enmiendas, etc.) (salida de la UE) de 2019 (junto con la Ley de Protección de Datos del Reino Unido de 2018, el «RGPD del Reino Unido»), y el Reglamento de Privacidad y Comunicaciones Electrónicas de 2003; y (iv) cualquier ley, directiva, orden, norma, reglamento u otro instrumento vinculante relevante que implemente cualquiera de los anteriores, en cada caso, según sea aplicable y esté en vigor periódicamente, y según se modifique, consolide, promulgue de nuevo o reemplace periódicamente.

«Dato Personal» significa cualquier información que Perplexity procese en nombre del Cliente para proporcionar los Servicios que esté definida como «dato personal», «información personal» o «información de identificación personal» bajo cualquier Ley de Privacidad.

«Leyes de Privacidad» significa, según corresponda, las Leyes de Privacidad de la UE/Reino Unido, las Leyes de Privacidad de EE. UU. y cualquier ley similar de cualquier otra jurisdicción que se relacione con la protección de datos, la privacidad o el uso de Datos Personales y requiera que los Responsables y Encargados acepten compromisos contractuales específicos con respecto al procesamiento de Datos Personales, en cada caso, según sea aplicable y esté en vigor periódicamente, y según se modifique, consolide, promulgue de nuevo o reemplace periódicamente.

«Cláusulas de Encargado a Encargado» significa (i) con respecto a las transferencias de Datos Personales sujetas al RGPD, las cláusulas contractuales tipo para la transferencia de datos personales a terceros países establecidas en la Decisión de Ejecución 2021/914 de la Comisión, de 4 de junio de 2021, que incluye específicamente el Módulo 3 (Encargado a Encargado); y (ii) con respecto a las transferencias de Datos Personales sujetas al RGPD del Reino Unido, el Anexo de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión Europea (versión B.1.0) emitido por el Comisionado de Información del Reino Unido, en cada caso según se modifique, actualice o reemplace periódicamente.

«Tercer País» significa cualquier país o territorio fuera del alcance de las leyes de protección de datos del Espacio Económico Europeo o el Reino Unido, según corresponda, excluyendo países o territorios aprobados por la autoridad competente relevante como proveedores de protección adecuada para los Datos Personales periódicamente.

«Leyes de Privacidad de EE. UU.» significa, según corresponda, la Ley de Privacidad del Consumidor de California, la Ley de Privacidad de Colorado, la Ley de Privacidad de Datos de Connecticut, la Ley de Privacidad del Consumidor de Utah, la Ley de Protección de Datos del Consumidor de Virginia, cualquier ley similar de cualquier otro estado relacionada con el procesamiento de Datos Personales, y cualquier reglamento promulgado bajo cualquiera de los anteriores, en cada caso, según sea aplicable y esté en vigor periódicamente, y según se modifique, consolide, promulgue de nuevo o reemplace periódicamente.

Los términos «Empresa», «Responsable», «Encargado», «Vender», «Proveedor de Servicios» y «Compartir» tendrán el significado otorgado en las Leyes de Privacidad aplicables.

Funciones de las Partes. Las Partes reconocen que, en relación con cualquier Dato Personal recibido del Cliente al proporcionar los Servicios, para los fines de las Leyes de Privacidad, el Cliente es el Responsable o Encargado o Empresa y Perplexity es el Proveedor de Servicios o Encargado.

Obligaciones del Cliente: El Cliente cumplirá con todas las Leyes de Privacidad al proporcionar Datos Personales a Perplexity en relación con su uso de los Servicios, incluido el uso de cualquier integración con los Servicios. El Cliente declara y garantiza que (a) todos los Datos Personales se recopilaron y en todo momento se procesaron y mantuvieron por o en nombre del Cliente en cumplimiento de todas las Leyes de Privacidad, incluido con respecto a cualquier obligación de notificar a las personas y/u obtener su consentimiento y (b) el Cliente ha cumplido con las Leyes de Privacidad en (incluso teniendo una base legal para ello), y por lo demás tiene todos los derechos, permisos, consentimientos y autorizaciones necesarios para, divulgar los Datos Personales a Perplexity y permitir que Perplexity procese los Datos Personales como se establece en el Acuerdo y este DPA. El Cliente no tomará ninguna acción que convertiría la provisión de Datos Personales a Perplexity conforme al presente en una Venta o Compartición bajo las Leyes de Privacidad de EE. UU. o que, de otro modo, impediría que Perplexity sea un Proveedor de Servicios o Encargado bajo las Leyes de Privacidad de EE. UU. El Cliente notificará a Perplexity sin demora indebida si el Cliente determina que el procesamiento de Datos Personales bajo el Acuerdo no cumple o no cumplirá con las Leyes de Privacidad, en cuyo caso, no se requerirá que Perplexity continúe procesando dichos Datos Personales.

Procesamiento de Datos Personales. Las Partes acuerdan que los detalles del procesamiento son los descritos en el Anexo 1. Al procesar Datos Personales bajo el Acuerdo, Perplexity deberá:

procesar únicamente Datos Personales siguiendo las instrucciones documentadas del Cliente, para el propósito limitado y específico descrito en el Anexo 1, a menos que las Leyes de Privacidad aplicables permitan procesar dichos Datos Personales de otro modo, y en todo momento en cumplimiento de las Leyes de Privacidad y los términos de este DPA, proporcionando el mismo nivel de protección de la privacidad que requieren las Leyes de Privacidad;

notificar al Cliente de inmediato si: (i) determina que ya no puede cumplir con las instrucciones del Cliente para el procesamiento de Datos Personales, sus obligaciones bajo las Leyes de Privacidad o los términos de este DPA o (ii) cree que la instrucción del Cliente infringe las Leyes de Privacidad aplicables;

en la medida requerida por las Leyes de Privacidad, otorgar al Cliente el derecho de tomar medidas razonables y apropiadas para ayudar a garantizar que Perplexity utilice los Datos Personales de manera coherente con las obligaciones del Cliente bajo este DPA y las Leyes de Privacidad, y detener y remediar cualquier uso no autorizado de los Datos Personales; y

requerir que cada empleado u otra persona que procese Datos Personales esté sujeto a un deber de confidencialidad apropiado con respecto a dichos Datos Personales.

Prohibiciones. En la medida requerida por las Leyes de Privacidad, Perplexity no (a) Venderá ni Compartirá Datos Personales, (b) retendrá, utilizará ni divulgará los Datos Personales fuera de la relación comercial directa entre Perplexity y el Cliente y para cualquier propósito que no sea el propósito específico de proporcionar los Servicios al Cliente o (c) combinará los Datos Personales recibidos del, o en nombre del, Cliente con cualquier Dato Personal que pueda recopilarse de las interacciones separadas de Perplexity con la(s) persona(s) a la(s) que se refieren los Datos Personales o de cualquier otra fuente. Para evitar dudas, los Datos Personales no se utilizarán para el entrenamiento de los grandes modelos de lenguaje de Perplexity. Si Perplexity recibe (i) cualquier solicitud legalmente vinculante de divulgación de Datos Personales por parte de una autoridad policial; o (ii) cualquier aviso, consulta o investigación con respecto a los Datos Personales por parte de cualquier autoridad supervisora/regulador (o similar); o (iii) cualquier queja o solicitud de un interesado, en cada caso relacionado con el procesamiento de Datos Personales por parte de Perplexity para o en nombre del Cliente bajo este DPA, entonces (en la medida permitida por la ley) Perplexity notificará al Cliente.

Uso de Subcontratistas.

El Cliente otorga por la presente a Perplexity una autorización general por escrito para contratar a los subcontratistas establecidos en el Anexo 2, sujeto a los requisitos de esta Sección 6.

Si Perplexity nombra un nuevo subcontratista o tiene la intención de realizar cambios relacionados con la adición o sustitución de cualquier subcontratista que no sea un Proveedor de Modelos (como se define a continuación), deberá proporcionar al Cliente un aviso previo por escrito de diez días hábiles (el correo electrónico es suficiente), durante los cuales el Cliente puede objetar el nombramiento o la sustitución por motivos razonables y documentados relacionados con la confidencialidad o seguridad de los Datos Personales o el cumplimiento de las Leyes de Privacidad por parte del subcontratista (y si el Cliente no objeta, Perplexity puede proceder con el nombramiento o la sustitución). Si el Cliente objeta dentro de los cinco días, el Cliente y Perplexity trabajarán juntos de buena fe para acordar una resolución a la objeción (p. ej., restringir el uso de Datos Personales o que el Cliente deje de usar temporal o permanentemente un aspecto o función particular de los Servicios). Si, a pesar de esas discusiones de buena fe, no se puede encontrar una resolución, entonces el Cliente (como su único recurso) puede rescindir el Acuerdo y recibir un reembolso de cualquier Tarifa prepagada no utilizada (como se define en el Acuerdo).

Si Perplexity nombra un nuevo subcontratista o tiene la intención de realizar cambios relacionados con la adición o sustitución de cualquier subcontratista que proporcione grandes modelos de lenguaje u otros modelos de inteligencia artificial generativa (un «Proveedor de Modelos»), Perplexity notificará al Cliente (el correo electrónico es suficiente) y actualizará la lista de «Proveedores externos» establecida en www.perplexity.ai/hub/legal/third-party-models (cada uno de los cuales es, para mayor claridad, un Proveedor de Modelos bajo este DPA). Si el Cliente objeta el nombramiento o la sustitución, el único recurso del Cliente es (y el Cliente debe) cesar todo uso del Modelo de Terceros relevante a través de los Servicios (lo que, para mayor claridad, el Cliente puede hacer en cualquier momento después del nombramiento o la sustitución).

Perplexity contratará subcontratistas solo de conformidad con un acuerdo escrito que contenga obligaciones para el subcontratista que no sean menos onerosas para el subcontratista relevante que las obligaciones de Perplexity bajo este DPA.

En el caso de que Perplexity contrate a un subcontratista para llevar a cabo actividades de procesamiento específicas en nombre del Cliente de conformidad con las Leyes de Privacidad de la UE/Reino Unido, cuando ese subcontratista no cumpla con sus obligaciones, Perplexity seguirá siendo plenamente responsable ante el Cliente bajo las Leyes de Privacidad de la UE/Reino Unido aplicables por el cumplimiento de las obligaciones de ese subcontratista.

Asistencia. Perplexity deberá, en relación con el procesamiento de Datos Personales y para permitir que el Cliente cumpla con sus obligaciones que surjan como resultado de ello, brindar asistencia al Cliente mediante:

la notificación al Cliente de las solicitudes de personas de conformidad con sus derechos bajo las Leyes de Privacidad, incluyendo proporcionar, eliminar o corregir los Datos Personales relevantes, o permitir que el Cliente haga lo mismo, en la medida en que esto sea posible;

en la medida requerida por las Leyes de Privacidad, la realización de evaluaciones de impacto de protección de datos y, si es necesario, la consulta previa con las autoridades competentes pertinentes; y

la notificación al Cliente de cualquier acceso, destrucción, uso, pérdida, modificación o divulgación no autorizados o ilegales de Datos Personales (una «Violación de Datos Personales») sin demora indebida después de que Perplexity tenga conocimiento de dicha Violación de Datos Personales.

Medidas de Seguridad. Perplexity, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y el propósito del procesamiento, implementará medidas técnicas, físicas y organizativas apropiadas diseñadas para proporcionar un nivel de seguridad adecuado al riesgo, como se establece en el Anexo 3, o acordado y documentado de otro modo entre el Cliente y Perplexity periódicamente, y continuará cumpliéndolas durante la vigencia del Acuerdo. Perplexity proporcionará formación sobre protección de datos y seguridad a aquellos empleados y otras personas autorizadas para acceder a Datos Personales.

Acceso y Auditorías. Previa solicitud razonable por escrito del Cliente y en la medida en que las Leyes de Privacidad exijan a Perplexity, Perplexity permitirá y contribuirá a las inspecciones y auditorías relativas al cumplimiento por parte de Perplexity de sus obligaciones bajo este DPA y las Leyes de Privacidad, a solicitud del Cliente, proporcionando al Cliente la información en posesión de Perplexity que sea razonablemente necesaria para demostrar dicho cumplimiento y/o organizando que un auditor calificado e independiente realice una evaluación de las políticas y medidas técnicas y organizativas de Perplexity para dicho cumplimiento, utilizando un estándar o marco de control apropiado y aceptado y un procedimiento de evaluación para dichas evaluaciones. Perplexity proporcionará un informe de dicha evaluación al Cliente previa solicitud razonable. Se permitirá al Cliente solicitar dicha información y/o auditoría (en la medida requerida por las Leyes de Privacidad) no más de una vez cada 12 meses, previa notificación por escrito de 30 días a Perplexity, y solo después de que las Partes lleguen a un acuerdo sobre el alcance de la auditoría y siempre que el auditor esté sujeto a un deber de confidencialidad. Sin perjuicio de lo anterior, en ningún caso se requerirá que el Vendedor otorgue al Cliente acceso a información, instalaciones o sistemas en la medida en que hacerlo causaría que el Vendedor infrinja las obligaciones de confidencialidad debidas a otros clientes o sus obligaciones legales.

Eliminación de Datos Personales.   Perplexity eliminará (o, a elección del Cliente, devolverá) todos los Datos Personales dentro de los treinta días posteriores al final de la provisión de los Servicios al Cliente, a menos que la ley requiera la retención de los Datos Personales, en cuyo caso, Perplexity notificará al Cliente sin demora indebida sobre dicho requisito legal y, tras la expiración de dicha obligación de retención, eliminará (o, a elección del Cliente, devolverá) los Datos Personales.

Transferencias de Datos. En la medida en que Perplexity procese Datos Personales sujetos a las Leyes de Privacidad de la UE/Reino Unido en un Tercer País, y actúe como importador de datos, Perplexity cumplirá con las obligaciones del importador de datos establecidas en las Cláusulas de Responsable a Encargado o las Cláusulas de Encargado a Encargado (según corresponda), que se incorporan por la presente y forman parte de este DPA, y:

para los fines del Anexo I o la Parte 1 (según corresponda), (i) el Cliente es un responsable o encargado (según corresponda) y Perplexity es un encargado, y (ii) se aplicarán las partes, los detalles de la persona de contacto y los detalles de procesamiento establecidos en el Acuerdo, este DPA y el Anexo 1, y la Fecha de Inicio es la fecha de vigencia del Acuerdo;

si corresponde, para los fines de la Parte 1 del Anexo del Reino Unido, los SCC de la UE del Anexo relevantes (tal como se define dicho término en el Anexo del Reino Unido) son los SCC de la UE incorporados a este DPA en virtud de esta Sección 11;

para los fines del Anexo II o la Parte 1 (según corresponda), se aplicarán las medidas de seguridad técnicas y organizativas, y las medidas técnicas y organizativas tomadas por Perplexity para ayudar al Cliente, tal como se establecen cada una en el Anexo 3;

si corresponde, para los fines del Anexo III o la Parte 1 (según corresponda), se aplicará la lista de subcontratistas autorizados establecida en el Anexo 2; y

si corresponde, para los fines de: (i) la Cláusula 9, se considera seleccionada la Opción 2 («Autorización general por escrito») y se hace referencia a la Sección 6.b y 6.c con respecto a los periodos de notificación; (ii) la Cláusula 11(a), se considera incluida la redacción opcional en relación con la resolución independiente de disputas; (iii) la Cláusula 13 y el Anexo I.C, la autoridad supervisora competente será el regulador irlandés; (iv) las Cláusulas 17 y 18, se considera seleccionada la Opción 1 y la ley aplicable y los tribunales competentes serán, respectivamente, la ley irlandesa y los tribunales irlandeses; y (v) la Parte 1, el Cliente como exportador puede rescindir el Anexo del Reino Unido de conformidad con la Sección 19 de dicho Anexo del Reino Unido.

En la medida en que Perplexity nombre a una filial o subcontratista externo para procesar los Datos Personales en un Tercer País, Perplexity ejecutará las Cláusulas de Encargado a Encargado con cualquier subcontratista relevante (incluidas las filiales) que nombre en nombre del Cliente. A solicitud del Cliente, Perplexity celebrará por separado las Cláusulas de Responsable a Encargado con el Cliente y tomará cualquier otra medida alternativa o adicional razonablemente solicitada por el Cliente para garantizar que el procesamiento de Datos Personales por parte de Perplexity se lleve a cabo de acuerdo con los requisitos de las Leyes de Privacidad.

Responsabilidad. Sujeto a la Cláusula 12 de las CLC de la UE y a cualquier ley aplicable que no pueda limitarse por contrato, la responsabilidad total agregada de cada parte que surja de o esté relacionada con este APD, las CLC de la UE y el Adéndum del Reino Unido, ya sea por contrato, agravio o de otro tipo, está sujeta a las exclusiones y limitaciones de responsabilidad establecidas en el Acuerdo, y cualquier responsabilidad en virtud de este APD, las CLC de la UE o el Adéndum del Reino Unido computa para dicho límite y no lo incrementa. Nada en esta Sección limita la responsabilidad de ninguna de las partes ante un interesado en virtud de la Cláusula 12(b) o 12(c) de las CLC de la UE, ni ninguna responsabilidad que no pueda limitarse en virtud de la ley de protección de datos aplicable.

ANEXO 1

Detalles del Procesamiento:

Naturaleza del procesamiento

La prestación de los Servicios al Cliente tal como se establece en el Acuerdo.

Propósito(s) del procesamiento

La prestación de los Servicios al Cliente tal como se establece en el Acuerdo.

Categorías de personas cuyos Datos Personales son procesados

Usuarios autorizados de los Servicios y, de otro modo, según lo determinado por el Cliente.

Categorías de Datos Personales procesados

Información de la cuenta de los Usuarios autorizados e información personal contenida en la Entrada enviada a través de los Servicios según lo determinado por el Cliente. Cualquier información personal contenida en la Entrada se almacenará hasta la última de las siguientes fechas: (a) la fecha en que el Cliente la elimine a través de la interfaz de los Servicios y (b) la fecha que sea treinta días después de que Perplexity deje de prestar los Servicios al Cliente.

Tipos de Datos Personales sujetos al procesamiento que se consideran «sensibles» o de «categoría especial» bajo las Leyes de Privacidad

No se pretende procesar datos sensibles a menos que un Usuario autorizado los incluya inesperadamente en la Entrada.

Frecuencia (p. ej., única o continua) y duración del procesamiento

De forma continua, durante la duración de la vigencia del Acuerdo y cualquier periodo de retención posterior a la terminación, tal como se establece en el Acuerdo.

El objeto, la naturaleza y la duración del procesamiento llevado a cabo por cualquier subencargado autorizado de conformidad con la Sección 6 son los establecidos en este Anexo 1 y en el Anexo 2.

ANEXO 2

Subcontratistas Autorizados:

Tal como se establece en https://perplexity.coolkeypoint.com/__p/trust.perplexity.ai/subprocessors (la "Lista de Subencargados del Centro de Confianza").

ANEXO 3

Medidas de Seguridad:

Perplexity mantiene Medidas de Seguridad razonables en proporción al riesgo que presenta el procesamiento de Datos Personales y, de otro modo, se basa en las medidas de seguridad implementadas y mantenidas por los subcontratistas establecidos en el Anexo 2, incluidos Amazon y Microsoft. Consulte el Acuerdo para obtener más detalles sobre los compromisos de seguridad de Perplexity.