Leer esta página en español

Política de Privacidad — AMASFLY Studio

BORRADOR PARA REVISIÓN DEL ABOGADO HUMANO DEL CEO. Preparado por Carola (Asesora Legal, AMASFLY) el 15 de octubre de 2026. No es opinión legal final. [[VARIABLE]] = decisión pendiente del CEO.

Versión 0.2 (borrador, ajustada para Clientes en EE. UU.) · Vigente desde el [[FECHA_DE_VIGENCIA]]

Esta Política explica cómo trata los datos personales AMASFLY Studio, plataforma operada por AMASFLY S.R.L. Incluye el Anexo A (Tratamiento de Datos para Clientes), el Anexo B (Subencargados) y el Anexo C (Medidas de seguridad).

1. Quiénes somos

• Razón social: AMASFLY S.R.L. · NIT: 330630021
• Domicilio: Aeropuerto El Trompillo, Hangar 9, Santa Cruz de la Sierra, Bolivia
• Contacto de privacidad: [[CORREO_PRIVACIDAD_STUDIO]]

2. Tres papeles distintos

Studio trata datos de tres grupos y nuestro papel es diferente en cada uno:

Para el segundo y tercer grupo, el Cliente es el responsable del tratamiento y es quien debe tener la base legal, los avisos y los consentimientos. Lo que acordamos con él está en el Anexo A.

3. Marco normativo

3.1. Bolivia. Tratamos los datos conforme a la legislación boliviana aplicable, en particular la Constitución Política del Estado (art. 21, num. 2: privacidad, intimidad, honra, honor, propia imagen y dignidad; y art. 130: acción de protección de privacidad), la Ley N.° 164 de telecomunicaciones y tecnologías de información y comunicación y la Ley N.° 453 de derechos de las usuarias y usuarios y de las consumidoras y consumidores. A la fecha de este borrador no se ha encontrado una ley general de protección de datos personales promulgada en Bolivia; existe un proyecto de ley en tramitación (PL N.° 538/2025-2026, según fuentes consultadas) cuyo estado debe confirmarse en la fuente oficial antes de publicar. Aun así, aplicamos estándares razonables.

3.2. Clientes y público fuera de Bolivia. Si el Cliente o las personas cuyos datos tratamos están en la Unión Europea, el Reino Unido, Estados Unidos u otra jurisdicción, aplicamos además los compromisos del Anexo A (que siguen el contenido del artículo 28 del RGPD y las exigencias de proveedor de servicios de las leyes estatales de EE. UU.) y, para Clientes en EE. UU., el Anexo D.

3.2.1. Estados Unidos. No hay una ley federal general de privacidad; rigen la Ley de la FTC (lo que prometemos aquí debe ser cierto) y leyes estatales. Florida: la Florida Digital Bill of Rights (Fla. Stat. 501.701 y ss.) solo obliga a "controladores" con más de US$ 1.000 millones de ingresos brutos anuales globales que además cumplan una de tres condiciones (50 % o más de ingresos por publicidad en línea, un altavoz inteligente con asistente virtual, o una tienda de aplicaciones con 250.000 o más aplicaciones); según nuestra información, ni AMASFLY ni los Clientes pequeños de Florida lo cumplen, por lo que no la tratamos como aplicable [[el abogado confirma por cada Cliente]]. Otros estados tienen umbrales propios (por ejemplo, California exige ingresos de US$ 26.625.000 o más desde el 1-ene-2025, entre otros criterios; Texas exime a las pequeñas empresas según la SBA, salvo que vendan datos sensibles sin consentimiento). Con independencia de que apliquen, nos comprometemos por contrato (Anexo A.14 y Anexo D) a tratar los datos como proveedor de servicios. La ley de Florida sobre brechas de seguridad (Fla. Stat. 501.171) sí aplica a cualquier negocio que guarde información personal y a quien la procese por cuenta de otro (sección 12 y Anexo A.16). (Nota al abogado: http://www.leg.state.fl.us/statutes/index.cfm?App_mode=Display_Statute&URL=0500-0599/0501/Sections/0501.702.html (definición de controlador y procesador); http://www.leg.state.fl.us/statutes/index.cfm?App_mode=Display_Statute&URL=0500-0599/0501/Sections/0501.715.html (venta de datos sensibles, mismo círculo de sujetos); https://cppa.ca.gov/regulations/cpi_adjustment.html (CPPA, umbral ajustado); https://www.texasattorneygeneral.gov/consumer-protection/file-consumer-complaint/consumer-privacy-rights/texas-data-privacy-and-security-act (Texas AG); http://www.leg.state.fl.us/statutes/index.cfm?App_mode=Display_Statute&URL=0500-0599/0501/Sections/0501.171.html. No se verificó el texto de las demás leyes estatales ni la aplicación a procesadores pequeños.)

3.3. Plataformas de terceros. El Cliente y AMASFLY deben cumplir las Condiciones de la Plataforma de Meta (que exigen, entre otras cosas, tener una política de privacidad pública, explicar cómo pedir la eliminación de datos y borrar los datos de la plataforma cuando el usuario lo solicite o ya no se necesiten), y las políticas de uso de OpenAI y los demás proveedores.

4. Qué datos tratamos

Del Cliente y sus usuarios: nombre, correo, teléfono, cargo, rol en Studio (Encargado Humano, suplente, editor), credenciales (contraseña cifrada), registros de acceso y de aprobaciones, datos de facturación facilitados por Paddle (no guardamos los datos completos de tarjeta).

Del Contenido del Cliente: logos, fotos, videos, audios, textos, datos de marca y de ubicación de los trabajos. Puede incluir imágenes de personas (incluidos menores), voces, domicilios y oficinas de terceros, placas de vehículos, documentos y direcciones visibles. Por eso:

• El Cliente debe garantizar que tiene los derechos y consentimientos (Términos, cláusula 6).
• La Plataforma advierte al subir material y aplica detección automática de caras, placas y texto sensible para sugerir difuminado (spec técnica).
• Datos que no queremos recibir: documentos de identidad, datos de salud, financieros, de menores identificables sin consentimiento, ni categorías especiales de datos. Si llegan, los bloqueamos o eliminamos.

De Meta (por la conexión autorizada por el Cliente): identificadores de páginas y cuentas, tokens de acceso (cifrados), publicaciones, métricas, y el contenido y nombres públicos de comentarios y mensajes directos que reciben las páginas del Cliente.

De uso y seguridad: direcciones IP, dispositivo, registros de actividad, resultados de moderación y registros de auditoría.

Generación con IA: instrucciones (prompts), referencias y resultados enviados a los proveedores de IA, y el consumo asociado.

5. Para qué usamos los datos y en qué base

6. Regla de oro: el material de un Cliente es solo de ese Cliente

6.1. Aislamiento. Cada Cliente tiene un espacio separado. Su material no es visible ni utilizable para otros Clientes.

6.2. No se reutiliza. El Contenido del Cliente, los Datos de Terceros, las interacciones y el Contenido Generado no se usan para producir piezas de otro Cliente, ni como ejemplo, ni en portafolios o demostraciones, sin autorización expresa y escrita del Cliente.

6.3. No se entrena ningún modelo. AMASFLY no entrena, ajusta ni mejora modelos de IA propios o de terceros con el material de los Clientes. Enviamos el material solo a los proveedores del Anexo B, para ejecutar la tarea pedida. Según la documentación vigente de OpenAI, los datos enviados a su API no se usan para entrenar sus modelos salvo que el cliente lo autorice expresamente. Los proveedores de video y voz se contratan y revisan con el mismo criterio (por verificar para cada proveedor; ver Anexo B).

6.4. Datos de menores y rostros. Las fotos con personas identificables no se envían a generadores de imagen o video salvo que el Cliente confirme en la Plataforma que cuenta con el consentimiento de esas personas (o de sus padres o tutores, en el caso de menores). Por defecto, los menores identificables se bloquean para generación y publicación.

7. Con quién compartimos datos (subencargados)

Lista en el Anexo B. No vendemos datos personales ni los usamos para publicidad de terceros. Solo compartimos con: los subencargados del Anexo B; las autoridades, cuando la ley lo exija; y quienes el Cliente indique.

8. Transferencias internacionales

8.1. Datos de personas en EE. UU. tratados desde Bolivia. Studio se opera desde Bolivia: el personal de AMASFLY (soporte técnico y revisión de cumplimiento) puede acceder, de forma remota y con registro, a datos de seguidores y prospectos de EE. UU. alojados por nuestros subencargados en EE. UU. (Anexo B). No transferiremos esos datos a países que el Departamento de Justicia de EE. UU. designe como "de preocupación" ni a personas o sistemas ubicados en ellos [[Abogado y CEO: ver la nota sobre Kling]]. La transferencia se cubre con este apartado, el Anexo A (A.13 y A.14), el Anexo D y las condiciones de cada subencargado. (Nota al abogado: no se encontró en EE. UU. una norma general que restrinja enviar datos personales a Bolivia. La regla del Departamento de Justicia sobre datos sensibles masivos (28 CFR Parte 202) designa seis países de preocupación: China, Cuba, Irán, Corea del Norte, Rusia y Venezuela; Bolivia no figura (https://www.ecfr.gov/current/title-28/part-202/section-202.601). Alerta: Kling pertenece a Kuaishou (China) y se usa a través de Higgsfield con la cuenta del Cliente; no se verificó dónde se procesan los datos. Mientras tanto, no enviar a video imágenes de personas identificables (ya bloqueado por defecto, sección 6.4) ni datos de seguidores.)

8.2. Nuestros proveedores operan principalmente en Estados Unidos y otros países. Aplicamos contratos y medidas de protección razonables. Para clientes de la UE o del Reino Unido, las transferencias se apoyan en los mecanismos del Capítulo V del RGPD que correspondan (por ejemplo, cláusulas contractuales tipo o el marco de privacidad de datos EE. UU.–UE, según el proveedor). [[Abogado: confirmar mecanismos por proveedor.]]

9. Cuánto tiempo conservamos los datos

[[CEO: los plazos que siguen son la propuesta de Carola; confirmar o cambiar.]]

Los proveedores de IA aplican sus propios plazos técnicos (por ejemplo, OpenAI conserva registros de monitoreo de abuso hasta 30 días por defecto). Ver Anexo B.

10. Derechos de las personas

10.1. Quien aparece en el material del Cliente, o interactúa con las páginas del Cliente, puede pedir acceso, rectificación, eliminación, oposición o restricción de sus datos, y ejercer la acción constitucional de protección de privacidad en Bolivia. Si estás en la UE, el Reino Unido o California, tienes además los derechos que te reconoce tu ley.

10.2. Cómo ejercerlos. Escribe a [[CORREO_PRIVACIDAD_STUDIO]]. Como somos encargados de los datos del Cliente, reenviaremos tu solicitud al Cliente (que decide) y lo ayudaremos a responderla dentro de [[15]] días hábiles. En los datos de cuenta y facturación respondemos directamente.

10.3. Eliminación de datos de Meta. Para cumplir las condiciones de Meta, ofrecemos una forma sencilla de pedir la eliminación de los datos que recibimos de Meta sobre ti: [[URL_ELIMINACION_DATOS_STUDIO]]. Atendemos la solicitud sin demora y confirmamos por la vía que Meta establece.

10.4. Retirar una publicación. Si apareces en una publicación hecha por Studio sin tu consentimiento, escribe a [[CORREO_ABUSO]]; la retiramos de inmediato cuando se verifica y avisamos al Cliente.

11. Menores

Studio no está dirigido a menores. El Cliente no debe subir material con menores identificables sin el consentimiento de sus padres o tutores, y la Plataforma bloquea por defecto esos casos. No recopilamos a sabiendas datos de menores de seguidores; si los recibimos de Meta, los tratamos como datos del Cliente y los eliminamos si el Cliente lo pide.

12. Seguridad

Aplicamos las medidas del Anexo C. Si ocurre una violación de seguridad que afecte datos personales, avisamos al Cliente sin demora injustificada y, como máximo, dentro de [[48]] horas desde que tengamos conocimiento, y en todo caso dentro del plazo legal más corto que nos sea aplicable, para que él cumpla sus propios plazos (por ejemplo, el RGPD exige que el responsable notifique a la autoridad en 72 horas, cuando sea viable; la ley de Florida exige al agente de un tercero avisar lo antes posible y a más tardar 10 días después de determinar o sospechar la brecha, y al responsable notificar a los afectados en 30 días y, si son 500 o más personas de Florida, al Departamento de Asuntos Legales). (Nota al abogado: http://www.leg.state.fl.us/statutes/index.cfm?App_mode=Display_Statute&URL=0500-0599/0501/Sections/0501.171.html.)

13. Inteligencia artificial

Studio es una plataforma SaaS con agentes de IA: las piezas, campañas y borradores los generan agentes de la Plataforma, y el Cliente (o el usuario autorizado de su cuenta, el Encargado Humano) revisa y aprueba antes de publicar. No hay personal de AMASFLY redactando o diseñando por el Cliente; solo soporte técnico y revisión de cumplimiento de casos señalados. No tomamos decisiones automatizadas con efectos legales sobre personas. Podemos etiquetar contenido generado con IA, como exige Meta.

14. Cookies y analítica

La Plataforma usa cookies estrictamente necesarias y [[analítica mínima: sí/no]]. No usamos cookies de publicidad de terceros.

15. Cambios

Avisaremos los cambios sustanciales con al menos [[15]] días. La versión vigente siempre estará en [[URL]].

16. Contacto

[[CORREO_PRIVACIDAD_STUDIO]] · AMASFLY S.R.L., Aeropuerto El Trompillo, Hangar 9, Santa Cruz de la Sierra, Bolivia.

17. Idiomas y versiones

Esta Política existe en español e inglés. Si hay alguna discrepancia entre las dos versiones, prevalece la versión que indica la cláusula 25.4 de los Términos [[DECISIÓN DEL CEO]]. AMASFLY S.R.L. es una sociedad boliviana.

Anexo A — Tratamiento de Datos para Clientes (acuerdo de encargado)

Este Anexo forma parte del contrato entre AMASFLY (el "Encargado") y el Cliente (el "Responsable") y se aplica a los datos personales que tratamos por cuenta del Cliente en Studio.

A.1 Objeto, duración, naturaleza y finalidad. Alojar, procesar, transformar con IA, moderar, mostrar al Encargado Humano, publicar en Meta, gestionar pauta, reportar y proponer respuestas, solo para prestar Studio, durante el contrato y el Periodo de Salida.

A.2 Tipos de datos y personas. Datos del Contenido del Cliente y de interacciones (sección 4); personas: clientes finales, residentes, empleados, menores, seguidores, público de las páginas.

A.3 Instrucciones. AMASFLY trata los datos solo según las instrucciones documentadas del Cliente (el contrato, la configuración de la Plataforma y las aprobaciones del Encargado Humano). Si una instrucción parece infringir la ley, avisamos de inmediato.

A.4 Confidencialidad. El personal autorizado está sujeto a confidencialidad. Acceso por mínimo privilegio y con registro.

A.5 Seguridad. Medidas del Anexo C.

A.6 Subencargados. El Cliente da autorización general para los subencargados del Anexo B. Avisaremos con [[15]] días de anticipación cualquier incorporación o sustitución; el Cliente puede objetar por motivos razonables y, si no se resuelve, terminar el contrato. Imponemos a cada subencargado obligaciones equivalentes y respondemos ante el Cliente por ellos.

A.7 Derechos de las personas. Ayudamos al Cliente a responder solicitudes de acceso, rectificación, eliminación, oposición, restricción y portabilidad, y reenviamos las que recibamos.

A.8 Violaciones de seguridad. Avisamos al Cliente sin demora injustificada y dentro del plazo de la sección 12, con la información disponible para que cumpla sus obligaciones.

A.9 Asistencia. Ayudamos al Cliente con evaluaciones de impacto, consultas a autoridades y medidas de seguridad, en la medida razonable.

A.10 Devolución y eliminación. Al terminar el contrato, y según elija el Cliente, devolvemos (exportación en el Periodo de Salida) y luego eliminamos todos los datos y copias, salvo los que la ley obligue a conservar (sección 9).

A.11 Auditoría. Ponemos a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitimos auditorías razonables, con preaviso, una vez al año, a costa del Cliente, sujetas a confidencialidad.

A.12 Obligaciones del Cliente (responsable). El Cliente: (a) tiene base legal y, cuando corresponda, consentimientos para que se traten los datos, incluidos los Datos de Terceros; (b) informa a las personas (aviso de privacidad de sus páginas y publicaciones); (c) no sube categorías de datos prohibidas (sección 4); (d) designa dentro de su cuenta a los usuarios que actúan como Encargado Humano (que pertenecen al Cliente); (e) responde a las solicitudes de los titulares.

A.13 Transferencias internacionales. El Cliente autoriza las transferencias a los subencargados del Anexo B y el acceso remoto desde Bolivia del personal de AMASFLY (sección 8.1). Para Clientes sujetos al RGPD, las partes acordarán las cláusulas contractuales tipo o el mecanismo equivalente cuando sea necesario. [[Abogado]]

A.14 Normas de EE. UU. Para Clientes sujetos a leyes estatales de privacidad de EE. UU. (como la de California), AMASFLY actúa como proveedor de servicios / encargado: no vende ni comparte los datos personales, no los conserva, usa ni divulga fuera de la finalidad del contrato ni fuera de la relación directa con el Cliente, no los combina con datos de otros clientes, impone a sus subencargados obligaciones equivalentes, avisa si no puede cumplir con la ley aplicable y permite al Cliente tomar medidas razonables para detener y corregir un uso no autorizado. [[Abogado: confirmar los términos exigidos por cada ley estatal pertinente.]]

A.15 Responsabilidad. Sujeta a los límites de los Términos, salvo lo que la ley no permita limitar.

A.16 Incidentes bajo la ley de Florida. El aviso al Cliente sigue la sección 12. El Cliente (como "covered entity") decide y ejecuta las notificaciones a los afectados y a la autoridad; AMASFLY colabora con la información que tenga.

Anexo B — Subencargados

[[Lista inicial propuesta por Carola con base en lo declarado en el encargo; Desarrollo debe confirmarla antes de publicar. Datos de región y términos: por verificar.]]

Anexo C — Medidas de seguridad

• Aislamiento lógico por Cliente en todos los datos y archivos (clave de organización en cada registro; pruebas automáticas de aislamiento).
• Cifrado en tránsito (TLS) y en reposo; tokens de Meta y claves de API cifrados y no visibles para el personal de AMASFLY.
• Autenticación con verificación de correo, límite de intentos y doble factor para el equipo de AMASFLY y para el Encargado Humano. [[CEO: doble factor al Encargado es recomendación]]
• Mínimo privilegio y registro de accesos del personal; acceso al material de un Cliente solo para soporte técnico o revisión de cumplimiento, con registro.
• Registro de auditoría inmutable de aprobaciones, publicaciones, gasto y moderación.
• Copias de respaldo cifradas con plazo de eliminación definido.
• Procedimiento de respuesta a incidentes y de material de abuso infantil (Política de Uso Aceptable y spec técnica).
• Revisión periódica de subencargados.

Anexo D — Addendum para Clientes con domicilio en EE. UU.

[[Borrador para el abogado. Complementa el Anexo A; si hay conflicto, prevalece este Anexo para Clientes en EE. UU.]]

D.1 Roles. El Cliente es la empresa que decide para qué se usan los datos de sus seguidores, prospectos y clientes; AMASFLY es su proveedor de servicios / encargado.

D.2 Límites de uso. AMASFLY no vende ni comparte esos datos, no los usa para publicidad propia ni de terceros, no los combina con datos de otros Clientes y los usa solo para prestar Studio.

D.3 Dónde están y quién accede. Los datos están alojados por subencargados en EE. UU. (Anexo B) y el personal de AMASFLY accede de forma remota desde Bolivia (sección 8.1). No se transfieren a países de preocupación designados por el Departamento de Justicia de EE. UU.

D.4 Mensajes de marketing a los clientes del Cliente. Studio no envía SMS, llamadas ni correos de marketing a los clientes ni prospectos del Cliente. Si en el futuro se ofrece, se requerirá una adenda previa y, antes de cargar cualquier lista, la prueba de consentimiento por escrito de cada destinatario, el respeto de horarios y de bajas, y el cumplimiento de la TCPA, de la ley de Telemarketing de Florida y de CAN-SPAM (Política de Uso Aceptable, sección 4.8). Responder en Meta (comentarios y mensajes directos) a quien escribió primero no es un envío de marketing por SMS.

D.5 Solicitudes de consumidores. Reenviamos al Cliente las solicitudes que recibamos en [[10]] días hábiles y lo ayudamos a responderlas.

D.6 Incidentes. Sección 12 y Anexo A.16.

D.7 Nota. El Cliente, como responsable, mantiene su propio aviso de privacidad cuando la ley estatal aplicable lo exija.

Borrador — pendiente de revisión legal final