Acuerdos de encargo del tratamiento (DPA): análisis

QR Branding API — RGPD Art. 28

---

1. Generación con IA: dos modalidades

1.1 Cuentas propias de QR Branding en los proveedores

El diseñador con IA de qr-branding.com y el endpoint gestionado del marketplace (POST /api/qr/ai/generate-managed) usan las claves de API propias de QR Branding con Groq, Google (Gemini) y OpenAI, mediante una cadena interna de respaldo. En estas peticiones:

• QR Branding es el responsable del tratamiento y estos proveedores actúan como sus encargados, que figuran en la página de subencargados.
• Al proveedor solo se envían el prompt de diseño y los parámetros de generación; ningún email, dato de facturación, dirección IP ni identificador del cliente.

1.2 Modelo BYOK (Bring Your Own Key)

El endpoint del marketplace POST /api/qr/ai/generate funciona con un modelo BYOK. Esto significa que:

• QR Branding no usa sus cuentas ni claves de API propias en estas peticiones.
• El cliente aporta su propia clave de API (llmApiKey) en cada petición y elige el proveedor: OpenAI, Anthropic, Google, Mistral, Cohere, Groq, xAI, DeepSeek o Qwen, o su propio endpoint compatible con OpenAI (local).
• QR Branding actúa como intermediario técnico que reenvía el prompt de diseño al proveedor usando la clave del cliente.
• La clave de API del cliente no se almacena ni se registra en logs, y se descarta al terminar la petición HTTP.

Implicaciones en el RGPD

Con el modelo BYOK, la relación contractual con el proveedor LLM es directa entre el cliente y el proveedor. Por tanto:

• En las peticiones BYOK, QR Branding no es responsable del tratamiento frente al proveedor LLM.
• Es el cliente quien debe tener su propio DPA con el proveedor LLM si trata datos personales.
• QR Branding no necesita DPA con los proveedores para las peticiones BYOK.

---

2. DPA que necesita QR Branding

QR Branding necesita DPA con sus proveedores directos (la lista completa está en la página de subencargados). Los relevantes para la API y para la generación con IA son:

---

3. Responsabilidad del cliente (endpoint BYOK)

En la documentación de la API y en la Política de Privacidad se informa al cliente de que:

1. Al usar el endpoint de IA BYOK, su prompt se envía al proveedor LLM que elija, usando su propia clave de API.
2. La relación con el proveedor LLM se rige por los términos que el propio cliente tenga con ese proveedor.
3. Si el cliente trata datos personales a través del endpoint de IA BYOK, es responsabilidad suya contar con los acuerdos adecuados (DPA) con el proveedor LLM.
4. QR Branding recomienda a sus clientes que revisen las políticas de privacidad del proveedor LLM que elijan.

Proveedores compatibles (referencia para el cliente)

El endpoint BYOK admite también xAI, DeepSeek y Qwen, y el propio endpoint del cliente compatible con OpenAI. El cliente debe revisar directamente las condiciones de tratamiento de datos de esos proveedores.

---

4. Medidas técnicas de protección de las claves de API del cliente

Aunque no almacenamos las claves de API del cliente, aplicamos las siguientes medidas de protección:

---

Documento actualizado el 2026-10-07. La versión 2.0 solo describía el modelo BYOK; esta versión añade la generación con IA con las cuentas propias de QR Branding en los proveedores (el sitio y el endpoint gestionado).