Procedimiento de derechos de los interesados (DSR)

QR Branding API — RGPD Art. 15-22

---

1. Derechos reconocidos

---

2. Contexto especial: servicio sin estado

QR Branding funciona como un servicio sin estado (stateless) y sin base de datos. Esto tiene implicaciones importantes para las DSR:

Datos que NO existen y, por tanto, no se pueden recuperar ni eliminar:

• Contenido QR (URL, textos, vCards, WiFi) → procesado en memoria y descartado tras la respuesta
• Prompts de IA → procesados en memoria y descartados tras la respuesta (la caché de prompts guarda solo el diseño generado, hasta 30 días, bajo una clave derivada de un hash SHA-256 del prompt)
• Imágenes QR generadas → devueltas al usuario, no almacenadas
• Logos e imágenes subidos → procesados en memoria y descartados

Datos que SÍ pueden existir:

• Application Insights (90 días): rutas de las peticiones, tiempos, errores, métricas de rendimiento
• Contadores del límite de peticiones (2 minutos): identificadores de RapidAPI anonimizados, IP anonimizadas
• Datos en los proveedores LLM: prompts de diseño, según la política de conservación de cada proveedor

---

3. Procedimiento de gestión

3.1 Recepción de la solicitud

3.2 Verificación de la identidad

Para evitar que terceros accedan a datos ajenos:

1. Pedir al interesado que identifique su usuario de RapidAPI o su ID de suscripción.
2. Si procede, pedirle una llamada de verificación a la API desde su cuenta de RapidAPI para confirmar la titularidad.
3. No pedir documentación excesiva: la verificación debe ser proporcionada.

3.3 Respuestas por tipo de derecho

Derecho de acceso (Art. 15)

Respuesta tipo:

Estimado/a [nombre]:

En relación con su solicitud de acceso conforme al Art. 15 del RGPD, le informamos de lo siguiente:

QR Branding es un servicio sin estado que no almacena datos personales más allá del procesamiento inmediato de cada petición a la API. No mantenemos ninguna base de datos de usuarios, historial de peticiones ni contenido QR generado.

Los únicos datos que pueden existir temporalmente son:

1. Telemetría en Application Insights (90 días): metadatos de sus peticiones a la API (rutas, tiempos de respuesta, códigos HTTP). Estos datos no contienen contenido QR ni datos personales identificables, ya que las IP se anonimizan antes de registrarse.

2. Datos en los proveedores LLM (si usó la función de IA): si usó la generación con IA en qr-branding.com o el endpoint gestionado, sus prompts de diseño los trataron nuestros proveedores LLM (Groq, Google u OpenAI) como encargados nuestros, sin ningún identificador suyo. Si usó el endpoint BYOK con su propia clave, los prompts de diseño que envió pueden conservarse según la política del proveedor que eligió; le recomendamos que se dirija directamente a ese proveedor para ejercer sus derechos.

Si desea que extraigamos cualquier dato de telemetría asociado a su identificador de RapidAPI, lo haremos con mucho gusto.

Derecho de supresión (Art. 17)

Respuesta tipo:

En relación con su solicitud de supresión:

• El contenido QR y las imágenes generadas nunca se almacenan y se descartan inmediatamente después de cada respuesta de la API.
• Los contadores del límite de peticiones asociados a su identificador caducan automáticamente a los 2 minutos.
• Si desea que eliminemos cualquier dato de telemetría de Application Insights asociado a su identificador, lo eliminaremos y le confirmaremos que se ha hecho.
• Para los datos que conserve el proveedor LLM que usó con su propia clave (endpoint BYOK), le facilitamos los contactos de privacidad de cada proveedor para que ejerza sus derechos directamente.

Derecho de oposición (Art. 21)

Para los tratamientos basados en el interés legítimo (límite de peticiones, telemetría):

1. Evaluar si existen motivos legítimos imperiosos que prevalezcan sobre los intereses del solicitante.
2. Límite de peticiones: el interés legítimo (disponibilidad del servicio) suele prevalecer, pero hay que documentar la evaluación.
3. Telemetría: evaluar caso por caso. Si procede, configurar la exclusión en Application Insights.

Derecho a la portabilidad (Art. 20)

Respuesta tipo:

QR Branding no almacena datos personales estructurados. No hay datos que podamos exportar en un formato portable. Toda la información procesada se descarta inmediatamente después de cada petición a la API.

---

4. Plazos

---

5. Excepciones y denegación

La solicitud puede denegarse si:

En caso de denegación:

1. Informar al solicitante de los motivos.
2. Informarle de su derecho a presentar una reclamación ante la autoridad de control.
3. Documentar la denegación y sus motivos.

---

6. Registro de solicitudes

Todas las solicitudes de DSR deben registrarse:

---

7. Datos en los proveedores LLM

7.1 Cuentas propias de QR Branding (sitio y endpoint gestionado)

En la generación con IA de qr-branding.com y del endpoint gestionado (POST /api/qr/ai/generate-managed), Groq, Google (Gemini) y OpenAI actúan como encargados del tratamiento de QR Branding (ver la página de subencargados). Las solicitudes sobre estos datos las atiende QR Branding como responsable, según el procedimiento de este documento. Al proveedor solo se envían el prompt de diseño y los parámetros de generación, sin el email, la dirección IP ni ningún otro identificador del usuario.

7.2 Endpoint BYOK

En el endpoint POST /api/qr/ai/generate, el cliente aporta su propia clave de API del proveedor LLM (BYOK, Bring Your Own Key). Por tanto:

• En estas peticiones, QR Branding no tiene relación contractual con el proveedor LLM.
• Si un usuario solicita el acceso a los datos tratados por un proveedor LLM o su supresión, debe dirigirse directamente al proveedor con el que tiene su propia cuenta.
• QR Branding puede facilitar al usuario los contactos de privacidad de cada proveedor:

Para xAI, DeepSeek y Qwen, que el endpoint BYOK también admite, el usuario debe usar el contacto de privacidad que publique el proveedor.

---

Documento generado el 2026-03-08.