Diez preguntas antes de enviar datos personales a JEV. Roles de encargado del tratamiento, reglas de transferencia internacional del RGPD y la KVKK turca, y las lagunas de la documentación pública de TypeSafe.
El modelo JEV de TypeSafe AI no genera texto. Toma decisiones. Esto no cambia nada en materia de cumplimiento. Para decidir, JEV lee la entrada. Si la entrada contiene datos personales, la empresa que ofrece JEV pasa a ser una parte que trata datos personales por cuenta de usted. Este artículo da las preguntas que su equipo de cumplimiento debe hacer antes de enviar datos a JEV.
Aviso legal
Este artículo ofrece información general. No es asesoramiento jurídico. Las leyes cambian. Confirme los textos vigentes con su equipo legal antes de actuar.
Por qué JEV necesita una evaluación aparte
JEV acepta entradas de texto: cadenas, objetos JSON y matrices de texto. Para tareas como clasificación, enrutamiento y puntuación, estas entradas suelen ser datos reales del negocio. Ejemplos: registros de clientes, texto de tickets de soporte y descripciones de transacciones.
TypeSafe indica que su servicio está alojado en la costa oeste de EE. UU. El producto está en acceso anticipado. Estos dos hechos, juntos, plantean preguntas sobre la transferencia internacional y las garantías del proveedor.
Información que falta en la documentación pública
El 20 de septiembre de 2026, el equipo de Moftgate revisó la introducción de la documentación de TypeSafe y las páginas del concepto System One. Estas páginas no dan información sobre los periodos de retención de datos, el entrenamiento con datos de clientes, las certificaciones de cumplimiento ni las regiones de los centros de datos. Esta información puede estar en otra página. No haga suposiciones sobre estos temas sin un contrato escrito o una respuesta escrita del proveedor.
Tres preguntas básicas
- ¿Son datos personales? Si contienen un nombre, un documento de identidad, un correo, un teléfono o cualquier dato que identifique indirectamente a una persona, sí.
- ¿Cuáles son los roles? En la mayoría de los casos usted es el responsable y TypeSafe es el encargado del tratamiento. El contrato define los roles. No lo suponga.
- ¿Los datos salen de su país o región? Como el servicio está alojado en EE. UU., lo más probable es que sí. Entonces se aplican las reglas de transferencia internacional.
RGPD y KVKK: qué obligación se aplica y dónde
| Tema | RGPD | KVKK (Turquía) |
|---|---|---|
| Transparencia | Artículos 13 y 14 | Artículo 10 |
| Relación con el encargado | Artículo 28 (contrato de encargado) | Artículo 12 (seguridad y responsabilidad del encargado) |
| Transferencia internacional | Artículos 44 a 49 (Capítulo V) | Artículo 9 |
| Evaluación de riesgos | Artículo 35 (EIPD para tratamiento de alto riesgo) | Se recomienda un análisis de riesgos interno |
| Decisiones automatizadas | Artículo 22: derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado | Artículo 11, apartado (g): derecho a oponerse al resultado de un análisis automatizado |
Para transferencias desde la UE a EE. UU., pregunte en qué mecanismo de transferencia se apoya el proveedor. Obtenga esta respuesta por escrito. En Turquía, el artículo 9 de la KVKK exige condiciones como una decisión de adecuación o garantías adecuadas. Esta sección cambió en los últimos años. Confirme las condiciones vigentes y los plazos de notificación con su equipo legal.
10 preguntas para TypeSafe
- ¿En qué regiones procesan y almacenan los datos que envío?
- ¿Cuánto tiempo conservan las entradas y las salidas? ¿Puedo desactivar la retención?
- ¿Usan datos de clientes para entrenar o evaluar modelos?
- ¿Ofrecen un acuerdo de tratamiento de datos (DPA)?
- ¿Quiénes son sus subencargados y dónde están?
- ¿Qué mecanismo legal usan para las transferencias internacionales?
- ¿Tienen SOC 2, ISO 27001 u otra certificación similar?
- ¿En cuánto tiempo notifican una brecha de datos a los clientes?
- ¿Cómo funciona la eliminación de datos bajo petición?
- ¿Cambiarán estas condiciones cuando el producto salga del acceso anticipado?
Qué hacer hasta tener respuestas
- No envíe datos personales a JEV. Use datos anónimos o sintéticos para las pruebas.
- Averigüe quién está probando JEV. Registre las pruebas.
- Ponga el proceso de aprobación por escrito: finalidad, tipo de datos, persona responsable, aprobación legal.
- Incluso en el uso aprobado, bloquee o enmascare los datos sensibles antes del envío.
Moftgate apoya estos pasos a nivel de endpoint. El agente detecta las conexiones a los servicios de JEV. Según la política, bloquea la conexión, muestra una advertencia o la registra. AI DLP detiene o enmascara datos como números de identificación, números de tarjeta de crédito y claves de API. Los registros de auditoría le ayudan a responder la pregunta "quién envió qué datos y cuándo" en las auditorías del RGPD y la KVKK.
Conclusión estratégica
JEV en sí no es un problema de cumplimiento. El problema es el uso sin aprobación y sin registro. Obtenga las respuestas del proveedor por escrito, no envíe datos personales antes de la aprobación y mantenga el uso visible.
Equipo de investigación especializado en seguridad de LLM empresariales, gobernanza de IA y prevención de pérdida de datos a nivel de modelo.
Respuestas de expertos a las preguntas clave de profesionales
¿Enviar datos personales a JEV infringe el RGPD?
No automáticamente. Pero debe tener una base legal, transparencia, un contrato de encargado y condiciones válidas de transferencia. Enviar datos sin estas condiciones es arriesgado.
Si JEV no genera texto, ¿sigo tratando datos personales?
Sí. Enviar datos personales a un servicio es tratamiento, sea cual sea el tipo de salida del servicio.
¿TypeSafe entrena modelos con datos de clientes?
Las páginas de documentación pública que revisamos no dan información sobre esto. Pregunte a TypeSafe por escrito y confírmelo en el contrato.
¿Necesito un contrato para un producto en acceso anticipado?
Si va a enviar datos personales, sí. El acceso anticipado no elimina las obligaciones de protección de datos.
¿Puede Moftgate impedir que los datos personales lleguen a JEV?
Sí. AI DLP detecta los datos sensibles en el momento del envío y los bloquea o enmascara según la política. Cada evento se escribe en el registro de auditoría.
Fuentes autorizadas y estándares regulatorios
- •TypeSafe AI Docs: System One ↗(Tipos de entrada y descripción del modelo)
- •TypeSafe AI: Introducing System One Models & Jev ↗(Ubicación del servicio y estado de acceso anticipado)
- •
- •Autoridad turca de Protección de Datos Personales (KVKK) ↗(Legislación vigente y decisiones de la junta)
- •