Si pasa, esto es lo que hacemos.

Fase 1 · Detección y triage (T+0 a T+4h)

1. Cualquier persona del equipo o cualquier usuario puede reportar incidente a hola@aim-aegis.ai.
2. El equipo confirma o descarta la materialidad en máximo 4 horas. Si se confirma, se abre el procedimiento documentado y se notifica al DPO.
3. Se determina el perímetro (qué datos, qué tenants afectados, qué tipo de datos, número estimado de interesados).

Fase 2 · Contención (T+0 a T+24h)

• Rotación inmediata de credenciales comprometidas (DB, API keys, cuentas administrador).
• Bloqueo o invalidación de sesiones activas si aplica.
• Snapshot forense de la base de datos antes de cualquier remediación destructiva.
• Si la brecha afecta al servicio del agente, se evalúa pausar temporalmente las inferencias.

Fase 3 · Notificación AEPD · Art. 33 RGPD (T+72h máx.)

Si la brecha entraña riesgo para los derechos y libertades de las personas físicas, el DPO notifica a la AEPD a través de la sede electrónica en máximo 72 horas desde el conocimiento. Si la notificación se produce después de 72 horas, va acompañada de motivación del retraso (Art. 33.1 in fine).

Contenido mínimo de la notificación (Art. 33.3):

• Naturaleza de la brecha · categorías y número aproximado de interesados afectados · categorías y número aproximado de registros.
• Nombre y contacto del DPO.
• Consecuencias probables.
• Medidas adoptadas o propuestas para corregirla y mitigar efectos.

Fase 4 · Notificación al interesado · Art. 34 RGPD

Si es probable que la brecha suponga un alto riesgo para los derechos y libertades de las personas, se lo comunicamos directamente y sin dilación indebida, en lenguaje claro y sencillo, con el contenido del Art. 34.2, salvo que se dé alguna de las excepciones del Art. 34.3: datos ininteligibles (por ejemplo, cifrados); medidas posteriores que eliminan el alto riesgo; o esfuerzo desproporcionado, en cuyo caso se hace una comunicación pública.

Fase 5 · Notificación a los clientes · contrato de encargo

Para los clientes que tratan datos de terceros a través del servicio, en cualquier plan (sobre esos datos actuamos como encargado de tratamiento), notificación sin dilación indebida (SLA contractual de 24h desde la detección) con todo el contenido necesario para que el cliente pueda cumplir sus propias obligaciones del Art. 33 frente a sus interesados.

Fase 6 · NIS2 · plazos paralelos cuando aplique

Si por sector, tamaño o tipo de incidente AIM ÆGIS quedase incluido como entidad esencial o importante de la Directiva (UE) 2022/2555 (NIS2), se aplicarían los plazos de su art. 23: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final a más tardar un mes después de esa notificación. A 24/09/2026 no se ha publicado en el BOE la ley española que la transpone (hay un anteproyecto aprobado por el Consejo de Ministros el 14/01/2025) y sigue vigente el Real Decreto-ley 12/2018.

Fase 7 · Registro y postmortem (T+30d)

• Registro interno completo del incidente (Art. 33.5 RGPD): hechos, efectos, medidas correctoras, calendario.
• Postmortem técnico publicado a los tenants afectados con causas raíz y plan de prevención.
• Revisión de la DPIA (esta DPIA en /aegis/dpia) si el incidente revela una vulnerabilidad estructural no contemplada.