Cláusulas tipo. Sin sorpresas.
Cuando un cliente, en cualquier plan, trata a través del servicio datos personales de terceros (sus empleados, sus clientes, los informantes de su canal de denuncias…), AIM ÆGIS actúa como encargado de tratamiento (Art. 28 RGPD). El contrato de encargo se basa en las Cláusulas Contractuales Tipo aprobadas por la Decisión (UE) 2021/915 de la Comisión, forma parte de los términos del servicio y se acepta con ellos. En los planes Partner y Enterprise puede firmarse, además, un texto negociado. Esta página resume su estructura; el texto completo se puede pedir en el correo del pie.
Versión 1.4, del 31/10/2026.
§1 Objeto, duración, naturaleza y finalidad
Prestación del servicio AIM ÆGIS para que el responsable produzca análisis de cumplimiento, documentación legal y razonamiento sobre normativa europea. Duración: vigencia del contrato del servicio. Naturaleza: operaciones automatizadas. Finalidad: estrictamente ejecución del servicio contratado.
§2 Tipos de datos y categorías de interesados
Datos típicos: identificativos profesionales, datos de contacto, contenido de consultas jurídicas del responsable, metadatos técnicos. Categorías de interesados: usuarios del responsable y personas cuyos datos introduce el responsable en el servicio (por ejemplo, sus clientes, empleados o informantes del canal de denuncias). Categorías especiales (Art. 9) e infracciones penales (Art. 10): VETADAS por defecto, salvo addendum específico en Enterprise y con una sola excepción documentada: el justificante que la persona trabajadora adjunta, de forma voluntaria, a un permiso (certificado de asistencia o de la causa, sin diagnóstico), que puede contener datos de salud; lo trata el encargado con la instrucción que el responsable da al activar los justificantes, solo lo ve la administración de RRHH del responsable y se borra a los tres años del fin del permiso. Las referencias anónimas (§13) no tratan categorías especiales.
§3 Instrucciones documentadas del responsable
El encargado tratará los datos solo siguiendo las instrucciones documentadas del responsable, también en lo relativo a las transferencias internacionales (Art. 28.3.a RGPD). Cualquier instrucción que el encargado considere contraria al RGPD será comunicada inmediatamente al responsable. Obligaciones y derechos del responsable: dar instrucciones documentadas, garantizar la licitud de los datos que aporta, autorizar o vetar subencargados y auditar.
§4 Confidencialidad del personal autorizado
El encargado garantiza que las personas autorizadas a tratar los datos están sujetas a obligación de confidencialidad (Art. 28.3.b RGPD). Compromiso de secreto sin límite temporal posterior a la finalización del contrato.
§5 Medidas técnicas y organizativas (Art. 32 RGPD)
Pseudonimización donde aplique · cifrado en tránsito (TLS 1.3) y en reposo · resiliencia: backups diarios, plan de continuidad · pruebas y evaluación regular: tests automatizados, revisión anual de la DPIA. Detalle técnico en el Anexo II del contrato.
§6 Subencargados
Autorización general del responsable a la subcontratación, con derecho de oposición razonado. Categorías de subencargados actuales: inferencia de IA por OpenRouter (EE. UU.) con los modelos Qwen3-Max (Alibaba Cloud International) y Gemini (Google) y, para leer las nóminas escaneadas, Claude Haiku 5.5 (Anthropic): OpenRouter y Alibaba no figuran en la lista oficial del DPF; para el asistente de fichajes y el Atlas para la persona trabajadora, Mistral AI (Francia), que sirve el modelo Mistral Medium a través de OpenRouter como su subencargado, salvo para los fines que su acuerdo le reserva como responsable (§2.3: entrenamiento salvo exclusión, moderación salvo retención cero, estadísticas de uso); dónde trata los datos, según su lista de subencargados (trust.mistral.ai/subprocessors); proveedor de hosting (infraestructura europea), red de borde y DNS (DPF). La lista nominativa completa, con el país, la base de cada transferencia y lo que queda pendiente, figura en la política de privacidad. Cualquier cambio se notifica con 30 días de antelación. Flow-down obligatorio de las obligaciones Art. 28.
§7 Asistencia al responsable
El encargado asiste al responsable, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de su obligación de responder a las solicitudes de los interesados (Art. 12 a 22 RGPD). Asistencia también para EIPD (Art. 35-36), notificación de brechas (Art. 33-34) y consulta previa.
§8 Notificación de brechas
El encargado notifica al responsable sin dilación indebida tras tener conocimiento (SLA contractual: 24 horas desde la detección) con todo el detalle del Art. 33.3 RGPD. Plan de respuesta documentado en /aegis/brechas.
§9 Destino al finalizar el contrato
A elección del responsable: devolución de todos los datos en formato interoperable (export JSON + PDF) o supresión. Certificado de destrucción aportado por escrito. Plazo máximo: 30 días desde la solicitud, salvo obligación legal de conservación.
§10 Información y auditorías
El encargado pone a disposición del responsable toda la información necesaria para demostrar el cumplimiento del Art. 28. Derecho del responsable a realizar auditorías (in situ o documentales) con preaviso razonable. Cooperación con autoridades de control.
§11 Transferencias internacionales
Detalle de transferencias en Anexo IV. Cobertura jurídica: DPF UE-EE.UU. para los destinatarios que figuran en la lista oficial. OpenRouter (no figura en el DPF): su acuerdo de tratamiento de 26/08/2026 incorpora las Cláusulas Contractuales Tipo 2021/914 en el módulo 2 (de responsable a encargado); para los datos que tratamos por cuenta del responsable el módulo adecuado es el 3 (de encargado a subencargado), pendiente a 25/09/2026. Alibaba Cloud International (no figura en el DPF): región y garantía de la transferencia pendientes de confirmar a 25/09/2026. Evaluación de impacto de las transferencias en revisión.
§12 Responsabilidad e indemnidad
Régimen del Art. 82 RGPD. Indemnización mutua por daños derivados del incumplimiento por la parte responsable.
§13 Indicadores agregados y referencias anónimas
Solo si el responsable activa de forma expresa las referencias anónimas entre empresas (ajuste apagado por defecto, revocable en cualquier momento, con registro de quién, cuándo, desde qué IP y con qué versión del texto), esa activación es una instrucción documentada (Art. 28.3.a RGPD) para que el encargado calcule, con el registro de jornada y las solicitudes del responsable, cuatro valores agregados de toda su plantilla (descansos de menos de 12 horas, horas semanales medias, fichajes corregidos y días de respuesta a las solicitudes de transparencia retributiva). No se trata ningún dato de salud ni otra categoría especial: la incapacidad temporal y las demás ausencias médicas no entran. Garantías: sin nombres ni filas por persona; celdas de 10 o más empresas; mediana redondeada; corte mensual; nada se envía a la IA ni a terceros. El responsable decide la base jurídica de ese cálculo; este modelo propone su adhesión expresa y su interés legítimo en compararse (Art. 6.1.f RGPD), con el juicio de compatibilidad con la finalidad inicial (Art. 6.4 RGPD). La puesta en común de los valores de varias empresas la decide el encargado, que solo usa esos valores ya agregados y publica la mediana de cada sector y tramo con las garantías anteriores, para que no se pueda atribuir a ninguna empresa ni persona (considerando 26 RGPD). El encargado no usa los datos del responsable para ningún otro fin. Al revocar, su valor se borra al momento y deja de contar desde el siguiente corte; las celdas ya publicadas no se retiran.
Para solicitar el texto completo: hola@aim-aegis.ai