RAT · Registro de Actividades del Tratamiento

Nuestro RAT, en público.

El Art. 30 RGPD exige a responsables y encargados mantener un Registro de Actividades del Tratamiento. Su publicación no es legalmente obligatoria — la mantenemos pública como evidencia de responsabilidad proactiva (Art. 5.2 RGPD) y de cumplimiento documentado.

Versión 1.3, actualizada el 08/10/2026 (la 1.0 es del 18/05/2026). Se revisa cada seis meses.

Lectura15 min
Apartados3 en el índice

Identificación del responsable

Responsable: BIOMAG S.L.U. (NIF B01037241), titular de AIM ÆGIS
Domicilio: Barratxi 39, Pab. 3 · 01013 Vitoria-Gasteiz (Álava), España
Contacto: hola@aim-aegis.ai
DPO: Ver designación →
Comunicación AEPD: DPO comunicado mediante formulario oficial

Inventario de actividades

Diez actividades documentadas. Cada una con los datos que pide el Art. 30.1 RGPD: fines, categorías de datos, destinatarios, transferencias internacionales (con el país de destino; si falta, lo decimos), plazos de supresión y medidas de seguridad. El responsable y el DPD figuran arriba y las categorías de interesados, al final. Lo que está pendiente se dice en su sitio, con la fecha.

A-01 Gestión de cuentas de usuario

Finalidad: Crear, mantener y autenticar cuentas de Free / Pro / Partner / Enterprise; gestionar la relación contractual.
Base jurídica: Art. 6.1.b RGPD · Ejecución de contrato
Datos: Email, nombre, contraseña con hash adaptativo de alto coste, organización, rol, fecha de alta, último login
Origen: El propio interesado al registrarse
Destinatarios: Personal interno autorizado de AIM ÆGIS · Encargados de hosting (infraestructura UE)
Transferencias: Ninguna fuera del EEE para esta actividad
Conservación: Vida del contrato + 1 año (período de prescripción) · Después supresión segura
Seguridad: hash adaptativo de alto coste · HTTPS+HSTS · CSRF · MFA opcional · Registro de auditoría del alta, de los cambios de rol y de activación (ver A-04)

A-02 Conversaciones con el agente IA

Finalidad: Producir respuestas razonadas a consultas del usuario sobre cumplimiento normativo. Persistir el historial para que el usuario pueda revisarlo.
Base jurídica: Art. 6.1.b RGPD · Ejecución de contrato
Datos: Texto de preguntas, respuestas del agente, cadenas de razonamiento, citas verificadas
Origen: El propio interesado al usar el servicio
Destinatarios: Personal interno autorizado para soporte (sólo bajo solicitud) · Proveedor de inferencia de IA (encargado)
Transferencias: OpenRouter (EE. UU.) y los modelos Qwen3-Max (Alibaba Cloud International, fuera de la UE, región pendiente de confirmar) y Gemini (Google), y, para leer las nóminas escaneadas, Claude Haiku 5.5 (Anthropic): Google figura en el DPF; OpenRouter y Alibaba no (comprobado el 21/09/2026); la de Anthropic, pendiente de comprobar a 08/10/2026. OpenRouter: cláusulas tipo, módulo 2, en su acuerdo de tratamiento de 26/08/2026. Alibaba Cloud International: garantía pendiente de confirmar a 25/09/2026. El asistente de fichajes usa primero Mistral Medium servido solo por Mistral AI (Francia), también a través de OpenRouter y como su subencargado; si Mistral está saturado responden Gemini y después Claude Haiku. Mistral AI aplica a sus clientes comerciales su acuerdo de tratamiento (vigente desde el 27/07/2026, parte integrante de sus condiciones: legal.mistral.ai/terms/data-processing-addendum). Dónde trata los datos: según su lista de subencargados (trust.mistral.ai/subprocessors), pendiente de revisar a 31/10/2026; por eso no se afirma tratamiento en la UE. Según su acuerdo (§2.3), Mistral trata algunos datos como responsable (entrenamiento salvo exclusión, moderación salvo retención cero, estadísticas de uso); las peticiones van con retención cero y sin recogida de datos
Conservación: Vida del contrato · El usuario puede borrar cualquier conversación en cualquier momento (supresión inmediata en la aplicación). En las copias de seguridad desaparece cuando sale de la rotación la última copia anterior al borrado: en el volumen se guardan las 7 copias más recientes y, cifradas fuera del volumen, las 30 más recientes; con una copia al día, hasta unos 30 días
Seguridad: Cifrado en tránsito (HTTPS/TLS 1.3) · Cifrado en reposo (a nivel de base de datos) · Aislamiento por tenant_id · No fine-tuning de modelos con datos de usuarios

A-03 Preguntas a Atlas en la portada, sin cuenta

Finalidad: Responder a la pregunta que escribe un visitante sin registrarse, con el límite de 3 consultas al día por dirección IP, y conocer qué se pregunta. Sustituye a la demo pública, retirada el 20/09/2026.
Base jurídica: Pendiente de fijar a 27/09/2026
Datos: Huella (hash con clave secreta) de la dirección IP, no la IP en claro · la pregunta (hasta 300 caracteres) · la respuesta servida · fecha
Origen: El propio visitante
Destinatarios: Personal interno autorizado · Proveedor de inferencia de IA (encargado)
Transferencias: OpenRouter (EE. UU.) y los modelos Qwen3-Max (Alibaba Cloud International, fuera de la UE, región pendiente de confirmar) y Gemini (Google), y, para leer las nóminas escaneadas, Claude Haiku 5.5 (Anthropic): Google figura en el DPF; OpenRouter y Alibaba no (comprobado el 21/09/2026); la de Anthropic, pendiente de comprobar a 08/10/2026. OpenRouter: cláusulas tipo, módulo 2, en su acuerdo de tratamiento de 26/08/2026. Alibaba Cloud International: garantía pendiente de confirmar a 25/09/2026. Antes de salir se ocultan DNI y NIE, correos, teléfonos, IBAN y números de la Seguridad Social; los nombres no
Conservación: 90 días desde la pregunta; después se borran de forma automática. En las copias de seguridad, hasta que salen de la rotación (hasta unos 30 días más, ver A-02)
Seguridad: Huella de la IP con clave secreta · límite de 3 consultas al día · campo trampa contra robots · longitud de 12 a 300 caracteres

A-04 Logs de seguridad y auditoría

Finalidad: Mantener trazabilidad de eventos críticos (alta, baja, cambio de rol, intentos de acceso fallidos, acciones de administrador, brechas potenciales) para cumplir Art. 32 RGPD y Art. 30 ENS si aplica.
Base jurídica: Art. 6.1.f RGPD · Interés legítimo en garantizar la seguridad de la red y de la información (considerando 49 RGPD)
Datos: Email del usuario, dirección IP, user-agent, evento, timestamp, payload técnico mínimo
Origen: Sistema (registrado automáticamente)
Destinatarios: El administrador de cada organización, solo la suya · DPO · Personal autorizado para respuesta a incidentes · Autoridades de control bajo requerimiento legal
Transferencias: Ninguna por defecto. Si una autoridad europea requiere acceso por proceso legal, se le facilita registrando la solicitud
Conservación: Plazo fijado: 12 meses desde el evento. A 27/09/2026 el borrado al cumplirse está pendiente de automatizar: hasta entonces, el registro de auditoría se conserva entero
Seguridad: Tabla de la base de datos separada por organización: el administrador de cada una consulta la suya en Ajustes → Pista de auditoría. No es de solo añadir ni lleva una cadena de huellas (la cadena de huellas con árbol de Merkle y sello de tiempo de un tercero es la del registro de jornada)

A-05 Comunicaciones de servicio

Finalidad: Notificar al usuario eventos materiales sobre su cuenta (cambios de precio con preaviso, mantenimientos programados, brechas que le afecten, cambios de política con 30 días de antelación, recuperación de contraseña).
Base jurídica: Art. 6.1.b RGPD · Ejecución de contrato · Art. 6.1.c para notificaciones del Art. 34 RGPD
Datos: Email, nombre, evento, contenido del mensaje
Origen: Sistema (eventos disparados por el ciclo de vida del servicio)
Destinatarios: Solo el interesado destinatario · Encargado: Resend, que envía el correo transaccional
Transferencias: EE. UU. (Resend) bajo DPF UE-EE.UU.: figura en la lista oficial, activa, con la renovación en revisión (21/09/2026)
Conservación: Email logs: 30 días por solo motivos operativos. Contenido: en la bandeja del usuario, fuera de nuestro control
Seguridad: SPF/DKIM/DMARC · TLS obligatorio en envío · Encabezados List-Unsubscribe

A-06 Comunicaciones comerciales · marketing limitado

Finalidad: Enviar comunicaciones comerciales sobre nuevas funcionalidades exclusivamente a usuarios existentes que no hayan ejercido oposición.
Base jurídica: Art. 6.1.f RGPD · Interés legítimo · LSSI Art. 21.2 (clientes existentes, productos similares) · cumplido test de tres pasos
Datos: Email, nombre, segmento (plan)
Origen: Cuenta registrada del usuario
Destinatarios: Solo el interesado · Encargado SMTP
Transferencias: Las de Resend (EE. UU.), bajo DPF UE-EE.UU. (21/09/2026)
Conservación: Vida del contrato + 6 meses · Anulable en cada comunicación vía List-Unsubscribe (RFC 8058 one-click)
Seguridad: Opt-out efectivo y verificado · Suppression list que persiste tras baja de cuenta

A-07 Facturación

Finalidad: Emitir facturas, cobrar mediante la pasarela de pago elegida, Paddle (a 27/09/2026 sin activar: el servicio aún no cobra), cumplir obligaciones contables y fiscales españolas.
Base jurídica: Art. 6.1.b (ejecución de contrato) · Art. 6.1.c (obligación legal de conservación contable)
Datos: Razón social, CIF/NIF, dirección de facturación, plan contratado, importe, fecha, comprobante de pago
Origen: El propio interesado al contratar plan de pago · Pasarela de pago, cuando se active, para los metadatos del pago
Destinatarios: Personal autorizado de finanzas · Asesoría fiscal externa bajo contrato Art. 28 · AEAT bajo requerimiento legal
Transferencias: Ninguna hasta que se active el proveedor de pagos: su base se comprueba en la fuente oficial antes de activarlo
Conservación: 6 años desde emisión de la factura · Art. 30 Código de Comercio · LGT 58/2003
Seguridad: Cifrado en tránsito y reposo · Acceso restringido al equipo financiero · los datos de tarjeta los maneja el proveedor de pagos y no llegan a AIM ÆGIS

A-08 Solicitudes de contacto y de ayuda tras un autodiagnóstico

Finalidad: Atender a quien escribe desde el formulario de contacto o pide ayuda al terminar un autodiagnóstico: guardar la solicitud, avisar al equipo y responderle. Tras un autodiagnóstico se le envía además por correo la guía de esa área, si la hay.
Base jurídica: Art. 6.1.b RGPD · Medidas precontractuales a petición del interesado (responderle y enviarle lo que pide) · la huella de la IP, Art. 6.1.f RGPD · Interés legítimo en evitar abusos
Datos: Nombre, correo y empresa o despacho; desde el formulario de contacto, si los da, tamaño de su cartera y mensaje (hasta 2.000 caracteres); tras un autodiagnóstico, el área; huella (hash con clave secreta) de la dirección IP, no la IP en claro; estado de la solicitud (nueva, contactada, cerrada) y fecha
Origen: El propio interesado
Destinatarios: Personal interno autorizado (bandeja de solicitudes, solo superadministradores, y aviso en el panel) · Encargados: Resend, que envía el aviso al buzón interno y, tras un autodiagnóstico, la guía al interesado; Google Workspace, el buzón corporativo donde llega el aviso
Transferencias: EE. UU.: Resend y Google, bajo DPF UE-EE.UU.: figuran en la lista oficial (comprobado el 21/09/2026; Resend, activa y con la renovación en revisión)
Conservación: Hasta que el interesado pida su supresión o se borre desde la bandeja de solicitudes: a 27/09/2026 no hay un plazo máximo fijado ni borrado automático
Seguridad: Límite de 5 envíos al día por huella de IP · campo trampa contra robots · en el formulario de contacto, descarte de dominios de correo que nunca son un cliente · bandeja accesible solo a superadministradores

A-09 Atlas para la persona trabajadora, en su enlace personal (por cuenta de la empresa cliente)

Finalidad: Responder a una persona trabajadora, desde su enlace personal de fichaje, a sus preguntas sobre sus propios datos (vacaciones, horas, solicitudes, turnos, convenio) y sobre lo que dice la ley (permisos, registro de jornada, descansos, trabajo nocturno, formación, tiempo parcial, desconexión digital), citando el artículo con su texto literal. Lo calcula la plataforma con reglas; la IA solo redacta con esos datos y esos artículos. AIM ÆGIS actúa aquí como encargado de la empresa cliente (Art. 28 RGPD), que es la responsable de los datos de su plantilla; este apartado se publica por transparencia.
Base jurídica: Por cuenta de la empresa cliente (responsable), que aplica su base propia para la gestión de la relación laboral (Art. 6.1.b RGPD); para AIM ÆGIS, ejecución del servicio contratado por esa empresa y solo con sus instrucciones. Pendiente de revisión legal a 31/10/2026
Datos: Solo los de la propia persona: sus saldos y solicitudes de vacaciones, sus horas, sus turnos publicados y el nombre del convenio de su ficha; y lo que escribe en la pregunta (hasta 300 caracteres; se le pide que no incluya datos de salud ni de otras personas). No viajan a la IA su nombre, su DNI, los motivos escritos ni las notas de resolución; una baja médica viaja como «otra ausencia». Una pregunta con términos de salud no se envía a ninguna IA
Origen: La propia persona y la ficha que carga su empresa en el registro de jornada
Destinatarios: Proveedor de inferencia de IA (encargado), solo cuando la pregunta necesita una explicación · Personal interno autorizado (solo bajo solicitud de la empresa cliente)
Transferencias: El proveedor de inferencia de IA ya declarado en A-02 (OpenRouter, EE. UU.), con la garantía allí indicada. Atlas fija el modelo Mistral Medium servido solo por Mistral AI (Francia; dónde trata los datos, según su lista de subencargados: trust.mistral.ai/subprocessors, pendiente de revisar a 31/10/2026), subencargado de OpenRouter, sin cadena de respaldo en otros proveedores: si Mistral falla, la respuesta sale sin IA. Mistral AI figura en la lista de encargados de /privacidad, con su acuerdo de tratamiento (31/10/2026). Antes de salir se ocultan DNI y NIE, correos, teléfonos, IBAN y números de la Seguridad Social; los nombres escritos en la pregunta no
Conservación: No se conservan las preguntas ni las respuestas. Se guarda solo una fila de registro por pregunta, sin su texto: fecha, vía (reglas, IA, límite, negativa o sin dato), tema, idioma y artículos citados, para aplicar el límite diario (15 preguntas por persona y día) y medir el gasto de IA
Seguridad: Solo se ve lo de la persona del enlace: nunca datos de compañeros, de la empresa ni salarios (negativa fija antes de calcular) · artículos y cifras solo si están verificados en el BOE: si la IA cita uno que no se le dio, se descarta su texto · límites de 15 preguntas por persona y día, 8 con IA y un tope diario por empresa · cabeceras de no almacenamiento en caché

A-10 Referencias anónimas entre empresas (indicadores agregados de jornada, sin datos de salud)

Finalidad: Que una empresa cliente que lo acepte expresamente vea cuatro indicadores de toda su plantilla frente a la mediana de las empresas de su sector y tramo de plantilla. Solo se publican celdas agregadas; nunca el valor de otra empresa ni datos de una persona. No se trata ningún dato de salud: la incapacidad temporal y las demás ausencias médicas no entran (D-AEGIS-87, 31/10/2026); el absentismo por IT sigue solo en el informe de cada empresa a su representación.
Base jurídica: Adhesión expresa y revocable de la empresa cliente (ajuste apagado por defecto, con su sector; alta, baja y cambios quedan registrados con usuario, fecha, IP y versión del texto aceptado). Paso 1, cálculo del valor de cada empresa: AIM ÆGIS actúa como encargado de la empresa (cláusula §13 del contrato de encargo); la base la decide la empresa responsable, y el modelo de contrato propone su interés legítimo en compararse con su sector (Art. 6.1.f RGPD), con juicio de compatibilidad con la finalidad inicial (Art. 6.4 y 5.1.b RGPD). Paso 2, puesta en común entre empresas: lo decide AIM ÆGIS y solo usa valores ya agregados de toda la plantilla; lo publicado se trata como información anónima (considerando 26 RGPD), con las medidas de seguridad de esta ficha. Ponderación documentada el 31/10/2026; revisión externa por un DPD o un abogado: recomendada, no hecha
Datos: De cada empresa adherida, un valor por indicador calculado por la plataforma con sus fichajes y sus solicitudes (recuentos y porcentajes de la plantilla entera, sin nombres): descansos de menos de 12 horas, horas semanales medias, fichajes corregidos y días de respuesta a solicitudes de transparencia retributiva; su sector y su tramo de plantilla. Ningún dato de salud. Lo publicado no lleva identificador de empresa ni de cuenta: solo banda, mediana redondeada y, con 30 o más empresas, percentiles 25 y 75
Origen: La propia empresa cliente (su registro de jornada y sus solicitudes en AIM ÆGIS)
Destinatarios: Cada empresa ve su propio valor y las celdas publicadas de su sector y tramo · Personal interno autorizado (solo bajo solicitud de la empresa cliente)
Transferencias: Ninguna específica de esta actividad: se calcula en la propia plataforma, sin enviar nada a la IA ni a terceros
Conservación: Las celdas publicadas quedan congeladas todo el mes del corte. El valor propio de cada empresa se borra al momento si se da de baja y deja de contar desde el siguiente corte mensual. El registro de alta, baja y cambios se conserva como prueba de la adhesión
Seguridad: Celda con 10 o más empresas · mediana redondeada (a la unidad o a un decimal), nunca el recuento exacto · no se publica una celda si un mismo valor lo tiene más de la mitad de las empresas o hay menos de 3 valores distintos · «todos los sectores» solo se publica si lo están todas las sectoriales del tramo · corte mensual (datos hasta el último día del mes anterior) · cuentas de prueba o demostración y empresas con menos de 60 días o menos de 5 personas activas no cuentan · un cambio de sector o de tramo no entra hasta 90 días después · una prueba automática impide añadir un indicador derivado de salud

Categorías de interesados

Usuarios registrados: profesionales del cumplimiento, DPDs, abogados, consultores que usan el servicio en nombre de sus clientes.
Visitantes que preguntan a Atlas en la portada: cualquier persona que pregunte sin registrarse (se guarda una huella de su IP, no la IP, y lo que escribe; se le pide que no incluya datos personales).
Personas que escriben desde el formulario de contacto o piden ayuda tras un autodiagnóstico: nombre, correo, empresa y lo que cuentan (A-08).
Personas trabajadoras de las empresas clientes que preguntan a Atlas desde su enlace personal: sus datos de jornada y vacaciones y su pregunta, por cuenta de su empresa (A-09).
Personas trabajadoras de las empresas clientes que se adhieren a las referencias anónimas: solo como parte de un porcentaje o recuento de toda la plantilla, nunca por separado (A-10).
Personal interno y colaboradores: equipo de AIM ÆGIS con acceso a sistemas según rol.

No tratamos datos de menores · El servicio está dirigido exclusivamente a profesionales mayores de edad. Las T&C lo establecen como condición de uso.

No tratamos categorías especiales (Art. 9 RGPD) salvo plan Enterprise con contrato específico que las habilita explícitamente.

Política de privacidad · DPIA · DPO