Cumplimos sobre nosotros mismos.

1 · Responsable del tratamiento

Responsable

BIOMAG S.L.U., titular de AIM ÆGIS

NIF

B01037241

Domicilio

Barratxi 39, Pab. 3 · 01013 Vitoria-Gasteiz (Álava), España

Contacto

hola@aim-aegis.ai

Delegado de protección de datos

dpo@aim-aegis.ai · designación y funciones →

2 · Datos que tratamos · principio de minimización

Tratamos únicamente los datos estrictamente necesarios para prestar el servicio. Las categorías de datos por tipo de interacción con AIM ÆGIS:

El principio de minimización (Art. 5.1.c RGPD) se materializa así: ningún campo del formulario es opcional sin necesidad, no pedimos datos especiales (Art. 9) para nuestros propios fines y NO realizamos perfilado publicitario. Los datos que los formularios marcan como obligatorios son necesarios para prestarte el servicio o atender tu solicitud: si no los facilitas, no podremos hacerlo.

Además tratamos dos resultados agregados que nunca muestran a una persona:

• Referencias anónimas entre empresas, solo si la empresa se adhiere de forma expresa (está apagado por defecto y puede darse de baja). Paso 1, por cuenta de la empresa (como encargado, Art. 28 RGPD): con su registro de jornada calculamos cuatro valores de toda la plantilla (descansos de menos de 12 horas, horas semanales medias, fichajes corregidos y días de respuesta a las solicitudes de transparencia retributiva). No se usa ningún dato de salud: ni la incapacidad temporal ni otras ausencias médicas. La base del cálculo la decide la empresa, que es la responsable; nuestro modelo de contrato propone su adhesión expresa y su interés legítimo en compararse (Art. 6.1.f RGPD), con el juicio de compatibilidad con la finalidad para la que se recogieron los datos (Art. 6.4 RGPD). Paso 2, decidido por nosotros: juntamos esos valores, ya agregados, con los de otras empresas adheridas y publicamos la mediana de cada sector y tramo, con medidas para que no se puedan atribuir a ninguna empresa ni persona (considerando 26 RGPD): sin identificador de empresa ni de persona, un mínimo de 10 empresas por celda, mediana redondeada y corte mensual. Detalle en la actividad A-10 del registro de actividades.
• Resultados de la evaluación de riesgos psicosociales, por cuenta de la empresa (como encargado): la empresa o su servicio de prevención pasan el cuestionario con la aplicación oficial del INSST y en AIM ÆGIS se guardan solo los resultados agregados por factor y unidad; no se guarda ni se enseña el resultado de una unidad con menos de 5 respuestas, ni puntuaciones individuales. Son resultados de la propia empresa y no se comparten con otras. Los resultados por factor (tiempo, carga, autonomía…) describen condiciones de trabajo, no la salud de nadie. Base: la obligación legal de la empresa de evaluar los riesgos (Art. 6.1.c RGPD, en relación con los arts. 16 y 33 de la Ley de Prevención de Riesgos Laborales).

3 · AIM ÆGIS es un agente IA · cómo aplicamos la guía AEPD sobre IA agéntica

La Agencia Española de Protección de Datos publicó en febrero de 2026 unas orientaciones sobre Inteligencia Artificial agéntica desde la perspectiva de protección de datos. AIM ÆGIS encaja en la definición técnica: sistema de IA que planifica, ejecuta acciones, consulta múltiples fuentes y mantiene memoria persistente con autonomía operativa. La guía AEPD nos aplica directamente. Aquí están nuestros compromisos punto por punto:

3.1 · Privacy by Design

El agente está diseñado para usar únicamente los datos estrictamente necesarios de la pregunta del usuario, exclusivamente para producir la respuesta solicitada. No retiene datos de la pregunta fuera de la conversación activa salvo en logs de auditoría agregados. El nivel de autonomía está acotado: el agente NO ejecuta acciones contra sistemas del usuario, solo produce análisis razonado.

3.2 · Control de memoria

La "memoria" del agente en una conversación es el historial de mensajes de esa conversación, propiedad del usuario. Al borrar la conversación, los datos se eliminan del modelo de datos de la aplicación y se programan para supresión segura. No realizamos entrenamiento de modelos con los datos de los usuarios.

3.3 · Trazabilidad

Cada respuesta del agente expone su cadena de razonamiento (interpretación, plan, retrieves con cita, cross-mapping, síntesis). Cada artículo citado se busca en la base normativa, en la norma que se nombra: la respuesta dice cuántos se han encontrado («N de M artículos citados encontrados en la base normativa») y cuántos con su texto oficial; el que no se encuentra se marca «no verificada» en ámbar, no se muestra entre comillas y rebaja la confianza del paso. A 27/09/2026 se comprueba que el artículo existe, no que diga lo que la respuesta afirma. La supervisión humana se materializa en la posibilidad del partner-counsel de revisar paso a paso antes de entregar.

3.4 · Decisiones automatizadas

El agente NO toma decisiones que produzcan efectos jurídicos o significativos sobre el interesado sin supervisión humana. Las salidas de AIM ÆGIS son insumos para que el partner-counsel decida; el Art. 22 RGPD se satisface por la naturaleza del producto como herramienta de apoyo, no decisional.

3.5 · Evaluación continua

Una vez por semana, si hay un modelo de IA configurado, el agente responde a un conjunto fijo de preguntas de referencia y se comprueba que acude a las normas que corresponden; el resultado queda registrado en el panel de administración. Antes de cada despliegue pasan comprobaciones automáticas: que la aplicación arranca y sus plantillas se pintan, que la web no cita como vigente una norma que no lo está ni da una multa sin su artículo, y que no hace promesas absolutas.

4 · Encargados del tratamiento · diligencia debida

Bajo el principio de diligencia (Art. 28 RGPD), publicamos la lista actual de encargados con función crítica y la base jurídica de la transferencia cuando procede:

La base de cada transferencia se comprueba en la fuente oficial y se revisa cuando cambia un proveedor o su certificación (última comprobación de la lista del DPF: 21/09/2026; acuerdo de OpenRouter revisado el 24/09/2026; acuerdo de Mistral AI, el 31/10/2026).

5 · Tus derechos

Como interesado tienes derecho a acceder a tus datos (Art. 15), rectificarlos (Art. 16), suprimirlos (Art. 17), limitar su tratamiento (Art. 18), oponerte al tratamiento (Art. 21), a la portabilidad (Art. 20) y a no ser objeto de decisiones automatizadas con efecto significativo (Art. 22 — no aplicable a AIM ÆGIS, ver §3.4). La sentencia del TJUE de 22/06/2023, Pankki S (C-579/21), aclara que el derecho de acceso incluye la información sobre las consultas de tus datos (fechas y finalidades). No incluye, en principio, la identidad de los empleados que las hicieron bajo nuestra autoridad, salvo que sea indispensable para que ejerzas tus derechos y siempre ponderando los derechos de esas personas. Conservamos registros de acceso para poder responder a estas solicitudes.

Para ejercer cualquier derecho: hola@aim-aegis.ai. Plazo de respuesta máximo: 1 mes (prorrogable 2 meses adicionales en casos complejos, con motivación expresa). Sin perjuicio del derecho a presentar reclamación ante la AEPD (www.aepd.es).

6 · Seguridad · Art. 32 RGPD

• Contraseñas almacenadas con hash adaptativo de alto coste.
• HTTPS obligatorio en toda la aplicación, con HSTS de un año para todos los subdominios (a 27/09/2026 el dominio no figura en la lista de precarga de los navegadores).
• CSRF protection en todos los formularios; cookies HttpOnly + SameSite=Lax.
• Límite de peticiones por dirección IP donde se puede abusar sin cuenta o antes de entrar: inicio de sesión (10 intentos por minuto), recuperación de contraseña, canal de denuncias, formulario de contacto (5 envíos al día) y preguntas a Atlas en la portada (3 al día); y, con cuenta, 10 consultas por minuto al asistente.
• Copia de seguridad diaria verificada, con rotación; desde el 27/09/2026, además, una copia cifrada fuera del volumen de la base de datos (almacenamiento de objetos de Railway en Ámsterdam) y un simulacro de restauración semanal.
• Registro de auditoría de los eventos importantes (inicio y cierre de sesión, alta, invitaciones, cambios de rol y de activación, doble factor, restablecimiento de contraseña, exportación de datos, firma de documentos, consultas de expedientes del canal de denuncias y cambios en quién puede verlos). Es una tabla de la base de datos que el administrador de cada organización consulta en Ajustes → Pista de auditoría; no es de solo añadir ni lleva una cadena de huellas. La cadena de huellas con árbol de Merkle y sello de tiempo de un tercero es la del registro de jornada.
• Plan de respuesta a brechas alineado con Art. 33 RGPD (72h a AEPD) y, si aplica, Art. 23 NIS2 (24h/72h/1 mes al CSIRT).