Cumplimos sobre nosotros mismos.
Esta política está redactada con la misma metodología que ÆGIS aplica a sus partners: cada declaración sustantiva se ancla en una fuente primaria — AEPD, RGPD, LOPDGDD, EDPB — del catálogo del agente. Si una afirmación no se sostiene, el sistema la marca UNVERIFIED.
ÚLTIMA REVISIÓN · 18 DE MAYO DE 2026 · VERSIÓN 1.0 · APLICABLE DESDE LA PUBLICACIÓN
1 · Responsable del tratamiento
2 · Datos que tratamos · principio de minimización
Tratamos únicamente los datos estrictamente necesarios para prestar el servicio. Las categorías de datos por tipo de interacción con ÆGIS:
| Interacción | Categorías | Base jurídica | Conservación |
|---|---|---|---|
| Demo pública anónima | Dirección IP (rate-limiting), pregunta libre, fecha | Interés legítimo · Art. 6.1.f RGPD (prevenir abuso) | 30 días desde la última actividad |
| Cuenta Free / Pro / Partner | Email, nombre, contraseña hash, organización, rol | Ejecución de contrato · Art. 6.1.b RGPD | Vida del contrato + 1 año, después supresión segura |
| Conversaciones con el agente | Texto de las preguntas, respuestas, cadenas de razonamiento | Ejecución de contrato · Art. 6.1.b RGPD | Vida del contrato (el usuario puede borrar en cualquier momento) |
| Auditoría de seguridad | Logs de acceso, IP, user-agent, eventos de autenticación | Obligación legal · Art. 6.1.c RGPD · Art. 32 RGPD seguridad | 12 meses |
El principio de minimización (Art. 5.1.c RGPD) se materializa así: ningún campo del formulario es opcional sin necesidad, no almacenamos datos especiales (Art. 9) y NO realizamos perfilado publicitario.
3 · ÆGIS es un agente IA · cómo aplicamos la guía AEPD sobre IA agéntica
La Agencia Española de Protección de Datos publicó en febrero de 2026 unas orientaciones sobre Inteligencia Artificial agéntica desde la perspectiva de protección de datos. ÆGIS encaja en la definición técnica: sistema de IA que planifica, ejecuta acciones, consulta múltiples fuentes y mantiene memoria persistente con autonomía operativa. La guía AEPD nos aplica directamente. Aquí están nuestros compromisos punto por punto:
El agente está diseñado para usar únicamente los datos estrictamente necesarios de la pregunta del usuario, exclusivamente para producir la respuesta solicitada. No retiene datos de la pregunta fuera de la conversación activa salvo en logs de auditoría agregados. El nivel de autonomía está acotado: el agente NO ejecuta acciones contra sistemas del usuario, solo produce análisis razonado.
«El responsable debe aplicar medidas técnicas y organizativas apropiadas tanto en el momento de determinar los medios del tratamiento como durante el tratamiento. El agente debe diseñarse para que (a) utilice únicamente los datos estrictamente necesarios, (b) los use exclusivament…»
VER EN EL CATÁLOGO →
La "memoria" del agente en una conversación es el historial de mensajes de esa conversación, propiedad del usuario. Al borrar la conversación, los datos se eliminan del modelo de datos de la aplicación y se programan para supresión segura. No realizamos entrenamiento de modelos con los datos de los usuarios.
«La memoria del agente le permite acumular información sobre el contexto, aprender patrones y realizar trabajo autónomo. El responsable debe controlar qué se acumula, durante cuánto tiempo, con qué base jurídica, y cómo se borra al ejercicio de derechos del Art. 17 (supresión). La…»
VER EN EL CATÁLOGO →
Cada respuesta del agente expone su cadena de razonamiento (interpretación, plan, retrieves con cita, cross-mapping, síntesis). Cada cita producida pasa por el Citation Verifier que la valida contra el catálogo RKB; si no matchea, se marca UNVERIFIED en ámbar. La supervisión humana se materializa en la posibilidad del partner-counsel de revisar paso a paso antes de entregar.
«Riesgo específico de los agentes IA: la pérdida de control humano sobre la cadena de decisiones. Se exige asegurar que la trazabilidad no se pierda en la automatización. Esto implica registro de cada paso del razonamiento, las fuentes consultadas, las acciones ejecutadas, y la po…»
VER EN EL CATÁLOGO →
El agente NO toma decisiones que produzcan efectos jurídicos o significativos sobre el interesado sin supervisión humana. Las salidas de ÆGIS son insumos para que el partner-counsel decida; el Art. 22 RGPD se satisface por la naturaleza del producto como herramienta de apoyo, no decisional.
«Cuando el agente toma decisiones automatizadas que producen efectos jurídicos o significativos sobre el interesado, aplica el Art. 22 RGPD: derecho a no ser objeto de decisión basada únicamente en tratamiento automatizado, salvo excepciones tasadas con garantías (consentimiento e…»
VER EN EL CATÁLOGO →
Mantenemos un Golden testing: la suite de 220+ tests automáticos que se ejecuta antes de cada release valida el comportamiento del agente sobre casos de referencia, incluida la verificación de citas. El DPO revisa periódicamente el rendimiento y los logs de UNVERIFIED.
«Recomendación operativa: evaluación continua del agente basada en evidencias, con criterios y métricas claras de funcionamiento. Práctica del 'Golden testing': mantener un set de casos de referencia con respuestas validadas que se ejecuta tras cada cambio del agente para detectar…»
VER EN EL CATÁLOGO →
4 · Encargados del tratamiento · diligencia debida
Bajo el principio de diligencia (Art. 28 RGPD), publicamos la lista actual de encargados con función crítica y la base jurídica de la transferencia cuando procede:
| Encargado | Función | Localización | Base de transferencia |
|---|---|---|---|
| Proveedor de inferencia de IA | Inferencia del agente razonador | EE. UU. | DPF UE-EE.UU. (Decisión 2023) + SCC Decisión (UE) 2021/914 como cobertura |
| Proveedor de hosting (UE) | Hosting de la aplicación + base de datos | UE (eu-west) | N/A — tratamiento intra-UE |
| Proveedor de CDN / DNS / WAF | CDN, DNS, WAF | Global | DPF UE-EE.UU. + SCC con TIA documentado |
| Proveedor de email corporativo | Email corporativo (Google Workspace) · privacidad@aim-aegis.eu | UE + EE. UU. (mirror) | DPF UE-EE.UU. + SCC |
Toda transferencia internacional cuenta con su Transfer Impact Assessment (TIA) documentado internamente, disponible para auditoría de la AEPD bajo el régimen Schrems II (TJUE C-311/18).
5 · Tus derechos
Como interesado tienes derecho a acceder a tus datos (Art. 15), rectificarlos (Art. 16), suprimirlos (Art. 17), limitar su tratamiento (Art. 18), oponerte al tratamiento (Art. 21), a la portabilidad (Art. 20) y a no ser objeto de decisiones automatizadas con efecto significativo (Art. 22 — no aplicable a ÆGIS, ver §3.4). Adicionalmente, la sentencia TJUE Pankki S (C-579/21) precisa que el derecho de acceso incluye identificar a personas concretas que han accedido a tus datos: ÆGIS mantiene logs de acceso por usuario y los proporciona en respuesta a solicitudes del Art. 15.
Para ejercer cualquier derecho: privacidad@aim-aegis.eu. Plazo de respuesta máximo: 1 mes (prorrogable 2 meses adicionales en casos complejos, con motivación expresa). Sin perjuicio del derecho a presentar reclamación ante la AEPD (www.aepd.es).
6 · Seguridad · Art. 32 RGPD
- Contraseñas almacenadas con hash adaptativo de alto coste.
- HTTPS obligatorio en toda la aplicación (HSTS preload).
- CSRF protection en todos los formularios; cookies HttpOnly + SameSite=Lax.
- Rate-limiting agresivo en endpoints públicos (3 req/24h por IP en demo).
- Backups cifrados y rotación diaria; restauración probada trimestralmente.
- Logs de auditoría inmutables para eventos críticos (alta, baja, cambio de rol, cesión, acceso administrador).
- Plan de respuesta a brechas alineado con Art. 33 RGPD (72h a AEPD) y, si aplica, Art. 23 NIS2 (24h/72h/1 mes al CSIRT).
Esta política se revisa al menos anualmente o ante cualquier cambio normativo material (publicación de nueva guía AEPD, sentencia TJUE relevante, modificación del catálogo de encargados). Las versiones anteriores se conservan en el repositorio de versiones bajo control para trazabilidad histórica.
Enlaces relacionados: Términos y condiciones · Política de cookies · Registro de Actividades (RAT) público · DPIA del servicio · Designación del DPO