Versió 2026-11. Forma part dels Termes i Condicions d'Ús d'AIR-Core i s'accepta amb aquests. Els clients que necessitin una versió signada la poden demanar a info@air-institute.com (obre el teu programa de correu).
Parts
- Responsable del tractament («Client»): la persona física o jurídica titular de l'Organització a AIR-Core, identificada al seu compte.
- Encarregat del tractament («AIR Institute»): INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN, NIF G37571627, Av. Santiago Madrigal, 39, 37003 Salamanca. DPD: contacto@delegado-lopd.es (obre el teu programa de correu).
1. Objecte
L'AIR Institute tracta per compte del Client les dades personals que el Client o els seus Usuaris incorporen a AIR-Core («Dades Personals del Client»), amb l'única finalitat de prestar el servei descrit als Termes. L'Annex I descriu el tractament.
2. Durada
Aquest acord dura el que duri el contracte i, després, fins que se suprimeixin o es retornin les dades segons la clàusula 12.
3. Instruccions
3.1. L'AIR Institute tracta les dades només seguint instruccions documentades del Client. Són instruccions:
- els Termes i aquest acord;
- la configuració i les accions que el Client i els seus Usuaris fan a AIR-Core: pujar o connectar dades, entrenar models, compartir quadres de comandament, configurar alertes i webhooks, invocar Funcions d'IA, configurar BYOK, autoritzar Aplicacions MCP externes;
- qualsevol altra instrucció escrita acceptada per les dues parts.
3.2. Si l'AIR Institute considera que una instrucció infringeix el RGPD o una altra norma, ho comunicarà immediatament al Client i en podrà suspendre l'execució.
3.3. Si el dret de la UE o d'un estat membre obliga l'AIR Institute a fer un tractament diferent, n'informarà abans el Client, llevat que la llei ho prohibeixi.
4. Confidencialitat i accés del personal
4.1. Les persones autoritzades per l'AIR Institute per tractar les dades estan subjectes a un deure de confidencialitat, per contracte o per llei, i reben formació en protecció de dades i seguretat.
4.2. El personal no accedeix al contingut de les Dades Personals del Client, excepte en aquests casos:
- (a) quan l'accés sigui necessari per al funcionament automatitzat del servei;
- (b) per atendre una incidència de suport amb autorització expressa del Client, limitada en abast i temps;
- (c) per raons de seguretat;
- (d) per obligació legal.
Els accessos dels casos (b) a (d) queden registrats.
5. Seguretat
L'AIR Institute aplica les mesures descrites a l'Annex II, adequades al risc (art. 32 RGPD), i les pot actualitzar sempre que no redueixi el nivell de protecció. El Client és responsable del que depèn d'ell:
- configurar els permisos dels seus Usuaris;
- activar el xifratge de fonts quan escaigui;
- protegir les seves credencials i tokens;
- decidir què publica en quadres de comandament i enllaços públics.
6. Assistència al Client
Tenint en compte la naturalesa del tractament, l'AIR Institute ajudarà el Client a complir:
- (a) els drets dels interessats. AIR-Core permet consultar, rectificar, exportar i suprimir les dades. Si un interessat s'adreça a l'AIR Institute, es traslladarà la sol·licitud al Client en un termini màxim de 5 dies hàbils i no se li respondrà directament llevat d'instrucció;
- (b) la seguretat, la notificació de bretxes, les avaluacions d'impacte (AIPD) i les consultes prèvies, facilitant la informació de què disposi.
L'assistència que excedeixi el que és raonable, o que es degui a causes imputables al Client, es podrà facturar amb pressupost previ.
7. Subencarregats
7.1. El Client atorga una autorització general perquè l'AIR Institute faci servir els subencarregats que figuren a l'Annex III.
7.2. L'AIR Institute informarà per correu electrònic els administradors, amb almenys 30 dies d'antelació, de la incorporació o substitució de subencarregats. La llista vigent serà a [URL]. El Client s'hi pot oposar per motius raonables relacionats amb la protecció de dades dins d'aquest termini. Si no hi ha una alternativa viable, el Client podrà resoldre el contracte sense penalització i amb el reemborsament de la part no gaudida.
7.3. L'AIR Institute imposa a cada subencarregat, per contracte, obligacions de protecció de dades equivalents a les d'aquest acord i en respon davant del Client.
8. Serveis que tria el Client (no són subencarregats)
Els destinataris següents no són subencarregats de l'AIR Institute. Les dades se'ls transmeten per instrucció expressa del Client o dels seus Usuaris:
- (a) Proveïdors d'IA tercers en mode BYOK (OpenAI, Anthropic, Groq, Google Gemini o altres punts compatibles).
- (b) Aplicacions MCP externes que autoritza un Usuari (per exemple Claude o ChatGPT).
- (c) Destinacions de webhooks, fonts i connexions externes, i destinataris d'alertes per correu electrònic que configura el Client.
- (d) Eines d'analítica que el Client configura en quadres de comandament públics.
És el Client qui decideix fer servir aquests destinataris. Per això li correspon:
- tenir-hi la relació jurídica necessària (per exemple, el seu propi contracte d'encàrrec);
- valorar la licitud de l'enviament;
- si són fora de l'EEE, disposar d'una garantia per a la transferència (art. 44 i s. RGPD).
L'AIR Institute envia només el que és necessari per a cada petició i no respon del tractament que facin aquests tercers.
9. Transferències internacionals
9.1. Les Dades Personals del Client s'allotgen i es processen a la Unió Europea:
- AWS eu-central-1 (Frankfurt);
- Amazon Bedrock amb perfil d'inferència UE, que només fa servir regions de la UE.
9.2. L'AIR Institute no transferirà les dades fora de l'EEE llevat que hi hagi una d'aquestes garanties:
- (a) decisió d'adequació, inclòs el Marc de Privacitat de Dades UE-EUA per a entitats certificades;
- (b) clàusules contractuals tipus de la Comissió (Decisió (UE) 2021/914), amb les mesures complementàries que escaiguin.
Això s'aplica també a un possible accés remot de suport del subencarregat. Les transferències de la clàusula 8 es regeixen pel que s'hi indica.
9.3. Si una autoritat d'un tercer país sol·licita dades, l'AIR Institute actuarà d'acord amb la clàusula 5 de la Política de Privacitat i n'informarà el Client llevat de prohibició legal.
10. Bretxes de seguretat
10.1. L'AIR Institute notificarà al Client qualsevol violació de la seguretat que afecti les Dades Personals del Client sense dilació indeguda, i en tot cas en un termini màxim de 48 hores des que en tingui coneixement. La notificació s'enviarà al correu electrònic dels administradors i del titular de l'Organització i inclourà, en la mesura que es coneguin:
- la naturalesa de la violació;
- les categories i el nombre aproximat d'interessats i de registres afectats;
- el contacte del DPD;
- les conseqüències probables;
- les mesures adoptades o proposades.
Si no es disposa de tota la informació, es facilitarà de manera gradual.
10.2. Correspon al Client, com a responsable, notificar-ho a l'autoritat de control i als interessats quan escaigui (arts. 33 i 34 RGPD). L'AIR Institute no ho farà en nom del Client llevat d'instrucció expressa.
11. Informació i auditories
11.1. L'AIR Institute posarà a disposició del Client la informació necessària per demostrar el compliment d'aquest acord: descripció de mesures, certificacions dels subencarregats (per exemple, ISO 27001 o SOC 2 d'AWS) i respostes a qüestionaris raonables.
11.2. Si aquesta informació no és suficient, el Client podrà auditar, ell mateix o mitjançant un auditor independent obligat a confidencialitat, en aquestes condicions:
- preavís de 30 dies;
- una vegada l'any com a màxim, llevat que hi hagi hagut una bretxa o un requeriment d'una autoritat;
- en horari laboral i sense afectar la seguretat d'altres clients;
- al seu càrrec, llevat que es detecti un incompliment rellevant.
11.3. Les instal·lacions dels subencarregats s'auditen mitjançant els seus informes i certificacions.
12. Fi del tractament: devolució i supressió
12.1. En acabar el contracte s'aplica la clàusula 18 dels Termes (Reglament de dades):
- període transitori de fins a 30 dies;
- almenys 30 dies per recuperar les dades en formats oberts;
- després, supressió de totes les Dades Personals del Client i certificació de la supressió a petició del Client.
12.2. Les còpies de seguretat se suprimeixen en el seu cicle ordinari de rotació, com a màxim en [35] dies. Fins aleshores romanen xifrades i aïllades i no es fan servir.
12.3. Només es conservaran bloquejades les dades que el dret de la Unió o dels estats membres obligui a conservar, durant el termini legal.
12.4. En els comptes gratuïts inactius s'aplica la clàusula 16 dels Termes.
13. Altres obligacions de l'encarregat
L'AIR Institute:
- (a) porta un registre de les activitats de tractament com a encarregat (art. 30.2 RGPD);
- (b) ha designat un DPD;
- (c) no fa servir les Dades Personals del Client per a finalitats pròpies, inclòs l'entrenament de models d'IA. Només elabora estadístiques agregades i anònimes d'ús del servei, sense el contingut de les dades;
- (d) no ven ni cedeix les dades.
14. Obligacions del Client
El Client:
- (a) garanteix la licitud del tractament i que ha informat els interessats i, si escau, n'ha obtingut el consentiment;
- (b) no incorpora categories especials de dades ni dades penals sense base jurídica i sense activar les mesures adequades (xifratge de fonts, permisos restrictius, sense quadres de comandament públics);
- (c) fa l'AIPD quan escau;
- (d) supervisa el tractament i respon de les seves instruccions i dels serveis de la clàusula 8.
15. Responsabilitat
Cada part respon dels seus incompliments d'acord amb l'art. 82 RGPD. Entre les parts s'aplica el règim de la clàusula 21 dels Termes.
16. Prevalença
En matèria de protecció de dades, aquest acord preval sobre qualsevol altra disposició dels Termes.
Annex I. Descripció del tractament
| Element | Descripció |
|---|---|
| Naturalesa | Allotjament, emmagatzematge, estructuració, transformació, consulta, anàlisi estadística, entrenament i aplicació de models d'aprenentatge automàtic, explicació de models, visualització, comunicació a destinataris configurats pel Client (alertes, webhooks, quadres de comandament públics), enviament del context necessari a models de llenguatge quan s'invoquen Funcions d'IA, còpia de seguretat i supressió |
| Finalitat | Prestar AIR-Core al Client segons els Termes |
| Categories d'interessats | Les que determini el Client: per exemple, els seus clients, empleats, pacients, usuaris, ciutadans, proveïdors i persones de contacte. També els Usuaris del Client pel que fa al contingut que creen |
| Categories de dades | Les que determini el Client: identificatives, de contacte, econòmiques, d'ús o de sensors, de localització i altres. Categories especials només si el Client té una base jurídica (clàusula 14.b) |
| Freqüència | Contínua, mentre duri el contracte |
| Ubicació | UE (AWS eu-central-1, Frankfurt; Amazon Bedrock amb perfil d'inferència UE) |
| Conservació | La que decideixi el Client. En acabar, la clàusula 12 |
Annex II. Mesures tècniques i organitzatives
| Àmbit | Mesura |
|---|---|
| Ubicació i infraestructura | AWS eu-central-1 (Frankfurt). Centres de dades certificats (ISO 27001, SOC 2) per AWS. Servidors en xarxa privada; només s'exposen els balancejadors (HTTPS) |
| Xifratge en trànsit | TLS 1.2 o superior al web, a l'API i al servidor MCP. HSTS. Webhooks sortints signats amb HMAC-SHA256 i protecció contra reenviaments. |
| Xifratge en repòs | Credencials de connexions externes, claus de xifratge de fonts i secrets de webhooks segellats amb AES-256-GCM amb una clau mestra fora de la base de dades. Xifratge opcional per font amb clau pròpia. Claus BYOK xifrades. S3 amb xifratge del costat del servidor. |
| Integritat dels models | Models signats (HMAC). Exportacions signades amb RSA-PSS-SHA256; les manipulacions es rebutgen en carregar o importar |
| Control d'accés dels clients | Organitzacions, espais de treball i rols amb permisos granulars. Verificació en dos passos. Tokens OAuth 2.1 amb PKCE, lligats a recurs i organització, amb rotació i detecció de reutilització. Tokens i codis desats com a hash |
| Control d'accés intern | Mínim privilegi. Accés a S3 amb un rol d'instància limitat als buckets de la plataforma. Secrets en directoris restringits. Accés administratiu restringit |
| Credencials d'usuari | Contrasenyes amb hash i sal. |
| Seguretat de l'aplicació | Política de seguretat de continguts (CSP) estricta, protecció CSRF, galetes HttpOnly i Secure, límits de freqüència, reCAPTCHA en l'alta i l'accés, bloqueig de destinacions de xarxa privada i de metadades a les fonts externes, servidor MCP sense eines d'esborrat i amb confirmació humana dels canvis proposats per l'assistent |
| IA | Bedrock amb perfil d'inferència UE, sense retenció ni entrenament per part del proveïdor. Límits de despesa per usuari i globals. Registre d'activitat d'IA amb les credencials ocultes |
| Disponibilitat i còpies | Bases de dades gestionades amb còpies automàtiques i instantànies abans de cada canvi. Versionat d'S3 als buckets de dades i models. Procediment documentat de canvi i marxa enrere |
| Registre i monitoratge | Registres d'aplicació amb rotació. Registre d'activitat d'usuaris i d'IA. Comprovacions de salut |
| Organitzatives | DPD designat. Formació del personal. Confidencialitat contractual. Procediment de gestió de bretxes (detecció, avaluació, avís al Client en 48 h). Revisió anual de mesures i subencarregats |
| Supressió | Supressió lògica immediata en esborrar. Rotació de còpies en un màxim de [35] dies |
Annex III. Subencarregats autoritzats
| Subencarregat | Servei | Dades | Ubicació | Garantia |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (Luxemburg) | Allotjament (EC2, Aurora, DocumentDB, ElastiCache, S3, balancejadors, Global Accelerator), còpies de seguretat i Amazon Bedrock (models Claude d'Anthropic, perfil d'inferència UE) | Totes les Dades Personals del Client | UE (Frankfurt; inferència de Bedrock en regions UE) | Dades a la UE. Acord d'encàrrec d'AWS amb CCT. Amazon.com, Inc. certificada en el DPF |
| Amazon Web Services EMEA SARL (Luxemburgo), servicio Amazon SES | Envío de los emails del servicio y de las alertas por email que configura el Cliente (pueden contener valores de sus datos) | Contenido de los emails y direcciones de los destinatarios | UE (Fráncfort, eu-central-1) | Dades a la UE. Acord d'encàrrec d'AWS amb CCT. Amazon.com, Inc. certificada en el DPF |
| [VERIFICAR: Cloudflare, Inc., només si actua com a intermediari (proxy)] | Intermediari (proxy), CDN i protecció DDoS | Trànsit en circulació | Global | DPF i CCT |
| [VERIFICAR: AIR Institute, infraestructura pròpia de GPU] | Models de llenguatge propis, si es fan servir | Peticions d'IA | [ubicació UE] | No és subencarregat (és el mateix encarregat); s'indica per transparència |
No són subencarregats per a les Dades del Client:
- Stripe: tracta només dades de facturació del Client, com a responsable o encarregat de l'AIR Institute per a aquesta finalitat.
- Google reCAPTCHA i Google o GitHub com a mitjà d'accés: tracten dades del compte, no del contingut.
- Mapbox: rep peticions de tessel·les del navegador, no les dades del Client.
- Els serveis de la clàusula 8.