Versión 2026-11. Forma parte de los Términos y Condiciones de Uso de AIR-Core y se acepta con ellos. Los clientes que necesiten una versión firmada pueden pedirla en info@air-institute.com (abre tu programa de correo).
Partes
- Responsable del tratamiento («Cliente»): la persona física o jurídica titular de la Organización en AIR-Core, identificada en su cuenta.
- Encargado del tratamiento («AIR Institute»): INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN, NIF G37571627, Av. Santiago Madrigal, 39, 37003 Salamanca. DPD: contacto@delegado-lopd.es (abre tu programa de correo).
1. Objeto
AIR Institute trata por cuenta del Cliente los datos personales que el Cliente o sus Usuarios incorporan a AIR-Core («Datos Personales del Cliente»), con el único fin de prestar el servicio descrito en los Términos. El Anexo I describe el tratamiento.
2. Duración
Este acuerdo dura lo que dure el contrato y, después, hasta que se supriman o devuelvan los datos según la cláusula 12.
3. Instrucciones
3.1. AIR Institute trata los datos solo siguiendo instrucciones documentadas del Cliente. Son instrucciones:
- los Términos y este acuerdo;
- la configuración y las acciones que el Cliente y sus Usuarios realizan en AIR-Core: subir o conectar datos, entrenar modelos, compartir cuadros de mando, configurar alertas y webhooks, invocar Funciones de IA, configurar BYOK, autorizar Aplicaciones MCP externas;
- cualquier otra instrucción escrita aceptada por ambas partes.
3.2. Si AIR Institute considera que una instrucción infringe el RGPD u otra norma, lo comunicará de inmediato al Cliente y podrá suspender su ejecución.
3.3. Si el Derecho de la UE o de un Estado miembro obliga a AIR Institute a un tratamiento distinto, informará antes al Cliente, salvo que lo prohíba la ley.
4. Confidencialidad y acceso del personal
4.1. Las personas autorizadas por AIR Institute para tratar los datos están sujetas a deber de confidencialidad, por contrato o por ley, y reciben formación en protección de datos y seguridad.
4.2. El personal no accede al contenido de los Datos Personales del Cliente salvo en estos casos:
- (a) cuando el acceso sea necesario para el funcionamiento automatizado del servicio;
- (b) para atender una incidencia de soporte con autorización expresa del Cliente, limitada en alcance y tiempo;
- (c) por razones de seguridad;
- (d) por obligación legal.
Los accesos de los casos (b) a (d) quedan registrados.
5. Seguridad
AIR Institute aplica las medidas del Anexo II, adecuadas al riesgo (art. 32 RGPD), y puede actualizarlas siempre que no reduzca el nivel de protección. El Cliente es responsable de lo que depende de él:
- configurar los permisos de sus Usuarios;
- activar el cifrado de fuentes cuando proceda;
- proteger sus credenciales y tokens;
- decidir qué publica en cuadros de mando y enlaces públicos.
6. Asistencia al Cliente
Teniendo en cuenta la naturaleza del tratamiento, AIR Institute ayudará al Cliente a cumplir con:
- (a) los derechos de los interesados. AIR-Core permite consultar, rectificar, exportar y suprimir los datos. Si un interesado se dirige a AIR Institute, se dará traslado al Cliente en un plazo máximo de 5 días hábiles y no se le responderá directamente salvo instrucción;
- (b) la seguridad, la notificación de brechas, las evaluaciones de impacto (EIPD) y las consultas previas, facilitando la información de que disponga.
La asistencia que exceda de lo razonable, o que se deba a causas imputables al Cliente, podrá facturarse previo presupuesto.
7. Subencargados
7.1. El Cliente otorga una autorización general para que AIR Institute use los subencargados del Anexo III.
7.2. AIR Institute informará por email a los administradores, con al menos 30 días de antelación, de la incorporación o sustitución de subencargados. La lista vigente estará en [URL]. El Cliente puede oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo. Si no hay una alternativa viable, el Cliente podrá resolver el contrato sin penalización y con reembolso de la parte no disfrutada.
7.3. AIR Institute impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo y responde frente al Cliente de su cumplimiento.
8. Servicios que elige el Cliente (no son subencargados)
Los siguientes destinatarios no son subencargados de AIR Institute. Los datos se les transmiten por instrucción expresa del Cliente o de sus Usuarios:
- (a) Proveedores de IA Tercero en modo BYOK (OpenAI, Anthropic, Groq, Google Gemini u otros puntos compatibles).
- (b) Aplicaciones MCP externas que autoriza un Usuario (por ejemplo Claude o ChatGPT).
- (c) Destinos de webhooks, fuentes y conexiones externas, y destinatarios de alertas por email que configura el Cliente.
- (d) Herramientas de analítica que el Cliente configura en cuadros de mando públicos.
El Cliente es quien decide usar esos destinatarios. Por eso le corresponde:
- tener con ellos la relación jurídica necesaria (por ejemplo, su propio contrato de encargo);
- valorar la licitud del envío;
- si están fuera del EEE, contar con una garantía para la transferencia (art. 44 y ss. RGPD).
AIR Institute envía solo lo necesario para cada petición y no responde del tratamiento que hagan esos terceros.
9. Transferencias internacionales
9.1. Los Datos Personales del Cliente se alojan y procesan en la Unión Europea:
- AWS eu-central-1 (Fráncfort);
- Amazon Bedrock con perfil de inferencia UE, que solo usa regiones de la UE.
9.2. AIR Institute no transferirá los datos fuera del EEE salvo con una de estas garantías:
- (a) decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas;
- (b) cláusulas contractuales tipo de la Comisión (Decisión (UE) 2021/914), con las medidas complementarias que procedan.
Esto aplica también a un posible acceso remoto de soporte del subencargado. Las transferencias de la cláusula 8 se rigen por lo indicado allí.
9.3. Si una autoridad de un tercer país solicita datos, AIR Institute actuará conforme a la cláusula 5 de la Política de Privacidad e informará al Cliente salvo prohibición legal.
10. Brechas de seguridad
10.1. AIR Institute notificará al Cliente cualquier violación de la seguridad que afecte a los Datos Personales del Cliente sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento. La notificación se enviará al email de los administradores y del titular de la Organización e incluirá, en la medida en que se conozcan:
- la naturaleza de la violación;
- las categorías y el número aproximado de interesados y de registros afectados;
- el contacto del DPD;
- las consecuencias probables;
- las medidas adoptadas o propuestas.
Si no se dispone de toda la información, se facilitará de forma gradual.
10.2. Corresponde al Cliente, como responsable, notificar a la autoridad de control y a los interesados cuando proceda (arts. 33 y 34 RGPD). AIR Institute no lo hará en nombre del Cliente salvo instrucción expresa.
11. Información y auditorías
11.1. AIR Institute pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo: descripción de medidas, certificaciones de los subencargados (por ejemplo, ISO 27001 o SOC 2 de AWS) y respuestas a cuestionarios razonables.
11.2. Si esa información no basta, el Cliente podrá auditar, por sí mismo o mediante un auditor independiente obligado a confidencialidad, en estas condiciones:
- preaviso de 30 días;
- una vez al año como máximo, salvo tras una brecha o por requerimiento de una autoridad;
- en horario laboral y sin afectar a la seguridad de otros clientes;
- a su cargo, salvo que se detecte un incumplimiento relevante.
11.3. Las instalaciones de los subencargados se auditan mediante sus informes y certificaciones.
12. Fin del tratamiento: devolución y supresión
12.1. Al terminar el contrato se aplica la cláusula 18 de los Términos (Reglamento de Datos):
- periodo transitorio de hasta 30 días;
- al menos 30 días para recuperar los datos en formatos abiertos;
- después, supresión de todos los Datos Personales del Cliente y certificación de la supresión a petición del Cliente.
12.2. Las copias de seguridad se suprimen en su ciclo ordinario de rotación, como máximo en [35] días. Hasta entonces permanecen cifradas y aisladas y no se usan.
12.3. Se conservarán bloqueados solo los datos que el Derecho de la Unión o de los Estados miembros obligue a conservar, durante el plazo legal.
12.4. En las cuentas gratuitas inactivas se aplica la cláusula 16 de los Términos.
13. Otras obligaciones del encargado
AIR Institute:
- (a) lleva un registro de las actividades de tratamiento como encargado (art. 30.2 RGPD);
- (b) ha designado un DPD;
- (c) no usa los Datos Personales del Cliente para fines propios, incluido el entrenamiento de modelos de IA. Solo elabora estadísticas agregadas y anónimas de uso del servicio, sin contenido de los datos;
- (d) no vende ni cede los datos.
14. Obligaciones del Cliente
El Cliente:
- (a) garantiza la licitud del tratamiento y que ha informado a los interesados y, en su caso, obtenido su consentimiento;
- (b) no incorpora categorías especiales de datos ni datos penales sin base jurídica y sin activar las medidas adecuadas (cifrado de fuentes, permisos restrictivos, sin cuadros de mando públicos);
- (c) realiza la EIPD cuando proceda;
- (d) supervisa el tratamiento, y responde de sus instrucciones y de los servicios de la cláusula 8.
15. Responsabilidad
Cada parte responde de sus incumplimientos conforme al art. 82 RGPD. Entre las partes se aplica el régimen de la cláusula 21 de los Términos.
16. Prevalencia
En materia de protección de datos, este acuerdo prevalece sobre cualquier otra disposición de los Términos.
Anexo I. Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Naturaleza | Alojamiento, almacenamiento, estructuración, transformación, consulta, análisis estadístico, entrenamiento y aplicación de modelos de aprendizaje automático, explicación de modelos, visualización, comunicación a destinatarios configurados por el Cliente (alertas, webhooks, cuadros de mando públicos), envío del contexto necesario a modelos de lenguaje cuando se invocan Funciones de IA, copia de seguridad y supresión |
| Finalidad | Prestar AIR-Core al Cliente según los Términos |
| Categorías de interesados | Las que determine el Cliente: por ejemplo, sus clientes, empleados, pacientes, usuarios, ciudadanos, proveedores y personas de contacto. También los Usuarios del Cliente en lo relativo al contenido que crean |
| Categorías de datos | Las que determine el Cliente: identificativos, de contacto, económicos, de uso o de sensores, de localización y otras. Categorías especiales solo si el Cliente cuenta con base jurídica (cláusula 14.b) |
| Frecuencia | Continua, mientras dure el contrato |
| Ubicación | UE (AWS eu-central-1, Fráncfort; Amazon Bedrock con perfil de inferencia UE) |
| Conservación | La que decida el Cliente. Al terminar, la cláusula 12 |
Anexo II. Medidas técnicas y organizativas
| Ámbito | Medida |
|---|---|
| Ubicación e infraestructura | AWS eu-central-1 (Fráncfort). Centros de datos certificados (ISO 27001, SOC 2) por AWS. Servidores en red privada; solo se exponen los balanceadores (HTTPS) |
| Cifrado en tránsito | TLS 1.2 o superior en la web, la API y el servidor MCP. HSTS. Webhooks salientes firmados con HMAC-SHA256 y protección frente a reenvíos. |
| Cifrado en reposo | Credenciales de conexiones externas, claves de cifrado de fuentes y secretos de webhooks sellados con AES-256-GCM con una clave maestra fuera de la base de datos. Cifrado opcional por fuente con clave propia. Claves BYOK cifradas. S3 con cifrado del lado del servidor. |
| Integridad de modelos | Modelos firmados (HMAC). Exportaciones firmadas con RSA-PSS-SHA256; las manipulaciones se rechazan al cargar o importar |
| Control de acceso de clientes | Organizaciones, espacios de trabajo y roles con permisos granulares. Verificación en dos pasos. Tokens OAuth 2.1 con PKCE, ligados a recurso y organización, con rotación y detección de reutilización. Tokens y códigos guardados como hash |
| Control de acceso interno | Mínimo privilegio. Acceso a S3 con rol de instancia limitado a los buckets de la plataforma. Secretos en directorios restringidos. Acceso administrativo restringido |
| Credenciales de usuario | Contraseñas con hash y sal. |
| Seguridad de aplicación | Política de seguridad de contenidos (CSP) estricta, protección CSRF, cookies HttpOnly y Secure, límites de frecuencia, reCAPTCHA en el alta y el acceso, bloqueo de destinos de red privada y de metadatos en las fuentes externas, servidor MCP sin herramientas de borrado y con confirmación humana de los cambios propuestos por el asistente |
| IA | Bedrock con perfil de inferencia UE, sin retención ni entrenamiento por el proveedor. Topes de gasto por usuario y globales. Registro de actividad de IA con las credenciales ocultas |
| Disponibilidad y copias | Bases de datos gestionadas con copias automáticas y snapshots antes de cada cambio. Versionado de S3 en los buckets de datos y modelos. Procedimiento documentado de cambio y vuelta atrás |
| Registro y monitorización | Registros de aplicación con rotación. Registro de actividad de usuarios y de IA. Comprobaciones de salud |
| Organizativas | DPD designado. Formación del personal. Confidencialidad contractual. Procedimiento de gestión de brechas (detección, evaluación, aviso al Cliente en 48 h). Revisión anual de medidas y subencargados |
| Supresión | Supresión lógica inmediata al borrar. Rotación de copias en un máximo de [35] días |
Anexo III. Subencargados autorizados
| Subencargado | Servicio | Datos | Ubicación | Garantía |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (Luxemburgo) | Alojamiento (EC2, Aurora, DocumentDB, ElastiCache, S3, balanceadores, Global Accelerator), copias de seguridad y Amazon Bedrock (modelos Claude de Anthropic, perfil de inferencia UE) | Todos los Datos Personales del Cliente | UE (Fráncfort; inferencia de Bedrock en regiones UE) | Datos en la UE. Acuerdo de encargo de AWS con CCT. Amazon.com, Inc. certificada en el DPF |
| [PENDIENTE: proveedor de correo] | Envío de las alertas por email que configura el Cliente (pueden contener valores de sus datos) | Contenido de las alertas y emails de los destinatarios | [PENDIENTE] | [PENDIENTE] |
| [VERIFICAR: Cloudflare, Inc., solo si actúa como proxy] | Proxy, CDN y protección DDoS | Tráfico en tránsito | Global | DPF y CCT |
| [VERIFICAR: AIR Institute, infraestructura propia de GPU] | Modelos de lenguaje propios, si se usan | Peticiones de IA | [ubicación UE] | No es subencargado (es el propio encargado); se indica por transparencia |
No son subencargados para los Datos del Cliente:
- Stripe: trata solo datos de facturación del Cliente, como responsable o encargado de AIR Institute para esa finalidad.
- Google reCAPTCHA y Google o GitHub como medio de acceso: tratan datos de la cuenta, no del contenido.
- Mapbox: recibe peticiones de teselas del navegador, no los datos del Cliente.
- Los servicios de la cláusula 8.