Política de Privacidad de AIR-Core

Versión 2026-11. En vigor desde el [FECHA DE ENTRADA EN VIGOR].

Esta política explica cómo tratamos los datos personales de quienes usan AIR-Core (https://app.air-core.io, su API y su servidor MCP) y visitan https://air-core.io. No cubre los datos que nuestros clientes suben a la plataforma (sus conjuntos de datos, modelos, etc.). Con esos datos actuamos como encargado del tratamiento por cuenta del cliente, que es el responsable y a quien debe dirigirse si sus datos están en una cuenta de AIR-Core (ver el apartado 9).

1. Responsable y Delegado de Protección de Datos

• Responsable: INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN («AIR Institute»), NIF G37571627, Av. Santiago Madrigal, 39, 37003 Salamanca (España).
• Contacto para privacidad: info@air-institute.com (abre tu programa de correo).
• Delegado de Protección de Datos (DPD): contacto@delegado-lopd.es (abre tu programa de correo) [CONFIRMAR que el DPD del AIR Institute cubre AIR-Core].

2. Qué datos tratamos

No pedimos categorías especiales de datos para la cuenta. AIR-Core no está dirigido a menores de 18 años.

3. Para qué los usamos y con qué base jurídica

Hemos ponderado los intereses legítimos indicados frente a sus derechos. Puede pedir el detalle de esa ponderación y oponerse (apartado 7).

4. Inteligencia artificial

• Asistente y «Hazlo con IA» con la IA de AIR-Core.
  • Su instrucción y el contexto necesario (esquemas, nombres de columnas, estadísticas y, si hace falta, muestras limitadas) se procesan con modelos de Anthropic (Claude) a través de Amazon Bedrock, con un perfil de inferencia de la Unión Europea: los datos se tratan en regiones de AWS de la UE.
  • AWS no conserva las peticiones ni las usa para entrenar modelos.
  • No usamos sus datos para entrenar modelos.
  • Las conversaciones y el registro de actividad de IA se conservan 365 días.
• Modelos propios. [VERIFICAR si se usan en producción: algunos modelos se sirven en infraestructura del AIR Institute en [ubicación UE]; la interfaz lo indica.]
• BYOK (su propia clave).
  • Si configura una clave de OpenAI, Anthropic, Groq, Google Gemini u otro proveedor compatible, enviaremos a ese proveedor, por su instrucción, la petición y el contexto.
  • Ese proveedor trata los datos según su contrato y su política de privacidad con usted, y puede estar fuera del EEE (por ejemplo, en EE. UU.).
  • No es un proveedor nuestro: le recomendamos revisar sus condiciones antes de usarlo.
  • Guardamos su clave cifrada y puede borrarla cuando quiera.
• Aplicaciones de IA conectadas por MCP (por ejemplo Claude o ChatGPT).
  • Cuando usted autoriza una aplicación, esta recibe los datos de su cuenta que solicite dentro de los permisos que usted concede.
  • Esos datos los trata el proveedor de esa aplicación según su relación con usted.
  • Puede revocar la autorización en «Cuenta → Aplicaciones».
• Explicabilidad. Calcula de forma estadística (SHAP) qué variables influyen en un modelo. Se ejecuta en nuestra infraestructura y no usa IA generativa.
• Transparencia. Siempre indicamos cuándo interactúa con un sistema de IA y marcamos el contenido generado.

5. A quién comunicamos los datos

No vendemos datos personales. Los comunicamos a estos proveedores, que actúan como encargados del tratamiento salvo que se indique otra cosa:

Además, dentro de su organización, los administradores ven los datos de los miembros (nombre, email, rol, actividad e IA usada).

Acceso de autoridades de terceros países.

• Sus datos y los de su cuenta se alojan en la UE.
• Solo atenderemos solicitudes de autoridades de fuera de la UE cuando se basen en un acuerdo internacional o cuando, a falta de él, lo permita el Derecho de la Unión.
• Impugnaremos las solicitudes desproporcionadas y le avisaremos salvo prohibición legal (Reglamento (UE) 2023/2854, arts. 28 y 32).

6. Cuánto tiempo los conservamos

Cuando la ley nos obliga a conservar datos, los mantenemos bloqueados (LOPDGDD art. 32): solo se ponen a disposición de jueces, tribunales y autoridades durante el plazo de prescripción.

7. Sus derechos

Puede ejercer estos derechos:

• acceso;
• rectificación;
• supresión;
• limitación;
• portabilidad;
• retirada del consentimiento en cualquier momento, sin que afecte a lo anterior;
• no ser objeto de decisiones automatizadas.

Derecho de oposición. Puede oponerse en cualquier momento a los tratamientos basados en interés legítimo y, sin necesidad de justificarlo, a las comunicaciones comerciales.

Cómo ejercerlos:

• Dónde: muchos de ellos directamente en la aplicación (perfil, exportación, eliminación de cuenta, preferencias de notificaciones y de cookies), o escribiendo a info@air-institute.com (abre tu programa de correo) o al DPD.
• Identificación: si escribe desde el email de su cuenta, no necesitamos más. Si no, podemos pedir lo mínimo para identificarle.
• Plazo: respondemos en un mes, prorrogable dos meses en casos complejos, con aviso.

Si no está satisfecho, puede reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es) o ante la autoridad de su país de residencia.

Personas fallecidas. Sus herederos o las personas designadas pueden solicitar el acceso, la rectificación o la supresión de los datos y contenidos de una persona fallecida (LOPDGDD arts. 3 y 96), salvo que esta lo hubiera prohibido.

8. Decisiones automatizadas

AIR Institute no toma decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o le afecten significativamente (art. 22 RGPD).

Algunas medidas contractuales se aplican de forma automática:

• topes de gasto de IA;
• límites del plan;
• desactivación por inactividad, siempre tras avisos;
• verificación de reCAPTCHA.

Puede pedir que una persona revise cualquiera de ellas en info@air-institute.com (abre tu programa de correo).

Stripe puede rechazar un pago con sus sistemas antifraude, como responsable independiente.

Los modelos que usted crea en AIR-Core y las decisiones que tome con ellos son responsabilidad de su organización.

9. Si sus datos están en la cuenta de un cliente

Si una empresa u organización ha subido datos suyos a AIR-Core (por ejemplo, en un conjunto de datos o como destinatario de alertas), esa entidad es la responsable y debe atender sus derechos. Si nos escribe, le remitiremos a ella o le daremos traslado de su solicitud.

10. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo:

• alojamiento en la UE;
• cifrado en tránsito (TLS);
• cifrado de credenciales y claves con una clave maestra;
• control de acceso por roles;
• verificación en dos pasos;
• registro de actividad;
• copias de seguridad.

Están descritas en el Anexo II del Acuerdo de Encargo del Tratamiento. Si se produce una brecha que suponga un alto riesgo para usted, se lo comunicaremos sin dilación.

11. Comunicaciones comerciales

Solo le enviaremos información comercial sobre AIR-Core si lo ha aceptado o si es cliente y se trata de productos similares. Siempre podrá darse de baja con el enlace de cada email o en la configuración de su cuenta.

12. Cookies

Consulte la Política de Cookies (https://air-core.io/cookies).

13. Cambios

Si cambiamos esta política de forma relevante, se lo comunicaremos por email o en la aplicación antes de que surta efecto. Las versiones anteriores están disponibles en [URL].