Contrato de Encargado de Tratamiento

Última actualización: 24 de octubre de 2026

Este documento regula el tratamiento de datos personales que BIOMAG, S.L.U. («el Encargado») realiza por cuenta del Cliente («el Responsable») al prestarle el servicio AIM CODEX, conforme al artículo 28 del RGPD. Forma parte de las Condiciones de contratación y resulta de aplicación cuando el Cliente incluye datos personales de terceros en los documentos que trata a través del Servicio.

1. Objeto y papel de las partes

El Responsable (el Cliente) determina los fines y medios del tratamiento de los datos personales contenidos en sus documentos y destinatarios. El Encargado (BIOMAG, S.L.U.) los trata únicamente para prestar el Servicio y según las instrucciones documentadas del Responsable, contenidas en este contrato y en el uso que el Responsable haga del Servicio.

2. Descripción del tratamiento

• Naturaleza y finalidad: alojar, sellar, conservar, verificar y permitir compartir y aceptar los documentos del Responsable, generando y conservando la prueba asociada.
• Duración: mientras esté vigente la relación de servicio, sin perjuicio de los plazos de conservación de la prueba que el Responsable determine.
• Tipos de datos: los que el Responsable decida incluir en sus documentos (típicamente identificativos y de contacto; el Responsable debe evitar incluir categorías especiales salvo que disponga de base jurídica y lo comunique).
• Categorías de interesados: las que determine el Responsable (p. ej. clientes, empleados, firmantes, destinatarios).

La cadena pública de sellado de tiempo recibe únicamente la huella criptográfica (hash) del documento; no recibe el contenido ni datos personales.

3. Obligaciones del Encargado (art. 28.3 RGPD)

• Tratar los datos solo siguiendo instrucciones documentadas del Responsable, incluso en transferencias internacionales, salvo obligación legal (en cuyo caso lo informará, si la ley lo permite).
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad técnicas y organizativas apropiadas (art. 32 RGPD): control de acceso, cifrado en tránsito, integridad y sellado de la prueba, registro de incidencias y copias de seguridad.
• Asistir al Responsable en la atención de los derechos de los interesados y en el cumplimiento de sus obligaciones (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas).
• Notificar sin dilación indebida al Responsable las violaciones de seguridad de las que tenga conocimiento.
• A elección del Responsable, suprimir o devolver los datos al finalizar la prestación, salvo conservación exigida por ley.
• Poner a disposición del Responsable la información necesaria para acreditar el cumplimiento y permitir y contribuir a auditorías, incluidas inspecciones.

4. Subencargados

El Responsable autoriza al Encargado a recurrir a los subencargados publicados en aim-codex.ai/subencargados: Railway (alojamiento, servidores en los Países Bajos), Resend (correo, región europea), Migadu-Mail GmbH (buzón y correo de respaldo, Suiza) y, solo cuando el Responsable o sus usuarios utilizan las funciones de inteligencia artificial, OpenRouter, Inc. (EE. UU.), con enrutamiento a proveedores que no guardan los datos ni los usan para entrenar. El Encargado impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este documento le impone a él, y responde ante el Responsable de su cumplimiento. Cualquier alta o cambio de subencargado se publica en esa página antes de aplicarse; el Responsable puede oponerse escribiendo a hola@aim-codex.ai.

Las funciones de inteligencia artificial son opcionales y solo tratan lo que se les envía: el texto y, en las actas de reunión, la grabación de audio, que se envía al proveedor de inteligencia artificial para transcribirla y que CODEX no conserva (solo su huella y su tamaño). El Responsable decide si las usa, informa a los interesados cuyos datos puedan aparecer en esos documentos —y a los asistentes antes de grabar una reunión— y no las utiliza con datos de categorías especiales.

5. Transferencias internacionales

Los datos se alojan en la Unión Europea. Cualquier transferencia o acceso desde fuera del Espacio Económico Europeo —por ser Railway, Resend y OpenRouter empresas estadounidenses, y por procesarse en Estados Unidos el texto y el audio enviados a la inteligencia artificial— se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en los contratos de encargo de esos proveedores (en el de OpenRouter, el Módulo 2) y, en el caso de Resend, también en el Marco de Privacidad de Datos UE-EE. UU. Suiza y el Reino Unido cuentan con decisión de adecuación.

6. Obligaciones del Responsable

El Responsable garantiza disponer de base jurídica para el tratamiento de los datos que incluye en el Servicio, haber informado a los interesados cuando proceda, y dar al Encargado instrucciones lícitas. El Responsable es el único responsable de la licitud de los contenidos que sella o comparte.

7. Formalización

La aceptación de las Condiciones de contratación implica la de este Contrato de Encargado de Tratamiento. Si el Responsable necesita un documento firmado específico para su archivo de cumplimiento, puede solicitarlo en hola@aim-codex.ai.