Política de privacidad

Última actualización: 7 de octubre de 2026

Esta Política informa sobre el tratamiento de datos personales realizado a través del servicio AIM CODEX. BIOMAG, S.L.U. cumple el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la LSSI, garantizando la transparencia y la seguridad en el uso de los datos.

1. Responsable del tratamiento

2. Doble papel: responsable y encargado

Por la propia naturaleza del Servicio conviven dos roles que es importante distinguir:

• BIOMAG, S.L.U. actúa como RESPONSABLE respecto de los datos de la cuenta y de la relación contractual: los datos de quien contrata o usa el Servicio (nombre, email, empresa, datos de facturación) y los datos de uso necesarios para prestarlo y protegerlo.
• BIOMAG, S.L.U. actúa como ENCARGADO DEL TRATAMIENTO respecto de los datos personales que el usuario decida incluir en los documentos que sella, comparte o envía a través del Servicio, así como de los datos de los destinatarios. En ese ámbito el usuario es el responsable y BIOMAG los trata por su cuenta y según sus instrucciones, conforme al Contrato de Encargado de Tratamiento.
• Página de origen del alta: si llegas a crear la cuenta pulsando un botón de una página nuestra (por ejemplo, la plantilla de presupuesto), guardamos el nombre de esa página junto al alta, para saber qué páginas sirven. Solo el nombre de la página: nada se guarda en tu navegador y no te seguimos entre visitas. Base: interés legítimo.

3. ¿Qué datos tratamos?

• Identificativos y de contacto: nombre, correo electrónico, organización.
• De facturación: los necesarios para emitir factura y gestionar el pago de la suscripción.
• De uso y seguridad: dirección IP, datos de navegación y registro (logs) de las acciones realizadas en el Servicio (creación, sellado, verificación, aceptación), con fines de funcionamiento, prueba y prevención del fraude.
• Contenido de los documentos y datos de destinatarios (nombre y email de quien recibe, abre, verifica o acepta un documento): tratados como encargado, por cuenta del usuario responsable.
• Texto enviado a las funciones de inteligencia artificial (redactar, revisar o explicar un documento), solo cuando el usuario las utiliza. Puede incluir datos personales de terceros si el documento los contiene; se trata como encargado, por cuenta del usuario. No utilices estas funciones con datos de categorías especiales (salud, ideología, afiliación sindical, origen étnico, vida sexual, biometría, datos penales).
• Grabaciones de audio de reuniones, solo cuando el usuario usa la función de actas: el audio se envía al proveedor de inteligencia artificial (a través de OpenRouter) para transcribirlo y redactar el borrador del acta. CODEX no conserva la grabación: solo guarda su huella SHA-256 y su tamaño. Contiene la voz y lo que dicen los asistentes; se trata como encargado, por cuenta del usuario, que debe informar a los asistentes antes de grabar.
• Medición anónima del funcionamiento de la web: al salir de cada página, el navegador envía tres tiempos de carga, la página y si la pantalla es de móvil. Sin cookies, sin identificadores y sin guardar la dirección IP.
• Informes técnicos del navegador cuando la política de seguridad de la web bloquea algo: la página (sin parámetros), la regla y el origen bloqueado. Ningún dato de la persona.
• Respuestas a encuestas voluntarias para mejorar la web: anónimas; no pedimos nombre ni correo.

El anclaje de la prueba en la cadena pública publica únicamente una huella criptográfica (hash SHA-256) del documento: no se publica el contenido del documento ni dato personal alguno en la cadena.

4. Finalidades y base jurídica

Finalidad	Base jurídica (art. 6 RGPD)
Prestar el Servicio (sellar, verificar, compartir, conservar la prueba) y gestionar la cuenta.	Ejecución del contrato.
Facturación y obligaciones fiscales y contables.	Cumplimiento de una obligación legal.
Seguridad del Servicio, prevención del fraude y atención de incidencias.	Interés legítimo (con derecho de oposición).
Comunicaciones del servicio (avisos operativos).	Ejecución del contrato.
Comunicaciones comerciales sobre productos o servicios propios similares, en su caso.	Consentimiento o art. 21.2 LSSI, con baja en cada envío.
Funciones de inteligencia artificial que el usuario activa (redactar, revisar, explicar).	Ejecución del contrato. Sobre el contenido de los documentos actuamos como encargado, siguiendo las instrucciones del usuario (art. 28 RGPD).
Medir y mejorar la velocidad y el funcionamiento de la web, con datos anónimos.	Interés legítimo.
Encuestas voluntarias para mejorar la claridad de la web.	Consentimiento: participar es voluntario.

5. Destinatarios y encargados (subencargados)

No se ceden datos a terceros salvo obligación legal o cuando sea necesario para prestar el Servicio. Para prestarlo tratan datos, como encargados de BIOMAG, S.L.U. y con contrato de encargo, estos proveedores (la lista viva, con los datos que trata cada uno y dónde, está en aim-codex.ai/subencargados):

• Railway (EE. UU.): alojamiento de la aplicación y de la base de datos, en servidores de los Países Bajos.
• Resend (EE. UU.): envío de los correos del servicio, desde su región europea (Irlanda).
• Migadu-Mail GmbH (Suiza): el buzón de contacto y el envío de correo de respaldo.
• OpenRouter, Inc. (EE. UU.): pasarela de los modelos de inteligencia artificial, solo cuando se usan esas funciones: recibe el texto y, si se usan las actas de reunión, la grabación de audio. Cada petición exige que el proveedor que ejecuta el modelo no guarde los datos y no los use para entrenar.
• Paddle.com Market Limited (Reino Unido): cobro de las suscripciones como revendedor; trata los datos de pago como responsable, no por nuestra cuenta.
• Calendarios de sellado de tiempo en la cadena pública (OpenTimestamps) y autoridades de sellado de tiempo (DigiCert, Sectigo y FreeTSA): reciben únicamente la huella SHA-256, ningún dato personal.
• Exploradores públicos de Bitcoin (blockstream.info y mempool.space): al verificar un documento, tu navegador les pide directamente los datos públicos del bloque en que está anclado; como cualquier web, reciben tu dirección IP y el número de bloque, nunca el documento ni su huella. Nuestro servidor también los consulta, solo con el número de bloque.
• Asesoría fiscal/contable, auditoría y servicios legales, cuando proceda, y autoridades y administraciones públicas, cuando lo exija la ley.

Dónde están tus datos. Los datos de tu cuenta y tus documentos se guardan en la Unión Europea. El texto y el audio que envías a las funciones de inteligencia artificial se procesan en Estados Unidos o en otros países donde están los proveedores de los modelos.

Transferencias internacionales: Railway, Resend y OpenRouter son empresas estadounidenses. Cualquier transferencia o acceso desde fuera del Espacio Económico Europeo se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en sus contratos de encargo y, en el caso de Resend, también en el Marco de Privacidad de Datos UE-EE. UU. Suiza y el Reino Unido cuentan con decisión de adecuación de la Comisión Europea.

6. Plazos de conservación

• Datos de la cuenta y de los documentos: mientras la cuenta esté activa y, tras su baja, durante el plazo que el usuario determine o el necesario para atender responsabilidades legales.
• Facturación: los plazos exigidos por la normativa fiscal y mercantil.
• Consultas/soporte: hasta su resolución y, en su caso, para trazabilidad.
• Seguridad/fraude: mientras sean necesarios; después, bloqueados para atender responsabilidades.
• Aperturas de enlaces y códigos: la dirección IP y el navegador de cada apertura se borran a los 12 meses (se conserva solo la fecha); los códigos de verificación y los enlaces para cambiar la contraseña, al día siguiente de caducar; las suscripciones a avisos que nunca se confirmaron, a los 30 días.
• Tras suprimir la cuenta: se borran sus documentos y datos. De cada documento sellado se conserva solo su huella criptográfica, la versión, la fecha del sellado y si estaba revocado o caducaba, sin título ni datos personales, para que quien lo recibió pueda seguir comprobando que es auténtico.

Supresión de los datos de quien firma o acusa recibo. Cuando una persona lo pide, el emisor borra sus datos desde la consola: su nombre, correo, IP y navegador desaparecen de los listados, la actividad y las exportaciones, y su enlace deja de funcionar. Los justificantes y dossiers ya sellados no se modifican, porque cambiaría su huella y dejarían de probar nada: se conservan sin enlace público, solo los descarga el emisor y solo para formular, ejercer o defender reclamaciones (art. 17.3.e RGPD), y se borran con la cuenta. En los dossiers con enlace, los correos van enmascarados.

7. Sus derechos

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento dirigiéndose a:

• Postal: c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, España).
• Email: hola@aim-codex.ai.

Podremos solicitar acreditación de identidad. Plazo de respuesta: máximo 1 mes (ampliable 2 meses). Cuando los datos se traten como encargado (los contenidos en documentos de un cliente), las solicitudes de los interesados se trasladarán al cliente responsable para que las atienda. Puede presentar una reclamación ante la Agencia Española de Protección de Datos: www.aepd.es.

8. Menores

El Servicio no está dirigido a menores de 14 años y no se tratan deliberadamente sus datos. Si se detectaran, se suprimirán.

9. Seguridad y brechas

Aplicamos medidas técnicas y organizativas adecuadas (control de acceso, cifrado en tránsito, sellado e integridad de la prueba, registro de incidencias y copias). En caso de brecha de seguridad con riesgo, lo notificaremos a la AEPD en un plazo máximo de 72 horas y, cuando proceda, a los interesados.

10. Cookies

La información sobre cookies está en la Política de cookies.