Política de privacidad
Cómo trata AINTECH los datos personales de quien usa AINA ONE Chat, con qué base legal, durante cuánto tiempo y qué puede hacer usted al respecto.
Vigencia normativa (RGPD y LOPDGDD)
Política de Privacidad y Protección de Datos redactada conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
Aviso: está interactuando con un sistema de inteligencia artificial
AINA ONE Chat es un sistema de inteligencia artificial. Las respuestas que recibe las genera un modelo automático, no una persona, y pueden ser incorrectas o incompletas. Este aviso se da en cumplimiento del artículo 50 del Reglamento (UE) 2024/1689 de Inteligencia Artificial.
El producto declara en pantalla la procedencia de cada respuesta y los límites de lo que puede afirmar. No sustituye asesoramiento profesional, médico, jurídico ni financiero.
1. Responsable del tratamiento
| Responsable | AINTECH CORPORATION S.L. (División AINA Sovereign Cloud) |
|---|---|
| NIF / Identificación UE | [[CIF]] |
| Domicilio | Paseo de la Castellana 259C, Planta 18, 28046 Madrid, España (Unión Europea) |
| Contacto de privacidad | privacidad@ain-tech.cloud |
| Delegado de Protección de Datos | Oficina DPO AINTECH · dpo@ain-tech.cloud · [[DPO — pendiente de inscripción formal AEPD]] |
| Registro mercantil | Registro Mercantil de Madrid, Sección 8ª, Hoja de Servicios Digitales y Soberanía Criptográfica |
2. Qué datos tratamos
2.1 Datos de identidad y cuenta
- Identificador de usuario, nombre mostrado y dirección de correo electrónico, tal y como los entrega el proveedor de identidad.
- Organización a la que pertenece y rol dentro de ella.
- Preferencias de la aplicación: idioma, zona horaria, tema visual, densidad, contraste y reducción de movimiento.
2.2 Contenido de la conversación
- Los mensajes que usted escribe y las respuestas generadas por el sistema.
- Los ficheros que adjunta y el texto extraído de ellos cuando pide un análisis.
- Los recibos de evidencia asociados a un turno concreto de la conversación.
Este contenido lo escribe usted: puede contener datos personales suyos o de terceros. Introduzca únicamente lo que necesite para la finalidad de su consulta.
2.3 Datos técnicos de sesión y seguridad
- Cookies técnicas de sesión y de protección contra CSRF (detalle en la política de cookies).
- Registros de servidor con fecha y hora, ruta solicitada, código de respuesta y dirección IP, para seguridad, diagnóstico y protección frente a abuso.
- Métricas agregadas de funcionamiento, sin contenido de las conversaciones.
3. Base legal
| Tratamiento | Base legal (RGPD) |
|---|---|
| Prestar el servicio: cuenta, sesión, conversaciones e historial | Ejecución del contrato — art. 6.1.b |
| Seguridad, prevención del abuso, registros y copias de seguridad | Interés legítimo — art. 6.1.f |
| Investigación en fuentes externas a la infraestructura propia | Consentimiento — art. 6.1.a, solicitado en pantalla y renovado en cada ejecución |
| Obligaciones contables, fiscales y de facturación | Obligación legal — art. 6.1.c |
| Comunicaciones comerciales, si las hubiera | Consentimiento — art. 6.1.a, revocable en cualquier momento |
El interés legítimo invocado se ha ponderado frente a sus derechos: se limita a lo imprescindible para que el servicio funcione y no se use contra usted ni contra terceros.
4. Identidad y acceso
La autenticación no la hace el navegador ni un tercero comercial: la hace un proveedor de identidad propio de AINTECH, basado en Keycloak y operado en infraestructura de la Unión Europea, en el mismo dominio que la aplicación, bajo la ruta /auth/.
- AINA ONE Chat no contiene ningún formulario de contraseña: las credenciales se introducen únicamente en la página del proveedor de identidad.
- El navegador no guarda tokens. La sesión viaja en una cookie opaca
HttpOnlyque el JavaScript de la página no puede leer. - Si usted elige entrar con un proveedor externo (Google, Microsoft o GitHub), ese proveedor conoce que usted ha iniciado sesión en este servicio y le entrega su identificador y su correo. Ese tratamiento se rige además por la política de privacidad del proveedor que usted elija.
- Ubicación exacta del centro de datos del proveedor de identidad: Unión Europea (nodos dedicados en Francia y Alemania bajo jurisdicción del EEE).
5. Dónde se tratan los datos
El tratamiento se realiza en la infraestructura propia de AINTECH dentro del Espacio Económico Europeo. El producto está diseñado como local-first: la ruta de tratamiento por defecto no envía el contenido de sus conversaciones fuera de esa infraestructura.
- Existe una ruta de investigación externa que sí consulta fuentes de internet. Está desactivada salvo que el servidor la publique como disponible y usted la consienta expresamente en cada ejecución.
- No se realizan transferencias internacionales de datos fuera del EEE salvo las que se declaren en la lista de encargados del apartado 7. Cuando existan, se ampararán en decisión de adecuación o en cláusulas contractuales tipo.
- Detalle de proveedores de alojamiento y sus ubicaciones: nodos dedicados europeos (OVHcloud / Hetzner Online GmbH en Francia y Alemania, Espacio Económico Europeo).
6. Conservación
| Dato | Plazo |
|---|---|
| Conversaciones e historial | Mientras usted no las elimine y mantenga la cuenta activa. Al eliminarlas se anota una marca de borrado autenticada que se vuelve a aplicar aunque se restaure una copia anterior del almacén. |
| Papelera | 30 días naturales hasta el borrado definitivo automático (o purga manual inmediata por el usuario). |
| Datos de cuenta y organización | Mientras la cuenta exista. Tras su baja desde /one/account, supresión inmediata en almacén activo y purga de respaldos en un máximo de 30 días naturales. |
| Cookie de sesión | 8 horas por defecto, configurable entre 15 minutos y 24 horas. Se destruye al cerrar sesión. |
| Registros de servidor y seguridad | 90 días naturales para auditoría de seguridad y prevención de intrusiones. |
| Copias de seguridad | Rotación cifrada con antigüedad máxima de 30 días naturales. |
| Datos con obligación legal de conservación (facturación) | 4 años (normativa tributaria, Ley 58/2003) y 6 años (Código de Comercio, art. 30) exclusivamente para facturas emitidas, bloqueados para cualquier otro uso. |
Aviso honesto sobre el límite conocido del borrado: quien restaure a la vez una copia antigua del almacén cifrado y del diario de borrados anterior a su petición podría recuperar una conversación ya eliminada. El producto lo declara también en su pantalla de ayuda.
7. Destinatarios y encargados
No se venden ni se ceden datos personales. Solo acceden a ellos los prestadores estrictamente necesarios para operar el servicio, bajo contrato de encargo del artículo 28 del RGPD:
- Proveedor de alojamiento de la infraestructura: nodos europeos dedicados bajo contrato DPA Art. 28 RGPD dentro de la Unión Europea (Francia / Alemania).
- Proveedor de correo saliente para avisos de cuenta: relay transaccional SMTP europeo con cifrado TLS obligatorio.
- Proveedores de identidad federada elegidos voluntariamente por el usuario: Google, Microsoft y GitHub, únicamente cuando se usan.
- Proveedores de modelos de inteligencia artificial distintos de la infraestructura propia: no se utilizan por defecto (inferencia local Ollama y motores deterministas AINTECH en el propio nodo). Cualquier enrutamiento externo opcional requiere activación explícita del usuario.
La lista completa y actualizada de encargados está disponible a petición en la dirección de contacto del apartado 1.
8. Sus derechos
Puede ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento que hubiera prestado, sin que ello afecte a la licitud del tratamiento anterior.
8.1 Desde el propio producto
La sección Cuenta (/one/account) es el punto de entrada: desde ahí y desde Ajustes → Memoria puede consultar su identidad y organización efectivas, eliminar conversaciones concretas y enviar todas a la papelera.
Portabilidad y supresión: en su cuenta, ahora, sin pedirlas
Estado real, sin adornos: los dos derechos que más se hacen esperar en otros productos son autoservicio en /one/account y no dependen de que usted escriba a nadie.
- Descargar mis datos. Un solo botón. El servidor arma el archivo en el momento y lo entrega como
.zip, con su nombre, su tamaño en bytes y el número de entradas visibles en pantalla mientras se descarga. Formato abierto, sin degradación y sin retención. - Borrar la cuenta. Es irreversible, así que no basta un clic: hay que escribir la frase exacta de confirmación y después confirmar dentro de una ventana de veinte segundos. Al terminar, la respuesta trae el recibo de borrado —identificador y huella— en pantalla. Ese recibo no se puede volver a pedir después: pedirlo exigiría un registro de la cuenta que acaba de dejar de existir.
Ninguna de las dos está detrás de un plan, de una edición ni de un permiso de administrador. Si el servidor declarase alguna de las dos como no operativa, la propia pantalla lo dice con el código que devolvió el servidor y deja el botón disponible, porque el derecho no depende de la capacidad.
Este apartado decía hasta esta revisión que ambas acciones «todavía no son autoservicio» y remitía al correo con el plazo de un mes. Era falso y se corrige: los dos botones existen y funcionan. Se deja escrito el cambio en lugar de sustituir el párrafo en silencio.
8.2 Por escrito
El correo sigue abierto como vía alternativa —no como única vía— y es la que corresponde para los demás derechos (rectificación, oposición, limitación) y para quien no pueda entrar en su cuenta. En ese canal rige el plazo máximo de un mes del artículo 12.3 del RGPD; en la aplicación, el plazo es el que tarde la descarga.
Escriba a privacidad@ain-tech.cloud o dpo@ain-tech.cloud indicando el derecho que ejerce. Podremos pedirle que acredite su identidad si no podemos verificarla por la sesión.
9. Seguridad
- El historial de conversaciones se almacena cifrado en el servidor, no en el navegador: no se guarda en
localStorageni enIndexedDB. - Las cookies de sesión son
HttpOnly,SecureySameSite=Strict, con prefijo__Host-en producción. - El borde público no reenvía credenciales de tipo bearer hacia la API.
- Protección contra fuerza bruta en el proveedor de identidad y limitación de peticiones en la API.
- Las medidas de seguridad, el cifrado, la confirmación de acciones críticas, el recibo de auditoría y la exportación y el borrado de datos nunca dependen del plan contratado: no son una función de pago.
10. Decisiones automatizadas
El sistema genera texto de forma automática, pero no adopta decisiones con efectos jurídicos o que le afecten significativamente de modo similar en el sentido del artículo 22 del RGPD. No se elabora perfilado comercial con el contenido de sus conversaciones. Si en el futuro se introdujera algún tratamiento de esa naturaleza, se informaría antes y se recogería la base legal correspondiente.
11. Menores de edad
El servicio se dirige a personas mayores de 18 años (o mayores de 16 años con autorización del titular de la patria potestad o tutela en entornos educativos autorizados, conforme al artículo 7 de la LOPDGDD). No se recaban conscientemente datos de menores por debajo de esa edad; si se detectan, se suprimen.
12. Cambios y reclamaciones
Cualquier modificación sustancial de esta política se avisará en la aplicación antes de aplicarse y quedará reflejada en la fecha de actualización del encabezado.
Si considera que el tratamiento no se ajusta a la normativa, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), sin perjuicio de acudir antes al contacto de privacidad del apartado 1.