Documento legal

Política de privacidad de Aura

Versión 2026-10 · Última actualización: 26 de octubre de 2026

Esta política explica, de forma clara y completa, cómo trata Alvea los datos personales cuando usas Aura by Alvea, el asistente interno de inteligencia artificial generativa de la empresa. Con ella cumplimos el deber de información del artículo 13 del Reglamento (UE) 2016/679 (RGPD) y del artículo 11 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento y Delegado de Protección de Datos

Dato	Información
Responsable	Alvea Soluciones Tecnológicas, S.L.
NIF	B-88024450
Domicilio	C/ Santa Leonor 63, 3H, 28037 Madrid (España)
Teléfono	+34 918 270 074
Contacto en materia de protección de datos	rgpd@alvea.es
Delegado de Protección de Datos (DPD)	dpd@alvea.es · «[PENDIENTE: nombre del DPD o entidad designada]»

2. A quién se aplica

Esta política se aplica a las personas que tienen una cuenta en Aura: el personal de Alvea que trabaja en Madrid (España) y el personal que presta servicios desde Marruecos. También se aplica, en lo que corresponda, a terceros cuyos datos puedan aparecer en el contenido que los usuarios introducen (por ejemplo, el nombre de un contacto en un correo que se pide resumir).

Aura es una herramienta interna. No está abierta al público y no se ofrece a clientes ni a menores de edad.

3. Qué datos tratamos

Categoría	Datos	Origen
Identificación y cuenta	Correo corporativo, alias o nombre visible, rol (usuario o administrador), estado de la cuenta, fecha de alta, versión de las condiciones aceptadas, finalización del tutorial inicial.	Alvea (alta por un administrador) o Microsoft Entra ID si entras con tu cuenta de Microsoft.
Credenciales y seguridad	Huella de la contraseña (Argon2id, nunca la contraseña en claro), secreto de la verificación en dos pasos (TOTP) cifrado, códigos de un solo uso, identificador de sesión.	Tú mismo, al activar la cuenta.
Contenido de uso	Mensajes, respuestas, títulos de conversaciones, archivos adjuntos y archivos generados (Word, PDF, Excel, PowerPoint, gráficos).	Tú mismo.
Voz	Grabación de audio para el dictado. Se transcribe en el servidor de Aura y el audio se descarta inmediatamente; solo queda el texto que decidas enviar.	Tú mismo, si usas el micrófono.
Imagen de perfil	Foto de perfil opcional o avatar animado. Se procesa en tu navegador; la foto se guarda cifrada. No se crean plantillas biométricas ni se hace reconocimiento facial.	Tú mismo, si la subes.
Registro de auditoría	Fecha y hora, usuario, tipo de evento (inicio de sesión, acción de administración, bloqueo de un mensaje), modelo utilizado, número de datos ocultados, dirección IP. Nunca incluye el contenido de los mensajes.	Generado por Aura.
Presencia	Indicador «en línea» y fecha de la última actividad, visible solo para administradores. No se guardan líneas de tiempo.	Generado por Aura.
Integraciones (opcional)	Tokens personales de API (se guarda solo su huella), permisos y caducidad; contenido de la página web que decidas enviar desde la extensión de Chrome.	Tú mismo, si las usas.
Preferencias	Tema claro u oscuro, color de acento, animaciones, último modelo usado, búsqueda web activada o no.	Tú mismo (almacenamiento local del navegador).

Aura no está diseñada para tratar categorías especiales de datos (salud, ideología, origen étnico, datos biométricos, etc.) y la Política de uso de la IA prohíbe introducirlos salvo que sea estrictamente necesario y esté autorizado.

4. Para qué usamos los datos

Prestarte el servicio de asistente de IA: responder tus preguntas, analizar los documentos que adjuntes, generar archivos, transcribir tu voz y buscar en internet cuando lo pidas.
Gestionar tu cuenta y tu acceso: alta, invitación, inicio de sesión, verificación en dos pasos, recuperación de la contraseña y cierre de sesión.
Proteger la información de la empresa y de terceros: seudonimizar datos personales, bloquear contenidos clasificados, verificar la residencia de los modelos y detectar accesos indebidos.
Mantener un registro de auditoría que permita demostrar el cumplimiento normativo e investigar incidentes de seguridad.
Administrar la plataforma: soporte técnico, gestión de usuarios y, para los administradores, conocer si una cuenta está en uso (presencia) a efectos de soporte y seguridad.
Acreditar la formación en IA exigida por el artículo 4 del Reglamento (UE) 2024/1689 de Inteligencia Artificial: se registra si has completado el tutorial inicial y aceptado la política de uso.

5. Bases jurídicas

Finalidad	Base jurídica (RGPD)
Servicio de asistente y gestión de la cuenta	Art. 6.1.b: ejecución de la relación laboral o de prestación de servicios, en la que Aura es una herramienta de trabajo puesta a tu disposición.
Seguridad, seudonimización, bloqueo de contenidos y auditoría	Art. 6.1.f: interés legítimo de Alvea en proteger su información y la de sus clientes; y art. 6.1.c en relación con el art. 32 RGPD (obligación de aplicar medidas de seguridad).
Presencia para administradores	Art. 6.1.f: interés legítimo en el soporte y la seguridad de la plataforma, con las limitaciones del art. 87 LOPDGDD descritas en la sección 12.
Registro de la formación en IA	Art. 6.1.c: obligación legal del art. 4 del Reglamento de IA.
Foto de perfil, dictado por voz, integraciones	Art. 6.1.b y 6.1.f; son funciones opcionales que tú decides usar y puedes desactivar en cualquier momento.
Datos de terceros incluidos en el contenido	Art. 6.1.f: interés legítimo de Alvea en el desarrollo de su actividad, limitado a los datos necesarios y con seudonimización previa.

No basamos el tratamiento en tu consentimiento, porque en una relación laboral el consentimiento no suele considerarse libre. Las funciones opcionales siguen siendo voluntarias.

Hemos realizado una ponderación del interés legítimo: las medidas de seudonimización, cifrado, retención breve y ausencia de contenido en la auditoría reducen el impacto sobre tus derechos. Puedes solicitarnos información sobre esta ponderación en rgpd@alvea.es.

6. Destinatarios y encargados del tratamiento

No cedemos tus datos a terceros salvo obligación legal. Para prestar el servicio intervienen los siguientes proveedores, que actúan como encargados del tratamiento con contrato conforme al artículo 28 RGPD:

Proveedor	Servicio	Datos a los que accede
Microsoft (Azure y Microsoft 365, tenant de Alvea)	Alojamiento del servidor de Aura, envío de correos (invitaciones y códigos) e inicio de sesión con Microsoft Entra ID.	Datos de cuenta; datos cifrados en reposo. Región de alojamiento: «[PENDIENTE: confirmar región de Azure con IT; previsto Europa Occidental]».
Proveedor del modelo de IA (Anthropic Claude), a través del proxy LiteLLM de Alvea	Generación de respuestas.	Solo el texto seudonimizado de la conversación y de los documentos. Canal de despliegue: «[PENDIENTE: confirmar tipo de despliegue con IT]».

Los motores de búsqueda de internet no son encargados: cuando activas la búsqueda web, Aura usa su propio buscador (SearXNG) y los buscadores solo reciben consultas genéricas filtradas y la dirección IP del servidor, nunca tu identidad ni el contenido de la conversación.

Los datos también podrán comunicarse a autoridades, juzgados y tribunales cuando exista una obligación legal.

7. Transferencias internacionales

7.1. Personal que trabaja desde Marruecos

Marruecos no cuenta con una decisión de adecuación de la Comisión Europea. La calificación jurídica depende de la relación entre Alvea y ese personal:

Escenario A: personas empleadas por Alvea que acceden en remoto. Según las Directrices 05/2021 del Comité Europeo de Protección de Datos (ejemplo 8), el acceso remoto de un empleado del propio responsable desde un tercer país no constituye una transferencia del capítulo V del RGPD. Alvea sigue siendo responsable y evalúa los riesgos del país de acceso, aplicando las mismas medidas de seguridad (cifrado, MFA, sesiones limitadas).
Escenario B: personas contratadas por otra entidad o como profesionales externos. El acceso sí constituye una transferencia internacional, que se ampara en las cláusulas contractuales tipo de la Comisión Europea de 2021 (Decisión 2021/914) y en una evaluación de impacto de la transferencia.

Para el personal en Marruecos rige además la Ley marroquí 09-08 de protección de datos personales. La Comisión Nacional de Control de la Protección de Datos Personales (CNDP) incluye a España entre los países con protección adecuada (Deliberación 236-2015).

7.2. Proveedor del modelo de IA

Aura solo envía contenido a modelos cuya ubicación de procesamiento en la UE/EEE ha sido verificada por el servidor. Si no se puede verificar, el modelo no se ofrece (cierre seguro). Algunas modalidades de despliegue de modelos Claude a través de Microsoft (Azure AI Foundry) pueden procesar datos en infraestructura de Anthropic fuera de la región elegida; por ello Aura las rechaza salvo que IT confirme expresamente que el despliegue garantiza el procesamiento en la UE.

8. Plazos de conservación

Datos	Plazo
Conversaciones, adjuntos y archivos generados	Se borran automáticamente a los 30 días de la última actividad de la conversación (plazo configurable por la organización). Puedes borrarlos antes en cualquier momento.
Audio del dictado	No se conserva: se descarta tras la transcripción.
Registro de auditoría	«[PENDIENTE: plazo; se propone 12 meses]». Transcurrido el plazo, podrá conservarse bloqueado durante el tiempo de prescripción de responsabilidades.
Cuenta, foto de perfil y preferencias	Mientras dure tu relación con Alvea o necesites acceso. Al darte de baja, un administrador elimina la cuenta y purga sus datos.
Tokens de API	Caducan siempre (máximo 90 días por defecto) y puedes revocarlos en cualquier momento.
Copias de seguridad	«[PENDIENTE: plazo de conservación de las copias de seguridad]». Las copias contienen los datos cifrados.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad escribiendo a rgpd@alvea.es o al DPD en dpd@alvea.es, o por correo postal a la dirección de la sección 1. Te responderemos en el plazo de un mes, ampliable en dos meses más en casos complejos.

Además, dentro de Aura tienes herramientas de autoservicio en Ajustes → Privacidad:

Exportar mis datos: descarga tus datos de cuenta y tus conversaciones en un formato estructurado y reutilizable.
Borrar mis datos: elimina tus conversaciones, adjuntos y foto de perfil.

Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es). Te recomendamos contactar antes con el DPD, que te ayudará a resolverlo.

10. Decisiones automatizadas

Aura no toma decisiones automatizadas con efectos jurídicos o significativos sobre ti, ni elabora perfiles (art. 22 RGPD). Las respuestas del asistente son propuestas que una persona debe revisar antes de usarlas.

Los controles automáticos de seguridad (ocultar datos personales o bloquear un documento marcado como SECRETO) solo afectan al envío de ese contenido al modelo y no tienen consecuencias sobre tu persona.

11. Medidas de seguridad

Alvea está certificada en ISO 9001 e ISO 27001. En Aura aplicamos, entre otras, estas medidas:

Seudonimización antes del envío al modelo: correos, teléfonos, IBAN, tarjetas, DNI/NIE, CIN marroquí, direcciones IP, números identificativos largos, nombres de personas tras tratamientos o etiquetas y términos confidenciales definidos por la empresa. La reidentificación se hace solo en el servidor de Aura.
Bloqueo de mensajes y documentos marcados como SECRETO o TOP SECRET.
Modelos solo a través del proxy LiteLLM con verificación de la residencia en la UE/EEE en el servidor y cierre seguro si no se puede verificar.
Historial y adjuntos cifrados con AES-256-GCM con clave por usuario.
Contraseñas con Argon2id, verificación en dos pasos opcional, inicio de sesión con Microsoft Entra ID o con código de un solo uso; sesiones con cierre por inactividad a los 30 minutos y duración máxima de 8 horas.
Transcripción de voz (Whisper) y reconocimiento de texto en imágenes (Tesseract) ejecutados en el propio servidor.
Registro de auditoría sin contenido, encadenado mediante huellas criptográficas para detectar manipulaciones.
API, MCP y webhooks desactivados por defecto; tokens con permisos limitados, caducidad y almacenados solo como huella; los webhooks no transportan contenido.

12. Presencia y derechos digitales

Los administradores pueden ver si una cuenta está en línea y la fecha de su última actividad, con fines exclusivos de soporte y seguridad. Esta información no se usa para evaluar el rendimiento, controlar horarios ni adoptar decisiones laborales, no se generan históricos ni líneas de tiempo y su uso se ajusta a los criterios fijados conforme al art. 87 LOPDGDD.

Aura respeta tu derecho a la desconexión digital (art. 88 LOPDGDD): no envía notificaciones fuera de la aplicación ni espera que la uses fuera de tu jornada.

13. Cumplimiento y certificaciones

ISO/IEC 27001 (seguridad de la información): Alvea está certificada. Aura se gestiona dentro de su sistema de gestión de seguridad de la información «[PENDIENTE: confirmar inclusión de Aura en el alcance y en la Declaración de Aplicabilidad]».
ISO 9001 (gestión de la calidad): Alvea está certificada; los cambios de Aura siguen el control de cambios y la gestión de no conformidades de la empresa.
Protección de datos: RGPD y LOPDGDD. Delegado de Protección de Datos: dpd@alvea.es.
Inteligencia artificial: Reglamento (UE) 2024/1689, con las obligaciones de alfabetización (art. 4) y transparencia (art. 50).
Canal de denuncias (Ley 2/2023): alvea.es/canales-de-denuncias.

14. Cambios en esta política

Podemos actualizar esta política cuando cambie el servicio o la normativa. La versión y la fecha figuran al principio del documento. Si el cambio es relevante, te lo comunicaremos dentro de Aura y, cuando proceda, te pediremos que vuelvas a leer las condiciones antes de seguir usando el asistente.

Documentos relacionados: Condiciones de uso, Política de cookies, Política de uso de la IA y Registro de actividades del tratamiento.