Documento legal
Registro de actividades del tratamiento: «Asistente de IA Aura»
Este documento resume la entrada del registro de actividades del tratamiento (art. 30 RGPD y art. 31 LOPDGDD) correspondiente a Aura by Alvea. Se publica para que el personal conozca cómo se tratan sus datos. La versión completa la custodia el Delegado de Protección de Datos.
1. Ficha del tratamiento
| Campo | Contenido |
|---|---|
| Nombre del tratamiento | Asistente de IA Aura |
| Responsable | Alvea Soluciones Tecnológicas, S.L. (B-88024450), C/ Santa Leonor 63, 3H, 28037 Madrid · rgpd@alvea.es |
| Delegado de Protección de Datos | dpd@alvea.es · «[PENDIENTE: nombre del DPD]» |
| Finalidades | Proporcionar al personal un asistente de IA generativa para tareas profesionales; gestionar cuentas y accesos; proteger la información (seudonimización, bloqueo, residencia); auditoría de seguridad; soporte; acreditación de la formación en IA (art. 4 RIA). |
| Bases jurídicas | Art. 6.1.b RGPD (relación laboral o de servicios); art. 6.1.f (interés legítimo en seguridad y en la actividad de la empresa); art. 6.1.c (art. 32 RGPD y art. 4 RIA). |
| Categorías de interesados | Personal de Alvea en España y personal que presta servicios desde Marruecos; terceros cuyos datos aparezcan en el contenido (clientes, contactos, proveedores). |
| Categorías de datos | Identificativos y de cuenta; credenciales (en forma de huella); contenido de conversaciones y documentos; voz (transitoria); imagen de perfil opcional; registro de auditoría sin contenido; presencia (en línea, última actividad); preferencias. Sin categorías especiales de forma intencionada. |
| Destinatarios | Encargados: Microsoft (Azure, Microsoft 365, Entra ID); proveedor del modelo (Anthropic Claude) a través del proxy LiteLLM de Alvea, solo con texto seudonimizado. Autoridades, cuando exista obligación legal. |
| Transferencias internacionales | Personal en Marruecos: acceso remoto de empleados (no es transferencia, EDPB 05/2021) o, si son de otra entidad, transferencia con cláusulas contractuales tipo 2021 y evaluación de impacto. «[PENDIENTE: confirmar relación contractual del personal en Marruecos]». Modelos: solo UE/EEE verificada. «[PENDIENTE: confirmar tipo de despliegue con IT]». |
| Plazos de supresión | Conversaciones y adjuntos: 30 días. Audio: no se conserva. Auditoría: «[PENDIENTE: plazo; se propone 12 meses]». Cuenta: mientras dure la relación. Copias de seguridad: «[PENDIENTE]». |
| Medidas de seguridad | Ver sección 2. |
2. Medidas técnicas y organizativas
- Seudonimización previa al envío al modelo y reidentificación solo en el servidor de Aura.
- Bloqueo de contenidos marcados como SECRETO o TOP SECRET.
- Verificación de residencia de los modelos en el servidor, con zona por defecto UE/EEE y cierre seguro.
- Cifrado AES-256-GCM por usuario del historial, los adjuntos y la foto de perfil; HTTPS en tránsito.
- Autenticación con Argon2id, 2FA (TOTP), Microsoft Entra ID o código de un solo uso; sesiones de 30 minutos de inactividad y 8 horas como máximo.
- Procesamiento local de voz (Whisper) y OCR (Tesseract).
- Búsqueda web mediante SearXNG propio con filtrado de consultas.
- Auditoría sin contenido encadenada por huellas criptográficas.
- API, MCP y webhooks desactivados por defecto; tokens con huella, permisos y caducidad.
- Política de uso de la IA, tutorial inicial y manuales; gestión dentro del SGSI certificado ISO 27001.
3. Evaluación de impacto
Se recomienda una evaluación de impacto relativa a la protección de datos (art. 35 RGPD) porque el tratamiento cumple criterios de la lista de la AEPD: observación sistemática (incluidos metadatos de uso) y uso de tecnología innovadora. Existe un borrador pendiente de validación por el DPD.
4. Cumplimiento y certificaciones
Alvea está certificada en ISO/IEC 27001 (seguridad de la información) e ISO 9001 (gestión de la calidad). Este tratamiento se gestiona con los controles de su sistema de gestión de seguridad de la información. Contacto del DPD: dpd@alvea.es.