Contratto di nomina a responsabile del trattamento

Aggiornato il 1 novembre 2026

Traduzione fornita per comodità: in caso di differenze, prevale la versione in spagnolo.

Versión 1 · 1 de noviembre de 2026. Contrato del artículo 28 del RGPD entre quien usa AIM OFFICE con datos de otras personas (el «Cliente», responsable del tratamiento) y Biomag S.L.U. (NIF B01037241, Calle Barratxi, 39, pabellón 3, 01013 Vitoria-Gasteiz (Álava), España; «AIM», encargado del tratamiento). Contacto: legal@biomag.es.

1. Objeto, naturaleza y duración

1.1. Regula el tratamiento de datos personales que AIM realiza por cuenta del Cliente al prestar las funciones del Anexo I: alojamiento y custodia (cifrada o no, según cada función), transmisión, envío de correos transaccionales o de boletines y generación de texto con inteligencia artificial, siempre para que el Cliente pueda atender a sus propios clientes, reservas, contactos o participantes. Nunca para fines propios de AIM, salvo lo dispuesto en la cláusula 3.4.

1.2. Dura mientras el Cliente tenga cuenta y use esas funciones. La confidencialidad, la supresión y la devolución sobreviven a la terminación.

1.3. Forma parte de las condiciones de uso; en protección de datos prevalece sobre ellas. Quedan fuera del encargo los datos que el Cliente guarda solo en su navegador y los de su propia cuenta, que AIM trata como responsable según la política de privacidad.

2. Obligaciones del Cliente

El Cliente es el único responsable de tener base jurídica (artículo 6 y, si procede, 9 del RGPD) y de informar a los interesados (artículos 13 y 14), incluida la identidad de AIM como encargado y la de los subencargados del Anexo III. No usará estas funciones con datos de categorías especiales o de condenas sin haber valorado antes sus riesgos; en particular, no pondrá datos de salud u otros muy personales en nombres de servicios, motivos de cita ni textos de recordatorio que salgan en claro (la opción «solo la hora» existe para esos casos). Hará, cuando proceda, la evaluación de impacto. Cumplirá las normas de comunicaciones comerciales (LSSI, artículos 20 a 22) y garantiza que tiene derecho a grabar o transcribir a quienes participen, informándolos antes. No usará Actas IA para puntuar, clasificar o decidir sobre candidatos ni para inferir emociones. Es responsable de la seguridad de su dispositivo y de sus códigos de recuperación: AIM no puede recuperar lo cifrado de extremo a extremo.

3. Obligaciones de AIM

3.1. Instrucciones documentadas. AIM trata los datos solo según este contrato, las condiciones y las acciones que el Cliente ejecuta en la aplicación. Si una instrucción infringe la normativa, lo comunicará de inmediato y podrá suspenderla.

3.2. Terceros países. AIM no transferirá datos fuera del EEE salvo lo previsto en la cláusula 7 o por obligación legal; en ese caso avisará antes, salvo que la ley lo prohíba.

3.3. Sin uso propio. AIM no usará los datos del Cliente para entrenar sistemas de IA, elaborar perfiles, hacer publicidad ni ningún otro fin propio.

3.4. Excepciones declaradas por transparencia: la lista de supresión de AIM Boletines (huella irreversible de direcciones con rebote duro o queja), que AIM mantiene como responsable propio por su interés legítimo en proteger la reputación de envío; los registros de seguridad y de abuso de la cuenta, sin contenido; y las copias técnicas para responder a requerimientos legales válidos.

3.5. Confidencialidad. Las personas de AIM con acceso a datos están obligadas por escrito a confidencialidad. Nadie del equipo abre el contenido cifrado de extremo a extremo (no puede) ni, salvo petición de soporte del Cliente o necesidad técnica justificada y registrada, el contenido en claro.

3.6. Seguridad. AIM aplica las medidas del Anexo II, que describe con exactitud qué va cifrado de extremo a extremo y qué no, y las revisa al menos una vez al año o cuando cambie el servicio.

3.7. AIM lleva el registro de actividades de tratamiento como encargado. No ha designado delegado de protección de datos; el contacto de privacidad es legal@biomag.es.

4. Subencargados

4.1. El Cliente da autorización general a los subencargados del Anexo III. AIM avisará por correo con 30 días de antelación de cualquier alta o sustitución; el Cliente podrá oponerse por motivos razonables de protección de datos en los 15 días siguientes. Si AIM no puede ofrecer una alternativa razonable, el Cliente podrá dejar de usar la función afectada y, si pagó por ella, recibirá la parte proporcional del periodo no disfrutado. En una urgencia de seguridad AIM avisará lo antes posible y como máximo en 5 días.

4.2. AIM impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato y sigue siendo plenamente responsable ante el Cliente. Previa petición razonada, facilitará copia de esos contratos con la información comercial tachada.

5. Transferencias internacionales

Los subencargados con matriz o procesos fuera del EEE se listan en el Anexo III. Cuando están en EE. UU., la garantía es el Marco de Privacidad de Datos UE–EE. UU. si el proveedor está certificado y, en su defecto o como respaldo, las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914. AIM notificará al Cliente, salvo prohibición legal, cualquier petición de acceso a sus datos de una autoridad de un tercer país, la impugnará si hay motivos razonables y entregará solo lo mínimo exigido.

6. Asistencia al Cliente con los derechos de los interesados

6.1. Si un interesado se dirige a AIM, AIM lo remitirá al Cliente en 5 días hábiles y no responderá por su cuenta, salvo que la ley lo exija.

6.2. El Cliente dispone de «Exportar todo» (ZIP en formatos abiertos, armado en su navegador), de la supresión de reservas, formularios y listas, y de las bajas de boletines.

6.3. Límite técnico, aceptado expresamente: AIM no puede buscar, extraer ni borrar por persona el contenido sellado (reservas de Citas, mensajes de formulario), porque no tiene la clave. El Cliente lo hace desde su aplicación. AIM puede borrar el objeto completo (reserva, entrada, página, espacio) a petición.

6.4. Para el contenido en claro (recordatorios pendientes, estados de Boletines), AIM ayudará a localizar, rectificar, suprimir o bloquear en un máximo de 10 días hábiles.

7. Brechas de seguridad, evaluaciones de impacto y consulta previa

7.1. AIM notificará al Cliente toda violación de la seguridad que afecte a datos del Anexo I sin dilación indebida y como máximo en 48 horas desde que tenga constancia, por correo a la dirección de la cuenta. Indicará su naturaleza, las categorías y el número aproximado de interesados y registros, un contacto, las consecuencias probables y las medidas adoptadas o propuestas; si no toda la información está disponible, la facilitará por fases.

7.2. AIM no notifica a la AEPD ni a los interesados en nombre del Cliente salvo instrucción expresa. Facilitará la información sobre su tratamiento para las evaluaciones de impacto y la consulta previa, y llevará un registro interno de incidentes.

8. Auditorías e información

AIM pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato. Si no basta, el Cliente (o un auditor independiente no competidor sujeto a confidencialidad) podrá auditar una vez al año, con 30 días de aviso, en horario laboral, preferentemente a distancia, sin acceso a datos de otros clientes ni a secretos de AIM o de sus proveedores y sin interferir con el servicio. El coste corre a cargo del Cliente, salvo que revele un incumplimiento material de AIM. En los subencargados, AIM se apoya en sus informes y en las auditorías contractuales de cada proveedor.

9. Devolución y supresión

9.1. Durante el servicio, el Cliente puede descargar sus datos con «Exportar todo» y suprimir lo que quiera.

9.2. Al eliminar la cuenta se borran de inmediato y de forma irrecuperable los datos descritos en el plan de salida. Al terminar un plan de pago, los archivos de AIM Nube se conservan 90 días para descargarlos y luego se suprimen. Las copias de seguridad del proveedor de alojamiento se purgan por rotación.

9.3. AIM podrá conservar, debidamente bloqueados, los mínimos necesarios para atender responsabilidades derivadas del contrato: el registro de seguridad hasta 400 días tras su creación.

9.4. El Cliente puede pedir el cambio de proveedor con un máximo de 2 meses de preaviso, con un periodo transitorio de 30 días y, después, al menos 30 días para extraer sus datos. Exportar y suprimir son gratuitos.

10. Responsabilidad

Cada parte responde frente a los interesados según el artículo 82 del RGPD. Entre las partes, AIM responde de los daños causados por incumplir este contrato o las instrucciones lícitas del Cliente, y el Cliente de los causados por instrucciones ilícitas o por falta de base jurídica o de información a los interesados. Para clientes que no sean consumidores, la responsabilidad de AIM se limita al importe pagado en los 12 meses anteriores, salvo dolo o culpa grave y salvo lo que la ley no permita limitar. Si AIM trata datos fuera de las instrucciones del Cliente o para fines propios, será responsable de ese tratamiento (artículo 28.10 del RGPD).

11. Modificación, terminación, ley y jurisdicción

AIM puede modificar este contrato por cambio legal, de proveedores o de funciones, avisando con 30 días; si el Cliente no lo acepta, puede dejar de usar las funciones afectadas o cerrar su cuenta sin coste. El contrato termina con la cuenta o cuando el Cliente deje de usar todas las funciones del Anexo I. Se rige por la ley española; para clientes que no sean consumidores, los juzgados y tribunales de Vitoria-Gasteiz, y si el Cliente es consumidor, los de su domicilio.

12. Aceptación

Este contrato se incorpora a las condiciones de uso y se aplica desde que el Cliente usa una función del Anexo I. Por ahora no hay una casilla de aceptación específica al activar cada función; si se añade, se avisará.

Anexo I · Descripción del tratamiento, por función

Interesados: las personas cuyos datos introduce el Cliente o que se los facilitan a través de sus páginas (clientes, solicitantes, participantes en reuniones, suscriptores).

AIM CRM: AIM no trata el contenido del CRM, que se guarda solo en el navegador del Cliente. Las excepciones son lo que llega por formularios y por Citas.
AIM Citas, reservas: AIM aloja la página y recibe cada reserva sellada con la clave pública del Cliente. Cifrado: nombre, correo, teléfono y respuestas. En claro: hora de inicio, duración y márgenes. Se conserva hasta que el Cliente borra la reserva, la página o la cuenta.
AIM Citas, recordatorios (solo si el Cliente los enciende y la persona marca la casilla): correo, hora, zona horaria, nombre del negocio, idioma y, según elija el Cliente («servicio y lugar», «hora y lugar» o «solo la hora»), servicio y lugar, en claro. Se borran al enviar, al pasar la cita, al cancelar o borrar la reserva y al borrar la página. Subencargados: Railway y Resend.
AIM Sitios, formularios hacia AIM CRM: cada mensaje se sella con la clave pública del Cliente (nombre, correo, teléfono, mensaje, texto exacto del consentimiento y fecha). AIM avisa al Cliente por correo sin contenido. La IP solo se usa en un contador en memoria de un día como máximo. Se conserva hasta que el Cliente lo añade al CRM, lo descarta o borra la cuenta.
AIM Boletines (cuando se abra): altas con doble confirmación, estados por huella y envío de boletines, con bajas, rebotes y quejas.
AIM Actas IA: AIM recibe el audio por trozos o el texto de la transcripción, lo envía al proveedor de IA y devuelve el resultado al navegador. AIM no guarda audio, transcripción ni acta. Con cada trozo pueden ir los nombres de los asistentes y hasta 15 segundos de voz de quienes ya hablaron en la misma sesión. En AIM solo queda la cuota mensual. El proveedor puede conservar el contenido hasta 30 días para detectar abusos.
AIM Firma (opcional): sobre cifrado y evidencias en claro de cada paso (correo de cada firmante, hora, IP y navegador).
AIM Correo y Calendario (opcional): contenido en tránsito del proveedor del Cliente, en memoria como máximo 2 minutos (correo) o 5 minutos (suscripciones), nunca en disco; credenciales cifradas.

Anexo II · Medidas técnicas y organizativas

Cifrado de extremo a extremo (AIM no tiene la clave): reservas de Citas y mensajes de formularios de Sitios (sellados en el navegador con la clave pública del Cliente); documentos y mensajes de Firma, Enviar y Chat (AES-256-GCM con la clave en el fragmento del enlace); Notas sincronizadas y Claves (AES-256 en el navegador, con clave derivada de una frase que AIM no recibe); audio y vídeo de Reuniones (el servidor de retransmisión solo ve paquetes cifrados).

Sin cifrado de extremo a extremo: recordatorios de Citas, evidencias de Firma, audio y texto de Actas IA mientras se procesan, direcciones y contenido de boletines al enviarlos, archivos de AIM Nube fuera de las bóvedas, contenido en tránsito de Correo y Calendario, y la dirección IP de cada petición en los registros de alojamiento.

Límite del cifrado en una web: el código que cifra en el navegador lo sirve AIM; un operador malintencionado o un atacante que controlase el servidor podría servir código alterado. Se reduce con política CSP estricta, HSTS, aislamiento de origen, pruebas de que el servidor no recibe marcas en claro y control de cambios de despliegue por script. No se elimina.

Medidas generales: HTTPS con HSTS; acceso por enlace único de correo, de 15 minutos y un solo uso; sesiones revocables de 30 días; credenciales de terceros cifradas con AES-256-GCM; registros solo de duraciones, códigos y sucesos de seguridad, sin contenido ni nombres, con purga a 400 días; minimización (lo que no se incluye en un recordatorio no se guarda); topes por IP y día contra el abuso; mínimo privilegio en el acceso del personal; pruebas automáticas de servidor y de fugas; compromiso escrito de confidencialidad; contrato con cada subencargado; registro de incidentes.

Anexo III · Subencargados y transferencias

Railway Corporation (EE. UU.): alojamiento de la aplicación, la base de datos y el almacén de objetos. AIM usa la región de Ámsterdam (UE), pero Railway declara en su contrato que su tratamiento principal es en EE. UU. y que los registros de aplicación y HTTP (que incluyen la IP) pueden tratarse en EE. UU. Garantía: Marco de Privacidad de Datos UE–EE. UU. o cláusulas contractuales tipo, según su contrato.
Resend, Inc. (EE. UU.): envío de correo de acceso, avisos, recordatorios de Citas y boletines. Garantía: Marco de Privacidad de Datos UE–EE. UU. o cláusulas contractuales tipo.
Mistral AI SAS (Francia): transcripción y generación de actas en Actas IA, solo si el Cliente la elige. Puede conservar el contenido hasta 30 días y actúa como responsable propio en la vigilancia de abusos. Su contrato no fija la región de alojamiento de la API.
Cloudflare, Inc. (EE. UU.): servidor de retransmisión de AIM Reuniones; solo ve la IP de los participantes y paquetes ya cifrados de extremo a extremo.

No son subencargados de los datos del Cliente: Paddle.com Market Limited (Reino Unido), responsable independiente de los datos de pago y facturación; el servicio público de contraseñas filtradas que usa AIM Claves (solo recibe los 5 primeros caracteres de un resumen); y el proveedor de correo o calendario del propio Cliente.

Anexo IV · Contacto y procedimiento

Brecha de seguridad: AIM avisa en 48 horas como máximo desde que la conoce, al correo de la cuenta. El Cliente puede escribir a legal@biomag.es desde su cuenta.
Derechos de los interesados, auditoría y cambio de subencargados: legal@biomag.es desde el correo de la cuenta; acuse en 5 días hábiles y respuesta en 10 días hábiles para consultas simples.
Exportar y borrar: «Tu cuenta» › Exportar todo o Eliminar cuenta, de forma inmediata.