Contrato de Encargado del Tratamiento (DPA)

1.1 Las Partes

Responsable del Tratamiento (en adelante, el «Cliente»):

La persona física o jurídica que contrata el Servicio Alethexis, cuyos datos identificativos completos quedan recogidos en el formulario de alta y reflejados en la cuenta del Servicio. Para los efectos del presente Contrato, el Cliente actúa como Responsable del Tratamiento en los términos del Art.4.7 RGPD.

Encargado del Tratamiento (en adelante, «Alethexis» o el «Encargado»):

ALETHEXIS, S.L. (NIF B88758057 · domicilio social en C/ Tirso de Molina 36, 08940 Cornellà de Llobregat, Barcelona · CNAE 6201), representada por su administrador único Rafael Luque, operadora del Servicio comercializado bajo la marca Alethexis — AI Governance & Compliance Framework for SMEs™. Punto de contacto en materia de privacidad: [email protected]. Para los efectos del presente Contrato, Alethexis actúa como Encargado del Tratamiento en los términos del Art.4.8 RGPD.

1.2 Antecedentes

I. El Cliente ha contratado el Servicio Alethexis, una aplicación SaaS de gobernanza y cumplimiento de inteligencia artificial y RGPD destinada a PYMEs europeas (en adelante, el «Servicio»), conforme a los términos de servicio publicados y al plan suscrito.

II. La operación del Servicio implica que Alethexis trate datos personales por cuenta del Cliente, lo que configura una relación de encargo del tratamiento sujeta al Art.28 RGPD.

III. Las Partes desean documentar dicho encargo mediante el presente Contrato de Encargado del Tratamiento (en adelante, «DPA» o «Contrato»), que se integra y forma parte indivisible de los términos de servicio.

IV. En caso de contradicción entre el presente DPA y los términos de servicio en materia de protección de datos personales, prevalecerá lo dispuesto en este DPA.

A los efectos del presente DPA, los términos en mayúscula tendrán el significado que se indica a continuación. Los términos no definidos aquí se interpretarán conforme al RGPD.

3.1 Ámbito material

El presente DPA regula el tratamiento de los Datos Sustantivos que Alethexis realice, por cuenta y en interés del Cliente, exclusivamente en el marco de la prestación del Servicio Alethexis.

3.2 Exclusiones

Quedan fuera del ámbito de este DPA:

• Los Datos de Cuenta del propio Cliente y de sus Usuarios, respecto de los cuales Alethexis actúa como Responsable independiente conforme se documenta en su política de privacidad pública.
• Los datos personales tratados por el Cliente fuera del Servicio.
• Los datos personales que el Cliente decida no introducir en el Servicio.

3.3 Subordinación

El tratamiento realizado por Alethexis en virtud de este DPA queda subordinado a las instrucciones documentadas del Cliente, recogidas en este Contrato, en los términos de servicio y en la configuración funcional del Servicio.

4.1 Naturaleza y finalidad

El tratamiento tiene por objeto permitir al Cliente operar el Servicio Alethexis con la finalidad de ejercer su gobernanza de IA y diligencia RGPD: registro de sistemas IA, clasificación P0–P6, evaluaciones FRIA, DPIA, publicación de política, generación de evidencias y demás funcionalidades contratadas. Los detalles operativos del tratamiento figuran en el Anexo I.

4.2 Duración

El presente DPA estará en vigor mientras lo esté el contrato de suscripción al Servicio entre las Partes y, en todo caso, hasta que se complete el procedimiento de devolución o supresión previsto en la cláusula 10.

4.3 Finalidades no autorizadas

Alethexis se obliga a no tratar los Datos Sustantivos para ninguna finalidad distinta de la prestación del Servicio. En particular, Alethexis declara expresamente que no vende los Datos Sustantivos, no los cede a terceros para sus fines propios, no los utiliza para entrenar modelos de inteligencia artificial propios o de terceros y no realiza profiling sobre ellos.

El detalle de los tipos de Datos Personales tratados y las categorías de Interesados afectados figura en el Anexo I.

A título orientativo y sin carácter exhaustivo, los Interesados pueden incluir empleados, candidatos, pacientes, clientes finales y demás personas físicas cuyos datos el Cliente decida incorporar al Servicio en sus inventarios, FRIAs o DPIAs. Los Datos Personales pueden incluir, si el Cliente así lo decide, categorías especiales del Art.9 RGPD (por ejemplo, datos de salud en sectores como el dental). El Cliente es el único responsable de la legitimación, base jurídica y proporcionalidad de los datos que introduce en el Servicio.

Alethexis, en su condición de Encargado, asume las obligaciones previstas en el Art.28.3 RGPD, conforme se desarrolla a continuación.

6.1 Tratamiento únicamente bajo instrucciones documentadas (Art.28.3.a)

Alethexis tratará los Datos Personales únicamente siguiendo las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales, salvo que el Derecho de la Unión o del Estado miembro le obligue a otra cosa, en cuyo caso informará al Cliente de tal exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por motivos de interés público.

Constituyen instrucciones documentadas:

• El presente DPA y sus Anexos.
• Los términos de servicio aceptados por el Cliente.
• Las configuraciones aplicadas por el Cliente o sus Usuarios autorizados dentro del Servicio.
• Las instrucciones escritas adicionales que el Cliente pueda enviar a [email protected].

Se consideran instrucciones documentadas del Responsable, además de las recogidas en este Acuerdo: la activación de la API de lectura y la emisión de las claves correspondientes; la configuración de uno o varios receptores de notificaciones salientes, incluida la dirección de destino; la designación de un proveedor de identidad para la autenticación federada; y la concesión de accesos temporales de auditor externo. Alethexis ejecuta esas instrucciones y no determina por sí misma destinatarios, finalidades ni medios de esas comunicaciones.

Si Alethexis considera que una instrucción infringe el RGPD u otra normativa aplicable de protección de datos, informará al Cliente sin dilación.

Uso de registros de actividad por el Cliente. Los registros de uso de sistemas de IA, matrices de responsabilidades, medidas de alfabetización y demás registros generados en la plataforma se tratan con la finalidad de documentar la gobernanza del uso de inteligencia artificial en la organización del Cliente. Cualquier utilización de dichos registros por el Cliente para la evaluación del rendimiento, la vigilancia de la conducta o la disciplina laboral de las personas trabajadoras constituye una finalidad distinta, bajo exclusiva responsabilidad del Cliente en su condición de responsable del tratamiento, que deberá determinar y documentar previamente su base jurídica, necesidad, proporcionalidad, transparencia y demás garantías exigibles. La plataforma no está diseñada para esa finalidad ni incorpora funcionalidades de puntuación, clasificación u ordenación individual de personas trabajadoras.

6.2 Confidencialidad del personal (Art.28.3.b)

Alethexis garantizará que las personas autorizadas para tratar Datos Personales:

• Se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad equivalente.
• Reciban formación adecuada en materia de protección de datos y seguridad de la información.
• Accedan a los Datos Personales únicamente cuando sea necesario para la prestación del Servicio (principio de mínimo privilegio).

Esta obligación se extiende al propio operador del Servicio y a cualquier futuro miembro del equipo, formalizándose mediante NDA y compromiso documentado.

6.3 Medidas de seguridad (Art.28.3.c y Art.32)

Alethexis aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al Art.32 RGPD. El detalle de estas medidas figura en el Anexo III, que es parte integrante del presente DPA y podrá ser actualizado para reflejar mejoras técnicas, sin que dichas actualizaciones puedan reducir el nivel de protección.

6.4 Subencargados (Art.28.3.d, Art.28.2 y Art.28.4)

El Cliente concede a Alethexis una autorización general previa para contratar Subencargados, conforme al Art.28.2 RGPD. La lista actualizada de Subencargados autorizados figura en el Anexo II.

Alethexis se obliga a:

• Imponer a cada Subencargado, mediante contrato u otro acto jurídico vinculante, las mismas obligaciones de protección de datos que las contenidas en este DPA, en particular las relativas a las medidas de seguridad y a la finalidad limitada.
• Mantener actualizada y públicamente accesible la lista de Subencargados en alethexis.com/subprocessors.
• Notificar al Cliente con al menos 30 días de antelación cualquier alta, baja o sustitución de un Subencargado, mediante email a la dirección de contacto del Cliente y aviso visible en el Servicio.
• Reconocer al Cliente el derecho a oponerse motivadamente a la incorporación de un nuevo Subencargado dentro de los 30 días siguientes a la notificación. En caso de oposición razonable, las Partes negociarán de buena fe una solución alternativa. Si no fuera posible, el Cliente podrá resolver el contrato de suscripción al Servicio sin penalización por la parte no consumida.
• Responder del cumplimiento de las obligaciones de protección de datos por parte de sus Subencargados frente al Cliente.

6.5 Asistencia en el ejercicio de derechos de los Interesados (Art.28.3.e)

Alethexis asistirá al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los Interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas individualizadas — Arts.15 a 22 RGPD).

A tal efecto, el Servicio incorpora funcionalidades de autoservicio que permiten al Cliente:

• Acceder y editar los Datos Sustantivos directamente.
• Exportar los datos en formatos estructurados (JSON, CSV) y, cuando aplique, los PDFs generados por el Servicio.
• Suprimir datos por sí mismo a través de la interfaz, sin necesidad de intervención de Alethexis.

Cuando la asistencia requiera intervención técnica directa de Alethexis (por ejemplo, exports complejos o supresiones masivas que excedan la funcionalidad de autoservicio), el Cliente podrá solicitarla a [email protected]. La obligación de atender en primera instancia las solicitudes de los Interesados corresponde al Cliente como Responsable; Alethexis no contesta directamente al Interesado salvo instrucción documentada del Cliente.

6.6 Asistencia en seguridad, brechas, DPIA y consulta previa (Art.28.3.f, Arts.32-36)

Alethexis asistirá al Cliente en el cumplimiento de las obligaciones que incumben al Responsable en virtud de los Arts.32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga. En particular:

• Pondrá a disposición del Cliente la información del Anexo III (medidas de seguridad) y, mediante el Trust Center público (alethexis.com/trust), información actualizada sobre su postura de seguridad.
• Notificará al Cliente las Brechas de Seguridad conforme a la cláusula 8.
• Cuando el Cliente realice una DPIA (Art.35 RGPD) o una consulta previa (Art.36 RGPD) relativa a un tratamiento que incluya el uso del Servicio, Alethexis facilitará razonablemente la información técnica y organizativa necesaria sobre el tratamiento que Alethexis realiza en su calidad de Encargado.

Esta asistencia es proporcional al rol de Encargado y no sustituye las obligaciones propias del Cliente como Responsable, en particular las relativas a la determinación de la base jurídica, la información a los Interesados y la respuesta sustantiva a los derechos.

6.7 Devolución o supresión al fin de la prestación (Art.28.3.g)

Al término de la prestación del Servicio, Alethexis devolverá los Datos Personales al Cliente o los suprimirá, conforme se detalla en la cláusula 10 y respetando la política de borrado escalonada en cinco niveles allí descrita.

Se exceptúa la conservación bloqueada prevista en la cláusula 10.5, que Alethexis realiza en su condición de encargado y al amparo del artículo 33.4 de la Ley Orgánica 3/2018, mientras puedan derivarse responsabilidades de su relación con el Cliente. Esa conservación no convierte a Alethexis en responsable del tratamiento.

6.8 Información para demostrar cumplimiento y auditorías (Art.28.3.h)

Alethexis pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del Art.28 RGPD y permitirá y contribuirá a auditorías, incluidas inspecciones, conforme a la cláusula 9. Si Alethexis considera que una instrucción del Cliente en este ámbito infringe el RGPD u otra normativa, lo comunicará inmediatamente al Cliente.

La lista completa de Subencargados autorizados, sus funciones, ubicaciones y mecanismos de garantía figura en el Anexo II.

7.1 Procedimiento de notificación de cambios

• Toda alta, baja o sustitución de un Subencargado se notificará al Cliente con al menos 30 días de antelación natural, mediante email a la dirección de contacto registrada en la cuenta del Cliente y mediante aviso visible en el Servicio.
• La lista pública de Subencargados se actualizará simultáneamente en alethexis.com/subprocessors.

7.2 Derecho de oposición del Responsable

• El Cliente podrá oponerse motivadamente a la incorporación de un nuevo Subencargado dentro de los 30 días siguientes a la notificación, mediante comunicación escrita a [email protected].
• En caso de oposición razonable, las Partes negociarán de buena fe durante un periodo de hasta 30 días una solución alternativa (por ejemplo, configuración del Servicio que evite el Subencargado objetado o sustitución por otro proveedor).
• Si no se alcanza acuerdo, el Cliente podrá resolver anticipadamente el contrato de suscripción al Servicio mediante preaviso por escrito, con derecho al reembolso proporcional de la parte no consumida del plan suscrito.

7.3 Subencargados no aplicables a Datos Sustantivos

Determinados terceros utilizados por Alethexis (GitHub para el repositorio de código y Anthropic como asistente de desarrollo) no acceden a los Datos Sustantivos del Cliente. La separación es estructural y está respaldada por una regla operativa interna que impide extraer datos personales de producción de clientes a través de herramientas de desarrollo o verificación. Por ello no se incluyen como Subencargados.

7.4 Destinatarios autorizados por el Responsable

Por instrucción del Cliente, el Servicio permite que determinada información quede a disposición de terceros que el propio Cliente designa: receptores de notificaciones salientes (webhooks), titulares de claves de la API de lectura y auditores externos a los que el Cliente concede un acceso temporal y de solo lectura.

Esos terceros no son Subencargados de Alethexis, porque Alethexis no los contrata, no les paga y no les da instrucciones. Son destinatarios en el sentido del artículo 4, apartado 9, del RGPD. Su propio rol —encargado del Cliente, responsable independiente u otro— depende de la relación jurídica que tengan con el Cliente, y no corresponde a Alethexis calificarlo.

Corresponde al Cliente autorizar a cada destinatario, determinar qué debe poder consultar y asegurarse de que existe con él la relación jurídica y de confidencialidad adecuada.

El acceso de auditor externo se sirve sobre vistas minimizadas de evidencias, sin identificadores directos de usuarios, caduca siempre —7, 30 o 90 días, sin opción de acceso indefinido—, el Cliente puede revocarlo en cualquier momento y puede concederse con o sin descarga. Cada acceso y cada descarga quedan anotados en el registro de auditoría del Cliente.

8.1 Detección y contención

Alethexis cuenta con procedimientos internos de detección, contención y respuesta ante Brechas de Seguridad, documentados en su SECURITY_RUNBOOK.md interno y aplicados de forma continua.

8.2 Notificación al Cliente

Alethexis notificará al Cliente sin dilación indebida y, en cualquier caso, dentro de las 24 horas siguientes al conocimiento efectivo de una Brecha de Seguridad que afecte a los Datos Sustantivos del Cliente. La notificación se realizará por email a la dirección de contacto registrada en la cuenta del Cliente y, cuando proceda, mediante aviso en el Servicio.

8.3 Contenido de la notificación

La notificación incluirá, en la medida de lo disponible en el momento del aviso, los elementos previstos en el Art.33.3 RGPD:

• Naturaleza de la Brecha y, cuando sea posible, categorías y número aproximado de Interesados y de registros afectados.
• Datos del punto de contacto en Alethexis para obtener más información.
• Consecuencias probables de la Brecha.
• Medidas adoptadas o propuestas para poner remedio a la Brecha y, en su caso, mitigar sus posibles efectos negativos.

Si en el momento de la notificación inicial no se dispone de toda la información, Alethexis remitirá actualizaciones sucesivas conforme avance la investigación.

8.4 Notificación a autoridades e Interesados

La notificación a la autoridad de control competente (en España, la AEPD, o la autoridad de control competente para el Cliente) con arreglo al Art.33 RGPD y, en su caso, la comunicación a los Interesados conforme al Art.34 RGPD, corresponden al Cliente como Responsable. Alethexis asistirá al Cliente facilitando la información disponible y respondiendo razonablemente a las solicitudes adicionales del Cliente y, en su caso, de la autoridad.

8.5 Conservación de evidencias

Alethexis conservará durante un mínimo de 5 años las evidencias relativas a Brechas detectadas y notificadas, así como los análisis post-mortem y las medidas correctoras aplicadas, con fines defensivos y de mejora continua.

9.1 Derecho de auditoría del Cliente

El Cliente, como Responsable, tiene derecho a verificar el cumplimiento por parte de Alethexis de las obligaciones del Art.28 RGPD y de este DPA, mediante:

• Solicitud de información dirigida a [email protected], que Alethexis atenderá en un plazo razonable.
• Consulta del Trust Center público (alethexis.com/trust), que incluye información actualizada sobre subencargados, medidas de seguridad y certificaciones o adhesiones aplicables, en su caso.
• Cuando proceda, auditoría in situ o remota en los términos de las cláusulas 9.2 a 9.5.

9.2 Frecuencia y preaviso

Salvo que exista una causa razonable que lo justifique (por ejemplo, una Brecha de Seguridad relevante o un requerimiento de autoridad), el derecho de auditoría se ejercerá:

• Con un máximo de una auditoría por año natural.
• Con un preaviso por escrito de al menos 30 días naturales.
• Durante horario laboral habitual y de forma que no interfiera de manera no razonable con la operación del Servicio.

9.3 Auditor

El Cliente podrá realizar la auditoría por sí mismo o a través de un auditor independiente cualificado, que en ningún caso podrá ser un competidor directo de Alethexis. El auditor firmará previamente un acuerdo de confidencialidad (NDA) con Alethexis.

9.4 Alcance

La auditoría se limitará a verificar el cumplimiento de las obligaciones derivadas de este DPA y del Art.28 RGPD. Quedan excluidos: el código fuente propietario, los datos de otros clientes, los secretos comerciales no relacionados con el tratamiento y cualquier información cuya divulgación pudiera comprometer la seguridad del Servicio.

9.5 Coste

Los costes de la auditoría serán de cuenta del Cliente, salvo que la auditoría revele incumplimientos sustanciales imputables a Alethexis, en cuyo caso éste asumirá los costes razonables y directamente relacionados con la auditoría.

9.6 Auditorías de autoridad

Lo anterior se entiende sin perjuicio de las facultades de inspección y auditoría que correspondan a la AEPD, la AESIA u otras autoridades competentes. Alethexis colaborará lealmente con dichas autoridades y mantendrá informado al Cliente, en la medida en que legalmente sea posible.

10.1 Política de borrado escalonada en cinco niveles

Al término de la prestación del Servicio, ya sea por terminación del contrato, supresión solicitada por el Cliente o por cualquier otra causa, Alethexis aplicará la siguiente política de borrado escalonada, alineada con el Art.17 RGPD y con las obligaciones mercantiles y de defensa documental aplicables:

10.2 Comunicación de cierre

Al cierre del proceso, el Owner del Cliente recibirá un email de confirmación que incluirá:

• Hash del export entregado (prueba de entrega).
• Resumen de qué datos se conservan, en qué soporte y con qué base legal.
• Calendario aproximado de purga del backup.

10.3 Período de gracia

Tras la cancelación del contrato y antes de iniciar el procedimiento de supresión, Alethexis aplicará un período de gracia de 30 días durante el cual el Cliente podrá:

• Realizar el export final de sus datos por sí mismo desde el Servicio.
• Reactivar la suscripción sin pérdida de datos.

Transcurrido dicho plazo sin reactivación, se iniciará la cascada de borrado descrita en 10.1.

10.4 Excepciones legales

Cuando el Derecho de la Unión o del Estado miembro exija la conservación de Datos Personales más allá de los plazos anteriores (por ejemplo, requerimientos judiciales, obligaciones fiscales), Alethexis lo comunicará al Cliente y conservará los datos estrictamente necesarios durante el periodo legalmente exigido.

10.5 Conservación bloqueada (art. 32 y 33.4 LOPDGDD)

Finalizado el encargo, Alethexis podrá conservar una copia de los datos que resulte necesaria para atender posibles responsabilidades derivadas de su relación con el Responsable, debidamente bloqueada en los términos de los artículos 32 y 33.4 de la LOPDGDD. Como criterio general, dicha conservación tendrá una duración máxima de cinco años desde la finalización del encargo, sin perjuicio de que resulte aplicable un plazo de prescripción diferente o de que se produzca una causa legal de interrupción o extensión del plazo. Transcurrido el plazo de prescripción aplicable, los datos serán destruidos.

Bloqueado significa, con arreglo al artículo 32 de la Ley Orgánica 3/2018, que los datos quedan identificados y reservados y que se impide su tratamiento, incluida su visualización, salvo para ponerlos a disposición de los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes.

En términos del Servicio: ninguna función de lectura ni la API devuelven esas anotaciones, a ningún usuario ni a ningún rol. La única salida es un procedimiento interno de puesta a disposición de autoridades que exige motivo y queda él mismo registrado.

Lo que sí sigue operando sobre lo bloqueado, porque el propio artículo 32 lo ordena —«identificar y reservar»—: la verificación de integridad de la cadena, la exportación diaria de su cabeza, la suspensión de la destrucción cuando concurra una causa legal de interrupción o extensión del plazo, y la destrucción al vencer el plazo aplicable. Ninguna de las cuatro devuelve contenido.

11.1 Régimen general

En la versión actual del Servicio (Ola 1), Alethexis ha configurado su infraestructura para que los Datos Sustantivos se almacenen dentro del Espacio Económico Europeo (Supabase, eu-central-1 · Frankfurt). No obstante, la prestación del Servicio implica que los Datos Sustantivos transiten por la red de entrega y edge de proveedores de infraestructura con presencia fuera del EEE (Estados Unidos), en particular Cloudflare (proxy/CDN/WAF) y Vercel (hosting y red edge). Dichas transferencias se amparan en garantías conformes al Capítulo V del RGPD: las Cláusulas Contractuales Tipo del Art. 46.2.c, con la evaluación y las medidas suplementarias que resulten necesarias. La ubicación y el mecanismo de garantía de cada Subencargado figuran en el Anexo II y en la lista pública actualizada en alethexis.com/subprocessors.

• Almacenamiento de Datos Sustantivos: Supabase eu-central-1 (Frankfurt) — EEE.
• Tránsito / edge: Cloudflare (EE. UU.) y Vercel (EE. UU. primario + edge global) — bajo garantías del Cap. V.
• Pagos, email a usuarios y correo de clientes: tratan Datos de Cuenta (Alethexis como responsable) — ver la política de privacidad, no este DPA.

11.2 Transferencias futuras adicionales

Si en el futuro se incorporase un Subencargado adicional o un tratamiento que implique una nueva transferencia de Datos Sustantivos fuera del EEE distinta de las declaradas en 11.1, Alethexis:

• Aplicará uno de los mecanismos de garantía previstos en el Capítulo V del RGPD (Arts.44 a 49), preferentemente las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Art.46.2.c RGPD) acompañadas de las medidas suplementarias que resulten necesarias conforme a la jurisprudencia aplicable (entre otras, Schrems II).
• Lo notificará al Cliente conforme al procedimiento de modificación de Subencargados (cláusula 7.1).
• Pondrá a disposición del Cliente la documentación que acredite el mecanismo de garantía aplicado.

12.1 Distribución de responsabilidades

Cada Parte responderá de los daños causados como consecuencia del incumplimiento de las obligaciones que el RGPD y este DPA le atribuyen en su respectiva condición de Responsable o Encargado, en los términos del Art.82 RGPD.

12.2 Limitación proporcional al rol de Encargado

La responsabilidad de Alethexis frente al Cliente derivada del presente DPA se limita a los daños directamente imputables al incumplimiento por su parte de las obligaciones que le corresponden como Encargado. En particular, Alethexis no responde de:

• Las decisiones del Cliente como Responsable (base jurídica del tratamiento, información a Interesados, atención sustantiva de sus derechos, cumplimiento del Art.5 RGPD).
• La idoneidad o legalidad de los datos que el Cliente decide introducir en el Servicio.
• Las consecuencias derivadas de instrucciones del Cliente cuyo cumplimiento por Alethexis sea conforme a este DPA, salvo que dichas instrucciones fueran manifiestamente ilícitas y Alethexis no las hubiera comunicado conforme a la cláusula 6.1.

12.3 Cuantía

Salvo en los supuestos de dolo o culpa grave, o cuando el Derecho aplicable no lo permita, la responsabilidad agregada de cada Parte frente a la otra en el marco de este DPA estará limitada conforme a lo previsto en los términos de servicio. Esta limitación no se aplica a las sanciones impuestas por una autoridad de control directamente a una de las Partes, ni a las indemnizaciones a Interesados resultantes de tales sanciones, que se regirán por el Art.82 RGPD.

12.4 Cooperación en defensa

Si un Interesado, autoridad o tercero reclama por hechos relacionados con el tratamiento objeto de este DPA, ambas Partes cooperarán de buena fe para coordinar la defensa y la respuesta, compartiendo la información razonablemente necesaria.

13.1 Vigencia

El presente DPA entrará en vigor en la fecha de su aceptación por el Cliente (click-through en el onboarding del Servicio o firma electrónica) y permanecerá vigente mientras lo esté el contrato de suscripción al Servicio entre las Partes, salvo que las cláusulas de devolución y supresión (cláusula 10) o de auditoría (cláusula 9) requieran su aplicación posterior.

13.2 Modificación

Alethexis podrá modificar el presente DPA en los siguientes supuestos:

• Cambios legislativos o regulatorios que afecten al RGPD o normativa concordante.
• Decisiones de las autoridades de control que requieran ajustes.
• Mejoras en las medidas técnicas y organizativas que incrementen el nivel de protección.
• Cambios en la lista de Subencargados, conforme al procedimiento de la cláusula 7.

Las modificaciones se notificarán al Cliente con un preaviso razonable, mínimo 30 días naturales cuando sea materialmente posible, mediante email y aviso en el Servicio. Si la modificación reduce sustancialmente el nivel de protección o introduce cambios que el Cliente razonablemente no pueda aceptar, el Cliente tendrá derecho a resolver el contrato de suscripción sin penalización.

13.3 Independencia de cláusulas

Si alguna disposición de este DPA es declarada nula o inaplicable, el resto del Contrato mantendrá su validez. Las Partes negociarán de buena fe una cláusula sustitutoria que refleje, en la medida de lo posible, la intención original.

13.4 Ley aplicable

El presente DPA se rige por la legislación española y por el Derecho de la Unión Europea aplicable, en particular el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

13.5 Jurisdicción

Las Partes se someten, con renuncia expresa a cualquier otro fuero que pudiera corresponderles, a los Juzgados y Tribunales de la ciudad de Barcelona (España) para la resolución de cualquier controversia derivada de este DPA, sin perjuicio de las competencias atribuidas por ley a la AEPD o a otras autoridades de control.

13.6 Idiomas y prelación

Este Acuerdo está disponible en español e inglés. Ambas versiones expresan las mismas obligaciones. En caso de discrepancia de interpretación prevalecerá la versión española, sin perjuicio de las normas imperativas aplicables.

A.I.1 Objeto del tratamiento

Tratamiento de Datos Personales por parte de Alethexis, por cuenta del Cliente, en el marco de la prestación del Servicio Alethexis (módulos M1 Visibilidad, M2 Gobernanza, M3 High-Risk Ready y, en su caso, Agentic Add-on).

A.I.2 Duración del tratamiento

Mientras esté vigente el contrato de suscripción al Servicio, más los plazos de devolución y conservación previstos en la cláusula 10 del DPA.

A.I.3 Naturaleza y finalidad

A.I.4 Tipos de Datos Personales

Los siguientes tipos se incluyen a título orientativo. La determinación efectiva corresponde al Cliente.

El Cliente se compromete a no introducir en el Servicio Datos Personales innecesarios para la finalidad declarada, conforme al principio de minimización del Art.5.1.c RGPD.

A.I.5 Categorías de Interesados

A.I.6 Operaciones de tratamiento

Recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación interna entre Subencargados conforme al Anexo II, alineación, restricción, supresión, destrucción y export.

Canales técnicos. Además de la interfaz web, el Servicio pone a disposición del Cliente una API de lectura autenticada, notificaciones salientes (webhooks) y autenticación federada (SSO/SAML). Son interfaces o canales técnicos mediante los cuales Alethexis trata o transmite información siguiendo instrucciones del Responsable; su activación y configuración corresponden al Cliente.

A.I.7 Ubicación del tratamiento

Almacenamiento en el Espacio Económico Europeo (Frankfurt). Tránsito por infraestructura edge con presencia fuera del EEE bajo garantías del Cap. V RGPD. Detalle por Subencargado en el Anexo II.

Versión: 1.4 · Fecha de revisión: 09/10/2026 · La fuente viva de esta lista es la página pública alethexis.com/subprocessors, que prevalece en caso de divergencia temporal entre actualizaciones.

Notas:

• La versión vigente de esta lista se publica en alethexis.com/subprocessors.
• Los proveedores de pagos, facturación y correo transaccional —Stripe, Holded y Resend— tratan Datos de Cuenta de los que Alethexis es responsable, no Datos Sustantivos del Cliente. Por ese motivo no figuran en este Anexo: constan en el bloque 2 del Registro público, junto con Google Workspace.
• GitHub (repositorio de código) y Anthropic (asistente de desarrollo) no acceden a Datos Sustantivos del Cliente y, por tanto, no se incluyen como Subencargados en este Anexo. La separación es estructural y está respaldada por una regla operativa interna que impide extraer datos personales de producción de clientes a través de herramientas de desarrollo o verificación (cláusula 7.3).
• Cualquier alta, baja o sustitución se notificará al Cliente conforme a la cláusula 7 del DPA, con al menos 30 días naturales de antelación.

Las siguientes medidas son las aplicadas en el momento de la firma del DPA. Pueden ser actualizadas para reflejar mejoras, sin que dichas actualizaciones puedan reducir el nivel de protección.

A.III.1 Cifrado

• En tránsito: todas las conexiones con el Servicio se cifran mediante TLS. Con los navegadores actuales se establece TLS 1.3.
• En reposo: la base de datos y el almacenamiento de ficheros están cifrados por el proveedor de infraestructura (Supabase) con AES-256.

A.III.2 Control de accesos

• Autenticación: Supabase Auth. Los métodos activos son contraseña, código de un solo uso enviado por correo electrónico e inicio de sesión con Google. El inicio de sesión único (SAML) está disponible para las organizaciones con M2 o M3 y lo configura cada Cliente. No se ofrece acceso por enlace mágico.
• Verificación en dos pasos: disponible para todos los Usuarios. Se exige a los roles Owner y DPO para acceder al módulo M3 (High-Risk Ready): sin una sesión verificada en dos pasos, el acceso se deniega.
• Aislamiento multi-tenant: Row Level Security activa en todas las tablas con account_id, cada una con al menos una política de aislamiento. Los tests de RLS corren en integración continua y ningún cambio se despliega si fallan.
• Mínimo privilegio: roles canónicos del Cliente (Owner, AI Officer, DPO, Contributor, Auditor) con permisos diferenciados; las secciones sensibles se restringen por rol mediante políticas adicionales.
• Claves de servicio de Supabase: utilizadas exclusivamente en los route handlers y las Server Actions del servidor, nunca expuestas al cliente.

A.III.3 Auditabilidad e integridad

• Registro de auditoría de solo adición a nivel de aplicación, con controles criptográficos de integridad, verificación periódica y anclaje externo diario. En la tabla audit.access_log los roles de aplicación tienen concedido INSERT y, en su caso, SELECT, y ningún permiso de UPDATE ni de DELETE a nivel de base de datos. Cada asiento encadena su huella SHA-256 con la del anterior; la cadena se verifica a diario y su cabeza se exporta cada día a un almacén de otro proveedor, bajo control de acceso independiente y sin sobrescritura, de modo que el sistema está diseñado para que una reconstrucción completa del registro se detecte al contrastarla con esa copia. Conservación conforme a la cláusula 10.1, nivel 4.
• El sistema está diseñado para evidenciar alteraciones no autorizadas (tamper-evident). Alethexis no afirma que cualquier alteración sea detectable: eso depende del modelo de amenaza y de que el mecanismo de anclaje y comparación permanezca íntegro.
• PDFs de FRIA y DPIA protegidos con una huella de integridad SHA-256 incrustada en los metadatos y visible en la última página, que permite verificar que el documento no ha sido alterado. No constituye firma electrónica en el sentido del Reglamento (UE) 910/2014. Disparadores de base de datos impiden modificar el documento tras la aprobación: una FRIA o una DPIA aprobadas solo admiten pasar a archivada al ser sustituidas por una versión nueva, y cualquier otra modificación se rechaza.
• Instantáneas de políticas publicadas versionadas: los cambios crean una versión nueva sin sobrescribir las anteriores.

A.III.4 Gestión de secretos

• Variables de entorno almacenadas en la plataforma de despliegue y, cuando corresponda, en Supabase Vault. Nunca en el repositorio de código.
• Detección de secretos en integración continua mediante gitleaks, como comprobación requerida para incorporar cambios a la rama principal. Barre todo el historial alcanzable, no solo el árbol de trabajo.
• Procedimiento documentado de rotación de emergencia ante sospecha de exposición.

A.III.5 Dependencias y control de cambios

• Actualización de dependencias gestionada de forma automatizada (Renovate).
• Ningún cambio llega a producción sin pasar por una rama con revisión, comprobación de tipos, suite de pruebas y despliegue de vista previa. Las comprobaciones son requeridas: si una falla, el cambio no se incorpora.

A.III.6 Copias de seguridad

• Copias de seguridad diarias gestionadas por la infraestructura de base de datos, en la región eu-central-1 (Fráncfort), con retención de 7 días.

A.III.7 Cabeceras HTTP y hardening web

• HTTP Strict Transport Security activo, con max-age de dos años.
• Fuentes autoalojadas (Montserrat, Open Sans); no se carga la CDN de Google Fonts, lo que reduce las dependencias de terceros en el renderizado.

A.III.8 Segregación de entornos

• Entornos diferenciados de desarrollo, staging y producción.
• Preview deployments con autenticación Vercel (Standard Protection); nunca accesibles públicamente con datos reales.
• Datos de cliente únicamente en producción; staging usa datos sintéticos.

A.III.9 Subencargados y proveedores

• DPA firmado con cada Subencargado del Anexo II.
• Lista pública actualizada en alethexis.com/subprocessors.
• Procedimiento de notificación al Cliente, con preaviso de 30 días, para el alta o la sustitución de cualquier Subencargado de este Anexo.

A.III.10 Medidas organizativas

• Acceso interno restringido: principio de mínimo privilegio; sólo el operador del Servicio y, en su caso, miembros futuros del equipo con NDA y compromiso documentado de confidencialidad.
• Formación AI Literacy y RGPD continua y documentada del personal con acceso a Datos Personales.
• Política interna de uso de IA (BYOAI): el desarrollo asistido por IA no incluye Datos Sustantivos del Cliente, solo código y prompts de desarrollo. Las consultas de verificación contra la base de datos de producción están sujetas a una regla operativa interna que prohíbe seleccionar columnas de datos personales de cuentas que no sean de Alethexis ni de demostración: solo agregados, identificadores, estados y marcas de tiempo (cláusula 7.3).
• Procedimiento de brecha documentado en SECURITY_RUNBOOK.md interno, con plazo de notificación al Cliente ≤ 24 horas (cláusula 8).
• Revisión anual de las medidas técnicas y organizativas con actualización del presente Anexo cuando proceda.

A.III.11 Lo que Alethexis declara expresamente que NO hace

• No vende Datos Sustantivos a terceros bajo ningún concepto.
• No utiliza Datos Sustantivos para entrenar modelos IA propios o de terceros.
• No realiza profiling sobre los Datos Sustantivos.
• No accede a las secciones funcionales del Cliente salvo soporte técnico con autorización explícita del Cliente y registro de la actuación en el audit log.
• No toma decisiones automatizadas con efectos jurídicos sobre el Cliente ni sobre sus Interesados (los planes y el acceso son contratados, no asignados algorítmicamente).
• No incorpora IA generativa dentro del Servicio en Ola 1 (decisión canónica de Alethexis).

Los plazos de conservación aplicables al Servicio, su fundamento y el rol en que Alethexis actúa en cada caso constan en la matriz de retención de Alethexis, cuyo contenido se resume así:

Las copias de seguridad de la base de datos se conservan 7 días más la del día en curso. Durante ese plazo, los datos de una persona dada de baja siguen presentes en las copias. Las copias no incluyen los objetos almacenados en el Servicio de almacenamiento de ficheros.