← Volver al Centro de Confianza Descargar PDF

Evaluación de impacto (EIPD)

Documento de cumplimiento de Edilia Tech, S.L. Las versiones contractuales se personalizan con los datos de cada entidad cliente.

EVALUACIÓN DE IMPACTO EN PROTECCIÓN DE DATOS (EIPD)

Artículo 35 del Reglamento (UE) 2016/679 (RGPD)

Tratamiento: Generación de documentos administrativos con inteligencia artificial - Edilia Copiloto

DATOS DE LA EVALUACIÓN

1. DESCRIPCIÓN SISTEMÁTICA DEL TRATAMIENTO (art. 35.7.a RGPD)

1.1. Naturaleza y contexto del tratamiento

Edilia Copiloto es una plataforma SaaS que asiste a La entidad cliente en la generación de documentos administrativos mediante inteligencia artificial. El proceso consiste en:

1. El usuario (funcionario o cargo electo del municipio) inicia un expediente y completa un formulario con los datos del procedimiento.
2. Los datos del expediente, junto con el contexto jurídico (tipo, legislación aplicable), se envían directamente a Amazon Bedrock eu-central-1 (Fráncfort, Alemania, UE) para la generación del borrador, con Google Cloud Vertex AI europe-west1 (UE) como respaldo automático en caso de saturación o indisponibilidad. Los datos personales (DNI, NIE, CIF, IBAN, teléfono, correo, dirección postal y nombres de persona) se seudonimizan en el servidor de Edilia antes de cada envío y se reinsertan en él. El procesamiento se realiza íntegramente en la UE bajo DPA con AWS y con Google; ninguno usa los datos para entrenamiento, Amazon Bedrock no almacena las peticiones y la caché de datos de Vertex AI está desactivada.
3. El borrador generado se devuelve al servidor de Edilia (IONOS, Alemania, UE) para su almacenamiento.
4. El borrador resultante se presenta al usuario para su revisión, modificación y aprobación. Ningún documento tiene efectos jurídicos hasta que el titular del órgano competente lo aprueba y firma.

1.2. Datos personales tratados

Nota importante: El sistema no trata habitualmente datos de categoría especial (art. 9 RGPD: salud, ideología, orientación sexual, etc.) en la modalidad estándar. Si un expediente concreto requiriese tratar tales datos, sería necesaria una evaluación específica adicional.

1.3. Tecnología y flujo de datos

2. EVALUACIÓN DE NECESIDAD Y PROPORCIONALIDAD (art. 35.7.b RGPD)

2.1. Finalidad y base jurídica

El tratamiento tiene como finalidad la prestación del servicio de generación de documentos administrativos para La entidad cliente en el ejercicio de sus competencias municipales.

2.2. Garantías de los derechos de los interesados

Los interesados cuyos datos figuren en los expedientes tienen garantizados todos sus derechos conforme al RGPD frente al Responsable del Tratamiento (La entidad cliente):

• Derecho de acceso (art. 15): Solicitable al Ayuntamiento como responsable.
• Derecho de rectificación (art. 16): El funcionario puede modificar los datos del expediente antes de la generación del documento.
• Derecho de supresión (art. 17): Implementado técnicamente; la supresión en el sistema se realiza bajo instrucción del responsable.
• Derecho a la limitación (art. 18): El municipio puede solicitar la limitación del tratamiento al encargado.
• Derecho a la portabilidad (art. 20): Exportación en formatos estándar (ZIP, CSV, JSON, PDF) disponible.
• Derecho de oposición (art. 21): Gestionado por el Responsable; puede incluir el bloqueo de datos en el sistema.

3. EVALUACIÓN DE RIESGOS (art. 35.7.c RGPD)

4. MEDIDAS PARA AFRONTAR LOS RIESGOS (art. 35.7.d RGPD)

5. CONSULTA PREVIA A LA AUTORIDAD DE CONTROL (art. 36 RGPD)

Se concluye que no es necesario realizar consulta previa a la AEPD conforme al art. 36.1 RGPD, dado que las medidas de mitigación implementadas reducen los riesgos identificados a un nivel residual BAJO que no es «alto riesgo» en el sentido del art. 35.1 RGPD. En particular:

• La seudonimización automática previa al envío reduce los datos personales que recibe el modelo de IA (no los elimina por completo: apellidos poco frecuentes aislados, datos narrados sin formato e imágenes pueden pasar), y el proveedor no los usa para entrenar.
• Ningún documento tiene efectos jurídicos sin revisión y firma humana expresa, eliminando el riesgo del art. 22 RGPD.
• El tratamiento se realiza íntegramente en el Espacio Económico Europeo, sin transferencias internacionales.
• Los datos no son de categoría especial en la modalidad estándar del servicio.

Si en el futuro se incorporasen tratamientos de datos de categoría especial o funcionalidades de decisión automatizada vinculante, se revisará esta conclusión y se realizará consulta previa si el riesgo residual resultante fuera alto.

6. CONCLUSIÓN DE LA EVALUACIÓN

La presente Evaluación de Impacto concluye que el tratamiento de datos personales en Edilia Copiloto, tal como se ha descrito y con las medidas de mitigación implementadas:

• Es necesario y proporcionado para los fines de interés público perseguidos por La entidad cliente.
• Los riesgos identificados han sido mitigados a un nivel residual BAJO mediante medidas técnicas y organizativas adecuadas.
• No requiere consulta previa a la AEPD conforme al art. 36 RGPD.
• El tratamiento puede llevarse a cabo de forma lícita y segura.

7. REVISIÓN

La presente EIPD se revisará anualmente o cuando concurra alguno de los siguientes supuestos (art. 35.11 RGPD):

• Cambio significativo en el sistema de IA utilizado (nuevo modelo, nuevo proveedor).
• Incorporación de nuevos tipos de datos o nuevas categorías de interesados.
• Materialización de alguno de los riesgos identificados (brecha de seguridad).
• Cambio normativo relevante (RGPD, ENS, normativa sectorial).
• Incorporación de funcionalidades de decisión automatizada vinculante.

Y en prueba de conformidad con la presente Evaluación de Impacto en Protección de Datos, ambas partes la suscriben en la fecha indicada en las firmas electrónicas.