Puedes escribir al chat en cualquier idioma. Las respuestas y los documentos saldrán en el idioma que elijas aquí.
← Volver al Centro de Confianza Descargar PDF
Documento de cumplimiento de Edilia Tech, S.L. Las versiones contractuales se personalizan con los datos de cada entidad cliente.
Artículo 28 del Reglamento (UE) 2016/679 (RGPD)
De una parte, La entidad cliente, con CIF , y domicilio en , (), representado/a por en calidad de , en adelante «EL RESPONSABLE DEL TRATAMIENTO».
De otra parte, Edilia Tech, S.L., con CIF B-27552728, y domicilio en Calle Mayor 13, 3.º Izquierda, 28013 Madrid (Madrid), representada por Roberto López Miquel en calidad de Administrador, en adelante «EL ENCARGADO DEL TRATAMIENTO».
Ambas partes, reconociéndose la capacidad legal necesaria, suscriben el presente contrato de encargado del tratamiento al amparo del artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, RGPD), y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
El presente contrato tiene por objeto regular las condiciones en las que EL ENCARGADO tratará datos personales por cuenta de EL RESPONSABLE, en el marco del acceso a la base de datos jurídico-administrativa Edilia Copiloto con asistencia inteligente para la gestión municipal.
La finalidad del tratamiento es exclusivamente la prestación del servicio contratado, que comprende:
Categorías de datos personales tratados:
Categorías de interesados:
El presente contrato de encargado del tratamiento tendrá la misma duración que el Contrato de Acceso a la base de datos Edilia al que complementa. Finalizada la relación contractual, EL ENCARGADO devolverá o destruirá los datos conforme a lo establecido en la cláusula novena.
EL ENCARGADO se compromete a:
EL ENCARGADO aplicará las siguientes medidas técnicas y organizativas:
| Cifrado en tránsito | TLS 1.2 y 1.3 para todas las comunicaciones entre cliente y servidor. |
| Cifrado en reposo | Copias de seguridad cifradas con GPG AES-256. La base de datos está cifrada en reposo con AES-256 (cifrado de InnoDB, con los registros internos de MySQL también cifrados) desde el 25 de septiembre de 2026. |
| Procesamiento IA en Europa | Toda la generación de documentos con IA se procesa a través de Amazon Bedrock en la región eu-central-1 (Fráncfort, Alemania, UE) como proveedor principal, con Google Cloud Vertex AI en la región europe-west1 (Bélgica, UE) como respaldo automático en caso de saturación o indisponibilidad de Amazon Bedrock. Los datos nunca abandonan el Espacio Económico Europeo. |
| Control de acceso | Autenticación con contraseña (bcrypt), límite de intentos de acceso (10 por minuto), doble factor obligatorio para superadministradores y opcional para los usuarios, separación de roles. |
| Aislamiento de datos | Separación lógica completa por municipio (multi-tenant con aislamiento por municipio_id), con la siguiente excepción expresa, que opera únicamente a iniciativa del usuario: si el usuario activa voluntariamente la función de búsqueda de ordenanzas, pliegos de contratación o documentos de personal de otros municipios para generar modelos o plantillas (función opt-in, desactivada por defecto), el sistema podrá recuperar como insumo del modelo de IA documentos públicos aportados por otros municipios, sin mostrarlos al usuario tal cual ni identificarlos por su ayuntamiento de origen, y con las salvaguardas adicionales de anonimización automática y revisión humana previa que se detallan en la Política de Privacidad, sección A.6. |
| Copias de seguridad | Copias automáticas cifradas (GPG AES-256) varias veces al día (00:45, 15:00 y 22:00), con retención de 3 días en el servidor, más imagen completa del servidor en el servicio de copias de IONOS, fuera de él; prueba de restauración mensual automatizada. Posibilidad de copia manual por el cliente. |
| Auditoría | Registro de auditoría de accesos y operaciones relevantes; desde el 25 de septiembre de 2026 se registra cada acceso de un administrador de EL ENCARGADO a un documento de usuario. |
EL RESPONSABLE autoriza expresamente a EL ENCARGADO la utilización de los siguientes subencargados:
| Subencargado | Finalidad | Ubicación | Garantías |
| Google Cloud (Vertex AI) | Respaldo automático (fallback) para generación de documentos y clasificación con modelos Claude (Anthropic) vía Vertex AI. Se activa únicamente en caso de saturación o indisponibilidad de Amazon Bedrock. Sin uso de los datos para entrenamiento; caché de datos del proyecto desactivada desde el 25/09/2026. | europe-west1 (Bélgica, UE) | DPA Google Cloud (26/03/2026). RGPD. ISO 27001/27017/27018. SOC 1/2/3. Sin uso para entrenamiento; caché de datos desactivada. Datos procesados exclusivamente en la UE. |
| Mistral AI | Embeddings para búsqueda semántica RAG (codestral-embed). No se utiliza para generación de documentos. Vectoriza las consultas del chat y los documentos aportados por el usuario (seudonimizados) y el corpus jurídico. | Francia (UE) | RGPD. DPA art. 28. Procesamiento en Francia (UE). Conserva las peticiones hasta 30 días para vigilar abusos; sin uso para entrenamiento. Recibe las consultas y el texto de los documentos aportados por el usuario, seudonimizados. |
| Amazon Web Services (Bedrock) | Proveedor principal para generación de documentos y clasificación con modelos Claude (Anthropic) vía Amazon Bedrock. | eu-central-1 (Fráncfort, Alemania, UE) | Amazon Web Services EMEA SARL, en virtud del Acuerdo de Procesamiento de Datos RGPD incorporado a los Términos del Servicio de AWS desde el 25 de mayo de 2018, que incluye las Cláusulas Contractuales Tipo de la UE aprobadas por la Comisión Europea. ISO 27001/27017/27018. SOC 1/2/3. Sin retención de datos. Datos procesados exclusivamente en la UE. |
| IONOS SE | Alojamiento de infraestructura (servidores y BBDD) | Alemania (UE) | ISO 27001, RGPD, centros de datos en la UE |
Para la incorporación de nuevos subencargados, EL ENCARGADO informará previamente a EL RESPONSABLE con un plazo mínimo de 30 días, pudiendo éste oponerse de forma motivada en un plazo de 15 días.
EL ENCARGADO notificará a EL RESPONSABLE, sin dilación indebida y en un plazo máximo de 48 horas, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, proporcionando como mínimo la siguiente información:
Este plazo permite a EL RESPONSABLE cumplir con la obligación de notificación a la AEPD en las 72 horas establecidas en el artículo 33 del RGPD.
EL ENCARGADO designará un Delegado de Protección de Datos (DPD) conforme al artículo 37 del RGPD cuando sea legalmente exigible. Las consultas relativas a protección de datos podrán dirigirse a: contacto@edilia.tech.
A la finalización de la relación contractual, EL ENCARGADO, a elección de EL RESPONSABLE:
EL ENCARGADO podrá conservar los datos bloqueados durante el plazo legalmente exigido para atender posibles responsabilidades derivadas del tratamiento.
EL RESPONSABLE podrá auditar el cumplimiento del presente contrato por parte de EL ENCARGADO, con un preaviso de quince (15) días laborables, pudiendo realizarse la auditoría de forma remota o presencial. EL ENCARGADO facilitará toda la documentación e información necesaria.
Y en prueba de conformidad, ambas partes firman el presente contrato en la fecha indicada en las firmas electrónicas.