← Volver al Centro de Confianza Descargar PDF
Registro de actividades del tratamiento
Documento de cumplimiento de Edilia Tech, S.L. Las versiones contractuales se personalizan con los datos de cada entidad cliente.
REGISTRO DE ACTIVIDADES DE TRATAMIENTO
Artículo 30 del Reglamento (UE) 2016/679 (RGPD) - LO 3/2018 (LOPDGDD)
DATOS DE IDENTIFICACIÓN
| Responsable del tratamiento (como encargado para el ayuntamiento) | Edilia Tech, S.L., CIF B-27552728, Calle Mayor 13, 3.º Izquierda, 28013 Madrid |
| Representante legal | Roberto López Miquel, Administrador |
| Contacto protección de datos | contacto@edilia.tech |
| Responsable de la información (Ayuntamiento) | La entidad cliente, CIF , representado/a por , |
| Fecha de elaboración | 28/07/2026 |
NOTA LEGAL: El presente RAT cumple las obligaciones del art. 30 RGPD. Se mantiene actualizado y a disposición de la Agencia Española de Protección de Datos (AEPD) cuando sea requerido. Conforme al art. 30.5 RGPD, la obligación de mantener el RAT no exime del cumplimiento de cualquier otro requisito legal aplicable.
PARTE A - TRATAMIENTOS COMO RESPONSABLE
Edilia Tech, S.L. actúa como responsable del tratamiento (art. 30.1 RGPD) respecto de los siguientes tratamientos relativos a su propia actividad empresarial:
AT-001 - Gestión de cuentas de usuario
| 1. Responsable y contacto | Edilia Tech, S.L. - contacto@edilia.tech |
| 2. Finalidades | Alta, mantenimiento y baja de cuentas de acceso al servicio Edilia. Gestión de credenciales, roles y permisos. Envío de comunicaciones transaccionales (confirmar registro, restablecer contraseña). |
| 3. Categorías de interesados | Empleados públicos y cargos electos del municipio usuario del servicio. Administradores designados por el ayuntamiento. |
| 4. Categorías de datos | Nombre y apellidos, correo electrónico corporativo, cargo/rol, hash de contraseña (bcrypt), dirección IP de acceso (pseudonimizada SHA-256), marcas temporales de acceso. |
| 5. Destinatarios | IONOS SE (alojamiento, Alemania, UE). No se comunican a terceros salvo obligación legal. |
| 6. Transferencias internacionales | NINGUNA. Todos los datos permanecen en la Unión Europea (IONOS Alemania). |
| 7. Plazo de supresión | Durante la vigencia del contrato y 5 años adicionales para atender responsabilidades legales (art. 30 C. Comercio, normativa fiscal). Logs de acceso: 90 días. |
| 8. Medidas de seguridad art. 32 | Bcrypt cost-12 para contraseñas. TLS 1.2+ en tránsito. Aislamiento por municipio_id. Audit log pseudonimizado. Acceso restringido por rol. |
| Base jurídica | Art. 6.1.b RGPD - Ejecución del contrato de prestación del servicio. |
AT-005 - CRM y prospección comercial
| 1. Responsable y contacto | Edilia Tech, S.L. - contacto@edilia.tech |
| 2. Finalidades | Gestión de contactos de entidades locales (secretarios, interventores, alcaldes). Seguimiento de oportunidades comerciales. Envío de comunicaciones comerciales sobre el servicio edilia.tech. Gestión de campañas de prospección. |
| 3. Categorías de interesados | Personal funcionario y cargos electos de ayuntamientos españoles (potenciales clientes). Contactos de entidades locales de carácter público. |
| 4. Categorías de datos | Nombre, cargo, teléfono, correo electrónico institucional. Nombre del municipio, provincia, población. Historial de comunicaciones comerciales. |
| 5. Destinatarios | IONOS SE (alojamiento). Google Cloud Vertex AI europe-west1 (enriquecimiento IA de fichas comerciales), con Amazon Bedrock eu-central-1 (Fráncfort, Alemania, UE) como respaldo automático. No se comunican a terceros. |
| 6. Transferencias internacionales | NINGUNA. Google Vertex AI procesa en europe-west1 (Bélgica, UE). Amazon Bedrock procesa en eu-central-1 (Fráncfort, Alemania, UE). ZDR activo en ambos. |
| 7. Plazo de supresión | Mientras exista interés legítimo para la prospección comercial, y a solicitud del interesado. Máximo 3 años desde el último contacto sin respuesta. |
| 8. Medidas de seguridad art. 32 | Acceso restringido al personal del prestador. TLS en tránsito. Base de datos cifrada. Solo datos públicos disponibles en fuentes oficiales. |
| Base jurídica | Art. 6.1.f RGPD - Interés legítimo del prestador en la prospección comercial de su actividad principal, que no prevalece sobre derechos fundamentales (datos públicos, cargo institucional). Ponderación documentada en EIPD. |
AT-006 - Análisis de uso del servicio
| 1. Responsable y contacto | Edilia Tech, S.L. - contacto@edilia.tech |
| 2. Finalidades | Medición del uso del servicio para optimización de funcionalidades. Control de límites de uso por plan contratado (n.º documentos, usuarios). Detección de abusos y fraudes. |
| 3. Categorías de interesados | Usuarios registrados del servicio (empleados públicos del ayuntamiento cliente). |
| 4. Categorías de datos | IP pseudonimizada (SHA-256), n.º de peticiones por usuario/municipio, tipo de acción realizada (enum de 25 valores), marcas temporales. No se almacenan contenidos de documentos en analytics. |
| 5. Destinatarios | IONOS SE (alojamiento). No se comunican a terceros de analytics. |
| 6. Transferencias internacionales | NINGUNA. |
| 7. Plazo de supresión | 90 días para datos desagregados por usuario. Estadísticas agregadas (sin datos personales): indefinidas. |
| 8. Medidas de seguridad art. 32 | Pseudonimización SHA-256 de IPs. Acceso restringido. Datos de analytítica separados de contenido de expedientes. |
| Base jurídica | Art. 6.1.f RGPD - Interés legítimo del prestador en la mejora del servicio y control del abuso. |
AT-007 - Gestión de incidencias de seguridad
| 1. Responsable y contacto | Edilia Tech, S.L. - contacto@edilia.tech |
| 2. Finalidades | Detección, registro, investigación y resolución de incidencias de seguridad. Cumplimiento de la obligación de notificación de brechas de datos (arts. 33-34 RGPD). Mejora continua de la seguridad del sistema. |
| 3. Categorías de interesados | Usuarios del sistema potencialmente afectados por la incidencia. Personal técnico del prestador involucrado en la gestión. |
| 4. Categorías de datos | Logs técnicos del sistema (IPs pseudonimizadas, timestamps, tipos de evento), descripción de la incidencia, alcance (municipio afectado, n.º usuarios), medidas adoptadas. |
| 5. Destinatarios | Ayuntamiento(s) afectado(s). AEPD en caso de brecha notificable (art. 33 RGPD). IONOS SE (alojamiento de logs). No hay otros destinatarios. |
| 6. Transferencias internacionales | NINGUNA. |
| 7. Plazo de supresión | 5 años desde la resolución de la incidencia (plazo de prescripción de responsabilidades). |
| 8. Medidas de seguridad art. 32 | Acceso restringido a Responsable de Seguridad. Pseudonimización de datos en los registros. Cifrado en almacenamiento. Trazabilidad completa de acciones. |
| Base jurídica | Art. 6.1.c RGPD - Obligación legal (arts. 33-34 RGPD, art. 12 RD 311/2022 ENS). |
PARTE B - TRATAMIENTOS COMO ENCARGADO
Edilia Tech, S.L. actúa como encargado del tratamiento (art. 28 RGPD) por cuenta de La entidad cliente, que es el responsable del tratamiento, respecto de los siguientes tratamientos:
AT-002 - Tramitación de expedientes administrativos
| 1. Responsable y encargado | Responsable: La entidad cliente (, ) Encargado: Edilia Tech, S.L. (contacto@edilia.tech) |
| 2. Finalidades | Almacenamiento y gestión de expedientes administrativos municipales (contratación, subvenciones, recursos, licencias, etc.). Acceso y consulta por usuarios autorizados del municipio. Archivo documental electrónico. |
| 3. Categorías de interesados | Ciudadanos, empresas y terceros cuyos datos figuren en los expedientes. Empleados públicos y cargos electos del municipio como instructores o firmantes. |
| 4. Categorías de datos | Datos identificativos (nombre, DNI/CIF, dirección, teléfono, email). Datos económicos cuando procedan (importes, cuentas bancarias). Datos de expediente (tipo, estado, documentos generados, firmas). No se tratan datos de categoría especial (art. 9 RGPD) en la modalidad estándar. |
| 5. Destinatarios | IONOS SE (alojamiento, Alemania, UE). No se comunican a terceros salvo instrucción expresa del responsable o mandato legal. |
| 6. Transferencias internacionales | NINGUNA. Todos los datos almacenados en servidores IONOS (Alemania, UE). |
| 7. Plazo de supresión | A decisión del responsable (ayuntamiento), conforme a los plazos de conservación propios de cada tipo de expediente según la normativa de archivos públicos. Al finalizar el contrato, exportación o destrucción segura certificada. |
| 8. Medidas de seguridad art. 32 | Aislamiento multi-tenant (municipio_id en todas las consultas). TLS 1.2+. Bcrypt. Audit log. Backup diario. Acceso por roles. Ninguna transferencia fuera del EEE. |
| Base jurídica (del responsable) | Art. 6.1.e RGPD - Misión de interés público encomendada al municipio. Art. 103 CE y LBRL (competencias municipales). |
AT-003 - Generación de documentos con inteligencia artificial
| 1. Responsable y encargado | Responsable: La entidad cliente Encargado: Edilia Tech, S.L. - contacto@edilia.tech |
| 2. Finalidades | Generación automática de borradores de documentos administrativos (decretos, resoluciones, informes, pliegos, notificaciones) mediante modelos de IA. Los documentos son borradores sujetos a revisión y aprobación humana antes de su eficacia jurídica. |
| 3. Categorías de interesados | Ciudadanos, empresas y terceros cuyos datos figuren en los expedientes usados como contexto para la generación. Empleados públicos como instructores o firmantes. |
| 4. Categorías de datos | Datos del expediente procesados directamente en Google Cloud Vertex AI (europe-west1, UE) bajo DPA firmado, con Amazon Bedrock eu-central-1 (Fráncfort, Alemania, UE) como respaldo automático. Zero Data Retention (ZDR) activo en ambos proveedores. No se realiza anonimización previa. |
| 5. Destinatarios | Google Cloud Vertex AI (europe-west1, Bélgica, UE) - procesamiento directo con DPA y ZDR activo. Amazon Web Services (Bedrock) eu-central-1 (Fráncfort, Alemania, UE) - respaldo automático, DPA RGPD incorporado a los Términos del Servicio de AWS desde 25/05/2018 (Cláusulas Contractuales Tipo UE). IONOS SE (almacenamiento resultado). Mistral AI Francia (solo embeddings legislativos, sin datos de expedientes). |
| 6. Transferencias internacionales | NINGUNA. Google europe-west1, Amazon Bedrock eu-central-1 y Mistral Francia son territorios UE. DPA firmados. ZDR activo en todos. |
| 7. Plazo de supresión | Sesiones de chat IA: 24 horas. Documentos generados: a decisión del responsable (ayuntamiento). Historial de generación: durante la vigencia del contrato. |
| 8. Medidas de seguridad art. 32 | Procesamiento directo en Vertex AI europe-west1 (UE) con DPA y ZDR, con Amazon Bedrock eu-central-1 (Fráncfort, Alemania, UE) como respaldo automático. TLS 1.3. Aislamiento multi-tenant. IPs pseudonimizadas con SHA-256 en logs. No aplica art. 22 RGPD (los documentos son borradores, no decisiones automatizadas). |
| Base jurídica (del responsable) | Art. 6.1.e RGPD - Misión de interés público. El municipio usa la herramienta en el ejercicio de sus competencias legales (LBRL, LPAC). |
AT-004 - Registro de auditoría (ed_audit_logs)
| 1. Responsable y encargado | Responsable: La entidad cliente Encargado: Edilia Tech, S.L. - contacto@edilia.tech |
| 2. Finalidades | Registro inmutable de accesos, modificaciones y eventos relevantes en el sistema. Habilitación de la trazabilidad exigida por el ENS (op.exp.7). Soporte en la investigación de incidencias de seguridad. Cumplimiento de obligaciones de responsabilidad proactiva (accountability, art. 5.2 RGPD). |
| 3. Categorías de interesados | Usuarios del sistema (empleados públicos del municipio). |
| 4. Categorías de datos | ID de usuario (referencia interna), IP pseudonimizada (SHA-256), tipo de acción (enum de 25 valores), referencia al recurso afectado (ID expediente/documento), marca temporal. Nunca nombre completo ni DNI en texto plano en los logs. |
| 5. Destinatarios | IONOS SE (almacenamiento). El ayuntamiento tiene acceso a los logs de su propia actividad. No se comunican a terceros. |
| 6. Transferencias internacionales | NINGUNA. |
| 7. Plazo de supresión | 90 días para los registros de auditoría operativos. Incidencias de seguridad: 5 años. |
| 8. Medidas de seguridad art. 32 | Tabla inmutable (sin operación DELETE habilitada para usuarios). Pseudonimización SHA-256 de IPs. Cifrado en reposo. Acceso restringido a administradores. |
| Base jurídica (del responsable) | Art. 6.1.f RGPD - Interés legítimo en la seguridad y trazabilidad del sistema. Obligación legal ENS (op.exp.7 RD 311/2022). Art. 5.2 RGPD (accountability). |
AT-008 - Pipeline RAG auto-alimentado (mejora del sistema RAG)
| 1. Responsable y encargado | Responsable: La entidad cliente Encargado: Edilia Tech, S.L. - contacto@edilia.tech |
| 2. Finalidades | Los documentos finales archivados por el municipio, una vez completamente anonimizados (sin ninguna referencia identificable), son fragmentados en chunks y vectorizados para mejorar la calidad de la base de referencia RAG del sistema. Esto permite que los documentos generados por todos los municipios sean de mayor calidad al disponer de más ejemplos reales anonimizados. |
| 3. Categorías de interesados | NINGUNO. El Considerando 26 RGPD establece que los datos verdaderamente anonimizados no constituyen datos personales. La anonimización es irreversible y verificada antes de la ingestión. |
| 4. Categorías de datos | Texto jurídico-administrativo anonimizado. Estructura del documento (tipo, sección). Embeddings vectoriales (1536-dim). Sin datos personales identificables. |
| 5. Destinatarios | Google Cloud Vertex AI europe-west1 (generación de embeddings, solo texto anonimizado), con Amazon Bedrock eu-central-1 (Fráncfort, Alemania, UE) como respaldo automático. IONOS SE (almacenamiento tabla ed_web_chunks en PostgreSQL). |
| 6. Transferencias internacionales | NINGUNA. Google europe-west1 y Amazon Bedrock eu-central-1 son territorios UE. |
| 7. Plazo de supresión | Indefinido, al tratarse de datos anonimizados que no constituyen datos personales (Considerando 26 RGPD). A solicitud del responsable, se puede eliminar la contribución identificada por origen (municipio_id del momento de ingestión). |
| 8. Medidas de seguridad art. 32 | Pipeline de anonimización verificada (AnonymizerService + revisión automática). Solo se procesan documentos en estado «archivado» con anonimización irreversible antes de incorporar al corpus RAG. Trazabilidad completa. |
| Base jurídica | Art. 6.1.f RGPD + Considerando 26 RGPD - Interés legítimo en la mejora del servicio. Al ser datos verdaderamente anonimizados, no se aplica el RGPD al resultado del pipeline (Considerando 26). La base jurídica del proceso previo de anonimización es el art. 6.1.f RGPD. |
El presente Registro de Actividades de Tratamiento ha sido elaborado conforme al artículo 30 del Reglamento (UE) 2016/679 y se mantendrá actualizado ante cualquier cambio significativo en los tratamientos. Se conserva en formato electrónico y se pondrá a disposición de la AEPD cuando sea requerido, conforme al art. 30.4 RGPD.
|
EL ENCARGADO DEL TRATAMIENTO Edilia Tech, S.L. CIF: B-27552728 Fdo.: Roberto López Miquel Administrador Fecha: 28/07/2026 |
EL RESPONSABLE DEL TRATAMIENTO La entidad cliente CIF: Fdo.: Fecha: 28/07/2026 |