Política de privacidad de Edilia Copiloto

Última actualización: 23 de septiembre de 2026 · Versión: 2.4

Aplicable al servicio Edilia Copiloto, accesible en https://copiloto.edilia.tech.

Resumen ejecutivo (capa 1)

Esta tabla es una síntesis informativa. La regulación detallada se desarrolla en las secciones siguientes (capa 2).

1. Quiénes somos

Edilia Tech, S.L., sociedad mercantil constituida con arreglo a la legislación española, con CIF B-27552728 y domicilio social en Calle Mayor 13, 3.º Izquierda, 28013 Madrid (España). Inscrita en el Registro Mercantil de Madrid, Hoja M-883382, Inscripción 1.ª, IRUS 1000470326140. Es la entidad responsable del servicio Edilia Copiloto.

Para cualquier cuestión relacionada con esta Política de Privacidad o con el tratamiento de los datos personales del usuario, puede dirigirse al correo electrónico contacto@edilia.tech. Esa dirección atiende todas las cuestiones de protección de datos: Edilia Tech, S.L. no está obligada a designar un Delegado de Protección de Datos (artículo 37 RGPD y artículo 34 LOPDGDD).

2. Por qué hay tres regímenes distintos en esta política

Edilia Copiloto se utiliza por personas y entidades muy distintas, y la normativa de protección de datos exige que cada situación se trate con sus propias garantías. Por eso esta Política distingue tres figuras de usuario, y dedica una sección específica a cada una:

• Sección A - Usuarios individuales (profesionales, opositores, autónomos, asesores que se registran a título personal).
• Sección B - Visitantes (personas que navegan por la web sin registrarse, descargan recursos públicos o solicitan información).
• Sección C - Organizaciones cliente y sus usuarios autorizados (administraciones públicas, despachos profesionales y empresas que han contratado Edilia Copiloto en régimen organizacional, y los empleados o funcionarios que utilizan el servicio en su nombre).

Antes de las tres secciones específicas, presentamos los principios comunes aplicables a todas las situaciones.

3. Principios comunes aplicables a todo tratamiento

3.1. Procesamiento dentro del Espacio Económico Europeo

En operación normal del servicio, ningún dato personal del usuario abandona el Espacio Económico Europeo, con una única excepción: la verificación anti-bot del formulario de alta (Cloudflare, Inc.), amparada en cláusulas contractuales tipo y detallada en el listado de subencargados. La infraestructura sobre la que opera Edilia Copiloto está alojada en regiones europeas de proveedores cloud que han suscrito Data Processing Agreement con Edilia Tech, S.L. El servidor principal está ubicado en Alemania, sobre infraestructura IONOS.

El listado completo y actualizado de subencargados, con su ubicación física, finalidad y certificaciones, se publica de forma permanente en https://copiloto.edilia.tech/subencargados. Cualquier modificación sustancial del listado se comunicará al usuario con antelación razonable y, en caso de oposición motivada, podrá ejercitarse el derecho de resolución contractual sin penalización.

3.2. No utilización de los datos para entrenar modelos

Edilia se compromete a no utilizar el contenido introducido por los usuarios -ni las preguntas que formulan, ni las respuestas que el sistema genera, ni los documentos que se suban a la plataforma- para entrenar modelos de inteligencia artificial, propios ni de terceros. Esta obligación está reflejada contractualmente en los DPA suscritos con todos los subencargados.

3.3. Marco normativo aplicable

El tratamiento de datos personales en Edilia Copiloto se rige por:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
• Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).
• Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial o «AI Act»).
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), en lo aplicable cuando el cliente sea sector público.

3.4. Derechos del interesado

Cualquier persona cuyos datos personales sean tratados por Edilia tiene derecho a acceder a sus datos, rectificarlos, suprimirlos, limitar el tratamiento, oponerse y solicitar la portabilidad de los mismos, así como a no ser objeto de decisiones automatizadas con efectos jurídicos. Para ejercer estos derechos, basta con escribir a contacto@edilia.tech aportando documentación que permita verificar la identidad del solicitante. Edilia responderá a cualquier solicitud en el plazo máximo de un mes desde su recepción, conforme al artículo 12.3 RGPD. Asimismo, desde la sección Datos personales de tu cuenta puedes descargar tus datos en formato JSON (acceso y portabilidad) y dar de baja tu cuenta (supresión) de forma inmediata, sin necesidad de solicitarlo por correo.

El interesado puede, en todo caso, presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si considera que el tratamiento de sus datos no se ajusta a la normativa.

3.5. Seguridad

Edilia aplica medidas técnicas y organizativas apropiadas al riesgo del tratamiento, entre las que se incluyen:

• Cifrado en tránsito (TLS 1.2 y 1.3) de todas las comunicaciones.
• Cifrado en reposo (AES-256) de la base de datos, incluidos sus registros internos, y de los ficheros que suben o generan los usuarios (AES-256-GCM).
• Seudonimización automática, antes de cada envío al modelo de IA, de DNI, NIE, CIF, IBAN, teléfonos, correos, direcciones y nombres de persona; los valores reales se reinsertan solo en el servidor de Edilia. Detalle en Seudonimización.
• Hash bcrypt de contraseñas con factor de coste 12 o superior.
• Control de acceso basado en roles (RBAC) y principio de mínimo privilegio.
• Compartimentación lógica entre clientes mediante separación de tenants.
• Monitorización de seguridad y registro de actividad (logs de auditoría).
• Copias de seguridad cifradas (AES-256) varias veces al día, más copia completa del servidor fuera de él, con prueba de restauración mensual automatizada.
• Plan de respuesta ante incidentes documentado.

Las medidas se revisan periódicamente y están alineadas con el Real Decreto 311/2022 (Esquema Nacional de Seguridad). La categoría ENS aplicable a la prestación del servicio en régimen organizacional al sector público se declara expresamente en el contrato suscrito con cada entidad cliente.

3.6. Notificación de violaciones de seguridad

En caso de producirse una violación de la seguridad de los datos personales (en el sentido del artículo 4.12 RGPD), Edilia procederá conforme a las obligaciones de los artículos 33 y 34 RGPD:

• Notificación a la AEPD en un plazo máximo de 72 horas desde que tenga conocimiento de la brecha, salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas físicas.
• Comunicación al usuario afectado sin dilación indebida cuando la violación entrañe un riesgo alto para sus derechos y libertades, con descripción clara y sencilla de la naturaleza de la violación, consecuencias probables y medidas adoptadas.
• En régimen organizacional, Edilia notificará a la organización responsable en un plazo máximo de 48 horas desde que tenga conocimiento de la brecha, conforme al artículo 33.2 RGPD y al Contrato de Encargado del Tratamiento.
• Edilia mantiene un registro interno documentado de todas las violaciones de seguridad, conforme al artículo 33.5 RGPD.

3.7. Transparencia sobre el uso de inteligencia artificial (Reglamento UE 2024/1689)

Conforme al artículo 50 del Reglamento (UE) 2024/1689 (AI Act), Edilia informa expresamente:

• Edilia Copiloto es un sistema de IA generativa de propósito específico dirigido a la asistencia documental y consultiva en derecho administrativo español. No es un sistema de IA de alto riesgo. Algunos de sus usos (por ejemplo, borradores de resoluciones sobre subvenciones) pueden entrar en el ámbito del Anexo III, punto 5.a, del AI Act, pero opera la excepción del artículo 6.3, letra d): el sistema realiza una tarea preparatoria, no elabora perfiles de personas y no automatiza decisiones administrativas; produce borradores de trabajo sujetos a revisión, validación y firma del profesional usuario. El detalle figura en Transparencia de IA.
• Cada interacción del usuario con el chat o con la generación documental constituye una interacción con un sistema de inteligencia artificial. Esta condición se manifiesta visualmente en la propia interfaz del producto.
• Los outputs generados (texto y documentos) son contenido sintético en el sentido del artículo 50.2 AI Act. Los borradores llevan al pie una marca visible de que se han generado con asistencia de IA, y todo PDF y DOCX generado lleva en sus metadatos una declaración de origen legible por máquina (vocabulario IPTC «trainedAlgorithmicMedia») firmada digitalmente por Edilia Tech, S.L. Cualquier persona puede comprobarla en Verificar marca de IA.
• El usuario debe asumir que todo output generado debe ser revisado por un profesional cualificado antes de su utilización oficial. Esta obligación es coherente con la naturaleza del servicio y se desarrolla con mayor detalle en los Términos de Uso.

Sección A - Usuarios individuales

Esta sección se aplica si te has registrado en copiloto.edilia.tech a título personal, en cualquiera de los planes individuales (Free, Pro o Premium).

A.1. Quién es responsable de qué

Cuando te registras como usuario individual y utilizas Edilia Copiloto a título personal, conviene distinguir dos planos:

• Sobre tus datos como cliente de Edilia (nombre, correo electrónico, datos de facturación, telemetría de uso del servicio), Edilia Tech, S.L. actúa como responsable del tratamiento. Esto es lo que regula esta Sección A.
• Sobre el contenido que tú introduces en la plataforma (lo que escribes en el chat, los documentos que subes), el responsable eres tú. Edilia se limita a procesar técnicamente lo que tú decides introducir. Esta distinción está desarrollada en los Términos de Uso (Sección 7).

A.2. Datos que tratamos como responsable y por qué

A.3. Plazos de conservación

A.4. Subencargados a los que recurrimos

Para prestar el servicio, Edilia recurre a proveedores cloud y de infraestructura que actúan como encargados o subencargados conforme al artículo 28 RGPD, todos ellos con DPA suscrito y procesamiento dentro del Espacio Económico Europeo en operación normal.

El listado actualizado, con su ubicación física, finalidad y certificaciones aplicables, está disponible de forma permanente en https://copiloto.edilia.tech/subencargados. Cualquier modificación sustancial se comunicará al usuario a través del propio servicio o por correo electrónico con antelación razonable.

A.5. Tu contenido en la plataforma

El contenido que tú introduces en el chat o subes a la plataforma se procesa principalmente para responder a tus consultas y prestarte el servicio. No se utiliza para entrenar modelos. Las conversaciones se conservan en tu cuenta para que puedas consultarlas, y puedes eliminarlas en cualquier momento desde el panel de usuario; las eliminadas se borran definitivamente, con sus adjuntos, a los 30 días.

Acceso del equipo de Edilia a tu contenido. El equipo de Edilia no consulta el contenido de tus conversaciones ni de tus documentos como práctica habitual. Solo puede acceder a él, y únicamente en la medida imprescindible, para resolver una incidencia o consulta que tú hayas comunicado, para investigar un fallo técnico o de seguridad, o por obligación legal. Ese acceso queda restringido al personal autorizado, sujeto a deber de confidencialidad, y no se utiliza con fines comerciales. Para el seguimiento de la calidad del servicio se emplean, siempre que es posible, datos agregados o de uso (por ejemplo, número de mensajes o de tokens) y no el contenido de tus conversaciones.

Registro de cada acceso. Cuando, por alguno de esos motivos, el equipo abre o descarga un documento tuyo completo, antes debe indicar el motivo (por ejemplo, el número de la incidencia). El motivo, la persona, el documento y la hora quedan en un registro de auditoría. El acceso de administración exige doble factor de autenticación.

Revisión de calidad de la redacción, solo si la autorizas. Para mejorar cómo redacta Edilia Copiloto, te pedimos permiso para que el equipo revise los documentos que generas (no las conversaciones del chat: de ellas solo la respuesta concreta que marques como no útil y autorices revisar, como se explica en el párrafo siguiente), siempre en una versión seudonimizada en la que los nombres de persona, DNI, NIE, CIF, direcciones, correos, teléfonos y cuentas bancarias se sustituyen por marcadores. La base jurídica es tu consentimiento (art. 6.1.a RGPD), que puedes dar o retirar en cualquier momento desde Mi cuenta, Datos personales, sin que afecte al servicio. Sin tu autorización, tus documentos no se revisan. La detección automática no es perfecta y un dato poco habitual podría no quedar sustituido: el equipo está obligado a no usarlo. Cada revisión queda registrada. Esta revisión se aplica a las cuentas individuales; en las cuentas contratadas por una organización solo se hace si el contrato de encargo lo autoriza.

Valoración de respuestas. Puedes marcar cualquier respuesta del chat como útil o no útil. Nos llegan la valoración, el motivo y el comentario que escribas, pero no el texto de la conversación. Si al marcar una respuesta como no útil activas la casilla que lo autoriza, el equipo podrá leer esa respuesta y la pregunta que la originó, y solo esas, en versión seudonimizada, para corregir el fallo: se trata como una incidencia comunicada por ti y cada acceso queda registrado. Puedes retirar la valoración, y con ella la autorización, pulsando de nuevo el mismo botón. Además, contamos de forma automática, sin guardar ningún texto, señales de calidad como citas que no han podido verificarse o búsquedas sin resultados.

A.6. Búsqueda de modelos en documentos de otros municipios

Edilia Copiloto ofrece funciones opcionales, desactivadas por defecto, que el usuario puede activar de forma independiente: búsqueda de ordenanzas, de pliegos de contratación, de planes de igualdad o de documentos de personal de otros municipios para usarlos como modelo al redactar un documento nuevo. Estas funciones son la única excepción deliberada al aislamiento estricto por municipio que aplica por defecto a todo el corpus.

Base legal: las ordenanzas municipales son públicas por su naturaleza normativa, los pliegos de contratación son públicos por la publicidad del perfil del contratante, y la RPT y plantilla orgánica se publican en el BOP. El tratamiento se ampara en el interés legítimo de facilitar la redacción de documentos administrativos a partir de fuentes ya públicas. Para la categoría de personal, dado el mayor riesgo al poder contener datos de personas empleadas identificables, se aplica una salvaguarda técnica reforzada antes de cualquier uso.

Cuando el usuario activa una de estas opciones, el sistema puede recuperar documentos de otros municipios (subidos manualmente, obtenidos de sedes electrónicas municipales, o, en el caso de pliegos, de PLACSP y KontratazioA) como insumo para el modelo de IA. Estos documentos nunca se muestran al usuario tal cual ni se identifican por ayuntamiento de origen: se usan exclusivamente para generar plantillas y borradores.

Los documentos de la categoría personal pasan además por un proceso automático de enmascarado de DNI/NIE/CIF/IBAN, teléfonos, emails y nombres de personas antes de incorporarse al corpus, así como por revisión humana previa a su ingesta.

Sección B - Visitantes

Esta sección se aplica si has llegado a la web sin registrarte: visitas la landing, descargas un recurso público o solicitas información a través del formulario de contacto.

B.1. Datos que tratamos

B.2. Plazos

Los datos del formulario de contacto se conservan durante el tiempo necesario para gestionar tu consulta y, si se inicia un proceso comercial, durante la vigencia del mismo. Si no llegamos a establecer relación contractual, los datos se suprimen tras un año desde el último contacto, salvo obligación legal de conservación.

B.3. Tus derechos

Te aplican los mismos derechos descritos en la Sección 3.4. Para ejercerlos, escríbenos a contacto@edilia.tech.

Sección C - Organizaciones cliente y sus usuarios autorizados

Esta sección se aplica cuando una administración pública, despacho profesional o empresa contrata Edilia Copiloto en régimen organizacional (mediante contrato escrito y Contrato de Encargado del Tratamiento con Edilia Tech, S.L.), y autoriza a sus empleados, funcionarios o colaboradores a utilizar el servicio en su nombre.

C.1. Roles RGPD en régimen organizacional

En esta modalidad, los roles del Reglamento (UE) 2016/679 son los siguientes:

• La organización cliente es la responsable del tratamiento de los datos personales que sus usuarios autorizados introduzcan en Edilia Copiloto en el curso de su trabajo.
• Edilia Tech, S.L. es el encargado del tratamiento, en los términos del Contrato de Encargado del Tratamiento firmado entre las partes conforme al artículo 28 RGPD. El servicio en régimen organizacional solo se activa una vez firmado ese contrato.
• Los proveedores cloud y de infraestructura indicados en https://copiloto.edilia.tech/subencargados y en el Anexo I del Contrato actúan como subencargados.

C.2. Información dirigida a los empleados o funcionarios autorizados

Si eres empleado, funcionario o colaborador de una organización que ha contratado Edilia Copiloto, debes saber que:

• Tu organización ha designado a Edilia como encargado del tratamiento mediante el Contrato firmado al efecto.
• Tu organización es la que decide qué datos introduces en la plataforma, con qué finalidad y con qué base jurídica. Cualquier consulta sobre estas decisiones debe dirigirse a tu organización y a su Delegado de Protección de Datos.
• Edilia trata los datos exclusivamente conforme a las instrucciones documentadas de tu organización.
• Los datos identificativos de tu cuenta de usuario autorizado (nombre, correo electrónico institucional, registro de actividad técnica) son tratados por Edilia para administrar tu acceso, en los términos del Contrato.
• Tienes los derechos descritos en la Sección 3.4, que puedes ejercer dirigiéndote a tu organización o, subsidiariamente, a contacto@edilia.tech.

C.3. Información dirigida a los ciudadanos, contribuyentes y terceros cuyos datos pueden aparecer en los expedientes tratados

Si eres una persona cuyos datos personales aparecen en un expediente, escrito o consulta que un técnico municipal, un funcionario o un profesional ha procesado a través de Edilia Copiloto en nombre de su organización, debes saber que:

• La organización (ayuntamiento, despacho, empresa) es la responsable del tratamiento de tus datos. La información sobre la finalidad, la base jurídica, los plazos y los derechos te corresponde recibirla de esa organización, conforme a los artículos 13 y 14 RGPD.
• Edilia, como encargado del tratamiento, asiste a la organización para responder a tus solicitudes en plazo y con las garantías que exige la normativa.
• Los datos no se utilizan para entrenar modelos de inteligencia artificial.
• Los datos se procesan en territorio europeo.
• Si tienes dificultades para identificar a la organización responsable, puedes escribir a contacto@edilia.tech y Edilia te orientará para localizar al responsable correspondiente.

C.4. Detección de uso individual indebido por empleados de organizaciones

Edilia puede detectar, mediante criterios objetivos como el dominio del correo electrónico de registro o las características del uso, que una persona se ha registrado en régimen individual cuando en realidad está utilizando la plataforma para tareas por cuenta de una organización. En esos casos, Edilia mostrará al usuario un aviso destacado y podrá limitar funcionalidades hasta la regularización contractual. Esta facultad se ejerce en interés de todos los actores y no exime al usuario individual de su responsabilidad por el uso no autorizado.

4. Cambios en esta Política

Edilia se reserva el derecho a modificar esta Política cuando concurran motivos técnicos, regulatorios o de mejora del servicio. Las modificaciones se comunicarán a los usuarios con la antelación razonable y, en su caso, requerirán nueva aceptación expresa. El historial de versiones de esta Política se mantiene archivado y está disponible bajo solicitud a contacto@edilia.tech.

5. Contacto

Edilia Tech, S.L.
Calle Mayor 13, 3.º Izquierda, 28013 Madrid, España
Correo electrónico: contacto@edilia.tech
Protección de datos: contacto@edilia.tech
Web: https://copiloto.edilia.tech

Edilia Tech, S.L. - CIF B-27552728 - Política de Privacidad versión 2.4 - Septiembre 2026