Protección de datos

Nota: Esta traducción al español se ofrece a título informativo. En caso de discrepancia, prevalecerá únicamente la versión original en francés, regida por el derecho francés.

Parte A · Los datos de nuestros clientes en emi

1. Roles y marco jurídico

emi es un servicio editado por APRESTA (Société à responsabilité limitée (SARL), SIREN 537 518 540, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, Francia), bajo la marca aprestIA. Los tratamientos se rigen por el Reglamento General de Protección de Datos (RGPD, UE 2016/679), la Ley francesa de Informática y Libertades (Loi Informatique et Libertés) y, para las personas y tratamientos afectados, la Ley Federal Suiza de Protección de Datos (nLPD).

• Tu empresa es la responsable del tratamiento de los datos que ella y sus usuarios confían a emi (conversaciones, documentos, datos procedentes de conectores, cuentas de usuario), determinando los fines y medios de su tratamiento.
• APRESTA actúa como encargado del tratamiento en el sentido del artículo 28 del RGPD y del artículo 9 de la nLPD: trata dichos datos por cuenta tuya, siguiendo únicamente tus instrucciones documentadas y con la exclusiva finalidad de prestar el servicio.
• APRESTA actúa como responsable del tratamiento respecto a la gestión administrativa y comercial de sus propios clientes (contrato, facturación y soporte) y respecto a los datos de los visitantes del sitio web (véase la Parte B).

Estos compromisos se formalizan mediante un Acuerdo de Encargo de Tratamiento de Datos (DPA) anexo al contrato de suscripción. En caso de divergencia, prevalecerá lo estipulado en el contrato firmado.

2. Datos tratados en emi

• Contenidos: preguntas formuladas al asistente y respuestas generadas, documentos depositados en la Mediateca y contenidos consultados a través de los conectores activados por tus usuarios.
• Datos de usuarios: nombre, apellidos, dirección de correo electrónico profesional, departamento, rol y permisos de acceso, y aceptación de la carta de IA.
• Datos técnicos y de uso: registros de conexión y seguridad, consumo de tokens y cuotas, y ajustes de configuración del espacio.

Las personas interesadas son tus colaboradores y, en función de los documentos que subas, tus clientes, proveedores o colaboradores externos. Tú eliges libremente qué depositas en emi y qué puede leer la IA (interruptor «legible por la IA» y permisos por carpeta).

Datos sensibles. emi está diseñado para el trabajo administrativo y documental habitual. Las categorías especiales de datos personales (salud, ideología, datos biométricos, infracciones o condenas…) y la información sujeta a secreto profesional reforzado solo deben incorporarse previo análisis de cumplimiento por tu parte y, en su caso, acuerdo contractual específico. En Francia, los datos clínicos de pacientes requieren un alojamiento con certificación sanitaria HDS: contáctanos previamente antes de cualquier uso de esta naturaleza.

3. Nuestros compromisos como encargado

De conformidad con el artículo 28 del RGPD, APRESTA se compromete a:

• tratar tus datos únicamente siguiendo tus instrucciones documentadas —incluidas las relativas a transferencias— y avisarte de inmediato si considera que alguna instrucción infringe la normativa aplicable;
• garantizar la confidencialidad: toda persona autorizada para acceder a los datos está sujeta a un deber contractual o legal de confidencialidad;
• aplicar las medidas técnicas y organizativas de seguridad descritas en la sección 7;
• recurrir a subencargados únicamente en las condiciones previstas en la sección 6;
• asistirte para atender las solicitudes de ejercicio de derechos de los interesados;
• ayudarte a garantizar la seguridad del tratamiento, notificar brechas de datos y realizar evaluaciones de impacto (EIPD) y consultas previas, facilitándote la información que obre en nuestro poder;
• a la finalización del contrato, devolverte los datos y posteriormente suprimirlos según tu elección (sección 11);
• poner a tu disposición toda la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir la realización de auditorías (sección 16);
• llevar un registro de las actividades de tratamiento efectuadas por tu cuenta.

4. Cero entrenamiento, cero reutilización

• Tus conversaciones, documentos y datos no se utilizan nunca para entrenar, ajustar ni evaluar ningún modelo de IA, ni propio ni de terceros.
• Los modelos de IA open source empleados por emi se ejecutan directamente en nuestra infraestructura en Suiza: tus contenidos no se envían a proveedores externos de modelos.
• Tus datos no se venden, alquilan ni comparten con fines comerciales o publicitarios, ni son objeto de elaboración de perfiles en nuestro propio beneficio.
• Únicamente se procesan métricas agregadas de consumo (volúmenes de tokens, número de usuarios activos) a efectos de facturación, gestión de cuotas y dimensionamiento técnico del servicio.

5. Ubicación y transferencias

Los datos de la aplicación se alojan y tratan en Suiza, en los centros de datos de Infomaniak Network SA. Suiza cuenta con una decisión de adecuación de la Comisión Europea (Decisión 2000/518/CE, confirmada el 15 de enero de 2024), por lo que los datos personales pueden circular desde la Unión Europea sin necesidad de garantías adicionales. No se realiza ninguna transferencia a terceros países sin nivel adecuado de protección salvo instrucción previa por tu parte y con las garantías de los artículos 44 y siguientes del RGPD.

Conectores. Cuando un usuario vincula emi con un servicio externo (por ejemplo, el correo electrónico), los intercambios con dicho servicio tienen lugar por iniciativa tuya y bajo las condiciones de tu propio contrato con el proveedor correspondiente, que no actúa como subencargado nuestro. El administrador decide qué conectores están habilitados y cada usuario puede revocar sus conexiones en cualquier momento.

6. Subencargados del tratamiento

Cualquier incorporación o sustitución de un subencargado posterior te será notificada con al menos 30 días de antelación. Podrás oponerte por motivos fundados de protección de datos; a falta de solución alternativa, podrás resolver el servicio afectado sin penalización. Todo subencargado asume obligaciones equivalentes a las recogidas en esta página, permaneciendo APRESTA plenamente responsable frente a ti de su cumplimiento (artículo 28.4 del RGPD).

7. Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD y artículo 8 de la nLPD), entre ellas:

• Cifrado en tránsito de todas las comunicaciones entre tus dispositivos y emi (HTTPS/TLS).
• Centros de datos certificados: nuestro proveedor de alojamiento cuenta con las certificaciones ISO 27001:2022 (seguridad de la información) e ISO 9001:2015.
• Aislamiento estricto: los datos de cada cliente están aislados lógicamente en su entorno dedicado; dentro de tu espacio, la IA respeta los permisos por carpeta (Gestión, Contribución, Lectura, Ninguno) y jamás cita un documento que el usuario no esté autorizado a leer.
• Control de accesos: autenticación de usuarios, gestión de roles por tus administradores y principio de mínimo privilegio para nuestro personal técnico.
• Copias de seguridad periódicas alojadas en Suiza, conservadas durante 30 días antes de sobrescribirse y verificadas regularmente para asegurar su restauración.
• Mantenimiento de seguridad: actualizaciones, parches, monitorización de la infraestructura y registro de eventos de seguridad.
• Gobernanza: compromisos de confidencialidad del personal, protocolo de respuesta ante incidentes y concienciación continua.

Facilitamos la descripción detallada de las medidas de seguridad bajo solicitud y compromiso de confidencialidad.

8. Acceso por parte de nuestro equipo

El personal autorizado de nuestro equipo únicamente accede a tus contenidos cuando resulta estrictamente indispensable: a petición tuya para una intervención de soporte técnico, para gestionar un incidente de seguridad o en cumplimiento de una obligación legal. Nunca consulta tus conversaciones ni tus documentos con otros fines, como prospección comercial o mejora de producto.

9. Brechas de seguridad de datos

En caso de violación de la seguridad de los datos personales (pérdida, alteración, divulgación o acceso no autorizado) que afecte a tus datos, APRESTA:

• te lo notificará en un plazo máximo de 48 horas desde que tenga constancia de ella, por correo electrónico a la dirección de contacto de tu cuenta;
• te comunicará la naturaleza de la brecha, las categorías y el volumen aproximado de interesados y registros afectados, las posibles consecuencias y las medidas adoptadas o previstas, ampliando la información conforme avance el análisis;
• adoptará de inmediato las medidas necesarias para contener el incidente y mitigar sus efectos;
• te asistirá en la notificación a la autoridad de control competente (CNIL o autoridad nacional en un máximo de 72 horas; en Suiza, el PFPDT a la mayor brevedad) y, cuando proceda, en la comunicación a las personas afectadas;
• documentará cada incidente en su registro interno.

10. Derechos de los interesados

Las personas cuyos datos se tratan en emi cuentan con los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad. Corresponde a tu empresa, como responsable del tratamiento, dar respuesta a dichas solicitudes; tus administradores disponen para ello de las herramientas de Administración y de la Mediateca. Te prestaremos la asistencia necesaria para aquellas gestiones que no puedas resolver directamente. Si recibimos una solicitud de forma directa, te la trasladaremos sin demora y no responderemos sin tu conformidad previa.

11. Conservación y supresión

• Durante la vigencia del contrato, tus datos se conservan mientras decidas mantenerlos en emi. Todo documento eliminado de la Mediateca deja de inmediato de ser utilizado por la IA; los elementos borrados desaparecen de las copias de seguridad al completarse su ciclo de rotación (30 días).
• Registros técnicos: se conservan durante un tiempo limitado y proporcionado a las necesidades de seguridad y facturación.
• Al finalizar el contrato, dispones de 30 días para recuperar tus datos (sección 12). Transcurrido dicho plazo, se suprimen de manera definitiva —incluidas las copias de seguridad— a más tardar 60 días después de la terminación del contrato. Previa solicitud, emitimos el correspondiente certificado de destrucción.
• Únicamente se conservan durante los plazos legales aquellos documentos cuya guarda venga impuesta por ley (como facturas y justificantes contables).

12. Reversibilidad y portabilidad

Con emi nunca quedas cautivo de la herramienta. En cualquier momento durante el contrato, así como durante la ventana de recuperación posterior a su finalización, puedes obtener la exportación de tus datos:

• los documentos de la Mediateca en su formato original;
• las conversaciones, el listado de usuarios, sus roles y los ajustes del espacio en un formato estructurado, abierto y legible por máquina;
• una asistencia razonable para facilitar el traspaso a tus equipos internos o a otro proveedor.

La exportación estándar está incluida en la suscripción. Cualquier asistencia técnica específica de migración podrá ser objeto de presupuesto previo.

13. Continuidad del servicio y contingencias

Una IA empresarial pasa pronto a formar parte del trabajo diario. Esto es lo previsto si algo no funciona según lo esperado, incluso ante los escenarios más graves.

13.1 Incidencia técnica o interrupción

En caso de indisponibilidad o pérdida de datos derivada de un incidente técnico, restablecemos el servicio y restauramos la información a partir de las copias de seguridad más recientes, informando a los clientes afectados del incidente, de su alcance y de su resolución. Los compromisos de nivel de servicio y eventuales compensaciones se regulan en el contrato.

13.2 Incumplimiento o fallo de un subencargado

Si nuestro proveedor de alojamiento u otro subencargado dejara de prestar servicio, APRESTA seguirá siendo la única responsable frente a ti y organizará la migración hacia un proveedor con garantías equivalentes en Suiza o en la Unión Europea conforme al procedimiento de la sección 6, manteniéndote informado en cada etapa.

13.3 Cese del servicio o insolvencia de Apresta

En caso de que APRESTA decidiera cesar el servicio emi, transmitiera su rama de actividad o entrara en procedimiento concursal, de salvaguarda, reestructuración o liquidación judicial:

• Tus datos siguen siendo de tu exclusiva propiedad. No forman parte del activo patrimonial de APRESTA y no pueden venderse, explotarse ni cederse a terceros con fines distintos de la prestación del servicio a tu empresa.
• Preaviso: ante un cese programado del servicio, recibirás un aviso previo mínimo de 3 meses para organizar la transición con tranquilidad.
• Recuperación garantizada: la exportación íntegra de tus datos (sección 12) seguirá disponible durante todo el periodo de preaviso y durante la posterior ventana de recuperación de 30 días.
• Sucesión empresarial: en caso de cesión o absorción de la actividad, la entidad sucesora quedará vinculada por idénticos compromisos. Serás informado previamente y podrás oponerte al traspaso, resolver el contrato, recuperar tus datos y exigir su borrado.
• Procedimiento concursal: nos comprometemos a poner estas obligaciones en conocimiento de la administración concursal o liquidador judicial para asegurar la restitución y posterior supresión de tus datos dentro de los límites legales.
• Supresión definitiva: una vez completada la restitución, los datos se borran definitivamente tanto en APRESTA como en sus subencargados, copias de seguridad incluidas.

13.4 Límites de la IA generativa

Como todo sistema de IA generativa, emi puede producir respuestas inexactas o incompletas. emi cita sus fuentes para facilitar la comprobación; los contenidos generados deben ser revisados por una persona antes de cualquier uso vinculante. emi no adopta decisiones automatizadas con efectos jurídicos sobre las personas (artículo 22 del RGPD, artículo 21 de la nLPD): toda decisión sigue correspondiendo a tus colaboradores.

14. Requerimientos de autoridades

Si una autoridad pública o judicial nos requiere acceso a tus datos, verificamos la legalidad y el alcance del requerimiento, lo impugnamos si resulta infundado o desproporcionado, facilitamos únicamente el mínimo estrictamente exigible por ley y te informamos con carácter previo salvo prohibición legal expresa.

15. Tus responsabilidades

En tu condición de responsable del tratamiento, tu empresa se compromete en particular a:

• contar con una base jurídica válida respecto a los datos confiados a emi e informar a sus colaboradores sobre el uso de la herramienta;
• subir únicamente los documentos necesarios y configurar adecuadamente los permisos de acceso y el interruptor «legible por la IA»;
• establecer una carta interna de buen uso de la IA, proteger las cuentas de administrador y revocar sin demora el acceso de las personas que causen baja en la organización;
• evaluar previamente los conectores con servicios externos antes de habilitarlos;
• cumplir sus propias obligaciones como responsable del despliegue conforme al Reglamento Europeo de Inteligencia Artificial (AI Act), en especial la alfabetización en IA de sus equipos, tarea en la que puede apoyarse en la Academia integrada en emi.

16. Documentación y auditorías

Previa solicitud, ponemos a tu disposición el Acuerdo de Encargo de Tratamiento (DPA), la relación actualizada de subencargados, la memoria de medidas de seguridad y los certificados ISO de nuestro proveedor de alojamiento, además de responder a tus cuestionarios de seguridad. Asimismo, podrás realizar —directamente o mediante un auditor independiente sujeto a secreto profesional— una auditoría de cumplimiento con un preaviso razonable y conforme a lo previsto en el contrato.

Parte B · Visitantes del sitio web y contactos comerciales

17. Visitantes del sitio web y solicitudes de demo

Responsable del tratamiento: APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, Francia — contact@apresta.fr.

Datos recogidos. El formulario de solicitud de demo recoge tu nombre, apellidos, correo electrónico profesional, empresa, tamaño del equipo, sector y mensaje. El proveedor de alojamiento del sitio web registra datos técnicos estándar (logs de servidor, dirección IP y navegador) exclusivamente por motivos de seguridad y funcionamiento técnico.

Finalidades y bases jurídicas. Organizar la demostración solicitada y atender tu consulta (aplicación de medidas precontractuales a petición tuya); realizar el seguimiento comercial de tu proyecto (interés legítimo); garantizar la seguridad del sitio web y prevenir abusos (interés legítimo).

Destinatarios y ubicación. El personal autorizado de APRESTA y únicamente los proveedores técnicos indispensables para el alojamiento del sitio web y el envío de correos transaccionales. Este sitio web está alojado en Suiza por Infomaniak Network SA. Tus datos nunca se venden ni se ceden a terceros.

Plazo de conservación. Un máximo de 3 años desde el último contacto salvo que pases a ser cliente; los registros técnicos se guardan durante un periodo breve.

Cookies. Ninguna cookie de medición de audiencia ni de seguimiento publicitario, y ningún servicio de rastreo de terceros. Solo se emplea una cookie de sesión estrictamente técnica en la página de solicitud de demo (token de seguridad CSRF del formulario), que se borra al cerrar el navegador; exenta de consentimiento, no tiene ningún otro uso.

18. Contacto y reclamaciones

Para cualquier consulta sobre esta página o para ejercer tus derechos en materia de protección de datos: contact@apresta.fr, o por correo postal a APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, Francia. Respondemos en el plazo máximo de un mes.

También tienes derecho a presentar una reclamación ante la autoridad francesa de control, la CNIL (cnil.fr), ante la autoridad de protección de datos de tu país (como la AEPD en España) o, en Suiza, ante el Comisionado Federal de Protección de Datos y Transparencia (edoeb.admin.ch).

Consulta también: Aviso legal · Condiciones generales · RGPD explicado · Alojamiento · Confidencialidad.

Última actualización: noviembre de 2026.