Versión del 20 de agosto de 2026
Acuerdo de encargo del tratamiento
Si usas Union AI para tratar datos personales de otras personas, necesitas un acuerdo de encargo del tratamiento. Esto es el resumen; pídenos el texto para firmar.
El presente documento es una traducción. En caso de discrepancia entre esta traducción y la versión en inglés, prevalecerá la versión en inglés.
Borrador
Solicitar la versión para firmar
Funciones: responsable y encargado del tratamiento
Tú eres el responsable del tratamiento de los datos personales que acaban en tus prompts. Union AI es el encargado del tratamiento: tratamos esos datos únicamente para ejecutar tu petición y siguiendo tus instrucciones. De los datos de tu propia cuenta somos nosotros los responsables, como se explica en la política de privacidad. Qué datos deberían entrar en una herramienta de IA es otra cuestión, que analizamos en si ChatGPT cumple el RGPD con datos de empresa.
Objeto y duración
El tratamiento abarca el contenido de los prompts y las respuestas generadas, y dura mientras uses el servicio. Los prompts y las respuestas no se almacenan: solo existen en memoria mientras se procesa tu petición. Por eso no hay plazo de conservación que acordar ni nada que destruir al final.
Subencargados y aviso de cambios
Recurrimos a los subencargados que figuran en la página de subencargados, la lista completa, incluidas las empresas con matriz estadounidense. Anunciamos los cambios con al menos 30 días de antelación, para que puedas oponerte. Si te opones y no encontramos una solución, puedes resolver el contrato con el reembolso del crédito no utilizado.
| Categoría | Quién | Qué ve |
|---|---|---|
| Inferencia | Scaleway SAS, Unión Europea | El prompt y la respuesta |
| Hosting | Cloudflare, Inc. | Tráfico cifrado en el edge |
| Base de datos | Neon (Databricks), región de la UE | Cuenta y uso, sin contenido de los prompts |
| Pagos | Stripe Payments Europe Ltd, Irlanda | Datos de facturación |
Transferencias fuera de la UE
La inferencia se realiza únicamente en la Unión Europea. Nuestros subencargados de hosting, base de datos y pagos tratan los datos en regiones europeas, pero tienen una matriz estadounidense; se les aplican las cláusulas contractuales tipo de la Comisión Europea, junto con las medidas adicionales que adoptan esas empresas. No decimos que esto resuelva todas las cuestiones de jurisdicción: consulta subencargados para ver nuestra lectura sin adornos.
Medidas de seguridad
Cifrado en tránsito y en reposo, acceso según la necesidad de conocer, claves API almacenadas solo como hash, secretos en un almacén de claves y no en el código, y copias de seguridad de la base de datos que se prueban periódicamente. No leemos tus prompts.
Brechas de datos y asistencia
En caso de brecha, te informamos sin dilación indebida, con la información que necesitas para cumplir tu propia obligación de notificación. Te ayudamos con las solicitudes de los interesados, con una EIPD y con las consultas de la autoridad de control, en la medida en que razonablemente se le pueda exigir a un encargado del tratamiento.
Auditorías: una vez al año puedes encargar una auditoría a un tercero independiente o solicitar nuestros informes. Las preguntas sobre este acuerdo, a hello@europeanailab.eu.
Preguntas frecuentes
¿Necesito un contrato de encargado del tratamiento para usar IA en el trabajo?
Si en tus prompts acaban datos personales de otras personas, sí. Según el artículo 28 del RGPD, el responsable del tratamiento debe tener un contrato por escrito con cada encargado, y un servicio de IA que trata datos de tus clientes o empleados es un encargado. Las suscripciones para consumidores normalmente no incluyen ningún contrato de este tipo.
¿Quién es el responsable y quién el encargado del tratamiento?
Tú eres el responsable de los datos personales que hay en tus prompts: decides qué entra y para qué. Union AI es el encargado de ese contenido y actúa siguiendo tus instrucciones. De los datos de tu propia cuenta somos nosotros los responsables, como se explica en la política de privacidad.
¿Necesito una EIPD para una herramienta de IA?
La necesitas cuando es probable que el tratamiento entrañe un alto riesgo para las personas, algo que las autoridades asocian al tratamiento a gran escala, a las categorías especiales de datos y a decisiones que afectan a los derechos de alguien. Usar IA con historiales médicos, datos biométricos o candidaturas de empleo suele superar ese umbral. Usarla para resumir tu propia documentación pública, no.
¿Cómo consigo el contrato de encargo para firmar?
Escribe a hello@europeanailab.eu y te enviamos el acuerdo de encargo del tratamiento completo como documento. Mientras el texto esté en revisión jurídica no hay botón de descarga, a propósito, porque un archivo con fecha que circula por ahí es más difícil de retirar que un email.
¿Hay transferencias fuera de la UE?
La inferencia se queda dentro de la Unión Europea. El hosting, la base de datos y los pagos se tratan en regiones europeas, pero tienen una matriz en Estados Unidos, por lo que se les aplican las cláusulas contractuales tipo de la Comisión Europea. No decimos que esto resuelva todas las cuestiones de jurisdicción, y la página de subencargados recoge nuestra lectura sin adornos.
¿En cuánto tiempo se notifican las brechas de datos?
Te informamos sin dilación indebida, con la información que necesitas para cumplir tu propia obligación de notificación, y se notifica a la autoridad de control en un plazo de 72 horas cuando la brecha supone un riesgo. Además, una vez al año puedes encargar una auditoría independiente o pedir nuestros informes.