Política de privacidad

El responsable del tratamiento de datos en este sitio web y en la plataforma Kollegia es:

Contacto en materia de protección de datos: Shahab Houshangi, legal@kollegia.ai

Tratamos datos personales en dos roles:

Como responsable del tratamiento

Para el sitio web, el registro, la relación contractual con nuestros clientes, la facturación y la operación técnica. A esto se refiere esta política.

Como encargado del tratamiento

Para los contenidos que nuestros clientes (empresas) y sus empleados introducen en sus entornos de cliente (p. ej., datos de empleados, competencias, procesos y documentos). En ese ámbito, la empresa cliente correspondiente es la responsable del tratamiento; la base es nuestro contrato de encargo del tratamiento conforme al art. 28 del RGPD, incluidos los subencargados que figuran en él. Los empleados de nuestros clientes deben dirigir sus solicitudes como interesados sobre contenidos del entorno de cliente a su empleador; nosotros le ayudamos a responderlas.

El sitio web y la plataforma se alojan en Hetzner Online GmbH (Gunzenhausen, Alemania), en centros de datos situados en Alemania; con Hetzner existe un contrato de encargo del tratamiento. La base de datos y los archivos subidos se encuentran en nuestros servidores alojados allí: no se utilizan servicios externos de bases de datos en la nube ni de almacenamiento de objetos.

Al acceder se tratan los registros del servidor técnicamente necesarios (dirección IP, marca de tiempo, recurso solicitado, agente de usuario, referente).

Las fuentes tipográficas utilizadas están alojadas localmente en nuestros servidores. Al cargar la página no se establece ninguna conexión con servidores de terceros.

En el registro tratamos el nombre, la dirección de correo electrónico profesional, la empresa, la contraseña (con hash) y los códigos de verificación. Opcionalmente puede iniciarse sesión mediante Microsoft Entra ID (inicio de sesión único); en ese caso recibimos los datos de perfil que transmite Microsoft (nombre, correo electrónico, identificador de tenant).

6.1 Correos electrónicos transaccionales

Enviamos los correos electrónicos transaccionales (verificación, notificaciones, mensajes del sistema) a través de Microsoft 365 (Microsoft Ireland Operations Ltd.); con Microsoft existen un contrato de encargo del tratamiento, cláusulas contractuales tipo y una certificación en el marco del EU-U.S. Data Privacy Framework para posibles transferencias a EE. UU.

6.2 Comunicaciones de marketing

Para las comunicaciones de marketing (p. ej., newsletter, novedades de producto) utilizamos la plataforma CRM ALL ONE (all-one.io); con el proveedor existe un contrato de encargo del tratamiento. Solo recibirá correos de marketing con su consentimiento o, si ya es cliente, en el marco del § 7.3 UWG (Ley alemana contra la competencia desleal); puede darse de baja en cualquier momento mediante el enlace de baja o escribiendo a legal@kollegia.ai.

6.3 Buzones de los colegas digitales

La plataforma puede gestionar buzones propios para los colegas digitales de las organizaciones cliente (nombre@<cliente>.labskills.ai); su contenido lo tratamos como encargado del tratamiento (apartado 2).

El núcleo de la plataforma son los colegas digitales basados en IA. Para prestar estas funciones recurrimos a proveedores de modelos de IA como subencargados del tratamiento. Por defecto, el tratamiento de IA se realiza en endpoints situados en la UE:

Dentro de este grupo de proveedores de la UE podemos cambiar en cualquier momento por motivos técnicos (p. ej., rendimiento, disponibilidad); el tratamiento permanece siempre en la UE/el EEE.

Funciones opcionales con tratamiento en EE. UU.

Algunas funciones, que la organización cliente debe activar de forma expresa, utilizan proveedores con tratamiento en EE. UU. (con garantías mediante cláusulas contractuales tipo o el Data Privacy Framework): OpenAI (entre otras, interacción por voz), Anthropic (modelo de chat seleccionable), Google y Microsoft Bing (búsqueda web con IA), Parallel (investigación con IA). Estas funciones están desactivadas por defecto; su activación corresponde a la organización cliente.

En los planes de pago, procesamos los pagos a través de Stripe (Stripe Payments Europe, Ltd., Dublín, Irlanda; sociedad matriz: Stripe, Inc., EE. UU.). Stripe trata el nombre, el correo electrónico, los datos de facturación y la información de pago; los datos de la tarjeta los recoge directamente Stripe y no llegan a nuestros servidores. Stripe protege las transferencias a EE. UU. mediante cláusulas contractuales tipo y el Data Privacy Framework.

Para detectar y corregir errores técnicos utilizamos Sentry (Functional Software, Inc.). Cuando se produce un error, se tratan datos técnicos (mensaje de error, stack trace, información del navegador/sistema). El tratamiento se realiza en la UE (organización de Sentry en la UE, centro de datos de Fráncfort); las direcciones IP no se almacenan de forma permanente.

Si notifica un error en la app, transmitimos su descripción, las capturas de pantalla/grabaciones que adjunte y el contexto técnico a nuestra herramienta de gestión de proyectos ClickUp (Mango Technologies, Inc., EE. UU.; con garantías mediante cláusulas contractuales tipo). Le rogamos que sus capturas no contengan datos personales innecesarios.

Las organizaciones cliente o los usuarios individuales pueden conectar sistemas de terceros con la plataforma (p. ej., Microsoft SharePoint/Teams, Personio, GetMyInvoices, DATEV, Slack, Asana, ClickUp, Google Gmail/Calendar, buzones IMAP propios, servidores MCP propios). Estas conexiones están desactivadas por defecto y solo las configura la organización cliente o el usuario. El tratamiento se realiza entonces por cuenta de estos; la organización cliente sigue siendo responsable de los sistemas conectados (detalles en el contrato de encargo del tratamiento, anexo 2).

Conservamos los datos personales solo durante el tiempo necesario para los fines indicados o mientras existan obligaciones legales de conservación. Al finalizar la relación de uso, los datos del entorno de cliente se suprimen o se devuelven conforme al contrato de encargo del tratamiento; las copias de seguridad se sobrescriben en el ciclo habitual (como máximo a los 35 días). Los datos relevantes para la facturación están sujetos a los plazos legales de conservación.

En la medida en que seamos responsables del tratamiento, usted tiene frente a nosotros los siguientes derechos sobre sus datos personales:

Para ejercerlos basta con enviar un correo electrónico a legal@kollegia.ai. Además, tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos (art. 77 RGPD); la autoridad competente para nosotros es la Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach (Alemania).

No tomamos decisiones automatizadas que produzcan efectos jurídicos o afecten de forma similarmente significativa en el sentido del art. 22 RGPD. Los resultados de las funciones de IA sirven de apoyo a las decisiones que toman personas.

Adaptaremos esta política de privacidad cuando cambien los tratamientos o la situación jurídica. Se aplica en cada momento la versión publicada aquí.

En la medida en que tratemos datos personales por cuenta de nuestros clientes (apartado 2), se aplica el siguiente contrato de encargo del tratamiento de datos personales conforme al art. 28 RGPD. Labskills GmbH lo utiliza como encargada del tratamiento frente a los clientes (tenants) de la plataforma Kollegia y constituye un anexo del contrato principal correspondiente (contrato SaaS/de uso, condiciones generales).

§ 1 Objeto y duración

(1) El Encargado pone a disposición del Responsable la plataforma de software como servicio Kollegia, incluidos los asistentes digitales basados en IA que contiene («colegas digitales», en adelante «DCWs»), los módulos (entre otros, Organización, Competencias, Base de conocimiento, Procesos, Comercial), los conectores y las automatizaciones conforme al contrato principal. En la medida en que trate datos personales por cuenta del Responsable, se aplica el presente contrato.

(2) La duración del presente contrato coincide con la del contrato principal. Queda excluida su resolución por separado; finaliza con el contrato principal.

(3) El Responsable es responsable del tratamiento en el sentido del art. 4.7 RGPD y el único responsable de la licitud del tratamiento. El Encargado trata los datos exclusivamente en el marco del presente contrato y de las instrucciones del Responsable.

(4) Aclaración de roles según el Reglamento de IA: a efectos del Reglamento (UE) 2024/1689 (Reglamento de IA), el Encargado es el proveedor de los sistemas de IA incluidos en la plataforma y el Responsable es el responsable del despliegue. Las obligaciones de las partes que se derivan de ello no se ven afectadas por el presente contrato; los detalles se regulan en la guía para responsables del despliegue del Encargado, en su versión vigente en cada momento.

§ 2 Naturaleza, alcance y finalidad del tratamiento

(1) Finalidad: puesta a disposición y operación de la plataforma Kollegia para el Responsable, incluido el tratamiento por los DCWs (interacciones por chat, correo electrónico, voz y otros canales; análisis e informes programados), la gestión de competencias y conocimiento, los módulos comerciales y los conectores configurados por el Responsable.

(2) Naturaleza del tratamiento, según los módulos y conectores activados:

• Operación de la plataforma, incluidos el almacenamiento, la estructuración y la puesta a disposición de los datos del Responsable
• Tratamiento basado en IA por los DCWs: respuesta a consultas, elaboración de análisis, informes y borradores de documentos, ejecución de playbooks aprobados
• Tratamiento de los correos electrónicos entrantes y salientes de los buzones de los DCWs (nombre@<tenant>.labskills.ai)
• Interacción por voz con los DCWs (voice): solo con opt-in activado conforme al anexo 3, apdo. 4
• Procesamiento de justificantes/OCR basado en IA (facturas, escaneos)
• Gestión de competencias y cualificaciones (roles, skills, objetivo/real, formaciones, acreditaciones, incorporación)
• Gestión de procesos y conocimiento (control documental, normas, módulo de calidad/ISO 17025)
• Módulos comerciales (controlling, ofertas/facturas, contratos, proveedores, compras)
• Búsqueda web por los DCWs (las consultas pueden contener contexto del tenant): anexo 3, apdo. 4
• Importación/sincronización de datos mediante conectores: Microsoft Entra, SharePoint, Teams, Personio, DATEV, GetMyInvoices, correo electrónico (IMAP), Slack, Asana, ClickUp, Google (Gmail/Calendar), MCP personalizado

(3) Categorías de interesados:

• Empleados del Responsable (incluidos candidatos, aprendices, trabajadores cedidos y personas en prácticas)
• Clientes y clientes potenciales del Responsable
• Proveedores y socios comerciales del Responsable (incluidas sus personas de contacto)
• Otros interlocutores (remitentes/destinatarios de correos a buzones de DCWs, interlocutores en Teams/chat)

(4) Categorías de datos personales:

• Datos maestros (nombre, tratamiento, cargo, pertenencia a la organización, equipo, rol)
• Datos de contacto (dirección, teléfono, correo electrónico)
• Datos de competencias y cualificaciones (skills, perfiles objetivo/real, acreditaciones de formación y exámenes, estado de incorporación, certificados)
• Datos de empleados procedentes de sistemas conectados (Personio, Entra), en el alcance de campos configurado
• Contenidos de comunicaciones (historiales de chat con DCWs, contenido de correos incluidos los adjuntos, interacciones por voz, mensajes de Teams, comentarios)
• Datos contractuales y de facturación, datos de operaciones comerciales (ofertas, facturas, justificantes, contratos, datos de proveedores)
• Archivos subidos y su contenido (documentos, justificantes, imágenes)
• Datos de uso y de registro (inicios de sesión, registros de actividad, registros de auditoría)

(5) No se tratan categorías especiales de datos personales (art. 9 RGPD), salvo acuerdo expreso en contrario. El Responsable garantiza, mediante la configuración de los conectores (mapeo de campos) y mediante instrucciones organizativas sobre las subidas de archivos, que dichos datos no se transmitan.

§ 3 Facultad de instrucción del Responsable

(1) El Encargado trata datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluso en lo relativo a transferencias a terceros países, salvo que esté obligado a ello en virtud del Derecho de la Unión o de un Estado miembro. En tal caso, informará al Responsable de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

(2) Las instrucciones se imparten, por regla general, por escrito. También pueden impartirse mediante la configuración de la plataforma, en particular activando/desactivando módulos, conectores, DCWs, interruptores de funciones (p. ej., funciones de RR. HH., voz, búsqueda web) y mapeos de campos. La plataforma registra estas instrucciones de configuración con el usuario y el momento.

(3) Por parte del Responsable, están autorizadas a impartir instrucciones las personas registradas como administradores en el área de administración y las personas de contacto designadas en el contrato.

(4) Por parte del Encargado, el destinatario de las instrucciones es: Shahab Houshangi, director general, legal@kollegia.ai

(5) Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato al Responsable. Estará facultado para suspender la ejecución de dicha instrucción hasta que sea confirmada o modificada.

(6) Las instrucciones que excedan del contrato principal y generen un esfuerzo adicional se remunerarán según el esfuerzo realizado.

§ 4 Obligaciones del Encargado

El Encargado se compromete a:

• (1) Realizar el tratamiento, por regla general, en el territorio de la Unión Europea o del Espacio Económico Europeo. Para la inferencia de IA rige lo siguiente: el tratamiento estándar se realiza en endpoints de la UE (anexo 2, parte A). Las funciones que emplean subencargados vinculados a terceros países figuran en el anexo 2, parte B, y solo se utilizan cumpliendo los requisitos del capítulo V del RGPD (garantías adecuadas, en particular CCT o el EU-U.S. Data Privacy Framework); si están configuradas como opt-in, solo tras su activación por el Responsable (anexo 3, apdo. 4).
• (2) Garantizar que todas las personas autorizadas para el tratamiento se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada (art. 28.3.b) RGPD). Esta obligación subsiste tras la finalización de su actividad.
• (3) Adoptar y mantener las medidas técnicas y organizativas necesarias conforme al art. 32 RGPD (anexo 1). El Encargado puede seguir desarrollando las medidas siempre que no se reduzca el nivel de protección acordado; los cambios esenciales se documentan y se comunican al Responsable a petición de este.
• (4) No utilizar los datos de clientes para el entrenamiento, el ajuste fino (fine-tuning) ni ninguna otra mejora de modelos de IA, ya sean propios o de terceros, y obligar en consecuencia a sus subencargados (anexo 3, apdo. 2).
• (5) Informar sin demora al Responsable cuando detecte una violación de la seguridad de los datos personales que afecte a los datos tratados (§ 8).
• (6) Ayudar al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, a cumplir sus obligaciones conforme a los arts. 32 a 36 RGPD, en particular en las evaluaciones de impacto relativas a la protección de datos sobre el uso de los DCWs con datos de empleados. Para ello, el Encargado facilita una guía para la EIPD, descripciones de los flujos de datos y los presentes anexos contractuales.
• (7) Ayudar al Responsable a responder a las solicitudes de los interesados (arts. 12 a 22 RGPD) mediante medidas técnicas y organizativas apropiadas, en particular mediante las funciones de exportación y supresión del anexo 3, apdos. 6 y 7. Si un interesado se dirige directamente al Encargado, este remitirá la solicitud sin demora al Responsable y no la responderá por sí mismo.
• (8) Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD.
• (9) Designar una persona de contacto para cuestiones de protección de datos: Shahab Houshangi, legal@kollegia.ai.
• (10) Llevar un registro de las actividades de tratamiento efectuadas por cuenta del Responsable conforme al art. 30.2 RGPD.

§ 5 Obligaciones del Responsable

(1) El Responsable es responsable de la licitud del tratamiento de datos y de la salvaguarda de los derechos de los interesados. En particular, garantiza que los tratamientos que ordena cuenten con una base jurídica sólida y que se cumplan las obligaciones de información necesarias (arts. 13 y 14 RGPD).

(2) Datos de empleados: antes de tratar datos de empleados en la plataforma (en particular, datos de competencias, cualificaciones e incorporación) y antes de activar las funciones relacionadas con RR. HH. conforme al anexo 3, apdo. 5, el Responsable comprueba la base jurídica (§ 26 BDSG, art. 88 RGPD) y si es necesaria la participación del comité de empresa (§ 87.1 n.º 6 BetrVG). La activación de dichas funciones en la plataforma se considera una instrucción documentada y la confirmación de que se ha realizado esta comprobación.

(3) Conectores: el Responsable configura bajo su propia responsabilidad los sistemas conectados (Personio, Entra, SharePoint, Teams, DATEV, GetMyInvoices, Slack, Asana, ClickUp, Google, buzones IMAP, servidores MCP personalizados) y el mapeo de campos, y limita la transmisión a los campos de datos necesarios.

(4) Canal de correo electrónico: el Responsable informa a sus empleados y, cuando sea necesario, a los interlocutores externos de que los correos enviados a los buzones de los DCWs son tratados por un sistema de IA.

(5) El Responsable informará sin demora al Encargado si detecta errores o irregularidades al revisar los resultados.

§ 6 Subencargos

(1) Por la presente, el Responsable otorga su autorización general por escrito para recurrir a subencargados conforme al art. 28.2, segunda frase, RGPD.

(2) Los subencargados utilizados en el momento de la celebración del contrato figuran en el anexo 2. El Responsable autoriza su uso al celebrar el presente contrato. Los subencargados opcionales (anexo 2, parte B) solo se utilizan una vez que el Responsable activa la función correspondiente.

(3) El Encargado informará al Responsable por escrito de los cambios previstos con al menos 30 días de antelación (también mediante notificación en la app a los administradores). El Responsable podrá oponerse en un plazo de 14 días por un motivo importante y fundado en la normativa de protección de datos.

(4) Si el Responsable se opone y el servicio en cuestión no puede prestarse sin el subencargado, o solo con un esfuerzo desproporcionado, ambas partes podrán resolver la parte del servicio afectada con un preaviso de un mes.

(5) El Encargado obliga contractualmente a cada subencargado a cumplir obligaciones de protección de datos equivalentes a las del presente contrato, incluida la prohibición de entrenamiento del § 4.4. Responde frente al Responsable del cumplimiento de dichas obligaciones por parte del subencargado.

(6) No se consideran subencargos los servicios accesorios sin tratamiento de datos personales (como servicios de telecomunicaciones o de mantenimiento) ni los sistemas del Responsable a los que la plataforma accede mediante conectores configurados por el Responsable (anexo 2, parte C; p. ej., el propio tenant de Microsoft 365, la propia cuenta de Personio, buzones IMAP configurados por el cliente, la cuenta de DATEV, servidores MCP personalizados del Responsable).

§ 7 Medidas técnicas y organizativas

(1) El Encargado adopta las medidas técnicas y organizativas descritas en el anexo 1 conforme al art. 32 RGPD.

(2) Las medidas garantizan un nivel de protección adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como la probabilidad y la gravedad de los riesgos.

(3) El Encargado verifica la eficacia de las medidas al menos una vez al año.

§ 8 Notificación de violaciones de la seguridad de los datos personales

(1) El Encargado notificará al Responsable toda violación de la seguridad de los datos personales que afecte a los datos tratados por su cuenta sin demora tras tener conocimiento de ella y, a más tardar, en un plazo de 24 horas.

(2) La notificación incluirá, en la medida en que se disponga de ello: la naturaleza de la violación (categorías, número aproximado de interesados y de registros afectados), la persona de contacto, las consecuencias probables y las medidas adoptadas o propuestas.

(3) Si no es posible facilitar toda la información al mismo tiempo, la notificación se realizará de forma gradual sin más dilación indebida.

(4) El Encargado ayuda al Responsable a cumplir sus obligaciones de notificación y comunicación conforme a los arts. 33 y 34 RGPD.

(5) El Encargado no realizará por sí mismo notificaciones a la autoridad de control ni a los interesados, salvo que esté legalmente obligado a ello.

§ 9 Derechos de control del Responsable

(1) El Responsable tiene derecho a comprobar, en la medida necesaria, el cumplimiento de la normativa de protección de datos y de lo acordado contractualmente.

(2) El Encargado aporta la prueba preferentemente mediante:

• la presentación de la documentación de medidas técnicas y organizativas (anexo 1) y sus actualizaciones
• extractos de los registros de la plataforma (registro de auditoría, registro de acciones de los DCWs) del propio tenant
• certificados, atestaciones o informes de auditoría de los subencargados utilizados (p. ej., ISO 27001, SOC 2)
• la respuesta a un cuestionario por escrito

(3) Si en un caso concreto estas pruebas no son suficientes, el Responsable podrá, con un preaviso de al menos 14 días y en horario comercial habitual, realizar una inspección o encargarla a un auditor sujeto a confidencialidad. El auditor no podrá ser un competidor del Encargado.

(4) Las inspecciones se realizarán sin perturbaciones evitables de la actividad y como máximo una vez al año, salvo que exista un motivo concreto.

(5) Por las inspecciones que excedan de una revisión anual y no se deban a un motivo imputable al Encargado, este podrá exigir una remuneración adecuada.

§ 10 Supresión y devolución

(1) Una vez finalizada la prestación de los servicios de tratamiento, el Encargado suprimirá todos los datos personales o los devolverá, a elección del Responsable, salvo que exista una obligación de conservarlos en virtud del Derecho de la Unión o de un Estado miembro. La supresión abarca todas las ubicaciones de almacenamiento, incluidas bases de datos, repositorios de archivos, registros de chat y de acciones, buzones de los DCWs y representaciones derivadas (embeddings/índices vectoriales). Las copias de seguridad se sobrescriben según el ciclo de copias habitual, como máximo a los 35 días.

(2) El Responsable comunicará por escrito su elección (supresión o devolución) a más tardar 30 días después de la finalización del contrato. Si no lo comunica, los datos se suprimirán transcurridos otros 30 días.

(3) La devolución se realiza en formatos habituales de lectura mecánica (exportación del tenant desde la plataforma, véase el anexo 3, apdo. 6).

(4) La documentación que sirva para acreditar el tratamiento correcto de los datos, así como los documentos comerciales sujetos a obligación legal de conservación (GoBD), podrán conservarse tras la finalización del contrato conforme a los plazos de conservación aplicables.

(5) La supresión se confirmará por escrito al Responsable si este lo solicita.

§ 11 Responsabilidad

(1) En materia de responsabilidad se aplican el art. 82 RGPD y lo dispuesto en el contrato principal.

(2) El Responsable mantendrá indemne al Encargado frente a reclamaciones de terceros basadas en que el Responsable haya infringido la normativa de protección de datos, en particular mediante una instrucción ilícita, la falta de una base jurídica sólida o la activación de funciones sin cumplir los requisitos del § 5.2. Esto no se aplica si el Encargado detectó la ilicitud y no la comunicó conforme al § 3.5.

§ 12 Disposiciones finales

(1) Las modificaciones y adiciones al presente contrato deberán realizarse por escrito. Esto también se aplica a la supresión de este requisito de forma.

(2) En caso de contradicción entre el presente contrato y el contrato principal, prevalecerán las disposiciones del presente contrato en lo relativo a la protección de datos.

(3) Si alguna disposición fuera o llegara a ser ineficaz, la eficacia de las demás disposiciones no se verá afectada. Las partes sustituirán la disposición ineficaz por otra eficaz que se aproxime lo más posible a su finalidad económica.

(4) Se aplica el Derecho de la República Federal de Alemania.

Resumen de las medidas específicas de la plataforma. Se concreta en el documento de medidas técnicas y organizativas del Encargado, en su versión vigente en cada momento.

1. Separación de tenants

Separación lógica estricta de todos los tenants a nivel de base de datos y de aplicación; sin acceso a datos entre tenants. Entorno sandbox por organización para realizar pruebas sin riesgo.

2. Control de acceso / modelo de permisos

Permisos basados en roles por usuario. Cada DCW es una cuenta de sistema propia y registrada, con permisos de edición exclusivamente en su ámbito funcional. Además, «intersección de permisos»: la respuesta de un DCW se limita siempre a los permisos del usuario que realiza la consulta; no se facilita información para la que el usuario no tenga permiso, con independencia del canal (app, Teams, correo electrónico, voz).

3. Registro

Registro de acciones completo e inalterable a posteriori («Brain-Log») de todas las llamadas a herramientas de los DCWs, con ID de sesión, herramienta, momento y permisos efectivos; registro de auditoría de los cambios administrativos (permisos, conectores, activación de funciones).

4. Ejecución controlada de la IA

Los DCWs solo ejecutan acciones con efectos externos mediante playbooks deterministas verificados o tras la aprobación de una persona (principio fail-closed). Los nuevos DCWs pasan por un proceso de incorporación y aprobación antes de trabajar en producción. Un proceso supervisor vigila la flota de DCWs para detectar procesos bloqueados y acciones fallidas.

5. Cifrado

Cifrado en tránsito (TLS) para todas las conexiones; cifrado de los datos en reposo; credenciales de acceso a los sistemas conectados (conectores) en un almacén de secretos protegido (Vault).

6. Autenticación

Inicio de sesión con correo electrónico/contraseña o con Microsoft (Entra ID); accesos administrativos con requisitos reforzados.

7. Minimización de datos en las interfaces

Mapeo de campos configurable por conector; las categorías de campos sensibles no se importan por defecto.

8. Disponibilidad

Copias de seguridad periódicas con un ciclo definido; procedimientos de restauración; separación de los entornos de producción (my.labskills.ai), pruebas (test.labskills.ai) y desarrollo.

9. Diagnóstico de errores

Los eventos de error se tratan mediante un sistema de seguimiento de errores (Sentry, organización de la UE, con tratamiento en la UE); los datos personales de los informes de error se limitan al mínimo necesario (anonimización de IP/depuración de datos personales activada).

10. Medidas organizativas

Compromiso de confidencialidad de todo el personal; acceso a los datos de producción solo para administradores designados del Encargado según el principio de necesidad de conocer; revisión anual de las medidas.

Parte A — Utilizados por defecto (autorizados con la celebración del contrato)

Parte B — Opcionales (solo tras la activación de la función correspondiente por el Responsable)

La activación por el Responsable se considera una instrucción documentada.

Parte C — Sin subencargo (sistemas del Responsable)

La plataforma accede a los siguientes sistemas exclusivamente por cuenta y siguiendo instrucciones del Responsable; el Responsable sigue siendo la parte contratante del proveedor correspondiente:

• tenant propio de Microsoft 365/Entra/SharePoint/Teams del Responsable
• cuenta propia de Personio, GetMyInvoices, Slack, Asana, ClickUp o Google del Responsable (conectores personales)
• buzones IMAP configurados por el Responsable (cualquier servidor de correo del Responsable)
• DATEV Unternehmen online (envío de justificantes a la dirección de carga de DATEV configurada por el Responsable; DATEV es encargado del tratamiento del Responsable)
• servidores MCP personalizados configurados por el Responsable (servidores de terceros propios del cliente; el Responsable responde de su selección y de la base jurídica)
• clientes de IA que el propio Responsable conecta con la interfaz MCP de Kollegia: el Responsable es responsable del cliente que utiliza

Este anexo concreta el tratamiento realizado por los sistemas de IA incluidos en la plataforma.

1. Funcionamiento

Los DCWs son asistentes basados en IA que responden a las consultas de los usuarios del Responsable, elaboran análisis e informes, redactan borradores de documentos y ejecutan análisis recurrentes aprobados por el Responsable («playbooks», tareas programadas). Para ello tratan los datos almacenados en el tenant del Responsable y los contenidos que se les transmiten a través de los canales activados (chat de la app, correo electrónico, Teams, voz).

2. Sin entrenamiento

Ni el Encargado ni sus subencargados utilizan datos del Responsable para el entrenamiento, el ajuste fino ni ninguna otra mejora de modelos de IA. En los proveedores de modelos utilizados están activadas las configuraciones contractuales y técnicas correspondientes (exclusión del entrenamiento, almacenamiento mínimo por parte del proveedor).

3. Tratamiento en la UE como estándar

El tratamiento de IA estándar se realiza en endpoints de modelos situados en la UE/el EEE (anexo 2, parte A: Mistral, Microsoft Azure UE, perfiles de inferencia de la UE de Amazon Bedrock, EUrouter). El Encargado puede cambiar de proveedor dentro de este grupo de la UE en cualquier momento (p. ej., por motivos de rendimiento); un cambio dentro del grupo no constituye una modificación sujeta a comunicación conforme al § 6.3.

4. Funciones opt-in vinculadas a terceros países

Algunas funciones (actualmente: interacción por voz, uso directo de proveedores de modelos estadounidenses [OpenAI, Anthropic], búsqueda web con IA [Google, Bing Grounding, Parallel] y conectores personales [Slack, Asana, ClickUp, Google]) utilizan subencargados en terceros países (anexo 2, parte B). Estas funciones están desactivadas por defecto. Solo puede activarlas un administrador del Responsable en el área de administración (en el caso de los conectores personales, el propio usuario tras la aprobación del administrador); la activación se considera una instrucción documentada de transferencia a terceros países en el sentido del § 3 y queda registrada. El Responsable puede desactivar la función en cualquier momento.

5. Funciones relativas a los empleados

Las funciones que afectan individualmente a los empleados del Responsable (en particular, recordatorios/escalados proactivos a personas concretas, la visibilidad de las carencias de competencias individuales para los superiores y los avisos automatizados sobre el progreso de la incorporación) están desactivadas por defecto y solo las activa el Responsable (§ 5.2). La plataforma no toma decisiones automatizadas con efectos jurídicos o similarmente significativos sobre las personas (art. 22 RGPD); los resultados de los DCWs relativos a personas (p. ej., comparaciones de competencias) sirven de apoyo a las decisiones que toman personas y se identifican como tales.

6. Exportación

A través de la plataforma, el Responsable puede generar (a) una exportación completa de su tenant y (b) una exportación de los datos personales de cada interesado (datos almacenados, interacciones con DCWs, evaluaciones) en formatos de lectura mecánica.

7. Supresión de datos derivados

Los procesos de supresión (§ 10) abarcan también las representaciones derivadas de los datos (embeddings, índices vectoriales, índices de búsqueda) y los registros de chat y de acciones una vez transcurrido el plazo de conservación acordado.

8. Transparencia

Los DCWs se identifican como sistemas de IA en todos los canales (indicación en el chat, aviso en las firmas de correo electrónico, anuncio en las interacciones por voz). Estas identificaciones están fijadas en el sistema y el Responsable no puede eliminarlas.

9. Supervisión

El Responsable puede consultar el registro de acciones de los DCWs de su tenant y obtiene así la trazabilidad de qué DCW utilizó qué herramientas, cuándo y con qué permisos.