Protección de datos

Evaluación de Impacto en Protección de Datos (DPIA)

Última actualización: 2026-09-30

1. Descripción del tratamiento

Responsable: CODECONTRACT SL, Pérez Galdós Kalea 22, 48010 Bilbao, España.

Contacto de privacidad: legal@codecontract.io

Finalidad: Plataforma SaaS de gestión documental con IA para recogida, validación, certificación y firma de documentos.

2. Datos que tratamos

Categoría	Datos	Base legal
Identificación	Nombre, email, teléfono	Ejecución contractual
Organización	Nombre empresa, sector, CIF, dominio	Ejecución contractual
Documentos	PDFs, imágenes, contratos subidos	Ejecución contractual
Firmas	Rúbrica dibujada, IP, timestamp, OTP	Consentimiento
Comunicaciones	Emails, mensajes WhatsApp/SMS	Ejecución contractual
Técnicos	IP, user agent, sesiones, logs	Interés legítimo
IA	Texto extraído de documentos; y valores de campo sueltos que se leen al entregar datos por la API cuando ningún lector automático los reconoce (nunca el documento)	Ejecución contractual
Blockchain	Hashes SHA-256, Merkle roots, timestamps	Interés legítimo

3. Evaluación de necesidad y proporcionalidad

Minimización: solo se recogen datos necesarios para la funcionalidad.
Limitación de finalidad: datos usados exclusivamente para gestión documental.
Exactitud: los usuarios pueden editar y eliminar sus datos.
Limitación de conservación: retención configurable por organización (default 5 años fiscal).
Integridad y confidencialidad: AES-256-GCM, argon2id, TLS 1.3, RBAC.

4. Riesgos identificados

Riesgo	Prob.	Impacto	Mitigación
Acceso no autorizado a documentos	Baja	Alto	Multi-tenant, RBAC, 2FA, session timeout
Filtración de datos personales	Baja	Alto	Cifrado at rest, CSP, rate limiting
Pérdida de datos	Muy baja	Alto	Historial continuo de Neon con restauración a un instante dentro de una ventana de 30 días (completa desde el 28 de octubre de 2026); RPO objetivo ≤ 1 h, RTO objetivo ≤ 4 h. Sin copia fuera del proveedor todavía
Uso indebido de IA	Baja	Medio	IA solo extrae datos pedidos; no se entrena con el Contenido
Envío de documentos a varios proveedores de IA	Media	Medio	Motor multi-modelo: cada petición puede ir a Anthropic, OpenAI o Google según disponibilidad. Todos con DPA, tier empresarial sin entrenamiento y SCCs. Lista en /subprocessors
Acción automatizada con efecto jurídico o económico	Baja	Alto	Human-in-the-loop en codigo: las tools salientes del agente no se ejecutan sin aprobación humana explícita (lib/agents/runtime.ts)
Retención de prompts en el proveedor	Baja	Medio	Anthropic: caché de prompt de 5 min y conservación de entradas y salidas hasta 30 días según sus términos comerciales, sin entrenamiento y sin acuerdo de retención cero. OpenAI: hasta 30 días; Google (Gemini API): hasta 55 días; Azure Document Intelligence: 24 h (términos públicos consultados el 30.09.2026; pendiente de confirmar en contrato)
Firma fraudulenta	Baja	Alto	OTP email/SMS, timestamp, IP, audit log

5. Subprocesadores

Listado completo y actualizado en el Trust Center.

Cambios en subprocesadores se notifican con 30 días de antelación.

6. Derechos del interesado

Acceso: exportar datos desde la plataforma.
Rectificación: editar perfil y contactos.
Supresión: solicitar a legal@codecontract.io.
Portabilidad: exportar en JSON/CSV/XLSX.
Oposición: configurar notificaciones, desactivar IA.

7. Conclusión

El tratamiento es proporcionado y necesario. Los riesgos están mitigados con medidas técnicas y organizativas adecuadas. Se recomienda revisión anual de esta DPIA.

Fecha de esta versión: 2026-09-30 · Próxima revisión: 2027-08-02