Cumplimiento RGPD

Este documento describe cómo OneMind AI Labs S.L. implementa de forma operativa el Reglamento (UE) 2016/679 (RGPD) y la LOPDGDD. Está pensado para responsables de cumplimiento, jefes de servicio sanitario y oficiales de protección de datos que necesitan evaluar el producto antes de un despliegue.

1. Marco y rol de OneMindAI

Bajo el RGPD, OneMindAI opera con un doble rol:

• Responsable del tratamiento respecto a los datos personales del profesional usuario (cuenta, identificación, telemetría operacional).
• Encargado del tratamiento respecto a los datos del paciente que el profesional pueda introducir, pseudonimizados, dentro de su práctica asistencial. El responsable es entonces el profesional o su institución sanitaria.

Esta separación es clave: OneMindAI no establece relación directa con el paciente ni toma decisiones autónomas sobre su salud; solo soporta el razonamiento del profesional.

2. Cumplimiento por artículo

Art. 5 · Principios del tratamiento

• Licitud, lealtad y transparencia: bases en art. 6 documentadas en /privacy; información ofrecida en el momento de la recogida.
• Limitación de la finalidad: los datos se usan solo para las finalidades declaradas; cualquier uso secundario requiere consentimiento explícito separado.
• Minimización: el formulario de alta solo solicita lo esencial; los detectores de PII desincentivan la introducción de identificadores directos del paciente.
• Exactitud: el usuario puede rectificar su perfil en cualquier momento.
• Limitación del plazo de conservación: políticas explícitas y aplicadas automáticamente (ver §3).
• Integridad y confidencialidad: TLS, hashing, backups cifrados, control de acceso (ver §7).
• Responsabilidad proactiva: este documento, audit log, DPIA disponible bajo NDA.

Arts. 13-14 · Información al interesado

Información facilitada en el alta (consentimiento informado) y en cada interacción sensible (modal de bienvenida, banner de modo privado, recordatorio de pseudonimización). Texto íntegro en /privacy.

Art. 15 · Acceso

Implementado via Ajustes → Privacidad → «Exportar mis datos». Devuelve un JSON íntegro y portable con perfil, conversaciones, casos, biblioteca y consentimientos. Plazo máximo: un (1) mes.

Art. 16 · Rectificación

Autoservicio en Ajustes → Perfil.

Art. 17 · Supresión («derecho al olvido»)

Autoservicio en Ajustes → Privacidad → «Purgar mis datos». Borrado físico en producción (no soft-delete). Los backups cifrados pueden contener datos durante la ventana de retención (máx. 12 meses); pasada esa ventana son irrecuperables.

Art. 18 · Limitación del tratamiento

Procesado manualmente por el DPO. Mientras se evalúa una limitación, marcamos la cuenta para que no sea objeto de tratamientos no esenciales (mejora de modelo, agregados).

Art. 20 · Portabilidad

El export JSON del art. 15 es directamente portable: estructurado, en formato abierto, con todos los recursos del usuario. Incluye anotaciones, biblioteca personal y consentimientos.

Art. 21 · Oposición

Toggle de «consentimiento para mejora del modelo» revocable en cualquier momento desde Ajustes → Privacidad. Oposición al tratamiento por interés legítimo: petición al DPO.

Art. 22 · Decisiones automatizadas

OneMindAI no toma decisiones jurídicas o significativas automatizadas. La salida del modelo de IA es soporte a la decisión del profesional, que conserva siempre el criterio clínico. No se diagnostica al paciente de forma autónoma.

Art. 25 · Privacy by design y by default

• Modo privado disponible sin coste y desde la pantalla principal del chat.
• Consentimiento de mejora del modelo desactivado por defecto.
• Detector heurístico de PII activo siempre, sin acción del usuario.
• Cookies estrictamente necesarias; sin tracking de terceros.
• Minimización por defecto en el formulario de alta.

Art. 28 · Sub-encargados

Cada sub-encargado tiene un acuerdo escrito con cláusulas equivalentes al art. 28. Listado público en /privacy §8. Notificamos previamente cambios materiales en la lista. Sub-encargados actuales:

• Anthropic, PBC (modelo Claude) — zero-retention, EE. UU. bajo SCC.
• Cohere Inc. (embeddings + rerank) — sin almacenamiento, Canadá/EE. UU. bajo SCC.
• Hetzner Online GmbH (backups off-site, UE) — solo bytes cifrados client-side.
• Proveedor SMTP transaccional (UE).

Art. 30 · Registro de actividades de tratamiento

Mantenido internamente conforme al art. 30. Disponible para autoridad de control a requerimiento. No se publica para no exponer detalle operacional, pero el contenido material está reflejado en este documento y en /privacy.

Art. 32 · Seguridad del tratamiento

Medidas técnicas y organizativas (extracto):

• Cifrado en tránsito (TLS 1.2+) y en backups (restic + AES-256).
• Pseudonimización mediante exigencia contractual + detector heurístico.
• Capacidad de restaurar datos rápidamente: backups diarios on-site + off-site cifrados.
• Procesos para probar regularmente: revisiones de dependencias, tests automatizados, revisión periódica de la política de retención.
• Bcrypt cost ≥ 12 para passwords. Sesiones firmadas HMAC, HttpOnly+Secure+SameSite=Lax.
• Rate limiting en endpoints sensibles.
• Audit log inmutable de acciones administrativas.

Art. 33-34 · Notificación de violaciones

Procedimiento documentado: detección → triaje → contención → análisis → notificación a la AEPD en 72 horas si hay riesgo para los derechos del interesado, y comunicación a las personas afectadas si el riesgo es alto. Canal de aviso al equipo de seguridad: security@onemindailabs.com.

Art. 35 · Evaluación de impacto (DPIA)

Hemos realizado una DPIA inicial dado que tratamos datos de categoría especial (salud). Resumen ejecutivo disponible bajo NDA para clientes institucionales. Reevaluamos la DPIA cuando hay cambios materiales en el tratamiento.

Art. 37-39 · Delegado de Protección de Datos

Hemos designado un DPO accesible en dpo@onemindailabs.com. Funciones: informar, asesorar, supervisar el cumplimiento, ser punto de contacto con la autoridad de control y con los interesados.

Arts. 44-49 · Transferencias internacionales

Anthropic (EE. UU.) y Cohere (Canadá/EE. UU.) reciben datos. Bases:

• Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión 2021/914) con módulo apropiado (controller-processor o processor-subprocessor según el flujo).
• Transfer Impact Assessment (TIA) realizado para cada flujo considerando: legislación del país receptor, salvaguardas técnicas (zero-retention/no-storage), riesgo residual y medidas suplementarias.
• Los identificadores directos del usuario (email, nombre) no se transfieren a Anthropic/Cohere — solo el contenido conversacional.

3. Política de retención (resumen aplicado)

• Cuenta activa: indefinida. Tras baja: 12 meses de auditoría legal, después borrado.
• Conversaciones: vinculadas a la cuenta. Purga inmediata bajo demanda.
• Conversaciones privadas: nunca persistidas.
• Backups locales: 14 días.
• Backups off-site (cifrados): 7 diarios + 4 semanales + 12 mensuales.
• Audit log: 5 años (relevante para acreditación de cumplimiento).
• Logs de seguridad: 90 días.

4. Datos cuya entrada en el sistema NO está autorizada

5. Autoridad de control y reclamaciones

Autoridad principal: Agencia Española de Protección de Datos (AEPD). Los usuarios pueden además acudir a la autoridad de su país de residencia habitual o de su lugar de trabajo (art. 77 RGPD). Antes de reclamar, te animamos a contactar a nuestro DPO — solemos resolver en pocos días.

6. Cooperación con clientes institucionales

Para instituciones sanitarias o servicios de psicología que necesiten desplegar OneMindAI a su personal, ofrecemos:

• Acuerdo de Encargo de Tratamiento (art. 28) firmable.
• DPIA conjunta si el alcance del despliegue lo requiere.
• Documentación técnica de seguridad bajo NDA.
• Soporte de cumplimiento durante implementación.

Contacta para iniciar el proceso: dpo@onemindailabs.com.

7. Versionado y vigencia

Documento vigente: versión 2026-05-12. Histórico disponible bajo solicitud. Los cambios materiales se anuncian con quince (15) días de antelación a los usuarios activos.