Art. 35 RGPD
Análisis de Impacto sobre Protección de Datos
Resumen ejecutivo del Data Protection Impact Assessment (DPIA) de AudioMap. La versión completa se entrega a clientes B2B con DPA firmado bajo NDA, y a la AEPD bajo requerimiento.
Versión 0.1 — borrador interno. Pendiente revisión por DPO externo certificado y asesor legal especializado en protección de datos antes de publicación final. Esta página muestra solo el resumen ejecutivo. La versión 1.0 firmada se publicará tras review legal completa.
¿Qué es una DPIA y por qué AudioMap la tiene?
El Art. 35 del RGPD obliga a realizar un Análisis de Impacto sobre Protección de Datos cuando el tratamiento es de alto riesgo. La guía AEPD del 20 de abril de 2026 explicita que la transcripción automatizada de voz por IA es alto riesgo cuando concurre alguno de:
- Tratamiento a gran escala
- Datos sensibles (biométricos, salud, secreto profesional)
- Decisiones automatizadas (resúmenes y análisis IA)
- Procesamiento sistemático
AudioMap cumple los criterios. Por tanto, mantenemos DPIA activa y revisada anualmente.
Alcance del tratamiento
- Datos tratados: audio aportado por el usuario, transcripción texto, análisis IA, identificativos básicos del usuario, atributos biométricos de voz (opcionales y opt-in).
- Finalidad: proporcionar memoria aumentada al usuario sobre sus propias conversaciones grabadas.
- Base legal: contrato (Art. 6.1.b) + consent específico por nota (Art. 6.1.a). Para biometría, consent Art. 9 RGPD opt-in.
- Localización: 100% Espacio Económico Europeo, excepto pagos (Stripe US) y observabilidad (Sentry US, datos en región EU). Detalle en el TIA.
- Retención: configurable. Default 30 días post-cierre de cuenta para todos los datos.
Riesgos principales identificados y mitigaciones
| ID | Riesgo | Severidad | Mitigación |
|---|---|---|---|
| R1 | Filtración por breach en sub-procesador | Medio-Alto | Sub-procesadores certificados, encriptación at-rest, Whisper local fallback |
| R2 | Acceso no autorizado interno (bug permisos) | Medio | Auth Keycloak, autorización SQL by-userId, audit log, revisiones periódicas |
| R6 | DSAR ignorado superando 30 días | Medio | Tabla append-only + cron 25/30d + dashboard admin |
| R7 | Sub-procesador entrena modelo IA con contenido | Bajo-Medio | Cláusulas contractuales explícitas, Whisper local elimina dependencia |
| R9 | Host graba sin consent del tercero | Medio | RecordingLegalityModal + DPA host como Responsable + endpoint público de borrado |
| R10 | Prompt injection en transcripción extrae datos de otras notas | Bajo-Medio | Sandboxing por nota, LLM output tratado como datos, revisión periódica de prompts |
Conclusión
Tras evaluar los riesgos identificados y las medidas técnicas y organizativas aplicadas, el tratamiento es viable y proporcional. Los riesgos residuales son bajos en términos de probabilidad e impacto sobre los derechos y libertades de los interesados.
No se requiere consulta previa a la AEPD (Art. 36 RGPD) porque ninguna mitigación deja un riesgo "alto" sin abordar.
Próxima revisión programada: 12 de mayo de 2027, o antes si hay cambio sustancial (nuevo sub-procesador, cambio jurisdicción, nueva guía AEPD).
Acceso al documento completo
Clientes B2B con DPA firmado pueden solicitar la versión completa firmada de esta DPIA. Escriba a [email protected].
Documentos relacionados: TIA (Transfer Impact Assessment), Cumplimiento AEPD, Sub-procesadores, Soberanía de datos.