Información sobre el uso de Inteligencia Artificial

Responsable: ValleGalbarro, S.L. (en adelante, «ValleGalbarro»).
Contacto en materia de protección de datos: protecciondatos@vallegalbarro.es

A los efectos del Reglamento (UE) 2024/1689 (en adelante, «AI Act»), ValleGalbarro actúa como responsable del despliegue (deployer) del sistema de IA descrito en este documento.

El «Asistente de Pedido Rápido» es una funcionalidad opcional de la plataforma de ValleGalbarro que permite a usuarios autenticados crear pedidos mediante una conversación en lenguaje natural con un sistema de Inteligencia Artificial basado en un modelo de lenguaje de gran tamaño (LLM).

De conformidad con el AI Act, este sistema se clasifica como un sistema de IA destinado a interactuar directamente con personas físicas (artículo 50.1 AI Act) y, en lo que respecta al modelo subyacente, como un modelo de IA de propósito general proporcionado por un tercero. No se trata de un sistema de alto riesgo conforme al Anexo III del AI Act, ya que su finalidad es exclusivamente comercial (creación de pedidos B2B) y no afecta a derechos fundamentales, empleo, educación, servicios esenciales ni administración de justicia.

Conforme al artículo 50.1 del AI Act, te informamos de manera clara, distinguible y a más tardar en el momento de la primera interacción de que estás interactuando con un sistema de Inteligencia Artificial y no con una persona humana.

Para consultas que requieran asesoramiento humano (incidencias, reclamaciones, productos no listados, condiciones especiales, etc.) puedes contactar con tu comercial asignado o con nuestro servicio de atención al cliente a través de los canales habituales.

Los modelos de lenguaje de gran tamaño pueden generar contenido inexacto, inventado («alucinaciones») o malinterpretar instrucciones. Específicamente, el asistente puede:

• Confundir productos similares o seleccionar variantes incorrectas (tamaños, formatos).
• Calcular cantidades erróneas o no respetar los pasos mínimos de packaging.
• No detectar referencias o EAN existentes en el catálogo.
• Generar respuestas con información obsoleta sobre productos.

Cuando utilizas el asistente, se tratan las siguientes categorías de datos:

• Datos de identificación: nombre y apellidos, dirección de correo electrónico, identificador de usuario interno.
• Datos comerciales: rol en la plataforma (cliente, comercial, distribuidor, etc.), tarifa asignada, porcentaje de descuento personal y de pronto pago.
• Contenido de las conversaciones: los mensajes que escribes en el chat y las respuestas generadas por el sistema.
• Datos transaccionales (bajo demanda): historial de pedidos previos, únicamente cuando solicitas expresamente al asistente que los consulte (p. ej., «repíteme el último pedido»).
• Estado del carrito: productos, cantidades y precios actualmente en tu carrito.
• Metadatos técnicos: hora de la solicitud, identificador de sesión y token de autenticación (no se envían al proveedor de IA).

Categorías de datos que NO se tratan ni se envían a la IA:

• Contraseñas o credenciales de acceso.
• Datos bancarios, IBAN o información de tarjetas de pago.
• Datos de salud, religión, opiniones políticas u otras categorías especiales del artículo 9 RGPD.
• Datos personales de terceros que no sean clientes vinculados a tu cuenta.

Los datos descritos se tratan exclusivamente con las siguientes finalidades:

• Permitirte crear, modificar y consultar pedidos mediante lenguaje natural.
• Calcular precios, descuentos y disponibilidad de stock conforme a tu tarifa contratada.
• Mantener un historial de tus conversaciones para que puedas retomarlas posteriormente.
• Detectar y prevenir usos abusivos del sistema (medida de seguridad).
• Mejorar la calidad del servicio mediante el análisis agregado y anonimizado de errores.

No se utilizan tus datos para entrenar modelos de IA propios ni de terceros, ni para perfilado comercial fuera del contexto del asistente.

El tratamiento se ampara en las siguientes bases jurídicas del artículo 6 del RGPD:

• Ejecución de un contrato (art. 6.1.b RGPD): los datos necesarios para crear el pedido y aplicar las condiciones comerciales pactadas se tratan en el marco de la relación contractual entre tu empresa y ValleGalbarro.
• Consentimiento expreso (art. 6.1.a RGPD): el uso del asistente conversacional con IA es opcional. Antes de la primera interacción se solicita tu consentimiento informado mediante un aviso visible. Puedes seguir usando el catálogo y los canales tradicionales sin necesidad de otorgarlo.
• Interés legítimo (art. 6.1.f RGPD): para garantizar la seguridad del sistema, prevenir fraudes y mantener la integridad operativa del servicio. Hemos realizado el preceptivo juicio de ponderación.

Para prestar el servicio recurrimos a los siguientes encargados del tratamiento, que actúan bajo contratos conformes al artículo 28 del RGPD:

• Fireworks AI, Inc. (Estados Unidos): proveedor del modelo de lenguaje (LLM) que procesa el contenido de los mensajes y genera las respuestas. Los datos enviados se limitan al mensaje del usuario, el contexto del sistema (nombre, rol, tarifa, descuento) y los resultados de las herramientas internas (búsquedas y operaciones de carrito).
• Proveedor de servicios cloud con zona de disponibilidad en la Unión Europea: aloja nuestro backend, base de datos y caché. Aquí se almacenan las conversaciones, el carrito y el historial de pedidos.
• Cloudflare, Inc.: red de entrega de contenido (CDN) y protección frente a ataques. No tiene acceso al contenido cifrado.

Los datos no se ceden a terceros distintos de los anteriores salvo obligación legal.

La utilización de Fireworks AI implica una transferencia internacional de datos a Estados Unidos. Esta transferencia se realiza con las siguientes garantías de conformidad con el Capítulo V del RGPD:

• Cláusulas Contractuales Tipo (CCT/SCC) aprobadas por la Comisión Europea mediante Decisión de Ejecución (UE) 2021/914, firmadas con el proveedor.
• EU-US Data Privacy Framework (Decisión de adecuación de la Comisión de 10 de julio de 2023), en la medida en que el proveedor esté certificado.
• Medidas suplementarias: pseudonimización del identificador interno de usuario, exclusión de datos sensibles del payload, cifrado en tránsito (TLS 1.3).

Puedes solicitar copia de las garantías aplicables escribiendo a protecciondatos@vallegalbarro.es.

• Conversaciones del asistente: mientras tu cuenta esté activa o hasta que las elimines manualmente desde la barra lateral del propio asistente. La eliminación es definitiva e inmediata en nuestros sistemas.
• Datos enviados al proveedor de IA: Fireworks AI no conserva los mensajes para entrenamiento. Los datos se procesan transitoriamente para generar la respuesta y se descartan.
• Pedidos generados: conforme a la normativa fiscal y mercantil vigente, mínimo 6 años (art. 30 del Código de Comercio) y hasta 10 años para obligaciones tributarias.
• Datos de cuenta: hasta la cancelación de la cuenta y posteriormente el plazo legal de prescripción de acciones derivadas del contrato.

El asistente no adopta decisiones individuales automatizadas con efectos jurídicos significativos sobre los usuarios en el sentido del artículo 22 del RGPD. La confirmación final del pedido, el pago y la aceptación de las condiciones se realiza siempre mediante una acción explícita del usuario en la página de checkout.

Aplicamos las medidas de supervisión humana previstas en el artículo 14 del AI Act:

• El usuario puede en todo momento ignorar las sugerencias del asistente, modificar el carrito manualmente o usar los canales tradicionales.
• El equipo comercial revisa los pedidos generados para detectar anomalías sistemáticas.
• El sistema solo añade productos al carrito tras una instrucción explícita del usuario en lenguaje natural.

Como titular de los datos, puedes ejercer en cualquier momento los siguientes derechos previstos en los artículos 15 a 22 del RGPD:

• Acceso: obtener confirmación y copia de los datos que tratamos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión («derecho al olvido»): eliminar tus datos cuando ya no sean necesarios o retires el consentimiento.
• Limitación del tratamiento en los supuestos del artículo 18 RGPD.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Retirada del consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
• No ser objeto de decisiones automatizadas (art. 22 RGPD).

Para ejercer cualquiera de estos derechos, escribe a protecciondatos@vallegalbarro.es adjuntando copia de tu DNI/NIE o documento equivalente. Responderemos en el plazo máximo de un mes (art. 12.3 RGPD).

Aplicamos las medidas exigidas por el artículo 32 del RGPD, entre ellas:

• Cifrado en tránsito mediante TLS 1.3 entre todos los componentes del sistema.
• Autenticación basada en tokens JWT con expiración y rotación de claves.
• Control de acceso por roles (RBAC) y principio de mínimo privilegio.
• Filtrado de contenido en el system prompt para mitigar inyecciones de prompt y exfiltración de datos.
• Registros de auditoría de las llamadas al modelo de IA y a las herramientas internas.
• Revisión periódica de los acuerdos con encargados del tratamiento.
• Plan de respuesta a brechas de seguridad y notificación a la AEPD en menos de 72 horas si procede.

El sistema y este documento dan cumplimiento a las siguientes normas:

• Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial). En particular, su artículo 50 sobre obligaciones de transparencia.
• Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD). Artículos 5, 6, 12, 13, 14, 15-22, 28, 32, 35 y 44-49.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
• Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).
• Guía de la Agencia Española de Protección de Datos (AEPD) «Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial».

Para cualquier consulta relacionada con el tratamiento de tus datos personales o el uso de este sistema de IA, puedes escribirnos a:

Correo electrónico: protecciondatos@vallegalbarro.es

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos:

• Sede electrónica: www.aepd.es
• Dirección postal: C/ Jorge Juan, 6. 28001 Madrid.
• Teléfono: 901 100 099 / 91 266 35 17.

También puedes acudir, con carácter previo, al delegado de protección de datos del responsable a través del correo electrónico indicado.