Políticas de Privacidad, cookies y Protección de Datos del SV
Versión SV-PRIVACIDAD-2.4 · 24 de octubre de 2026.
Identificación institucional y contacto
Responsable del tratamiento: Juan Antonio Lloret Egea, titular de La Biblia de la IA — The Bible of AI (ISSN 2695-6411). Iniciativa de carácter no comercial y de investigación sobre el gobierno de la IA y la naturaleza y necesidad de su uso.
La publicación se identifica como La Biblia de la IA — The Bible of AI, ISSN 2695-6411. El ISSN identifica el título editorial; no acredita por sí solo personalidad jurídica ni sustituye la identificación del responsable del tratamiento. El carácter no comercial de una iniciativa no elimina las obligaciones de protección de datos.
La identificación institucional se consulta en Instituto Tecnológico Virtual de la Inteligencia Artificial para el Español® (ITVIA). La naturaleza y adscripción del servicio se describen en Sistema Vectorial SV. El SV es un área especializada de ITVIA; no se presenta como una persona jurídica independiente.
El canal de atención es el Departamento de protección de datos y políticas de seguridad, mediante el formulario de ejercicio de derechos. No necesita una cuenta del Gestor. El departamento atiende por cuenta del responsable de la instalación: su denominación no sustituye la identificación jurídica de dicho responsable. La identidad del responsable se muestra al comienzo de esta política y en los avisos de recogida. Si está pendiente de configurar, no debe presentarse la identificación como completa ni atribuirla automáticamente a una persona o marca.
Cada institución que instale el SV deberá identificar a su propio responsable y configurar su propio canal. Los enlaces de ITVIA identifican este servicio; no convierten a ITVIA en responsable de los tratamientos autónomos de otras instituciones.
Datos y finalidades
| Actividad | Información necesaria | Finalidad y base |
|---|---|---|
| Identificación y permisos | Identificador de cuenta, perfil autorizado, vigencia y datos de contacto necesarios | Gestionar accesos solicitados y conservar la trazabilidad. La institución debe documentar la base del artículo 6 RGPD que corresponda a su relación con el usuario. |
| Solicitudes de derechos | Identificación suficiente, correo, derecho solicitado, explicación y representación cuando proceda | Atender obligaciones en materia de protección de datos: artículo 6.1.c RGPD, en relación con los derechos aplicables. |
| Seguridad y funcionamiento | Eventos técnicos, fechas, resultado y referencias de actuación; límites temporales de conexión | Proteger confidencialidad, integridad y disponibilidad. La institución debe concretar la base jurídica y la proporcionalidad; no se autoriza vigilancia indiscriminada. |
| Preferencias solicitadas | Idioma y opciones de accesibilidad | Prestar las funciones elegidas por el usuario. No se utilizan para publicidad. |
No incluya contraseñas, claves de API, documentos de identidad, historias clínicas ni datos innecesarios de terceros en los formularios. No se solicitan adjuntos para iniciar el ejercicio de derechos. Si existen dudas razonables de identidad o representación, se pedirá únicamente la información adicional proporcionada al caso.
Solicitudes, acuse y copia
Cada envío admitido recibe una referencia numerada y una fecha de entrada en UTC, visibles en pantalla. Se registra la solicitud completa antes de emitir el acuse y se prepara el aviso al departamento. La recepción inicial no depende de que el correo llegue a su destino.
Se envía al correo declarado un acuse mínimo con referencia, fecha y código de confirmación de un solo uso, válido durante 24 horas, con protección de frecuencia por conexión; los códigos incorrectos de terceros no invalidan el código legítimo. Confirmar acredita el control del buzón, no por sí solo la identidad. Después se envía la copia íntegra de los datos aportados, evitando remitirlos a una dirección errónea antes de comprobarla. El código no permite consultar otros datos del SV, obtener una cuenta ni ampliar permisos.
Si no puede confirmar el correo o su entrega falla, la solicitud inicial sigue registrada para su atención. El departamento examina esos casos y, cuando sea necesario, facilita un medio proporcionado de verificación o comunicación. No debe presentarla otra vez sólo por ese motivo. La confirmación, su caducidad o el estado del correo no reinician la fecha de entrada.
El plazo ordinario es de un mes desde la recepción. Una ampliación de hasta dos meses adicionales requiere las circunstancias y comunicaciones del artículo 12.3 RGPD; no se aplica automáticamente. La decisión, su fundamento y la comunicación deben quedar registrados. Una aceptación del servidor de correo no demuestra lectura ni resolución.
Puede solicitar información, acceso, rectificación, supresión, limitación, oposición, portabilidad o retirada del consentimiento cuando proceda, y comunicar incidencias. El ejercicio no exige aceptar publicidad ni tratamientos ajenos. Puede reclamar ante la Agencia Española de Protección de Datos u otra autoridad competente.
Información en formularios y correos
Los formularios incluyen un aviso junto a sus controles, con finalidad, responsable, política y canal de derechos. Los mensajes de acuse, confirmación, copia, permisos y solicitudes incorporan la información de privacidad antes de su envío. La versión y la huella del contenido completo quedan registradas. Un reintento conserva el mismo aviso; no se reescriben los correos históricos ya enviados.
La copia de una solicitud reproduce lo que la persona aportó. No es una respuesta al derecho de acceso ni una relación de los datos que el SV conserva sobre ella. El departamento debe examinar el contenido aunque la categoría elegida sea «Información», preparar la respuesta que proceda y registrar su comunicación.
El personal con la función «Departamento de protección de datos» y la administración acceden a los expedientes. La herramienta separa comprobación de identidad, localización de fuentes, preparación y envío revisado de la respuesta. Muestra el vencimiento calculado por meses naturales desde la entrada; no concede prórrogas automáticas. Las medidas sobre datos y su alcance deben quedar documentadas. La persona solicitante no necesita aceptar publicidad ni renunciar a derechos.
Protección contra abusos y accesibilidad
Se emplean comprobación de origen, formularios de un solo uso, un campo de control no destinado a las personas y límites temporales de envíos. La confirmación por correo reduce envíos suplantados. Estas medidas no equivalen a una comprobación documental de identidad. No se exige resolver un CAPTCHA visual en este formulario. Si una protección dificulta el ejercicio, la institución debe facilitar asistencia y una vía accesible; no puede convertir una incidencia técnica en una denegación del derecho.
Destinatarios, proveedores y aislamiento de IA
Sólo el personal autorizado puede tramitar el registro privado. Se utilizan los servicios de identificación, alojamiento, seguridad, accesibilidad y correo que tenga configurados la instalación. En este servicio intervienen GitHub para la identificación cuando se solicita, Cloudflare para la distribución y seguridad, UserWay como apoyo a la accesibilidad de las personas con discapacidad, sólo tras aceptar su categoría y los proveedores de transporte y recepción del correo institucional.
La institución debe mantener sus contratos, condiciones de encargo, ubicaciones y, cuando proceda, garantías de transferencias internacionales. Utilizar un proveedor conocido no acredita por sí solo la conformidad del tratamiento.
La política Aislamiento del SV de IAs externas permite comprobar la conexión y el catálogo sin contenido. El recuento oficial disponible para Anthropic, Gemini, OpenAI, Kimi y Grok constituye una entrega documental distinta: exige autorización expresa del Evaluador por expediente y transmite el manifiesto, las fuentes y los cuadernillos completos, sin soluciones ni plantilla correctora. El servicio recibe el contenido para estimar tokens, no para generar respuestas. La institución debe comprobar su permiso sobre los documentos y las condiciones aplicables al proveedor. Las solicitudes de derechos, los historiales de usuarios y los archivos ajenos al expediente no se incorporan al recuento. El examen de cada candidato de esta convocatoria exige una habilitación independiente del expediente y de sus condiciones, seguida del lanzamiento del Evaluador. Se entregan sólo los documentos previstos, sin soluciones; se conservan respuesta, mediciones y corrección. La retirada impide continuar. Los demás envíos y la producción siguen bloqueados.
Conservación y seguridad
Las solicitudes y actuaciones se conservan en un registro privado distinto de la cola de correo. Sus huellas detectan alteraciones accidentales, pero no constituyen por sí solas una firma electrónica ni cifrado. Los permisos, las medidas del sistema y la protección de las copias deben complementarlas.
El responsable debe fijar y aplicar un calendario de conservación por finalidad y obligación legal, incluido el bloqueo cuando proceda y la retirada de copias. Ni el historial íntegro justifica una conservación ilimitada ni una solicitud de supresión obliga a destruir pruebas que deban conservarse legalmente. Las reglas institucionales de conservación, las relaciones contractuales y la identificación jurídica completa necesitan recepción competente antes de declarar cumplimiento integral.
Los derechos no se resuelven automáticamente mediante un modelo. No se realizan decisiones automatizadas sobre la procedencia de una solicitud.
Cookies y almacenamiento del navegador
Las cookies propias del Gestor son técnicas o responden a una preferencia expresamente elegida. Se emiten con Secure, HttpOnly, SameSite=Lax y sin un dominio compartido. No contienen documentos ni claves de API.
| Familia | Uso | Duración |
|---|---|---|
| sv_*_sesion y sv_comun_sesion, con prefijo __Host- en el servicio público | Sesión autenticada | Vigencia de la sesión; se elimina al cerrarla. |
| sv_*_retorno | Vincular el retorno de identificación al navegador | 10 minutos. |
| sv_alta_, sv_proveedores_ y sv_privacidad | Proteger el envío del formulario | 20 minutos. |
| __Host-sv_idioma | Recordar el idioma elegido | 30 días. |
Cloudflare puede utilizar cookies técnicas de seguridad, como cf_clearance. Su presencia y duración dependen de la protección aplicada; consulte su información de cookies. UserWay permanece bloqueado hasta la aceptación de su categoría en el Gestor. Al aceptarla se descarga su código y se establecen conexiones con el proveedor, que recibe la dirección IP y datos técnicos. Comunica que guarda preferencias de accesibilidad en almacenamiento local o de sesión; puede restablecerlas desde su menú. El almacenamiento local también debe someterse a las reglas aplicables, aunque no sea una cookie.
Esta relación distingue las funciones conocidas; la institución debe verificar las cookies y comunicaciones efectivas de su despliegue y mantenerla actualizada. No se habilitan analítica publicitaria ni cookies opcionales mediante este aviso. Si se incorporan tecnologías no exentas, deben bloquearse previamente y ofrecer aceptación y rechazo con facilidad equivalente, elección granular y retirada del consentimiento. No debe exigirse aceptar todas las cookies para ejercer derechos.
La política y configuración de cookies permite revisar la declaración específica de esta instalación y modificar las preferencias cuando existan finalidades opcionales. La cookie técnica __Host-sv_cookies conserva esa elección durante la sesión del navegador; su valor indica la versión y las categorías elegidas, sin un identificador de seguimiento. El comprobante técnico del formulario dura veinte minutos. Una modificación de las finalidades invalida la elección anterior. El responsable dispone de un inventario de nombres observados; la detección no atribuye por sí sola necesidad ni consentimiento.
Normativa y revisión
Referencias: RGPD, en particular artículos 5, 6, 12–22, 25, 28, 30, 32–35 y 44 y siguientes, LOPDGDD, artículo 22.2 LSSI y Guía de cookies de la AEPD.
Las medidas informáticas son parte del cumplimiento; no sustituyen las obligaciones organizativas ni su evaluación jurídica. Cada revisión debe identificar versión, fecha, cambios y responsable de su aprobación.