1. Objeto
Este Acuerdo de Tratamiento de Datos (en adelante, "DPA") complementa los Términos de Servicio de Lexiel y se aplica al tratamiento de datos personales que Lexiel realiza por cuenta del usuario profesional (el "Responsable del Tratamiento") en el marco de la prestación del servicio.
Este DPA se celebra en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).
2. Definiciones
- Responsable: El abogado o despacho que utiliza Lexiel y determina los fines del tratamiento de datos de sus clientes.
- Encargado: Codelabs Studio, S.L. (CIF B88708797), titular del servicio Lexiel (nombre comercial), que trata los datos por cuenta del Responsable.
- Datos Personales: Cualquier información que identifique o pueda identificar a una persona física, incluida la contenida en documentos legales subidos a la plataforma.
- Subencargado: Terceros que tratan datos por cuenta de Lexiel (ver sección 6).
3. Finalidad y Duración del Tratamiento
Lexiel trata los datos personales exclusivamente para:
- Analizar documentos legales subidos por el Responsable
- Procesar consultas jurídicas mediante IA
- Verificar citas y referencias legales
- Generar escritos y documentos jurídicos
La duración del tratamiento coincide con la vigencia de la suscripción. Al finalizar, los datos se eliminan según lo establecido en los Términos de Servicio (máximo 90 días tras la cancelación).
4. Obligaciones de Lexiel como Encargado
Lexiel se compromete a:
a) Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable b) Garantizar que las personas autorizadas para tratar datos se han comprometido a respetar la confidencialidad c) Adoptar las medidas técnicas y organizativas apropiadas (Art. 32 RGPD):
- Cifrado en tránsito (TLS), cifrado de tokens de integración y certificados (AES-256-GCM) y de las copias de seguridad
- Control de acceso basado en roles (RBAC)
- Aislamiento de datos por organización (multi-tenant con segregación)
- Registros de acceso y auditorías periódicas d) No recurrir a otro encargado sin autorización previa del Responsable e) Asistir al Responsable en el cumplimiento de sus obligaciones (derechos de interesados, EIPD, notificación de brechas) f) Suprimir o devolver los datos al finalizar la prestación del servicio g) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento
5. Notificación de Brechas de Seguridad
En caso de brecha de seguridad que afecte a datos personales tratados por cuenta del Responsable:
- Lexiel notificará al Responsable sin dilación indebida y en un plazo máximo de 48 horas desde su detección
- La notificación incluirá: naturaleza de la brecha, datos afectados, medidas adoptadas, recomendaciones
- Lexiel cooperará con el Responsable para que este pueda cumplir con sus obligaciones de notificación a la AEPD (72 horas) y a los interesados (Art. 33-34 RGPD)
6. Subencargados
Lexiel utiliza los siguientes subencargados:
| Subencargado | Finalidad | Ubicación | Garantías |
|---|---|---|---|
| Hetzner Online GmbH | Infraestructura (servidor dedicado) | UE (Alemania) | Infraestructura propia |
| codelabs.studio | Base de datos PostgreSQL (VPS) | UE | Infraestructura propia |
| Google Cloud (Vertex AI) | Procesamiento de IA (chat, escritos, análisis de documentos, búsqueda y reordenación) y embeddings | UE | Tratamiento en la UE (multirregión de la UE); sin proveedores de respaldo fuera de ella |
| AssemblyAI | Transcripción de audio con identificación de interlocutores; borrado en el proveedor al recibir el resultado | UE | Tratamiento en la UE |
| Cloudflare R2 | Almacenamiento de documentos | UE | Decisiones de adecuación |
| Stripe | Procesamiento de pagos | EE.UU./UE | SCCs, certificación SOC 2 |
| Mailcow (mail.codelabs.studio) | Envío de emails transaccionales (SMTP propio, proveedor principal) | UE (Alemania) | Infraestructura propia |
| Resend | Envío de emails transaccionales (proveedor de respaldo) | EE.UU. | SCCs |
El Responsable autoriza expresamente los subencargados listados. Lexiel informará al Responsable con 30 días de antelación antes de incorporar nuevos subencargados, otorgando al Responsable la posibilidad de oponerse.
7. Transferencias Internacionales
Las transferencias de datos fuera del EEE se realizan exclusivamente al amparo de:
- Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea (Decisión 2021/914)
- Decisiones de adecuación cuando existan
8. Derechos de Auditoría
El Responsable tiene derecho a verificar el cumplimiento de este DPA mediante:
- Solicitud de información sobre las medidas técnicas y organizativas
- Auditoría presencial o remota, con preaviso de 30 días (máximo una vez al año, salvo causa justificada)
- Revisión de certificaciones y resultados de auditorías de terceros
9. Modificaciones
Este DPA podrá ser actualizado para reflejar cambios normativos o en los subencargados. Las modificaciones sustanciales serán notificadas con 30 días de antelación.
10. Contacto
Para cualquier cuestión relativa a este DPA:
- Email: hola@lexiel.ai
- Dirección: Pasaje Federico García Lorca, 6, 3º E, 29130 Alhaurín de la Torre (Málaga), España
11. Ley Aplicable y Jurisdicción
Este DPA se rige por la legislación española. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Málaga, con renuncia expresa a cualquier otro fuero que pudiera corresponderles, salvo que la normativa imperativa aplicable disponga otro.