Contrato de encargo del tratamiento (DPA)

Este contrato de encargo del tratamiento (art. 28 del RGPD) se celebra entre el despacho participante («Responsable») y Quorax LLC («Encargado»), y se acepta al crear la cuenta. Regula el tratamiento que el Encargado realiza por cuenta del Responsable al dar acceso a la herramienta del programa Acervo: consulta y verificación de jurisprudencia y legislación oficial desde asistentes de IA, con un archivo por despacho.

El tratamiento consiste en alojar y procesar el archivo del despacho (resoluciones que consulta y cataloga, y sus escritos y notas) y los datos de las personas del despacho (nombre, correo), con la única finalidad de prestar el acceso. Dura mientras dure la participación del despacho en el programa; al terminar, se aplica lo previsto en «Devolución y supresión».

Interesados: las personas del despacho (abogados y personal). Datos: identificativos y de contacto de esas personas; y el contenido del archivo del despacho, que puede incluir datos personales presentes en resoluciones públicas y en los escritos y notas del propio despacho (sujetos al secreto profesional). El Encargado no trata categorías especiales de forma deliberada; las que pudieran aparecer en textos judiciales se tratan con la misma confidencialidad que el resto del archivo.

El Encargado: (a) trata los datos solo siguiendo instrucciones documentadas del Responsable, siendo la aceptación de las condiciones de participación la instrucción inicial; (b) garantiza la confidencialidad de quienes acceden a los datos; (c) aplica las medidas de seguridad descritas más abajo; (d) asiste al Responsable en la atención de los derechos de los interesados y en sus obligaciones de seguridad y notificación de brechas; (e) no comparte los escritos, notas ni los nombres de asuntos del despacho con nadie (es la premisa del diseño del sistema).

El Responsable autoriza el recurso a subencargados, por categorías: proveedor de alojamiento de la plataforma (servidores en la UE, Fráncfort), proveedor de alojamiento de la web, proveedor de correos de la cuenta, proveedor de infraestructura de red y proveedor de procesado puntual de texto de resoluciones públicas para su clasificación documental. El Encargado mantiene a disposición del Responsable la lista actualizada de subencargados con su identidad concreta, impone a cada uno obligaciones equivalentes a las de este contrato e informará de cualquier cambio previsto, dando al Responsable la posibilidad de oponerse.

El archivo del despacho y la plataforma se alojan en la Unión Europea. Algunos subencargados están en EE. UU.: esas transferencias se amparan en cláusulas contractuales tipo y, en su caso, en el Marco de Privacidad de Datos UE-EE. UU. El titular es una sociedad estadounidense, lo que se informa con transparencia; el Responsable lo tiene en cuenta al aceptar este contrato.

Aislamiento por despacho (base propia por instancia), cifrado en tránsito (TLS), copias de seguridad cifradas y verificadas, acceso técnico al contenido restringido al personal imprescindible y registrado en un rastro de auditoría, autenticación reforzada del personal del Encargado, y minimización: el plano de control conoce el volumen de uso, nunca el contenido de las consultas.

A la finalización del contrato, y a elección del Responsable, el Encargado devuelve o suprime el archivo del despacho y suprime las copias existentes, salvo la información que deba conservarse por obligación legal y el registro de auditoría, que se conserva de forma seudonimizada por el plazo legalmente exigible. El Responsable puede solicitar la supresión escribiendo a desteban@quorax.ai.

El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permite auditorías razonables, incluidas inspecciones, por el Responsable o un auditor por él designado.