Seguridad y cumplimiento

Todos los datos transmitidos entre tu navegador y nuestros servidores están encriptados usando TLS/SSL, asegurando que tu información permanezca privada y segura.

El hash de contraseñas con bcrypt y la gestión segura de sesiones protegen tu cuenta de accesos no autorizados.

Tus datos te pertenecen. No cedemos tus datos a terceros para fines propios de ellos; los encargados que enumera la sección 10 de la política de tratamiento de datos personales los tratan por nuestra cuenta, bajo nuestras instrucciones y con el acuerdo de tratamiento que cada uno incorpora a sus términos. Esa sección dice, uno por uno, quiénes son y qué recibe cada uno.

Los permisos granulares aseguran que los usuarios solo accedan a la información que necesitan. El dueño del despacho y los abogados tienen cada uno niveles de acceso apropiados: el abogado ve los asuntos que tiene asignados o en los que colabora.

Los datos sensibles (información personal, notas de casos) se encriptan con AES-256-GCM antes de almacenarse. Incluso en caso de acceso no autorizado a la base de datos, la información permanece ilegible.

Custodio Legal procesa los originales aportados de forma efímera. Conserva conocimiento trazable del asunto, y no el archivo, ni un enlace de nube, ni un identificador de proveedor.

Las acciones relevantes sobre datos personales quedan registradas con marca de tiempo, usuario responsable y detalle del cambio, y esos registros sobreviven a la supresión del resto de tus datos: la sección 11 de la política de tratamiento de datos personales los mantiene durante el plazo que el anexo de tu país declara, porque son la prueba de que cumplimos.

Tratamos tus datos conforme a la normativa de protección de datos de cada país donde ofrecemos el servicio: la Ley 1581 de 2012 y el Decreto 1377 de 2013 (Colombia), la Ley N° 8968 y su Reglamento, Decreto Ejecutivo N° 37554-JP (Costa Rica), la LOPDP y su Decreto Ejecutivo 904 (Ecuador), la Ley núm. 172-13 (República Dominicana), la Ley N° 18.331 y su modificativa, la Ley N° 19.670 (Uruguay), la Ley 25.326 y su Decreto 1558/2001 (Argentina) y la Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais, LGPD (Brasil). Qué dice cada una para ti lo detalla el anexo de tu país en nuestra política de tratamiento de datos personales. Implementamos los principios de tratamiento de datos: legalidad, finalidad, libertad, veracidad, transparencia, acceso, circulación restringida, seguridad y confidencialidad. Para los datos de los usuarios de la plataforma somos responsables del tratamiento; para los datos de los clientes de un despacho que viven en sus asuntos, el despacho es el responsable y nosotros el encargado, en los términos de la cláusula de encargo de los términos de servicio.

Atendemos los derechos de acceso, rectificación y cancelación de todos los titulares de datos, y el de oposición donde la ley del país lo reconoce —en Costa Rica no existe como derecho autónomo, y lo que hace sus veces es revocar tu consentimiento, como explica el anexo costarricense; en Uruguay tampoco existen la oposición ni la portabilidad, y el anexo uruguayo lo dice en vez de prometerte un plazo que su ley no fija; en Argentina tampoco existen, y su ley es además la única de los siete países que fija dos plazos distintos con dos unidades distintas para los derechos que sí reconoce, como transcribe el anexo argentino; en Brasil todos los derechos del artículo 18 de la LGPD existen, portabilidad incluida, pero el único plazo que fija la ley es el del acceso —quince días corridos, artículo 19, II— y los quince días que aplicamos a los demás salen de la Cláusula 15.3 del Anexo II de la Resolução CD/ANPD nº 19/2024, que es un contrato y no una ley, como dice el anexo brasileño—. También puedes descargar una copia estructurada y de lectura mecánica de tus datos de cuenta. Puedes ejercerlos desde 'Mi cuenta > Tu privacidad' o escribiendo a nuestro equipo de privacidad. El plazo en que respondemos, y el alcance de cada derecho, los fija la ley del país donde resides: la sección 7 de nuestra política de tratamiento de datos personales dice cómo se ejercen, y el anexo de Argentina, el de Brasil, el de Colombia, el de Costa Rica, el del Ecuador, el de la República Dominicana y el del Uruguay dicen cada uno en cuánto tiempo respondemos y con qué artículo. Esta página no repite esas cifras, para que no envejezcan antes que el instrumento que las declara.

Conservamos tus datos únicamente durante el tiempo necesario para cumplir con las finalidades del tratamiento y las obligaciones legales, conforme a la sección 11 de nuestra política de tratamiento de datos personales. Tras la terminación del servicio, los datos se eliminan o anonimizan dentro de los noventa (90) días siguientes, salvo obligación legal de conservación; los registros de autorización, de auditoría y de solicitudes de los titulares se conservan como prueba de cumplimiento.

Cuando enviamos datos fuera del país donde resides lo hacemos con la salvaguarda que reconoce la ley de ese país, y sólo con ella. Qué destinos hay y qué respalda cada envío lo dice, destino por destino, la sección 9 de nuestra política de tratamiento de datos personales; qué salvaguarda reconoce cada ley —incluido qué países ha declarado su autoridad con nivel adecuado de protección, cuando lo ha hecho— lo dicen el anexo de Argentina y el de Brasil —los dos cuyo destino se ampara hoy en un contrato modelo firmado y no en una declaración de adecuación, y el brasileño además con un modelo que el artículo 16 de la Resolução CD/ANPD nº 19/2024 obliga a adoptar «integral e sem alteração»—, el de Colombia, el de Costa Rica, el del Ecuador, el de la República Dominicana y el del Uruguay. Esta página no enumera esas listas, porque la que hoy es cierta puede dejar de serlo con una resolución.

La generación de texto la presta Nebius B.V., sociedad neerlandesa domiciliada en Schiphol Boulevard 165, 1118 BG Schiphol, Países Bajos, que opera el servicio Nebius Token Factory con el modelo GLM-5.3-Flash. Los términos de ese servicio se rigen por la ley de los Países Bajos y sus controversias se someten a los tribunales de Ámsterdam. El proveedor declara ejecutar la inferencia en centros de datos de la Unión Europea, de Israel o de Estados Unidos según el modelo.

La retención cero (zero data retention) está activada en nuestra organización de ese proveedor desde el 4 de septiembre de 2026. Según lo que ese proveedor publica, con la retención cero activada las entradas (el texto que se le envía) y las salidas (el texto que devuelve) no se almacenan en sus sistemas después de procesar cada solicitud, no se usan para la decodificación especulativa y no se usan para entrenar, afinar ni mejorar ningún modelo, ni suyo ni de un tercero; la opción rige a nivel de organización y cubre todos sus proyectos y puntos de acceso (guía legal publicada de Nebius, «Legal Quick Guide», consultada el 4 de septiembre de 2026 en el sitio de documentación del proveedor).

Te decimos también, con la misma precisión, lo que esa garantía NO resuelve: es una declaración publicada por el proveedor y no un control que hayamos auditado; rige hacia adelante y no alcanza los envíos anteriores al 4 de septiembre de 2026, sobre los cuales siguió rigiendo el tratamiento por defecto de sus términos de servicio; sus documentos publicados NO dicen si la retención cero alcanza los registros que el proveedor pueda llevar para detectar abuso del servicio, ni si se aplica igual a las respuestas entregadas en flujo (streaming), de modo que no te afirmamos ninguna de esas dos cosas; y la activación depende de nosotros, así que si alguna vez la desactiváramos actualizaríamos esta página y la política de tratamiento de datos personales antes de hacerlo.

Las representaciones vectoriales (embeddings) que hacen posible la búsqueda semántica las calcula el mismo proveedor, Nebius B.V., en la misma organización y bajo la misma retención cero, con el modelo Qwen3-Embedding-8B, que su catálogo ubica en la Unión Europea (Finlandia); según su guía legal publicada, la retención cero cubre todos los proyectos y puntos de acceso de la organización (consultada el 24 de septiembre de 2026). Hasta el 24 de septiembre de 2026 las calculaba Voyage AI (Estados Unidos), con retención de cero días por la exclusión voluntaria que tuvimos activa desde el 12 de agosto de 2026.

Quiénes más tratan datos por nuestra cuenta, qué recibe cada uno y con qué salvaguarda viaja cada envío está en nuestra lista de subencargados, que se revisa al menos una vez al año.

En caso de que se produzca una brecha de seguridad que afecte datos personales y genere un riesgo real para los derechos y libertades de los titulares, Custodio Legal notificará:

• (1) A la autoridad de control que corresponda, cuando la ley de tu país designe una y nos imponga ese aviso.
• (2) A los titulares de datos afectados, sin dilación injustificada.
• (3) Al despacho responsable, cuando el incidente afecte datos de sus asuntos, dentro de los dos (2) días hábiles siguientes, para que pueda cumplir sus propias obligaciones de notificación.

Cuál es la autoridad en cada país, y en cuántos días le avisamos a ella y a ti, lo declara nuestra política de tratamiento de datos personales en el anexo de Argentina, en el de Brasil, en el de Colombia, en el de Costa Rica, en el del Ecuador, en el de la República Dominicana y en el del Uruguay —donde además decimos cuándo el plazo lo fija la ley y cuándo lo fijamos nosotros, y donde el anexo argentino dice que su régimen no tiene autoridad a la que notificar ni plazo legal que correr, y que lo que te avisamos ahí lo avisamos por contrato, y donde el brasileño nombra a la Agência Nacional de Proteção de Dados (ANPD) y los tres días hábiles del artículo 6º de la Resolução CD/ANPD nº 15/2024—. Esta página no repite esas cifras.

La notificación incluirá: naturaleza del incidente, categorías de datos afectados, consecuencias probables, medidas adoptadas o propuestas, y datos de contacto del responsable o del delegado de protección de datos. Mantendremos un registro de todos los incidentes de seguridad, incluso aquellos que no requieran notificación.

Custodio Legal ha designado como delegado de protección de datos, conforme a los artículos 48 y 49 de la LOPDP de Ecuador, al responsable del tratamiento que identifica nuestra política de tratamiento de datos personales. En Colombia ese mismo responsable encabeza el área de protección de datos personales que la Ley 1581 de 2012 exige, y en la República Dominicana atiende las consultas y reclamos de los titulares, porque la Ley núm. 172-13 no exige una figura equivalente. En Uruguay la figura sí existe —artículo 40 de la Ley N° 19.670 y artículo 10 del Decreto N° 64/020— pero se exige a las entidades públicas, a las que tratan datos sensibles como negocio principal y a las que tratan más de 35.000 personas: hoy no se cumple ninguno de esos supuestos, y el anexo uruguayo dice cómo lo vigilamos y qué pasa el día en que se cumpla. En Argentina la figura no existe: ni la Ley 25.326 ni el Decreto 1558/2001 la regulan, y el anexo argentino lo dice como afirmación y no por omisión. En Brasil el encarregado existe —artículo 41 de la LGPD— pero la obligación de designarlo es del controlador: el artículo 6º de la Resolução CD/ANPD nº 18/2024 declara que «a indicação de encarregado por operadores é facultativa», y el anexo brasileño explica por qué no reclamamos además la dispensa de pequeno porte de la Resolução CD/ANPD nº 2/2022, que no nos corresponde. Puedes contactarlo en [email protected] o mediante la plataforma en 'Mi cuenta > Tu privacidad'. Las solicitudes de los titulares se gestionan en los plazos legales de cada país, que el anexo de ese país declara.