Política de tratamiento de datos personales

Custodio Legal es el nombre comercial bajo el cual Nicolás Rodríguez Lasso, identificado con NIT 1057602936, con domicilio en la Carrera 17 #2-81, Sogamoso, Boyacá, Colombia, presta el servicio. Puedes contactarnos en [email protected] o en el teléfono +57 333 431 8597; el área que atiende consultas y reclamos es el Área de Protección de Datos Personales, en esa misma dirección de correo.

Esta política distingue dos situaciones, porque la ley te da un interlocutor distinto en cada una:

• (i) Cuando usas la plataforma —te registras, perteneces a un despacho, trabajas en ella—, Custodio Legal es el responsable del tratamiento de tus datos personales: decide para qué se tratan y responde ante ti por ellos.
• (ii) Cuando tus datos personales aparecen en un asunto que un despacho gestiona a través de la plataforma —como cliente, contraparte o interesado en un proceso—, el responsable es ese despacho, que decidió tratarlos y debió obtener la autorización que la ley exige, y Custodio Legal actúa como encargado: trata esos datos por cuenta del despacho, bajo el contrato de servicio y sus instrucciones, y no decide sobre ellos por su cuenta. Si nos escribes para ejercer un derecho sobre datos que están en un asunto, trasladamos tu solicitud al despacho responsable dentro de los dos días hábiles siguientes, te informamos que lo hicimos y te damos sus datos de contacto para que puedas dirigirte directamente.

Los datos recolectados serán tratados de manera legal, lícita, confidencial y segura, respetando los principios de finalidad, libertad, veracidad, transparencia, acceso restringido, seguridad y confidencialidad.

El tratamiento de datos personales tiene las siguientes finalidades:

• a) Prestación de servicios de gestión legal y administrativa contratados.
• b) Gestionar la relación contractual con clientes, abogados y colaboradores.
• c) Enviar comunicaciones relacionadas con el servicio, actualizaciones y notificaciones legales.
• d) Gestión de facturación, cobro y contabilidad.
• e) Realizar encuestas de satisfacción y mejora del servicio.
• f) Cumplir obligaciones legales y requerimientos de autoridades competentes.
• g) Prevenir fraudes y garantizar la seguridad de la plataforma.

Como titular de tus datos personales, tienes los siguientes derechos, los cuales puedes ejercer de forma gratuita y en cualquier momento:

• (i) ACCESO: Conocer qué datos personales tuyos tratamos, la finalidad del tratamiento y con quién los compartimos.
• (ii) RECTIFICACIÓN: Actualizar y corregir datos parciales, inexactos, incompletos o desactualizados.
• (iii) CANCELACIÓN/SUPRESIÓN (Habeas Data): Solicitar la eliminación de tus datos cuando no sean necesarios para la finalidad que justificó su tratamiento, o cuando hayas revocado tu consentimiento, sujeto a obligaciones legales de conservación.
• (iv) OPOSICIÓN: Oponerte al tratamiento de tus datos para finalidades de marketing, elaboración de perfiles o decisiones automatizadas.
• (v) PORTABILIDAD (LOPDP Ecuador, Art. 17): Descargar desde 'Mi cuenta > Tu privacidad' una copia estructurada y de lectura mecánica de tus datos de cuenta -tu información personal, el historial de tus autorizaciones y el registro de tus propias acciones en la plataforma-. Esa descarga automática no incluye hoy los asuntos ni los documentos que tu despacho gestiona sobre ti; para acceder a esa información, presenta una solicitud de acceso por los canales de la Sección 7. Si tus datos constan en un asunto y no eres usuario de la plataforma, se aplica lo dicho en la Sección 1 (ii): el responsable es el despacho, y le trasladamos tu solicitud.
• (vi) Presentar quejas ante la autoridad de control de tu país, en los países donde existe una. Cuál es, cómo se le escribe y qué te exige antes de acudir a ella lo declara el anexo de tu país, que dice también si tu país no creó ninguna y qué vía te queda entonces.
• (vii) Revocar el consentimiento en cualquier momento, sin que ello afecte la licitud del tratamiento anterior a la revocación.

El tratamiento de datos personales requiere el consentimiento libre, previo, expreso e informado del titular. Al registrarte en la plataforma y aceptar esta política, declaras que:

• (i) Los datos proporcionados son verídicos y exactos.
• (ii) Tienes la capacidad y autoridad legal para autorizar su tratamiento.
• (iii) Comprendes las finalidades del tratamiento.
• (iv) Has sido informado de tus derechos como titular.

La autorización puede ser revocada en cualquier momento siguiendo el procedimiento establecido en esta política.

Implementamos medidas de seguridad técnicas, administrativas y organizativas para proteger tus datos:

• (i) Cifrado AES-256-GCM de los datos más sensibles que guardamos: número de documento, dirección y teléfono; descripción, objetivo y notas internas de los asuntos; y el contenido de tus conversaciones con el asistente de inteligencia artificial.
• (ii) Transmisión cifrada mediante TLS.
• (iii) Control de acceso basado en roles (RBAC).
• (iv) Registros de auditoría de las acciones relevantes sobre tus datos, que no se eliminan.
• (v) Copias de seguridad de la base de datos en la infraestructura del proveedor de alojamiento descrito en la Sección 10.
• (vi) Vigilancia de patrones de acceso indebido, como ráfagas de intentos de inicio de sesión fallidos o descargas inusuales de información.

Estas medidas responden a lo que exigen la Ley 1581 de 2012, la LOPDP, el artículo 5, numeral 5, y el artículo 13, numeral 2, de la Ley núm. 172-13 de la República Dominicana y el artículo 10 de la Ley N° 8968 de Costa Rica —que manda adoptar «las medidas de índole técnica y de organización necesarias para garantizar la seguridad de los datos de carácter personal»—, y a las buenas prácticas de la industria.

Si detectamos un incidente de seguridad que ponga en riesgo tus datos personales, te lo notificamos sin dilación injustificada y avisamos a la autoridad de control de tu país, en los países donde existe una ante la cual presentarlo. A qué autoridad le avisamos, en qué plazo, en qué plazo te avisamos a ti, y si ese plazo lo fija una norma o lo adoptamos nosotros por decisión propia, lo declara el anexo de tu país.

Para ejercer tus derechos como titular de datos, puedes contactarnos a través de:

• (i) Correo electrónico: [email protected]
• (ii) A través de tu cuenta en 'Mi cuenta > Tu privacidad'.

Qué trámites distingue tu ley, en cuántos días respondemos cada uno, desde cuándo se cuentan y qué prórroga admiten lo declara el anexo de tu país, cada plazo con la norma que lo fija o con la advertencia de que es nuestro y no de la ley.

Mientras tramitamos un reclamo, el registro correspondiente queda marcado como «reclamo en trámite» dentro de los dos días hábiles siguientes, para que nadie lo trate como si no estuviera cuestionado. Si tu reclamo está incompleto, te lo decimos dentro de los cinco (5) días hábiles siguientes para que lo completes; si pasan dos meses sin que respondas, entendemos que desististe, y puedes volver a presentarlo cuando quieras. Esas tres cosas las hacemos igual en los cuatro países.

Puedes ejercer tus derechos de Acceso, Rectificación, Cancelación y Oposición directamente desde tu cuenta en 'Mi cuenta > Tu privacidad'. También puedes enviar una solicitud por escrito a [email protected] indicando:

• (i) Tu nombre completo y documento de identidad.
• (ii) Descripción de los hechos y petición.
• (iii) Dirección física o electrónica para notificaciones.
• (iv) Documentos de soporte si aplica.

Custodio Legal puede tratar datos sensibles únicamente cuando sea estrictamente necesario para la prestación del servicio legal y con tu autorización expresa. Los datos sensibles incluyen aquellos que revelan origen racial o étnico, orientación política, convicciones religiosas, pertenencia a sindicatos, datos de salud, vida sexual, y datos biométricos. Estos datos recibirán protección reforzada.

Un expediente judicial puede contener datos sensibles y también datos de niñas, niños y adolescentes. Custodio Legal no te pide esos datos ni los recoge por su cuenta: llegan a la plataforma dentro del expediente que el despacho gestiona, y es el despacho —como responsable— quien debe haber obtenido la autorización que la ley exige para tratarlos. No estás obligado a autorizar el tratamiento de datos sensibles y nadie puede condicionarte un servicio a que lo hagas; los datos de menores sólo pueden tratarse respetando su interés superior y sus derechos fundamentales, y quien ejerce sus derechos es su representante legal. Los tratamos con las mismas medidas de seguridad de la Sección 5, sin usarlos para ninguna finalidad distinta de la gestión del asunto en el que constan.

Tus datos pueden ser transferidos y procesados en terceros países. En Estados Unidos están nuestro proveedor de alojamiento e infraestructura, el de correo electrónico transaccional, el de pasarela de pagos, el de monitoreo técnico, el de red y protección del sitio y de la aplicación, y el proveedor de las representaciones vectoriales (embeddings), todos descritos en la Sección 10, y también Google, que no es encargado sino responsable independiente y del que habla la Sección 15. En los Países Bajos está domiciliado el proveedor de generación de texto por Inteligencia Artificial descrito en las Secciones 10 y 14, que declara ejecutar la inferencia en centros de datos ubicados en la Unión Europea, Israel o Estados Unidos según el modelo.

Esos destinos son los mismos para los titulares de todos los países en los que ofrecemos el Servicio. Lo que cambia con tu país es la salvaguarda que respalda cada envío: si tu ley reconoce países con un nivel adecuado de protección y cuáles son, si el envío a un encargado cuenta o no como transferencia, y qué artículo permite la que sí lo es. Eso lo declara el anexo de tu país, con la norma que lo sostiene, en su sección de transferencia internacional.

Dos cosas valen igual en los cuatro países, y por eso están acá y no en un anexo: al aceptar esta política otorgas tu consentimiento expreso e informado para la transferencia, con conocimiento de cuál es el destino y de qué salvaguarda lo respalda; y la Sección 14 (iii) dice, proveedor por proveedor, qué garantía está efectivamente escrita y cuál no.

Para la prestación de nuestros servicios, compartimos datos con terceros encargados del tratamiento que actúan bajo nuestras instrucciones. Cada uno incorpora a sus términos de servicio un acuerdo de tratamiento de datos que aceptamos al contratarlo y que lo obliga a tratar tus datos por nuestra cuenta y no para fines propios. No todos los terceros con los que intercambiamos datos son encargados: Google no lo es, y por eso no está en esta lista sino en la Sección 15.

• (i) Railway (Estados Unidos) - Alojamiento de la plataforma: los servidores, la base de datos, la cola de tareas y sus copias de seguridad. Es el encargado que aloja todos los datos que la plataforma guarda.
• (ii) Resend (Estados Unidos) - Envío de correo electrónico transaccional: recibe tu dirección de correo y el contenido de los avisos.
• (iii) Polar.sh (Estados Unidos) - Pasarela de pagos y facturación: recibe el correo de contacto y el nombre del despacho.
• (iv) Nebius B.V., sociedad neerlandesa domiciliada en Schiphol Boulevard 165, 1118 BG Schiphol, Países Bajos, que opera el servicio Nebius Token Factory - Generación de texto con el modelo GLM-5.3-Flash para las funciones de Inteligencia Artificial: resumen, análisis profundo, redacción de documentos y preguntas con citas sobre tus documentos. Los términos de ese servicio se rigen por la ley de los Países Bajos y sus controversias se someten a los tribunales de Ámsterdam. El proveedor declara ejecutar la inferencia en centros de datos ubicados en la Unión Europea, Israel o Estados Unidos según el modelo, indica en su catálogo el país de cada uno y publica la lista de los subencargados que designa.
• (v) Voyage AI (Estados Unidos) - Generación de las representaciones vectoriales (embeddings) del texto de tus documentos, que hacen posible la búsqueda semántica de la función de preguntas con citas (Q&A).
• (vi) Proveedores alternos de generación de texto, registrados en la plataforma y sin tráfico hoy: Anthropic (Estados Unidos) y JINGSHENG HENGXING TECHNOLOGY PTE. LTD., domiciliada en 10 Anson Road #26-03, Singapur, que opera el servicio z.ai. Ninguno de los dos recibe datos tuyos: la plataforma conserva su conexión configurada para poder volver a ellos si el proveedor de la letra (iv) deja de estar disponible. Activar uno cambiaría el encargado y la jurisdicción de la transferencia, así que no lo haríamos sin subir la versión de esta política y pedirte una autorización nueva, conforme a la Sección 12.
• (vii) Sentry (Estados Unidos) - Monitoreo técnico de errores: recibe la ruta donde ocurrió el error y tu identificador interno de usuario; antes de enviar cada evento eliminamos tu correo, tu nombre y tu dirección IP.
• (viii) Cloudflare (Estados Unidos) - Red de entrega y protección del sitio y de la aplicación: todo el tráfico entre tu navegador y nosotros pasa por su red, de modo que procesa en tránsito la dirección IP y los metadatos de cada conexión; controla además el acceso a nuestra documentación interna.

No afirmamos haber negociado con ninguno de ellos cláusulas distintas de las que sus propios términos incorporan, ni tener un contrato firmado por separado, ni que tengan certificaciones de seguridad que hayamos auditado: la Sección 14 (iii) dice exactamente qué está escrito para los proveedores de Inteligencia Artificial. No conservamos el archivo original que cargas a un asunto: se procesa de forma transitoria para extraer su contenido y luego se elimina. Lo que guardamos es el texto extraído, para que el asunto se pueda buscar y consultar; el archivo en sí nunca se comparte con estos encargados. El reconocimiento óptico de caracteres (OCR) de ese texto ocurre en un servicio propio, dentro de nuestra propia infraestructura, y no sale hacia ningún proveedor externo.

Conservamos tus datos personales mientras exista una relación con el despacho que te presta el servicio y mientras subsistan las obligaciones legales y contractuales que justifican conservarlos. No eliminamos datos automáticamente por el paso del tiempo: se eliminan o anonimizan cuando corresponde, por ejemplo al aprobar una solicitud de cancelación tuya (Sección 3, Habeas Data). Cuando la cuenta de tu despacho termina, eliminamos o anonimizamos los datos que la plataforma guarda de ese despacho dentro de los noventa (90) días siguientes a la terminación, salvo obligación legal de conservación. Hay una excepción deliberada: los registros de tu autorización, de auditoría y de tus propias solicitudes ARCO sobreviven a esa supresión, incluso después de que el resto de tus datos se anonimice, porque son la prueba de que cumplimos con esta política. No los conservamos indefinidamente ni porque lo decidamos nosotros: cuánto tiempo se conserva cada uno, y la norma que lo obliga o lo limita, lo dice el anexo de tu país en su sección «Conservación tras la terminación», que es el texto que rige sobre esta Sección.

La versión vigente de esta política es la 0.0.12, en vigor desde el 10 de septiembre de 2026. La versión 0.0.12 corrige lo que la Sección 11 prometía de más: decía que los registros de tu autorización, de auditoría y de tus solicitudes ARCO «no se eliminan nunca», cuando los anexos por país —que mandan sobre este tronco desde la 0.0.8— los atan a una norma y a un plazo. El anexo dominicano los sujeta al plazo de prescripción de las responsabilidades nacidas del tratamiento (Ley núm. 172-13, artículo 15) y el costarricense al techo de diez años del artículo 11 del Reglamento a la Ley N° 8968, Decreto Ejecutivo N° 37554-JP. «Nunca» es más tiempo del que cualquiera de esos dos admite, así que el tronco deja de fijar esa ventana y remite a la del anexo de tu país, que es donde está escrita con la norma que la sostiene. No cambia quién trata tus datos, ni dónde, ni para qué, ni las dos ventanas que tu anexo publica —el aviso a los sesenta (60) días de terminada la relación y la supresión a los noventa (90)—: cambia que este tronco deja de prometer una conservación más larga que la que tu propia ley admite. Por eso no te pedimos una autorización nueva y la que diste sobre la 0.0.11 —o sobre la 0.0.10 o la 0.0.9— sigue cubriendo este texto, con tu registro intacto. Reemplaza a la versión 0.0.11, que rigió desde el 10 de septiembre de 2026. La versión 0.0.11 corrige dos cosas que el propio texto se desmentía. La primera: las Secciones 6 y 9 seguían contando tres países cuando son cuatro desde la 0.0.9, que es la misma versión que los nombra de a cuatro en el preámbulo, en la Sección 12 y en la Sección 13. La segunda vive sólo en la traducción al inglés y es la que importa para poder comprobarnos: las normas de Colombia y del Ecuador estaban traducidas —«Statutory Law 1581 of 2012», «Executive Decree 904»— junto a las de la República Dominicana y Costa Rica, que sí estaban transcritas. Una norma traducida no se puede contrastar contra el diario oficial que la publicó. Desde esta versión las cuatro se nombran como las publica su fuente, en español, con una glosa en inglés la primera vez, que es como los ocho anexos por país ya lo hacían. No cambia ni un dato, ni un destino, ni un plazo, ni quién trata tus datos: por eso no te pedimos una autorización nueva y la que diste sobre la 0.0.10 —o sobre la 0.0.9— sigue cubriendo este texto, con tu registro intacto. Reemplaza a la versión 0.0.10, que rigió desde el 10 de septiembre de 2026. La versión 0.0.10 completa con las normas dominicanas y costarricenses una línea que enumeraba sólo dos países desde antes de que hubiera un tercero: la Sección 5 nombra ahora, junto a la Ley 1581 y a la LOPDP, los artículos 5 y 13 de la Ley núm. 172-13 y el artículo 10 de la Ley N° 8968 como las normas de las que salen las medidas de seguridad que ya aplicábamos. No cambia ni una medida, ni quién trata tus datos, ni dónde, ni ningún plazo: cambia que tu norma quede escrita con su artículo en vez de quedar cubierta por una fórmula general. Por eso no te pedimos una autorización nueva: la que diste sobre la 0.0.9 sigue cubriendo este texto, y tu registro de autorización se conserva intacto. Reemplaza a la versión 0.0.9, que rigió desde el 10 de septiembre de 2026. La versión 0.0.9 suma a Costa Rica: el servicio se ofrece ahora en cuatro países y esta política nombra también la Ley N° 8968 y su Reglamento, Decreto Ejecutivo N° 37554-JP, con el anexo costarricense que dice qué significan para ti. No cambia quién trata tus datos, ni dónde, ni para qué, ni ningún plazo de los demás países: lo que cambia es la lista de leyes que la rigen. Aun así te pedimos una autorización nueva sobre este texto, porque la plataforma prefiere volver a preguntar antes que dar por buena una autorización dada sobre otra redacción, y tu registro de autorización anterior se conserva intacto como prueba de lo que autorizaste entonces. Reemplaza a la versión 0.0.8, que rigió desde el 9 de septiembre de 2026. La versión 0.0.8 no cambia ni un dato, ni un destino, ni un plazo: reparte el mismo texto entre este tronco y el anexo de tu país. Desde que los tres anexos se publicaron, la autoridad de control, los plazos de atención de tus derechos, el aviso de incidentes y el fundamento de la transferencia internacional estaban dichos dos veces, una acá en general y otra en el anexo con la norma que la sostiene. Ahora este tronco dice la regla que valía igual en los tres que entonces se ofrecían y remite al anexo, y el anexo dice lo que tu ley concreta. Lo que autorizas es lo mismo; lo que cambia es que está escrito una sola vez y en el documento que cita tu norma. Reemplaza a la versión 0.0.7, que rigió desde el 9 de septiembre de 2026 y que corrige la figura jurídica de Google: hasta la 0.0.6 esta política lo listaba entre los encargados del tratamiento de la Sección 10, bajo un encabezado que afirma que cada tercero de esa lista actúa bajo nuestras instrucciones y tiene con nosotros un acuerdo de tratamiento de datos. No es así. Los dos usos que le damos —el inicio de sesión y la etiqueta de Ads del sitio público— se rigen por condiciones entre responsables independientes, que la Sección 15 nueva cita por versión y explica: qué cambia en la salvaguarda de la transferencia, que ningún instrumento suyo lo obliga a avisarnos una brecha, y ante quién ejerces tus derechos. No cambia ningún dato que Google reciba ni ningún destino: cambia lo que esta política afirmaba de él, que no era exacto. Reemplaza a la versión 0.0.6, que rigió desde el 4 de septiembre de 2026, a la 0.0.5, que rigió desde septiembre de 2026, a la 0.0.4, que rigió desde septiembre de 2026, a la 0.0.3, que rigió desde agosto de 2026, a la 0.0.2, que rigió desde agosto de 2026, y a la 0.0.1, que rigió desde febrero de 2026. La versión 0.0.6 nombró, uno por uno, encargados del tratamiento que las versiones anteriores describían de forma genérica o no mencionaban —el proveedor de alojamiento, el de correo, el de pagos, el de monitoreo, Google y Cloudflare—, declara nuestro papel de encargado sobre los datos que constan en los asuntos de un despacho, y corrige los plazos de respuesta, la notificación de incidentes y las salvaguardas de cada destino. Como la lista de encargados que autorizas cambia, la plataforma te pedirá una autorización nueva sobre este texto, y tu registro de autorización anterior se conserva intacto como prueba de lo que autorizaste entonces. La versión 0.0.5 sólo declaró la retención cero del proveedor de generación de texto, sin cambiar el encargado ni la jurisdicción, y por eso no pidió una autorización nueva; la 0.0.4 cambió el encargado que genera el texto de las funciones de Inteligencia Artificial y la jurisdicción de esa transferencia —de JINGSHENG HENGXING TECHNOLOGY PTE. LTD. (Singapur) a Nebius B.V. (Países Bajos)— y sí la pidió. Cada versión permanece vigente hasta que sea reemplazada por una nueva. Nos reservamos el derecho de modificar esta política en cualquier momento. Te notificaremos cualquier cambio material por correo electrónico o mediante un aviso destacado en la plataforma con al menos 15 días de anticipación. Cuando el cambio altere lo que autorizas —quién trata tus datos, dónde, o para qué—, no basta con la notificación: la plataforma te pedirá una autorización nueva sobre el texto vigente antes de que puedas continuar, y el registro de la autorización anterior se conserva intacto. En los demás casos, el uso continuado del servicio después de la notificación constituye aceptación de los cambios.

Esta política se rige por la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013 (Colombia), por la Ley Orgánica de Protección de Datos Personales y su Decreto Ejecutivo 904 (Ecuador), por la Ley núm. 172-13 sobre protección integral de los datos personales (República Dominicana) y por la Ley N° 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales y su Reglamento, Decreto Ejecutivo N° 37554-JP (Costa Rica), los cuatro países en los que ofrecemos el servicio; a cada titular le aplica la normativa de su país de residencia, que el anexo de ese país detalla. Esta política se redacta en español y publicamos también una traducción al inglés para que puedas leerla en ese idioma; en caso de discrepancia entre las dos versiones, prevalece la versión en español.

Custodio Legal ofrece funcionalidades basadas en Inteligencia Artificial (actualmente: resumen de caso y de servicio, análisis profundo, redacción de documentos y preguntas con citas sobre tus documentos, conocidas como Q&A) de carácter opcional, activadas por el usuario. El tratamiento mediante IA se rige por los siguientes principios:

• (i) BASE LEGAL: Consentimiento expreso, otorgado de dos maneras según quién dispare la operación. En las funciones que inicias tú -resumen, análisis profundo, redacción de documentos y preguntas con citas- el consentimiento se otorga al ejecutar cada operación sobre el caso o servicio en el que trabajas, acto voluntario que descuenta cupo de tokens de tu firma. En los tratamientos que corren sin clic, enumerados uno por uno en el literal (viii), se otorga al aceptar esta política -que los describe- y al cargar el documento o actualizar el asunto que los dispara. En ambos casos el tratamiento se limita a lo necesario para prestar el servicio contratado.
• (ii) MINIMIZACIÓN DE DATOS: A cada proveedor se envía únicamente lo necesario para la operación que solicitas, y lo que se envía depende de la función. En el resumen, el análisis profundo y la redacción de documentos se envía el texto del caso o servicio activo -descripción, partes y un número acotado de las actuaciones más recientes-, y NO se envían los documentos adjuntos. En la función de preguntas con citas (Q&A) SÍ se envía el contenido de tus documentos: cuando tu plan la habilita, al terminar el reconocimiento óptico (OCR) de un documento su texto se envía a Voyage AI para generar su representación vectorial, y al hacer una pregunta los fragmentos de documento más relevantes se envían al proveedor de generación de texto junto con tu pregunta y las citas que la respuesta debe llevar. En la extracción de hechos, que corre sola al terminar el procesamiento de un documento, se envía al proveedor de generación de texto un extracto acotado del texto extraído de ese documento, para identificar partes, fechas, montos, identificadores, obligaciones y plazos. En la reevaluación del asunto se envían esos hechos ya extraídos junto con los datos del caso o servicio y sus actuaciones, no el texto completo de los documentos. Los topes concretos -cuántas actuaciones y cuántos caracteres- los fija la configuración vigente de la plataforma y pueden cambiar sin que cambie lo que autorizas: en ningún caso se envía más de lo que la operación que pediste necesita. En ninguna función se envían metadatos de otros casos, información de otros clientes ni datos de otras firmas.
• (iii) PROVEEDORES DE IA Y QUÉ GARANTÍA TIENE CADA UNO: La generación de texto la presta Nebius B.V. (Países Bajos), que opera el servicio Nebius Token Factory, con el modelo GLM-5.3-Flash; las representaciones vectoriales (embeddings) de la búsqueda semántica las presta Voyage AI (Estados Unidos); Anthropic (Estados Unidos) y JINGSHENG HENGXING TECHNOLOGY PTE. LTD. (Singapur, servicio z.ai) quedan registradas como proveedores alternos de generación de texto y hoy no reciben datos tuyos. Te decimos, garantía por garantía, qué está escrito y qué no: (a) el proveedor de generación de texto incorpora un acuerdo de tratamiento de datos a sus propios términos de servicio, con las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 para las transferencias fuera del Espacio Económico Europeo, y afirma en su guía legal publicada que el contenido del cliente no se usa para entrenar ni afinar modelos (nos consta al 3 de septiembre de 2026); el proveedor de embeddings aplica el opt-out que tenemos contratado; (b) el tráfico hacia todos ellos viaja cifrado en tránsito por TLS, que es como publican sus interfaces; (c) el proveedor de generación de texto declara públicamente certificaciones ISO 27001, ISO 27701 y SOC 2 Tipo II y publica la lista de sus subencargados, pero es una declaración suya que no hemos auditado ni verificado contra los certificados, y NO afirmamos haber negociado con él cláusulas distintas de las que sus propios términos incorporan ni tener un contrato firmado por separado.
• (iv) RETENCIÓN EN EL PROVEEDOR: La retención cero (Zero Data Retention) está activada en nuestra organización del proveedor de generación de texto desde el 4 de septiembre de 2026. Según lo que ese proveedor publica, con la retención cero activada las entradas (el texto que se le envía) y las salidas (el texto que devuelve) no se almacenan en sus sistemas después de procesar cada solicitud, no se usan para la decodificación especulativa y no se usan para entrenar, afinar ni mejorar ningún modelo, ni suyo ni de un tercero; la opción rige a nivel de organización y cubre todos sus proyectos y puntos de acceso (guía legal publicada de Nebius, «Legal Quick Guide», consultada el 4 de septiembre de 2026 en el sitio de documentación del proveedor). Te decimos también, con la misma precisión, lo que esa garantía NO resuelve: es una declaración publicada por el proveedor y no un control que hayamos auditado; rige hacia adelante y no alcanza los envíos anteriores al 4 de septiembre de 2026, sobre los cuales siguió rigiendo el tratamiento por defecto de sus términos de servicio (versión del 20 de agosto de 2026), que conserva entradas y salidas para entrenar modelos pequeños de decodificación especulativa; sus documentos publicados NO dicen si la retención cero alcanza los registros que el proveedor pueda llevar para detectar abuso del servicio, ni si se aplica igual a las respuestas entregadas en flujo (streaming), de modo que no te afirmamos ninguna de esas dos cosas; y la activación depende de nosotros, así que si alguna vez la desactiváramos actualizaríamos esta sección antes de hacerlo. El proveedor de embeddings aplica retención cero por el opt-out que tenemos activo desde el 12 de agosto de 2026, que rige hacia adelante y no sobre envíos anteriores.
• (v) TRANSFERENCIA INTERNACIONAL: El procesamiento por IA ocurre en servidores ubicados fuera de los países en los que ofrecemos el Servicio. La generación de texto la contrata y factura Nebius B.V., domiciliada en Schiphol (Países Bajos), bajo ley neerlandesa y con los tribunales de Ámsterdam como foro; el proveedor declara ejecutar la inferencia en centros de datos de la Unión Europea, Israel o Estados Unidos según el modelo. Los embeddings se procesan en Estados Unidos. La salvaguarda que respalda cada uno de esos envíos es la de la Sección 9: la declara el anexo de tu país, destino por destino y con la norma que la sostiene.
• (vi) DECISIONES AUTOMATIZADAS: Los resultados de IA son materiales de apoyo; NO se toman decisiones legales ni contractuales de forma totalmente automatizada. El criterio profesional del abogado es insustituible (ver Términos de Servicio, Sección 17).
• (vii) DERECHOS ARCO APLICABLES: Puedes ejercer acceso, rectificación, supresión y oposición sobre los datos procesados por IA. La supresión en nuestros propios sistemas es inmediata. Sobre el proveedor de generación de texto, la retención cero descrita en el literal (iv) hace que, desde el 4 de septiembre de 2026 y según lo que él publica, no queden entradas ni salidas almacenadas que suprimir una vez procesada cada solicitud. Lo que aun así no podemos ofrecerte es un plazo de eliminación contractual propio ni un comprobante de borrado exigible: esa garantía es una declaración publicada del proveedor que no hemos auditado, y no alcanza los envíos anteriores a esa fecha. Si nos lo pides por los canales de la Sección 6, trasladamos la solicitud al proveedor y te informamos su respuesta.
• (viii) QUÉ CORRE POR TU CLIC Y QUÉ CORRE SOLO: Las funciones que producen un resultado para leer -resumen de caso y de servicio, análisis profundo, redacción de documentos y preguntas con citas- requieren un clic expreso tuyo sobre el caso o servicio en el que trabajas, así que no usarlas equivale a no autorizar ese tratamiento. Hay tres tratamientos que sí corren sin clic, siempre sobre datos de asuntos de tu propia firma y nunca sobre los de otra: (a) la indexación para preguntas con citas (Q&A), que corre al terminar el reconocimiento óptico (OCR) de un documento cuando tu plan la habilita; (b) la extracción de hechos del documento recién procesado, que identifica partes, fechas, montos, identificadores, obligaciones y plazos; y (c) la reevaluación del asunto, que actualiza su estado y sus ítems de atención cuando entra un documento, cuando editas el caso o servicio, o cuando una consulta al portal judicial trae una actuación nueva. Los tres operan sobre los documentos y asuntos que tu despacho carga o actualiza bajo su declaración de contar con la autorización de los titulares cuyos datos contienen: el despacho es el responsable de esos datos, como dice la Sección 1 (ii), y Custodio Legal los trata por su cuenta. Los tres consumen el cupo mensual de tokens de tu firma y se detienen cuando ese cupo se agota. Además, qué funciones existen para tu firma lo determina tu plan. Si no quieres que estos tratamientos automáticos corran sobre los asuntos de tu despacho, el dueño de la firma puede apagar cada uno desde la configuración del despacho, en 'Mi práctica > Configuración > IA sin clic': el cambio es inmediato y queda registrado. Apagar la indexación para Q&A borra además los fragmentos que ya se hubieran indexado. También puedes oponerte escribiendo a [email protected], y esa vía sigue disponible: la oposición se atiende por el procedimiento y en los plazos de la Sección 6.
• (ix) DATOS SENSIBLES: No debes enviar deliberadamente datos sensibles de terceros (salud, orientación sexual, origen étnico, biométricos) a funciones de IA sin autorización previa del titular.
• (x) LÍMITE DE RESPONSABILIDAD: Los modelos de IA pueden producir errores o 'alucinaciones'. Todo output debe ser verificado por un profesional antes de ser utilizado. Custodio Legal no es responsable por decisiones tomadas sin verificación humana.

No todos los terceros con los que la plataforma intercambia datos personales son encargados del tratamiento. Google LLC (Estados Unidos) no trata tus datos por nuestra cuenta ni bajo nuestras instrucciones: es un responsable independiente, que determina por sí mismo las finalidades y los medios de su propio tratamiento. Por eso no aparece en la lista de la Sección 10, y por eso no tenemos con él un acuerdo de encargo para los dos usos que el producto le da:

• (i) Inicio de sesión con tu cuenta de Google, si eliges esa opción: Google nos entrega tu correo y tu nombre, y trata como responsable propio los datos de tu cuenta. La relación se rige por los Controller-Controller Data Protection Terms de Google (versión 11), a los que remite el numeral 3.i de los Google APIs Terms of Service, y cuyo numeral 4.1 declara que cada parte es «un responsable independiente» de los datos y que «determinará individualmente las finalidades y los medios de su tratamiento».
• (ii) La etiqueta de Google Ads del sitio público —no de la aplicación—, que carga con el consentimiento de anuncios denegado por defecto y sólo lo activa si aceptas todas las cookies, como describe nuestra Política de Cookies. Se rige por los Ads Controller-Controller Data Protection Terms (versión 8.0), cuyo numeral 4.1 dice lo mismo.

Qué significa esto para ti, dicho sin rodeos:

• (a) El envío de datos a Google es una transferencia entre responsables, no una transmisión a un encargado. Se apoya en tu consentimiento expreso e informado y en las cláusulas contractuales tipo entre responsables que esas condiciones incorporan; el fundamento que tu propia ley le da —una lista de países adecuados, una autorización tuya, el artículo que la autoriza— lo declara el anexo de tu país en su sección de transferencia internacional. No se apoya en el acuerdo de tratamiento que respalda los envíos a los encargados de la Sección 10, que es cosa distinta.
• (b) Ningún instrumento de Google nos obliga a que nos avise una brecha de seguridad ocurrida de su lado: las condiciones entre responsables independientes no la regulan. Lo decimos porque es distinto de lo que rige para los encargados de la Sección 10, y porque la Sección 5 te promete avisarte de los incidentes que conocemos.
• (c) Sobre los datos que Google trata como responsable propio, tus derechos los ejerces ante Google, por sus propios canales y bajo su propia política de privacidad. Los datos que tratamos nosotros —el correo y el nombre que recibimos al iniciar sesión— siguen siendo nuestros y los ejerces ante nosotros, por la Sección 7.
• (d) Existe un acuerdo de encargado de Google Ads, pero cubre sólo una lista publicada de servicios de encargo —Analytics, Tag Manager, Enhanced Conversions y similares— y el producto no usa ninguno de ellos. Si algún día activáramos uno, aceptaríamos ese acuerdo antes del primer dato y actualizaríamos esta política.

No puedes optar por no usar la etiqueta de Ads salvo rechazando las cookies no necesarias, y no estás obligado a usar el inicio de sesión con Google: la plataforma acepta correo y contraseña, y ésa es la vía en la que Google no interviene.

El tratamiento de datos personales de los titulares domiciliados en Colombia se rige por la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013, hoy compilado en el Decreto Único 1074 de 2015 (artículos 2.2.2.25.1.1 y siguientes).

La autoridad de control es la Superintendencia de Industria y Comercio (SIC), a la que la ley le atribuye la vigilancia del tratamiento de datos personales (artículos 19 y 21) y ante la que puedes presentar quejas [✉ [email protected]]. La ley pide que agotes primero la consulta o el reclamo ante nosotros: es el requisito de procedibilidad del artículo 16.

La consulta se atiende en un término máximo de diez (10) días hábiles (Ley 1581 de 2012, artículo 14). El reclamo se atiende en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo (artículo 15).

Los dos plazos los contamos desde el día hábil siguiente al de tu solicitud. Para el reclamo es lo que dice el artículo 15; para la consulta, cuyo artículo 14 cuenta «a partir de la fecha de recibo de la misma», es la lectura que aplicamos siempre, y es un día más para nosotros, así que lo decimos en vez de dejarlo implícito.

La ley admite prorrogar los dos términos informándote los motivos de la demora y la fecha nueva: hasta cinco (5) días hábiles más para la consulta y hasta ocho (8) para el reclamo (artículos 14 y 15). Si alguna vez tenemos que usar esa prórroga, te lo escribimos antes de que venza el primer término.

Si detectamos un incidente de seguridad que ponga en riesgo tus datos personales, informamos a la Superintendencia de Industria y Comercio: es el deber del artículo 17, literal n), de la Ley 1581 de 2012, que ordena informar a la autoridad de protección de datos las violaciones a los códigos de seguridad y los riesgos en la administración de la información de los titulares.

Ese deber no trae plazo en la ley. El único que la Superintendencia ha fijado son los quince (15) días hábiles que la Circular Externa 002 de 2015 da para reportar un incidente en el Registro Nacional de Bases de Datos, contados desde que se detecta y se pone en conocimiento del área encargada de atenderlo, y que obliga a quienes deben inscribirse en ese registro. Aplicamos ese mismo plazo por decisión nuestra, cualquiera sea el canal por el que corresponda presentarlo.

Estados Unidos y los Países Bajos figuran, por su nombre, en la lista de países con nivel adecuado de protección de la Superintendencia de Industria y Comercio: el numeral 3.2 del Capítulo Tercero del Título V de la Circular Única, que la Circular Externa 005 de 2017 adicionó y la Circular Externa 008 de 2017 sustituyó por la versión vigente. Israel no está nombrado en esa lista: entra por la cláusula con la que ese mismo numeral cierra, que reconoce como adecuados «los países que han sido declarados con el nivel adecuado de protección por la Comisión Europea», entre los que Israel está por la Decisión 2011/61/UE. Hacia Israel la transferencia cuenta además, como refuerzo, con las Cláusulas Contractuales Tipo que el acuerdo de tratamiento del proveedor incorpora y con tu consentimiento expreso e informado.

Además, como los encargados que nombra la política actúan por nuestra cuenta y no como responsables, el envío hacia ellos es una transmisión de datos respaldada por el acuerdo de tratamiento que cada uno incorpora a sus términos, que es el contrato del artículo 25 del Decreto 1377 de 2013 (Decreto 1074 de 2015, artículo 2.2.2.25.5.2); por eso el artículo 24, numeral 2, del mismo decreto no exige informarte esa transmisión ni pedirte consentimiento aparte. El envío de datos a Google es distinto: no es una transmisión a un encargado sino una transferencia entre responsables independientes, de la que habla la Sección 15 del tronco. Para Colombia esa transferencia se apoya en que Estados Unidos figura por su nombre en la lista de nivel adecuado citada arriba, en las cláusulas contractuales tipo entre responsables que las condiciones de Google incorporan y en tu consentimiento expreso e informado.

Al terminar la relación con un despacho avisamos a su titular a los sesenta (60) días y suprimimos sus datos a los noventa (90); los treinta días de diferencia son el margen para volver. Esas dos ventanas son política de la plataforma: la Ley 1581 de 2012 no fija plazos de conservación para un responsable como nosotros, sino el principio de finalidad (artículo 4, literal b), que el Decreto 1377 de 2013 convierte en un límite temporal en su artículo 11 (Decreto 1074 de 2015, artículo 2.2.2.25.2.8): los datos sólo se conservan el tiempo razonable y necesario para las finalidades que justificaron recogerlos, y cumplidas esas finalidades se suprimen, salvo que una obligación legal o contractual exija conservarlos.

Después de la supresión conservamos los registros que la ley exige conservar:

• La bitácora de consentimientos, porque el artículo 17, literal b), nos obliga a solicitar y conservar copia de la autorización que otorgaste, y el Decreto 1377 de 2013 exige poder probarla en su artículo 8 (Decreto 1074 de 2015, artículo 2.2.2.25.2.5).
• La bitácora de auditoría, porque el artículo 17, literal d), nos obliga a conservar la información bajo condiciones de seguridad que impidan su adulteración, pérdida, consulta, uso o acceso no autorizado, y esa bitácora es la prueba de que esas condiciones existieron.
• Las solicitudes de derechos del titular y su resolución, que son la prueba de haber cumplido los términos de los artículos 14 y 15, y de los que depende la queja que puedas presentar después ante la Superintendencia.
• El rastro de facturación, porque el Código de Comercio obliga al comerciante a conservar sus libros y papeles cuando menos por diez (10) años (artículo 60), y el Estatuto Tributario le impone conservar las informaciones y pruebas de sus declaraciones (artículo 632) hasta que quede en firme la declaración de renta que se soporta en ellas, según el plazo que le fijó el artículo 46 de la Ley 962 de 2005.

El tratamiento de datos personales de los titulares domiciliados en Costa Rica se rige por la Ley N° 8968, de Protección de la Persona frente al Tratamiento de sus Datos Personales, publicada en La Gaceta N° 170 del 5 de setiembre de 2011, y por su Reglamento, el Decreto Ejecutivo N° 37554-JP del 30 de octubre de 2012, reformado por los decretos ejecutivos N° 40008-JP de 2016 y N° 41582 de 2019. Las dos piezas se nombran juntas porque los plazos que te tocan —el término de cinco días hábiles, el aviso de brecha— viven en el reglamento, no en la ley.

Tu autorización. La Ley N° 8968 hace del consentimiento la puerta del tratamiento: su artículo 30, inciso a), califica de falta grave «recolectar, almacenar, transmitir o de cualquier otra forma emplear datos personales sin el consentimiento informado y expreso del titular de los datos». Eso es lo que la pantalla de consentimiento te pide antes de que aceptes, y lo que queda congelado, con su fecha, en la bitácora de consentimientos. Puedes revocarlo cuando quieras, por el mecanismo que el artículo 7 del Reglamento nos obliga a darte: expedito, sencillo y gratuito.

La autoridad. Es la Agencia de Protección de Datos de los Habitantes (PRODHAB), órgano de desconcentración máxima adscrito al Ministerio de Justicia y Paz que el artículo 15 de la Ley N° 8968 creó. Ante ella reclamas si no quedas conforme con lo que hagamos, y también puedes escribirnos a [email protected].

Y cómo se reclama, para que no tengas que buscarlo. El artículo 24 de la Ley N° 8968 le da la denuncia a cualquier persona con un derecho subjetivo o un interés legítimo que considere que una base de datos actúa contra las reglas o los principios de la ley. El artículo 25 fija el trámite: la PRODHAB nos confiere tres días hábiles para pronunciarnos sobre la veracidad de los cargos y aportar prueba —y si no rendimos ese informe, «se tendrán por ciertos los hechos acusados»—, puede pedirnos información, inspeccionar nuestras bases in situ y dictar medidas cautelares, y debe dictar el acto final a más tardar un mes después de la denuncia; contra él cabe reconsideración dentro del tercer día, que se resuelve en ocho días. Si te da la razón, el artículo 26 le manda ordenar la supresión, la rectificación, la adición o la aclaración inmediatas del dato, o impedir que se transfiera o se difunda. El artículo 27 le permite además abrir de oficio un procedimiento sancionatorio. Los artículos 58 a 72 del Reglamento desarrollan ese procedimiento con los mismos plazos.

Sobre el registro de bases de datos, y por qué no lo hicimos. El artículo 21 de la Ley N° 8968 manda inscribir ante la PRODHAB «toda base de datos, pública o privada, administrada con fines de distribución, difusión o comercialización». Custodio Legal no distribuye, difunde ni comercializa datos de terceros: los trata por cuenta de un despacho, que es quien decide sobre ellos. Bajo esa lectura no hay base que inscribir, y el canon anual de doscientos dólares del artículo 33 tampoco corre, porque ese artículo lo impone a «las personas responsables de bases de datos que deban inscribirse ante la Prodhab, de conformidad con el artículo 21». Esto es nuestra lectura del texto, no una confirmación de la PRODHAB ni el criterio de un abogado costarricense. Si la revisión legal de este anexo concluye lo contrario, inscribimos la base, pagamos el canon y te lo decimos acá.

Al 10 de septiembre de 2026 la Ley N° 8968 sigue vigente sin ninguna reforma: lo declara la propia PRODHAB en su página de normativa, actualizada el 9 de septiembre de 2026. Lo que no pudimos verificar es si hay un proyecto de reforma en trámite en la Asamblea Legislativa —su sitio no respondió el día en que se leyó esta normativa—, así que no afirmamos ni que lo haya ni que no lo haya. Si una reforma cambia lo que este anexo promete, lo actualizamos y te lo decimos antes de que el cambio te alcance.

La Ley N° 8968 fija un solo plazo y para todo: su artículo 7 obliga a resolver «de manera gratuita, y resolver en el sentido que corresponda en el plazo de cinco días hábiles». El artículo 18 del Reglamento es el que dice desde cuándo se cuenta: «cinco días hábiles, contados a partir del día siguiente en que la misma haya sido recibida». Ése es el que aplicamos, porque es el que da el día concreto.

• Acceso: cinco (5) días hábiles desde el día siguiente a tu solicitud (Ley, artículo 7.1; Reglamento, artículos 18 y 21).
• Rectificación: cinco (5) días hábiles, en las mismas condiciones (Ley, artículo 7.2; Reglamento, artículos 18, 23 y 24).
• Supresión o eliminación: cinco (5) días hábiles (Ley, artículo 7; Reglamento, artículos 18, 25 y 26).
• Revocación del consentimiento: cinco (5) días hábiles para ejecutarla, y dentro de ese mismo plazo avisamos a quienes hubiéramos transferido tus datos, que tienen otros cinco para ejecutarla por su lado (Reglamento, artículo 8).
• Confirmación de que el tratamiento cesó: tres (3) días hábiles, gratis, si nos la pides (Reglamento, artículo 9). Es el plazo más corto de todo el régimen costarricense.

Oposición y portabilidad no existen en el derecho costarricense, y este anexo no te las promete: ni la Ley N° 8968 ni su Reglamento las nombran. Lo que sí puedes hacer, y hace las veces de la primera, es revocar tu consentimiento. Y desde 'Mi cuenta > Tu privacidad' puedes descargar una copia estructurada y de lectura mecánica de tus datos de cuenta: esa copia te la damos por decisión nuestra, no porque una norma costarricense nos obligue.

Dos reglas de cómputo que la propia norma pone, y que preferimos que leas acá y no cuando te toquen. La primera: si tu solicitud llega incompleta o confusa, podemos pedirte una sola vez, dentro de los primeros cinco días hábiles, los datos que faltan; tienes cinco días hábiles para contestar, y si contestas arranca un plazo nuevo de cinco desde el día siguiente. Si no contestas, la solicitud se tiene por no presentada (Reglamento, artículo 19). La segunda: entre dos consultas de acceso tuyas debe mediar un intervalo mínimo de seis meses, salvo que nos expongas de forma fundamentada por qué crees que tus derechos están siendo vulnerados (Reglamento, artículo 21).

Un límite más, y es el que sostiene la sección de conservación de este anexo: el artículo 26 del Reglamento excluye de la supresión los datos «que deban ser mantenidos por disposición constitucional, legal o resolución de órgano judicial». Un dato que una ley nos obliga a conservar no se borra a pedido; lo que sí hacemos es decirte cuál es esa ley.

Si el calendario hábil costarricense del año no está cargado en la plataforma, tu solicitud se radica igual y la atendemos: lo que hacemos es marcar la fecha de vencimiento como estimada y no como cierta, en vez de darte una fecha que no podemos calcular.

Costa Rica sí fija plazo de aviso de brecha, y no está en la ley sino en el artículo 38 de su Reglamento: el responsable debe informar al titular «sobre cualquier irregularidad en el tratamiento o almacenamiento de sus datos, tales como pérdida, destrucción, extravío, entre otras, como consecuencia de una vulnerabilidad de la seguridad», y tiene para eso cinco días hábiles a partir del momento en que ocurrió la vulnerabilidad. Dentro de ese mismo plazo se abre la revisión exhaustiva para medir la afectación y decidir las medidas correctivas.

Dos cosas de ese plazo, dichas sin adornos. La primera: corre desde que ocurrió el incidente, no desde que lo detectamos, que es más exigente que el «sin dilación indebida desde el conocimiento» con el que está escrito el protocolo de incidentes del tronco. En Costa Rica aplicamos el plazo costarricense. La segunda: el destinatario es doble —tú y la PRODHAB—, y a las dos se les informa lo mismo, que es lo que enumera el artículo 39 del Reglamento: la naturaleza del incidente, los datos personales comprometidos, las acciones correctivas realizadas de forma inmediata, y los medios o el lugar donde puedes obtener más información.

Operar el Servicio supone transmitir tus datos fuera del territorio costarricense. Costa Rica resuelve eso con una sola puerta, y es el artículo 14 de la Ley N° 8968: los responsables de bases de datos «solo podrán transferir datos contenidos en ellas cuando el titular del derecho haya autorizado expresa y válidamente tal transferencia», y siempre que la transferencia no vulnere los principios y derechos que esa misma ley reconoce.

No hay más bases que ésa. Costa Rica no publica una lista de países con nivel adecuado de protección, y su ley no reconoce las cláusulas contractuales tipo como fundamento de la transferencia. Lo que la sostiene es tu autorización expresa, y por eso te la pedimos donde se puede dar de verdad: en la pantalla de consentimiento, nombrando el destino y la salvaguarda, antes de que el dato salga.

Los datos de los clientes y las contrapartes del despacho son otra cosa, y conviene que quede claro de quién es el deber. Sobre esos datos el responsable es el despacho, no Custodio Legal: es él quien tiene la relación con el titular y quien obtiene su autorización expresa para tratarlos y para transferirlos, y eso es lo que declara al aceptar la declaración sobre datos de terceros, que cita la Ley N° 8968 como base. Nosotros somos su encargado y actuamos por instrucción suya.

A eso se suman las garantías contractuales que cada proveedor incorpora a sus términos: obligaciones de confidencialidad y seguridad y —para el proveedor de generación de texto— las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea que ese acuerdo incorpora para las transferencias fuera del Espacio Económico Europeo. No son la base de la transferencia costarricense —esa es tu autorización, y sólo ella—: son la salvaguarda adicional que sí tenemos y que puedes verificar.

Lo dicho vale también para el envío de datos a Google, que no es un encargado nuestro sino un responsable independiente, como explica la Sección 15 del tronco: la Ley N° 8968 no distingue el fundamento de la transferencia según la figura de quien recibe los datos, así que ese envío se apoya en la misma autorización expresa del artículo 14, y además en las cláusulas contractuales tipo entre responsables que las condiciones de Google incorporan.

Por qué lo tomamos tan en serio: transferir datos en contra de las reglas del capítulo III de la ley es una falta grave del artículo 30, inciso b), con multa de cinco a veinte salarios base (artículo 28, inciso b). La consecuencia de equivocarse acá no es una observación: es una sanción.

Al abrir tu despacho —y después, desde Ajustes— puedes escribir tu número de carné del Colegio de Abogados y Abogadas de Costa Rica. Es opcional: si no lo escribes, no consultamos nada, y tu despacho funciona igual. Si lo escribes, se lo preguntamos al buscador público de agremiados que el Colegio publica en abogados.or.cr, y lo que hacemos con la respuesta es mostrar una insignia en el perfil de tu despacho.

Lo que sale de acá hacia el Colegio es el número y nada más: no viaja tu nombre, ni el de tu despacho, ni el de ninguno de tus clientes. Lo que entra de vuelta es una página con el resultado, y de esa página guardamos exactamente tres cosas: si el Colegio reconoce el número, la condición que le anota —vigente o suspendido— y la fecha en que preguntamos. Nada más. El buscador del Colegio imprime, junto a cada agremiado, su nombre completo, su número de cédula, su domicilio, su correo y su teléfono: ninguno de esos datos se guarda, y el programa que lee la respuesta los descarta antes de llegar a la base de datos. Es el principio de calidad de la información del artículo 6 de la Ley N° 8968: sólo se conserva el dato que la finalidad necesita, y la finalidad acá es mostrar una insignia.

Preguntar una sola vez es la regla, y sólo cuando el número cambia. Si el Colegio no contesta, la insignia dice que no se pudo verificar y ahí queda: no insistimos.

Puedes retirar el número cuando quieras, dejando el campo en blanco en Ajustes. Al hacerlo se borra la fila entera —el número, la condición y la fecha— y la insignia desaparece.

La insignia no decide nada. Un carné que el Colegio no reconoce, uno con suspensión anotada y un Colegio que no contesta dan exactamente el mismo acceso al Servicio: lo que cambia es lo que dice el perfil. No te cerramos la puerta por lo que diga —o deje de decir— la página de un tercero.

Al terminar la relación con un despacho avisamos a su titular a los sesenta (60) días y suprimimos sus datos a los noventa (90); los treinta días de diferencia son el margen para volver. Esas dos ventanas son política de la plataforma: la Ley N° 8968 no fija plazos de conservación para un responsable como nosotros. Lo que su Reglamento fija, en el artículo 11, es un techo: la conservación de los datos personales que puedan afectar a su titular «no deberá exceder el plazo de diez años, desde la fecha de terminación del objeto de tratamiento del dato, salvo disposición normativa especial que establezca otro plazo». Ninguna de las ventanas de este anexo lo supera.

Lo que sobrevive a la supresión, y por qué:

• La prueba de tu autorización y del tratamiento —la bitácora de consentimientos y la de auditoría—, porque tratar sin consentimiento informado y expreso es falta grave (Ley N° 8968, artículo 30, inciso a) y demostrar que lo tuvimos exige conservar la constancia. El artículo 26, inciso b), del Reglamento es el que permite conservarla después de suprimir el resto: no se suprimen los datos que deban mantenerse por disposición legal.
• Las solicitudes de derechos del titular y su resolución, que son la prueba de haber cumplido los cinco días hábiles del artículo 7 de la Ley y del artículo 18 del Reglamento.
• El rastro de facturación, por cinco años, y por dos caminos que llegan al mismo número. El Código de Comercio obliga al comerciante a «conservar los libros de contabilidad desde que se inician hasta cinco años después del cierre del negocio y conservar igualmente la correspondencia, las facturas y los demás comprobantes, por un período no menor de cinco años, contado a partir de sus respectivas fechas, salvo que hubiera juicio pendiente en que esos documentos se hubieran ofrecido como prueba» (artículo 234, inciso d), y repite los cinco años para el negocio que se liquida en su artículo 270. El Código de Normas y Procedimientos Tributarios llega al mismo plazo por el deber del contribuyente: «los contribuyentes o los responsables deberán conservar los duplicados de estos documentos por un plazo de cinco años» (artículo 109). Ese deber es de tu despacho como comerciante y contribuyente costarricense; nosotros conservamos el comprobante para que pueda cumplirlo.

Una precisión sobre el número, porque es fácil confundirlo: el Código de Normas y Procedimientos Tributarios fija en cuatro años la prescripción de la acción de la Administración Tributaria (artículo 51). Cuatro años es lo que ella tiene para cobrar; cinco es lo que hay que conservar. La ventana que este anexo promete es la de conservación.

El tratamiento de datos personales de los titulares domiciliados en la República Dominicana se rige por la Ley núm. 172-13, sobre protección integral de los datos personales asentados en archivos, registros públicos, bancos de datos u otros medios técnicos de tratamiento de datos, del 13 de diciembre de 2013 (Gaceta Oficial núm. 10737 del 15 de diciembre de 2013). Sus normas son de orden público y se aplican en todo el territorio nacional (artículo 3), a los datos personales registrados en cualquier banco de datos susceptible de tratamiento, en el ámbito público y en el privado (artículo 2).

Tu autorización. El artículo 5, numeral 4, exige que el tratamiento y la cesión de tus datos cuenten con tu consentimiento libre, expreso y consciente, que debe constar por escrito o por un medio que se le equipare y que —cuando se presta junto con otras declaraciones— figure en forma expresa y destacada. Ese consentimiento va precedido del deber de información del numeral 3 del mismo artículo: la finalidad y los destinatarios, la existencia del archivo y la identidad y el domicilio de quien responde por él, y la posibilidad de ejercer los derechos de acceso, rectificación y supresión. Eso es lo que la pantalla de consentimiento te muestra antes de que aceptes, y lo que queda congelado, con su fecha, en la bitácora de consentimientos.

La autoridad. La Ley núm. 172-13 no creó una autoridad de protección de datos de propósito general. Su órgano de control, la Superintendencia de Bancos de la República Dominicana, lo es de «los archivos, registros o bancos de datos, públicos o privados, destinados a proveer informes crediticios» (artículo 29), y quienes deben registrarse ante ella son las Sociedades de Información Crediticia (artículo 43). Custodio Legal no es una sociedad de información crediticia ni provee informes crediticios, de modo que hoy no existe en el país un regulador ante el cual registremos bases de datos, pidamos autorización de transferencia o respondamos por este tratamiento. Lo que la ley sí nos exige, y cumplimos, es contar con políticas de información que garanticen las medidas de seguridad y control del artículo 42, y con los deberes del artículo 13: conservar la información con seguridad, actualizarla, rectificarla o suprimirla oportunamente, tramitar tus consultas y reclamos, y mantener un manual interno de políticas y procedimientos.

Puedes escribirnos a [email protected] para ejercer tus derechos. Si no quedas conforme, la ley te abre la acción judicial de hábeas data (artículos 7, 17 y 21), que se tramita por el procedimiento del amparo y conoce el juez del domicilio del demandado (artículo 20).

Al 9 de septiembre de 2026 la Ley núm. 172-13 sigue siendo la única ley dominicana de protección de datos personales, y ninguna ley posterior la modificó ni la derogó: lo verificamos contra el repertorio completo de la Consultoría Jurídica del Poder Ejecutivo. Si una reforma crea alguna vez una autoridad de control, actualizaremos este anexo y te lo diremos antes de que el cambio te alcance.

La Ley núm. 172-13 sí fija plazos, y son los que aplicamos:

• Acceso: cinco (5) días hábiles desde tu solicitud. El artículo 10 se lo impone al usuario del banco de datos, y el artículo 12, después de fijar ese mismo plazo para el reporte de crédito, dice expresamente que «igual disposición aplica para las demás entidades que manejan bancos de datos, públicos o privados». Nosotros somos una de ellas.
• Rectificación, actualización y cancelación: diez (10) días hábiles desde que recibimos tu reclamo o advertimos el error, según el artículo 8, y sin cargo alguno para ti. Si ya habíamos comunicado el dato a un tercero, le notificamos la rectificación o la supresión dentro de los cinco (5) días hábiles siguientes.
• Oposición: los cuatro derechos son independientes, y ejercer uno no es requisito para ejercer otro (artículo 9).

Vencido el plazo sin que hayamos respondido, el artículo 8 te habilita a promover sin más requisitos la acción de hábeas data.

Dos límites que la propia ley pone, y que preferimos que leas acá y no cuando te toquen: mientras verificamos un dato que impugnaste, al informar sobre él dejamos constancia de que está sometido a revisión (artículos 8 y 21); y la supresión no procede cuando pudiera causar perjuicio a derechos o intereses legítimos de terceros, o cuando exista una obligación contractual o legal de conservar los datos (artículos 8 y 15).

Además de esos cuatro derechos, puedes descargar desde 'Mi cuenta > Tu privacidad' una copia estructurada y de lectura mecánica de tus datos de cuenta. La Ley núm. 172-13 no reconoce un derecho de portabilidad: esa copia te la damos por decisión nuestra.

La Ley núm. 172-13 impone el deber de seguridad —adoptar las medidas técnicas, organizativas y de seguridad que eviten la alteración, pérdida, tratamiento, consulta o acceso no autorizado: artículo 5, numeral 5, y artículo 13, numeral 2—, pero no fija un plazo de notificación de incidentes ni una autoridad ante la cual presentarla para un responsable como nosotros. Por decisión nuestra, y no porque una norma dominicana lo imponga, si detectamos un incidente que ponga en riesgo tus datos personales te avisamos sin demora indebida y, en todo caso, dentro de los tres (3) días siguientes a confirmarlo, con lo que sepamos y con lo que estemos haciendo.

Operar el Servicio supone transmitir tus datos fuera del territorio dominicano, que es lo que el artículo 6, numeral 20, de la Ley núm. 172-13 llama transferencia internacional de datos. La República Dominicana no publica una lista de países con nivel adecuado de protección, y la ley no exige autorización previa de ninguna autoridad: el artículo 80 enumera los casos en que la transferencia procede, y la nuestra se apoya en dos de ellos.

El primero es tu propia autorización: el numeral 1 admite la transferencia cuando la persona física, «libre y conscientemente», decide autorizarla por voluntad propia, y eso es lo que haces al aceptar esta política conociendo el destino y la salvaguarda. El segundo es el numeral 6: la transferencia necesaria para la ejecución del contrato entre el titular de los datos y el responsable del tratamiento, sin la cual no hay Servicio que prestar.

A eso se suman las garantías contractuales que cada proveedor incorpora a sus términos: obligaciones de confidencialidad y seguridad y —para el proveedor de generación de texto— las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea que ese acuerdo incorpora para las transferencias fuera del Espacio Económico Europeo. No son exigencia dominicana: son la salvaguarda que sí tenemos y que puedes verificar.

Lo dicho vale también para el envío de datos a Google, que no es un encargado nuestro sino un responsable independiente, como explica la Sección 15 del tronco: la Ley núm. 172-13 no distingue el fundamento de la transferencia según la figura de quien recibe los datos, de modo que ese envío se apoya en los mismos dos numerales del artículo 80, y además en las cláusulas contractuales tipo entre responsables que las condiciones de Google incorporan.

Al terminar la relación con un despacho avisamos a su titular a los sesenta (60) días y suprimimos sus datos a los noventa (90); los treinta días de diferencia son el margen para volver. Esas dos ventanas son política de la plataforma: la Ley núm. 172-13 no fija plazos de conservación para un responsable como nosotros.

Lo que sobrevive a la supresión, y por qué:

• La prueba de tu autorización y del tratamiento —la bitácora de consentimientos y la de auditoría—, porque el artículo 5, numeral 4, exige que el consentimiento conste por escrito o por medio equiparable, y el artículo 15 ordena que lo cancelado quede bloqueado y a disposición de los poderes del Estado, para las responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas.
• Las solicitudes de derechos del titular y su resolución, que son la prueba de haber cumplido los plazos de los artículos 8 y 12.
• El rastro de facturación, porque el Código Tributario (Ley núm. 11-92), en su artículo 50, literal h) —modificado por el artículo 105 de la Ley núm. 155-17—, obliga a conservar en forma ordenada, por un período de diez (10) años, los libros de contabilidad, los recibos o comprobantes de pago y cualquier documento, físico o electrónico, referido a las operaciones y actividades del contribuyente. Ese deber es de tu despacho como contribuyente dominicano; nosotros conservamos el comprobante para que pueda cumplirlo.

Sobre todos ellos rige el mismo límite del artículo 8: la supresión no procede cuando existe una obligación contractual o legal de conservar los datos.

El tratamiento de datos personales de los titulares domiciliados en Ecuador se rige por la Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento General (RGLOPDP), expedido con el Decreto Ejecutivo 904.

La autoridad de control es la Superintendencia de Protección de Datos Personales (SPDP), que el artículo 76 de la LOPDP define como el órgano de control y vigilancia de esta materia, y ante la que puedes presentar quejas.

El delegado de protección de datos personales (artículo 48 de la LOPDP) está designado: es la persona natural responsable indicada en la Sección 1 del tronco de la política, con contacto en [email protected]. Su designación se inscribe ante la Superintendencia de Protección de Datos Personales por el trámite que regula el Reglamento del delegado de protección de datos personales de la SPDP (Resolución SPDP-SPD-2025-0028-R, artículo 5). Ese reglamento obliga a designar delegado a las personas jurídicas de derecho privado que prestan servicios de tecnologías de la información, incluidas las dedicadas al desarrollo o al despliegue de inteligencia artificial (artículo 10, numeral 13); Custodio Legal es el nombre comercial de una persona natural, así que ese numeral no le impone la designación. La hicimos igual, y por eso el delegado consta acá con su nombre y su correo.

En Ecuador respondemos dentro de los quince (15) días siguientes a recibir la solicitud, que es el plazo que la LOPDP le da a cada uno de los cuatro derechos: acceso (artículo 13), rectificación y actualización (artículo 14), eliminación (artículo 15) y oposición (artículo 16). La ley los llama plazo y no los califica de hábiles, así que contamos días calendario, que es la lectura que más te favorece.

Además de esos cuatro, el artículo 17 de la LOPDP reconoce el derecho de portabilidad: puedes descargar desde 'Mi cuenta > Tu privacidad' una copia estructurada y de lectura mecánica de tus datos de cuenta. Ese artículo no fija un plazo propio; atendemos la portabilidad en el mismo de quince días.

Si detectamos un incidente de seguridad que ponga en riesgo tus datos personales, lo notificamos a la Superintendencia de Protección de Datos Personales y a la Agencia de Regulación y Control de las Telecomunicaciones tan pronto sea posible y, a más tardar, en el término de cinco (5) días desde que tenemos constancia de él (artículo 43 de la LOPDP). A ti te avisamos sin dilación cuando el incidente conlleve un riesgo a tus derechos fundamentales, dentro del término de tres (3) días contados desde que conocemos ese riesgo (artículo 46 de la LOPDP).

Los proveedores que la Sección 10 del tronco enumera actúan como encargados del tratamiento, no como responsables. El artículo 23 de la Norma general de transferencias de la Superintendencia de Protección de Datos Personales (Resolución SPDP-SPD-2026-0004-R, del 28 de enero de 2026) dice que, conforme a la legislación ecuatoriana, el encargo de tratamiento no constituye una transferencia ni una comunicación de datos personales; lo que respalda esos envíos, entonces, es el acuerdo de tratamiento de datos que cada encargado incorpora a sus términos, con obligaciones de confidencialidad y seguridad.

El envío hacia Google es distinto, porque Google no es encargado sino responsable independiente, como explica la Sección 15 del tronco: ése sí es una transferencia internacional. La Superintendencia de Protección de Datos Personales no ha declarado, hasta donde hemos podido verificar recorriendo su listado de resoluciones el 9 de septiembre de 2026, ningún país con nivel adecuado de protección; los artículos 11 a 19 de esa misma norma general fijan el procedimiento para declararlo, y todavía no se ha usado. Esa transferencia se apoya en tu consentimiento explícito e informado (artículo 60, numeral 2, de la LOPDP), que otorgas al aceptar esta política conociendo el destino y la salvaguarda, y en las condiciones entre responsables independientes que la Sección 15 cita por versión.

Una precisión sobre las cláusulas contractuales, para que no leas de más: las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea que el acuerdo del proveedor de generación de texto incorpora rigen las transferencias de ese proveedor hacia fuera del Espacio Económico Europeo, y no son las cláusulas tipo que el Ecuador reconoce. Los artículos 20 y 22 de la norma general de la Superintendencia reconocen como garantía adecuada las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos, y no afirmamos tener suscritas ésas.

Las funcionalidades de inteligencia artificial que describe la Sección 14 del tronco son un sistema de inteligencia artificial en el sentido de la Resolución Nº SPDP-SPD-2026-0009-R de la Superintendencia de Protección de Datos Personales, «Norma general para la garantía del derecho de protección de datos personales en el uso de sistemas de inteligencia artificial», firmada en Quito el 12 de febrero de 2026. Esa norma se aplica con independencia de dónde estén el sistema y el proveedor (artículo 1), así que rige estos tratamientos aunque la inferencia ocurra fuera del Ecuador.

Frente a ella, Custodio Legal actúa como desplegador —quien, mediante el uso de un sistema de inteligencia artificial, ejecuta la prestación de un servicio (artículo 2, numeral 2)— y como implementador —quien lo implementa en sus procesos internos (artículo 2, numeral 4)—. No desarrolla ni entrena modelos, y por eso no es desarrollador en el sentido de esa norma.

Ninguna de esas funciones toma decisiones con efectos jurídicos sobre ti, o que te afecten de modo similar, sin intervención humana. El artículo 20 de la LOPDP te reconoce el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas que produzca esos efectos, y el artículo 4 de la resolución obliga a garantizarlo en todo momento: los resultados de la inteligencia artificial son material de apoyo que un profesional verifica antes de usarlo, y la Sección 14 del tronco describe función por función qué hace cada una, qué datos salen y qué corre por tu clic.

Puedes oponerte a los tratamientos por inteligencia artificial que corren sin un clic tuyo —la indexación para preguntas con citas, la extracción de hechos y la reevaluación del asunto, que el literal (viii) de la Sección 14 enumera— escribiendo a [email protected], y por los medios que la plataforma ponga a tu disposición para hacerlo. Las funciones que producen un resultado para leer corren sólo cuando las ejecutas, así que no usarlas equivale a no autorizarlas. La oposición se atiende en el plazo de quince (15) días que este anexo declara arriba.

La inferencia se ejecuta en la infraestructura de los proveedores que enumera la Sección 10 del tronco: la generación de texto en Nebius B.V. (Países Bajos) y las representaciones vectoriales de la búsqueda semántica en Voyage AI (Estados Unidos). Los dos actúan como encargados del tratamiento, y lo que respalda esos envíos es lo que dice arriba la sección «Transferencia internacional» de este anexo.

Se mantienen el registro de las actividades de tratamiento hechas mediante sistemas de inteligencia artificial —con las decisiones automatizadas que puedan generar impactos jurídicos o afectar derechos y libertades— y la evaluación de impacto en la protección de datos personales de estas funciones, que exigen los artículos 5 y 7 de la resolución. Los dos están a disposición de la Superintendencia de Protección de Datos Personales.

Los datos se conservan durante un tiempo no mayor al necesario para cumplir la finalidad de su tratamiento (artículo 10, literal i, de la LOPDP). Al terminar la relación con un despacho avisamos a su titular a los sesenta (60) días y suprimimos sus datos a los noventa (90); los treinta días de diferencia son el margen para volver. Esas dos ventanas son política de la plataforma: la LOPDP fija el principio de conservación, no los plazos.

Después de la supresión conservamos tres cosas, y decimos por qué cada una. La bitácora de consentimientos y la de auditoría, porque el artículo 10, literal k, de la LOPDP nos obliga a acreditar ante ti y ante la Superintendencia que el tratamiento cumplió la ley, y esa prueba es lo único que lo acredita. Las solicitudes de derechos del titular y su resolución, por la misma razón y respecto de los quince días de arriba. Y el rastro de facturación, por las obligaciones contables y tributarias del prestador, que no son ecuatorianas: Custodio Legal es el nombre comercial de una persona natural domiciliada en Colombia, como declara la Sección 1 del tronco, y son las normas contables y tributarias colombianas las que le fijan cuánto tiempo debe guardar sus propios libros y comprobantes.