Acuerdo de Encargo de Tratamiento de Datos Personales

Artículo 28 del Reglamento (UE) 2016/679 (RGPD) · Versión 2.0 · 29 de julio de 2026 (v2.0: identificación del Encargado, transferencias internacionales y régimen de responsabilidad)

Partes

Responsable del tratamiento (el «Despacho»): [nombre o razón social del despacho], NIF [NIF], cliente de la plataforma, que determina los fines y medios del tratamiento de los datos personales contenidos en sus expedientes.

Encargado del tratamiento (el «Encargado»): Rulhaven, marca operada por Beny Mozo LLC, sociedad de responsabilidad limitada constituida en el Estado de Wyoming (Estados Unidos de América), con domicilio social en 30 N Gould St, Ste N, Sheridan, WY 82801, Estados Unidos, y dirección de contacto en materia de protección de datos info@rulhaven.ai, que presta el servicio de software para despachos descrito en el Anexo I.

En lo sucesivo, Despacho y Encargado se denominan conjuntamente las «Partes» e individualmente la «Parte». La aceptación electrónica de este acuerdo por un usuario con rol de administrador del Despacho vincula a ambas Partes, forma parte integrante del contrato de prestación del servicio y sustituye a cualquier versión anterior de este documento.

Definiciones

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado», «violación de la seguridad de los datos personales», «categorías especiales de datos» y «autoridad de control» tienen el significado que les atribuye el artículo 4 del RGPD. «Normativa de Protección de Datos» comprende el RGPD, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y cualquier otra norma de la Unión Europea o española que resulte aplicable, así como las directrices y resoluciones de las autoridades de control competentes. «Servicio» es la plataforma Rulhaven en su conjunto, en la versión que en cada momento se ponga a disposición del Despacho.

1. Objeto y ámbito

El Encargado tratará por cuenta del Despacho los datos personales necesarios para prestar el Servicio: alojamiento de expedientes y documentos, reconocimiento óptico de caracteres (OCR), indexación y búsqueda, generación asistida de borradores de escritos, revisión asistida de contratos, chat sobre los expedientes, asistente de consulta, cálculo de plazos y exportación de documentos. La descripción detallada del tratamiento figura en el Anexo I.

Este acuerdo se aplica a todo tratamiento de datos personales que el Encargado realice por cuenta del Despacho con ocasión del Servicio, con independencia del módulo o funcionalidad concreta empleada, incluidas las funcionalidades que se incorporen en el futuro siempre que su naturaleza quede comprendida en el Anexo I. En caso de contradicción entre este acuerdo y cualesquiera otras condiciones contractuales, prevalecerá este acuerdo en todo lo relativo a protección de datos personales.

El Encargado no determina los fines ni los medios esenciales del tratamiento de los datos que el Despacho incorpora a la plataforma y, por tanto, no actúa como responsable respecto de ellos. Los tratamientos que el Encargado realiza como responsable por cuenta propia (datos de facturación, datos de la cuenta de usuario, registros técnicos de seguridad y analítica agregada conforme a la cláusula 3 bis) quedan fuera del objeto de este acuerdo y se rigen por su propia política de privacidad.

2. Duración

Este acuerdo estará vigente mientras lo esté la relación de servicio entre las Partes y, en todo caso, mientras el Encargado conserve datos personales por cuenta del Despacho. A su término se aplicará la cláusula 11 (supresión o devolución). Las obligaciones de confidencialidad, responsabilidad y las que por su naturaleza deban subsistir permanecerán vigentes tras la extinción del acuerdo.

3. Instrucciones documentadas

El Encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del Despacho, incluidas las impartidas mediante el uso ordinario de las funciones de la plataforma y las opciones de configuración disponibles en ella, y no los utilizará para fines propios distintos de los previstos en este acuerdo. Se considera instrucción documentada del Despacho la propia contratación y el uso del Servicio conforme a su finalidad.

Si el Encargado considera que una instrucción infringe la Normativa de Protección de Datos, informará inmediatamente al Despacho y podrá suspender la ejecución de esa instrucción hasta que sea confirmada, modificada o retirada, sin que dicha suspensión constituya incumplimiento del Servicio. Si el Derecho de la Unión o de un Estado miembro obligara al Encargado a un tratamiento distinto, lo advertirá previamente al Despacho salvo que dicho Derecho lo prohíba por razones importantes de interés público.

El Encargado no está obligado a tratar datos personales fuera del alcance del Anexo I. Cualquier instrucción del Despacho que exceda dicho alcance, que requiera desarrollos específicos o que suponga un coste desproporcionado deberá acordarse previamente por escrito entre las Partes, pudiendo el Encargado repercutir los costes razonables asociados.

3 bis. Analítica de uso agregada

No obstante lo anterior, el Despacho autoriza al Encargado a generar y analizar estadísticas de uso agregadas y anonimizadas de la plataforma con el fin de mejorar el Servicio, garantizar su seguridad y dimensionar su capacidad: por ejemplo, qué plantillas de escrito se usan con más frecuencia, qué artículos o normas se consultan más, volumen de documentos ingeridos o tipos de expediente más habituales. Estas estadísticas se calculan de forma que no permiten identificar a un despacho, a un cliente ni a ningún interesado concreto, y en ningún caso incluyen el contenido de los documentos, expedientes, escritos o conversaciones (el texto de un PDF, un chat o un borrador no se analiza ni se usa con este fin). El Despacho puede oponerse a esta analítica agregada en cualquier momento escribiendo a info@rulhaven.ai, sin que ello afecte a la prestación del Servicio.

4. Confidencialidad y secreto profesional

El Encargado garantiza que las personas autorizadas a tratar datos personales se han comprometido expresamente a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad de naturaleza equivalente, y que dicho compromiso subsiste tras la finalización de su relación con el Encargado.

El Encargado conoce y acepta que los datos tratados pueden estar amparados por el secreto profesional de la abogacía (art. 542.3 de la Ley Orgánica 6/1985 del Poder Judicial y normativa deontológica aplicable) y aplica medidas acordes a esa especial sensibilidad. El Encargado no accederá al contenido de los expedientes, documentos ni conversaciones del Despacho salvo (i) en la medida estrictamente imprescindible para prestar soporte técnico solicitado por el Despacho, (ii) para resolver una incidencia crítica de seguridad o disponibilidad, o (iii) cuando venga obligado por una orden legalmente vinculante. En los supuestos (i) y (ii) el acceso quedará registrado en el registro de auditoría.

Si el Encargado recibiera un requerimiento de una autoridad pública, de cualquier jurisdicción, dirigido a obtener datos personales tratados por cuenta del Despacho, lo notificará a este sin dilación indebida y con carácter previo a su cumplimiento, salvo prohibición legal expresa; examinará la legalidad del requerimiento, se opondrá a él por las vías disponibles cuando existan motivos razonables y limitará la entrega al mínimo legalmente exigible.

5. Seguridad

El Encargado aplica las medidas técnicas y organizativas descritas en el Anexo II, apropiadas al riesgo conforme al art. 32 RGPD, atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento. El Encargado podrá actualizar dichas medidas siempre que el nivel de seguridad resultante no sea inferior al descrito en el Anexo II.

6. Subencargados

El Despacho autoriza de forma general la contratación de los subencargados relacionados en el Anexo III, necesarios para prestar el Servicio. El Encargado informará con al menos 15 días de antelación de cualquier adición o sustitución de subencargados, mediante aviso en la plataforma o comunicación al correo del administrador, pudiendo el Despacho oponerse por motivos razonables y documentados relacionados con la protección de datos. Si las Partes no alcanzan una solución en un plazo razonable, el Despacho podrá resolver el Servicio sin penalización, con devolución de la parte proporcional del precio no consumido, siendo esta su única compensación por tal motivo.

El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos sustancialmente equivalentes a las de este acuerdo y responde ante el Despacho del cumplimiento por aquellos de dichas obligaciones en los mismos términos que si el tratamiento lo hubiera realizado directamente.

7. Transferencias internacionales de datos

Los datos de expedientes y documentos se almacenan en infraestructura ubicada en la Unión Europea. No obstante, el Despacho reconoce y acepta expresamente que el Encargado es una entidad establecida en los Estados Unidos de América y que determinados subencargados están establecidos en terceros países o pueden acceder a los datos desde ellos, conforme al Anexo III. En consecuencia, la prestación del Servicio implica transferencias internacionales de datos personales en el sentido del Capítulo V del RGPD.

Dichas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, Módulo Dos (responsable a encargado), que las Partes declaran incorporadas a este acuerdo por referencia y que se entienden suscritas con la aceptación del mismo. A efectos de dichas Cláusulas: el exportador de datos es el Despacho y el importador de datos es el Encargado; resultan de aplicación la opción de autorización general de subencargados de la cláusula 9(a), y el Derecho aplicable y el foro de resolución de litigios serán los previstos en la cláusula 18 de este acuerdo; los Anexos I, II y III de este acuerdo sirven a su vez de anexos de las Cláusulas Contractuales Tipo. Cuando un subencargado esté certificado bajo el Marco de Privacidad de Datos UE-EE. UU., la transferencia podrá ampararse alternativamente en la correspondiente decisión de adecuación.

El Encargado ha evaluado que la legislación del país de destino no le impide cumplir las Cláusulas Contractuales Tipo y aplica medidas suplementarias cuando resultan procedentes, entre ellas el cifrado en tránsito y en reposo, la minimización del acceso al contenido conforme a la cláusula 4 y el compromiso de impugnación de requerimientos desproporcionados. El Encargado notificará al Despacho si en algún momento deja de estar en condiciones de cumplir dichas Cláusulas, en cuyo caso el Despacho podrá suspender la transferencia o resolver el acuerdo.

8. Asistencia en el ejercicio de derechos

El Encargado asistirá al Despacho, mediante las funciones de la plataforma (acceso, exportación, rectificación y supresión de expedientes) y, cuando resulte necesario, con asistencia directa, para responder a las solicitudes de ejercicio de derechos de los interesados (arts. 15 a 22 RGPD). Si un interesado se dirige directamente al Encargado, este se abstendrá de responder al fondo y lo comunicará al Despacho sin dilación indebida, correspondiendo a este atender la solicitud en su condición de responsable. La asistencia que exceda de la funcionalidad estándar de la plataforma y requiera un esfuerzo desproporcionado podrá facturarse a precio de coste razonable, previa comunicación al Despacho.

9. Violaciones de seguridad y asistencia (arts. 32 a 36)

El Encargado notificará al Despacho toda violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, dentro de las 48 horas desde que tenga conocimiento de ella, facilitando la información del art. 33.3 RGPD de que disponga y completándola a medida que esté disponible. La notificación se realizará al correo del administrador del Despacho.

Corresponde al Despacho, en su condición de responsable, valorar la procedencia de notificar la violación a la autoridad de control y, en su caso, a los interesados, así como realizar dichas notificaciones. El Encargado asistirá razonablemente al Despacho en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificaciones, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga. La notificación de una violación no supondrá por sí misma reconocimiento de culpa o responsabilidad del Encargado.

10. Registro de actividades de tratamiento

El Encargado mantiene un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Despacho conforme al art. 30.2 RGPD y lo pondrá a disposición de la autoridad de control que lo solicite, así como del Despacho cuando este lo requiera de forma razonable.

11. Supresión o devolución

Durante la vigencia del Servicio, el Despacho puede exportar sus datos en formatos estándar en cualquier momento y sin coste, mediante las funciones de la plataforma. Al término de la prestación, el Encargado, a elección del Despacho, devolverá o suprimirá todos los datos personales.

Salvo instrucción en contrario recibida antes de la finalización, los datos se bloquean de inmediato (borrado lógico) y se suprimen de forma definitiva en un plazo máximo de 30 días, incluidas las copias existentes en sistemas de almacenamiento, sin perjuicio de la conservación exigida por el Derecho de la Unión o nacional, en cuyo caso se mantendrán bloqueados durante el tiempo estrictamente necesario y con acceso restringido. Las copias de seguridad se sobrescriben conforme a su ciclo de rotación ordinario, quedando bloqueadas hasta su eliminación efectiva.

El Despacho es responsable de exportar sus datos antes de la finalización del Servicio. Transcurrido el plazo anterior, el Encargado no podrá recuperar los datos suprimidos.

12. Información y auditorías

El Encargado pondrá a disposición del Despacho la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD, incluidos, cuando existan, los informes, certificaciones y garantías de sus subencargados.

El Despacho podrá realizar, por sí o a través de auditor independiente sujeto a confidencialidad y que no sea competidor del Encargado, una auditoría al año, con preaviso mínimo de 15 días, en horario laboral, sin acceso a datos de otros clientes ni a información confidencial de terceros, con la mínima perturbación posible de la actividad del Encargado y asumiendo sus propios costes, salvo que la auditoría revele incumplimientos significativos imputables al Encargado. Se admite como alternativa suficiente la entrega de informes de auditoría o certificaciones vigentes que cubran razonablemente el objeto de la auditoría solicitada. Podrán realizarse auditorías adicionales cuando lo exija una autoridad de control o tras una violación de seguridad que afecte al Despacho.

13. Inteligencia artificial

El Servicio utiliza modelos de inteligencia artificial de terceros (Anexo III) mediante interfaces de programación (API) de pago configuradas para que los datos no se utilicen para entrenar modelos ni se retengan más allá de lo necesario para generar la respuesta, conforme a los compromisos contractuales asumidos por cada proveedor.

El Despacho reconoce que los resultados generados por sistemas de inteligencia artificial constituyen borradores de apoyo que requieren revisión, verificación y validación por un profesional letrado antes de cualquier uso, presentación ante órgano judicial o administrativo, o comunicación a terceros, y que pueden contener errores, omisiones o imprecisiones. El Encargado no presta asesoramiento jurídico ni asume responsabilidad alguna por las decisiones profesionales del Despacho, por el contenido de los documentos que este genere, revise, presente o firme, ni por las consecuencias derivadas de la falta de revisión. Los documentos exportados incluyen la correspondiente marca de transparencia sobre el uso de inteligencia artificial. No se realizan decisiones automatizadas con efectos jurídicos sobre los interesados en el sentido del art. 22 RGPD.

14. Obligaciones y garantías del Despacho

El Despacho, en su condición de responsable del tratamiento, garantiza y se obliga a:

• Determinar los fines y medios del tratamiento y disponer de una base jurídica válida (art. 6 RGPD y, cuando proceda, arts. 9 y 10 RGPD) para todos los datos personales que incorpore a la plataforma.
• Facilitar a los interesados la información exigida por los arts. 13 y 14 RGPD, incluida la relativa al uso de encargados y a las transferencias internacionales descritas en la cláusula 7.
• Realizar, cuando resulte preceptiva, la evaluación de impacto relativa a la protección de datos (art. 35 RGPD) y la consulta previa (art. 36 RGPD).
• No incorporar a la plataforma datos personales que excedan de los necesarios para las finalidades del Anexo I, ni utilizarla para finalidades ajenas al ejercicio de su actividad profesional.
• Gestionar diligentemente las credenciales, los roles y las altas y bajas de sus usuarios, y comunicar sin dilación cualquier acceso no autorizado del que tenga conocimiento. El Encargado no responde de los accesos realizados con credenciales válidas del Despacho salvo que traigan causa de un fallo de seguridad imputable al propio Encargado.
• Cumplir la normativa deontológica y de secreto profesional que le sea aplicable en relación con la información que incorpore a la plataforma.

El Despacho mantendrá indemne al Encargado frente a reclamaciones de terceros, sanciones de autoridades de control e indemnizaciones que traigan causa directa del incumplimiento de las garantías de esta cláusula, salvo en la parte que resulte imputable al Encargado.

15. Responsabilidad

Cada Parte responde conforme al art. 82 RGPD y a la Normativa de Protección de Datos aplicable. Las Partes reconocen que la responsabilidad frente a los interesados y frente a las autoridades de control se rige por lo dispuesto en el RGPD y no puede excluirse ni limitarse contractualmente.

En las relaciones internas entre las Partes, y en la medida máxima permitida por la normativa aplicable, la responsabilidad total y acumulada del Encargado derivada de este acuerdo o relacionada con él, por cualquier concepto, quedará limitada al importe de las cantidades efectivamente abonadas por el Despacho al Encargado en concepto de precio del Servicio durante los doce (12) meses inmediatamente anteriores al hecho que motive la reclamación. El Encargado no responderá del lucro cesante, la pérdida de negocio, la pérdida de oportunidad, el daño reputacional ni de los daños indirectos o consecuenciales.

Las limitaciones anteriores no serán de aplicación en los supuestos de dolo, culpa grave, incumplimiento doloso del deber de confidencialidad, ni en aquellos otros casos en que la normativa imperativa impida su aplicación.

16. Firma electrónica

Este acuerdo se acepta mediante firma electrónica consistente en la acción de un usuario con rol de administrador del Despacho sobre el botón de aceptación, quedando registrados fecha y hora, identificación del usuario, versión del documento y dirección IP. Conforme al Reglamento (UE) 910/2014 (eIDAS) y a la Ley 6/2020, a la firma electrónica no se le negarán efectos jurídicos ni admisibilidad como prueba por su forma electrónica. El Despacho garantiza que la persona que acepta dispone de poder suficiente para obligarle.

El Encargado podrá modificar este acuerdo cuando resulte necesario por cambios normativos, resoluciones de autoridades de control o modificaciones sustanciales del Servicio, comunicándolo con una antelación mínima de 15 días mediante aviso en la plataforma. La versión vigente se identifica por su número; el uso continuado del Servicio tras la entrada en vigor de una nueva versión, o su aceptación expresa, supone la conformidad del Despacho. Si el Despacho no aceptase la nueva versión, podrá resolver el Servicio sin penalización.

17. Disposiciones generales

Nulidad parcial. La declaración de nulidad, invalidez o ineficacia de alguna cláusula no afectará a la validez del resto del acuerdo, que permanecerá vigente; la cláusula afectada se sustituirá por otra válida de efecto económico y jurídico equivalente.

Cesión. Ninguna Parte podrá ceder su posición contractual sin consentimiento escrito de la otra, salvo en supuestos de reestructuración societaria, fusión o transmisión de la totalidad o parte sustancial del negocio del Encargado, en cuyo caso bastará la comunicación previa al Despacho, que podrá resolver si la cesión afecta negativamente y de forma acreditada al nivel de protección de los datos.

Supervivencia y prevalencia. Este acuerdo constituye el régimen completo aplicable al tratamiento de datos personales por cuenta del Despacho y prevalece sobre cualquier pacto anterior sobre la misma materia. Los Anexos forman parte inseparable del acuerdo.

Comunicaciones. Las comunicaciones al Encargado en materia de protección de datos se dirigirán a info@rulhaven.ai. Las dirigidas al Despacho se remitirán al correo del usuario administrador registrado en la plataforma, siendo responsabilidad del Despacho mantenerlo actualizado.

18. Ley aplicable y jurisdicción

Este acuerdo se rige por el Derecho español y por la normativa de la Unión Europea que resulte de aplicación, con independencia del lugar de establecimiento del Encargado. Las Partes, con renuncia expresa a cualquier otro fuero que pudiera corresponderles, se someten a los juzgados y tribunales de Madrid (España), salvo que una norma imperativa atribuya la competencia a otro fuero. Lo anterior se entiende sin perjuicio del derecho de los interesados a acudir a los tribunales y autoridades de control previstos en el RGPD.

Anexo I — Descripción del tratamiento

Naturaleza y finalidad

Alojamiento, digitalización (OCR), estructuración, indexación y búsqueda de expedientes; generación asistida de borradores de escritos; revisión asistida de contratos; chat y asistente de consulta sobre la documentación del expediente y sobre normativa y jurisprudencia; cálculo de plazos procesales y avisos asociados; exportación de documentos; soporte técnico y mantenimiento de la plataforma.

Categorías de interesados

Clientes del Despacho, partes contrarias y sus representantes, testigos, peritos y demás terceros que aparezcan en la documentación incorporada; personal del propio Despacho en su condición de usuarios de la plataforma.

Categorías de datos

Datos identificativos y de contacto, económicos y financieros, laborales, académicos y profesionales, contractuales, procesales y cualesquiera otros contenidos en la documentación que el Despacho incorpore. Puede incluir categorías especiales de datos (art. 9 RGPD, entre ellos datos de salud, afiliación sindical, convicciones o vida sexual) y datos relativos a condenas e infracciones penales (art. 10 RGPD), cuyo tratamiento en la plataforma se realiza bajo la responsabilidad y legitimación del Despacho en el ejercicio del derecho de defensa y de los intereses legítimos de sus clientes.

Duración del tratamiento

La de la relación de servicio, más el plazo de supresión previsto en la cláusula 11.

Frecuencia

Continuada, por el uso ordinario de la plataforma por parte de los usuarios del Despacho.

Anexo II — Medidas técnicas y organizativas

• Cifrado TLS 1.2 o superior en tránsito y AES-256 en reposo.
• Aislamiento estricto entre despachos mediante seguridad a nivel de fila (RLS) forzada en base de datos: un fallo de la aplicación no puede exponer datos de otro despacho.
• Almacenamiento de documentos en repositorio privado; el acceso se realiza mediante URLs firmadas de corta duración (15 minutos).
• Autenticación de usuarios, control de acceso por roles y disponibilidad de segundo factor de autenticación (TOTP) para las cuentas que lo activen.
• Registro de auditoría de acciones sensibles (accesos, borrados, exportaciones), configurado como registro de solo adición.
• Cabeceras de seguridad, política de seguridad de contenidos (CSP) y limitación de tasa de peticiones frente a abusos automatizados.
• Copias de seguridad automáticas diarias de la base de datos.
• Borrado lógico inmediato y supresión física en un máximo de 30 días (cláusula 11).
• Alojamiento de base de datos y documentos en región de la Unión Europea.
• Acceso del personal del Encargado limitado al mínimo imprescindible, bajo compromiso de confidencialidad, y solo para operación y soporte del Servicio, conforme a la cláusula 4.
• Claves y secretos gestionados en almacenes cifrados de los proveedores de infraestructura; sin credenciales en el código fuente.
• Gestión de actualizaciones de seguridad de dependencias y revisión periódica de la configuración de los proveedores.

Anexo III — Subencargados autorizados

El Encargado, Beny Mozo LLC, trata los datos desde Estados Unidos en su condición de encargado principal, conforme a lo previsto en la cláusula 7.