Contrato de Encargo de Tratamiento de Datos (DPA)

Última actualización: septiembre de 2026

Este contrato cumple los requisitos del artículo 28 del Reglamento (UE) 2016/679 (RGPD). Al registrar una cuenta en LexCloud y aceptar este documento, el despacho suscribe este contrato de forma electrónica con eficacia jurídica plena conforme al art. 23 LSSI-CE.

1. Partes del contrato

• Responsable del Tratamiento: El despacho de abogados registrado en LexCloud, identificado por los datos aportados en el proceso de alta («el Responsable» o «el Despacho»).
• Encargado del Tratamiento: Alberto Rodríguez González, empresario individual que opera bajo el nombre comercial LexCloudApp, con NIF 39510168D y domicilio en Arquitectos Castro y Alonso 1, pbj 15, Vigo (Pontevedra), responsable de la plataforma LexCloud («LexCloud» o «el Encargado»).

2. Objeto del contrato

El presente contrato regula el tratamiento de datos personales que LexCloud realiza por cuenta del Despacho en el contexto de la prestación del servicio de gestión de despacho de abogados. LexCloud únicamente tratará los datos según las instrucciones del Despacho y para las finalidades descritas en este contrato.

3. Categorías de datos y personas afectadas

Datos especialmente sensibles: Los expedientes pueden contener datos de categorías especiales (salud, religión, orientación sexual, opiniones políticas) o datos relativos a infracciones penales. El Despacho asume la responsabilidad de obtener las bases jurídicas adecuadas para su tratamiento conforme al art. 9 y 10 RGPD.

4. Instrucciones del Responsable al Encargado

LexCloud tratará los datos exclusivamente para:

• Almacenar y mostrar la información en la Plataforma al Despacho y sus usuarios autorizados.
• Procesar documentos con IA para las funciones de análisis, chat jurídico y transcripción, usando los datos únicamente para generar la respuesta solicitada y sin usarlos para entrenar modelos propios.
• Enviar comunicaciones automáticas (recordatorios de citas, emails de bienvenida) por instrucción del sistema configurado por el Despacho.
• Generar copias de seguridad automáticas.
• Proporcionar soporte técnico cuando el Despacho lo solicite expresamente.

LexCloud no utilizará los datos del Despacho para ninguna otra finalidad, incluyendo entrenar modelos propios, análisis de mercado o comunicaciones comerciales a los clientes del Despacho.

5. Obligaciones de LexCloud como Encargado

• Tratar los datos únicamente según las instrucciones documentadas del Responsable.
• Garantizar que las personas autorizadas para tratar los datos han asumido compromisos de confidencialidad.
• Implementar las medidas de seguridad técnicas y organizativas indicadas en el apartado 6.
• No recurrir a otro subencargado sin informar previamente al Responsable con 30 días de antelación, dando opción de oposición.
• Asistir al Responsable en el ejercicio de los derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición).
• Ayudar al Responsable a garantizar el cumplimiento de las obligaciones de seguridad (art. 32-36 RGPD).
• Notificar al Responsable sin dilación indebida (máximo 48 horas) cualquier violación de seguridad que afecte a los datos tratados.
• Suprimir o devolver todos los datos al Responsable una vez finalizada la prestación del servicio, según instrucción del Responsable.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones de este contrato.

6. Medidas de seguridad aplicadas

• Cifrado en tránsito: Todas las comunicaciones entre el usuario y la Plataforma se transmiten mediante protocolos de cifrado estándar del sector.
• Cifrado en reposo: La base de datos se almacena con cifrado de disco. Las contraseñas se almacenan mediante funciones de hash unidireccionales con sal. Las credenciales sensibles se cifran con algoritmos de cifrado simétrico de nivel industrial. El texto extraído de los documentos de los expedientes se almacena cifrado con AES-256-GCM.
• Control de acceso: Sistema de control de acceso basado en roles (RBAC). Cada usuario accede únicamente a los datos que le corresponden según su perfil.
• Aislamiento multi-tenant: Cada despacho opera en un espacio lógico completamente separado. Ningún usuario puede acceder a datos de otro despacho.
• Autenticación: Sistema de tokens de sesión de corta duración con mecanismo de renovación seguro. Protección automática frente a intentos de acceso no autorizados mediante limitación de tasa.
• Auditoría: Registro de actividad por usuario y acción para todas las operaciones sensibles.
• Backups: Copias de seguridad automáticas periódicas de la base de datos.
• Actualizaciones: Aplicación de parches de seguridad críticos en el menor tiempo posible desde su publicación.

7. Subencargados actuales

El uso de los servicios de IA es inherente a las funcionalidades de IA de la Plataforma. LexCloud tiene suscrito con OpenAI el Contrato de Encargo de Tratamiento (DPA), firmado el 21 de septiembre de 2026. Por estar LexCloud establecida en el Espacio Económico Europeo, la contraparte de ese contrato es OpenAI Ireland Ltd., entidad irlandesa. Conforme a las condiciones de la API de OpenAI, los datos enviados no se utilizan para entrenar sus modelos, y LexCloud marca además cada petición para que no se almacene su contenido. El Despacho puede deshabilitar las funciones de IA desde el panel de configuración.

Dónde se procesa. Que la contraparte del contrato sea la entidad irlandesa no implica que el procesamiento ocurra en Irlanda. LexCloud utiliza hoy el punto de acceso global de la API de OpenAI, de modo que el procesamiento técnico puede realizarse fuera del Espacio Económico Europeo, amparado por las Cláusulas Contractuales Tipo del apartado 8. OpenAI ofrece una opción de residencia europea de datos, sujeta a contratación previa, que LexCloud no tiene activada a día de hoy.

Cuánto se conserva. Conforme a la política de la API de OpenAI, las peticiones se conservan un máximo de 30 días en registros de control de abusos, tras los cuales se eliminan, salvo que la ley exija conservarlas más tiempo. Esos registros no se utilizan para entrenar modelos. Existen las modalidades de retención cero y de monitorización de abuso modificada, sujetas a aprobación previa de OpenAI, que LexCloud no tiene contratadas a día de hoy.

8. Transferencias internacionales

El tratamiento principal (alojamiento, base de datos y documentos) se realiza en servidores situados en la Unión Europea. El encargo con OpenAI se suscribe con su entidad irlandesa. Las transferencias a Estados Unidos que puedan producirse (Google Drive, Resend, Sentry, o el procesamiento técnico por parte de OpenAI) se realizan bajo Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), que ofrecen garantías adecuadas conforme al art. 46.2.c RGPD.

9. Derechos de auditoría

El Responsable tiene derecho a realizar auditorías del cumplimiento del presente contrato, con previo aviso de 30 días y sin interrumpir la operación normal del servicio. LexCloud puede proponer una auditoría por un tercero independiente como alternativa.

10. Duración y finalización

Este contrato estará vigente mientras dure la suscripción del Despacho a LexCloud. A la finalización del contrato, LexCloud pondrá a disposición del Despacho sus datos durante 30 días para su exportación. Transcurrido ese plazo, los datos serán eliminados de forma permanente e irrecuperable, salvo que la ley exija su conservación por un período mayor.

11. Responsabilidad

El Despacho, como Responsable del Tratamiento, es el único responsable ante los interesados y las autoridades de control del correcto uso de la Plataforma conforme al RGPD. LexCloud solo responde por incumplimientos de sus propias obligaciones como Encargado.

12. Ley aplicable

Este contrato se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la legislación española. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Vigo.