Acuerdo de Tratamiento de Datos (DPA)
Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de los Términos del Servicio entre Abalmon Inc. ("Encargado", "Abalmon", "nosotros", "nos"), que opera Lawty, y el cliente o usuario del Servicio ("Responsable", "Cliente").
Este DPA se aplica cuando el Cliente procesa datos personales a través de la plataforma Lawty, un producto operado por Abalmon Inc., y Abalmon procesa dichos datos en nombre del Cliente.
Este acuerdo tiene como objetivo satisfacer los requisitos del Artículo 28 del Reglamento General de Protección de Datos.
1. Definiciones
A los efectos de este DPA:
Responsable del tratamiento
La entidad que determina los fines y medios del tratamiento de datos personales.
Encargado del tratamiento
La entidad que trata datos personales en nombre del Responsable.
Datos personales
Cualquier información relativa a una persona física identificada o identificable.
Tratamiento
Cualquier operación realizada sobre datos personales, incluyendo la recogida, almacenamiento, organización, análisis, transmisión o supresión.
Servicio
La plataforma Lawty y cualquier aplicación, API o integración asociada.
2. Objeto y alcance del tratamiento
Abalmon tratará datos personales únicamente en nombre del Responsable y exclusivamente para proporcionar el Servicio descrito en los Términos del Servicio.
El tratamiento puede incluir:
- almacenamiento de datos enviados por los usuarios
- gestión de contactos, documentos, notas y comunicaciones
- análisis de documentos mediante funcionalidades del software
- tratamiento asistido por IA solicitado por los usuarios
- sincronización con integraciones de terceros
- flujos de trabajo automatizados activados por la actividad del usuario
Abalmon no trata datos personales para sus propios fines.
3. Naturaleza y finalidad del tratamiento
La finalidad del tratamiento es habilitar la funcionalidad de la plataforma Lawty, que puede incluir:
- almacenamiento y gestión de documentos
- automatización de flujos de trabajo
- sincronización de correo electrónico y calendario
- gestión de tareas y casos
- registros financieros y facturación
- análisis de documentos asistido por IA o generación de texto
El tratamiento se realiza únicamente para proporcionar los servicios solicitados por el Cliente.
4. Categorías de datos personales
Dependiendo de cómo se utilice el Servicio, los datos personales tratados pueden incluir:
- nombres
- direcciones de correo electrónico
- números de teléfono
- datos de contacto
- números de identificación
- información profesional
- información de facturación
- documentos cargados por los usuarios
- información contenida en correos electrónicos o archivos procesados a través de integraciones
El Responsable determina qué datos personales se envían al Servicio.
5. Categorías de interesados
Los datos personales tratados en virtud de este DPA pueden referirse a:
- clientes del Responsable
- empleados o contratistas del Responsable
- personas referenciadas en documentos cargados por el Responsable
- usuarios del Servicio
6. Responsabilidades del Responsable
El Responsable es responsable de:
- garantizar que dispone de una base legal para el tratamiento de datos personales
- garantizar que los datos personales enviados al Servicio cumplen con las leyes aplicables
- proporcionar las notificaciones adecuadas a los interesados cuando sea necesario
- responder a las solicitudes de los interesados
El Responsable determina los fines y medios del tratamiento de datos personales.
7. Obligaciones del Encargado
Abalmon se compromete a:
- tratar datos personales únicamente según las instrucciones documentadas del Responsable
- garantizar que el personal con acceso a datos personales esté sujeto a obligaciones de confidencialidad
- implementar medidas de seguridad técnicas y organizativas adecuadas
- asistir al Responsable con las solicitudes de derechos de los interesados en la medida de lo razonablemente posible
- notificar al Responsable sin dilación indebida si se detecta una violación de datos personales que afecte al Servicio
- eliminar o devolver los datos personales tras la finalización del Servicio, salvo que la retención sea requerida por ley
8. Medidas de seguridad
Abalmon implementa medidas de seguridad administrativas, técnicas y organizativas razonables diseñadas para proteger los datos personales, incluyendo:
- conexiones cifradas mediante HTTPS
- controles de acceso a la infraestructura
- monitorización de la seguridad de la infraestructura
- acceso interno restringido a los datos de los clientes
- aislamiento lógico entre cuentas de clientes
Las medidas de seguridad se revisan periódicamente y pueden evolucionar a medida que se desarrolla el Servicio.
9. Tratamiento con inteligencia artificial
Ciertas funcionalidades del Servicio pueden utilizar inteligencia artificial o tratamiento automatizado.
El tratamiento con IA se realiza únicamente para proporcionar la funcionalidad del servicio solicitada.
Abalmon no utiliza datos de clientes, documentos ni contenido de terceros enviado a través del Servicio para entrenar modelos de inteligencia artificial generalizados, salvo autorización expresa del Cliente.
10. Subencargados
El Responsable autoriza a Abalmon a contratar subencargados del tratamiento terceros para apoyar la prestación del Servicio.
Estos pueden incluir proveedores de:
- infraestructura en la nube
- servicios de autenticación
- análisis
- servicios de comunicación
- sistemas de almacenamiento
Abalmon se asegura de que los subencargados estén sujetos a obligaciones de protección de datos consistentes con este DPA.
Se puede proporcionar una lista de subencargados previa solicitud.
10.1 Subencargados actuales (Encargados/Subencargados de Tratamiento)
La tabla siguiente refleja los subencargados utilizados actualmente por defecto o cuando el cliente habilita la funcionalidad correspondiente.
| Proveedor | Función | Finalidad | Región |
|---|---|---|---|
| Laravel Cloud (infraestructura AWS UE) | Subencargado de infraestructura | Alojamiento de aplicaciones, almacenamiento y operaciones de plataforma | Infraestructura alojada en el EEE por defecto |
| OpenAI | Subencargado de IA | Funciones de completado de asistente e inteligencia documental | El tratamiento regional depende de los controles configurados del proveedor y de las funciones del modelo habilitadas |
| Anthropic | Subencargado de IA | Procesamiento de modelo de asistente alternativo cuando se selecciona | El tratamiento regional depende de los controles configurados del proveedor y de las funciones del modelo habilitadas |
| Google (Workspace APIs / OAuth) | Subencargado de integración | Integraciones de correo, calendario y drive autorizadas por el cliente | El tratamiento regional depende de la configuración del espacio del cliente y de los servicios de Google utilizados |
| Microsoft (Graph / OAuth) | Subencargado de integración | Integraciones de Outlook/correo/calendario autorizadas por el cliente | El tratamiento regional depende de la configuración del tenant del cliente y de los servicios de Microsoft utilizados |
| Stripe | Subencargado de pagos | Facturación de suscripciones y operaciones de pago | El tratamiento regional depende de los flujos de pago, del enrutamiento del proveedor y de los términos aplicables |
| Postmark / Resend (si está configurado) | Subencargado de correo transaccional | Notificaciones del sistema y correos electrónicos del servicio | El tratamiento regional depende del enrutamiento de entrega, de la configuración del proveedor y de los términos aplicables |
| Google Analytics / Meta Pixel (sitio de marketing) | Subencargado de análisis/marketing | Análisis del sitio web y eventos de atribución | UE; basado en consentimiento cuando lo exija la ley |
| ElevenLabs (si las funciones de voz están habilitadas) | Subencargado de IA de voz | Generación de voz o flujos de trabajo de audio | El tratamiento regional depende de las funciones de voz habilitadas y de la configuración del proveedor |
Actualizaremos esta sección cuando los subencargados cambien sustancialmente.
11. Ubicación del tratamiento de datos
El entorno principal alojado de la aplicación Lawty está pensado para ejecutarse en el EEE, y Abalmon procura utilizar proveedores que ofrezcan residencia de datos europea o controles regionales cuando resulte razonable.
Las ubicaciones reales de tratamiento pueden variar según las integraciones habilitadas por el cliente, los proveedores seleccionados, el enrutamiento de entrega y las exigencias legales. Cuando existan transferencias de datos personales fuera del EEE, Abalmon aplicará un mecanismo de transferencia adecuado y actualizará la documentación o los términos con clientes según corresponda.
12. Asistencia al Responsable
En la medida de lo razonablemente posible, Abalmon asistirá al Responsable en el cumplimiento de sus obligaciones relacionadas con:
- responder a las solicitudes de los interesados
- evaluaciones de impacto en la protección de datos
- notificaciones de incidentes de seguridad
- consultas regulatorias
13. Conservación y supresión de datos
Abalmon conserva los datos personales únicamente durante el tiempo necesario para proporcionar el Servicio.
Tras la finalización de la cuenta del Cliente, Abalmon eliminará o anonimizará los datos del cliente en un plazo razonable, salvo que la retención sea necesaria por razones legales o de seguridad.
14. Registro de Actividades de Tratamiento (RAT)
Abalmon mantiene y revisa periódicamente su Registro de Actividades de Tratamiento interno (Artículo 30 RGPD). El resumen siguiente refleja las categorías clave de actividad de tratamiento relevantes para el Servicio:
| Actividad | Finalidad | Categorías de datos | Periodo de conservación |
|---|---|---|---|
| Administración de cuentas | Registro de usuarios, autenticación y seguridad de cuentas | Identidad y credenciales de cuenta | Durante la vida de la cuenta + retención limitada legal/seguridad |
| Tratamiento del espacio de trabajo legal | Operaciones de casos/documentos/contactos/tareas solicitadas por el cliente | Datos del espacio de trabajo enviados por el cliente | Ciclo de vida controlado por el cliente; eliminado/anonimizado tras la terminación |
| Tratamiento de sincronización de integraciones | Sincronizar correo, drive y calendario autorizados por el usuario | Metadatos de integración y contenido sincronizado | Durante el periodo de integración activa + registros operativos |
| Tratamiento de inferencia de asistente/IA | Generar o refinar los resultados solicitados por el usuario | Contenido de prompts y respuestas del modelo | Ciclo de vida de la conversación; sin entrenamiento de modelos salvo autorización expresa |
| Facturación y cobros | Procesar suscripciones y registros financieros | Contactos de facturación y metadatos de transacciones | Retención contable legal cuando aplique |
| Registro de seguridad y cumplimiento | Detectar abuso, investigar incidentes y evidenciar cumplimiento | Registros de acceso, registros de auditoría, eventos de seguridad | Ventanas de retención de seguridad definidas |
15. Auditorías
Previa solicitud razonable, Abalmon podrá proporcionar la información necesaria para demostrar el cumplimiento de este DPA.
Las solicitudes deben ser razonables en alcance y frecuencia y no deben comprometer la seguridad o confidencialidad de otros clientes.
16. Duración
Este DPA permanece vigente mientras Abalmon trate datos personales en nombre del Cliente a través del Servicio.
17. Ley aplicable
Este DPA se rige por las leyes aplicables a los Términos del Servicio, excepto cuando las leyes de protección de datos obligatorias requieran lo contrario.
18. Aceptación
Al crear una cuenta o utilizar el Servicio, el Cliente reconoce y acepta este Acuerdo de Tratamiento de Datos como parte de los Términos que rigen el uso del Servicio.