Seguridad del expediente en Legalnaut: RGPD, SOC 2, ISO 27001 A Markdown version of this page is available at https://legalnaut.com/es/seguridad.md for AI and LLM tools. Nada llega a un escrito sin verificar. ======================================== Esta página es para quien tiene que aprobar la herramienta en tu despacho: dónde están los datos, quién puede verlos y qué no hará nunca el software. OPERADOR · INFORME SOC 2 TYPE II CENTRO DE DATOS · ISO/IEC 27001:2022 ALOJAMIENTO · BSI C5 TYPE 2 RGPD · PDPA Un expediente por asunto -------------------------- Cada asunto está separado de los demás, y una búsqueda en uno no tiene forma de llegar a otro. Un plan con varios asuntos los mantiene aparte, uno por expediente de cliente, y un cliente invitado como lector ve ese asunto y nada más. Dónde están tus datos ------------------------ La aplicación y los expedientes funcionan en Hetzner Cloud, en Falkenstein (Alemania), en un centro de datos certificado conforme a ISO/IEC 27001:2022. Los servicios en la nube de Hetzner cuentan además con una atestación BSI C5 Type 2, el estándar federal alemán de seguridad en la nube. El operador, A2Z WEB PTE. LTD., cuenta con un informe SOC 2 Type II. En el plan Enterprise, la aplicación y los expedientes pueden funcionar en tus propios servidores, en la región geográfica que elijas, con OCR y modelos de lenguaje de proveedores elegidos contigo y con tus propias claves. Los datos solo salen de ese servidor hacia dos tipos de proveedores. Las páginas escaneadas que no se pueden leer en nuestros servidores pasan por el OCR de Amazon Textract, en la región de Fráncfort de AWS. El análisis con modelos de lenguaje se hace en OpenAI y Anthropic, en Estados Unidos, con cláusulas contractuales tipo y contratos que prohíben entrenar modelos con tu material. Nadie más ve un documento. Lo que hace cada proveedor con lo que recibe se explica en la página de [tratamiento de datos y cumplimiento normativo](https://legalnaut.com/data-handling-and-compliance). RGPD y PDPA ------------- Aplicamos el RGPD a los clientes de la Unión Europea y del Reino Unido y, como sociedad de Singapur, la Ley de Protección de Datos Personales de Singapur (PDPA). Respecto del material de cada asunto actuamos como encargado del tratamiento conforme a un [contrato de encargo del tratamiento](https://legalnaut.com/dpa), con cláusulas contractuales tipo para cualquier transferencia fuera del EEE. Tratamos el material del asunto solo siguiendo tus instrucciones, te ayudamos a atender las solicitudes de ejercicio de derechos de los interesados y te notificamos sin dilación indebida cualquier violación de la seguridad que afecte a tu expediente. La [política de privacidad](https://legalnaut.com/policy) detalla qué datos recogemos y para qué. Las pruebas no se pueden reescribir ------------------------------------- La huella digital de un documento, su archivo y el texto extraído quedan fijados en el momento en que entra en el asunto, y la aplicación no permite sobrescribirlos. Lo que la IA escribe sobre un documento se guarda aparte y se puede regenerar sin tocar la prueba. Esa huella es también lo que demuestra que un archivo no ha cambiado desde su llegada y lo que impide incorporar dos veces el mismo documento con dos nombres distintos. Ningún enlace público al material del asunto ---------------------------------------------- Solo puede ver un documento quien haya iniciado sesión y forme parte de su asunto. No hay enlaces públicos que compartir, ni enlaces que sigan funcionando cuando alguien deja el asunto. Roles, y quién puede eliminar ------------------------------- Cada persona de un asunto tiene un rol, y el rol determina lo que puede hacer. Solo el titular y un administrador pueden eliminar material compartido, algunos roles trabajan sin acceso a las categorías marcadas como sensibles, y un lector consulta y exporta pero no modifica nada. Cada acción relevante queda en un registro de auditoría que nadie del asunto puede modificar. La IA, y dónde se detiene --------------------------- El análisis se hace con modelos de lenguaje comerciales, con contratos que prohíben entrenarlos con tu material. Todo lo que escribe un modelo se marca como borrador, y cada conclusión suya es una sugerencia hasta que la confirma un abogado, con su nombre y la hora junto a la decisión. Cada borrador y cada respuesta del chat se contrastan con el expediente antes de que los veas: que el documento y la página citados existen y que la cita figura realmente en el documento. Lo que no supera esa comprobación se señala, nunca se corrige en silencio. El asistente lee el expediente y solo ve lo que puede ver la persona que pregunta. Si se lo pides, añade a una carpeta un documento, una alegación, un hecho o una contradicción, o deja una nota marcada como suya; nunca lo hace por iniciativa propia y no modifica nada más. Legalnaut no presta asesoramiento jurídico, no presenta nada ante el juzgado y no decide qué significa un documento. [Cómo funciona la comprobación de citas](https://legalnaut.com/es/funcionalidades#prove) se explica en la página de funciones. Subencargados del tratamiento ------------------------------- SUBENCARGADO FINALIDAD Hetzner Online GmbH (Falkenstein, Alemania) Alojamiento de la aplicación y almacenamiento de los expedientes en Hetzner Cloud (ISO/IEC 27001:2022, BSI C5 Type 2) Amazon Web Services (Fráncfort, eu-central-1) Amazon Textract: OCR de páginas escaneadas cuando falla la extracción local OpenAI y Anthropic (Estados Unidos) Análisis de documentos, resúmenes, borradores y respuestas del chat, sin entrenamiento con el contenido de los clientes La lista nominal vigente, con las jurisdicciones, figura en el [contrato de encargo del tratamiento](https://legalnaut.com/dpa). Conservación -------------- Ningún plan pone un límite de tiempo al expediente, y ningún calendario borra los datos de un asunto que se haya pagado alguna vez. Si la suscripción vence, el asunto queda bloqueado hasta que se elige un plan, y el titular puede seguir descargando una exportación completa o eliminarlo. No se toca nada de su contenido; borrarlo exige una acción deliberada, e incluso entonces el borrado espera 30 días, con un aviso 7 días antes, durante los cuales basta un clic para conservar el expediente. Una excepción, para que no te sorprenda: el asunto de un periodo de prueba que terminó sin usarse se programa para su eliminación 30 días después del fin de la prueba, con el mismo aviso y el mismo plazo de gracia. Las exportaciones que generas caducan a los 7 días; los datos a partir de los que se hicieron, no. Cómo comunicarnos un incidente -------------------------------- Si crees que una cuenta se ha visto comprometida o has encontrado una vulnerabilidad, escribe a contact@legalnaut.com. Legalnaut está gestionado por A2Z WEB PTE. LTD., sociedad registrada en Singapur con el número 202614429R. SCREENSHOT ![]()