Política de Privacidad — LexFlow

Tratamiento de datos personales de los usuarios directos de la plataforma LexFlow

Lo que debes saber en un minuto

• Qué datos tratamos: nombre, correo, teléfono (opcional), matrícula profesional (opcional), datos de acceso y seguridad (incluida la dirección IP), datos de facturación, el texto de tus consultas al asistente de inteligencia artificial (y su historial, que solo ves tú) y, solo si lo activas, el audio dictado (que no se almacena).
• Para qué: prestarte el servicio, autenticarte, protegerte de ataques, enviarte alertas de plazos, facturar y cumplir obligaciones legales.
• Con quién los compartimos: únicamente con proveedores tecnológicos necesarios (Supabase, Vercel, Hetzner, Anthropic, OpenAI, Resend, OneSignal y Sentry) y con autoridades cuando la ley lo exige. Nunca vendemos tus datos.
• Dónde se procesan: en Brasil (base de datos y servidores de la aplicación), en Alemania (servidor propio para tareas automáticas y copias de respaldo) y en Estados Unidos (inteligencia artificial, correo, notificaciones y monitoreo de errores).
• Tus derechos: acceso, rectificación, eliminación, oposición, suspensión, portabilidad y revocación del consentimiento, escribiendo a dpo@tiertec.lat.
• Importante: esta Política trata los datos de quienes usan LexFlow. Los datos de los clientes de tu estudio jurídico los trata tu estudio como Responsable, y LexFlow solo como Encargado (ver el Acuerdo de Tratamiento de Datos).

ÍNDICE

1. A quién aplica esta Política

1. Identidad y datos de contacto del Responsable

1. Principios que rigen el tratamiento

1. Datos personales que tratamos y su origen

1. Finalidades y bases de licitud del tratamiento

1. Inteligencia artificial, perfiles y decisiones automatizadas

1. Destinatarios y encargados del tratamiento

1. Transferencias internacionales de datos

1. Plazos de conservación

1. Derechos de los titulares y cómo ejercerlos

1. Medidas de seguridad

1. Cookies y tecnologías locales

1. Menores de edad

1. Enlaces y servicios de terceros

1. Datos de terceros que cargas en la plataforma

1. Cambios a esta Política

1. Consentimientos específicos y aceptación

1. Contacto y reclamos

1. Flujo de tus datos, paso a paso

1. Preguntas frecuentes

Anexo A. Evaluación resumida del interés legítimo

Anexo B. Mapa de la información exigida por el artículo 12 de la LOPDP

1. A quién aplica esta Política

1.1. Titulares comprendidos. Esta Política aplica al tratamiento de datos personales de: (a) los usuarios directos del Servicio (administradores, abogados y pasantes de estudios jurídicos que tienen una cuenta en la plataforma); (b) las personas que contactan al Prestador por soporte, ventas o protección de datos; y (c) los visitantes del sitio web https://app.tiertec.lat.

1.2. Datos que quedan fuera. Los datos personales de los clientes finales de los estudios jurídicos, de las contrapartes y de otros terceros que el Estudio carga en sus expedientes no son tratados por LexFlow para fines propios. Respecto de ellos, el Estudio actúa como Responsable del tratamiento y LexFlow únicamente como Encargado, conforme al Acuerdo de Tratamiento de Datos Personales (DPA). Las personas que acceden al Portal del Cliente se rigen por el Aviso de Privacidad del Portal del Cliente.

1.3. Datos profesionales. Los datos de contacto de profesionales referidos al ejercicio de su profesión (nombres y apellidos, funciones, dirección postal o electrónica y teléfono profesional) son susceptibles de tratamiento en los términos del último inciso del artículo 2 de la LOPDP. Aun así, el Prestador los trata con sujeción a los principios de esta Política.

1.4. Mayoría de edad. Los usuarios del Servicio deben ser mayores de edad (cláusula 13).

1.5. Relación con otros documentos. Esta Política complementa los Términos y Condiciones de Uso, el DPA y el Aviso Legal. Su aceptación al registrarse acredita que el titular fue informado conforme al artículo 12 de la LOPDP; no constituye por sí misma consentimiento para tratamientos que requieran consentimiento específico (cláusula 5.4).

2. Identidad y datos de contacto del Responsable

En cumplimiento del deber de información (art. 12, numerales 8 y 9, LOPDP), se informa que:

3. Principios que rigen el tratamiento

El Prestador trata los datos personales conforme a los principios del artículo 10 de la LOPDP. La tabla resume cómo se aplican:

4. Datos personales que tratamos y su origen

4.1. Datos de identificación y registro. Nombre completo, correo electrónico, número de teléfono celular (opcional), fotografía de perfil (opcional), matrícula profesional (opcional), nombre o razón social del estudio, RUC o cédula del titular de la cuenta y rol dentro del estudio.

4.2. Datos de cuenta y autenticación. Contraseña (almacenada únicamente mediante hash criptográfico bcrypt a través del proveedor de autenticación; nunca en texto plano), factor de verificación en dos pasos si lo activas, identificador de estudio (tenant), rol de usuario (administrador, abogado, pasante), preferencias de interfaz y tokens de sesión.

4.3. Datos de facturación. Nombre o razón social, RUC o cédula, dirección, correo de facturación, plan contratado, historial de pagos y comprobantes electrónicos. El Prestador no almacena números completos de tarjetas de crédito o débito.

4.4. Datos técnicos, de navegación y seguridad. Dirección IP (para control de tasa de peticiones, geolocalización aproximada de seguridad y prevención de abusos); fechas y horas de inicio y cierre de sesión; intentos fallidos de autenticación; tipo de navegador y dispositivo; registros de auditoría (operaciones realizadas en el sistema); reportes de errores de software; e identificador efímero de dispositivo (player_id) si activas notificaciones push.

4.5. Datos derivados del uso de inteligencia artificial. Texto de las consultas que ingresas al asistente legal y sus respuestas, conteo de consultas para controlar la cuota del plan y metadatos técnicos de la solicitud. Las conversaciones se guardan en un historial personal para que puedas retomarlas: solo tú las ves, ni siquiera el administrador de tu estudio, y puedes eliminarlas cuando quieras.

4.6. Audio (solo si activas "Voz con IA"). Esta función solo está disponible si el administrador de tu estudio la habilita. Si además activas el dictado por voz y otorgas tu consentimiento específico, el audio se procesa en memoria para su transcripción a texto y no se almacena. La voz no se utiliza para identificar ni autenticar personas, y no se generan ni conservan plantillas biométricas, además los datos proporcionados y la voz de las personas que se usan se rigen al presente documento como al de los proveedores de inteligencia artificial los cuales son aceptados expresamente por el cliente o usuario del chat de voz.

4.7. Comunicaciones. Mensajes que nos envías a soporte o a protección de datos, y las respuestas que te damos.

4.8. Datos que no buscamos. No solicitamos datos sensibles (art. 4 LOPDP), datos de niñas, niños y adolescentes, ni datos biométricos con fines de identificación. Te pedimos no incluirlos en tu perfil ni en tus mensajes de soporte. Si un usuario los incorpora en el contenido de sus casos, se tratan conforme al DPA.

4.9. Origen de los datos. Los datos provienen: (a) de ti directamente, al registrarte y usar el Servicio; (b) del administrador de tu estudio, cuando crea tu cuenta como usuario subordinado (en ese caso, el Prestador te informará dentro de los treinta (30) días o en la primera comunicación, conforme al art. 12 LOPDP); y (c) de tu dispositivo y navegador, por medios técnicos.

4.10. Veracidad. Debes suministrar datos exactos y actualizados. Los datos erróneos o inexactos pueden impedir la prestación del Servicio o el ejercicio de tus derechos, y tú respondes por la información falsa que proporciones.

5. Finalidades y bases de licitud del tratamiento

5.1. Cuadro de finalidades. El tratamiento se realiza para las finalidades y con las bases de licitud del artículo 7 de la LOPDP que se indican:

5.2. Interés legítimo. Cuando el tratamiento se funda en el interés legítimo del Prestador (arts. 7, numeral 8, y 9 LOPDP; art. 7, numeral 3, del Reglamento; normativa general de la SPDP sobre interés legítimo), se han evaluado la necesidad y proporcionalidad del tratamiento, su impacto sobre los titulares y las garantías adicionales aplicadas (Anexo A). Puedes oponerte a estos tratamientos conforme a la cláusula 10.

5.3. Lo que no hacemos. LexFlow no vende ni comercializa datos personales, no cede datos a terceros para publicidad, no elabora perfiles con efectos jurídicos y no toma decisiones automatizadas que produzcan efectos jurídicos sobre las personas.

5.4. Consentimientos específicos. Solicitaremos tu consentimiento libre, específico, informado e inequívoco (arts. 7, numeral 1, y 8 LOPDP; arts. 5 y 6 del Reglamento) para tratamientos que lo requieran, entre ellos el dictado por voz, las notificaciones push del navegador y cualquier comunicación no esencial. El consentimiento se manifiesta mediante una acción afirmativa distinta de la aceptación de esta Política; el silencio no lo implica. Puedes revocarlo en cualquier momento, sin justificación, por el mismo medio o escribiendo a dpo@tiertec.lat; la revocación no afecta la licitud del tratamiento anterior.

5.5. Compatibilidad. No trataremos tus datos para fines distintos de los indicados, salvo que exista una nueva base de licitud o el fin sea compatible conforme al artículo 10, literal d, de la LOPDP, en cuyo caso te informaremos previamente.

6. Inteligencia artificial, perfiles y decisiones automatizadas

6.1. Cómo funciona. El asistente legal utiliza modelos de lenguaje de terceros y una colección de normativa ecuatoriana indexada para responder consultas. Al usarlo, el texto de tu consulta se envía al proveedor del modelo para generar la respuesta. Antes del envío, el Prestador aplica mecanismos de enmascaramiento de identificadores directos (cédula, correo electrónico, teléfono), sin garantizar la detección exhaustiva de todo identificador incluido en texto libre. Por eso te pedimos no incluir en tus consultas más datos personales de los necesarios. Si la consulta incluye la jurisprudencia de la Corte Constitucional, el texto de la pregunta, sin los datos con forma de identificador personal, se envía también al buscador público de esa Corte para traer las sentencias relacionadas; la Corte no es encargada del Prestador y no recibe datos de tu cuenta.

6.2. Sin entrenamiento con tus datos. El Prestador no utiliza tus datos personales ni el contenido de tus consultas para entrenar modelos propios ni de terceros, y mantiene con sus proveedores condiciones contractuales que excluyen ese uso, conforme a los términos vigentes de cada uno. La retención de datos por los proveedores es la que sus condiciones establecen, limitada a la necesaria para operar y prevenir abusos.

6.3. Sin decisiones con efectos jurídicos. El asistente genera respuestas orientativas. No adopta decisiones que produzcan efectos jurídicos sobre ti ni valora tu conducta, solvencia o desempeño. Las decisiones que tomes con base en sus respuestas las adoptas tú. Conforme al artículo 20 de la LOPDP, tienes derecho a no ser sometido a decisiones basadas únicamente en valoraciones automatizadas, a solicitar una explicación motivada, a presentar observaciones y a impugnar cualquier decisión de ese tipo, derecho que no puede renunciarse por adelantado.

6.4. Transparencia sobre el uso de IA. En cumplimiento de la Norma General sobre el uso de sistemas de inteligencia artificial de la SPDP (Resolución SPDP-SPD-2026-0009-R y sus reformas), se informa de forma expresa que las funcionalidades identificadas como de IA implican tratamiento automatizado de datos personales, que sus finalidades son las descritas en esta Política y que el Prestador gestiona sus riesgos mediante análisis de riesgos, evaluación de impacto, medidas de seguridad, inclusión de estos tratamientos en su registro de actividades y revisión periódica del funcionamiento del sistema.

6.5. Errores del sistema. Las respuestas de la IA pueden ser inexactas. Ninguna respuesta constituye asesoría legal (ver Términos y Condiciones).

7. Destinatarios y encargados del tratamiento

7.1. Proveedores. Para prestar el Servicio, el Prestador utiliza los siguientes proveedores tecnológicos, que actúan como encargados o subencargados bajo garantías contractuales y de seguridad:

7.2. Administrador de tu estudio. Si usas LexFlow como usuario subordinado, el administrador de tu estudio puede ver información de tu cuenta, tu rol y el registro de auditoría de las operaciones que realizas dentro del estudio. Respecto de esa información, el estudio actúa con sus propias finalidades y responsabilidades como empleador o contratante de tus servicios profesionales.

7.3. Autoridades. Podremos comunicar datos a autoridades judiciales o administrativas competentes cuando exista una solicitud u orden amparada en la ley (art. 36, numeral 3, LOPDP), limitándonos a lo estrictamente requerido.

7.4. Operaciones societarias. En caso de cesión del negocio a una persona jurídica o sucesor (Términos y Condiciones, cláusula 19), tus datos se transferirán al cesionario, que asumirá las obligaciones de esta Política.

7.5. Sin venta de datos. No vendemos, alquilamos ni cedemos datos personales a terceros con fines comerciales propios de estos.

7.6. Debida diligencia con proveedores. El Prestador selecciona proveedores que ofrezcan garantías suficientes para proteger los derechos de los titulares (art. 40 del Reglamento), revisa de forma periódica sus condiciones de seguridad y privacidad, exige compromisos de confidencialidad, de uso limitado de los datos a la prestación del servicio y de notificación de incidentes, y no les autoriza a utilizar los datos para fines propios. Cuando un proveedor modifica sus condiciones de forma que afecte tus derechos, el Prestador evaluará su continuidad y, de ser necesario, lo sustituirá o te informará conforme a la cláusula 16.

7.7. Requerimientos de autoridades. Antes de atender un requerimiento, el Prestador verifica la competencia de la autoridad y el fundamento legal, limita la información a lo estrictamente necesario, deja constancia de lo entregado y, cuando la ley lo permita, te informa. Tratándose del contenido de los expedientes de un estudio jurídico, el Prestador remitirá el requerimiento al Estudio, que es el Responsable, y podrá oponer el secreto profesional que a este corresponda.

8. Transferencias internacionales de datos

8.1. Destinos. Los datos que se procesan por cuenta del Prestador se almacenan y tratan en servidores ubicados en Brasil (São Paulo), donde residen la base de datos y los servidores de la aplicación; en Alemania, en el servidor propio del Prestador (tareas automáticas y copias de respaldo); y en los Estados Unidos de América, donde operan la red de entrega de la aplicación y los proveedores de inteligencia artificial, correo, notificaciones y monitoreo de errores, según el proveedor indicado en la cláusula 7.1.

8.2. Marco aplicable. Las transferencias o comunicaciones internacionales se rigen por los artículos 55 a 60 de la LOPDP, por los artículos 71 a 78 del Reglamento General y por la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales de la SPDP (Resolución SPDP-SPD-2026-0004-R). Cuando la SPDP declare que un destino tiene nivel adecuado de protección, la transferencia se ampara en esa declaratoria (art. 56 LOPDP). En ausencia de declaratoria, el Prestador se apoya en las garantías adecuadas del artículo 57 de la LOPDP (instrumentos jurídicos vinculantes que exigen un estándar igual o superior al ecuatoriano, tutela efectiva y reparación integral) y, cuando corresponda, en las excepciones del artículo 60, en particular su numeral 4 (transferencia necesaria para ejecutar el contrato con el titular) y su numeral 2 (consentimiento explícito tras ser informado de los riesgos).

8.3. Garantías aplicadas. Contratos con proveedores que asumen obligaciones de protección de datos, cifrado en tránsito y en reposo, enmascaramiento previo de identificadores directos en las consultas dirigidas a modelos de IA, minimización del volumen de datos compartidos y selección de proveedores con certificaciones de seguridad reconocidas (por ejemplo, SOC 2 Tipo II o ISO/IEC 27001).

8.4. Información sobre riesgos. Se te informa que los países de destino pueden tener niveles de protección de datos distintos del ecuatoriano y que las autoridades de esos países podrían, bajo su propia legislación, requerir acceso a datos alojados en su territorio. El Prestador mitiga estos riesgos con las garantías de la cláusula 8.3. Si una transferencia solo pudiera amparse en tu consentimiento explícito, te lo solicitaremos de forma separada y podrás revocarlo, lo que puede limitar funcionalidades que dependen de esos proveedores.

8.5. Registro y copia de garantías. El Prestador registrará las transferencias internacionales en el Registro Nacional de Protección de Datos Personales cuando corresponda (art. 59 LOPDP; art. 78 del Reglamento). Puedes solicitar información sobre las garantías aplicadas escribiendo a dpo@tiertec.lat.

9. Plazos de conservación

Los datos se conservan únicamente por el tiempo necesario para las finalidades del tratamiento (art. 10, literal i, LOPDP; arts. 8 a 11 del Reglamento):

9.1. Eliminación al vencer los plazos. Vencidos los plazos, los datos se eliminan de forma segura, se bloquean o se anonimizan de manera irreversible, conforme a la normativa de la SPDP sobre seudonimización, anonimización, bloqueo y eliminación. Podremos conservar datos por más tiempo cuando una ley lo exija o cuando sean necesarios para la formulación, ejercicio o defensa de reclamaciones (art. 18, numeral 4, LOPDP; art. 11 del Reglamento).

9.2. Baja de un usuario del estudio. El administrador del estudio puede dar de baja a un usuario subordinado. Los datos de perfil opcionales (fotografía, teléfono) se eliminarán o anonimizarán a solicitud del usuario, salvo que sean necesarios para los fines de la cláusula 5. El registro de auditoría de las operaciones realizadas por esa persona se conserva mientras el estudio permanezca activo, porque permite al estudio acreditar quién hizo qué sobre sus expedientes.

9.3. Cambio de estudio. Si ejerces en más de un estudio o cambias de estudio, cada cuenta es independiente: el Prestador no transfiere datos entre estudios. La portabilidad que puedes ejercer se refiere a tus propios datos de perfil; los datos de los casos pertenecen al estudio Responsable.

9.4. Titularidad de la cuenta administradora. La persona que actúa como administrador representa al estudio. El cambio de titular de la cuenta administradora requiere que se acredite la representación del estudio y se hará constar el traspaso.

9.5. Cierre de tu cuenta. Puedes solicitar la eliminación de tus datos personales de cuenta. Si eres el único administrador del estudio, el cierre implica la terminación del contrato del estudio conforme a los Términos y Condiciones, y se aplicarán sus reglas de exportación y retención.

10. Derechos de los titulares y cómo ejercerlos

10.1. Derechos reconocidos. La LOPDP te reconoce los siguientes derechos, que son irrenunciables (art. 24):

• a) Información (art. 12): saber qué datos tratamos, para qué, con qué base, por cuánto tiempo y con quién los compartimos.

• b) Acceso (art. 13): obtener gratuitamente acceso a tus datos personales, sin justificación.

• c) Rectificación y actualización (art. 14): corregir datos inexactos o incompletos. Puedes hacerlo directamente en la sección de perfil de la aplicación.

• d) Eliminación (art. 15): solicitar la supresión cuando el tratamiento no cumpla los principios, ya no sea necesario, haya vencido el plazo de conservación o revoques tu consentimiento, entre otros supuestos.

• e) Oposición (art. 16): oponerte al tratamiento fundado en el interés legítimo por una situación particular tuya, y a la mercadotecnia directa.

• f) Portabilidad (art. 17): recibir tus datos en un formato estructurado, común y de lectura mecánica, o transmitirlos a otro responsable, cuando sea técnicamente posible.

• g) Suspensión del tratamiento (art. 19): solicitar la limitación temporal del uso de tus datos en los casos previstos.

• h) No ser objeto de decisiones automatizadas (art. 20): ver la cláusula 6.3.

• i) Consulta (art. 22): consultar de forma pública y gratuita el Registro Nacional de Protección de Datos Personales.

• j) Revocación del consentimiento (art. 8): retirarlo en cualquier momento, sin efectos retroactivos.

10.2. Excepciones. Conforme al artículo 18 de la LOPDP, no proceden los derechos de rectificación, eliminación, oposición y portabilidad cuando: quien solicita no acredite ser el titular o su representante; los datos sean necesarios para cumplir una obligación legal o contractual, una orden judicial o un mandato de autoridad; sean necesarios para formular, ejercer o defender reclamaciones; su ejercicio pueda causar perjuicio a derechos o intereses legítimos de terceros debidamente acreditado, u obstaculice actuaciones judiciales o administrativas en curso; o medien otras causales del artículo 18. En esos casos te explicaremos los motivos de manera fundamentada.

10.3. Cómo ejercerlos. Envía tu solicitud a dpo@tiertec.lat (asunto sugerido: "Ejercicio de derechos LOPDP — LexFlow"), indicando (art. 13 del Reglamento): (a) tus nombres y apellidos completos, número de cédula o pasaporte y una dirección postal o electrónica para notificaciones (y los datos del representado, si actúas por otra persona); (b) la descripción, de ser posible, de los datos respecto de los que ejerces el derecho; (c) la relación clara y precisa de lo que solicitas; (d) el derecho que deseas ejercer; y (e) copia del documento que acredite tu identidad o tu representación.

10.4. Trámite y plazos. Si tu solicitud requiere aclaración o ampliación, te lo pediremos por una sola vez dentro del término de cinco (5) días desde su recepción; tendrás diez (10) días para completarla, vencidos los cuales la archivaremos, sin perjuicio de que puedas presentar una nueva (art. 14 del Reglamento). Atenderemos las solicitudes en los plazos legales, que no excederán de quince (15) días para el acceso, la rectificación, la eliminación y la oposición (arts. 13 a 16 LOPDP) ni de diez (10) días para los demás requerimientos (art. 62 LOPDP), y de forma gratuita. Registramos todas las solicitudes y su atención (art. 15 del Reglamento).

10.5. Verificación de identidad. Para proteger tus datos, verificaremos tu identidad de manera proporcionada antes de entregar información o ejecutar cambios.

10.6. Uso no abusivo. El derecho de acceso no puede ejercerse de forma abusiva (art. 13 LOPDP). Podremos negar solicitudes manifiestamente infundadas o repetitivas, explicando los motivos.

10.7. Reclamos. Si consideras que no atendimos correctamente tu solicitud, o que no recibiste respuesta en el plazo, puedes presentar un reclamo ante la Superintendencia de Protección de Datos Personales por los canales digitales que esta habilite (https://spdp.gob.ec), conforme al artículo 64 de la LOPDP y al artículo 16 del Reglamento. Puedes además acudir a las acciones civiles, penales o constitucionales que te asistan, incluida la garantía del hábeas data (art. 92 de la Constitución).

10.8. Personas fallecidas. Los titulares de derechos sucesorios o las personas designadas por el fallecido podrán ejercer los derechos de acceso, rectificación, actualización y eliminación en los términos del artículo 27 de la LOPDP y del artículo 17 del Reglamento.

11. Medidas de seguridad

11.1. Controles. El Prestador aplica controles técnicos y organizativos proporcionales al riesgo (arts. 37 a 41 LOPDP), entre ellos: cifrado en tránsito mediante TLS 1.2 o superior y AES-256 en reposo; almacenamiento de contraseñas mediante hash bcrypt irreversible; verificación en dos pasos opcional; aislamiento de los datos de cada estudio en la aplicación, con políticas de seguridad en la base de datos que niegan todo acceso directo; protección del inicio de sesión (tras cinco (5) intentos fallidos, una pausa de cinco minutos; al séptimo, bloqueo de la cuenta hasta que un administrador restablezca la clave; y bloqueo temporal de la conexión que insista); validación y saneamiento estrictos de entradas para prevenir inyecciones y vulnerabilidades del tipo OWASP; limitación de tasa de peticiones; cabeceras de seguridad; copias de respaldo diarias; y monitoreo de errores configurado para no enviar datos personales por defecto.

11.2. Incidentes. Si ocurre una vulneración de seguridad de datos personales de la que el Prestador sea Responsable, la notificará a la SPDP y a la Agencia de Regulación y Control de las Telecomunicaciones en el término de cinco (5) días desde que tenga constancia, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas (art. 43 LOPDP), y te la comunicará sin dilación dentro del término de tres (3) días cuando conlleve un riesgo para tus derechos fundamentales (art. 46 LOPDP), indicando su naturaleza, las medidas adoptadas y recomendaciones.

11.3. Seguridad compartida. Ningún sistema es invulnerable. Tú también contribuyes a la seguridad si usas una contraseña robusta y única (recomendamos al menos 12 caracteres con mayúsculas, minúsculas, números y símbolos), no compartes tus credenciales, cierras sesión en equipos compartidos, mantienes tus dispositivos actualizados y nos avisas de inmediato ante cualquier sospecha de compromiso.

11.4. Compromisos organizativos. Además de los controles técnicos, el Prestador se compromete a: (a) limitar el acceso a los datos de producción a las personas que lo necesiten para prestar el Servicio y sujetarlas a deberes de confidencialidad (art. 47, numeral 10, LOPDP); (b) mantener revisiones periódicas de accesos, dependencias de software y configuraciones de seguridad; (c) mantener un procedimiento documentado de respuesta a incidentes; (d) verificar de manera continua la eficacia de las medidas adoptadas (art. 37 LOPDP); y (e) mejorar sus controles conforme evolucione el estado de la técnica.

11.5. Rendición de cuentas. El Prestador mantiene un registro de actividades de tratamiento (arts. 38 y 39 del Reglamento), realiza análisis de riesgos, amenazas y vulnerabilidades (arts. 40 y 41 LOPDP) y una evaluación de impacto de los tratamientos de mayor riesgo, en particular los que involucran inteligencia artificial (art. 42 LOPDP), y las revisa al menos una vez al año o cuando cambie de forma relevante el tratamiento. Puede facilitar un resumen a los estudios que lo necesiten para cumplir sus propias obligaciones y lo pone a disposición de la SPDP, sin divulgar detalles de seguridad que comprometan los sistemas (art. 32 del Reglamento).

11.6. Continuidad. El Prestador mantiene copias de respaldo diarias y un mecanismo de continuidad operativa ante el fallecimiento o incapacidad de su titular, descrito en los Términos y Condiciones.

12. Cookies y tecnologías locales

12.1. Solo las necesarias. LexFlow utiliza únicamente cookies y tecnologías estrictamente necesarias para la operación técnica del Servicio: (a) cookies de sesión de autenticación, que almacenan el token firmado para mantener tu sesión activa de forma segura; y (b) almacenamiento local del navegador (localStorage) para guardar preferencias de interfaz, como el modo claro u oscuro y el idioma.

12.2. Lo que no usamos. No utilizamos cookies de analítica de terceros, cookies publicitarias ni píxeles de rastreo de comportamiento.

12.3. Control. Puedes configurar tu navegador para bloquear o eliminar cookies y almacenamiento local, pero hacerlo puede impedir el inicio de sesión o el funcionamiento correcto del Servicio. Si en el futuro incorporamos tecnologías no esenciales, te solicitaremos tu consentimiento previo.

13. Menores de edad

El Servicio es profesional y está dirigido exclusivamente a personas mayores de dieciocho (18) años. El Prestador no recopila conscientemente datos de niñas, niños ni adolescentes como usuarios. Si conocemos que una cuenta pertenece a una persona menor de edad, la suspenderemos y eliminaremos sus datos, salvo que una ley exija su conservación. Los datos de niñas, niños y adolescentes que un estudio jurídico incorpore en sus expedientes son tratados por el Prestador como Encargado, conforme al DPA, y su tratamiento exige las autorizaciones y garantías de los artículos 21 y 25 de la LOPDP y 19 y 20 del Reglamento por parte del Estudio, sin embargo de lo anterior no se hace responsable al proveedor del servicio LexFlow por ningún dato cargado, creado, subido, encriptado o de ningún tipo que no exista en la plataforma antes de iniciar el servicio.

14. Enlaces y servicios de terceros

El Servicio puede contener enlaces o integraciones con sitios y servicios de terceros. Sus políticas de privacidad son ajenas al Prestador, quien no responde por ellas. Te recomendamos leerlas antes de proporcionar tus datos, en el caso de que utilices dichos servicios serás completamente responsable por aquello y liberas de responsabilidad a LexFlow.

15. Datos de terceros que cargas en la plataforma

Cuando cargas datos de tus clientes, contrapartes u otras personas en los expedientes, actúas como Responsable del tratamiento (o por cuenta del Responsable) y el Prestador como Encargado. Esa relación se rige por el DPA, y el Prestador solo trata esos datos siguiendo las instrucciones documentadas del Responsable. No uses los campos de tu perfil ni los canales de soporte para transmitir datos de terceros no necesarios. Los usuarios son responsables de contar con base de licitud para tratar dichos datos.

En ningún caso LexFlow será responsable por datos que fueran incorporados, creados, subidos ni ningún otro que no existiera en el modelo base del producto, quien responderá por estos documentos será únicamente el cliente.

Se debe entender que LexFlow no supervisa el contenido subido dándole total autonomía y libertad al cliente para el manejo de sus documentos y este último se compromete a regirse a las leyes ecuatorianas vigentes, las buenas costumbres y la ética, liberando de responsabilidad a LexFlow por cualquier contenido subido en su Herramienta.

16. Cambios a esta Política

El Prestador puede actualizar esta Política para reflejar cambios legales, técnicos u operativos. Los cambios materiales (nuevas finalidades, nuevas transferencias o cualquier reducción de tus derechos) se notificarán con al menos quince (15) días de anticipación por correo electrónico y en el panel, y requerirán tu aceptación o consentimiento explícito al ingresar, cuando la ley lo exija. Los cambios menores (correcciones de redacción, ajustes técnicos, actualización de datos de contacto o de la lista de proveedores sin cambio de condiciones sustanciales) entran en vigor desde su publicación. La versión vigente y su fecha de actualización se publican en el sitio del Servicio.

17. Consentimientos específicos y aceptación

17.1. Aceptación informada. Al registrarte, declaras haber sido informado del contenido de esta Política. Esa declaración no equivale a consentimiento para los tratamientos que lo requieran.

17.2. Consentimientos opcionales. Puedes otorgar o negar de forma independiente: (a) el uso de "Voz con IA"; (b) las notificaciones push del navegador; (c) las comunicaciones opcionales no esenciales, de existir; y (d) el consentimiento informado a las transferencias internacionales cuando sea el mecanismo aplicable conforme a la cláusula 8. Negar (a) a (c) no afecta el uso del resto del Servicio.

17.3. Prueba. El Prestador conserva evidencia del consentimiento otorgado (fecha, hora, versión y alcance) para poder demostrarlo ante la autoridad (art. 5 del Reglamento).

18. Contacto y reclamos

Para consultas, dudas o solicitudes sobre esta Política y el tratamiento de tus datos:

• Correo de protección de datos: dpo@tiertec.lat (asunto sugerido: "Consulta de Privacidad — LexFlow").

• Correo general: soporte@tiertec.lat.

• Domicilio: Vía Colonia Montúfar Km. 4, Quito, Pichincha, Ecuador.

• Horario: lunes a viernes, de 09:00 a 18:00 (hora de Ecuador, UTC-5), excluidos feriados nacionales.

• Autoridad de control: Superintendencia de Protección de Datos Personales, https://spdp.gob.ec.

19. Flujo de tus datos, paso a paso

Para que puedas visualizar cómo se mueven tus datos dentro del Servicio, se describe el flujo típico de una sesión de trabajo:

20. Preguntas frecuentes

¿LexFlow lee el contenido de mis expedientes? No de forma rutinaria. El Prestador solo accede a datos sustantivos de tu estudio cuando es estrictamente necesario para prestar soporte, con tu autorización, por requerimiento de autoridad competente o para responder a un incidente de seguridad, conforme a la cláusula 13 de los Términos y Condiciones. Además, el equipo de soporte solo puede abrir los expedientes de tu estudio si su administrador lo autoriza desde Ajustes, con una ventana de tiempo limitada (máximo setenta y dos horas) que queda registrada y se cierra sola.

¿Mis consultas al asistente de IA se usan para entrenar el modelo? No. El Prestador no permite que sus proveedores de modelos utilicen tus consultas para entrenar modelos públicos o de terceros, conforme a la cláusula 6.2.

¿Puedo usar LexFlow sin activar las notificaciones push ni el dictado por voz? Sí. Son funcionalidades opcionales que requieren tu consentimiento específico (cláusula 17.2) y puedes usar el resto del Servicio sin activarlas.

¿Qué pasa con mis datos si dejo de pagar la suscripción? Tus datos de cuenta y de perfil se conservan mientras dure la suspensión y, si el contrato termina, se aplican los plazos de exportación y retención de los Términos y Condiciones (cláusula 18) y de esta Política (cláusula 9).

¿LexFlow vende mis datos a terceros? No, nunca. Ver cláusula 7.5.

¿Qué ocurre si mi estudio deja de usar LexFlow pero yo sigo trabajando en otro estudio? Cada cuenta de estudio es independiente entre sí (cláusula 9.3); tus datos de perfil en un estudio no se transfieren automáticamente a otro.

¿Cómo sé si esta Política cambió? Revisamos la fecha de "última actualización" en el sitio del Servicio y, si el cambio es material, te lo notificamos por correo y en el panel (cláusula 16).

Anexo A. Evaluación resumida del interés legítimo

El Prestador ha realizado una ponderación para los tratamientos fundados en el interés legítimo, atendiendo a los factores del artículo 7, numeral 3, del Reglamento General:

Anexo B. Mapa de la información exigida por el artículo 12 de la LOPDP

Quito, 2 de octubre de 2026.

Registro de cambios

• 1.2 (2-X-2026). Texto del abogado colegiado (borrador del 23-IX-2026) con las correcciones de hecho del Prestador: ubicación de los datos (Brasil, Alemania y EE. UU.), rol de pasante, cifrado TLS 1.2 o superior, protección del inicio de sesión y verificación en dos pasos, función del servidor de Alemania, conservación de la IP de los controles de acceso (24 horas, máximo 48), historial del asistente legal, consulta a la Corte Constitucional, configuración de Sentry, custodia de datos tras la cancelación (cl. 18.2 de los Términos), ventana de soporte, teléfono y numeración de la cláusula 10. Las observaciones están en legal/OBSERVACIONES-DOCS-v1.0-2026-10-02.md.
• 1.1 (30-IX-2026). Corrigió la ubicación de los datos y las bases de las transferencias internacionales.