Acuerdo de Tratamiento de Datos Personales — LexFlow

Encargo del tratamiento entre el Estudio Jurídico (Responsable) y LexFlow (Encargado), conforme a la LOPDP

Resumen del Acuerdo

• Tu Estudio es el Responsable de los datos de sus clientes, contrapartes y demás terceros que carga en LexFlow. LexFlow es el Encargado: trata esos datos solo por tu cuenta y siguiendo tus instrucciones.
• LexFlow no usa esos datos para fines propios, no los vende y no los usa para entrenar modelos de IA.
• LexFlow utiliza subencargados tecnológicos (listados en el Anexo II) bajo autorización general de tu Estudio, con derecho a objetar cambios.
• Ante una vulneración de seguridad, LexFlow te notifica en un plazo máximo de dos (2) días; a ti, como Responsable, te corresponde evaluar la notificación a la SPDP, a la ARCOTEL y a los titulares.
• Al terminar el contrato, tienes treinta (30) días para exportar tus datos; luego se eliminan o anonimizan conforme a los plazos de este Acuerdo.
• Este Acuerdo se acepta junto con los Términos y Condiciones y no puede aceptarse por separado.

ÍNDICE

SECCIÓN I. Declaraciones preliminares y definiciones

SECCIÓN II. Objeto, partes y delimitación de roles

SECCIÓN III. Naturaleza, categorías y alcance del tratamiento

SECCIÓN IV. Regulación especial del uso de inteligencia artificial

SECCIÓN V. Obligaciones y deberes operativos del Encargado (LexFlow)

SECCIÓN VI. Declaración de licitud, garantías y deberes del Responsable (el Estudio)

SECCIÓN VII. Subencargados del tratamiento y autorizaciones

SECCIÓN VIII. Régimen de transferencias internacionales

SECCIÓN IX. Ejercicio de derechos de los titulares (ARCOP+)

SECCIÓN X. Conservación, devolución, exportación y supresión

SECCIÓN X BIS. Auditorías e inspecciones

Preguntas frecuentes sobre este Acuerdo

SECCIÓN XI. Deber de confidencialidad y protección del secreto profesional

SECCIÓN XII. Gestión y notificación de incidentes de seguridad

SECCIÓN XIII. Evaluación de impacto y análisis de riesgos

SECCIÓN XIV. Régimen de responsabilidad y límites

SECCIÓN XV. Continuidad y sucesión

SECCIÓN XVI. Modificaciones, vigencia y ley aplicable

Aceptación

Anexo I. Medidas técnicas y organizativas de seguridad

Anexo II. Nómina de Subencargados del tratamiento

Anexo III. Modelo de notificación de incidentes al Responsable

Anexo IV. Matriz resumida de riesgos y medidas de mitigación

Anexo V. Modelo de registro de actividades de tratamiento (referencial)

SECCIÓN I. Declaraciones preliminares y definiciones

I.1. Naturaleza del Acuerdo. El presente Acuerdo de Tratamiento de Datos Personales (el "DPA" o el "Acuerdo") constituye un anexo normativo vinculante que complementa e integra de forma inseparable los Términos y Condiciones de Uso del Servicio LexFlow. Se celebra conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP) y a su Reglamento General (RGLOPDP). En caso de contradicción entre este Acuerdo y los Términos y Condiciones en materia de tratamiento de datos personales, prevalece este Acuerdo.

I.2. Definiciones. Para la interpretación de este Acuerdo, además de las definiciones de los Términos y Condiciones, se aplican las siguientes, alineadas con el artículo 4 de la LOPDP y el artículo 4 del Reglamento:

I.3. Interpretación favorable. En caso de duda sobre el alcance de una estipulación de este Acuerdo, se aplicará el criterio más favorable a la protección de los titulares de datos personales (art. 10, literal l, LOPDP).

SECCIÓN II. Objeto, partes y delimitación de roles

II.1. Objeto. Este Acuerdo regula las operaciones de tratamiento de datos personales que el Encargado realiza por cuenta, bajo instrucciones documentadas y por cuenta y riesgo del Responsable, en el marco de la prestación del Servicio LexFlow: gestión de expedientes; incorporación de las actuaciones que publica la Función Judicial en las causas que el Estudio registra; agenda de plazos; notificaciones; funcionalidades de inteligencia artificial; registro de horas; y, cuando el Estudio los habilite, almacenamiento de documentos y Portal del Cliente.

II.2. Identificación de las partes.

II.3. Perfeccionamiento. Este Acuerdo se acepta de manera conjunta e inseparable con los Términos y Condiciones, en el mismo acto de registro o de inicio de uso del Servicio. No puede aceptarse ni rechazarse por separado: quien acepta los Términos acepta este Acuerdo.

II.4. Roles frente a distintos titulares.

SECCIÓN III. Naturaleza, categorías y alcance del tratamiento

III.1. Naturaleza de las operaciones. El tratamiento comprende, según el uso que el Responsable haga de la Plataforma: recogida, registro, organización, estructuración, conservación, consulta, modificación, extracción, comunicación por transmisión dentro de la cuenta del Estudio, cotejo, limitación, supresión y destrucción de datos personales, mediante procedimientos total o parcialmente automatizados.

III.2. Categorías de titulares. Clientes finales del Estudio (personas naturales); representantes legales de personas jurídicas clientes; contrapartes procesales; testigos, peritos y otros terceros mencionados en los expedientes; y, cuando corresponda y con las salvaguardas adicionales que exige la ley, niñas, niños y adolescentes involucrados en los casos.

III.3. Categorías de datos. Datos de identificación (nombres, cédula o RUC, dirección, contacto); datos contractuales y económicos del caso (honorarios, cobros, gastos); datos de expedientes y actuaciones procesales, incluidas las que se incorporan desde la Función Judicial; documentos y evidencias cargados por el Estudio; registros de horas y de jornada del personal del Estudio, si usa esas funciones; y, cuando el Estudio los incorpore bajo su propia responsabilidad, categorías especiales de datos personales (art. 25 LOPDP), como datos de salud, pasado judicial o datos de niñas, niños y adolescentes, que resulten inherentes a la materia del caso.

III.4. Duración del tratamiento. El tratamiento se realiza durante la vigencia del contrato de suscripción y durante los plazos de retención posteriores a la terminación previstos en la Sección X.

III.5. Instrucciones sobre categorías especiales. El Responsable es el único competente para decidir si incorpora categorías especiales de datos personales a la Plataforma y para contar con la base de licitud reforzada que exige el artículo 26 de la LOPDP. El Encargado no filtra ni impide la carga de estos datos, salvo las restricciones técnicas generales del Servicio, y no asume responsabilidad por la decisión del Responsable de incorporarlos.

III.6. Origen de los datos. Los Datos del Estudio provienen: (a) de lo que el Responsable y sus usuarios registran o cargan en la Plataforma; (b) de la Función Judicial, cuyas actuaciones el Encargado consulta e incorpora, por instrucción del Responsable, en las causas que este registra, a través del proveedor de salida de red indicado en el Anexo II; y (c) del catastro público del Servicio de Rentas Internas, cuando un usuario consulta un RUC para registrar a un cliente. De esa consulta no se conserva la cédula de los representantes legales.

III.7. Suscripción de calendario. Si un usuario del Estudio activa la suscripción de calendario, el proveedor de calendario que ese usuario elija recibe la fecha de cada plazo y un enlace a la Plataforma. Solo si el usuario elige el detalle completo recibe además el nombre del caso y los datos del plazo. Ese proveedor no es Subencargado del Encargado: lo elige y configura el propio usuario.

SECCIÓN IV. Regulación especial del uso de inteligencia artificial

IV.1. Alcance de esta Sección. Cuando el Responsable utiliza funcionalidades de inteligencia artificial sobre datos personales de sus Titulares, esa operación es tratamiento de datos personales mediante sistemas de inteligencia artificial y se sujeta a esta Sección, en armonía con la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial de la SPDP (Resolución SPDP-SPD-2026-0009-R y sus reformas). A la fecha de este Acuerdo, esas funcionalidades son:

• a) el resumen de las actuaciones incorporadas desde la Función Judicial, cuyo texto se envía al proveedor del modelo con los identificadores directos enmascarados;
• b) la lectura de providencias, que envía el texto del acto con los identificadores directos enmascarados y, cuando el texto no basta, el documento completo, en el que no es posible enmascararlos. Solo funciona si el administrador del Estudio la activa y acepta sus condiciones;
• c) el autorrelleno de formularios a partir de texto o voz dictada. El texto se envía enmascarado; en la modalidad de voz con IA, el audio se envía al proveedor de transcripción solo si el Estudio la habilita y el usuario consiente;
• d) la conversión de plantillas de documentos (.docx) del propio Estudio, que se envía sin enmascarar porque la tarea consiste en señalar dónde están los datos de las partes; y
• e) la lectura de facturas por foto o PDF para registrar gastos.

El Asistente legal responde consultas sobre la normativa y no accede por sí mismo al expediente.

IV.2. Acceso, visibilidad y control efectivo. El Encargado tiene acceso técnico limitado a los datos que se envían a las funcionalidades de inteligencia artificial únicamente en la medida necesaria para operar la funcionalidad (enrutar la consulta, aplicar enmascaramiento y devolver la respuesta), y no ejerce control editorial sobre el contenido que el Responsable decide ingresar. El Encargado no tiene visibilidad sistemática de los expedientes fuera de esa operación puntual, conforme a la Sección XI.

IV.3. Instrucciones del Responsable sobre IA. El Responsable instruye al Encargado para que procese mediante las funcionalidades de inteligencia artificial únicamente los datos que el propio Responsable decida ingresar o las funcionalidades que decida activar, para las finalidades de apoyo a la gestión del caso descritas en los Términos y Condiciones (cláusula 7).

IV.4. Medidas del Encargado. El Encargado: (a) aplica enmascaramiento de identificadores directos antes de enviar las consultas a los proveedores de modelos, según el detalle técnico del Anexo I; (b) exige a esos proveedores condiciones contractuales que excluyen el uso de las consultas para entrenar modelos públicos o de terceros; (c) no permite que las Salidas del Asistente se utilicen para reentrenar modelos con datos de un Estudio a favor de otro; y (d) mantiene un registro de las categorías de datos que pueden llegar a transitar por el Asistente para fines de la evaluación de impacto de la Sección XIII.

IV.5. Deber del Responsable. Corresponde al Responsable: (a) evaluar, antes de ingresar datos personales sensibles en una consulta al Asistente, si existe base de licitud suficiente y si es necesario hacerlo; (b) informar a sus Titulares, cuando corresponda, que su Estudio utiliza herramientas de inteligencia artificial en la gestión de los casos; y (c) no delegar en el Asistente decisiones que la ley reserva al criterio profesional del abogado.

El Responsable entiende que se trata de un proveedor de IA al que le entrega voluntariamente los datos y está consciente del tratamiento de ellos, por lo que, al entregar datos y usar el producto de IA, renuncia a cualquier reclamo dirigido a LexFlow, ya que este no puede supervisar el proceso que realiza la inteligencia artificial para procesar la información, y consciente de aquello el Responsable entrega sus datos. En caso de que no estuviera de acuerdo con este tratamiento de datos, debe abstenerse de usar dicho producto.

IV.6. Auditoría. El Encargado podrá ser auditado por la SPDP respecto del funcionamiento del Asistente IA (art. 10 de la Resolución SPDP-SPD-2026-0009-R) y cooperará con dicha auditoría. El Responsable podrá solicitar información razonable sobre el funcionamiento general del Asistente, sus limitaciones y los controles implementados, sin que ello implique revelación de secretos comerciales o de información protegida por propiedad intelectual del Encargado o de sus proveedores.

IV.7. Escenario ilustrativo. A modo de ejemplo, cuando la Función Judicial publica una providencia en una causa de un Estudio que tiene activada la lectura de providencias, el sistema envía el acto al proveedor del modelo, que propone los plazos o la audiencia que contiene. Nada se agenda solo: el abogado revisa la propuesta y decide si la acepta. El Encargado no elige qué documentos enviar fuera de lo que el Responsable activó, y el Responsable puede evitar incluir identificadores innecesarios en sus consultas siguiendo las buenas prácticas de la cláusula 6.1 de la Política de Privacidad.

IV.8. Revisión conjunta. Ante un cambio relevante en el funcionamiento del Asistente IA (por ejemplo, cambio de proveedor de modelo o de arquitectura de enmascaramiento), el Encargado evaluará si constituye una modificación material conforme a la cláusula 4.6 de los Términos y Condiciones y, de serlo, la notificará con la anticipación allí prevista.

SECCIÓN V. Obligaciones y deberes operativos del Encargado (LexFlow)

El Encargado se obliga a:

• a) tratar los Datos del Estudio únicamente siguiendo las instrucciones documentadas del Responsable, (art. 34 LOPDP; art. 41 del Reglamento), y a informar sin demora al Responsable si, a su juicio, una instrucción infringe la LOPDP u otra norma aplicable (art. 43 del Reglamento), pudiendo suspender su ejecución sin incurrir en responsabilidad mientras se aclara;

• b) no utilizar los Datos del Estudio para filtrar información, ni cederlos, comunicarlos o transferirlos a terceros distintos de los Subencargados autorizados, salvo instrucción del Responsable o mandato legal;

• c) garantizar la confidencialidad, mediante compromisos escritos con el personal y colaboradores que tengan acceso a los Datos del Estudio (art. 47, numeral 10, LOPDP);

• d) implementar y mantener las medidas de seguridad técnicas y organizativas descritas en el Anexo I, equiparables a las exigidas al Responsable en función de los datos y tratamientos aplicables (art. 41 del Reglamento);

• e) asistir al Responsable para que pueda cumplir con sus propias obligaciones frente a los Titulares, en particular el ejercicio de derechos (Sección IX), la evaluación de impacto y la notificación de incidentes (Sección XII), facilitando las herramientas técnicas disponibles en la Plataforma pero en ningún momento asumiendo responsabilidad ni culpa por incumplimiento;

• f) poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este Acuerdo y de la LOPDP, y permitir y contribuir a las auditorías o inspecciones que realice el propio Responsable o un auditor acreditado por la SPDP, con aviso razonable y sin comprometer la seguridad de otros Estudios (arts. 47, numeral 14, LOPDP, y 47 del Reglamento);

• g) devolver o eliminar los Datos del Estudio al finalizar la relación contractual, conforme a la Sección X (art. 46 del Reglamento);

• h) mantener, cuando corresponda, un registro de las actividades de tratamiento que realiza por cuenta del Responsable (art. 44 del Reglamento);

• i) notificar al Responsable cualquier vulneración de seguridad conforme a la Sección XII; y

• j) colaborar con el Responsable para que este último pueda inscribir y mantener actualizado el Registro Nacional de Protección de Datos Personales, cuando le corresponda (art. 51 LOPDP);

• k) mantener publicada, en https://app.tiertec.lat/tratamiento-datos, la versión vigente de este Acuerdo, de modo que el Responsable pueda revisar en cualquier momento, sin necesidad de solicitud previa, la lista de Subencargados (Anexo II), los plazos de conservación (Sección X) y las medidas de seguridad (Anexo I);

• l) capacitar a su personal con acceso a los Datos del Estudio en las obligaciones de este Acuerdo y en buenas prácticas de protección de datos personales; y

• m) diseñar e implementar el Servicio conforme a los principios de protección de datos desde el diseño y por defecto (art. 39 LOPDP), de modo que, salvo que el Responsable configure lo contrario, solo se traten los datos necesarios para cada finalidad y no se muestren a un número indefinido de personas de forma automatizada.

SECCIÓN VI. Declaración de licitud, garantías y deberes del Responsable (el Estudio)

El Responsable declara y garantiza que:

• a) los datos personales que incorpora a la Plataforma han sido recopilados de forma lícita, contando con la base de licitud correspondiente conforme al artículo 7 de la LOPDP, y que, cuando la base sea el consentimiento, este cumple los requisitos del artículo 8 de la LOPDP;

• b) ha cumplido, respecto de sus Titulares, el deber de información del artículo 12 de la LOPDP, incluida la mención de que utiliza un proveedor de servicios (el Encargado) para la gestión de sus expedientes;

• c) cuenta con las autorizaciones necesarias para incorporar categorías especiales de datos personales cuando lo haga, conforme al artículo 26 de la LOPDP;

• d) es el único responsable de determinar la finalidad y los medios del tratamiento de los Datos del Estudio, de responder a los Titulares y de cumplir las obligaciones que la LOPDP le impone como responsable (art. 47 LOPDP), siempre teniendo en cuenta las responsabilidades aquí mencionadas;

• e) usará el Servicio conforme a los Términos y Condiciones y a este Acuerdo, y no impartirá al Encargado instrucciones ilícitas;

• f) mantendrá vigentes las credenciales de acceso de sus usuarios conforme a la cláusula 5 de los Términos y Condiciones, y gestionará oportunamente las bajas de personal;

• g) responderá, sin perjuicio de la cláusula 16 de indemnidad de los Términos y Condiciones, por cualquier reclamo, sanción o multa de la SPDP derivada de la falta de base de licitud, de consentimiento o del incumplimiento de sus propios deberes de información frente a sus Titulares;

• h) mantendrá indemne al Encargado frente a cualquier sanción, multa, inspección o indemnización derivada de lo anterior, conforme a la cláusula 16 de los Términos y Condiciones, sin perjuicio de las estipulaciones sobre su responsabilidad en los datos cargados en la herramienta LexFlow;

• i) instruirá al Encargado exclusivamente a través de la configuración de la Plataforma y de comunicaciones escritas al correo de contacto del Encargado, evitando instrucciones verbales o ambiguas que dificulten su trazabilidad;

• j) es responsable de la exactitud y actualización de los Datos del Estudio que incorpore, y de corregirlos o eliminarlos cuando corresponda;

• k) no utilizará el Servicio para tratar datos personales de Titulares que no guarden relación con su actividad profesional de administración de expedientes jurídicos; y

• l) evaluará, antes de habilitar el Portal del Cliente o el uso del Asistente IA sobre un caso determinado, si esas funcionalidades son compatibles con sus propios deberes profesionales y con las expectativas razonables de sus Titulares.

SECCIÓN VII. Subencargados del tratamiento y autorizaciones

VII.1. Autorización general. El Responsable otorga al Encargado autorización general para contratar a los Subencargados que resulten necesarios para prestar el Servicio, en particular proveedores de infraestructura en la nube, bases de datos, comunicaciones y modelos de inteligencia artificial (art. 45 del Reglamento) y renuncia a cualquier reclamo y actuación judicial por este sentido.

VII.2. Nómina activa. El Encargado utiliza, a la fecha de este Acuerdo, los Subencargados críticos listados en el Anexo II, con la función y el país de tratamiento indicados en cada caso.

VII.3. Deber de equivalencia. El Encargado se obliga a incorporar en sus contratos con cada Subencargado obligaciones de protección de datos, confidencialidad y seguridad equivalentes a las de este Acuerdo, y a verificar razonablemente su cumplimiento, en ningún caso se abre la posibilidad de que el Responsable pueda reclamar por los proveedores del Encargado para el mantenimiento de la herramienta LexFlow.

VII.4. Notificación de cambios. El Encargado mantendrá actualizada la lista de Subencargados en el Anexo II y la publicará en https://app.tiertec.lat/tratamiento-datos. Si añade o sustituye un Subencargado, lo notificará al Responsable con al menos cinco (5) días hábiles de anticipación por correo electrónico o aviso en el panel. Esta notificación tiene fines informativos y no requiere autorización previa del Responsable, sin perjuicio de su derecho de objeción de la Sección VII.5.

VII.5. Derecho de objeción. Dentro de ese plazo, el Responsable podrá presentar una objeción justificada, fundada en riesgos concretos para la protección de datos. Si las partes no llegan a un acuerdo en cinco (5) días hábiles adicionales, el Responsable podrá terminar el contrato sin penalidad, con derecho a la exportación de sus datos conforme a la Sección X, o el Encargado podrá optar por no incorporar el Subencargado objetado respecto de ese Responsable, si ello es técnicamente posible.

VII.6. Responsabilidad por los Subencargados. Cada Subencargado asume las obligaciones del encargado que le corresponden en función de los servicios contratados (art. 45 del Reglamento) y responde por sus propios actos u omisiones. Conforme a las Secciones IV.5 y VII.3, el Encargado no responde frente al Responsable por los actos u omisiones de sus Subencargados; responde únicamente por su propia diligencia en la selección, contratación y control de estos, y siempre dentro de los límites y exclusiones de responsabilidad de los Términos y Condiciones.

SECCIÓN VIII. Régimen de transferencias internacionales

VIII.1. Autorización. El Responsable autoriza expresamente la transferencia internacional de los Datos del Estudio hacia los servidores y servicios en la nube de los Subencargados listados en el Anexo II, ubicados según se indica en ese Anexo: en Brasil, la base de datos y los servidores de la aplicación; en la Unión Europea (Alemania y Lituania), el servidor del Encargado y el proveedor de salida de red hacia la Función Judicial; y en los Estados Unidos de América, la red de entrega de la aplicación y los proveedores de inteligencia artificial, correo, notificaciones y monitoreo de errores. Es obligación del Responsable contar con la autorización y el consentimiento informado de los titulares, cuando corresponda, para tratar datos de terceros en la herramienta LexFlow.

VIII.2. Marco aplicable. Estas transferencias se rigen por los artículos 55 a 60 de la LOPDP, los artículos 71 a 78 del Reglamento General y la Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales de la SPDP (Resolución SPDP-SPD-2026-0004-R). El acceso de un Encargado o Subencargado a datos personales para prestar un servicio al Responsable no constituye, en sí mismo, transferencia o comunicación en los términos del artículo 34 de la LOPDP, sin perjuicio del régimen de transferencias internacionales aplicable a la infraestructura utilizada.

VIII.3. Garantías. El Encargado garantiza que estas transferencias se realizan mediante garantías contractuales adecuadas, estándares de cifrado en tránsito y en reposo (TLS 1.2 o superior y AES-256, según el Anexo I) y, cuando resulte aplicable, hacia proveedores certificados bajo estándares reconocidos (SOC 2 Tipo II o ISO/IEC 27001), o mediante los demás mecanismos habilitantes que reconoce la Norma General de Transferencias de la SPDP, incluidas las cláusulas contractuales modelo reconocidas por la Red Iberoamericana de Protección de Datos cuando resulten aplicables a la relación entre responsables.

VIII.4. Registro. El Encargado colaborará con el Responsable para que este registre, cuando le corresponda, la información sobre transferencias internacionales en el Registro Nacional de Protección de Datos Personales (art. 78 del Reglamento).

VIII.5. Riesgos informados. Se informa al Responsable que los países de destino de los Subencargados pueden tener un nivel de protección de datos personales distinto al ecuatoriano y que sus autoridades podrían, conforme a su propia legislación, requerir acceso a los datos alojados en su territorio. El Encargado mitiga este riesgo mediante las garantías de la Sección VIII.3 y revisa periódicamente la situación normativa de dichos países.

VIII.6. Cambio de destino. Si el Encargado incorpora un nuevo Subencargado ubicado en un país distinto de los indicados en el Anexo II, dicho cambio se sujeta al procedimiento de notificación y objeción de la Sección VII.4 y VII.5.

SECCIÓN IX. Ejercicio de derechos de los titulares (ARCOP+)

IX.1. Canal directo con el Responsable. El Encargado no atiende directamente a los Titulares. Si recibe una solicitud de ejercicio de derechos (acceso, rectificación, eliminación, oposición, portabilidad, limitación o revocación) de un Titular o de un tercero que dice actuar por él, la remitirá al Responsable dentro de dos (2) días hábiles, sin responder al solicitante sobre el fondo, salvo instrucción expresa del Responsable.

IX.2. Asistencia técnica. El Encargado asistirá al Responsable, mediante las herramientas disponibles en la Plataforma (exportación, edición, eliminación de registros), para que este último pueda atender la solicitud dentro de los plazos legales. Si la solicitud exige desarrollo técnico extraordinario no disponible en la Plataforma, dicho desarrollo se realizará a costa del Responsable, previa cotización.

IX.3. Plazos de colaboración. El Encargado atenderá los requerimientos razonables del Responsable relacionados con el ejercicio de derechos dentro de un plazo que le permita a este cumplir los términos de la LOPDP (quince días para acceso, rectificación, eliminación y oposición; diez días para los demás requerimientos), y en todo caso dentro de cinco (5) días hábiles desde el requerimiento del Responsable, salvo que la naturaleza del requerimiento exija un plazo mayor, que se comunicará motivadamente.

IX.4. Portabilidad. Cuando el Responsable requiera exportar los datos de un Titular específico para atender una solicitud de portabilidad, el Encargado facilitará la exportación en un formato estructurado y de uso común (CSV o JSON).

IX.5. Registro de solicitudes atendidas. El Encargado dejará constancia interna de cada requerimiento del Responsable relacionado con el ejercicio de derechos que reciba y de la respuesta dada, para efectos de trazabilidad y de eventual auditoría conforme a la Sección X BIS.

IX.6. Comunicaciones directas excepcionales. Solo si el Responsable ha dejado de operar o no responde dentro de un plazo razonable pese a los intentos de contacto del Encargado, y existe un riesgo cierto para los derechos del Titular, el Encargado podrá, de forma excepcional y dejando constancia de las gestiones realizadas, brindar al Titular orientación general sobre cómo dirigirse a la Superintendencia de Protección de Datos Personales, sin pronunciarse sobre el fondo de su solicitud.

SECCIÓN X. Conservación, devolución, exportación y supresión

X.1. Durante la vigencia. Mientras el contrato esté vigente, el Responsable puede exportar en cualquier momento la totalidad o parte de los Datos del Estudio mediante las funciones de exportación de la Plataforma.

X.2. Al terminar el contrato. A la terminación de la relación contractual, el Encargado mantendrá a disposición del Responsable las funciones de exportación durante treinta (30) días calendario, y le entregará, a solicitud presentada dentro de ese plazo, una exportación completa en formato CSV o JSON dentro de quince (15) días hábiles, conforme a la cláusula 18.1 de los Términos y Condiciones. La devolución de los datos no se condiciona al pago de sumas adeudadas.

X.3. Custodia posterior. Durante los treinta (30) días calendario siguientes a la terminación, el Encargado conservará los Datos del Estudio en custodia restringida, sin tratamiento activo. Desde el día treinta y uno (31) y hasta completar noventa (90) días calendario desde la terminación, podrá conservarlos como cortesía y a su discreción, únicamente para permitir la reactivación del Servicio o una exportación tardía, y podrá eliminarlos en cualquier momento de ese período, conforme a la cláusula 18.2 de los Términos y Condiciones.

X.4. Pérdida accidental durante la custodia. Terminada la relación contractual, la conservación de los Datos del Estudio no constituye prestación del Servicio. El Encargado no responde por la pérdida, corrupción o eliminación accidental de esos datos durante la custodia posterior, salvo dolo o culpa grave, y en todo caso dentro del límite de la cláusula 15 de los Términos y Condiciones. Es responsabilidad del Responsable exportar oportunamente la información que necesite conservar (cláusula 18.6 de los Términos y Condiciones).

X.5. Eliminación. Vencido el plazo de custodia, o antes si el Responsable lo instruye por escrito, el Encargado procederá al borrado seguro o a la anonimización irreversible de los Datos del Estudio almacenados en sus bases de datos activas y en el almacenamiento de archivos, salvo los datos que deba conservar por mandato legal, contable o fiscal (por ejemplo, los comprobantes de venta, por siete años). Los Datos del Estudio podrán permanecer en copias de respaldo de rotación pasiva por hasta sesenta (60) días adicionales antes de su eliminación física definitiva, sin tratamiento activo durante ese período.

X.6. Constancia. A solicitud del Responsable, el Encargado emitirá una constancia de la eliminación realizada.

X.7. Instrucción irrevocable de eliminación por defecto. El Responsable instruye, desde ya, al Encargado para que aplique la eliminación conforme a esta Sección X una vez vencidos los plazos, sin necesidad de una nueva instrucción, salvo que el Responsable indique expresamente lo contrario dentro de los plazos de exportación.

SECCIÓN X BIS. Auditorías e inspecciones

X BIS.1. Derecho del Responsable. El Responsable, directamente o mediante la persona que designe por escrito, sujeta a confidencialidad, podrá solicitar al Encargado la revisión de los registros y procesos relacionados con el tratamiento de los Datos del Estudio, incluida evidencia documental de las medidas del Anexo I, para verificar el cumplimiento de este Acuerdo (art. 47 del Reglamento). La solicitud se presentará por escrito con un aviso previo no menor a diez (10) días hábiles, salvo que exista un incidente de seguridad o un requerimiento de la SPDP que justifique una revisión inmediata. Las revisiones que excedan de una por año podrán sujetarse al costo razonable de la Sección X BIS.3.

X BIS.2. Alcance. La revisión se limitará a los aspectos relativos al tratamiento de los Datos del Estudio y no incluirá acceso a los sistemas, código fuente, datos de otros Estudios ni información que comprometa la seguridad general de la Plataforma o los secretos comerciales del Encargado. El Encargado podrá satisfacer razonablemente esta obligación mediante la entrega de resúmenes, certificaciones vigentes de sus proveedores de infraestructura (por ejemplo, informes SOC 2 Tipo II) o respuestas escritas a un cuestionario de diligencia debida.

X BIS.3. Costos. Las auditorías ordinarias que se ajusten a esta Sección no generan costo adicional para el Responsable. Una auditoría presencial o que exija recursos extraordinarios del Encargado podrá sujetarse a un costo razonable, previamente informado.

X BIS.4. Auditorías de la SPDP. El Encargado permitirá y contribuirá a las auditorías o inspecciones que realice directamente la Superintendencia de Protección de Datos Personales, conforme al artículo 47, numeral 14, de la LOPDP, e informará al Responsable de sus resultados en lo que le sea pertinente.

Preguntas frecuentes sobre este Acuerdo

¿Debo firmar este Acuerdo por separado? No. Se perfecciona junto con los Términos y Condiciones, en el mismo acto de aceptación (Sección II.3).

¿LexFlow puede negarse a cumplir una instrucción mía? Solo si, a su juicio razonable, la instrucción infringe la LOPDP u otra norma aplicable; en ese caso debe avisarte de inmediato (Sección I y literal a de la Sección V).

¿Qué pasa si quiero dejar de usar uno de los subencargados listados? Puedes objetar la incorporación de un nuevo subencargado dentro del plazo de la Sección VII.5. Si tu objeción se refiere a un subencargado ya activo y esencial para el Servicio, contáctanos a dpo@tiertec.lat para evaluar alternativas o, si no es posible, ejercer tu derecho de terminación sin penalidad.

¿Quién decide si se notifica una vulneración de seguridad a la SPDP? Tú, como Responsable (Sección XII.4). LexFlow te notifica a ti primero, dentro de dos días, para que puedas cumplir tu propio plazo legal frente a la SPDP.

¿LexFlow puede ver los documentos que subo a un caso? Solo en los supuestos restringidos de la Sección XI.2, y con las salvaguardas del secreto profesional que reconoce la Sección XI.3.

¿Qué pasa con mis datos si cancelo mi cuenta y luego me arrepiento? Durante los primeros treinta (30) días puedes exportar tus datos y, dentro de los noventa (90) días siguientes a la terminación, puedes solicitar la reactivación del Servicio (Sección X.3), antes de que proceda la eliminación definitiva.

SECCIÓN XI. Deber de confidencialidad y protección del secreto profesional

XI.1. Confidencialidad del Encargado. El Encargado y las personas bajo su dependencia que tengan acceso a los Datos del Estudio están sujetos a un deber estricto de confidencialidad, que subsiste aun después de concluida su relación con el Encargado.

XI.2. Acceso restringido. El Encargado no accederá a los datos sustantivos del Estudio (expedientes, clientes, notas internas, etc.), salvo: (a) cuando sea estrictamente necesario para prestar el Servicio, darle mantenimiento o depurar errores reportados por el Responsable; (b) cuando el Responsable lo autorice expresamente por escrito, o mediante la ventana temporal de acceso de soporte que su administrador abre desde la Plataforma, con motivo y una duración máxima de setenta y dos (72) horas, que queda registrada y se cierra sola; (c) cuando lo requiera autoridad competente conforme a derecho, caso en el cual se aplicará la Sección IX.1 en lo pertinente; (d) cuando sea indispensable para responder a un incidente de seguridad; o (e) mediante la cuenta de capacitación del Encargado que el Estudio admita en su cuenta, que es visible para el Estudio y que este puede retirar en cualquier momento.

Se debe tener en cuenta que ni el Encargado ni sus dependientes tienen el deber, obligación o facultad de controlar o fiscalizar la información de cada responsable o sus dependientes, por lo que toda información es de plena responsabilidad y autoría de quien la emite, la suba, la cargue o use dentro de la herramienta, dejando fuera de cualquier reclamo o responsabilidad de la misma a LexFlow.

XI.3. Secreto profesional. El Encargado reconoce que buena parte de los Datos del Estudio puede estar amparada por el secreto profesional del abogado (art. 335, numeral 1, del Código Orgánico de la Función Judicial). El Encargado no asume ni reclama ningún privilegio profesional sobre esa información, se limita a un rol instrumental de alojamiento y procesamiento técnico, y no revelará dicha información salvo en los supuestos de la Sección XI.2.

XI.4. Vigencia. Las obligaciones de esta Sección subsisten diez (10) años después de la terminación del contrato; respecto de información que constituya secreto profesional o datos personales, subsisten indefinidamente.

SECCIÓN XII. Gestión y notificación de incidentes de seguridad

XII.1. Detección y contención. Ante un incidente que pueda afectar la confidencialidad, integridad o disponibilidad de los Datos del Estudio, el Encargado activará su protocolo interno de respuesta, adoptará medidas de contención y evaluará el alcance del incidente.

XII.2. Notificación al Responsable. El Encargado notificará al Responsable sin dilación indebida y, en todo caso, dentro del término máximo de dos (2) días contados desde que tenga conocimiento confirmado del incidente (art. 43 LOPDP, en relación con los plazos aplicables al encargado). La notificación se realizará por correo electrónico al administrador de la cuenta o al medio que las partes hayan acordado, e incluirá, en la medida en que se conozca al momento de notificar:

• a) la naturaleza y tipo de vulneración;

• b) las categorías de Titulares y de datos presuntamente afectados;

• c) el detalle inicial de los sistemas comprometidos;

• d) la causa presunta de la vulneración;

• e) el volumen estimado de datos expuestos;

• f) las medidas adoptadas y previstas para responder y mitigar; y

• g) los datos de contacto para dar seguimiento.

XII.3. Actualización de la información. Si al momento de la notificación inicial no se dispone de toda la información anterior, el Encargado la completará tan pronto como esté disponible, sin demora injustificada.

XII.4. Deberes del Responsable. Corresponde exclusivamente al Responsable evaluar si el incidente debe notificarse a la SPDP y a la Agencia de Regulación y Control de las Telecomunicaciones (plazo de cinco días desde que tenga constancia, art. 43 LOPDP) y a los Titulares (art. 46 LOPDP), y realizar dichas notificaciones. El Encargado prestará la asistencia razonable que el Responsable requiera para ello.

XII.5. Cooperación. El Encargado cooperará plenamente con las investigaciones que correspondan, aplicará las medidas correctivas necesarias e informará al Responsable sobre la evolución del incidente con la mayor diligencia posible.

XII.6. Incidentes de terceros. Cuando el incidente se origine en un Subencargado, el Encargado trasladará al Responsable, en los mismos plazos, la información que el Subencargado le proporcione.

XII.7. Registro interno de incidentes. El Encargado mantiene un registro interno de los incidentes de seguridad detectados, hayan afectado o no en definitiva a los Datos del Estudio, con la información relevante para su trazabilidad, disponible para la SPDP cuando esta lo requiera.

XII.8. Simulacros y mejora continua. El Encargado revisa periódicamente su protocolo de respuesta a incidentes y lo ajusta conforme a la experiencia adquirida y a la evolución de las amenazas, sin que ello constituya modificación material de este Acuerdo.

SECCIÓN XIII. Evaluación de impacto y análisis de riesgos

XIII.1. Colaboración. El Encargado facilitará al Responsable la información técnica razonable que este necesite para realizar su propia evaluación de impacto del tratamiento de datos personales (EIPD), cuando corresponda conforme al artículo 42 de la LOPDP, en particular por el uso del Asistente IA o por el tratamiento de categorías especiales de datos.

XIII.2. Evaluación propia del Encargado. El Encargado mantiene su propia evaluación de riesgos, amenazas y vulnerabilidades sobre la Plataforma (art. 40 LOPDP), que revisa periódicamente y actualiza ante cambios relevantes en el Servicio, en los Subencargados o en el marco normativo.

XIII.3. Datos agregados y anonimizados. El Responsable autoriza al Encargado a procesar datos agregados, metadatos de uso y datos de los que se hayan eliminado de forma irreversible todos los elementos identificativos, con el fin de realizar estudios estadísticos, mantenimiento, optimización de la seguridad y mejora continua de la Plataforma. Los datos efectivamente anonimizados no se consideran datos personales ni propiedad exclusiva del Responsable, sin perjuicio de que el Encargado mantendrá evidencia técnica de que el proceso de anonimización es irreversible antes de tratarlos bajo este régimen.

SECCIÓN XIV. Régimen de responsabilidad y límites

XIV.1. Remisión. El régimen de responsabilidad, sus límites y exclusiones aplicables entre las partes por el tratamiento de datos personales bajo este Acuerdo es el previsto en las cláusulas 15 y 16 de los Términos y Condiciones, que se incorporan a este Acuerdo por referencia.

XIV.2. Sanciones administrativas. Las multas o sanciones que la SPDP imponga directamente a una de las partes por su propio incumplimiento de la LOPDP son personales de la parte sancionada y no son trasladables contractualmente en su carácter administrativo, sin perjuicio del derecho de la parte no responsable a ser indemnizada por los daños que ese incumplimiento le hubiera causado, conforme a los límites de la cláusula 15 y siguientes de los Términos y Condiciones.

XIV.3. Carga de la prueba en incidentes. Para acreditar el cumplimiento de sus obligaciones de seguridad, el Encargado podrá invocar el Anexo I y demostrar que mantuvo las medidas allí descritas al momento del incidente.

XIV.4. Seguro. El Encargado podrá, a su discreción, mantener una póliza de responsabilidad civil o de riesgos cibernéticos que respalde el cumplimiento de sus obligaciones bajo este Acuerdo, sin que ello modifique los límites pactados en la cláusula 15 de los Términos y Condiciones.

XIV.5. Concurrencia de culpas. Si un daño resulta de la concurrencia de incumplimientos de ambas partes, la responsabilidad de cada una se determinará en proporción a su grado de participación en el hecho dañoso, conforme a los principios generales del Código Civil.

SECCIÓN XV. Continuidad y sucesión

XV.1. Continuidad operativa. Se aplican al presente Acuerdo las previsiones de continuidad operativa ante fallecimiento o incapacidad sobrevenida del Encargado, y las de cesión del negocio, contenidas en la cláusula 19 de los Términos y Condiciones. El cesionario asumirá expresamente las obligaciones de este Acuerdo.

XV.2. Cambio de Responsable. Si el Estudio cambia de titular o de forma societaria, el nuevo titular deberá acreditar dicha condición para que el Encargado reconozca la continuidad de la cuenta y de este Acuerdo.

SECCIÓN XVI. Modificaciones, vigencia y ley aplicable

XVI.1. Vigencia. Este Acuerdo entra en vigencia junto con los Términos y Condiciones y permanece vigente mientras dure la relación contractual, sin perjuicio de las obligaciones que sobreviven a su terminación conforme a las Secciones X y XI.

XVI.2. Modificaciones. Este Acuerdo se modifica conforme al régimen de modificaciones materiales y menores de la cláusula 4 de los Términos y Condiciones. La actualización de la nómina de Subencargados del Anexo II se rige, específicamente, por la Sección VII.4.

XVI.3. Ley aplicable y jurisdicción. Este Acuerdo se rige por la LOPDP, el RGLOPDP y demás normativa de la SPDP, y se complementa con el Código Civil ecuatoriano y la Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos. Para cualquier controversia relacionada con este Acuerdo se aplican la mediación previa y la jurisdicción pactadas en la cláusula 21 de los Términos y Condiciones.

XVI.4. Integralidad. Este Acuerdo, sus Anexos y los Términos y Condiciones constituyen el acuerdo íntegro entre las partes sobre el tratamiento de datos personales por cuenta del Responsable.

Aceptación

Al marcar el casillero de aceptación en la página de registro, o al utilizar el Servicio bajo una cuenta administrativa creada por el Prestador, el Responsable declara que:

• a) ha leído íntegramente este Acuerdo y entiende sus términos y su alcance legal;

• b) cuenta con capacidad legal para vincular contractualmente al Estudio que representa;

• c) acepta sin reservas este Acuerdo, como instrumento inseparable de los Términos y Condiciones; y

• d) reconoce las autorizaciones conferidas al Encargado en las Secciones VII (subencargados), VIII (transferencias internacionales) y X.7 (eliminación por defecto); y

• e) declara no tener vicios del consentimiento, y además que actúa de buena fe y con diligencia debida para conocer, entender y leer este instrumento.

Quito, 2 de octubre de 2026.

Anexo I. Medidas técnicas y organizativas de seguridad

I.1. Medidas técnicas.

I.2. Medidas organizativas. Acceso a los Datos del Estudio limitado al personal que lo necesita para prestar el Servicio; compromisos de confidencialidad con dicho personal; revisión periódica de accesos y configuraciones; procedimiento documentado de gestión de incidentes; registro de actividades de tratamiento; evaluaciones de riesgo e impacto periódicas; y capacitación básica del personal en protección de datos personales.

I.3. Revisión. El Encargado revisa estas medidas al menos una vez al año o ante cambios relevantes en el Servicio, en los Subencargados o en la normativa aplicable, y podrá actualizarlas para mejorar el nivel de protección sin que ello constituya una modificación material de este Acuerdo, salvo que reduzca garantías existentes.

Anexo II. Nómina de Subencargados del tratamiento

Anexo III. Modelo de notificación de incidentes al Responsable

Anexo IV. Matriz resumida de riesgos y medidas de mitigación

Anexo V. Modelo de registro de actividades de tratamiento (referencial)

El siguiente modelo referencial puede ser utilizado por el Responsable, con el apoyo del Encargado, para elaborar su propio registro de actividades de tratamiento conforme al artículo 38 del Reglamento, cuando le sea exigible:

Registro de cambios

• 1.2 (2-X-2026). Texto del abogado colegiado (borrador del 23-IX-2026) con las correcciones del Prestador: ubicación de los datos (Brasil, Alemania, Lituania y EE. UU.); objeto con la sincronización con la Función Judicial; origen de los datos (Función Judicial y catastro del SRI) y suscripción de calendario; funcionalidades de IA reales en la Sección IV; VII.6 alineada con IV.5 y VII.3; dirección de la lista de Subencargados; Sección X alineada con la cláusula 18 de los Términos (30 días de exportación garantizados, custodia de cortesía hasta 90 días y exclusión por pérdida accidental durante la custodia); revisión del Responsable conforme al art. 47 del Reglamento; ARCOTEL en XII.4; ventana de soporte y cuenta de capacitación en XI.2; medidas reales en el Anexo I; Decodo en el Anexo II; referencias internas y numeración. Las observaciones están en legal/OBSERVACIONES-DOCS-v1.0-2026-10-02.md.
• 1.1 (30-IX-2026). Corrigió la ubicación de los datos y las bases de las transferencias internacionales, y declaró Decodo, el antivirus y la copia de respaldo propia.