Contrato de encargo del tratamiento

Contrato tipo conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD) celebrado entre Bennovate sp. z o.o. en calidad de encargado del tratamiento y el despacho suscriptor en calidad de responsable del tratamiento.

Firmar este contrato electrónicamente: quien firma por el despacho indica su nombre y su correo electrónico y firma; después firma Bennovate. Ambas partes reciben el documento firmado por correo electrónico.

1. Partes

Responsable del tratamiento: el despacho o la persona jurídica suscriptora del servicio Avantwerk Legal AI, cuyos datos de identificación figuran en el formulario de alta (en adelante, el «Responsable»).

Encargado del tratamiento:

Bennovate spółka z ograniczoną odpowiedzialnością
ul. Christiana Andersena 25, 94-118 Łódź, Polonia
KRS: 0000597272 · NIP: 7272799328 · REGON: 363700466
Correo: legal@avantwerk.com · Contacto de protección de datos: dpo@avantwerk.com
(en adelante, el «Encargado»)

2. Objeto del encargo

El Encargado tratará, por cuenta del Responsable, exclusivamente los datos incluidos por este en solicitudes cursadas mediante la vía gestionada de IA y otros materiales que el Responsable le encomiende expresamente para soporte, administración de usuarios o firma electrónica: texto de la solicitud, extractos seleccionados, respuesta generada y metadatos estrictamente necesarios para transmitir, proteger y medir la operación.

Quedan fuera del presente contrato los datos de contratación, facturación, seguridad, prevención del fraude y administración general del producto que Bennovate trata para sus propias finalidades como responsable. Esos tratamientos se describen en la Política de privacidad.

El expediente canónico permanece en la bóveda cifrada del Responsable según el perfil Solo, Practice o Enterprise descrito arriba. La vía gestionada no carga automáticamente el expediente completo, pero sí trataría temporalmente el material que el profesional seleccione y envíe y, cuando la función esté habilitada, el texto extraído de un documento incorporado para su resumen automático tras la comprobación del secreto profesional. Starter y Practice describen esa vía, que permanece cerrada para datos reales hasta completar la evidencia exigida; Enterprise está previsto para BYOK. Con acceso propio, la función jurídica del proveedor depende de los fines y del contrato del Responsable; Bennovate sigue siendo Encargado respecto de cualquier retransmisión temporal y Hetzner forma parte de esa cadena.

3. Naturaleza, finalidad y duración del tratamiento

4. Instrucciones del Responsable

El Encargado tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, las cuales se materializan en el Contrato principal y en el presente contrato. Si el Encargado considera que una instrucción infringe el RGPD u otra normativa de protección de datos aplicable, informará de ello al Responsable sin demora (art. 28.3.h RGPD).

Si el Derecho de la Unión Europea o el Derecho de un Estado miembro aplicable al Encargado exige al Encargado un tratamiento distinto del instruido, el Encargado informará al Responsable de dicha exigencia legal antes del tratamiento, salvo que tal normativa lo prohíba por razones de interés público.

5. Confidencialidad

El Encargado no permitirá a una persona acceder a los datos personales del Responsable hasta que esa persona se haya comprometido documentalmente a guardar la debida confidencialidad o esté sujeta a una obligación legal de confidencialidad adecuada (art. 28.3.b RGPD). La prestación de una ruta que requiera tal acceso queda condicionada al cumplimiento y conservación de esa evidencia.

Esta obligación de confidencialidad persiste incluso tras la extinción del presente contrato.

5 bis. Respeto al secreto profesional del abogado

El Encargado reconoce que el material tratado en virtud del presente contrato puede incluir comunicaciones y contenido amparados por el secreto profesional del abogado conforme al art. 542.3 de la Ley Orgánica 6/1985, del Poder Judicial, y a los arts. 21 y 22 del Estatuto General de la Abogacía Española (Real Decreto 135/2021, de 2 de marzo).

a) El Encargado impondrá a toda persona autorizada obligaciones documentadas de confidencialidad e instrucciones limitadas al acceso necesario y, a cada subencargado efectivamente utilizado, las obligaciones equivalentes exigidas por el art. 28.4 RGPD. Estas obligaciones apoyan el deber profesional del Responsable, pero no afirman que el personal de un proveedor de infraestructura haya asumido por ello la condición o responsabilidad penal propia de un abogado español sin una base contractual y legal específica.

b) El Encargado no utilizará el material del Responsable para finalidades distintas de la ejecución de las instrucciones documentadas del Responsable y no lo divulgará a terceros salvo instrucción expresa del Responsable o exigencia de una norma con rango de ley, en cuyo caso informará al Responsable con la mayor antelación posible antes de la divulgación, salvo que la ley lo prohíba.

c) Esta cláusula da cumplimiento al deber del Responsable, previsto en el art. 22.4 EGAE, de requerir a los terceros con quienes trabaje el respeto al secreto profesional. No sustituye el deber del Responsable, como titular del secreto, de supervisar qué material remite; la barrera de secreto profesional del producto y esta cláusula son complementarias.

d) Las obligaciones de esta cláusula subsisten tras la extinción del presente contrato.

6. Medidas de seguridad: art. 32 RGPD

El Encargado aplicará, con carácter mínimo, las siguientes medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo:

• Cifrado TLS 1.2/1.3 de los datos en tránsito y política HSTS cuando esté configurada en el dominio servido; no se afirma inclusión en la lista de precarga sin evidencia actual;
• Gestión cifrada de los accesos propios mediante la autoridad de credenciales configurada para el perfil; el navegador no es la custodia prometida para perfiles instalados;
• Controles de acceso basados en roles y registro de auditoría de accesos a los datos de cuenta;
• Protección contra ataques de fuerza bruta en los puntos de autenticación del servicio;
• Procedimientos de gestión de vulnerabilidades y auditoría periódica de dependencias;
• Procedimiento documentado de notificación de brechas de seguridad conforme al art. 33 RGPD.

El Encargado notificará al Responsable, sin dilación indebida después de tener conocimiento, cualquier violación de la seguridad de los datos personales comprendidos en este contrato. Facilitará la información disponible prevista en el art. 33.3 RGPD y, cuando no pueda proporcionarla simultáneamente, la completará por fases sin dilación indebida. El plazo de 72 horas corresponde a la eventual notificación del Responsable a la autoridad, no al plazo legal del Encargado frente al Responsable.

7. Subencargados

El Responsable autoriza de forma general al Encargado, conforme al art. 28.2 RGPD, a contratar subencargados del tratamiento para la prestación de los servicios cubiertos por el presente contrato. La tabla siguiente identifica el estado contractual aplicable a los datos del expediente. La página de Seguridad ofrece información operativa, pero no amplía por sí sola esta autorización. Un proveedor de IA solo pasa a ser subencargado activo para datos reales cuando Bennovate documenta la entidad y cuenta contratadas, DPA, retención, uso de datos, región y cadena de transferencia y cursa el preaviso de esta cláusula.

Límite de funciones de seguridad de la cuenta. Las comunicaciones de restablecimiento de contraseña, verificación mediante código o enlace de un solo uso y avisos de seguridad de la cuenta constituyen un tratamiento propio de Bennovate como responsable. Plus Five Five, Inc. (Resend) actúa como encargado de Bennovate para ese tratamiento y no como subencargado del Despacho respecto de los datos del expediente. Estas comunicaciones no contienen contenido de expedientes ni material amparado por secreto profesional.

Servicios del Responsable. GoHighLevel, Stripe, Mailgun, Resend, la firma autoalojada, Google Workspace, Microsoft 365 y las herramientas de medición de la web apoyan tratamientos en los que Bennovate determina fines y medios. No son subencargados del despacho para los datos del expediente salvo que una función futura los incorpore realmente a ese tratamiento y se notifique conforme a esta cláusula.

El Encargado informará al Responsable de cualquier cambio previsto en la lista de subencargados con al menos 30 días de antelación, dando al Responsable la oportunidad de oponerse a dicho cambio. Si el Responsable no manifiesta su oposición en ese plazo, se entenderá prestada su conformidad.

El Encargado impondrá a los subencargados, mediante contrato u otro acto jurídico vinculante, las mismas obligaciones en materia de protección de datos que las establecidas en el presente contrato, en particular la obligación de ofrecer garantías suficientes de aplicación de medidas técnicas y organizativas adecuadas (art. 28.4 RGPD).

Cláusula 7.5.1: Acceso gestionado condicionado. La implementación puede provisionar una ruta gestionada, pero Bennovate no la habilitará para datos reales del expediente hasta que un proveedor figure como activo tras completar la evidencia y el preaviso descritos arriba. Hasta entonces, la ruta solo admite datos sintéticos o cuya anonimidad esté acreditada; la seudonimización por sí sola no basta. La ruta del servidor rechaza las llamadas gestionadas mientras el mercado no figure expresamente como autorizado por evidencia contractual.

Cláusula 7.5.1.1: Dos controles distintos antes de la salida. Antes de que una llamada alcance al proveedor de IA operan dos controles separados. Responden a deberes distintos y ninguno sustituye al otro:

1. La puerta de secreto profesional: un control de salida en modo fail-closed que retiene por defecto el material protegido o no clasificado. Cuando concurren los requisitos del art. 22.6 EGAE: asunto que afecta exclusivamente al cliente y autorización expresa para la comunicación: existe una ruta separada y registrada; también se preservan las excepciones legales aplicables. La sustitución de identificadores no satisface por sí sola el deber de secreto.
2. Seudonimización en el navegador: para el material que legítimamente sí sale, los identificadores de la taxonomía publicada por Bennovate (nombres y apellidos de las partes, domicilio y código postal, fecha de nacimiento, DNI, NIE, CIF, NIF-IVA, número de la Seguridad Social, número de pasaporte, IBAN y número de procedimiento o expediente) se sustituyen por tokens estables en el navegador del Responsable antes de la salida. Responde al principio de minimización de datos del art. 5.1.c RGPD. La lista completa de clases, las que se cargan en un asunto español y las lagunas declaradas están publicadas en el Anexo I de este contrato.

Cláusula 7.5.1.2: Seudonimización, no anonimización. La sustitución descrita en la cláusula 7.5.1.1.b es reversible: la tabla de correspondencia se genera en el navegador del Responsable, se emplea allí para restablecer los valores reales en el borrador devuelto y nunca se transmite a Bennovate, al proveedor de IA ni a ningún otro destinatario. El material está por tanto seudonimizado en el sentido del art. 4.5 RGPD. Sigue siendo dato personal, permanece dentro del ámbito de aplicación del RGPD y continúa exigiendo una base jurídica. No está anonimizado y Bennovate no lo presenta como tal.

Cláusula 7.5.1.3: Límites declarados. El proceso de seudonimización opera sobre texto. No actúa sobre el contenido incluido en una imagen, captura de pantalla o página escaneada, ni sobre categorías especiales redactadas en prosa sin patrón identificable. Bennovate publica la lista completa de clases y los límites declarados en el registro de clases de datos personales del producto. El Responsable no puede tratar ninguno de los dos controles como sustituto de su propio criterio profesional sobre qué puede remitirse.

Cláusula 7.5.2: Acceso propio compatible. Enterprise está previsto para BYOK, pero un acceso propio compatible puede configurarse también en otro plan. Los adaptadores de cliente comprenden Anthropic API, OpenAI API, servicios de pago de Gemini API, Azure OpenAI Service y Amazon Bedrock UE; actualmente la ruta BYOK publicada en el servidor retransmite Anthropic, por lo que los demás adaptadores no constituyen una promesa de disponibilidad. El Responsable controla su credencial y contrata directamente con el proveedor. La función jurídica del proveedor, encargado, responsable independiente u otra, depende de los fines, medios y contrato reales y debe documentarse antes del uso. Cuando una ruta utiliza infraestructura de Bennovate, Bennovate trata temporalmente la credencial, la solicitud, el contenido seleccionado, la respuesta y los metadatos necesarios para autenticar y retransmitir la operación; Hetzner permanece en la cadena y los datos reales no se autorizan hasta completar su evidencia contractual y la del proveedor del Responsable.

8. Asistencia al Responsable

El Encargado asistirá al Responsable, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas adecuadas, para que el Responsable pueda dar cumplimiento a:

1. las solicitudes de ejercicio de los derechos de los interesados reconocidos en el Capítulo III RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición);
2. las obligaciones del Responsable en materia de seguridad (art. 32 RGPD), notificación de brechas (arts. 33 y 34 RGPD), evaluación de impacto (art. 35 RGPD) y consulta previa (art. 36 RGPD).

9. Supresión o devolución de datos al término del contrato

A elección del Responsable, manifestada por escrito dentro de los 30 días siguientes a la resolución o extinción del Contrato principal, el Encargado:

1. suprimirá todos los datos personales cubiertos por el presente contrato y destruirá las copias existentes, salvo que el Derecho de la Unión Europea o el Derecho de un Estado miembro exija la conservación de los datos; o
2. facilitará al Responsable una exportación de los datos en formato estructurado y de uso común, y suprimirá a continuación todas las copias.

Si el Responsable no manifiesta su elección en ese plazo, el Encargado procederá a la supresión de los datos.

10. Límite de la bóveda controlada por el cliente

Bennovate no aloja el expediente canónico ni recibe automáticamente todos sus documentos. Sí actúa como encargado respecto del material seleccionado y del texto de los documentos incorporados que transitan por la vía gestionada. La ausencia de almacenamiento persistente no excluye la existencia de tratamiento, pues la recepción, utilización y comunicación por transmisión constituyen tratamiento conforme al art. 4.2 RGPD.

El Responsable decide qué material remite, documenta su base jurídica e instrucciones y preserva el secreto profesional. Bennovate aplicará los controles técnicos contratados, tratará el material únicamente conforme a instrucciones documentadas y no lo utilizará para fines propios.

11. Derecho de auditoría

El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 RGPD y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor mandatado por este.

El Responsable reconoce que el Encargado podrá proponer la sustitución de las auditorías in situ por certificaciones, auditorías de terceros u otras medidas de verificación equivalentes cuando resulte razonablemente justificado por motivos de seguridad o confidencialidad comercial, siempre que se mantenga el nivel de transparencia exigido por el RGPD.

12. Ley aplicable y jurisdicción

El presente contrato se rige por el Reglamento (UE) 2016/679 (RGPD) y, en lo no previsto en él, por el Derecho español, en particular la LOPDGDD (LO 3/2018). Las partes se someten a los juzgados y tribunales que correspondan conforme a la normativa procesal aplicable, sin perjuicio de los derechos que asistan al Responsable como consumidor o usuario en el caso de contratos con consumidores.

13. Prevalencia

En caso de contradicción entre el presente contrato y el Contrato principal en materia de protección de datos, prevalecerán las estipulaciones del presente contrato. En las demás materias, prevalece el Contrato principal.

Anexo I: Registro de clases de datos personales seudonimizadas

Este anexo es el registro al que remite la cláusula de seudonimización. Se genera a partir de la fuente de taxonomía del producto y se vuelve a generar cada vez que cambia una clase, de modo que la lista publicada y el código no pueden separarse.

59 clases en 5 mercados, de las cuales 16 se cargan en un asunto español, y 9 lagunas declaradas.

Clases que se cargan en un asunto español

Los demás mercados

Lagunas declaradas: hasta dónde no llega el proceso

* Anclada a su etiqueta. La clase se activa con la etiqueta escrita junto al valor; ese mismo valor suelto en una frase no queda cubierto. Se dice aquí en lugar de dejar que se descubra.

La sustitución es reversible y por tanto constituye seudonimización en el sentido del art. 4.5 RGPD, no anonimización. La tabla de correspondencia se genera en el navegador del Responsable, se usa allí y nunca se transmite. Varias clases van ancladas a su etiqueta: se activan con la etiqueta escrita junto al valor, y un valor suelto no queda cubierto: las lagunas sobre la fecha de nacimiento y la referencia del expediente señalan dónde.