Política de privacidad

Información sobre el tratamiento de sus datos personales en el servicio Avantwerk Legal AI. Obligación de información conforme a los arts. 13 y 14 del Reglamento (UE) 2016/679 (RGPD) y a los arts. 11 y 12 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. ¿Quién es el responsable del tratamiento?

El responsable del tratamiento de los datos personales vinculados al servicio Avantwerk Legal AI es:

Bennovate spółka z ograniczoną odpowiedzialnością (sociedad de responsabilidad limitada de derecho polaco)
ul. Christiana Andersena 25, 94-118 Łódź, Polonia
KRS: 0000597272 · NIP: 7272799328 · REGON: 363700466
Inscrita en el Registro Mercantil del Tribunal de Distrito de Łódź-Śródmieście, XX División Comercial del Registro Nacional de Tribunales (KRS)

Opera en el mercado español bajo la denominación comercial Avantwerk Legal AI a través del sitio abogado.avantwerk.es.

Producto y soporte: support@avantwerk.com · Comunicaciones jurídicas: legal@avantwerk.com

(en adelante, el «Responsable»)

2. Contacto en materia de protección de datos

La persona de contacto del Responsable para cualquier cuestión relativa al tratamiento de sus datos personales o al ejercicio de sus derechos es Bartłomiej Kubas:

Correo electrónico: dpo@avantwerk.com

Dirigirse a la persona de contacto no es un requisito previo para ejercer sus derechos. Las solicitudes de ejercicio de derechos pueden dirigirse directamente al procedimiento descrito en el apartado 11.

3. ¿A quién se aplica esta política?

La presente política de privacidad, facilitada en cumplimiento del art. 13 RGPD (información recabada directamente del interesado) y del art. 14 RGPD (información cuando los datos no se obtienen directamente del interesado), se aplica a los datos personales de:

1. Contactos del despacho: personas físicas que registran una cuenta de prueba, contratan el servicio o figuran como contactos de facturación o técnicos del despacho suscriptor;
2. Letrados y abogados usuarios: personas físicas del despacho suscriptor que utilizan el servicio en virtud de una licencia de puesto;
3. Personas interesadas: personas físicas que se dirigen a nosotros a través del sitio web, correo electrónico o teléfono con consultas sobre el servicio; y
4. Destinatarios de comunicaciones comerciales: personas físicas que reciben de nosotros comunicaciones sobre el servicio.

Distribución de funciones. Bennovate actúa como responsable respecto de los datos del sitio web, la cuenta, la contratación, la facturación, el soporte y la seguridad del servicio. El despacho suscriptor actúa como responsable respecto de los datos personales de sus asuntos. En los perfiles instalados, el expediente canónico está en la bóveda cifrada controlada por el cliente: carpeta local en Solo, host del despacho accesible mediante HTTPS autenticado en LAN o VPN en Practice e infraestructura dedicada del cliente en Enterprise. El navegador es interfaz y caché sustituible. Cuando un profesional utiliza deliberadamente la vía gestionada de IA, Bennovate actúa como encargado y el proveedor activo como subencargado para esa operación.

4. ¿Qué datos personales tratamos?

Tratamos únicamente los datos personales necesarios para las finalidades descritas. En la vía gestionada esto incluye, por cuenta del despacho, la solicitud, los extractos seleccionados, la respuesta generada y los metadatos técnicos indispensables para prestar y medir la operación; véanse el apartado 10 y el contrato de encargo.

En los tratamientos propios de Bennovate no solicitamos categorías especiales de datos. Si se facilitan en una consulta de soporte, se tratarán únicamente cuando exista una base del art. 6 y una condición aplicable del art. 9.2 RGPD; la mera entrega voluntaria no basta. En la vía gestionada, la naturaleza de los datos depende del material seleccionado por el despacho y el tratamiento se rige por el contrato de encargo.

5. ¿Con qué finalidad y en qué base jurídica tratamos sus datos?

5.1 Ejecución de un contrato: art. 6.1.b RGPD

Tratamos los datos de identidad de la cuenta, los datos de contacto, los datos de facturación y los datos de uso del servicio para: (a) dar de alta y gestionar su cuenta; (b) facilitar el acceso al servicio en virtud de la suscripción; (c) emitir facturas y cobrar el precio; (d) prestar soporte al cliente.

Conservación: Duración de la suscripción más 6 años (art. 30 del Código de Comercio (conservación de libros, correspondencia y justificantes durante seis años) y la normativa contable y fiscal aplicable).

5.2 Cumplimiento de una obligación legal: art. 6.1.c RGPD

Tratamos los datos de facturación, los registros de transacciones y determinados registros de seguridad para cumplir: (a) las obligaciones contables y fiscales aplicables (normativa española y polaca); (b) las obligaciones derivadas de la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo.

Conservación: Registros contables y fiscales, 6 años a partir del cierre del ejercicio al que correspondan. Registros de seguridad, 90 días de forma ordinaria; más tiempo si están relacionados con un incidente confirmado.

5.3 Interés legítimo: art. 6.1.f RGPD

Tratamos los datos técnicos (direcciones IP, información del navegador) y los datos de uso del servicio sobre la base de nuestros intereses legítimos: (a) mantener la seguridad, integridad y disponibilidad del servicio; (b) detectar y prevenir fraudes y accesos no autorizados; (c) mejorar el servicio mediante análisis de uso agregado y anonimizado. Hemos llevado a cabo la ponderación de intereses exigida por el art. 6.1.f RGPD.

Conservación: Datos técnicos: 90 días, salvo que se conserven más tiempo por investigación activa de seguridad.

5.4 Consentimiento: art. 6.1.a RGPD

Cuando usted haya prestado el consentimiento específico correspondiente, tratamos: (a) su dirección de correo electrónico para el envío de comunicaciones comerciales; (b) los datos facilitados voluntariamente en encuestas o formularios; (c) datos de navegación para analítica de audiencia mediante Google Analytics 4; (d) datos de navegación, campaña y conversión para Google Ads o Meta Pixel, incluida la creación de audiencias de remarketing cuando se haya aceptado expresamente la personalización publicitaria; y (e) un código de recomendación para atribuir voluntariamente una solicitud a la persona o entidad recomendante.

Analítica, publicidad y remarketing, y atribución de recomendaciones son finalidades separadas. Ningún consentimiento es necesario para acceder al sitio o contratar el servicio. El consentimiento puede retirarse por categoría mediante «Configuración de cookies»; el de comunicaciones comerciales, mediante el enlace de baja; y todos ellos escribiendo a dpo@avantwerk.com, sin que la retirada afecte a la licitud del tratamiento anterior.

Conservación de los registros de consentimiento: 3 años desde el consentimiento o su retirada.

5.5 Contactos facilitados por otra persona: art. 14 RGPD

Si recibimos sus datos profesionales de una persona o despacho que recomienda el servicio, trataremos únicamente su nombre, cargo, despacho, datos de contacto profesional, identidad de quien hizo la recomendación y contexto comercial necesario para contactar una vez sobre el producto. La fuente es esa persona o despacho. La base es nuestro interés legítimo en responder a una introducción profesional pertinente, sin recibir datos de clientes ni de expedientes. Facilitaremos esta información a más tardar en el primer contacto y respetaremos inmediatamente cualquier oposición. Los datos se suprimirán si no existe interés o, en todo caso, conforme al plazo comercial documentado.

6. Cookies y tecnologías de rastreo

Nuestro uso de cookies y tecnologías similares se rige por el art. 22.2 LSSI-CE y el art. 6.1.a RGPD. Los detalles figuran en la Política de cookies. Las cookies estrictamente necesarias no requieren consentimiento. Analítica, publicidad y remarketing, y atribución de recomendaciones requieren decisiones previas, libres, específicas, informadas e independientes. Google Ads y Meta Pixel están previstos, pero no activos.

7. ¿Quién tiene acceso a sus datos?

Solo comunicamos datos personales cuando es necesario y sobre una base jurídica adecuada. Cuando el destinatario actúa como encargado, formalizamos el contrato del art. 28 RGPD. Determinadas funciones publicitarias pueden situar al proveedor como responsable independiente o corresponsable; en esos casos se aplica el régimen correspondiente y no se presenta la relación como un encargo.

La tabla anterior identifica los destinatarios relevantes para esta política. Google Ads y Meta Pixel no recibirán datos mientras permanezcan desactivados. Facilitamos información adicional sobre encargados, corresponsables, responsables destinatarios y subencargados relevantes previa solicitud en dpo@avantwerk.com.

Asimismo, podemos revelar datos personales a: tribunales, organismos reguladores y fuerzas y cuerpos de seguridad cuando así lo exija la ley; y a asesores jurídicos sujetos a deberes de confidencialidad.

Nota sobre el proveedor de IA. Starter y Practice describen el diseño de la ruta gestionada, pero esa ruta está cerrada para datos reales de expedientes hasta completar la evidencia contractual y técnica. Enterprise está previsto para BYOK. En una ruta propia, el despacho contrata directamente con el proveedor, pero la función jurídica del proveedor depende de sus fines y contrato; la clave propia no la determina por sí sola. Bennovate sigue siendo encargado respecto de cualquier retransmisión temporal y Hetzner permanece en esa cadena. OpenAI API no es una ruta gestionada implementada.

8. Transferencias internacionales de datos

Cuando transferimos datos personales fuera del Espacio Económico Europeo, lo hacemos bajo uno de los mecanismos reconocidos en el Capítulo V RGPD:

1. Dentro del EEE: el alojamiento en Alemania (Hetzner) no constituye transferencia internacional;
2. Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU.: únicamente cuando la entidad estadounidense receptora y el tratamiento concreto figuren en una certificación vigente y aplicable;
3. Cláusulas contractuales tipo (CCT): aprobadas por Decisión 2021/914/UE, con el módulo correspondiente a la condición real de las partes;
4. Evaluación de impacto de la transferencia: documentada para comprobar que las CCT y las medidas complementarias ofrecen protección efectiva en el caso concreto.

Transferencias vinculadas a la IA. El expediente canónico permanece en el almacenamiento del despacho. Sin embargo, los extractos seleccionados para una solicitud gestionada pueden ser objeto de una transferencia internacional cuando el proveedor activo trate datos fuera del EEE. La entidad receptora, localización, función, retención y garantía del capítulo V RGPD deben constar en el registro vigente de subencargados. No se invoca una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. ni cláusulas contractuales tipo sin verificar la entidad, servicio y tratamiento concretos.

9. Plazos de conservación: tabla resumen

10. Bóveda controlada por el cliente y tratamiento temporal de solicitudes de IA

El expediente canónico permanece en la bóveda cifrada del perfil instalado: local en Solo, en el host controlado por el despacho en Practice y en infraestructura dedicada del cliente en Enterprise. Bennovate no aloja una copia canónica ni carga automáticamente el expediente completo. Esta arquitectura no significa que ningún dato pueda abandonar el entorno del cliente.

1. en la vía gestionada, la solicitud y los extractos seleccionados se tratan temporalmente a través del intermediario de Bennovate y del proveedor activo; Bennovate actúa como encargado y el proveedor como subencargado;
2. en BYOK, el despacho remite el material a su proveedor bajo su propia relación contractual;
3. los controles de secreto, minimización y seudonimización se aplican antes de la salida, pero no convierten los datos seudonimizados en anónimos; y
4. Bennovate no incorpora la solicitud ni la respuesta a un expediente canónico ni las utiliza para una finalidad propia.

El despacho decide qué material puede remitir y conserva sus obligaciones profesionales. Bennovate responde del tratamiento que efectivamente realiza y de sus subencargados conforme al contrato de encargo.

11. Sus derechos como interesado

En virtud del Capítulo III RGPD y de la LOPDGDD, usted tiene los siguientes derechos:

Cómo ejercer sus derechos: Puede dirigir una solicitud por cualquier medio a dpo@avantwerk.com. Responderemos en el plazo de un mes, prorrogable en los casos previstos por el art. 12.3 RGPD, y podremos solicitar solo lo necesario para verificar su identidad. El ejercicio es gratuito; únicamente ante solicitudes manifiestamente infundadas o excesivas podremos cobrar un canon razonable o negarnos motivadamente a actuar, y nos corresponde demostrar esas circunstancias (art. 12.5 RGPD).

12. Reclamación ante la autoridad de control

Si considera que hemos tratado sus datos personales de forma contraria a la normativa, tiene derecho a presentar una reclamación ante la autoridad de control competente.

La autoridad de control principal del Responsable, por estar este establecido en Polonia (art. 56 RGPD), es:

Prezes Urzędu Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Varsovia, Polonia
https://uodo.gov.pl

Sin perjuicio de lo anterior, conforme al art. 77 RGPD los interesados pueden presentar una reclamación ante la autoridad de control del Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción. En España pueden dirigirse a la Agencia Española de Protección de Datos (AEPD). El art. 56 RGPD regula la cooperación y autoridad principal; el art. 37 LOPDGDD regula la intervención del delegado de protección de datos y no convierte a la AEPD en un destinatario ordinario de datos.

Agencia Española de Protección de Datos
C/ Jorge Juan, 6, 28001 Madrid
www.aepd.es · Sede electrónica: sedeagpd.gob.es

Antes de presentar cualquier reclamación, le animamos a que se ponga en contacto con nosotros en dpo@avantwerk.com, para intentar resolver la cuestión de forma directa.

13. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas para proteger los datos personales de conformidad con el art. 32 RGPD:

• Cifrado TLS 1.2/1.3 en tránsito y política HSTS cuando esté configurada; no se afirma inclusión en la lista de precarga sin evidencia actual;
• Gestión cifrada de accesos propios mediante la autoridad de credenciales configurada para el perfil; el navegador no es la custodia prometida para perfiles instalados;
• Controles de acceso en el servidor y registro de auditoría sobre los datos de cuenta;
• Protección automatizada contra ataques de fuerza bruta en los puntos de autenticación;
• Auditoría periódica de dependencias y análisis de vulnerabilidades.

14. Modificaciones de esta política

Podemos actualizar esta política de privacidad en cualquier momento. Los cambios materiales se notificarán a los usuarios registrados por correo electrónico con al menos 30 días de antelación a su entrada en vigor.

Anexo IA: Acceso gestionado y clave propia

A.1 Modelos de acceso

Starter y Practice describen el acceso gestionado previsto, que permanece cerrado para datos reales hasta completar la evidencia exigida; Enterprise está previsto para BYOK. Existen adaptadores de cliente para Anthropic API, OpenAI API, servicios de pago de Gemini API, Azure OpenAI Service y Amazon Bedrock UE, pero actualmente la ruta BYOK publicada en el servidor reenvía Anthropic; los demás adaptadores no son una promesa de disponibilidad. La credencial se gestiona cifrada mediante la autoridad de credenciales del perfil. Cuando una ruta usa infraestructura de Bennovate, puede transitarla únicamente para autenticación y retransmisión y no se conserva deliberadamente después.

A.2 ¿Quién trata el contenido del expediente cuando se activa la IA?

Cuando el despacho envía extractos del expediente a su proveedor de IA elegido:

1. el despacho actúa como responsable del tratamiento de los datos personales contenidos en el envío;
2. la función jurídica del proveedor de IA depende de los fines, medios y contrato reales y debe documentarse antes de activar la ruta; BYOK no lo convierte por sí solo en encargado;
3. cuando Bennovate retransmite la operación, actúa como encargado respecto de la credencial, solicitud, contenido seleccionado y respuesta tratados temporalmente;
4. las obligaciones del despacho en virtud del RGPD respecto de ese tratamiento son de su exclusiva responsabilidad.

A.3 Pasarela de egreso

El servicio incorpora una pasarela técnica de egreso que seudonimiza el contenido antes de que abandone el navegador del despacho. La completitud de esa seudonimización depende del contenido del expediente. El despacho no debe basarse en la pasarela de egreso como sustituto de su propio criterio profesional.

A.4 Lista de comprobación del despacho antes de activar BYOK

Antes de activar la funcionalidad BYOK, el despacho deberá: (a) revisar las condiciones de tratamiento de datos del proveedor de IA elegido; (b) asegurarse de que existe un contrato de encargo del tratamiento por escrito con dicho proveedor (art. 28 RGPD); (c) valorar si el uso requiere una evaluación de impacto relativa a la protección de datos (EIPD) conforme al art. 35 RGPD; (d) considerar si la utilización requiere el consentimiento o la información de los clientes en cumplimiento de las obligaciones deontológicas del despacho (en particular, del deber de secreto profesional ex art. 542.3 LOPJ y art. 21 del Estatuto General de la Abogacía Española, RD 135/2021); y (e) evaluar las implicaciones de las posibles transferencias internacionales, incluida la exposición a legislación extranjera de acceso gubernamental a datos (Cloud Act).

A.5 Función del proveedor de IA en BYOK

En BYOK, el proveedor opera bajo una relación contractual directa con el despacho. Su clasificación como encargado, responsable independiente u otra función no se presume por la sola existencia de esa relación: depende de los fines, medios y condiciones reales. Bennovate sigue siendo encargado respecto de cualquier retransmisión temporal que efectúe.

A.6 Resultados de IA y el modelo del abogado en el bucle

Todos los resultados generados por IA en el servicio son borradores que requieren revisión por el abogado o abogada colegiado/a antes de ser utilizados. El despacho no debe tratar ningún resultado generado por IA como análisis jurídico definitivo. Conforme a las recomendaciones del Consejo General de la Abogacía Española (CGAE) en materia de inteligencia artificial (Libro Blanco de la IA en la Abogacía, enero 2026), el papel decisorio corresponde en todo momento al profesional humano cualificado.