Acuerdo de Tratamiento de Datos (DPA)

Este Acuerdo de Tratamiento de Datos forma parte de los Términos de Servicio entre LAW AGENT BRASIL LTDA (el "Encargado del Tratamiento" o "Encargado") y el Usuario (el "Responsable del Tratamiento" o "Responsable"), y regula el tratamiento de datos personales realizado en nombre del Responsable. AI BRAINS LABS LLC actúa como Subencargado (ejecución técnica del procesamiento y soporte).

1. Definiciones

Se aplican las definiciones del Art. 5º de la LGPD y del Reglamento de Transferencia Internacional (Res. CD/ANPD 19/2024).

2. Objeto y funciones

2.1. El Encargado (y, bajo su responsabilidad, el Subencargado) trata los datos personales contenidos en los Datos de Entrada exclusivamente conforme a las instrucciones documentadas del Responsable, para generar los resultados solicitados a través del SISTEMA.

2.2. El Responsable es responsable de definir las finalidades y la base legal (típicamente el Art. 7º, V y VI; el Art. 11, II, "d", para datos sensibles en el ejercicio de derechos).

3. Obligaciones del Encargado (y del Subencargado)

(i) tratar los datos únicamente conforme a las instrucciones del Responsable; (ii) no utilizar los datos para el entrenamiento de IA; (iii) garantizar la confidencialidad de las personas autorizadas; (iv) adoptar las medidas de seguridad de la Cláusula 6; (v) auxiliar al Responsable en los derechos de los titulares (Art. 18) y en el Informe de Impacto a la Protección de Datos (Art. 38); (vi) comunicar incidentes (Cláusula 7); (vii) eliminar/devolver los datos al término (Cláusula 8). El Encargado responde por la actuación del Subencargado.

4. Subencargados

4.1. El Responsable autoriza al Encargado a contratar, como Subencargado, a AI Brains Labs LLC y, por medio de esta, a los siguientes subencargados de datos personales:

4.1.1 La relación vigente se mantiene y versiona en lawagent-ai.com/subprocessadores, prevaleciendo la versión allí publicada.

4.1.2 Servicios fuera del perímetro de datos personales. El SISTEMA integra servicios de terceros destinados exclusivamente a la consulta de fuentes públicas, identificados por función y no por proveedor, pudiendo sustituirse el prestador de cada función sin alterar este DPA:

4.1.3 Los servicios de la Cláusula 4.1.2 no reciben datos personales — no se les transmite el nombre de las partes, el número de expediente, el contenido de los documentos del Usuario ni información que identifique a los clientes del Usuario — y, por ello, no constituyen subencargados para los fines de este DPA.

4.1.4 Si la arquitectura pasara a exigir la transmisión de datos personales a alguno de los servicios de la Cláusula 4.1.2, el prestador correspondiente será reclasificado como subencargado e incluido en la relación de la Cláusula 4.1, observada la comunicación previa de la Cláusula 4.3.

4.2. El Encargado impone al Subencargado y a los demás subencargados obligaciones equivalentes a las de este DPA.

4.3. La inclusión o sustitución de un subencargado se comunicará al Responsable con una antelación mínima de 30 (treinta) días, pudiendo el Responsable oponerse por motivo legítimo y fundamentado en el plazo de 15 (quince) días desde la comunicación. De no alcanzarse una solución consensuada en 30 (treinta) días desde la oposición, el Responsable podrá rescindir, sin coste, en lo relativo a la funcionalidad afectada.

5. Transferencia internacional de datos

5.1. El procesamiento de IA se realiza en el exterior, de forma efímera, por necesidad técnica (indisponibilidad de los modelos avanzados en una región brasileña); el almacenamiento permanece en Brasil (São Paulo).

5.2. La transferencia internacional de datos personales del Encargado al Subencargado está amparada por las Cláusulas Contractuales Estándar aprobadas por la ANPD (Resolução CD/ANPD nº 19, de 23 de agosto de 2024, Anexo II), adoptadas en su integridad y sin modificación, y suscritas entre el Encargado y el Subencargado mediante instrumento propio, disponible para el Responsable previa solicitud fundamentada.

A los efectos de la Cláusula 4 del Anexo II, se aplica la Opción B — transferencia realizada exclusivamente entre encargados, figurando el Encargado (Law Agent Brasil) como parte exportadora y el Subencargado (AI Brains Labs) como parte importadora, siendo los Estados Unidos de América el país de destino.

La transferencia ulterior a los proveedores de infraestructura y de procesamiento está amparada por un instrumento suscrito entre el Subencargado y cada proveedor, con salvaguardas equivalentes.

5.3. Salvaguardas: almacenamiento en Brasil; retención cero (ZDR); cifrado en tránsito y en reposo; no entrenamiento.

6. Seguridad de la información

Aislamiento mediante Row Level Security (RLS); cifrado; control de acceso y segregación de privilegios; URLs firmadas privadas; registros de acceso. Medidas revisadas conforme al estado del arte.

7. Comunicación de incidentes

7.1 Un incidente de seguridad que pueda ocasionar riesgo o daño relevante será comunicado al Responsable en un plazo no superior a 3 (tres) días desde que el Encargado tenga conocimiento de él, con la información necesaria para el cumplimiento de las obligaciones de notificación a la ANPD y a los titulares (art. 48 de la LGPD).

7.2 La comunicación contendrá, en la medida en que se conozca: la naturaleza del incidente; las categorías y el número aproximado de titulares y de registros afectados; las consecuencias probables; las medidas adoptadas y propuestas; y un canal de contacto. La información no disponible en la comunicación inicial se proporcionará de forma incremental, sin que su ausencia justifique demora.

7.3 El Subencargado se obliga a comunicar al Encargado en un plazo no superior a 24 (veinticuatro) horas desde que tenga conocimiento, de modo que se posibilite el cumplimiento del plazo de la Cláusula 7.1.

7.4 La comunicación a los titulares y a la ANPD corresponde al Responsable. El Encargado y el Subencargado no se comunicarán directamente con los titulares sobre el incidente sin el consentimiento previo del Responsable, salvo determinación legal o de una autoridad.

8. Terminación, eliminación y devolución

8.1 Finalizado el contrato, el Encargado mantendrá disponible para el Responsable, durante 30 (treinta) días, un mecanismo de exportación de los datos en formato estructurado y de uso habitual.

8.2 Transcurrido ese plazo, los datos personales serán eliminados de los entornos de producción en un plazo de hasta 30 (treinta) días y de las copias de seguridad conforme al ciclo de rotación, que no excederá los 90 (noventa) días, permaneciendo aislados e inaccesibles durante ese intervalo.

8.3 El Encargado emitirá al Responsable una declaración de eliminación, con fecha y alcance.

8.4 Se admite la conservación exigida por ley, limitada al mínimo necesario, con constancia del fundamento y el mantenimiento de las obligaciones de seguridad y confidencialidad mientras dure.

9. Auditoría

Previa notificación razonable y bajo confidencialidad, el Encargado pondrá a disposición información/informes para demostrar el cumplimiento, pudiendo satisfacerse la verificación mediante informes/certificaciones de terceros.

10. Responsabilidad y ley aplicable

Se observa la LGPD (Arts. 42-45), con derecho de repetición entre las partes. Se rige por la ley brasileña; cualquier controversia se somete al fuero previsto en los Términos de Servicio.

11. Encargado de Protección de Datos (DPO)

11.1 En los términos del art. 41 de la LGPD, el Encargado de Protección de Datos del Encargado del Tratamiento es Lahire Faria, y el canal de contacto para los titulares y para la ANPD es adm@lawagentapp.com.

11.2 El Encargado de Protección de Datos del Subencargado es André Estrella; contacto: support@aibrainslabsapp.com.

11.3 Cualquier cambio de Encargado de Protección de Datos se publicará en esta página.

12. Descripción del tratamiento

12.1 Categorías de titulares: abogados y demás profesionales usuarios del Usuario; clientes y partes contrarias identificados en documentos enviados al SISTEMA; terceros mencionados en esos documentos.

12.2 Categorías de datos personales: datos de identificación y contacto de los usuarios; el contenido de escritos, documentos y comunicaciones enviados al SISTEMA; datos de identificación de partes y terceros contenidos en ellos; registros de acceso y de uso.

12.3 Datos sensibles: el SISTEMA puede tratar datos personales sensibles (art. 5º, II, de la LGPD) presentes en documentos enviados por el Usuario, especialmente en materia laboral, previsional, de familia y penal. El Usuario, en su calidad de Responsable, define la base legal aplicable, típicamente el art. 11, II, "d" (ejercicio regular de derechos en un proceso).

12.4 Finalidad: generación de los resultados solicitados por el Usuario en el SISTEMA, soporte técnico y seguridad.

12.5 Naturaleza y duración: tratamiento automatizado, durante el plazo de la contratación y los plazos de eliminación de la Sección 8.

12.6 Periodicidad de la transferencia internacional: continua, en cada operación que dependa del procesamiento mediante modelos de inteligencia artificial.

13. Solicitud de autoridad extranjera

13.1 Si el Subencargado recibe una orden de una autoridad gubernamental extranjera para acceder a datos personales tratados bajo este DPA, se obliga a: (i) notificar al Encargado y, por su intermedio, al Responsable, de forma inmediata, salvo prohibición legal expresa; (ii) impugnar la orden por los medios pertinentes; (iii) limitar la divulgación al mínimo exigido; y (iv) mantener un registro de la solicitud y de la respuesta.

13.2 Si existiera una prohibición legal de notificar, el Subencargado notificará tan pronto cese el impedimento.

13.3 El Subencargado no ha concedido ni concederá acceso directo, general o irrestricto a datos personales tratados bajo este DPA a ninguna autoridad.