Versión 1.3 | Vigente desde 20/09/2026 · Sustituye a la versión 1.2 de 18/09/2026.
Este Acuerdo de Tratamiento de Datos ("DPA") se celebra entre F2W Brasil Ltda., CNPJ 60.943.300/0001-36, operadora de los servicios AutoJus ("Encargada"), y el despacho de abogados o profesional jurídico que contrata la Plataforma ("Responsable"). Forma parte de los Términos de Uso y prevalece sobre ellos en lo relativo al tratamiento de datos personales.
Responsable: el despacho de abogados o profesional jurídico que contrata la Plataforma y decide los fines y medios del tratamiento de los datos de sus asuntos. Encargada: F2W Brasil Ltda., que trata datos personales por cuenta del Responsable, dentro de los límites de este DPA. Plataforma: AutoJus — AI Legal Ops Console, en todas sus superficies (web, escritorio, extensión de navegador y MCP). Contenido de Asunto: documentos, archivos, transcripciones, base de conocimiento, prompts y salidas generadas dentro del workspace del Responsable. Proveedor de IA: el proveedor de modelos de lenguaje, embeddings, OCR o búsqueda contratado directamente por el Responsable, en cuenta propia, y conectado a la Plataforma mediante clave de API (BYOK). Subencargado: tercero contratado por la Encargada que trata datos personales por cuenta del Responsable. Interesado: la persona física a la que se refieren los datos personales. Workspace: el espacio aislado del Responsable dentro de la Plataforma.
2.1. Este DPA regula el tratamiento de datos personales realizado por la Encargada por cuenta del Responsable para la prestación de los servicios de la Plataforma. 2.2. Categorías de interesados: clientes del Responsable, partes y terceros mencionados en documentos jurídicos, y usuarios del Responsable en la Plataforma. 2.3. Categorías de datos: datos de identificación y contacto, datos contenidos en documentos jurídicos y procesales, datos de uso de la Plataforma y — cuando el Responsable los introduzca — datos sensibles en el sentido del art. 5, II de la LGPD y del art. 9 del RGPD. 2.4. Duración: mientras dure la relación contractual, más los plazos de eliminación de la cláusula 11.
3.1. Intermediaria técnica, no comercial. La Encargada proporciona la infraestructura de la consola y almacena el Contenido de Asunto en el Workspace del Responsable. Las llamadas a los Proveedores de IA se realizan con la clave de API y en la cuenta del propio Responsable. La Encargada no contrata, no revende ni intermedia comercialmente el consumo de IA. 3.2. Los Proveedores de IA no son Subencargados. OpenAI, Anthropic, Google, Groq, DeepSeek, Mistral, Qwen, xAI, Voyage, Mistral OCR, Tavily y cualquier otro proveedor conectado por BYOK son contratados directamente por el Responsable. Su tratamiento se rige exclusivamente por el contrato del Responsable con el proveedor, incluida la región de procesamiento, la retención y el uso de datos, definidos por el Responsable en la cuenta del Responsable. 3.3. Sin entrenamiento. La Encargada no utiliza, y se obliga a no utilizar, Contenido de Asunto — documentos, prompts, salidas, transcripciones o base de conocimiento — para entrenar, ajustar, evaluar o mejorar modelos de inteligencia artificial, propios o de terceros. No existe pipeline de entrenamiento en la Plataforma. 3.4. Puerta de salida humana. La Plataforma produce estudios, análisis y borradores y no realiza, por sí misma, presentación ante sistemas judiciales, envío a clientes o terceros, ni firma de documentos. Tales actos dependen de una acción humana del Responsable, fuera de la Plataforma. El agente de la Plataforma no dispone de herramienta para ejecutarlos. 3.5. Claves de API. Las claves aportadas por el Responsable se cifran en reposo (AES-256-GCM) y se descifran solo en memoria, en el momento de la ejecución; no se almacenan en texto claro ni se transmiten a terceros distintos del propio Proveedor de IA elegido por el Responsable. 3.6. Aislamiento. El Workspace del Responsable está lógicamente aislado de los demás. La base de conocimiento, el acervo y el historial de un Responsable no son accesibles para otro.
La Encargada se obliga a: a) tratar datos personales únicamente conforme a las instrucciones documentadas del Responsable, recogidas en este DPA, en los Términos de Uso y en la configuración de la Plataforma; b) garantizar que las personas autorizadas a tratar datos estén sujetas a un deber de confidencialidad; c) adoptar las medidas técnicas y organizativas descritas en la cláusula 10; d) asistir al Responsable en la atención de los derechos de los Interesados (cláusula 8); e) notificar incidentes de seguridad conforme a la cláusula 9; f) eliminar o devolver los datos al término de la prestación, conforme a la cláusula 11; g) poner a disposición la información necesaria para demostrar el cumplimiento de este DPA (cláusula 10); h) mantener el registro de las operaciones de tratamiento realizadas por cuenta del Responsable.
El Responsable se obliga a: a) garantizar una base jurídica para el tratamiento de los datos que introduce en la Plataforma; b) contratar directamente a los Proveedores de IA, observar sus términos y definir, en su cuenta, la región, la retención y el uso de los datos por cada proveedor; c) revisar íntegramente todo contenido generado antes de cualquier uso profesional, conservando la responsabilidad por el acto jurídico; d) gestionar los usuarios y roles de su Workspace; e) comunicar sin demora a la Encargada cualquier instrucción que considere contraria a la legislación aplicable.
6.1. El Responsable autoriza a la Encargada a utilizar los siguientes Subencargados:
| Subencargado | Función | Región | ¿Trata Contenido de Asunto? |
|---|---|---|---|
| Supabase | Base de datos, almacenamiento y autenticación | sa-east-1 (São Paulo, Brasil) | Sí — acervo, base de conocimiento, transcripciones |
| Vercel | Alojamiento y ejecución de la aplicación | Funciones en gru1 (São Paulo, Brasil); red de borde global | Sí, en tránsito |
| Stripe | Pagos y suscripciones | EE. UU. / global | No — registro y facturación |
| Resend | Correo electrónico transaccional | sa-east-1 (São Paulo, Brasil) | No — dirección, nombre y contenido del correo |
| Google Analytics / Tag Manager | Analítica del sitio web público — no activo a esta fecha; solo tras el consentimiento del visitante | EE. UU. / global | No — navegación en el sitio, IP y cookies |
| GitHub | Espejo del contenido editorial propio de AutoJus | EE. UU. | No — nunca recibe Contenido de Asunto |
6.2. Los Proveedores de IA no figuran en esta lista porque no son Subencargados (cláusula 3.2). 6.3. La Encargada informará al Responsable con al menos 15 días de antelación sobre la incorporación o sustitución de cualquier Subencargado que trate Contenido de Asunto. El Responsable podrá oponerse por escrito, en cuyo caso las partes buscarán una solución y, de no hallarla, el Responsable podrá resolver sin penalización.
7.1. Procesamiento y almacenamiento en Brasil. La consola ejecuta y almacena el Contenido de Asunto en la región de São Paulo (Vercel gru1 y Supabase sa-east-1). En la operación de la consola no hay transferencia internacional de Contenido de Asunto. 7.2. Salida internacional por elección del Responsable. La única salida de Contenido de Asunto fuera de Brasil es la llamada al Proveedor de IA, realizada con la clave del Responsable, en la cuenta del Responsable, hacia la región que el Responsable definió al contratar al proveedor. 7.3. Subencargados fuera de Brasil. Stripe y GitHub operan en EE. UU. y no tratan Contenido de Asunto; Google Analytics, si se activa con consentimiento del visitante, también opera en EE. UU. y tampoco trata Contenido de Asunto. Para los datos que tratan, la Encargada adopta salvaguardas conforme al art. 33 de la LGPD. 7.4. Responsables en la UE/EEE. Brasil no es objeto de decisión de adecuación de la Comisión Europea. A solicitud, la Encargada suscribirá las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914, Módulo 2 (responsable → encargado), en cualquier plan. 7.5. Región europea dedicada. En el plan Enterprise, mediante contrato, la Encargada ofrece alojamiento dedicado de la consola y del acervo en una región europea.
8.1. La Encargada asistirá al Responsable, en un plazo de 10 días hábiles, en la atención de solicitudes de confirmación, acceso, rectificación, anonimización, portabilidad, supresión e información sobre compartición, conforme al art. 18 de la LGPD y, cuando sea aplicable, a los arts. 15 a 22 del RGPD. 8.2. Las solicitudes recibidas directamente por la Encargada se remitirán al Responsable sin demora. 8.3. Canal: privacy@autojus.com.
9.1. La Encargada notificará al Responsable en un plazo de 72 horas desde que tenga conocimiento de un incidente de seguridad que afecte a datos personales tratados por su cuenta, indicando la naturaleza, las categorías y el número aproximado de interesados y registros afectados, las medidas adoptadas y un punto de contacto. 9.2. La Encargada cooperará con el Responsable en la comunicación a la ANPD, a la autoridad competente y a los Interesados, cuando proceda. 9.3. Canal: privacy@autojus.com.
10.1. Medidas técnicas. Cifrado en tránsito (TLS) y en reposo; claves de API cifradas (AES-256-GCM) y descifradas solo en memoria; aislamiento lógico por Workspace; control de acceso por roles; log de auditoría con eventos nombrados (creación de contenedores; invitación, eliminación y cambio de rol de usuarios; alta y vinculación de clientes; cambios del Workspace; sesiones del agente; acceso, chat y descargas en el Portal del Cliente), con IP, agente de usuario, sesión y checksum por registro. A esta fecha el log no registra autenticación ni acceso de lectura a documentos por usuarios o por procesos de IA. 10.2. Retención del log de auditoría. 12 meses, ampliable hasta 5 años a solicitud del Responsable. 10.3. Evidencias. El Responsable puede solicitar información y evidencias sobre las medidas de seguridad adoptadas, con notificación previa de 15 días hábiles; la Encargada responderá en un plazo de 30 días hábiles. 10.4. Acceso del Responsable al log. A través de la administración del Workspace, dentro de la Plataforma. 10.5. Certificaciones. La Encargada no dispone, a esta fecha, de certificación de terceros (SOC 2, ISO 27001). Esta cláusula se actualizará cuando se obtenga.
11.1. Este DPA permanece vigente mientras dure la relación contractual. 11.2. Exportación integral. En cualquier momento y al término, el Responsable puede solicitar la exportación integral de su acervo, skills e historial, en formatos abiertos (DOCX/PDF para documentos; JSON para metadatos e historial), sin coste, entregada en un plazo de 30 días desde la solicitud a admin@autojus.com. 11.3. Eliminación. Con la finalización de la cuenta, los datos personales bajo responsabilidad directa de la Encargada se eliminarán en un plazo de 90 días, salvo obligación legal de conservación, con confirmación por correo electrónico al Responsable. La eliminación se ejecuta a solicitud a admin@autojus.com o, cuando esté disponible, mediante rutina automática. 11.4. Medios. Los archivos de audio y vídeo se purgan 60 días después de su procesamiento; la transcripción permanece en el acervo hasta la eliminación prevista en 11.3. 11.5. Los datos conservados por obligación legal permanecen bajo confidencialidad y se eliminan al finalizar el plazo legal.
12.1. Este DPA se rige por la Ley 13.709/2018 (LGPD) y, cuando sea aplicable al Responsable, por el Reglamento (UE) 2016/679 (RGPD), mediante las cláusulas de la 7.4. 12.2. Las partes eligen los tribunales de la Comarca de Florianópolis/SC, Brasil, sin perjuicio de lo dispuesto en las Cláusulas Contractuales Tipo cuando se hayan suscrito.
Derechos de los interesados, delegado de protección de datos (DPO) e incidentes: privacy@autojus.com Operación, exportación, eliminación y evidencias de auditoría: admin@autojus.com F2W Brasil Ltda. — CNPJ 60.943.300/0001-36
Este documento se publica en portugués, inglés y español. En caso de discrepancia, prevalece la versión en portugués.