Acuerdo de Encargo de Tratamiento de Datos (DPA)

Este Acuerdo (“DPA”) forma parte del contrato de servicio. Se suscribe entre el Estudio ([RAZÓN SOCIAL DEL ESTUDIO], RUT [•]), en calidad de Responsable, y Neurostrategia Ltda., RUT 77.785.053-9, en calidad de Encargado. La versión firmada prevalece sobre esta publicación informativa.

1. Objeto y roles

El Estudio incorpora datos personales de sus clientes y terceros, respecto de los cuales es Responsable. NeuroLegal los trata por cuenta e instrucción documentada del Estudio, como Encargado. Respecto de los datos de los usuarios que administran la cuenta, NeuroLegal puede actuar como Responsable según su Política de Privacidad.

2. Naturaleza, finalidad y duración

Operar las funciones de la plataforma (clasificación, gestión de plazos, generación y revisión de documentos, jurisprudencia, informes, due diligence, transcripción y análisis con IA), exclusivamente para prestar el servicio por instrucción del Estudio, mientras dure el contrato principal.

3. Categorías de titulares y de datos

Titulares: clientes del Estudio, contrapartes, terceros en casos y usuarios del Estudio. Datos: identificación y contacto, datos de casos y documentos, comunicaciones, grabaciones y transcripciones de audiencias, facturación y registros de uso.

Datos sensibles: la plataforma puede tratar datos relativos a la salud (peritajes, historiales clínicos, valoración neurocognitiva, secuelas), grabaciones de voz y datos de procesos judiciales. Su tratamiento exige base de licitud reforzada que el Estudio debe asegurar como Responsable, incluyendo el consentimiento de los participantes en grabaciones cuando corresponda.

Decisiones automatizadas: las funciones de priorización, detección de plazos o puntuación son de apoyo y no producen decisiones con efectos jurídicos sobre los titulares sin intervención humana del Estudio.

4. Obligaciones del Encargado

• Tratar los datos solo según instrucciones del Estudio; no usarlos para fines propios ni para entrenar modelos de IA.
• Garantizar la confidencialidad y el deber de secreto del personal autorizado.
• Aplicar las medidas de seguridad de la cláusula 6.
• Asistir al Estudio para responder solicitudes ARCO + portabilidad dentro de los plazos legales.
• Notificar al Estudio sin demora (a más tardar 48 horas) ante una brecha, con la información necesaria para que el Estudio notifique a la Agencia y a los titulares dentro de 72 horas.
• Permitir auditorías razonables y, al término, devolver o eliminar los datos a elección del Estudio.

5. Subencargados (subprocesadores)

El Estudio autoriza el uso de los siguientes subencargados, sujetos a obligaciones equivalentes: Supabase (base de datos y almacenamiento, EE.UU.), Vercel (hosting, EE.UU.), Anthropic, Google y OpenAI (IA y transcripción, EE.UU.), Resend (correos, EE.UU.), Meta/WhatsApp (notificaciones, si se activa), y Mercado Pago (pagos). NeuroLegal informará con antelación razonable cualquier alta o cambio, y el Estudio podrá objetar por motivos fundados.

Compromiso de no entrenamiento (garantía contractual): NeuroLegal contrata a los proveedores de IA exclusivamente en sus planes empresariales o de API (de pago), cuyos términos prohíben usar el contenido enviado para entrenar o mejorar sus modelos. Los proveedores tratan los datos solo para devolver el resultado solicitado y los descartan según sus políticas de retención. NeuroLegal, por su parte, no utiliza los datos del Estudio para entrenar modelos propios ni de terceros, ni para ningún fin distinto de prestar el servicio. NeuroLegal no usará versiones gratuitas o de consumo de estos servicios para procesar datos del Estudio.

6. Medidas de seguridad

• Cifrado en tránsito (TLS) y en reposo; cifrado adicional de credenciales/tokens de integraciones.
• Aislamiento lógico multi-estudio (seguridad a nivel de fila): cada estudio accede solo a sus datos.
• Control de acceso por roles y muros éticos para conflictos de interés.
• Acceso a documentos mediante enlaces firmados de duración limitada; sin acceso público.
• Registro de auditoría, limitación de tasa, respaldos y mínimo privilegio del personal.

7. Transferencia internacional

El servicio implica transferir datos a proveedores ubicados principalmente en EE.UU. NeuroLegal mantiene garantías contractuales adecuadas conforme a la Ley N° 21.719 y las actualizará según lo exija la Agencia de Protección de Datos Personales.

8. Responsabilidad y vigencia

Cada parte responde por el incumplimiento de sus obligaciones. En materia de protección de datos, este DPA prevalece sobre el contrato principal. Vigente desde su firma y mientras dure el contrato.