Cumplimiento normativo · RGPD Art. 28 + 44-49
Registro público de subencargados
LexFlow trata datos personales de los clientes de los despachos en calidad de encargado de tratamiento. Para prestar el servicio nos apoyamos en los siguientes subencargados, terceros que procesan datos en nuestro nombre. Esta página y el registro canónico SUBPROCESSORS.md derivan de la misma fuente única versionada en git, por lo que nunca divergen.
Versión: 2.4Última actualización: 2026-10-31Subencargados activos: 18
¿Qué es un subencargado?
Un subencargado es un tercero al que LexFlow (encargado de tratamiento) confía parte del tratamiento de datos personales de los despachos clientes (responsables del tratamiento). El RGPD Art. 28.4 exige que esté formalmente designado, que el cliente sea informado y pueda oponerse, que medie un acuerdo (DPA / SCC) que extienda las obligaciones del contrato principal y que se documente el flujo de datos. Esta página cumple ese último punto.
Estado de validación legal
Este registro refleja la designación técnica de cada subencargado, verificada contra nuestro código. El estado de firma de cada acuerdo (DPA / SCC / Data Privacy Framework) está en validación por nuestro responsable legal. Para el detalle contractual actualizado, escribe a privacy@lexflow-ia.com.
Subencargados activos
| Subencargado | Propósito | Categorías de datos | Ubicación | Transferencia internacional | Estado DPA |
|---|---|---|---|---|---|
Totalum totalum-api-sdk | Backend histórico del producto. CESADO: el código ejecutable se retiró el 2026-06-25 (32035b56) y un guard lo prohíbe desde el 2026-07-11 (2e114e3a). Hoy el producto NO le envía datos: en src/ solo quedan importaciones de TIPO (compile-time), y `src/lib/totalum.ts` es un shim respaldado por Cloudflare D1 que conserva el nombre pero no hace egreso de red. La entrada sigue en el registro porque `totalum-api-sdk` continúa declarado en package.json. | NINGUNA por parte del producto: no hay egreso a api.totalum.app desde src/. Residual medido el 2026-08-29: tres guiones de administración FUERA de src/ (scripts/assign-expedientes-standalone.ts:7, scripts/grant-supervisor-access.ts:10, scripts/shape-probe.ts:15) sí instancian el SDK de forma ejecutable, y si alguien los ejecutara cursarían expedientes y clientes. No forman parte del Servicio desplegado. | España (UE) declarado — endpoint api.totalum.app [VERIFICAR ubicación real] | No aplica mientras el producto no le envíe datos | Pendiente de validación legal (FIECCO) |
Cloudflare @opennextjs/cloudflare | Hosting (Workers), CDN, D1 (base de datos relacional), R2 (almacenamiento de ficheros), Workers AI (inferencia IA DENTRO del perímetro Cloudflare: motor de inteligencia documental Ola 2/PR6 + embeddings del índice vectorial Ola 1A — modelos de pesos abiertos servidos por Cloudflare; el contenido NO viaja a Mistral AI/Meta/Google) | Toda la BD D1 (clientes, expedientes, documentos, billing, audit), ficheros R2, logs de tráfico, IPs. Workers AI: texto/imágenes de documentos del despacho durante la inferencia (transitoria; sin entrenamiento ni compartición — ver docs/compliance/2026-07-14-workers-ai-cumplimiento-rgpd.md) | Global — D1 lexflow-db SIN jurisdicción (migración con ensayo y runbook: docs/infra/MIGRACION-D1-EU.md); R2 de documentos lexflow-files-eu CON jurisdicción eu desde 2026-08-28 (evidencia atestiguada en el repo). Inferencia Workers AI: red global, SIN garantía UE (DLS no cubre Workers AI) — base = DPA+SCC | Posible (sin región fijada) — declarado DPA+SCC [VERIFICAR] | Pendiente de validación legal (FIECCO) |
CoreWeave (infraestructura GPU de Cloudflare Workers AI) Cliente local | Subencargado DE CLOUDFLARE para GPU de Workers AI (lista oficial de sub-processors de Cloudflare, propósito "Workers AI"). Sin integración directa desde este código. | Las mismas que la inferencia Workers AI (transitorias), bajo flow-down del DPA de Cloudflare (§4.2, términos no menos protectores; §4.4, aviso previo ≥30 días) | EEUU [VERIFICAR en la lista oficial] | Cubierta por el DPA de Cloudflare (SCC/DPF flow-down) [VERIFICAR] | Pendiente de validación legal (FIECCO) |
Nebius (infraestructura GPU de Cloudflare Workers AI) Cliente local | Subencargado DE CLOUDFLARE para GPU de Workers AI (lista oficial de sub-processors de Cloudflare, propósito "Workers AI"). Sin integración directa desde este código. | Las mismas que la inferencia Workers AI (transitorias), bajo flow-down del DPA de Cloudflare (§4.2/§4.4) | Países Bajos (UE) [VERIFICAR en la lista oficial] | Cubierta por el DPA de Cloudflare [VERIFICAR] | Pendiente de validación legal (FIECCO) |
Stripe stripe | Procesamiento de pagos y suscripciones del despacho | Nombre o razón social, email y dirección de facturación del despacho. Además: NIF/CIF, que recoge Stripe Checkout (tax_id_collection) para la factura; datos de tarjeta, que trata Stripe y de los que LexFlow solo ve el token; user_id y workspace_id, en los metadatos de la sesión de pago y de la suscripción; importe y estado de pagos y facturas. | EEUU + Irlanda (UE) | Sí (EEUU) — declarado DPF + SCC (Art. 46) [VERIFICAR] | Pendiente de validación legal (FIECCO) |
Resend resend | Envío de correo electrónico, siempre desde dominios lexflow-ia.com y por un único punto de salida (src/lib/seams/mailer/resend-mailer.ts): (1) POR CUENTA DEL DESPACHO, a sus clientes y a terceros: comunicaciones del expediente, solicitudes de documentación, hoja de encargo, facturas, convocatorias de reunión y respuestas a consultas de su web; y reenvío al despacho de los formularios de su web; (2) correo de la cuenta a los usuarios de LexFlow: seguridad, invitaciones y avisos de tareas y plazos; (3) correo comercial y de soporte de LexFlow; (4) confirmación del alta en la newsletter y, si está activada, la lista de suscriptores (Resend Audiences). | Dirección, nombre y contenido de cada mensaje. En el correo del despacho, además: datos del cliente y del expediente (referencia, asunto, documentación pendiente, fechas y honorarios); adjuntos: hoja de encargo con DNI/NIF, domicilio y honorarios, facturas con NIF e importes, y convocatorias .ics; el texto libre de las consultas de la web, que puede contener datos del art. 9/10; y los eventos de entrega y rebote de cada destinatario. Sin seguimiento de aperturas ni de clics: no está activado en ninguno de los dos dominios de envío (lexflow-ia.com y news.lexflow-ia.com), que no tienen subdominio de seguimiento. | EEUU + Irlanda (UE): Resend guarda en EEUU los datos de la cuenta (mensajes, registros de envío y la lista de Audiences); los dos dominios de envío, lexflow-ia.com y news.lexflow-ia.com, envían desde su región eu-west-1 (Irlanda). | Sí (EEUU) — declarado DPF + SCC (Art. 46) [VERIFICAR] | Pendiente de validación legal (FIECCO) |
Anthropic @anthropic-ai/sdk, @ai-sdk/anthropic | LLM (Claude). NO RECIBE DATOS DE CLIENTES desde el 18-oct-2026 (#1587, #1591): ninguna vía con datos de cliente sale hacia Anthropic, ni por defecto, ni por un interruptor de emergencia (LEGAL_CHAT_PROVIDER, EXTRACTION_STRUCTURER_PROVIDER, AI_PROVIDER_FALLBACK), ni por una atestación futura de retención cero. Lo único que sale es el PING DE SALUD del informe profesional (GET /api/informe-profesional/health): un texto fijo, «Responde solo: OK», a claude-sonnet-4-6 con 10 tokens de salida. Lo que antes iba por Anthropic va hoy por Mistral AI (asistente contextual, triaje de leads, sugerencia de tareas y funciones con datos de expediente) o está en pausa con su motivo a la vista (clasificación fiscal de facturas recibidas). | Ninguna de clientes ni del despacho. El ping de salud lleva siempre el mismo texto fijo, sin datos personales. | EEUU | Sí (EEUU) — declarado DPF + SCC + DPA Anthropic [VERIFICAR] | Pendiente de validación legal (FIECCO) |
Mistral AI REST API | Proveedor de IA de LexFlow para todo lo que lleva datos de clientes: ningún dato de cliente sale hacia otro proveedor de IA (decisión del 18-oct-2026, #1587). Destino siempre https://api.mistral.ai, sin perímetro propio ni self-host (#1589). OCR de documentos: (a) Etapa 1 del motor de extracción v2 (mistral-ocr-latest): ACTIVO en producción desde el 2026-08-09 — el documento que sube el despacho (DNI/NIE/pasaporte, certificados, facturas, nóminas, hoja de encargo) se envía a api.mistral.ai para su lectura óptica. La estructuración posterior es DETERMINISTA y local (sin modelo de lenguaje) SOLO para DNI/NIE/pasaporte; en los demás tipos (certificado bancario, recibos de suministros, gastos, nómina, IBI, IVTM, CIF, escritura, nota simple, participaciones sociales, permiso de circulación, residuos, empadronamiento, libro de familia, matrimonio, nacimiento y hoja de encargo) el texto del OCR, con las identidades enmascaradas, lo estructura el ESTRUCTURADOR de la extracción v2, un modelo de lenguaje servido por Mistral (chat completions, mistral-medium-latest). Ninguna variable lo lleva a otro proveedor: con EXTRACTION_STRUCTURER_PROVIDER=anthropic la extracción se cierra antes del estructurador y nada sale hacia otro proveedor (#1591). (h) EXTRACCIÓN DE LA FICHA DE CLIENTE (#1585): los documentos que el despacho sube a la ficha del cliente, y el botón «Extraer datos», pasan por ese mismo motor. DNI, NIE y pasaporte, por OCR y lectura determinista; empadronamiento, certificados de nacimiento y de matrimonio, libro de familia, recibo del IBI, nota simple y escritura, por OCR y estructurador. Con la verja cerrada (OCR_ENGINE_V2, retención cero de Mistral y estructurador de Mistral), el documento queda en «requiere revisión» sin egreso. (b) LECTOR del motor de inteligencia documental (AI_PIPELINE_V2), APAGADO en producción. Su destino es MISTRAL_OCR_BASE_URL, que en producción solo puede ser https://api.mistral.ai o estar ausente: cualquier otro valor impide arrancar la aplicación, por una barrera en código y no en configuración (#1589). Hoy la variable no existe en producción, así que aunque se encendiera el motor el documento quedaría en revisión, sin egreso. Fuera de producción, además, el benchmark con documentos de prueba sin datos personales. LLM (chat completions, api.mistral.ai/v1/chat/completions; mistral-medium-latest, mistral-large-latest en modo profundo): (c) chat jurídico (LEGAL_CHAT_PROVIDER=anthropic ya no lo desvía: cierra el chat), y el seam de IA, que envía a Mistral toda operación con datos de clientes; solo el arnés de paridad va a otro proveedor, y solo con datos sintéticos, sin datos de clientes ni de usuarios; sin respaldo en otro proveedor; (g) el ASISTENTE CONTEXTUAL, con function calling: sus herramientas leen expedientes, clientes, plazos, tareas, agenda, documentos, facturación y correos del despacho; abierto solo con el interruptor global ASISTENTE_IA=habilitado y, por despacho, ASSISTANT_ENABLED; (d) funciones con datos de expediente —analizar acto, copiloto del expediente, siguiente acción de la cartera, borrador de comunicación (también desde el worker comm-evento-queue/process), informe profesional, análisis legal de documentos y generador de escritos—, que salen siempre por Mistral, también si algún día constara retención cero de Anthropic (#1591); (i) TRIAJE DE LEADS y SUGERENCIA DE TAREAS del creador de webs (#1591): el análisis del lead que pide el despacho («Re-analizar con IA»; el formulario público ya no lo lanza) y la propuesta de tareas al pasar un lead a expediente. Transcripción de audio (Voxtral, api.mistral.ai/v1/audio/transcriptions): (e) dictado por voz, proveedor por defecto (SPEECH_PROVIDER), y (f) dictado del soporte, con la misma verja que el dictado. | Vía API del motor v2 (activa): el CONTENIDO ÍNTEGRO del documento enviado a leer. Por tipo: DNI, NIE y pasaporte, categoría identification (nombre, apellidos, número de documento, domicilio, fechas); nómina y hoja de encargo, mixed_unknown, porque pueden contener datos del art. 9/10 (la nómina, por ejemplo, una línea de cuota sindical), y su envío exige la doble llave de retención cero; los demás, categoría general. En la ficha de cliente (#1585), además del DNI, NIE o pasaporte: nombre y apellidos, números de DNI/NIE, domicilio, fechas y lugares de nacimiento, nombres de los progenitores y de los hijos, estado civil y datos de los inmuebles y de sus titulares, de documentos que el código declara de categoría general. RETENCIÓN CERO VERIFICADA el 2026-08-09 en el panel de administración de la organización: retención cero habilitada, uso de las llamadas a la API para entrenar modelos DESACTIVADO y modelos de Labs DESACTIVADOS; se re-verifica cada trimestre y, si dejara de constar, el envío se bloquea de nuevo automáticamente. ALCANCE DEL ZDR (corregido el 2026-08-09 contra la política publicada de Mistral): el ZDR se concede a la ORGANIZACION —tras aprobarse figura en los ajustes de Privacidad de la Admin Console— y cubre TODAS las llamadas SIN ESTADO: chat completions, embeddings, moderation, OCR y audio. NO cubre lo que guarda estado por diseño: Agents API, Batch API, Conversations, Libraries y Le Chat. /v1/files pertenece a esa familia —existe para ALMACENAR ficheros—, y por eso el documento viaja siempre como data-URI dentro de la propia llamada de OCR y nunca se sube a /v1/files. La redaccion anterior decia «cobertura por endpoint: cubre /v1/ocr y no cubre /v1/files», lo que se leia como si la cobertura se concediera endpoint por endpoint; no es asi, y de esa lectura salio la conclusion equivocada de que el chat no estaba cubierto. Motor de inteligencia documental (apagado): leería documentos aún sin clasificar (mixed_unknown), que PUEDEN CONTENER DATOS DEL ART. 9/10; el envío exige la verja de retención cero (acta vigente, MISTRAL_ZDR_CONFIRMED y assertOcrEgressAllowed, con cada decisión auditada) y la entrega en línea (data-URI). En el benchmark, documentos de prueba sin datos personales (barrera BENCH_EXTERNAL_EGRESS_ACK). Además: el TEXTO del OCR que pasa al estructurador de la extracción v2, con las identidades enmascaradas y redactado por patrón en el cinturón; prompts del chat jurídico, del seam de IA y de las funciones con datos de expediente, con contexto de expediente de categoría mixed_unknown (puede contener datos del art. 9/10), minimizado o pseudonimizado con marcadores de identidad según la superficie y redactado por patrón en el cinturón; el AUDIO del dictado y del dictado del soporte (Voxtral), también mixed_unknown; el TRIAJE DE LEADS: el tipo de lead, la URL de origen y los campos del formulario web que rellenó el visitante, con los de identidad (nombre, email, teléfono…) sustituidos por marcadores y el resto redactado por patrón y recortado a 1000 caracteres, incluido su mensaje libre, que puede contener datos del art. 9/10 y en el que no se redacta un nombre que el visitante escriba en el mensaje; la SUGERENCIA DE TAREAS: fecha y descripción del plazo, área, jurisdicción, el resumen de la IA, las palabras de urgencia y el mensaje original del visitante (hasta 500 caracteres), redactados por patrón, que no reconoce los nombres; los dos, declarados mixed_unknown, con consentimiento, verja art. 9/10 de doble llave y auditoría; y el turno del ASISTENTE CONTEXTUAL: SIN cinturón por decisión documentada (ADR-010, D2), el texto libre del abogado sin redactar y los resultados de sus herramientas (datos de expedientes, clientes, plazos, documentos, facturación y correo), declarado mixed_unknown, por lo que exige la doble llave de retención cero y cada decisión de la verja queda auditada; aplica además consentimiento, presupuesto y registro de uso. | Francia (UE) declarado — ubicación real de procesamiento [VERIFICAR] | No declarada (UE); SCC si aplica fuera del EEE (privacy policy §7) [VERIFICAR] | Pendiente de validación legal (FIECCO) |
Google — Web Speech API (navegador) Cliente local | Reconocimiento de voz de los formularios PÚBLICOS por voz (contacto, cualificación de lead, demo de alta, FAQ de precios) | Audio dictado por un visitante ANÓNIMO y su transcripción: sus propios datos de contacto y su consulta. Por esta vía NO se dicta dato alguno de cliente de despacho — las superficies detrás de login usan el motor gobernado. | EEUU | Sí (EEUU) [VERIFICAR instrumento] | Pendiente de validación legal (FIECCO) |
AssemblyAI REST API | Transcripción de audio (dictado por voz) | Audio dictado por el usuario y su transcripción (puede contener PII) | EEUU | Sí (EEUU) — declarado DPF + SCC (Art. 46) [VERIFICAR] | Pendiente de validación legal (FIECCO) |
Deepgram REST API | Transcripción de audio (STT, alternativa a AssemblyAI/Whisper) | Audio dictado por el usuario y su transcripción (puede contener PII) | EEUU | Sí (EEUU) [VERIFICAR instrumento] | Pendiente de validación legal (FIECCO) |
Speechmatics REST API | Transcripción de audio en STREAMING (dictado en tiempo real, Etapa A′ — ADR-009). Camino declarado a on-prem/container (sin subencargado) como norte. | Audio del dictado jurídico en streaming y su transcripción (mixed_unknown art. 9/10 — puede contener categorías especiales). El audio no se persiste en LexFlow; retención del vendor a fijar por DPA (objetivo: cero). | Reino Unido (adecuación UE) — endpoint RT región UE [VERIFICAR endpoint contractual] | UK con decisión de adecuación vigente [VERIFICAR renovación]; sin transferencia si se despliega on-prem | Pendiente de validación legal (FIECCO) |
ElevenLabs REST API | Síntesis de voz (TTS) para respuestas del asistente jurídico | Texto a sintetizar (puede contener extractos de expedientes/análisis legal) | EEUU | Sí (EEUU) [VERIFICAR instrumento] | Pendiente de validación legal (FIECCO) |
Twilio REST API | Recordatorios de plazos por SMS y WhatsApp (llamadas: planificado) | Números de teléfono, contenido del mensaje (nombre del cliente, evento, plazo) | EEUU | Sí (EEUU) [VERIFICAR instrumento] | Pendiente de validación legal (FIECCO) |
Autoridad de Sellado de Tiempo (TSA, RFC 3161) — sello no cualificado REST API | Sello de tiempo NO cualificado (RFC 3161) para firmas y anclaje de cadenas de auditoría. El único prestador que el código trae con su dirección (FreeTSA) no es un prestador cualificado según eIDAS, así que el sello no tiene la presunción del art. 41.2 del Reglamento (UE) 910/2014. | Hash SHA-256 del documento/entrada (opaco, NO PII) + nonce | Configurable por env (TIMESTAMP_RFC3161_ENDPOINT) | Depende del endpoint configurado [VERIFICAR] | Pendiente de validación legal (FIECCO) |
AutoFirma / @firma (MJU) Cliente local | Firma electrónica de documentos procesales (PAdES/CAdES, LexNET) | PDF a firmar y certificado del firmante — procesados en el PC del usuario / servlet propio | Equipo del usuario (España) — AutoFirma corre en local; servlet propio en la infraestructura de Cloudflare (red global) | No (flujo local + servlet propio) | Pendiente de validación legal (FIECCO) |
Unsplash REST API | Búsqueda de imágenes de stock para los artículos del blog | Términos de búsqueda (temática del post — NO datos personales de clientes) | EEUU/Canadá | Sí (fuera EEE) — datos no personales [VERIFICAR instrumento] | Pendiente de validación legal (FIECCO) |
Slack REST API | Avisos operativos internos del equipo de LexFlow (fallos de facturación, de crons y de sincronización) por webhook entrante. | Datos seudonimizados, mínimos por diseño. El aviso lleva solo: el tipo de evento y su severidad; una referencia aleatoria por aviso; en facturación, el id y el tipo del evento de Stripe (evt_…); el enlace al panel interno. Nunca lleva user_id, despacho, importes, correo (ni enmascarado) ni texto de error. El filtro está en el código, en el punto de salida (src/lib/observability/alerta-slack.ts), y aplica a toda alerta. Solo LexFlow puede vincular la referencia o el evt_ a una persona. | EEUU | Sí (EEUU) — Data Privacy Framework UE-EE. UU., con las cláusulas contractuales tipo del DPA de Slack como respaldo. Con lo anterior, lo que se transfiere son identificadores seudonimizados. | Pendiente de validación legal (FIECCO) |
Servicios del despacho a los que LexFlow se conecta
El correo, los ficheros y la agenda los contrata el propio despacho con su proveedor. El usuario los conecta a LexFlow por OAuth, y LexFlow accede a ellos por cuenta del despacho. Con WhatsApp ocurre lo mismo: el despacho contrata directamente con Meta al conectar su número en la ventana de Meta, y Meta trata los mensajes como encargado del despacho. No son subencargados de LexFlow, pero aquí se detalla lo mismo que de uno: qué lee, qué guarda y qué envía LexFlow en cada servicio. El inicio de sesión con una cuenta de Google o de Microsoft no figura aquí: es un proveedor de identidad que elige el usuario y que actúa como responsable independiente.
| Servicio | Para qué se conecta | Datos que LexFlow lee, guarda o envía | Ubicación | Transferencia internacional |
|---|---|---|---|---|
Google — Gmail API REST API | Correo del propio usuario dentro de LexFlow (OAuth 2.0, permisos gmail.readonly o gmail.modify): leer y sincronizar, enviar y responder, marcar, archivar y mover a la papelera. Nunca borrado permanente en Gmail. Uso limitado conforme a la Google API Services User Data Policy | Mensajes del Gmail conectado, que SE PERSISTEN EN LEXFLOW con su cuerpo: remitente, destinatarios, asunto, fechas, cuerpo, etiquetas y metadatos, y nombre y tamaño de los adjuntos; el contenido del adjunto se descarga a petición. Al enviar, LexFlow manda a Gmail el cuerpo, el asunto y los destinatarios. Pueden aparecer datos de clientes del despacho y de terceros, incluidas categorías del art. 9 y datos del art. 10. | EEUU | Sí (EEUU) — declarado DPF + SCC (Art. 46) [VERIFICAR] |
Google — Drive API REST API | Importar a un expediente los archivos de Google Drive que el usuario elige en el selector de Google (permiso drive.file: solo archivos que el usuario abre o crea con LexFlow; nunca acceso al Drive completo) | Archivos elegidos por el usuario y sus metadatos (nombre, tipo, tamaño), tokens OAuth cifrados | EEUU | Sí (EEUU) [VERIFICAR instrumento] |
Google — Calendar API REST API | Agenda del propio usuario dentro de LexFlow (OAuth 2.0, permiso calendar.events): mostrar sus eventos en la Agenda Unificada y crear, editar o cancelar las reuniones que el usuario programa desde LexFlow. Uso limitado conforme a la Google API Services User Data Policy | Eventos del calendario conectado: título, descripción, fecha y hora, ubicación; invitados de las reuniones que crea el usuario | EEUU | Sí (EEUU) — declarado DPF + SCC (Art. 46) [VERIFICAR] |
Microsoft — Graph (Outlook, OneDrive y Calendario) REST API | Integraciones de Microsoft 365 que conecta el usuario por OAuth 2.0: (1) correo de Outlook: sincronización de la bandeja de entrada y de Enviados, envío y respuesta desde LexFlow, y organización del correo (archivar, mover a la papelera, marcar), con Mail.ReadWrite y Mail.Send en el modo de gestión completa y Mail.Read en el de solo lectura; (2) OneDrive: importación a un expediente de los ficheros que elige el usuario, en solo lectura (Files.Read); (3) calendario: lectura de eventos para la agenda, y creación, edición y cancelación de las reuniones que el usuario programa desde LexFlow, con enlace de Teams (Calendars.ReadWrite; las invitaciones las envía Microsoft). | Correo: el mensaje completo, que SE PERSISTE EN LEXFLOW: remitente, destinatarios, asunto, fechas, cuerpo, y nombre y tamaño de los adjuntos; el contenido del adjunto se descarga a petición. Al enviar, LexFlow manda a Graph el cuerpo, el asunto y los destinatarios. OneDrive: el contenido íntegro de los ficheros importados, con su nombre y tamaño. Calendario: título, descripción, fechas y estado de los eventos; en las reuniones que se crean desde LexFlow, además, el correo de cada asistente. Además: perfil del usuario (nombre y email) y tokens OAuth (cifrados). Pueden aparecer datos de clientes del despacho y de terceros, incluidas categorías del art. 9 y datos del art. 10. | EEUU | Sí (EEUU) [VERIFICAR instrumento] |
Meta — WhatsApp Business Platform (Cloud API) REST API | Envío y recepción de mensajes de WhatsApp con los clientes del despacho, cuando el despacho conecta su número (Embedded Signup) y enciende el canal. LexFlow envía solo los mensajes que el despacho ha aprobado, a clientes con su permiso para recibir mensajes por WhatsApp registrado; recibe y guarda lo que cualquier persona escribe al número y, en coexistencia, lo que el despacho escribe desde la app WhatsApp Business, sea o no a un cliente (lo que no es de un cliente queda en una conversación sin vincular, visible solo dentro del despacho). No pide ni guarda el historial previo ni los contactos que la coexistencia ofrece sincronizar. | Número de teléfono del cliente, o de quien escriba al número; texto de los mensajes enviados, recibidos y escritos desde la app; referencias de los adjuntos que se reciban; metadatos del envío (identificador, fecha y estado de entrega). En el alta: identificadores de la cuenta y del número y el token del despacho (cifrado en LexFlow). Las condiciones de Meta y las de LexFlow prohíben enviar por este canal datos de categorías especiales, de salud, financieros o de documentos de identidad. Si alguien los escribe al número, entran igualmente. | EE. UU. y UE, según las condiciones de Meta (sin almacenamiento local en la UE) | Sí (EE. UU.). Meta declara que usa mecanismos de transferencia conformes al RGPD, y Meta Platforms, Inc. participa en el Marco de Privacidad de Datos UE-EE. UU. (recertificación en revisión; próxima fecha, 23-07-2027). |
Terceros de los tratamientos propios de LexFlow
No son subencargados de los despachos ni forman parte del anexo de encargo: en estos tratamientos LexFlow es el responsable (sus webinars, su web pública y las videollamadas de acceso), no el encargado de un despacho. Se detallan aquí por transparencia; de cada tratamiento se informa donde se recogen los datos, como en /webinars. Un encargado de LexFlow trata los datos por cuenta de LexFlow, con contrato con LexFlow; un responsable independiente decide sobre su propio tratamiento, y LexFlow solo lo carga tras el consentimiento de cookies de terceros.
| Tercero | Papel | Para qué | Datos | Ubicación | Transferencia internacional | Garantía |
|---|---|---|---|---|---|---|
Google Workspace — Meet (webinars y videollamadas de acceso) Google LLC | Encargado de LexFlow | Videoconferencia de dos tratamientos de LexFlow como responsable: (1) los webinars públicos semanales (/webinars): el equipo crea la reunión en Google Meet y pega su enlace en el panel; LexFlow lo envía en el correo de confirmación y en la cita .ics, y la persona inscrita se une desde su navegador o la aplicación de Meet; (2) la videollamada de acceso de un despacho que solicita entrar en LexFlow (/acceso): LexFlow crea la cita con su enlace de Meet en el calendario de su propia cuenta de Google Workspace (Calendar API) y se la muestra a quien reserva. Google actúa como encargado de LexFlow, bajo los términos de tratamiento de datos de Google Workspace. | De quien asiste: el nombre y el correo con que entra en la reunión, su imagen y su voz si las activa, lo que escriba en el chat, su IP y los datos técnicos de la conexión. En la videollamada de acceso, además, la cita en el calendario de LexFlow: la fecha y la hora, y el nombre del despacho en el título; sin invitados, y Google no envía invitaciones. LexFlow no envía a Google ningún dato de la inscripción a un webinar: solo da el enlace a la persona inscrita. | EEUU | Sí (EE. UU.): Google LLC, al amparo del Marco de Privacidad de Datos UE-EE. UU. y, como respaldo, de las cláusulas contractuales tipo incluidas en los términos de tratamiento de datos de Google. El recurso C-703/25 P sobre el Marco está pendiente ante el Tribunal de Justicia de la UE. [VERIFICAR inscripción vigente de Google LLC en el Marco antes del despliegue] | Términos de tratamiento de datos de Google Workspace de la cuenta de LexFlow (encargado de LexFlow, art. 28 RGPD) [VERIFICAR] Sin garantía contractual acreditada |
Google — YouTube (respaldo del vídeo, tras consentimiento) Google LLC | Responsable independiente | Respaldo del vídeo del panel de control de la home (bloque de webinars). El vídeo se sirve desde nuestro R2; solo si ese fichero no carga se ofrece el mismo vídeo en YouTube, y el reproductor (youtube-nocookie.com) se monta únicamente después de que la persona acepte las cookies de terceros y pulse. YouTube es responsable independiente de su propio tratamiento. | De quien lo reproduce: su IP, los datos técnicos del navegador y las cookies que YouTube fije al reproducir. Nada antes del consentimiento: sin él no se carga ni una petición a YouTube. | EEUU | Sí (EE. UU.): Google LLC, al amparo del Marco de Privacidad de Datos UE-EE. UU. y, como respaldo, de las cláusulas contractuales tipo incluidas en los términos de tratamiento de datos de Google. El recurso C-703/25 P sobre el Marco está pendiente ante el Tribunal de Justicia de la UE. [VERIFICAR inscripción vigente de Google LLC en el Marco antes del despliegue] | Sin contrato de encargo: responsable independiente de su tratamiento [VERIFICAR transferencia] Sin garantía contractual acreditada |
Google — Maps (mapa de /contacto, tras consentimiento) Google LLC | Responsable independiente | Mapa embebido en la página pública de contacto. El iframe se monta solo después de que la persona acepte las cookies de terceros (src/components/contacto/MapaContacto.tsx). Google Maps es responsable independiente de su propio tratamiento. | De quien lo carga: su IP, los datos técnicos del navegador y las cookies que Google fije. La dirección mostrada es la de LexFlow, pública. Nada antes del consentimiento. | EEUU | Sí (EE. UU.): Google LLC, al amparo del Marco de Privacidad de Datos UE-EE. UU. y, como respaldo, de las cláusulas contractuales tipo incluidas en los términos de tratamiento de datos de Google. El recurso C-703/25 P sobre el Marco está pendiente ante el Tribunal de Justicia de la UE. [VERIFICAR inscripción vigente de Google LLC en el Marco antes del despliegue] | Sin contrato de encargo: responsable independiente de su tratamiento [VERIFICAR transferencia] Sin garantía contractual acreditada |
Base legal de las transferencias internacionales
Para los subencargados ubicados fuera del Espacio Económico Europeo aplicamos las siguientes garantías del RGPD Capítulo V:
- Decisión de adecuación (Art. 45) — para destinos con nivel de protección reconocido por la Comisión Europea.
- Cláusulas Contractuales Tipo (SCC) de la Comisión Europea de 2021/914/UE (Art. 46.2.c).
- Data Privacy Framework (DPF) — sucesor del Privacy Shield para EEUU, para los subencargados certificados.
Política de notificación de cambios
Cuando incorporamos o cesamos un subencargado, los responsables del tratamiento (despachos titulares de cuenta) son notificados por email con plazo razonable de oposición, conforme al RGPD Art. 28.2. Esta página se actualiza con la fecha del cambio en el mismo momento del despliegue. El histórico completo está en el repositorio versionado.
Contacto
- Protección de datos: privacy@lexflow-ia.com
- Política de privacidad: /privacy-policy