Política de privacidad

NivelUno Legal es un servicio de NivelUno S.A.S., con RUC 0195190712001 y domicilio en Av. de los Cerezos y Av. del Tejar SN, sector El Tejar, Cuenca, Ecuador («NivelUno»).

Para cualquier asunto sobre datos personales, escriba a [email protected].

Esta política se rige por la Ley Orgánica de Protección de Datos Personales, publicada en el Registro Oficial Suplemento 459 de 26 de mayo de 2021, su reglamento y las disposiciones de la Superintendencia de Protección de Datos Personales.

NivelUno trata datos personales en dos papeles distintos:

• Como responsable, de los datos de las cuentas: los abogados y demás personas que usan el sistema, el despacho como cliente de NivelUno y el uso que hacen del servicio. Esta política explica ese tratamiento.
• Como encargado, de los datos que cada despacho registra sobre sus clientes, contrapartes y procesos. El responsable de esos datos es el despacho: él decide qué registra y para qué, y NivelUno los trata solo por su cuenta, según lo previsto en los Términos y condiciones.

Cada despacho está aislado de los demás y solo accede a lo suyo. La consola de administración de NivelUno muestra cuentas, estado de las suscripciones y cifras de uso; nunca muestra expedientes, escritos ni documentos.

Como responsable, tratamos:

• Identificación y acceso: nombre, correo electrónico, contraseña (guardada solo como resumen criptográfico, nunca en claro) y el despacho y rol de cada Usuario.
• Perfil profesional: tratamiento (Ab., Dr.), matrícula del Foro de Abogados, casilla judicial y correo para notificaciones judiciales, si el Usuario los registra.
• Suscripción y pagos: plan, período, montos, estado e identificadores de cada pago, código de autorización y la marca y los últimos dígitos de la tarjeta que informa PayPhone, y los datos de facturación del despacho. No recibimos ni guardamos el número completo de la tarjeta, su fecha de vencimiento ni su código de seguridad.
• Firma electrónica: si un abogado sube su certificado, el archivo y los datos que contiene (nombre, cédula, vigencia), cifrados; su contraseña, solo si autoriza guardarla; las autorizaciones que otorga para que otros firmen y el registro de quién ejecutó cada firma.
• Google Calendar: si un Usuario lo vincula, el identificador y el correo de su cuenta de Google y los tokens de acceso, con permiso limitado al calendario que crea NivelUno y a la consulta de disponibilidad (libre u ocupado).
• Uso y seguridad: sesiones abiertas (dirección IP, navegador y fechas), registro de uso del asistente de IA (quién, cuándo y cuántos tokens, sin el texto), cifras de uso del despacho (usuarios, almacenamiento) y registros técnicos de los servidores y de la red.
• Comunicaciones: lo que nos escriba por correo o WhatsApp para soporte o consultas.

• Prestar el servicio: crear y administrar cuentas y despachos, autenticar a los Usuarios, aplicar los límites del plan y dar soporte. Base: la ejecución del contrato.
• Cobrar la suscripción y emitir comprobantes. Base: la ejecución del contrato y el cumplimiento de obligaciones tributarias.
• Proteger el servicio: prevenir accesos indebidos y fraudes, limitar intentos de ingreso y registrar las acciones administrativas. Base: el interés legítimo de NivelUno y de los despachos en la seguridad del sistema, y el deber legal de aplicar medidas de seguridad.
• Avisos del servicio: pagos, vencimientos, cambios de condiciones e incidentes. Base: la ejecución del contrato.
• Integraciones opcionales, como Google Calendar. Base: el consentimiento de quien las vincula, que puede retirarlo desvinculándolas.
• Mejorar el servicio con cifras agregadas de uso. Base: el interés legítimo.
• Atender requerimientos de autoridades competentes. Base: el cumplimiento de una obligación legal.

No vendemos datos personales, no los usamos para publicidad ni elaboramos perfiles comerciales. No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre las personas; el bloqueo del acceso por falta de pago es la aplicación de las condiciones del contrato.

Cada despacho registra en el sistema datos de sus clientes (identificación, contacto, datos de facturación), de contrapartes y demás partes procesales (incluidos los obtenidos de la consulta pública de e-SATJE), y el contenido de sus expedientes, escritos, documentos, agenda, honorarios, facturas y cobros. Ese contenido puede incluir datos sensibles, como los relativos a la salud o a procesos judiciales.

Respecto de esos datos, el despacho es el responsable: decide qué registra y con qué fin, debe contar con una base legal e informar a sus titulares. NivelUno los trata solo para prestarle el servicio, con las medidas de esta política, y no los usa para fines propios.

Si usted es cliente o contraparte de un despacho que usa NivelUno Legal, ejerza sus derechos ante ese despacho. Si nos escribe a nosotros, trasladaremos su solicitud al despacho y le ayudaremos a atenderla en lo que dependa del sistema.

Estos proveedores tratan datos por cuenta de NivelUno (y, cuando se trata de datos de un despacho, como subencargados), solo para el servicio que nos prestan:

• Cloudflare, Inc.: red, protección contra ataques y certificados de las conexiones seguras; almacenamiento privado de los documentos y de las copias de respaldo cifradas (Cloudflare R2).
• Proveedores de infraestructura: servidores en los que funcionan la aplicación y la base de datos, y sus copias de respaldo.
• Proveedor de correo transaccional: envío de los correos del sistema (invitaciones, avisos y los comprobantes que los despachos envían a sus clientes).
• PayPhone: cobro de la suscripción con tarjeta y, si un despacho lo configura, cobro en línea a sus propios clientes. PayPhone trata los datos de la tarjeta como responsable propio, conforme a sus políticas.
• Anthropic, PBC: solo si un administrador del despacho activa el asistente de IA aceptando sus términos. Al usarlo se envían el texto del escrito, los datos del caso que contiene y la instrucción; al importar un Word con ayuda de la IA, su texto. Según sus términos comerciales, Anthropic no usa esos datos para entrenar sus modelos.
• Google LLC: solo si un Usuario vincula Google Calendar. Se envían los eventos de la agenda que se sincronizan con el calendario que crea NivelUno. El uso de la información recibida de las API de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de uso limitado.

Además, el sistema se conecta con estas entidades públicas, que tratan los datos conforme a sus propias competencias:

• Servicio de Rentas Internas: recibe los comprobantes electrónicos que emiten los despachos (con los datos de sus clientes) y los de NivelUno.
• Función Judicial (e-SATJE): se consulta con el número de los procesos que el despacho vincula. Es una consulta pública: no se envían datos de las cuentas ni se descargan documentos protegidos por captcha.

También podemos comunicar datos a autoridades que los requieran conforme a la ley. Avisaremos de la incorporación de un proveedor nuevo actualizando esta página con antelación razonable.

Varios de estos proveedores están en el exterior: los servidores de la aplicación y de la base de datos se alojan en los Estados Unidos de América, y Cloudflare, Anthropic, Google y el proveedor de correo operan principalmente desde ese país o tienen infraestructura en varios países. Por eso hay transferencias internacionales de datos.

Estas transferencias se hacen porque son necesarias para prestar el servicio contratado y se amparan en los compromisos contractuales de protección de datos que estos proveedores asumen y en sus medidas de seguridad, conforme a la Ley Orgánica de Protección de Datos Personales. Si la autoridad dispone garantías o requisitos adicionales, los adoptaremos.

• Los datos de las cuentas se conservan mientras estén activas. Puede pedir la eliminación de su cuenta en cualquier momento.
• Si un despacho cancela su suscripción, sus datos se conservan 90 días para que pueda recuperarlos o pedir una copia, y luego se eliminan de forma definitiva. Mientras el acceso esté solo bloqueado por falta de pago, los datos se conservan.
• Los registros de pagos y los comprobantes se conservan por el plazo que exige la normativa tributaria.
• Las sesiones caducan tras 7 días sin actividad.
• Las copias de respaldo cifradas se eliminan según su ciclo de retención, que llega hasta 13 meses. Hasta entonces, un dato eliminado puede seguir en ellas, pero solo se usa para restaurar el servicio ante una falla.

• Todas las conexiones viajan cifradas (HTTPS), y nuestros servidores solo aceptan tráfico que llega a través de la red de Cloudflare.
• Cada consulta del sistema se limita al despacho de quien la hace.
• Las contraseñas se guardan como resumen criptográfico. Las credenciales sensibles, como los certificados de firma electrónica, sus contraseñas y los tokens de cobro, se guardan cifradas con AES-256-GCM.
• Los documentos se guardan en un almacenamiento privado y se descargan con enlaces firmados de pocos minutos.
• Hacemos copias de respaldo cifradas de la base de datos varias veces al día, guardadas fuera de los servidores principales, y probamos su restauración de forma periódica.
• El acceso administrativo a los servidores exige llaves criptográficas. La consola de administración tiene cuentas propias, exige un segundo factor de autenticación y registra cada cambio.
• Los montos de dinero se ocultan por defecto en pantalla y solo se muestran cuando el Usuario lo pide.

Ningún sistema es completamente infalible. Si ocurre una vulneración de seguridad que afecte datos personales, la gestionaremos y notificaremos a la autoridad, a los despachos y a los titulares afectados en los casos y plazos que exige la ley.

Como titular de datos personales, usted tiene derecho a:

• Acceso: saber qué datos suyos tratamos y obtener una copia.
• Rectificación y actualización: corregir datos inexactos o incompletos. Muchos puede corregirlos usted mismo en el sistema.
• Eliminación: pedir que se supriman sus datos cuando ya no sean necesarios o no exista base legal para tratarlos.
• Oposición: oponerse a un tratamiento, en particular al basado en el interés legítimo.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Suspensión del tratamiento: pedir que se suspenda mientras se resuelve una reclamación.
• No ser objeto de decisiones automatizadas que produzcan efectos jurídicos sobre usted.
• Retirar su consentimiento cuando el tratamiento se base en él, sin que esto afecte lo hecho antes.

Para ejercerlos, escriba a [email protected] desde el correo de su cuenta o adjuntando un documento que acredite su identidad, e indique qué derecho ejerce. Es gratuito. Responderemos dentro del plazo de quince días que establece la ley.

Si considera que no hemos atendido su solicitud o que el tratamiento de sus datos infringe la ley, puede presentar un reclamo ante la Superintendencia de Protección de Datos Personales.

Si cambiamos esta política, publicaremos la nueva versión con su fecha de vigencia y, si los cambios son sustanciales, avisaremos a los Usuarios por correo o dentro del sistema antes de que rijan. Sobre las cookies y el almacenamiento en el navegador, consulte Uso de cookies.