Anexo de encargo de tratamiento (despachos y abogados)

Este anexo publica las condiciones del encargo de tratamiento (artículo 28 del Reglamento (UE) 2016/679, «RGPD») que rigen entre el despacho o abogado titular de una cuenta profesional (el Responsable) y JBH FINANCIAL GROUP, S.L. (el Encargado o «JBH») respecto de los expedientes que el Responsable gestiona en la plataforma. Forma parte de las condiciones aceptadas en el alta de la cuenta profesional, con registro de la fecha y versión de aceptación.

1. Objeto, naturaleza y finalidad

• Objeto: prestación de la plataforma (gestión del expediente, documentación, comunicaciones, firma, asistencia de IA y demás funcionalidades contratadas).
• Naturaleza: alojamiento, estructuración, análisis asistido y comunicación de la información del expediente, siempre por cuenta y bajo las instrucciones del Responsable.
• Datos tratados: los que el Responsable y sus clientes incorporan al expediente, incluidos datos relativos a infracciones y condenas penales (art. 10 RGPD) y, de forma accesoria, categorías especiales del art. 9 RGPD presentes en la documentación procesal.
• Interesados: clientes del Responsable y terceros que figuren en la documentación (víctimas, testigos, peritos, terceros).

2. Instrucciones del Responsable

JBH trata los datos únicamente para prestar el servicio y conforme a las instrucciones documentadas del Responsable, que se materializan en el uso que este hace de la plataforma (qué documentos incorpora, qué herramientas activa, con quién comparte el expediente). JBH no utiliza los datos de los expedientes para fines propios ni para entrenar modelos de inteligencia artificial.

3. Confidencialidad y seguridad (art. 32 RGPD)

• Personal sujeto a compromiso de confidencialidad y al principio de mínimo privilegio.
• Cifrado en tránsito y en reposo; aislamiento de datos por despacho (multi-tenant).
• Control de acceso por roles y registro de auditoría de las acciones sensibles.
• Seudonimización de intervinientes antes de cualquier envío a sistemas de IA, con restauración local.
• Copias de seguridad cifradas con retención limitada y procedimiento de recuperación documentado.
• Accesos de soporte: excepcionales, con justificación, mínimo alcance y trazabilidad.

4. Subencargados

El Responsable autoriza de forma general los subencargados necesarios para prestar el servicio. La lista vigente es la publicada en la Política de privacidad (sección 5), todos vinculados por contrato conforme al art. 28 RGPD y, en su caso, Cláusulas Contractuales Tipo para transferencias internacionales. Los cambios de subencargado se reflejarán en esa lista pública con antelación razonable; el Responsable podrá oponerse por motivos justificados y, en tal caso, resolver el servicio sin penalización.

5. Asistencia al Responsable

• Derechos de los interesados: la plataforma incorpora exportación del expediente y herramientas para atender solicitudes de acceso, rectificación, supresión y demás derechos; JBH asiste al Responsable en lo que exceda de esas herramientas.
• Violaciones de seguridad: JBH notificará al Responsable sin dilación indebida tras tener conocimiento de una brecha que afecte a sus datos, con la información disponible para cumplir los arts. 33 y 34 RGPD.
• Evaluaciones de impacto: JBH facilitará la información necesaria sobre el funcionamiento de la plataforma.
• Solicitudes de terceros (interesados que no son clientes, autoridades): JBH las trasladará al Responsable sin dilación, salvo obligación legal de atenderlas directamente.

6. Devolución y supresión al fin del servicio

• Durante la vigencia y a su término, el Responsable puede exportar sus expedientes desde la propia plataforma.
• A la finalización del servicio y previa solicitud, JBH suprimirá los datos personales de los expedientes del Responsable, salvo los que deba conservar por obligación legal (p. ej. facturación), que quedarán bloqueados.
• Las copias de seguridad cifradas se eliminan por rotación en un plazo máximo de 30 días desde la supresión.

7. Información y auditoría

JBH pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y contribuirá a las auditorías razonables que el Responsable solicite, previa coordinación y sin acceso a datos de otros despachos.

8. Delimitación de responsabilidades

• El Responsable decide finalidades y medios del tratamiento de sus expedientes, mantiene la relación profesional con sus clientes y responde del servicio jurídico.
• JBH responde como encargado del cumplimiento de este anexo. Para los tratamientos en los que JBH actúa como responsable propio (alta de la cuenta, facturación del servicio, seguridad de la plataforma), rige la Política de privacidad.
• No existe corresponsabilidad (art. 26 RGPD) salvo pacto expreso: cada parte trata los datos en las posiciones descritas.

9. Contacto

Cualquier cuestión sobre este anexo puede dirigirse al Delegado de Protección de Datos: dpo@jbhasesorialegal.com.