Acuerdo de Tratamiento de Datos Personales

Versión 1.0 — Vigente desde el 19 de octubre de 2026 — Accesible en deley.io/dpa

NATURALEZA DE ESTE ACUERDO

Este Acuerdo regula el tratamiento que FIVES LEGAL SAS realiza, en calidad de encargado, sobre los datos personales de terceros que el Usuario carga en la Plataforma. Forma parte de los Términos y Condiciones de Uso, se acepta conjuntamente con ellos y no requiere firma separada.

Los Usuarios de planes corporativos y de Cuentas Institucionales pueden solicitar su suscripción en instrumento separado a privacidad@deley.io. En ese caso, el instrumento suscrito prevalece sobre esta versión en línea.

1. Partes y objeto

1.1 Son partes de este Acuerdo: (a) el Usuario, que actúa como responsable del tratamiento respecto de los datos personales contenidos en el Contenido del Usuario; y (b) FIVES LEGAL SAS, con RUC No. 1793236906001 ("FIVES LEGAL"), que actúa como encargado del tratamiento por cuenta del Usuario. En las Cuentas Institucionales, la calidad de responsable corresponde a la institución contratante.

1.2 El objeto de este Acuerdo es establecer las condiciones en que FIVES LEGAL trata esos datos personales para prestar el servicio contratado, conforme a los artículos 34 y 35 de la Ley Orgánica de Protección de Datos Personales (LOPDP) y al artículo 41 de su Reglamento General.

1.3 Este Acuerdo no se aplica a los datos respecto de los cuales FIVES LEGAL actúa como responsable conforme a la Política de Privacidad, incluida la Base de Información Judicial.

2. Definiciones

Los términos con mayúscula inicial tienen el significado asignado en los Términos y Condiciones de Uso, en la Política de Privacidad y en la LOPDP. "Datos Encargados" son los datos personales de terceros contenidos en el Contenido del Usuario.

3. Descripción del tratamiento

El objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las categorías de datos y de titulares, se describen en el Anexo I.

4. Instrucciones del responsable

4.1 FIVES LEGAL trata los Datos Encargados únicamente conforme a las instrucciones documentadas del Usuario. Las partes convienen en que los Términos y Condiciones de Uso, este Acuerdo, la configuración que el Usuario realice en su cuenta y el uso que haga de las funcionalidades de la Plataforma constituyen las instrucciones completas del Usuario.

4.2 Las instrucciones adicionales o distintas deberán formularse por escrito a privacidad@deley.io. FIVES LEGAL las atenderá en la medida en que sean técnicamente viables, compatibles con la operación del servicio para la generalidad de los Usuarios y conformes con la ley. Cuando su implementación requiera desarrollo específico, FIVES LEGAL podrá condicionarla al pago de un costo razonable, previamente informado.

4.3 FIVES LEGAL informará al Usuario si, a su juicio, una instrucción infringe la LOPDP u otra norma aplicable, y podrá abstenerse de ejecutarla mientras la situación no se aclare.

4.4 FIVES LEGAL no tratará los Datos Encargados para finalidades propias. En particular, no los utilizará para entrenar, ajustar o mejorar modelos de inteligencia artificial, no los venderá, no los cederá a terceros salvo a los subencargados autorizados, no los incorporará a la Base de Información Judicial y no elaborará perfiles de los titulares.

5. Obligaciones de FIVES LEGAL como encargado

FIVES LEGAL se obliga a:

Garantizar que las personas autorizadas para tratar los Datos Encargados se hayan comprometido a respetar su confidencialidad y accedan a ellos solo cuando sea estrictamente necesario.
Aplicar las medidas técnicas y organizativas descritas en el Anexo II, que podrán actualizarse conforme al estado de la técnica siempre que no disminuyan el nivel de protección.
Asistir al Usuario, en la medida de lo posible, en la atención de las solicitudes de ejercicio de derechos que los titulares le dirijan.
Remitir al Usuario, sin demora, cualquier solicitud de un titular relativa a los Datos Encargados que reciba directamente, absteniéndose de responderla por sí mismo salvo instrucción del Usuario u obligación legal.
Asistir al Usuario en el cumplimiento de sus obligaciones de seguridad, de notificación de vulneraciones y de evaluación de impacto, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
Mantener un registro de las actividades de tratamiento que realiza por cuenta de los Usuarios, que incluye los tratamientos mediante inteligencia artificial y la evaluación de gran escala exigida por la normativa.
Contar con un Delegado de Protección de Datos conforme a la normativa aplicable.

6. Información sobre el sistema de inteligencia artificial

6.1 Conforme a la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, expedida mediante Resolución No. SPDP-SPD-2026-0009-R y reformada mediante Resolución No. SPDP-SPD-2026-0037-R, FIVES LEGAL pone a disposición del Usuario información suficiente sobre el funcionamiento general del Sistema de IA, sus limitaciones, sus riesgos previsibles y las medidas de control disponibles, a través de la Política de Uso Aceptable de Inteligencia Artificial accesible en deley.io/uso-aceptable.

6.2 Esa información no comprende secretos empresariales ni elementos protegidos por propiedad intelectual de FIVES LEGAL o de sus proveedores.

6.3 Las obligaciones de FIVES LEGAL bajo esa normativa se refieren a las operaciones de tratamiento sobre las que tiene acceso, visibilidad o control efectivo. Las operaciones que el Usuario realiza fuera de la Plataforma, incluidas las efectuadas a través de asistentes de inteligencia artificial de terceros, son de su exclusiva responsabilidad.

7. Obligaciones del Usuario como responsable

El Usuario se obliga a:

Contar con base de licitud suficiente para el tratamiento de los Datos Encargados y para su comunicación a FIVES LEGAL, incluida la transferencia internacional descrita en la cláusula 9.
Informar a los titulares sobre el tratamiento que realiza con apoyo de la Plataforma, cuando la ley lo exija.
Cargar únicamente los datos personales necesarios para la finalidad profesional perseguida.
Impartir instrucciones conformes con la ley.
Proteger sus credenciales y los dispositivos desde los que accede a la Plataforma.
Atender el ejercicio de derechos de los titulares respecto de los Datos Encargados.
Mantener actualizado el correo electrónico registrado en la cuenta, que es el canal para las notificaciones de la cláusula 11.

8. Subencargados

8.1 Autorización general. El Usuario otorga a FIVES LEGAL autorización general para recurrir a los subencargados identificados en deley.io/subencargados, que forma parte de este Acuerdo como Anexo III.

8.2 Nuevos subencargados. FIVES LEGAL notificará la incorporación o sustitución de subencargados con al menos quince (15) días de anticipación, mediante la actualización de la lista y aviso al correo del titular o del administrador de la cuenta.

8.3 Objeción. Los Usuarios de planes corporativos, de Cuentas Institucionales y los que hayan suscrito este Acuerdo en instrumento separado podrán objetar el nuevo subencargado dentro de ese plazo, por escrito y con expresión de motivos razonables vinculados a la protección de datos. Si la objeción es fundada y no puede subsanarse, el Usuario podrá terminar el contrato sin penalidad y con devolución prorrateada del periodo no consumido. Los demás Usuarios podrán terminar su suscripción en cualquier momento conforme a los Términos.

8.4 Obligaciones equivalentes. FIVES LEGAL impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo, incluida la prohibición de utilizar los Datos Encargados para entrenar modelos de inteligencia artificial.

8.5 FIVES LEGAL responde frente al Usuario por el cumplimiento de sus subencargados en los mismos términos en que respondería por su propio cumplimiento, con sujeción a los límites de la cláusula 13.

9. Transferencias internacionales

9.1 El Usuario reconoce que los Datos Encargados se procesan y almacenan principalmente en los Estados Unidos de América, y autoriza esa transferencia.

9.2 A la fecha de este Acuerdo, la Superintendencia de Protección de Datos Personales no ha declarado a los Estados Unidos de América como país con nivel adecuado de protección. Las transferencias se sujetan a la Norma General expedida mediante Resolución No. SPDP-SPD-2026-0004-R y a las medidas descritas en la cláusula 12 de la Política de Privacidad.

10. Información sobre el cumplimiento y verificaciones

10.1 Información documental. FIVES LEGAL pondrá a disposición del Usuario, previa solicitud escrita a privacidad@deley.io, la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, que podrá consistir en: (a) un resumen de las medidas de seguridad vigentes; (b) un resumen ejecutivo de la auditoría periódica a la que FIVES LEGAL se somete conforme a la normativa de tratamiento a gran escala, entregado bajo confidencialidad a Usuarios de planes corporativos o de Cuentas Institucionales; y (c) respuestas a un cuestionario de seguridad razonable, una vez por año calendario.

10.2 Verificación presencial o técnica. Solo procederá cuando: (a) la exija una autoridad competente; o (b) se haya producido una vulneración de seguridad que haya afectado los Datos Encargados del Usuario y la información documental resulte insuficiente. En tales casos: (i) se notificará con al menos treinta (30) días de anticipación, salvo que la autoridad fije un plazo menor; (ii) se realizará una vez por año calendario como máximo; (iii) la ejecutará un auditor independiente, que no sea competidor de FIVES LEGAL y que suscriba un acuerdo de confidencialidad; (iv) se desarrollará sin afectar la operación del servicio; (v) no dará acceso a datos de otros Usuarios, a código fuente, a secretos empresariales ni a información cuya divulgación comprometa la seguridad de la Plataforma; y (vi) su costo correrá a cargo del Usuario, salvo que revele un incumplimiento material de FIVES LEGAL.

10.3 La información obtenida es confidencial y solo podrá utilizarse para verificar el cumplimiento de este Acuerdo.

11. Vulneraciones de seguridad

11.1 FIVES LEGAL notificará al Usuario toda vulneración de seguridad que afecte a los Datos Encargados en el plazo máximo de dos (2) días desde que tenga constancia de la misma, mediante correo electrónico dirigido a la dirección registrada en la cuenta del titular o del administrador, que las partes designan como canal de notificación conforme a la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales expedida mediante Resolución No. SPDP-SPD-2026-0040-R.

11.2 La notificación contendrá, en la medida en que esté disponible: la naturaleza de la vulneración, la fecha de detección o el periodo estimado, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información que no esté disponible inicialmente se facilitará de forma gradual.

11.3 Corresponde al Usuario, como responsable, notificar a la Superintendencia a través del Sistema Nacional de Registro de Datos Personales y, cuando proceda, a los titulares, dentro de los plazos legales. FIVES LEGAL prestará asistencia razonable para ese fin.

11.4 La notificación de una vulneración no constituye reconocimiento de responsabilidad. Salvo obligación legal, FIVES LEGAL no notificará directamente a los titulares de los Datos Encargados sin coordinación previa con el Usuario.

12. Duración, devolución y eliminación

12.1 Este Acuerdo rige mientras FIVES LEGAL trate Datos Encargados por cuenta del Usuario.

12.2 Al término del contrato, el Usuario podrá exportar su Contenido durante treinta (30) días. Transcurrido ese plazo, FIVES LEGAL eliminará los Datos Encargados, salvo que la ley exija su conservación. Las copias de respaldo se eliminarán en el ciclo ordinario, que no excede de noventa (90) días.

12.3 FIVES LEGAL certificará la eliminación a solicitud escrita del Usuario.

13. Responsabilidad

13.1 La responsabilidad de las partes derivada de este Acuerdo se rige por la cláusula 24 de los Términos y Condiciones de Uso, incluido el tope reforzado aplicable al incumplimiento de las obligaciones de confidencialidad, seguridad y protección de datos.

13.2 Cada parte responde frente a los titulares y frente a la autoridad por los incumplimientos que le sean imputables en su respectiva calidad.

14. Requerimientos de autoridad

Los requerimientos de autoridad sobre los Datos Encargados se atenderán conforme a la cláusula 20.3 de los Términos y Condiciones de Uso, con reconocimiento del secreto profesional del Usuario.

15. Prelación, modificación y ley aplicable

15.1 En materia de protección de datos personales, este Acuerdo prevalece sobre los Términos y Condiciones de Uso. En lo demás, prevalecen los Términos.

15.2 FIVES LEGAL podrá modificar este Acuerdo para adecuarlo a cambios normativos o a disposiciones de la Superintendencia, conforme al procedimiento de modificación de los Términos. Ninguna modificación disminuirá el nivel de protección de los Datos Encargados.

15.3 Este Acuerdo se rige por las leyes de la República del Ecuador. Las controversias se resolverán conforme a la cláusula 30 de los Términos y Condiciones de Uso.

Anexo I — Descripción del tratamiento

Elemento	Descripción
Objeto	Prestación de los servicios de análisis documental, asistente jurídico con inteligencia artificial, especialistas configurables, complemento de Microsoft Word y conectores.
Duración	La vigencia del contrato, más los plazos de exportación y eliminación de la cláusula 12.
Naturaleza	Recepción, almacenamiento, extracción de texto, indexación, procesamiento mediante modelos de inteligencia artificial, generación de salidas, visualización al Usuario y eliminación.
Finalidad	Exclusivamente la prestación del servicio al Usuario conforme a sus instrucciones.
Categorías de titulares	Clientes del Usuario, contrapartes, partes procesales, testigos, peritos, funcionarios y cualquier otra persona natural mencionada en los documentos que el Usuario cargue.
Categorías de datos	Identificativos, de contacto, económicos y patrimoniales, laborales, familiares, procesales y judiciales y, de forma incidental y según el expediente, datos sensibles y datos de niñas, niños y adolescentes.
Frecuencia	Continua, mientras el Usuario utilice la Plataforma.
Ubicación	Principalmente Estados Unidos de América, conforme al Anexo III.
Canal de notificaciones	Correo electrónico registrado en la cuenta del titular o del administrador.

Anexo II — Medidas técnicas y organizativas

FIVES LEGAL aplica, como mínimo, las medidas siguientes. Por razones de seguridad, su descripción es general y el detalle técnico no se publica.

Cifrado de los datos en tránsito y en reposo, conforme a estándares vigentes de la industria.
Aislamiento lógico de los datos de cada Usuario a nivel de base de datos.
Autenticación gestionada por un proveedor especializado, con sesiones expirables y soporte de doble factor.
Control de acceso del personal bajo el principio de mínimo privilegio, con registro de auditoría de los accesos relevantes.
Compromisos de confidencialidad suscritos por el personal y los colaboradores con acceso a los sistemas.
Gestión de vulnerabilidades, revisión de dependencias y pruebas periódicas de seguridad.
Procedimiento documentado de gestión de incidentes y de notificación de vulneraciones.
Copias de respaldo con retención limitada y aisladas del entorno de producción.
Privacidad desde el diseño y por defecto, evaluación de impacto de los tratamientos mediante inteligencia artificial y auditoría periódica conforme a la normativa de tratamiento a gran escala.
Selección y supervisión contractual de subencargados con obligaciones equivalentes.

Anexo III — Subencargados

La lista vigente de subencargados, con su función y ubicación, se publica en deley.io/subencargados y se integra a este Acuerdo por referencia.