Anexo de Encargo del Tratamiento de Datos (DPA)

1. Partes e intervinientes

Este Anexo de Encargo del Tratamiento (el «DPA») regula el tratamiento de datos personales realizado por SIMASC por cuenta del despacho, institución o cliente profesional que utiliza la plataforma como Responsable del Tratamiento, conforme al Artículo 28 del RGPD.

• Responsable del Tratamiento: el despacho, mediador titular o institución identificado en el registro y la contratación de SIMASC.
• Encargado del Tratamiento: INSTITUTO ESPAÑOL DE MEDIACIÓN y M S.L. (SIMASC), C/ Jacinto Verdaguer, 15, Madrid (España). Contacto: privacidad@simasc.es / info@simasc.es.

2. Objeto y alcance

El Responsable encarga al Encargado el tratamiento estrictamente necesario para prestar el software SIMASC: gestión de expedientes de mediación, citaciones, comunicaciones ordinarias y certificadas, generación de actas y dossiers, liquidación de cobros de sesiones, sincronización de agenda y custodia documental al amparo de la Ley 5/2012 y de la Ley Orgánica 1/2025.

El Responsable puede ordenar de forma opcional la asistencia documental con inteligencia artificial desde la configuración de su organización. La instrucción debe emitirla un administrador autorizado, queda registrada y puede revocarse en cualquier momento. Esta activación es una instrucción del Responsable al Encargado; no constituye consentimiento de las partes ni amplía las finalidades del expediente.

3. Duración

El tratamiento se mantiene durante la vigencia de la suscripción. A su finalización se aplican las estipulaciones de supresión, devolución y bloqueo de este Acuerdo.

4. Categorías de interesados y tipos de datos

Interesados: partes solicitantes y requeridas o invitadas; abogados, representantes y terceros intervinientes; mediadores y personal del despacho; pagadores de honorarios o sesiones.

Datos: identificativos y de contacto; datos del expediente (objeto, cuantía, documentos, actas y resultado); importes y estados de pago, sin almacenamiento de datos de tarjeta en SIMASC; evidencias de comunicaciones certificadas; datos técnicos de acceso y auditoría.

Categorías especiales (Art. 9 RGPD). La documentación del expediente puede contener incidentalmente datos relativos a salud, orientación sexual, convicciones u otras categorías especiales. El secreto profesional de la mediación no exime de las exigencias del Art. 9. Corresponde al Responsable acreditar la base del Art. 9.2 aplicable. La activación de funciones opcionales por el despacho no equivale al consentimiento del interesado.

Cuando el Responsable activa la asistencia documental, el tratamiento se limita a la pregunta formulada por el usuario, una proyección estructural pseudonimizada del expediente, fragmentos de legislación oficial y la respuesta generada. La proyección no incorpora nombres, documentos de identidad, correos, teléfonos, direcciones, importes, texto libre del conflicto ni contenido de archivos. Los usuarios no deben introducir datos identificativos ni categorías especiales en sus preguntas; SIMASC aplica barreras automáticas y rechaza la consulta cuando detecta esos datos.

5. Obligaciones del Encargado (Art. 28.3 RGPD)

• Instrucciones documentadas (Art. 28.3.a): tratar los datos únicamente siguiendo las instrucciones del Responsable, salvo mandato legal en contrario, incluidas las transferencias a un tercer país u organización internacional.
• Instrucciones ilícitas (Art. 28.3 in fine): informar de inmediato si una instrucción infringe el RGPD u otras normas de protección de datos.
• Confidencialidad (Art. 28.3.b): garantizar que el personal autorizado está sujeto a secreto.
• Seguridad (Art. 32): aplicar medidas adecuadas y proporcionales al riesgo, incluyendo cifrado en tránsito, aislamiento lógico entre organizaciones, cifrado de credenciales técnicas y registro de auditoría. El detalle operativo se documenta internamente y se facilita al Responsable en auditorías o a su solicitud.
• Subencargados (Art. 28.2 y 28.4): el Responsable otorga autorización general para los proveedores de la sección 7. SIMASC informará de cualquier incorporación o sustitución prevista y formalizará contratos con obligaciones equivalentes.
• Derechos de los interesados (Art. 28.3.e): asistir al Responsable, en la medida técnicamente posible, en los Arts. 15 a 22 RGPD.
• Seguridad, brechas, EIPD y consulta previa (Art. 28.3.f): asistir al Responsable en los Arts. 32 a 36 RGPD.
• Notificación de brechas (Art. 33.2): notificar al Responsable sin dilación indebida tras tener conocimiento de una violación que afecte a datos tratados por su cuenta.
• Auditorías (Art. 28.3.h): poner a disposición la información necesaria para demostrar el cumplimiento del Art. 28 y permitir auditorías o inspecciones del Responsable o de un auditor autorizado.

6. Obligaciones del Responsable

• Garantizar legitimación suficiente (Art. 6 y, en su caso, Art. 9 RGPD) para incorporar datos a la plataforma.
• Cumplir los deberes de información de los Arts. 13 y 14 RGPD.
• Determinar los criterios de conservación e instruir a SIMASC sobre devolución, bloqueo o supresión.
• Custodiar las credenciales de acceso y asignar permisos con diligencia.
• Limitar la activación de la asistencia documental a administradores autorizados e informar a sus usuarios de las reglas de uso.
• No introducir en las preguntas datos identificativos, información del Art. 9 RGPD ni contenido copiado de documentos o del relato del conflicto.
• Revisar profesionalmente cada respuesta antes de utilizarla y no emplear la función para decisiones automatizadas sobre las partes.

7. Subencargados autorizados

El Responsable autoriza a los siguientes proveedores cuando resulten necesarios para las funcionalidades contratadas. La condición de subencargado aplica cuando tratan datos por cuenta del Responsable; si actúan como responsables independientes, rigen sus propias condiciones.

• Supabase Inc. — Base de datos y almacenamiento de archivos. Zúrich (Suiza), país con decisión de adecuación de la Comisión Europea.
• Vercel Inc. — Hospedaje de la aplicación. Red global con nodos en la Unión Europea.
• Clerk Inc. — Autenticación y control de accesos. Unión Europea / Estados Unidos.
• Stripe Payments Europe Ltd. — Pagos de suscripción y cobro de sesiones. Irlanda (Unión Europea).
• Twilio Ireland (SendGrid) — Correo electrónico transaccional. Unión Europea / Estados Unidos.
• Codicert / MailCertificado — Comunicaciones certificadas. España / Unión Europea.
• PostHog Inc. — Analítica de producto. Unión Europea.
• Sentry (Functional Software) — Monitorización de errores. Unión Europea.
• Daily.co Inc. — Videollamadas (opcional). Estados Unidos / red global.
• Google LLC — Sincronización de agenda (opcional). Unión Europea / global.
• GitHub / Microsoft — Integración continua y copias de seguridad. Estados Unidos.
• Mistral AI SAS — Vectorización y recuperación documental con IA (opcional). Francia / Unión Europea y EFTA.
• Scaleway SAS — Inferencia generativa para la asistencia documental con IA (opcional). Francia / Unión Europea.

Esta lista identifica proveedor, función y país. No describe arquitectura, configuración ni medidas internas. Ese detalle forma parte del registro interno de SIMASC y se facilita al Responsable que lo solicite.

Las transferencias fuera del EEE se apoyan en decisiones de adecuación de la Comisión Europea o, cuando no existen, en cláusulas contractuales tipo y el Data Privacy Framework cuando aplique, además del cifrado en tránsito.

8. Condiciones específicas de la asistencia documental con IA

La función solo trata datos cuando un usuario formula una consulta. No lee archivos ni texto libre del expediente, no ejecuta acciones y no adopta decisiones jurídicas. SIMASC limita el proveedor de inferencia a una ruta previamente aprobada y desactiva la función si no puede mantener las garantías documentadas.

En la configuración aprobada, la inferencia generativa se procesa en Francia. El proveedor aplica por defecto una política de no retención del contenido y no utiliza las entradas o salidas para entrenar modelos. Excepcionalmente, una petición que cause errores anómalos, perjudique el servicio o presente indicios de uso malicioso puede conservarse temporalmente, durante un máximo de dos semanas, para investigar y corregir el incidente. La vectorización documental se realiza mediante endpoints regionales UE/EFTA sin retención del contenido en las llamadas sin estado utilizadas por SIMASC. Los metadatos de cuenta, facturación, seguridad y uso se tratan conforme a los DPA de los proveedores.

SIMASC conserva la conversación y sus estados técnicos durante un máximo de 30 días para ofrecer continuidad, revisión y supresión por el usuario. Los contadores técnicos de cuota se conservan durante un máximo de 31 días. La instrucción de activación o desactivación y su trazabilidad se conservan mientras resulte necesario para acreditar las instrucciones del Responsable y atender obligaciones o reclamaciones.

9. Destino de los datos al término del servicio (Art. 28.3.g)

A la finalización del contrato, y a elección del Responsable, el Encargado devolverá los datos o los suprimirá, salvo obligación legal de conservación. La devolución no es automática: el Responsable debe solicitarla por escrito antes de la baja o durante el cierre. SIMASC acordará alcance, formato técnicamente disponible y canal seguro. Si no se solicita devolución, se aplicará la supresión conforme a las instrucciones documentadas y a las normas aplicables.

10. Ley aplicable y jurisdicción

Este DPA se rige por el RGPD y la legislación española aplicable (LOPDGDD). Las partes se someten a los juzgados y tribunales de Madrid (España).