Política de Privacidad

Última actualización: 6 de octubre de 2026

Esta Política describe cómo Lex Bombus trata los datos personales, conforme a la Ley N° 19.628 sobre Protección de la Vida Privada, reformada por la Ley N° 21.719, y a la Política de Datos de Usuario de los Servicios de la API de Google.

1. Quiénes somos y en qué calidad tratamos los datos

[RAZÓN SOCIAL], RUT [RUT EMPRESA], domicilio en [DOMICILIO], Chile. Contacto para materias de datos personales: [EMAIL DE CONTACTO].

Lex Bombus interviene en dos calidades distintas, según de qué datos se trate. La distinción es relevante porque determina quién decide sobre esos datos y a quién debe dirigirse el titular para ejercer sus derechos:

• Como responsable, respecto de los datos de la cuenta del abogado usuario: identificación, contacto, credenciales de acceso, datos técnicos y de facturación. Sobre estos datos nosotros definimos las finalidades y los medios del tratamiento.
• Como encargado, respecto de los datos contenidos en los expedientes judiciales que el usuario incorpora o que sincronizamos por su instrucción (incluidos los datos de contrapartes y otros terceros). Sobre estos datos el abogado usuario es el responsable, en el ejercicio de su profesión, y nosotros los tratamos únicamente siguiendo sus instrucciones y para prestarle el servicio. Ver las secciones 5 y 6.

2. Datos que tratamos

• Identificación y contacto: RUT, nombre y correo electrónico.
• Credenciales de acceso: del PIN solo guardamos un resumen criptográfico irreversible (hash con Argon2id), que no permite reconstruirlo; nunca se guarda en texto plano. La autenticación con Google se realiza mediante su proveedor de identidad.
• Sesión de la Oficina Judicial Virtual (OJV): si el usuario la vincula, la cookie de sesión (PHPSESSID) se almacena cifrada (Fernet) y se usa exclusivamente para sincronizar sus causas. No almacenamos su Clave Única.
• Datos de causas: roles, tribunales, carátulas, partes, actuaciones, plazos y documentos asociados que provienen del Poder Judicial. Los PDF de las resoluciones que el usuario descarga se guardan en nuestro propio servidor.
• Escritos: el contenido de los documentos que el usuario redacta en la Plataforma.
• Mensajes y delegaciones: los mensajes que el usuario intercambia con otras cuentas, sus contactos y las causas que comparte o le comparten.
• Verificación profesional: el archivo del título que el usuario sube, la universidad, la fecha del título y el registro en la Corte Suprema, junto con el resultado de la revisión.
• Pagos y facturación: plan contratado, montos, fechas y referencias de pago, y las boletas y notas de crédito emitidas. Los datos de la tarjeta los recibe directamente Mercado Pago; nosotros no los vemos ni los guardamos.
• Integraciones que el usuario activa: la dirección del webhook de Slack (cifrada), la URL y el secreto de su webhook propio, y su clave personal de Anthropic (cifrada), si decide usarla.
• Contenido de correos del Poder Judicial (Gmail): con autorización expresa del usuario, leemos el asunto, el remitente, la fecha, el cuerpo y los archivos adjuntos de los correos enviados por dominios del Poder Judicial, para extraer el rol de la causa. Ver la sección 4.
• Datos técnicos: tokens de notificación push (FCM) y registros mínimos de uso y seguridad.

3. Finalidades y base de licitud

• Prestar el servicio (monitoreo de causas, cálculo de plazos, alertas, resúmenes, escritos, delegación y mensajería entre usuarios): ejecución del contrato de servicio solicitado por el usuario.
• Autenticar el acceso y verificar que el usuario es abogado: ejecución del contrato.
• Cobrar el plan y emitir boletas: ejecución del contrato y cumplimiento de obligaciones legales tributarias.
• Integraciones opcionales (Gmail, Slack, webhooks, claves de IA propias): consentimiento del titular, otorgado al activar cada una y revocable en cualquier momento.
• Velar por la seguridad y el funcionamiento de la Plataforma: interés legítimo.

4. Integración con Gmail: alcance, uso limitado y revocación

La conexión con Gmail es opcional y requiere que el usuario la autorice expresamente en la pantalla de consentimiento de Google. Si no la autoriza, la Plataforma sigue funcionando mediante la sincronización directa con el Poder Judicial.

4.1 Permiso que solicitamos y por qué

Solicitamos un único permiso de Google: https://www.googleapis.com/auth/gmail.readonly (solo lectura).

Por qué necesitamos leer el contenido y no solo los metadatos: las notificaciones del Poder Judicial no incluyen el rol de la causa en el asunto. El número de rol aparece dentro del cuerpo del mensaje o en una planilla Excel adjunta. Sin leer ese contenido nos resulta imposible identificar la causa y activar su monitoreo, que es la función central del servicio.

4.2 Qué correos leemos, y cuáles no

• Consultamos exclusivamente los correos cuyo remitente pertenece a dominios del Poder Judicial (@pjud.cl, @notificaciones.pjud.cl, @judicial.cl y @correo.pjud.cl), mediante un filtro de búsqueda aplicado en el propio servidor de Google.
• No leemos, descargamos ni indexamos el resto de la bandeja de entrada del usuario: correos personales, de clientes, comerciales o de cualquier otro remitente quedan fuera del alcance de la consulta.
• No enviamos, modificamos, archivamos ni eliminamos correos. El permiso es de solo lectura.
• De los correos del Poder Judicial conservamos únicamente los datos necesarios para identificar la causa (rol, tribunal, carátula y fecha de la notificación). El contenido del mensaje no se almacena: ver el punto 4.4.

4.3 Divulgación de Uso Limitado (Limited Use)

El uso y la transferencia por parte de Lex Bombus de la información recibida desde las APIs de Google se ajustará a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos sus requisitos de Uso Limitado. En particular:

• Usamos los datos de Gmail únicamente para proveer y mejorar las funciones visibles para el usuario dentro de la Plataforma (detectar la notificación judicial, identificar la causa y activar su monitoreo y alertas).
• No transferimos datos de Gmail a terceros, salvo que sea necesario para proveer esas funciones, por motivos de seguridad, para cumplir la ley aplicable, o en el marco de una fusión o adquisición con el consentimiento del usuario.
• No usamos datos de Gmail para publicidad, ni los vendemos, arrendamos ni cedemos con fines comerciales.
• No permitimos que personas lean los datos de Gmail, salvo que el usuario nos dé su consentimiento expreso para mensajes específicos (por ejemplo, al reportar un problema), sea necesario por motivos de seguridad o para cumplir la ley aplicable, o se trate de datos agregados y anonimizados para operaciones internas.
• No utilizamos datos de Gmail para desarrollar, entrenar ni mejorar modelos de inteligencia artificial o aprendizaje automático, propios o de terceros. La función de resumen con IA de la Plataforma opera sobre documentos obtenidos del Poder Judicial, previamente anonimizados, y nunca sobre el contenido de los correos del usuario.

4.4 Cuánto tiempo conservamos los datos de Gmail

No almacenamos el contenido de tus correos. El cuerpo del mensaje y los archivos adjuntos se procesan en memoria, durante el tiempo que toma extraer los datos identificatorios de la causa, y se descartan sin escribirse en nuestra base de datos.

De cada revisión conservamos únicamente:

• Los datos identificatorios de la causa extraídos del correo (rol, tribunal, carátula, trámite y fecha), que pasan a formar parte del expediente que monitoreamos para el usuario y se conservan según la sección 8.
• Las credenciales de acceso entregadas por Google (tokens), cifradas en reposo, mientras la conexión esté activa. Se eliminan al desconectar Gmail o al cerrar la cuenta.
• La fecha de la última revisión, para no volver a consultar correos ya procesados y reducir así el acceso al mínimo necesario.

4.5 Cómo revocar el acceso

El usuario puede desconectar Gmail en cualquier momento desde la configuración de su cuenta en la Plataforma. Al hacerlo, revocamos el token ante Google y eliminamos las credenciales almacenadas. Adicionalmente, puede retirar el permiso directamente en myaccount.google.com/permissions. La revocación detiene la detección automática de notificaciones; el resto del servicio continúa operando.

5. Datos de terceros contenidos en los expedientes

Las causas pueden contener datos de terceros: contrapartes, testigos, peritos, representantes y otras personas mencionadas en el expediente. Respecto de esos datos, y conforme a la sección 1, el abogado usuario actúa como responsable en el ejercicio de su profesión y Lex Bombus los trata como encargado, siguiendo sus instrucciones y con la única finalidad de prestarle el servicio. No los usamos para ningún fin propio, no los cruzamos entre cuentas de distintos usuarios ni construimos con ellos perfiles.

6. Datos sensibles y datos de niños, niñas y adolescentes

Un expediente judicial puede contener datos personales sensibles en el sentido de la Ley N° 21.719 — por ejemplo, datos relativos a la salud, a la situación socioeconómica, al origen étnico, a la vida sexual o a infracciones penales — así como datos de niños, niñas y adolescentes, especialmente en causas de familia. Estos datos no se nos solicitan ni se piden por separado: llegan como parte del contenido del expediente que el usuario decide monitorear.

• Base de licitud. Su tratamiento se ampara en que resulta necesario para la formulación, el ejercicio o la defensa de un derecho ante los tribunales de justicia, y se realiza por cuenta e instrucción del abogado responsable de la causa.
• Minimización. No extraemos, indexamos ni clasificamos estos datos por sus categorías sensibles. Se conservan como parte del documento del expediente, sin tratamiento adicional.
• Resguardos reforzados. Se les aplican las mismas medidas de seguridad descritas en la sección 11 y, además, el control de acceso por cuenta: solo el usuario titular de la causa y las personas a quienes él delegue expresamente pueden acceder a ellos.
• Inteligencia artificial. Cuando se genera un resumen con IA, el documento se somete previamente a un proceso de anonimización, según se describe en la sección 7.

7. Tratamientos automatizados y decisiones

La Plataforma realiza dos tratamientos automatizados que conviene explicitar:

• Cálculo de opciones procesales. A partir de la actuación detectada, el sistema determina de forma automática qué actuaciones son posibles, para qué parte y con qué fundamento legal.
• Resumen del expediente con IA. El documento de la causa se anonimiza en nuestro servidor y se envía a un proveedor de modelos de lenguaje (Anthropic) para producir un resumen narrativo. También puede generarse con un modelo que corre en nuestro propio servidor, sin enviar nada a terceros.
• Lectura de capturas de pantalla. Si el usuario agrega una causa subiendo una captura del portal del Poder Judicial, la imagen se lee con reconocimiento óptico de caracteres en nuestro servidor y no se envía a terceros.

Ninguno de estos tratamientos adopta decisiones que produzcan efectos jurídicos sobre las personas. El sistema presenta opciones y descripciones de carácter referencial; la decisión sobre qué actuación ejercer, y dentro de qué plazo, es siempre del abogado usuario. La función de IA describe el contenido del expediente y no indica plazos ni recomienda cursos de acción.

El titular puede solicitar información sobre la lógica aplicada en estos tratamientos y oponerse a ellos, escribiendo a [EMAIL DE CONTACTO].

8. Encargados y transferencias internacionales

Nos apoyamos en proveedores que tratan datos por nuestra cuenta, siguiendo nuestras instrucciones y sin poder usarlos para fines propios:

• Google / Firebase (EE.UU.): autenticación con Google, notificaciones push e integración de Gmail.
• Proveedor de hosting ([PROVEEDOR DEL SERVIDOR]): alojamiento de la aplicación, la base de datos y los PDF de las causas.
• Vercel (EE.UU.): alojamiento de la interfaz web, por la que transita la información que el usuario ve en la Plataforma.
• Bright Data (EE.UU.): intermediación técnica de red para la consulta al Poder Judicial.
• Anthropic (EE.UU.): resúmenes de causas mediante IA, a partir de documentos del expediente previamente anonimizados; y, cuando el Poder Judicial cambia su sitio, diagnóstico de la estructura de sus páginas, enviada sin ningún dato de las causas. No se le envían datos de Gmail ni capturas de pantalla. El proveedor no utiliza este contenido para entrenar sus modelos.
• Resend (EE.UU.): envío de los correos de la Plataforma (alertas, resúmenes, códigos para restablecer el PIN).
• Mercado Pago: cobro de las suscripciones. Recibe el correo del usuario y el plan; los datos de pago los ingresa el usuario directamente en Mercado Pago.
• Haulmer (OpenFactura) (Chile): emisión de boletas y notas de crédito electrónicas ante el SII. Se emiten a consumidor final, sin datos personales del usuario.

Además, cuando el usuario lo decide, enviamos información a servicios que él mismo contrata y conecta: su espacio de Slack, la URL de su webhooky, si configura su propia clave, Anthropic con su cuenta. En esos casos la relación con el proveedor es del usuario.

Varios de estos proveedores están ubicados fuera de Chile, principalmente en Estados Unidos, por lo que su intervención supone una transferencia internacional de datos. Dicha transferencia se ampara en las siguientes garantías, conforme a la Ley N° 21.719:

• Los acuerdos de tratamiento de datos (DPA) suscritos con cada proveedor, que incorporan cláusulas contractuales de protección, obligaciones de confidencialidad y de seguridad, y limitaciones de uso equivalentes a las exigidas por la ley chilena.
• El consentimiento informado del titular, otorgado al aceptar esta Política y al activar cada integración.
• La necesidad de la transferencia para la ejecución del servicio solicitado por el propio titular.

El usuario puede solicitar información adicional sobre estas garantías escribiendo a [EMAIL DE CONTACTO].

9. Conservación

Conservamos los datos mientras la cuenta esté activa y solo mientras sirvan a su finalidad. Diariamente eliminamos de forma automática lo que cumplió su plazo:

• Causas, documentos y escritos: mientras el usuario siga la causa; se eliminan al quitarla de la Plataforma o al cerrar la cuenta.
• Notificaciones: 12 meses.
• Historial de entregas de webhooks: 90 días.
• Archivo del título profesional: 30 días después de revisado; se conserva solo el resultado de la revisión.
• Sesiones y códigos para restablecer el PIN: hasta que vencen.
• Enlaces y accesos de delegación revocados o vencidos: entre 30 y 90 días.
• Registros de pagos, boletas y notas de crédito: durante el plazo que exige la ley tributaria, aun después de cerrada la cuenta, bloqueados y sin otro uso.

10. Eliminación de datos y cierre de cuenta

El usuario puede cerrar su cuenta en cualquier momento desde Configuración → Cuenta y seguridad → Cerrar cuenta, o solicitarlo escribiendo a [EMAIL DE CONTACTO]. Al cerrar la cuenta:

• Cancelamos la suscripción en el medio de pago.
• Revocamos ante Google los tokens de acceso a Gmail y eliminamos las credenciales almacenadas.
• Eliminamos la cookie de sesión OJV cifrada, las causas y todo su contenido (actuaciones, documentos, plazos), los escritos, las notificaciones, las integraciones, las delegaciones, los mensajes y las credenciales profesionales.
• Desde la configuración, la eliminación es inmediata; por correo, la completamos dentro de un plazo máximo de 30 días. En ambos casos conservamos únicamente los registros de pagos y documentos tributarios que la ley obliga a guardar, bloqueados y sin otro uso.

11. Seguridad

Aplicamos medidas técnicas y organizativas razonables: cifrado en tránsito (HTTPS), cifrado en reposo de los datos de las causas, de los tokens de Google, de las cookies de sesión OJV y de las claves e integraciones del usuario (Fernet), PDF guardados en nuestro servidor y entregados solo tras verificar que quien los pide tiene acceso a la causa, aislamiento de los datos entre cuentas, anonimización previa a cualquier uso de IA externa, hashing de PIN (Argon2id), intercambio del código de autorización de Google en el servidor mediante cliente confidencial, control de acceso y límites de tasa. Ningún sistema es completamente infalible; trabajamos para mitigar los riesgos.

12. Incidentes de seguridad y notificación de brechas

Mantenemos un registro interno de los incidentes de seguridad que afecten a datos personales. Si se produce una vulneración que pueda afectar los derechos de los titulares:

• Notificaremos a la Agencia de Protección de Datos Personales y a los titulares afectados sin dilaciones indebidas, por el medio de contacto más expedito, conforme a la Ley N° 21.719.
• La comunicación indicará la naturaleza del incidente, las categorías de datos comprometidas, sus posibles consecuencias y las medidas adoptadas o propuestas para mitigarlas.
• Cuando el incidente afecte datos de un expediente judicial, informaremos además al abogado usuario en su calidad de responsable, para que pueda cumplir con sus propias obligaciones.

13. Derechos del titular

Conforme a la Ley N° 19.628 (reformada por la Ley N° 21.719), el titular puede ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, así como retirar su consentimiento en cualquier momento, sin que ello afecte la licitud del tratamiento previo.

• Cómo ejercerlos. Escribe a [EMAIL DE CONTACTO] desde el correo registrado en tu cuenta, indicando tu RUT y el derecho que quieres ejercer. Si escribes desde otro correo, podremos pedirte antecedentes para verificar tu identidad antes de entregar o modificar datos.
• Sin costo. Ejercer estos derechos es gratuito.
• Plazo de respuesta. Responderemos dentro de 30 días corridos desde la recepción de la solicitud, plazo que podremos prorrogar una vez por igual período cuando la solicitud lo justifique, avisándote antes de que venza.
• Datos de los expedientes. Respecto de los datos de terceros contenidos en las causas, el responsable es el abogado usuario (sección 1): derivaremos la solicitud a él y lo apoyaremos para responderla.
• Si no quedas conforme. Si rechazamos tu solicitud o no respondemos en plazo, puedes reclamar ante la Agencia de Protección de Datos Personales.

14. Cookies

Utilizamos una cookie de sesión propia (httpOnly) necesaria para mantener la autenticación. No utilizamos cookies de seguimiento publicitario de terceros.

15. Menores de edad

La Plataforma está dirigida a profesionales del derecho y solo pueden registrarse personas mayores de 18 años. No recopilamos conscientemente datos de menores como usuarios; si detectamos una cuenta de un menor de edad, la cerraremos y eliminaremos sus datos. Los datos de niños, niñas y adolescentes que puedan aparecer en las causas se rigen por la sección 6.

16. Cambios a esta Política

Podremos actualizar esta Política. Publicaremos la versión vigente con su fecha y, cuando corresponda, notificaremos los cambios relevantes.

17. Contacto y reclamos

Para consultas o reclamos sobre el tratamiento de tus datos: [EMAIL DE CONTACTO]. También puedes acudir a la autoridad de control competente (Agencia de Protección de Datos Personales, conforme a la Ley N° 21.719).