Política de Privacidad

Última actualización: 30 de abril de 2026 · Versión: 1.0

1. Identificación del Responsable del Tratamiento

2. Marco legal aplicable

Esta Política de Privacidad se rige por:

• Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP, Registro Oficial Suplemento 459 del 26 de mayo de 2021)
• Reglamento General LOPDP (Decreto Ejecutivo 904 de 2 de octubre de 2023)
• Constitución de la República del Ecuador, art. 66 numeral 19
• Código Orgánico Integral Penal (COIP), art. 178 (Violación a la intimidad) y 234 (Acceso no consentido a sistemas informáticos)

3. ¿Qué datos personales tratamos?

3.1 Datos del Titular (usuario abogado)

3.2 Datos de los clientes del despacho (datos de terceros)

NEXXUS actúa como encargado del tratamiento respecto de los datos que el despacho cliente carga en la plataforma sobre sus propios clientes (los abogados son los responsables, NEXXUS los procesa por su cuenta).

Tipos de datos de clientes finales:

• Identificación (cédula, RUC, pasaporte, nombres, dirección)
• Datos de procesos judiciales (causa, juzgado, materia, montos)
• Documentos legales escaneados (sentencias, demandas, contratos)
• Comunicaciones cliente-abogado

Estos datos están cifrados con clave que solo conoce el despacho (ver § 7 — Zero-Knowledge).

3.3 Datos sensibles

NEXXUS puede procesar datos sensibles cuando el caso legal lo requiere (origen étnico, salud, ideología, identidad de género, etc.). Estos datos:

• Solo se almacenan cifrados end-to-end con clave del despacho
• NEXXUS NUNCA puede leerlos (zero-knowledge)
• Tu uso de NEXXUS para procesar estos datos requiere consentimiento expreso del cliente final, que tu despacho debe gestionar

4. Finalidad del tratamiento

NEXXUS trata los datos personales para:

1. Prestar el servicio SaaS de gestión legal contratado
2. Facturar y cobrar la suscripción mensual/anual
3. Comunicarse con el titular (notificaciones, soporte, actualizaciones)
4. Cumplir obligaciones legales (SRI factura electrónica, LOPDP, retenciones)
5. Mejorar el producto (análisis estadístico anónimo de uso)
6. Prevenir fraude y abuso (detección de actividad sospechosa, rate limiting)

NEXXUS NO utilizará tus datos para:

• Marketing externo (venta a terceros)
• Profiling automatizado con efectos jurídicos (LOPDP art. 25)
• Entrenamiento de modelos de IA propios
• Ningún uso distinto al consentido

5. Base legal del tratamiento

6. Compartición de datos con terceros

NEXXUS comparte datos personales SOLO con los siguientes sub-procesadores, todos vinculados por DPA (Data Processing Agreement):

6.1 Infraestructura

6.2 Pasarelas de pago

6.3 Inteligencia Artificial (sólo si el usuario habilita opt-in)

IMPORTANTE: la IA está DESACTIVADA por defecto. El usuario debe habilitar manualmente la "IA por caso" para que NEXXUS envíe contenido a estos servicios. Anthropic y Google se comprometen contractualmente a NO entrenar modelos con tus datos (zero-retention API).

6.4 Comunicaciones

7. Arquitectura zero-knowledge

NEXXUS implementa cifrado end-to-end (E2EE) con tres capas:

1. Capa metadata (DB): AES-256-GCM con DEK gestionada por servidor (búsquedas)
2. Capa PII (DB): CMEK con HSM (emails, RUC, teléfonos)
3. Capa contenido legal (E2EE): XChaCha20-Poly1305 con clave del despacho

Esto significa:

• La master key del despacho se deriva de la contraseña del admin con Argon2id (64 MB, 3 iteraciones, 4 paralelismo)
• La clave NUNCA viaja al servidor sin estar cifrada
• NEXXUS Legal NO PUEDE leer el contenido cifrado de tus casos
• Si pierdes la contraseña, la recuperación requiere 2 de 3 piezas Shamir que tú custodias

Acceso de emergencia: en casos extremos (fallo total de claves) existe un protocolo "rotura-de-cristal" con quórum 3-of-5 admins + cool-off 72h + notificación a todos los miembros del despacho + log inmutable.

8. Plazo de conservación

Tras la eliminación, NEXXUS conserva sólo datos anonimizados con fines estadísticos (no permiten reidentificar al titular).

9. Derechos del titular (LOPDP art. 12)

Como titular tienes derecho a:

Plazo de respuesta: 15 días hábiles (art. 13 LOPDP).

Si no recibes respuesta: puedes presentar denuncia ante la Superintendencia de Protección de Datos Personales.

10. Seguridad

NEXXUS aplica medidas técnicas y organizativas de seguridad incluyendo:

• Cifrado en tránsito: TLS 1.3 con HSTS, certificados Let's Encrypt
• Cifrado en reposo: AES-256-GCM (DB), XChaCha20-Poly1305 (E2EE)
• Autenticación: contraseña + 2FA TOTP recomendado
• Hardening: UFW firewall, fail2ban, SSH solo con llave
• Backups: cifrados, replicados geográficamente, retención 90d
• Audit log: inmutable, firmado Ed25519, hash chain
• Tests de penetración: anuales por terceros

Más detalles en Política de Seguridad.

11. Transferencias internacionales

Algunos sub-procesadores están fuera del Ecuador (EE.UU., UE, EAU). Estas transferencias se amparan en:

• Cláusulas contractuales tipo aprobadas por la APDPDP (LOPDP art. 56)
• Decisión de adecuación (UE → reconoce nivel de protección equivalente)
• Compromisos contractuales de los sub-procesadores

12. Notificación de brechas de seguridad

En caso de brecha que comprometa datos personales:

• NEXXUS notificará a la Superintendencia de Protección de Datos dentro de 72 horas (LOPDP art. 49)
• Notificará al titular afectado sin demora indebida
• Detallará: naturaleza, datos afectados, posibles consecuencias, medidas adoptadas

13. Modificaciones a esta política

NEXXUS puede modificar esta política. Te notificaremos por:

• Email a la dirección registrada (al menos 30 días antes)
• Banner persistente en la app

Si no aceptas los cambios, puedes cancelar tu suscripción sin penalidad.

14. Contacto

Aprobado por: Dr. Alejandro Sánchez Muñoz, Representante legal · DESPACHO LEGAL AXSM S.A.S.