Art. 28 del Reglamento (UE) 2016/679 (RGPD)

1. Partes y rol

• Responsable del tratamiento: el Usuario del Servicio (abogado o despacho), titular de la cuenta.
• Encargado del tratamiento: Stay Hungry and Foolish S.L. (nombre comercial «RobinLawyer.ai»), NIF B19752328, con domicilio en Calle Manuela Estellés, número 51, piso 2, 46022 Valencia (Valencia), inscrita en el Registro Mercantil de Valencia ("RobinLawyer.ai").

RobinLawyer.ai trata datos personales por cuenta y según las instrucciones documentadas del Responsable, exclusivamente para la prestación del Servicio.

2. Objeto, duración, naturaleza y finalidad

• Objeto: tratamiento de los datos personales contenidos en las consultas, documentos y contenidos que el Responsable introduce en el Servicio.
• Duración: la vigencia de la suscripción al Servicio.
• Naturaleza y finalidad: búsqueda jurídica, generación de borradores, cálculos y análisis solicitados por el Responsable mediante IA.
• Tipo de datos: los que el Responsable decida introducir; pueden incluir datos identificativos, económicos y, eventualmente, categorías especiales (art. 9) y datos relativos a infracciones y condenas penales (art. 10) presentes en los asuntos.
• Categorías de interesados: las que determine el Responsable (clientes, contrapartes, testigos, terceros de los expedientes).

3. Obligaciones del Encargado (art. 28.3 RGPD)

RobinLawyer.ai se obliga a:

a) Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las transferencias; el uso del Servicio constituye instrucción. Si una instrucción infringe la normativa, lo informará.

b) Garantizar que su personal autorizado está sujeto a deber de confidencialidad, compatible con el secreto profesional del Responsable.

c) Adoptar las medidas de seguridad del art. 32 RGPD (ver Anexo II).

d) Respetar las condiciones para recurrir a subencargados (cláusula 4).

e) Asistir al Responsable para responder a las solicitudes de ejercicio de derechos de los interesados.

f) Ayudar al Responsable a cumplir las obligaciones de los arts. 32 a 36 (seguridad, notificación de brechas, evaluaciones de impacto y consulta previa).

g) A elección del Responsable, suprimir o devolver los datos al finalizar la prestación y suprimir las copias, salvo conservación exigida por ley.

h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.

4. Subencargados (art. 28.2 y 28.4)

4.1. El Responsable autoriza con carácter general la subcontratación a los subencargados listados en el Anexo I. RobinLawyer.ai informará de cualquier alta o sustitución, dando al Responsable la posibilidad de oponerse.

4.2. RobinLawyer.ai impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos, y seguirá siendo plenamente responsable frente al Responsable del cumplimiento de aquellos.

5. Compromisos específicos del Servicio (medidas reforzadas)

• No entrenamiento: RobinLawyer.ai no utiliza los datos del Responsable para entrenar modelos de IA.
• No retención por el motor de IA: el motor opera bajo acuerdo de no retención (Zero Data Retention).
• Localización UE: el tratamiento se realiza en la Unión Europea.
• Arquitectura local-first: cuando el Responsable utiliza el componente de búsqueda documental local (RobinSearch), los documentos no salen de su equipo; RobinLawyer.ai solo recibe las consultas necesarias para la búsqueda.

6. Brechas de seguridad

RobinLawyer.ai notificará al Responsable sin dilación indebida las violaciones de seguridad que afecten a datos tratados por su cuenta, con la información necesaria para que el Responsable cumpla, en su caso, los arts. 33 y 34 RGPD.

7. Transferencias internacionales

El tratamiento se realiza en el EEE. Cualquier transferencia fuera del EEE por un subencargado se ampara en una garantía adecuada (art. 44 y ss. RGPD), documentada en el Anexo I.

8. Fin del encargo

Finalizada la prestación, RobinLawyer.ai, a elección del Responsable, devolverá o suprimirá los datos y las copias, salvo obligación legal de conservación, certificándolo si se solicita.

9. Responsabilidad

Cada parte responde de los daños causados por su incumplimiento conforme al art. 82 RGPD. Si RobinLawyer.ai determinara por su cuenta los fines y medios del tratamiento, sería considerado responsable respecto de ese tratamiento (art. 28.10).

Anexo I — Subencargados autorizados

Anexo II — Medidas de seguridad (art. 32)

Cifrado de copias de seguridad (Borg, offsite); control de acceso y rotación de credenciales; registro de auditoría (mcp_audit_log); segregación de entornos; minimización (el motor de IA no retiene); procedimiento de gestión de brechas; supresión a petición (endpoint de borrado por usuario).