Annex d'Encàrrec del Tractament (DPA) — MycoLegal
Última actualització: 21 de setembre de 2026 · Versió: 1.1
Aquest Annex forma part de les Condicions Generals i regula el tractament de dades personals que MYCO LEGALTECH SLP ("MycoLegal", l'Encarregat) realitza per compte del Client (l'organització contractant, el Responsable) en prestar les Aplicacions, d'acord amb l'art. 28 del Reglament (UE) 2016/679 (RGPD) i la LOPDGDD.
1. Objecte i paper de les parts
El Responsable determina les finalitats i els mitjans del tractament de les dades personals que introdueix i gestiona a través de les Aplicacions. L'Encarregat tracta aquestes dades únicament seguint les instruccions documentades del Responsable i per prestar el servei contractat.
2. Detall del tractament
- Naturalesa i finalitat: allotjament, processament i posada a disposició de les dades necessàries per a l'operativa de les Aplicacions contractades.
- Durada: mentre estigui vigent el contracte de servei.
- Tipus de dades: dades identificatives i de contacte de clients, interessats i compareixents; dades d'expedients i documents notarials; identificadors fiscals; i, si escau, categories especials o dades sensibles que el Responsable decideixi incorporar.
- Categories d'interessats: clients, atorgants, compareixents, interessats i tercers que figurin als expedients del Responsable.
3. Obligacions de l'Encarregat
L'Encarregat s'obliga a:
a) Tractar les dades només segons instruccions documentades del Responsable, incloses les relatives a transferències internacionals. b) Garantir la confidencialitat del personal autoritzat. c) Aplicar les mesures de seguretat de l'art. 32 RGPD (vegeu §6). d) Respectar les condicions per recórrer a subencarregats (§4). e) Assistir el Responsable per atendre els drets dels interessats. f) Ajudar el Responsable en el compliment dels arts. 32 a 36 (seguretat, notificació de bretxes i avaluacions d'impacte). g) A elecció del Responsable, suprimir o retornar les dades en acabar el servei i eliminar-ne les còpies, llevat de conservació exigida per llei. h) Posar a disposició del Responsable la informació necessària per demostrar el compliment i permetre auditories. i) Informar el Responsable si, al seu parer, una instrucció infringeix la normativa de protecció de dades.
4. Subencarregats
El Responsable autoritza de manera general l'Encarregat a recórrer als subencarregats següents, amb contracte que els imposi les mateixes obligacions:
| Subencarregat | Servei | Ubicació |
|---|---|---|
| Google Cloud Platform | Infraestructura i allotjament | UE |
| Resend | Correu transaccional | EUA |
| Stripe | Pagaments | UE/EUA |
| Twilio | Verificació SMS | EUA |
| Google Vertex AI / Gemini | Funcions d'IA | UE |
L'Encarregat informarà de qualsevol canvi de subencarregats amb antelació raonable, i el Responsable podrà oposar-s'hi per motius justificats.
5. Transferències internacionals
Qualsevol transferència fora de l'EEE s'empararà en les garanties del Capítol V del RGPD (decisió d'adequació o clàusules contractuals tipus) i, quan escaigui, en mesures addicionals.
6. Mesures de seguretat
L'Encarregat aplica, entre d'altres: xifratge en trànsit (TLS) i en repòs, control d'accessos basat en rols i mínim privilegi, segregació per organització, registre d'auditoria, còpies de seguretat i procediments de continuïtat, i gestió de vulnerabilitats. El detall es manté a l'Annex Tècnic de Mesures de Seguretat.
7. Bretxes de seguretat
L'Encarregat notificarà al Responsable sense dilació indeguda (i, en tot cas, en un termini orientatiu de 72 hores des que en tingui constància) qualsevol violació de la seguretat que afecti dades personals, aportant la informació necessària perquè el Responsable compleixi les seves obligacions de notificació.
8. Devolució o supressió
En finalitzar la prestació, el Responsable podrà exportar les dades durant 30 dies. Transcorregut aquest termini, l'Encarregat les suprimirà de manera segura, llevat d'obligació legal de conservació.
9. Responsabilitat
Cada part respon dels danys derivats de l'incompliment de les obligacions que li incumbeixen d'acord amb el RGPD, en els termes de l'art. 82.
10. Funcions d'intel·ligència artificial
Algunes Aplicacions incorporen funcions d'intel·ligència artificial (assistent conversacional, revisió documental, redacció de descripcions, extracció de dades, resums, reconeixement de text). El seu tractament es regeix, a més del que s'ha dit, pel següent:
a) Subencarregat i ubicació. Els models s'executen a Google Cloud (Vertex AI, models Gemini), amb residència de dades a la Unió Europea. b) Dades enviades. Només el fragment necessari per a l'operació que l'usuari sol·licita (la seva pregunta, el document que aporta, els extractes recuperats); mai el conjunt de la base de dades del Responsable. c) Finalitat. Exclusivament generar el resultat demanat per l'usuari (resposta, dictamen, esborrany, extracció o resum). d) No entrenament. Ni l'Encarregat ni el subencarregat utilitzen les dades del Responsable per entrenar, ajustar o millorar models, d'acord amb les condicions de servei de Google Cloud aplicables a Vertex AI. e) Conservació. El subencarregat no conserva entrades ni sortides més enllà del que és estrictament necessari per processar la petició. Els resultats que l'Aplicació desa (informes, esborranys, resums) queden en l'àmbit del Responsable, com qualsevol altra dada del servei, i es regeixen per §8. f) Supervisió humana. Els resultats són propostes subjectes a revisió per l'usuari. Cap decisió amb efectes jurídics sobre les persones s'adopta de forma automatitzada (art. 22 RGPD). g) Canals de grup. Abans de mostrar en un canal compartit informació procedent de les dades del Responsable, l'Aplicació elimina les dades personals de persones físiques. h) Transparència i canvis. L'inventari de funcions, models i finalitats es publica a la Declaració d'ús responsable de la intel·ligència artificial (mycolegal.app/legal/ia-responsable), que es versiona amb cada canvi rellevant. L'Encarregat avisarà a través de la plataforma dels canvis de model, en línia amb l'obligació d'informar de canvis de subencarregats prevista a §4.