Política de Privacidad de OmniLex

1. Identificación de OmniLex

2. Roles de OmniLex frente a sus datos

OmniLex puede actuar en más de un rol frente a la LOPDP, según el tipo de dato y el contexto:

3. Qué datos tratamos y con qué finalidad

Visitantes y formulario de contacto: nombre, empresa, correo electrónico, cédula o RUC y el mensaje que usted escribe. La base legal es su consentimiento explícito. Antes de que lo otorgue le mostramos quién es el responsable, quién es el Delegado de Protección de Datos, cuáles son sus derechos y cómo revocar (bajo el formulario y en el aviso completo (PDF)), y lo registramos como evidencia verificable a través del propio módulo de Consentimientos de OmniLex antes de procesar su mensaje. Al aceptar recibe un enlace personal, sin caducidad, para revocarlo en cualquier momento y sin efecto retroactivo. El campo Cédula o RUC identifica formalmente al titular que otorga esa autorización, conforme a la LOPDP; si en el futuro se decide que este campo pase a ser opcional, esta política se actualizará en consecuencia.

Clientes y prospectos comerciales: datos de contacto y de la relación comercial (propuestas, contratos, facturación), tratados para la gestión de la relación y el cumplimiento de obligaciones legales y tributarias.

Usuarios autorizados de la plataforma: nombre, correo, rol y registros de actividad de las personas que su empresa autoriza a usar OmniLex, necesarios para la autenticación, el control de acceso y la bitácora de auditoría.

Copiloto de IA: el contenido de las conversaciones que un usuario autorizado mantiene con el asistente, incluidos los datos personales que ese usuario decida incluir. Vea la sección 5 para el detalle de cómo se minimizan estos datos.

4. Plataforma SGDLOPDP y datos de clientes tenant

OmniLex es una plataforma multi-tenant: cada empresa cliente ("tenant") administra en ella sus propios datos de cumplimiento LOPDP — su Registro de Actividades de Tratamiento, sus solicitudes ARCO, sus brechas de seguridad, sus riesgos. Frente a esos datos, OmniLex actúa como encargado del tratamiento: los procesa siguiendo las instrucciones de cada cliente, dentro de un aislamiento lógico por empresa a nivel del motor de base de datos, y nunca los utiliza para fines propios ajenos a la prestación del servicio.

5. Copiloto de IA y minimización de datos

El Copiloto de IA ayuda a redactar y analizar documentos usando la identidad del usuario autenticado, nunca con credenciales propias del sistema. Antes de enviar cualquier texto al modelo de lenguaje, OmniLex aplica un proceso de minimización y pseudonimización: nombres, cédulas, correos y otros datos identificados se reemplazan por marcadores genéricos (por ejemplo [PERSONA_1], [CEDULA_1], [EMAIL_1]) antes de salir hacia Azure OpenAI, y solo se restituyen al valor real en el documento final generado para el usuario.

Este proceso se basa en detección heurística de patrones y tiene límites técnicos conocidos: no garantiza identificar todos los datos personales en todo texto posible (por ejemplo, nombres poco comunes o datos escritos de forma inusual pueden no ser reconocidos), y la pseudonimización aplicada es reversible mientras el mapa de correspondencia esté vigente — no equivale a una anonimización irreversible. Mientras una propuesta del Copiloto está pendiente de confirmación, ese mapa de correspondencia se conserva durante una ventana operacional corta (30 minutos) y se elimina automáticamente al confirmar, cancelar, expirar o fallar la operación. Los resultados internos que las herramientas del Copiloto devuelven al modelo también se minimizan por defecto, para no exponer al modelo más información de la estrictamente necesaria para continuar el razonamiento.

6. Microsoft Azure y Azure OpenAI

OmniLex opera sobre infraestructura de Microsoft Azure. El recurso de base de datos y aplicación utilizado está asociado a la región Brazil South. El Copiloto de IA utiliza además Azure OpenAI, bajo un despliegue de tipo GlobalStandard: en esta modalidad, el alcance geográfico exacto del procesamiento de inferencia depende de la arquitectura global de Microsoft y no puede prometerse que ocurra de forma exclusiva en una única región.

Microsoft actúa como sub-encargado técnico de OmniLex. Conforme al Art. 23 de la Resolución SPDP-SPD-2026-0004-R de la SPDP, el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales; por eso el uso de un subencargado ubicado fuera del Ecuador, que trata los datos por cuenta e instrucciones de OmniLex, no es por sí solo una transferencia internacional. OmniLex exige a sus subencargados garantías contractuales de confidencialidad y seguridad como buena práctica (Art. 24 de la misma norma), informa esta ubicación a sus clientes y analiza por separado cualquier flujo que no sea un encargo. Vea la sección 8 de los Términos y Condiciones y la sección 10 de la Política de Protección de Datos Personales.

7. Derechos del titular

Conforme a la LOPDP, usted puede ejercer los siguientes derechos sobre sus datos personales:

• Acceso
• Rectificación
• Actualización
• Eliminación
• Oposición
• Suspensión
• Portabilidad
• Información
• Revocación del consentimiento
• No ser objeto de decisiones basadas únicamente en valoraciones automatizadas

Para ejercerlos, use el portal público de solicitudes de derechos o escríbanos a omnilex@omnilex.net. Atendemos las solicitudes en hasta 15 días hábiles; la suspensión del tratamiento y el cese tras revocar un consentimiento, en 3 días término. Si solicita la eliminación de sus datos, le entregamos una constancia de la eliminación, salvo que exista una base legal para conservarlos, que le indicaremos por escrito (vea la sección 8). Puede revocar su consentimiento en cualquier momento con el enlace personal que recibió al otorgarlo o desde esta página, con su cédula.

8. Conservación y eliminación

Conservamos sus datos durante el tiempo necesario para cumplir la finalidad para la que fueron recolectados y las obligaciones legales aplicables. En la plataforma, el período de retención de conversaciones del Copiloto de IA es configurable por cada empresa cliente; el valor 0 significa retención indefinida o borrado automático desactivado. Los datos eliminados de la base de datos operativa pueden persistir temporalmente en copias de seguridad (backups) hasta que esas copias cumplan su propio ciclo de retención y sean sobrescritas — no afirmamos que un dato desaparezca de forma instantánea de todos los sistemas de respaldo en el momento de su eliminación.

Evidencia del consentimiento. Conservamos el registro de su autorización y, si la revoca, el de su revocación, como prueba de que el tratamiento fue lícito. Tras la revocación dejamos de usar sus datos para esa finalidad y guardamos ese registro bloqueado, con acceso restringido, hasta 5 años (y no menos de 3) solo para acreditar el consentimiento y atender reclamaciones; luego lo eliminamos o anonimizamos. Las bases son nuestra obligación de acreditar que el consentimiento se otorgó y la formulación, ejercicio o defensa de reclamaciones.

9. Incidentes y brechas de seguridad

Ante un incidente de seguridad que afecte sus datos personales, aplicamos los plazos legales de notificación establecidos en la LOPDP hacia la autoridad competente y hacia los titulares afectados, contados desde el conocimiento de la vulneración. Vea el detalle en nuestra página de Seguridad y Cumplimiento.

10. Proveedores y subencargados

11. Reclamaciones ante la Superintendencia de Protección de Datos Personales

Si considera que el tratamiento de sus datos personales no cumple la LOPDP, tiene derecho a presentar una reclamación ante la Superintendencia de Protección de Datos Personales (SPDP), sin perjuicio de contactarnos primero para resolver su inquietud directamente.