Política de privacidad

VAARIO es una plataforma de tecnología jurídica que permite a despachos de abogados y profesionales del derecho subir, comparar y analizar contratos con ayuda de la IA.

Estamos establecidos en Estonia, por lo que nuestra autoridad de control principal es la Inspección de Protección de Datos de Estonia — Andmekaitse Inspektsioon, Tatari 39, 10134 Tallin—. Estamos sujetos al RGPD y a la Ley estonia de protección de datos personales (Isikuandmete kaitse seadus).

Delegado de protección de datos: no hemos nombrado ninguno. Hemos valorado que hoy no estamos obligados a designarlo conforme al art. 37.1: no realizamos un seguimiento sistemático a gran escala ni tratamos datos de categorías especiales como actividad principal (véase la sección 5). Lo revisaremos a medida que crezca nuestra base de clientes. Las consultas sobre protección de datos van al contacto de privacidad indicado arriba.

Respondemos a todas las consultas sobre protección de datos en un plazo de 30 días.

Esta distinción determina a quién debes dirigirte por tus datos, así que la decimos con claridad en lugar de dejarla en la letra pequeña.

Para el contenido de los documentos actuamos únicamente según las instrucciones del titular de la cuenta. No decidimos qué se sube, no usamos el contenido de los documentos para nuestros propios fines y no lo usamos para entrenar ningún modelo de IA, ni el nuestro ni el de nadie.

Qué significa esto en la práctica: si eres cliente de un despacho que usa VAARIO y quieres saber qué datos suyos tiene sobre ti, o quieres que se supriman, tu interlocutor es el despacho: es el responsable del tratamiento. Le ayudamos a responderte, como exige nuestro acuerdo con él. Si no sabes quién tiene tus datos, escríbenos igualmente y te orientaremos.

Titulares de cuenta (usuarios registrados)

Los registros de uso de la IA no contienen contenido de documentos — solo recuentos y etiquetas. Se conservan 13 meses (véase la sección 7).

Revisores invitados (visitantes de un enlace compartido)

Los datos de invitados están vinculados a la comparación en la que se introdujeron y se suprimen cuando se elimina esa comparación o el contrato del que depende.

Datos técnicos / de infraestructura

Cookies y almacenamiento en tu navegador

Cada uno de estos elementos es estrictamente necesario para prestar el servicio o recuerda una elección que hiciste, por lo que ninguno necesita consentimiento. Ninguno es leído por nadie más que esta aplicación. No usamos cookies publicitarias, rastreadores de analítica ni ninguna tecnología de marketing de terceros. La comprobación anti-bots de la página de inicio de sesión (Cloudflare Turnstile) mira algunas señales del navegador, solo para distinguir a una persona de un programa. El contenido de los documentos nunca se escribe en nuestros registros ni en el almacenamiento de tu navegador.

Cuando pides un análisis de IA, una respuesta del chat o una edición sugerida, la parte pertinente del texto de tu documento se envía para su tratamiento a Amazon Web Services (AWS), que aloja el modelo de lenguaje Claude en Amazon Bedrock.

El tratamiento se queda dentro de la Unión Europea. Usamos un perfil de inferencia de Bedrock para la UE que solo puede enviar una petición a centros de datos de Irlanda, Alemania, Suecia, Francia, Italia o España, todos ellos Estados miembros de la UE. Nuestros permisos de acceso deniegan las peticiones a cualquier otra región, de modo que una petición no puede atenderse desde fuera de la UE aunque el proveedor añada regiones más adelante.

Enviamos solo lo que necesita cada función. Según la función, son los cambios detectados, las cláusulas relevantes para tu pregunta o los párrafos que se están editando, cada uno con un límite de tamaño fijado por función. Queremos ser exactos sobre lo que esto significa y lo que no: en un contrato corto, los párrafos que necesita una función de edición pueden ser la mayor parte del documento. Lo que podemos decirte es que cada función tiene un tope que se aplica, que no se envía nada que no forme parte de lo que pediste y que nunca enviamos un documento sobre el que no nos hayas pedido trabajar.

AWS actúa como nuestro encargado del tratamiento conforme al Anexo de Tratamiento de Datos de AWS. Como el tratamiento se realiza por completo dentro de la UE, en este tramo no se produce ninguna transferencia internacional. Véase la sección 8 sobre los límites de esta afirmación.

Tu contenido no se usa para entrenar modelos — ni los nuestros, ni los de AWS, ni los de ningún tercero. El proveedor no conserva nada por nuestra cuenta cuando termina una petición, y tenemos desactivado el registro de peticiones por parte del proveedor en las seis regiones de la UE.

La IA no decide nada sobre ti

No se toma automáticamente ninguna decisión con efectos jurídicos o que te afecte de forma similarmente significativa (art. 22 RGPD). Todo lo que produce la IA es una sugerencia:

• Las ediciones sugeridas se guardan como propuestas. Una persona debe aprobar o rechazar cada una. Nada de lo que propone la IA se aplica nunca a un documento por sí solo: no existe ningún camino en el software que lo haga.
• Las valoraciones de impacto ordenan y colorean la cola de un revisor. No deciden nada.
• La decisión que importa — firmar, modificar o rechazar un contrato — la toma un abogado.

Se te dice cuándo estás tratando con una IA

Las funciones de IA están identificadas como tales en la interfaz, y las ediciones propuestas por la IA llevan una marca que pide a una persona que las revise antes de aprobarlas. Esto cumple nuestro deber de transparencia del art. 50.1 de la Ley de IA de la UE, aplicable desde el 2 de agosto de 2026.

Sobre la exactitud. El resultado de la IA puede ser erróneo, incompleto o equivocarse con seguridad. Es una ayuda para redactar y revisar, no asesoramiento jurídico, y no sustituye a un abogado que lea el documento. Cuando nuestro análisis de IA es degradado o parcial, procuramos decirlo en la interfaz en lugar de presentar un resultado parcial como si fuera completo.

Los contratos nombran a personas: contrapartes, firmantes, administradores, empleados, beneficiarios. Esas personas también son interesados, y la mayoría nunca habrá oído hablar de VAARIO. Preferimos exponer nuestra posición a dejarla sin decir.

Para esos datos somos encargados del tratamiento, no responsables (sección 2). El titular de la cuenta — normalmente un despacho — decide subir el documento y es el responsable. Su base jurídica es la misma que le permite revisar el contrato: normalmente el interés legítimo propio o de su cliente, o la formulación, el ejercicio o la defensa de reclamaciones.

No nos ponemos en contacto con las personas mencionadas en los documentos subidos para decirles que tenemos sus datos. Conforme al art. 14.5 del RGPD, esa notificación no es obligatoria cuando supone un esfuerzo desproporcionado o cuando los datos están sujetos a una obligación de secreto profesional. Se dan ambas circunstancias: los documentos están cifrados y no los leemos, así que identificar y contactar a las personas nombradas dentro de ellos obligaría a examinar material privilegiado que de otro modo nunca miramos — una intromisión mayor que el aviso que se pretendería dar. Y ese material está amparado por el secreto profesional en manos del despacho que lo subió.

Si crees que tus datos personales están en un documento alojado en nuestra plataforma, escribe a privacy@vaario.app. No buscaremos en los documentos a petición de nadie — no podemos leerlos, y hacerlo vulneraría el secreto profesional que los ampara —, pero identificaremos al titular de la cuenta responsable cuando podamos hacerlo legalmente y le trasladaremos tu solicitud como responsable del tratamiento.

Categorías especiales de datos

Nunca pedimos datos de categorías especiales (art. 9) ni datos sobre condenas e infracciones penales (art. 10). Pero los contratos contienen lo que contienen: una transacción puede mencionar una dolencia, un contrato de trabajo puede revelar la afiliación sindical, un expediente de conflicto puede recoger acusaciones.

No podemos detectarlo y no lo intentamos. En su lugar, todo documento se trata como si fuera sensible: todo el texto extraído se cifra en reposo, el acceso se limita a la cuenta propietaria, el contenido nunca se registra y cada petición de IA tiene un límite de tamaño. Cuando hace falta una base jurídica para este material, corresponde al despacho que lo sube — normalmente el art. 9.2.f, la formulación, el ejercicio o la defensa de reclamaciones.

Las herramientas de autoservicio anteriores cubren los datos que conservamos como responsables (sección 2). Para los datos dentro de los documentos subidos, véase la sección 5: el titular de la cuenta es el responsable y nosotros trasladaremos tu solicitud.

Respondemos en 30 días. Las solicitudes complejas pueden tardar hasta 3 meses, y te avisaremos si es el caso. Ejercer estos derechos es gratuito; solo cobraremos por solicitudes repetidas manifiestamente infundadas o excesivas, y te lo diremos antes.

Reclamaciones. Puedes presentar una reclamación ante nuestra autoridad de control principal, Andmekaitse Inspektsioon (Tatari 39, 10134 Tallin, Estonia — info@aki.ee). También puedes reclamar ante la autoridad de control del lugar donde vives o trabajas, esté donde esté dentro de la UE/EEE (art. 77): no tienes que presentar la reclamación en Estonia. El Comité Europeo de Protección de Datos publica la lista de todas las autoridades de la UE.

Un documento que nadie usa se elimina pasado el plazo que elijas. Por defecto son 30 días. En Ajustes puedes cambiarlo a 3, 6 o 12 meses, o elegir conservar los documentos hasta que los elimines tú. Un documento cuenta como usado cuando tú, o alguien con quien lo compartiste, lo abre, lo descarga o lo exporta, comenta en él, decide sobre un cambio o conversa sobre él en el chat. Cuando un documento está a punto de eliminarse, te escribimos 7 días antes con la lista, y usarlo mientras tanto lo conserva. Eliminar un documento lo borra junto con sus versiones, comparaciones, comentarios y chats, y con los archivos que guardamos. Es irreversible. La decisión sobre cuánto tiempo vive en nuestra plataforma el material privilegiado es tuya.

Una cuenta que no se usa se elimina. Si nadie inicia sesión en tu cuenta durante 30 días, eliminamos la cuenta y todo lo que contiene, exactamente como si la hubieras eliminado tú. Si tienes un plan de pago, ese plazo empieza cuando termina el periodo pagado. Escribimos al correo de la cuenta 7 días antes de esa fecha, e iniciar sesión en cualquier momento antes de ella conserva la cuenta. Lo hacemos para que el material privilegiado no permanezca en nuestra plataforma cuando su titular ya no la usa.

Cuando eliminas tu cuenta mediante Ajustes → Eliminar cuenta, borramos de forma permanente e inmediata tu correo electrónico, todos los contratos y versiones de documentos, todas las comparaciones y resultados de la IA, todos los comentarios y estados de revisión, todas las sesiones de chat, todas tus pautas de revisión (archivos de pautas subidos y reglas escritas), tus registros de uso de la IA, todas las entradas del registro de auditoría y los archivos de almacenamiento asociados. Es irreversible.

La misma lista, con lo que recibe cada uno, está en la página de subencargados.

Cada subencargado está vinculado por un Contrato de Encargado del Tratamiento y, cuando los datos salen de la UE/EEE, nos apoyamos en las Cláusulas Contractuales Tipo. Avisaremos con al menos 30 días de antelación antes de añadir o sustituir un subencargado.

No vendemos datos personales a nadie.

Acceso por autoridades de fuera de la UE

Queremos ser directos sobre un límite del tratamiento solo en la UE, porque importa para el material entre abogado y cliente.

Varios de nuestros subencargados — incluida AWS, que trata los extractos de tus documentos para las funciones de IA — son filiales de empresas con sede en Estados Unidos. Mantener tus datos en centros de datos de la UE significa que no se transfieren fuera de la UE y que los conservamos bajo el derecho de la UE. Eso no basta por sí solo para ponerlos fuera del alcance de los procedimientos legales de Estados Unidos: con leyes como la CLOUD Act estadounidense, a un proveedor con sede en Estados Unidos se le puede, en principio, requerir mediante una orden los datos que controla, estén donde estén almacenados.

No podemos reducir ese riesgo a cero mientras usemos cualquier proveedor con una matriz estadounidense. Lo que hacemos en su lugar:

• Mantenemos la exposición pequeña. Las peticiones de IA llevan solo el extracto que necesita una función. Tus documentos viven cifrados con nuestro proveedor de base de datos y almacenamiento de la UE, no con el proveedor de IA, y el proveedor de IA no almacena nada por nuestra cuenta.
• Nos apoyamos en los compromisos públicos de nuestros proveedores de impugnar los requerimientos gubernamentales excesivos o ilícitos, de redirigirlos al cliente y de notificar al cliente afectado salvo prohibición legal.
• Te avisaremos si recibimos un requerimiento de acceso de un gobierno que afecte a tus datos, salvo que la ley nos lo impida — en cuyo caso revelaremos todo lo que podamos legalmente.

Si tu encargo no puede tolerar este riesgo residual, contacta con nosotros antes de subir material para valorar si la plataforma es adecuada para ese asunto.

Medidas técnicas y organizativas conforme al art. 32:

• Cifrado en reposo: el texto extraído de los documentos se cifra con Fernet (AES-128-CBC) en la capa de la aplicación, con independencia del cifrado de la base de datos. La clave solo está en el entorno del servidor, nunca en la base de datos.
• Cifrado en tránsito: todas las conexiones usan TLS 1.2 o superior.
• Control de acceso: la seguridad a nivel de fila de la base de datos garantiza que una cuenta solo alcance sus propios datos. La clave de rol de servicio nunca llega al navegador.
• Acceso a los documentos: los archivos solo son accesibles mediante URL firmadas con una caducidad máxima de 1 hora.
• Gestión de secretos: las claves de API y las credenciales de servicio están solo en variables de entorno del servidor; ninguna se expone al navegador ni se incluye en el código del cliente.
• El contenido nunca se registra: los registros de auditoría y de la aplicación recogen acciones, fechas e identificadores de registros — nunca contenido de documentos.
• Tratamiento de IA dentro de la UE: las peticiones de IA están limitadas en la capa de control de acceso a centros de datos de la UE, de modo que una petición no puede atenderse desde fuera de la UE.
• Minimización de datos en las peticiones de IA: cada función de IA envía solo lo que necesita, con un límite de tamaño por función, en lugar del documento entero.
• Revisión humana de las sugerencias de la IA: las ediciones propuestas por la IA nunca se aplican automáticamente. Cada una se presenta para que una persona la apruebe o la descarte.
• Limitación de frecuencia en las subidas, las comparaciones, las llamadas de IA y los puntos de acceso para compartir.
• El acceso está restringido a cuentas aprobadas durante nuestra actual disponibilidad cerrada.

Ningún sistema es perfectamente seguro y no decimos lo contrario. Estas medidas se revisan cada vez que cambiamos la forma de tratar los documentos.

Si se produce una violación que probablemente suponga un riesgo para los derechos y libertades de las personas, lo notificaremos a Andmekaitse Inspektsioon en un plazo de 72 horas desde que tengamos conocimiento de ella (art. 33). Cuando sea probable que suponga un riesgo alto, también lo notificaremos a las personas afectadas sin dilación indebida (art. 34). Cuando actuamos como encargados (sección 2), lo notificaremos sin dilación indebida al titular de la cuenta responsable para que pueda cumplir sus propias obligaciones.

Para comunicarnos una sospecha de violación: privacy@vaario.app, con el asunto «VIOLACIÓN DE DATOS».

VAARIO es una plataforma jurídica profesional y no está dirigida a menores. No recogemos conscientemente datos de personas menores de 18 años. Si crees que un menor nos ha enviado datos, contacta con nosotros y los eliminaremos.

Avisaremos por correo electrónico a los usuarios registrados de los cambios importantes al menos 14 días antes de que surtan efecto. La fecha de «Última actualización» de la parte superior refleja la revisión más reciente. Seguir usando el servicio después de la fecha de efecto supone aceptar la política actualizada.

Para cualquier pregunta, solicitud de derechos o reclamación: