Política de privacidad

1. Responsable del tratamiento

Responsable

José Pino Guisado

NIF

49092989H

Domicilio

Av. Manuel Clavero Arévalo, Dos Hermanas, Sevilla. 1C

Contacto en materia de protección de datos

contacto@ulpianolaw.com

No se ha designado delegado de protección de datos por no concurrir ninguno de los supuestos del artículo 37.1 del RGPD ni del artículo 34 de la LOPDGDD.

2. Distinción previa: dos papeles distintos

Conviene separar dos situaciones que se rigen por documentos diferentes:

• Datos tratados como responsable. Los datos de quienes visitan el sitio, remiten una consulta o utilizan la aplicación como usuarios. Son los que describe esta política.
• Datos tratados como encargado. Los datos personales que cada despacho incorpora a sus expedientes —clientes, contrapartes, testigos y demás intervinientes—. Sobre ellos el responsable es el despacho y Ulpiano actúa por cuenta suya y siguiendo sus instrucciones. Ese tratamiento se rige por el encargo de tratamiento, no por esta política.

3. Tratamientos, finalidades y bases de licitud

3.1. Navegación por el sitio público

Las páginas públicas no instalan cookies ni almacenan información en el dispositivo. Tampoco cargan recursos de terceros, con la única excepción de la página de tarifas, que se describe en el apartado siguiente. Los proveedores de infraestructura registran datos técnicos de conexión, incluida la dirección IP, con la finalidad exclusiva de prestar el servicio y garantizar su seguridad.

• Base de licitud: interés legítimo del responsable en la seguridad y el correcto funcionamiento del sitio (art. 6.1.f del RGPD).
• Conservación: el plazo de retención de registros técnicos de cada proveedor de infraestructura.

3.2. Consulta de las tarifas

La página de tarifas carga un componente del proveedor de pagos (Paddle.js, desde cdn.paddle.com) y le consulta los importes vigentes, con y sin IVA. Se hace así para que el precio anunciado sea exactamente el que se cobrará, y no una cifra calculada por separado que pudiera diferir de él.

Esa consulta comunica al proveedor la dirección IP del visitante y los datos técnicos de su navegador. No se le comunica ningún dato identificativo: se ha verificado que ni ese componente ni la analítica de suscripción que incorpora escriben en el almacenamiento del navegador, y que la única cookie que aparece es la de protección frente a bots que Cloudflare instala sobre el dominio del proveedor, estrictamente necesaria. De ahí que esta página tampoco requiera mecanismo de consentimiento, en los términos de la política de cookies.

• Finalidad: informar del precio vigente y aplicable y, a quien ya dispone de cuenta y despacho, permitirle contratar.
• Base de licitud: interés legítimo del responsable en informar del precio exacto de su servicio (art. 6.1.f del RGPD). Cuando el interesado inicia la contratación, ejecución de medidas precontractuales adoptadas a petición suya (art. 6.1.b).
• Destinatarios: Paddle.com Market Limited, en los términos del apartado 4.
• Conservación: el plazo de retención de registros técnicos del proveedor.

3.3. Solicitud de información

El formulario de contacto recoge el nombre, la dirección de correo electrónico, el texto de la consulta y, de forma opcional, el nombre del despacho. El envío del formulario genera un correo dirigido al titular; no se crea ninguna cuenta ni se almacenan estos datos en la base de datos de la aplicación.

• Finalidad: atender la consulta recibida y responder a quien la formula.
• Base de licitud: consentimiento del interesado, prestado mediante el envío del formulario tras marcar la casilla correspondiente (art. 6.1.a del RGPD). Puede retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
• Datos obligatorios: el nombre, el correo electrónico y la consulta. Sin ellos no es posible responder.
• Conservación: el mensaje se conserva en el buzón del titular mientras dure el intercambio con el interesado y, en todo caso, por un plazo máximo de 12 meses desde su recepción.
• Destinatarios: Resend, Inc., como proveedor de envío de correo electrónico.

La dirección facilitada se emplea únicamente para responder a la consulta. No se remiten comunicaciones comerciales por medios electrónicos. Si en el futuro se enviaran, se solicitaría el consentimiento específico exigido por el artículo 21 de la LSSI-CE y se ofrecería en cada envío un medio gratuito y sencillo de oposición.

3.4. Cuenta de usuario y despacho

Para utilizar la aplicación es necesaria una cuenta. Se tratan datos identificativos y de contacto del usuario (nombre, apellidos, correo electrónico, credenciales de acceso gestionadas por el proveedor de autenticación) y datos identificativos del despacho.

• Finalidad: creación y gestión de la cuenta, autenticación, control de acceso por despacho y prestación del servicio contratado.
• Base de licitud: ejecución del contrato del que el interesado es parte (art. 6.1.b del RGPD), en los términos de las condiciones del servicio.
• Conservación: mientras se mantenga la relación. Tras la baja, los datos permanecen accesibles durante 90 días para permitir la reactivación o la exportación, y después se suprimen, salvo aquellos que deban conservarse para atender responsabilidades legales durante sus plazos de prescripción.

3.5. Registro de auditoría y seguridad

La aplicación registra las acciones relevantes ejecutadas sobre los expedientes (visualización, edición, descarga, firma y envío), asociándolas al usuario que las realiza y al momento en que se producen. El contenido de los expedientes no se incorpora a estos registros.

• Finalidad: garantizar la trazabilidad y la integridad de la información, detectar accesos indebidos y permitir al despacho acreditar su diligencia.
• Base de licitud: interés legítimo en la seguridad de la información (art. 6.1.f del RGPD) y cumplimiento de las obligaciones de seguridad del artículo 32 del RGPD.
• Conservación: 6 años, en atención a los plazos habituales de responsabilidad profesional. El registro es inalterable.

3.6. Sincronización con Google Calendar

Cada usuario puede conectar, si quiere, su propia cuenta de Google para sincronizar su agenda con Google Calendar. Solo entonces, y solo con los calendarios que él elija, la aplicación envía a Google los eventos de su agenda —título, lugar, fecha y hora— y recibe los de esos calendarios. El título de un evento puede contener el nombre de un cliente o la referencia de un asunto. Para mantener la conexión se guardan, cifrados, los testigos de acceso que Google entrega al autorizarla, y la dirección de correo de la cuenta conectada.

Google no actúa como encargado de Ulpiano: es un proveedor que el usuario elige y con el que mantiene su propia relación, y la comunicación se hace a petición suya. Google LLC trata esos datos en Estados Unidos, conforme a sus propias condiciones y a las garantías de transferencia que ofrece a sus usuarios.

• Finalidad: mantener la agenda del usuario sincronizada con su calendario de Google.
• Base de licitud: ejecución del contrato, en una funcionalidad que el propio usuario activa (art. 6.1.b del RGPD). Respecto de los datos de terceros que figuren en los eventos, el tratamiento se hace por cuenta del despacho y conforme a sus instrucciones, en los términos del encargo de tratamiento.
• Conservación: los testigos de acceso, mientras la cuenta siga conectada. Al desconectarla desde Configuración se suprimen, se pide a Google que revoque la autorización y deja de enviarse nada; los eventos ya importados permanecen en la agenda como última copia conocida.

4. Destinatarios y encargados de tratamiento

No se ceden datos personales a terceros, salvo obligación legal y salvo la comunicación al proveedor de pagos que se describe al final de este apartado. Sí intervienen los siguientes proveedores, que actúan como encargados de tratamiento por cuenta del responsable y con contrato conforme al artículo 28 del RGPD:

Paddle interviene con dos papeles distintos, y conviene no confundirlos. Como encargado, cuando presta el servicio de consulta de tarifas descrito en el apartado 3.2. Y como responsable independiente en la venta: actúa como Merchant of Record —vendedor autorizado del servicio— y trata por cuenta propia los datos de facturación que se le facilitan al contratar, conforme a su propia política de privacidad.

5. Transferencias internacionales

Los datos de los despachos se tratan en la Unión Europea. La base de datos reside en Fráncfort, el almacenamiento de documentos en la jurisdicción europea de Cloudflare R2, la aplicación se ejecuta en Fráncfort, el correo se envía desde Irlanda y la llave raíz del cifrado de documentos está en Aragón. Ningún dato contenido en los expedientes sale del Espacio Económico Europeo por obra de Ulpiano o de sus encargados. La excepción la decide el propio usuario: si conecta su cuenta de Google, los eventos de su agenda viajan a Google en los términos del apartado 3.6.

El proveedor de autenticación, Clerk, Inc., trata sus datos en Estados Unidos. Se limitan al identificador de cuenta y de organización, el correo electrónico y el nombre del usuario; no se le comunica ningún dato de expediente.

Los cinco proveedores estadounidenses de la tabla, y Amazon Web Services, Inc., que firma el contrato de encargo junto con su filial luxemburguesa, pueden acceder en remoto a la infraestructura europea con fines de soporte y mantenimiento, lo que constituye transferencia internacional a efectos del capítulo V del Reglamento. Los seis están adheridos al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), con adhesión activa verificada el 1 de septiembre de 2026 y, la de Amazon Web Services, Inc., el 25 de septiembre de 2026, de modo que la transferencia se ampara en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023. Con carácter subsidiario, los contratos suscritos con Amazon Web Services, Clerk, Cloudflare, Databricks y Resend incorporan las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914.

El proveedor de pagos, Paddle.com Market Limited, es una sociedad inscrita en Inglaterra y Gales con número 8172165 y domicilio en 30 Old Bailey, Londres, EC4M 7AU. La comunicación descrita en el apartado 3.2 —dirección IP y datos técnicos del navegador de quien consulta las tarifas— constituye transferencia al Reino Unido, amparada en la decisión de adecuación adoptada por la Comisión Europea respecto de ese país. No se le comunica ningún dato contenido en los expedientes.

La vigencia de estas adhesiones y de la decisión de adecuación del Reino Unido se comprueba anualmente. Si alguna decayera, la transferencia quedaría amparada por las cláusulas contractuales tipo y se actualizaría esta página.

6. Derechos de los interesados

Puede ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como retirar el consentimiento prestado, dirigiendo una solicitud a contacto@ulpianolaw.com, indicando el derecho que ejerce y acompañando un medio que permita acreditar su identidad.

La solicitud se atenderá en el plazo de un mes desde su recepción, prorrogable en dos meses más cuando la complejidad o el número de solicitudes lo justifique, en cuyo caso se le informará de la prórroga y de sus motivos.

Si considera que el tratamiento no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), sin perjuicio de cualquier otra vía administrativa o judicial.

Cuando la solicitud se refiera a datos contenidos en los expedientes de un despacho, el responsable es dicho despacho: la petición se le trasladará y se le asistirá en su respuesta, conforme al encargo de tratamiento.

7. Decisiones automatizadas y menores

No se adoptan decisiones automatizadas con efectos jurídicos ni se elaboran perfiles. El servicio se dirige a profesionales de la abogacía y no está destinado a menores de edad.

8. Seguridad

Se aplican medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, descritas con más detalle en el encargo de tratamiento: cifrado en tránsito, cifrado de cada documento con una llave propia custodiada por un proveedor distinto del que guarda los documentos, control de acceso basado en la pertenencia a un despacho, aislamiento de los datos de cada despacho, registro de auditoría inalterable y copias de seguridad.

9. Cambios en esta política

Esta política puede actualizarse para adaptarla a cambios normativos o del servicio. La fecha de la última revisión figura al comienzo del documento. Los cambios sustanciales se comunicarán a los usuarios registrados por correo electrónico.