Política de Privacidad
Versión: 1.1 · Vigente desde: 17 de octubre de 2026
1. Responsable del Tratamiento
MVP Cluster El Salvador, S.A. de C.V. (en adelante, "el Responsable" o "Codice"), con domicilio en San Salvador, El Salvador, es el responsable del tratamiento de los datos personales que se recogen a través de la plataforma Codice Legal.
Datos de contacto:
Email general: soporte@codicelegal.app
Privacidad y derechos del titular: privacidad@codicelegal.app
Delegado de Protección de Datos (DPO): dpo@codicelegal.app
2. Datos que tratamos
2.1. Datos de cuenta
- Email, nombre, apellidos, teléfono.
- Datos del despacho: razón social, NIT/RFC/CIF, dirección, jurisdicción.
- Credenciales (almacenadas con bcrypt, nunca en texto plano).
2.2. Datos de uso de la plataforma
- Logs de acceso (fecha, hora, IP enmascarada, user-agent).
- Auditoría de acciones (creación, edición, eliminación de recursos).
- Métricas de uso (funciones empleadas, almacenamiento consumido, tokens IA).
2.3. Datos cargados por el Cliente
El Cliente puede cargar en Codice información personal de sus propios clientes (personas naturales o jurídicas a las que el despacho representa), tal como nombres, identificaciones, contactos, expedientes, documentos y comunicaciones. Sobre estos datos, Codice actúa como encargado del tratamiento; el Cliente es el responsable.
2.4. Datos de navegación en el sitio público
Solo si aceptás las cookies de medición y publicidad en el sitio público (codicelegal.app, landing, blog y registro): páginas visitadas, origen de la visita (parámetros UTM), dispositivo y navegador, a través de Google Analytics, Google Tag Manager y Meta Pixel. Si te registrás con ese consentimiento, enviamos a Meta tu email cifrado (hash) para medir el resultado de nuestras campañas. Nada de esto se usa dentro de la aplicación ni en el portal del cliente.
2.5. Datos de pago
Los datos de tarjeta de crédito se procesan exclusivamente por Stripe, Inc. (cumpliendo PCI-DSS). Codice solo conserva tokens y metadatos no sensibles (últimos 4 dígitos, marca de la tarjeta, fecha de expiración).
3. Finalidades del tratamiento
- Prestar el servicio: gestionar la cuenta, dar acceso a las funcionalidades contratadas, procesar pagos.
- Cumplir obligaciones legales: facturación, contabilidad, requerimientos de autoridades competentes.
- Mejorar el servicio: análisis agregado de uso, detección de fraude, soporte técnico.
- Medición y publicidad del sitio público: saber cómo llegan las visitas a Codice y medir campañas, solo con tu consentimiento.
- Comunicación: envío de avisos transaccionales (cobros, vencimientos), notificaciones del producto, y —si el usuario lo consiente— comunicaciones de marketing.
- Seguridad: prevenir accesos no autorizados, detectar intentos de aislamiento cruzado entre tenants, conservar logs forenses.
4. Base jurídica
- Ejecución del contrato (suscripción a Codice): para prestar el servicio.
- Obligación legal: obligaciones fiscales y contables, requerimientos judiciales.
- Consentimiento: para comunicaciones de marketing y para las cookies de medición y publicidad del sitio público.
- Interés legítimo: seguridad de la plataforma, prevención de fraude, mejora del producto en forma agregada.
5. Subencargados (terceros con acceso a datos)
Codice utiliza los siguientes proveedores de infraestructura y servicios. Todos cuentan con cláusulas contractuales adecuadas y, cuando aplica, certificación SOC 2 / ISO 27001:
| Proveedor | Función | Ubicación |
|---|---|---|
| Supabase Inc. | Base de datos y autenticación | USA / EU |
| Vercel Inc. | Hosting de la aplicación | Global (CDN) |
| Cloudflare R2 | Almacenamiento de documentos | USA / EU |
| Stripe Inc. | Procesamiento de pagos | USA |
| Resend | Envío de correos transaccionales | USA |
| Sentry | Monitoreo de errores | USA |
| Anthropic | Funciones de IA — con la cuenta del Cliente o con créditos de Codice durante la prueba | USA |
| OpenAI | Transcripción de notas de voz — con la cuenta del Cliente o la de Codice | USA |
| Voyage AI | Búsqueda semántica en documentos del Cliente | USA |
| Twilio | Verificación de teléfono y envío de enlaces por SMS o WhatsApp | USA |
| Google LLC | Google Analytics y Tag Manager — solo sitio público y con consentimiento | USA |
| Meta Platforms, Inc. | Meta Pixel y API de conversiones — solo sitio público y registro, con consentimiento | USA |
6. Transferencias internacionales
Algunos proveedores procesan datos fuera de El Salvador y de la Unión Europea. Tales transferencias se realizan con cláusulas contractuales tipo aprobadas por la Comisión Europea (CCT) o con base en decisiones de adecuación, cuando aplica.
7. Plazos de conservación
- Datos de cuenta activa: mientras dure la relación contractual.
- Datos del Cliente: mientras la cuenta esté activa. Si la suscripción termina, la cuenta pasa a solo lectura durante sesenta (60) días para que puedas exportar todo; te avisamos por correo antes de eliminar los datos.
- Cookies de origen de campaña (UTM): treinta (30) días.
- Datos fiscales (facturación): siete (7) años, conforme a normativa fiscal de El Salvador.
- Logs de auditoría y seguridad: dos (2) años.
- Logs técnicos genéricos: noventa (90) días.
8. Derechos del titular
Los usuarios tienen derecho a:
- Acceso: solicitar copia de sus datos.
- Rectificación: corregir datos inexactos.
- Supresión ("derecho al olvido"): borrar sus datos cuando ya no sean necesarios.
- Oposición: oponerse al tratamiento basado en interés legítimo.
- Portabilidad: exportar sus datos en formato estructurado (JSON / CSV).
- Limitación: solicitar limitar el tratamiento.
- Retirar consentimiento: para los tratamientos que se basen en este.
Para ejercer cualquier derecho, contactar a privacidad@codicelegal.app. Responderemos en un máximo de treinta (30) días naturales.
9. Seguridad
Aplicamos medidas técnicas y organizativas razonables:
- Cifrado en tránsito (TLS 1.3) y en reposo (AES-256).
- Autenticación con JWT, hash de contraseñas con bcrypt.
- Aislamiento multitenant con Row-Level Security en PostgreSQL.
- Cifrado AES-256-GCM para credenciales sensibles (claves API de terceros).
- Auditoría inmutable de operaciones críticas.
- Backups diarios con retención de treinta (30) días.
- Monitoreo continuo y respuesta a incidentes (Sentry).
En caso de violación de seguridad que pueda afectar derechos y libertades del titular, notificaremos al Cliente sin demora indebida, y a la autoridad competente cuando la ley aplicable lo exija.
10. Cookies
Dentro de la aplicación y del portal del cliente solo usamos cookies esenciales. En el sitio público te pedimos permiso antes de activar cualquier otra:
| Tipo | Para qué | Quién | Cuándo |
|---|---|---|---|
| Esenciales | Sesión, seguridad y recordar tu decisión sobre cookies (cl_consent, 180 días) | Codice y Supabase | Siempre |
| Medición | Saber qué páginas se visitan y cómo se llega al sitio (_ga, _gid) | Solo si aceptás | |
| Publicidad | Medir las campañas en Facebook e Instagram (_fbp, _fbc) | Meta | Solo si aceptás |
| Origen de campaña | Recordar desde qué campaña llegaste (_lexia_utm_*, 30 días) | Codice | Solo si aceptás |
Podés cambiar tu decisión en cualquier momento desde el enlace "Preferencias de cookies" al pie del sitio. Si retirás el permiso, borramos esas cookies de tu navegador.
11. Menores de edad
El Servicio está dirigido a profesionales del derecho mayores de edad. No recopilamos a sabiendas datos de menores.
12. Cambios en esta política
Notificaremos cambios materiales con al menos treinta (30) días de antelación por correo electrónico al contacto principal del Cliente.
13. Autoridad de control
Si considera que sus derechos no han sido atendidos, puede presentar una reclamación ante la autoridad competente de su país. En España: Agencia Española de Protección de Datos (AEPD). En México: INAI. En Colombia: SIC. En El Salvador: la autoridad competente conforme a la legislación local vigente.