Política de Privacidad y Tratamiento de Datos Personales

LexOS es una plataforma de software como servicio (SaaS) para la gestión de firmas de abogados y abogados independientes en Colombia, operada por LexOS Latam S.A.S., identificada con NIT 902.091.760-0, con domicilio en Bogotá D.C., Colombia (en adelante, "LexOS", "nosotros" o "el Responsable").

LexOS actúa en doble calidad frente a los datos personales:

• Como Responsable del Tratamiento, respecto de los datos de las firmas de abogados suscriptoras, sus administradores y colaboradores que usan directamente la plataforma.
• Como Encargado del Tratamiento, respecto de los datos que las firmas de abogados ingresan sobre sus propios clientes y partes procesales dentro de la plataforma. En este último caso, cada firma de abogados actúa como Responsable del Tratamiento de los datos de sus clientes y es responsable de contar con las autorizaciones y habilitaciones legales correspondientes.

La presente Política se rige por las siguientes disposiciones:

• Ley 1581 de 2012 — Ley de Protección de Datos Personales de Colombia y sus Decretos Reglamentarios (Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25).
• Ley 1266 de 2008 — Régimen general de habeas data.
• Ley 527 de 1999 — Comercio electrónico y firmas digitales.
• Circular 002 de 2015 y demás instrucciones de la Superintendencia de Industria y Comercio (SIC).
• Las demás normas que las complementen, modifiquen o sustituyan.

Para efectos de la presente Política, se entenderá por:

• Titular: Persona natural cuyos datos personales son objeto de tratamiento.
• Responsable del Tratamiento: Persona natural o jurídica que decide sobre la finalidad y el tratamiento de los datos personales.
• Encargado del Tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del Responsable.
• Tratamiento: Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación, supresión, entre otros.
• Dato Personal: Cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato Sensible: Dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
• Autorización: Consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
• Base de Datos: Conjunto organizado de datos personales que es objeto de tratamiento.
• Firma: Persona jurídica o natural suscriptora de LexOS que usa la plataforma para gestionar su práctica jurídica.
• Usuario: Persona natural con acceso a la plataforma bajo los roles de Socio/Administrador, Abogado o Asistente.
• Cliente de la Firma: Persona natural o jurídica cuyos datos son ingresados a la plataforma por la Firma contratante.
• Plataforma: Aplicación web LexOS disponible en https://lexos.software y sus subdominios.

4.1 Datos de la Firma Suscriptora y sus Usuarios

Al registrarse y usar LexOS, recopilamos la siguiente información de las Firmas y sus equipos:

Datos de registro y cuenta

• Nombre completo del administrador o socio principal
• Dirección de correo electrónico (obligatoria para autenticación)
• Nombre de la firma
• Ciudad de operación
• Fotografía de perfil (si el registro se realiza mediante Google OAuth, se obtiene la foto pública del perfil de Google)

Datos de facturación y suscripción

• Plan de suscripción contratado (Básico, Profesional o Firma)
• Historial de pagos y facturas emitidas por LexOS al suscriptor
• Fechas de inicio, vencimiento y renovación de suscripción

Datos de uso y actividad

• Registros de inicio y cierre de sesión, duración de cada sesión de trabajo
• Actividad dentro de la plataforma: casos creados o modificados, documentos gestionados, facturas emitidas, pagos registrados, consultas judiciales realizadas, clientes registrados, eventos de agenda, cambios de estado de prospectos
• Preferencias de notificación y configuración de jornada laboral
• Dirección IP de acceso
• Información del navegador (user agent) y dispositivo

Datos de los miembros del equipo

• Nombre completo
• Correo electrónico
• Rol dentro de la firma (Socio, Abogado Asociado, Asistente)
• Estado de la invitación y membresía

4.2 Datos de los Clientes de las Firmas (tratados como Encargado)

Las Firmas ingresan a LexOS información de sus propios clientes para gestionar casos. Estos datos son tratados por LexOS exclusivamente en calidad de Encargado del Tratamiento, a nombre y por instrucción de la Firma. Pueden incluir:

Datos de identificación del cliente

• Nombre completo o razón social
• Número de cédula de ciudadanía, cédula de extranjería o pasaporte
• Número de Identificación Tributaria (NIT) para personas jurídicas
• Tipo de persona (natural o jurídica)
• Correo electrónico
• Número de teléfono
• Ciudad de residencia

Datos del proceso o caso legal

• Título y descripción del caso
• Área del derecho (civil, laboral, penal, familiar, comercial, administrativo, constitucional)
• Estado y etapa del proceso
• Número de radicado judicial o interno
• Municipio y código DANE del despacho judicial
• Tipo de trámite (judicial, notarial, consulta)
• Información financiera asociada al caso: valor de honorarios, cuotas pactadas, fechas de pago, estado de pagos
• Notas y observaciones internas del abogado

Datos de procesos judiciales consultados

• Información obtenida de portales judiciales y administrativos públicos, vinculada al radicado del proceso: número de radicado, partes procesales, actuaciones, términos, despacho judicial asignado, estado del proceso
• Los portales consultados incluyen: Consulta de Procesos Nacional Unificada (CPNU) de la Rama Judicial, TYBA/Justicia21, Supernotariado, Superintendencia de Industria y Comercio (SIC), Superservicios, Superfinanciera, Supersalud y Supersociedades

Documentos

• Archivos adjuntos al caso (memoriales, escritos judiciales, contratos, documentos administrativos, facturas) almacenados en la plataforma
• Metadatos de los documentos: nombre, tipo de archivo, tamaño, fecha de carga, categoría

Datos del CRM (pipeline de prospectos)

• Nombre del prospecto
• Correo electrónico y teléfono
• Estado en el pipeline (contacto → reunión → propuesta → contrato → registrado)
• Resultado de verificaciones de conflictos de interés y KYC (Procuraduría, Contraloría, OFAC)
• Notas de viabilidad jurídica

Datos financieros y tributarios (facturación electrónica DIAN)

• Cuando la Firma suscriptora del Plan Firma activa la facturación electrónica, LexOS transmite al proveedor de facturación electrónica los datos exigidos por la normativa tributaria colombiana para la expedición de la factura: identificación tributaria del cliente facturado (NIT o cédula), nombre o razón social, dirección y valor facturado

Datos de comunicaciones

• Registro de correos electrónicos enviados al cliente desde la plataforma (notificaciones de actualizaciones de caso, envío de documentos, confirmaciones de pago)
• Número de teléfono/WhatsApp del cliente y del responsable del caso, y registro de los mensajes de WhatsApp enviados desde la plataforma (notificación de actuaciones judiciales detectadas y de actualizaciones del caso)

4.3 Datos de la Función Smart Import (Importación Masiva)

Cuando las Firmas utilizan la función de importación masiva desde archivos Excel o CSV:

• Los archivos son cargados y procesados en los servidores de LexOS
• Antes de ser enviados al proveedor de inteligencia artificial (Groq), los datos pasan por un módulo de anonimización denominado PII Shield, que sustituye temporalmente los datos de identificación personal (cédulas, NITs, teléfonos, correos electrónicos, montos y direcciones) por tokens aleatorios. El proveedor de IA nunca recibe datos personales reales
• Una vez procesada la respuesta de IA, la plataforma re-asocia los tokens con los valores originales exclusivamente en memoria (RAM), sin persistir esta asociación en base de datos ni en logs
• Los archivos originales subidos se conservan como documentos de importación en la plataforma

4.4 Datos Recopilados Automáticamente

Al navegar por el sitio web o usar la plataforma:

• Cookies de sesión: Utilizamos cookies de tipo httpOnly para mantener la sesión autenticada del usuario de forma segura. Estas cookies no son accesibles desde el navegador (JavaScript) y son estrictamente necesarias para el funcionamiento del servicio.
• Logs de infraestructura: Nuestros proveedores de hosting (Cloudflare) y base de datos (Supabase) recopilan registros técnicos de las solicitudes al servidor (IP, timestamp, endpoint, código de respuesta) por motivos de seguridad y diagnóstico.
• Verificación anti-automatización (Cloudflare Turnstile): Las pantallas de acceso, registro y recuperación de contraseña ejecutan una verificación de Cloudflare Turnstile para distinguir a una persona de un programa automatizado, y así proteger las cuentas frente a intentos masivos de adivinar contraseñas. La verificación opera en modo invisible: no muestra ningún elemento en pantalla ni exige acción alguna al usuario. Para funcionar, Cloudflare procesa datos técnicos del navegador y de la conexión (dirección IP, agente de usuario y señales de comportamiento del propio navegador). No utiliza cookies de publicidad ni construye perfiles con fines comerciales. Este tratamiento se rige adicionalmente por el Turnstile Privacy Addendum de Cloudflare, que se incorpora a esta política por referencia.

4.5 Datos de Visitantes y Prospectos del Sitio Web

Cuando una persona utiliza las herramientas del sitio público de LexOS sin ser todavía Suscriptor — por ejemplo, "Solicitar acceso", "Solicitar demo" o el análisis gratuito "Analiza tu firma" — recopilamos:

• Nombre completo
• Correo electrónico y, cuando se proporcione, número de teléfono
• Nombre de la firma
• Información que la persona describa sobre su firma para efectos del análisis gratuito solicitado

Estos datos se usan para atender la solicitud, contactar comercialmente a la persona y, si otorga su consentimiento, enviarle comunicaciones sobre LexOS. Quien no se convierta en Suscriptor puede solicitar la supresión de estos datos en cualquier momento a través de privacidad@lexos.software.

5.1 Datos de la Firma Suscriptora y sus Usuarios

5.2 Datos de Clientes de las Firmas (como Encargado)

5.3 Datos de Visitantes y Prospectos del Sitio Web

LexOS no recopila ni trata datos sensibles sobre creencias religiosas, afiliación política, datos biométricos, historial clínico, orientación sexual ni origen racial. Sin embargo, la naturaleza de los procesos judiciales gestionados puede involucrar este tipo de información en los documentos adjuntados por la Firma; en ese caso, dicho contenido es responsabilidad exclusiva de la Firma suscriptora.

LexOS no recopila datos de menores de 18 años de manera directa. Las Firmas que, en virtud de su práctica jurídica, gestionen casos que involucren menores de edad son las únicas Responsables del tratamiento de dichos datos y deben contar con las autorizaciones legales correspondientes.

Para la operación de la plataforma, LexOS comparte datos con los siguientes proveedores de servicios tecnológicos que pueden procesar datos en servidores ubicados fuera de Colombia. LexOS ha suscrito con cada uno los instrumentos contractuales necesarios conforme al artículo 26 de la Ley 1581 de 2012 y las instrucciones de la SIC:

Los datos de los clientes de las firmas son almacenados principalmente en servidores de Supabase en São Paulo, Brasil, jurisdicción con niveles de protección reconocidos por la Autoridad Garante de Brasil (ANPD) y estándares comparables a los establecidos por la Ley 1581 de 2012.

LexOS implementa medidas técnicas y organizativas orientadas a garantizar la confidencialidad, integridad y disponibilidad de los datos personales:

Medidas técnicas

• Aislamiento por tenant: Cada firma de abogados opera en un espacio de datos completamente separado. Las políticas de Row Level Security (RLS) a nivel de base de datos garantizan que ningún usuario pueda acceder a datos de otra firma.
• Autenticación segura: Los tokens de sesión JWT se almacenan exclusivamente en cookies httpOnly, inaccesibles desde JavaScript y protegidas contra ataques XSS.
• Cifrado en tránsito: Toda la comunicación entre el navegador del usuario y los servidores utiliza HTTPS con TLS 1.2 o superior. Se aplica HSTS (HTTP Strict Transport Security) con un período de dos años y preload activado.
• Cifrado en reposo: Los datos se almacenan cifrados en los servidores de Supabase conforme a los estándares AES-256.
• Control de acceso por roles: El acceso a módulos y datos dentro de la plataforma está restringido según el rol del usuario (Socio, Abogado Asociado, Asistente) y, en el caso de los casos, según la asignación explícita por parte del administrador.
• Control de velocidad (rate limiting): Se implementan límites de solicitudes por IP y por usuario para prevenir ataques de fuerza bruta y uso abusivo de la plataforma.
• Validación de entradas: Todos los datos ingresados por el usuario son validados antes de ser procesados para prevenir inyecciones SQL, XSS y otros ataques comunes.
• Cabeceras de seguridad HTTP: Todas las respuestas incluyen cabeceras como X-Content-Type-Options, X-Frame-Options (SAMEORIGIN), Referrer-Policy y Permissions-Policy.
• Almacenamiento de archivos privado: Los documentos adjuntos se almacenan en un bucket privado en Supabase Storage; el acceso se otorga mediante URL firmadas temporales (válidas por 2 horas para visualización y descarga) y está restringido a miembros de la firma.
• PII Shield en importación IA: Los datos personales son anonimizados antes de cualquier interacción con proveedores de inteligencia artificial externos.

Medidas organizativas

• Registro de auditoría de actividades relevantes: creación y modificación de casos, documentos, pagos, notificaciones, prospectos, clientes y eventos de agenda
• Política de acceso mínimo necesario para el personal de LexOS
• Plan de respuesta ante incidentes de seguridad
• Revisiones periódicas de seguridad del código y la infraestructura

No obstante lo anterior, ningún sistema de seguridad es infalible. En caso de una brecha de seguridad que pueda comprometer datos personales, LexOS notificará a los titulares afectados y a la Superintendencia de Industria y Comercio conforme a los procedimientos establecidos en la normativa aplicable.

Los datos personales serán conservados mientras:

• (a) La suscripción de la Firma se encuentre vigente y activa.
• (b) Sea necesario para el cumplimiento de obligaciones legales, contables o regulatorias (los registros contables y de facturación se conservarán por el tiempo exigido por la legislación tributaria colombiana, que actualmente es de diez (10) años).
• (c) Existan reclamaciones, litigios o procesos pendientes relacionados con el servicio.

Tras la terminación del contrato de suscripción:

• La Firma tendrá un plazo de treinta (30) días calendario para exportar, mediante los reportes disponibles en la Plataforma, la información de su cuenta. Actualmente LexOS no ofrece una funcionalidad de autoservicio para la exportación integral del conjunto completo de datos (casos, documentos adjuntos y facturación); si la Firma requiere una exportación completa de sus datos, podrá solicitarla escribiendo a soporte@lexos.software, sujeta a los tiempos de atención que LexOS informe según el volumen de información.
• Transcurrido dicho plazo, los datos de la Firma y sus casos serán eliminados de los servidores activos de LexOS.
• Podrán conservarse copias de respaldo (backups) cifradas por un período adicional de hasta noventa (90) días, tras los cuales serán destruidas de forma segura.
• Los datos de logs de auditoría y seguridad serán retenidos por un (1) año desde su generación.

Conforme a los artículos 8, 21 y 22 de la Ley 1581 de 2012, los titulares de datos personales tienen los siguientes derechos:

• Conocer: Conocer los datos personales que LexOS tiene sobre usted.
• Actualizar y rectificar: Solicitar la actualización o corrección de sus datos cuando sean inexactos, incompletos, fragmentados o lleven a error.
• Suprimir: Solicitar la eliminación de sus datos cuando no sean necesarios para las finalidades declaradas, cuando haya revocado su consentimiento o cuando no se respete la normativa aplicable. La supresión no procede cuando exista una obligación legal o contractual de conservar los datos.
• Revocar la autorización: Revocar el consentimiento otorgado para el tratamiento de sus datos, sin efecto retroactivo.
• Acceder gratuitamente: Conocer de forma gratuita sus datos personales almacenados en las bases de datos de LexOS, al menos una (1) vez cada período de mes calendario.
• Ser informado: Ser informado sobre el uso que se ha dado a sus datos personales, previa solicitud.
• Presentar quejas: Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a la normativa de protección de datos, una vez haya agotado el trámite de consulta o reclamo ante LexOS.
• No ser sometido a decisiones automatizadas: En los casos que aplique, no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de datos que produzcan efectos jurídicos sobre usted.

Para ejercer sus derechos como titular, puede contactarnos a través de los siguientes canales:

• Correo electrónico: privacidad@lexos.software
• Dirección física: Bogotá D.C., Colombia

Su solicitud deberá incluir:

1. Nombre completo y número de identificación del titular
2. Descripción clara del derecho que desea ejercer
3. Datos de contacto para la respuesta
4. Documentos de soporte que estime pertinentes

Tiempos de respuesta:

• Consultas: diez (10) días hábiles, prorrogables por cinco (5) días hábiles adicionales con notificación previa.
• Reclamos: quince (15) días hábiles, prorrogables por ocho (8) días hábiles adicionales con notificación previa.

Si la solicitud es incompleta, LexOS le requerirá la información faltante dentro de los cinco (5) días hábiles siguientes a su recepción.

LexOS no dirige sus servicios a menores de dieciocho (18) años ni recopila intencionalmente datos personales de menores. Si usted es padre, madre o tutor legal y tiene conocimiento de que un menor ha proporcionado datos personales a LexOS sin su consentimiento, por favor contáctenos para proceder a su eliminación.

LexOS utiliza las siguientes tecnologías de cookies:

LexOS no utiliza cookies de rastreo publicitario, cookies de terceros para remarketing ni herramientas de análisis comportamental (como Google Analytics). Las únicas cookies utilizadas son técnicamente necesarias para el funcionamiento del servicio. Por esta razón, no se requiere un banner de consentimiento de cookies bajo la normativa colombiana actual para las cookies estrictamente necesarias.

LexOS cumple con la Ley 1581 de 2012 y sus decretos reglamentarios, e inscribirá y mantendrá actualizadas sus bases de datos ante el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio en los casos en que dicha inscripción sea legalmente exigible conforme al Decreto 1074 de 2015 y el Decreto 090 de 2018.

Actualmente el cobro de las suscripciones se realiza de forma manual, mediante transferencia bancaria registrada por LexOS; no se utiliza una pasarela de pago integrada a la Plataforma y, por tanto, no se comparten datos de tarjetas u otros instrumentos de pago con un procesador automatizado. LexOS tiene prevista la integración de Wompi como procesador de pagos; cuando esa integración entre en operación, esta Política se actualizará para describir los datos que se compartirán con dicho proveedor y su tratamiento.

LexOS se reserva el derecho de modificar esta Política en cualquier momento para reflejar cambios en la legislación, en los servicios ofrecidos o en las prácticas de tratamiento de datos. Cuando se realicen cambios materiales, notificaremos a los usuarios registrados mediante correo electrónico y/o un aviso destacado en la plataforma con al menos quince (15) días calendario de anticipación a la entrada en vigor de los cambios. El uso continuado de la plataforma tras la notificación constituye aceptación de la Política actualizada.

La autoridad de protección de datos en Colombia es la Superintendencia de Industria y Comercio (SIC), División de Protección de Datos Personales, con sede en Bogotá D.C. Si considera que LexOS no ha atendido adecuadamente su solicitud, puede presentar una queja ante la SIC a través de www.sic.gov.co.

La presente Política rige a partir del 1 de septiembre de 2026 y permanecerá vigente hasta que sea modificada o derogada de conformidad con lo establecido en la sección anterior.