Política de Privacidad y Tratamiento de Datos Personales

LexOS es una plataforma de software como servicio (SaaS) para la gestión de firmas de abogados y abogados independientes en Colombia, operada por LexOS Latam S.A.S., NIT 902.091.760-0, con domicilio en Bogotá D.C., dirección AC 116 No. 70 D 48, Bogotá D.C., teléfono +57 321 231 3458 y correo privacidad@lexos.software (en adelante, «LexOS» o «el Responsable»). El área responsable de la atención de peticiones, consultas y reclamos sobre datos personales es el Oficial de Protección de Datos Personales de LexOS, en privacidad@lexos.software.

LexOS actúa en doble calidad frente a los datos personales:

• Como Responsable del Tratamiento, respecto de los datos de las firmas de abogados suscriptoras, sus administradores y colaboradores que usan directamente la plataforma.
• Como Encargado del Tratamiento, respecto de los datos que las firmas de abogados ingresan sobre sus propios clientes y partes procesales dentro de la plataforma. En este último caso, cada firma de abogados actúa como Responsable del Tratamiento de los datos de sus clientes y es responsable de contar con las autorizaciones y habilitaciones legales correspondientes.

La presente Política se rige por las siguientes disposiciones:

• Ley 1581 de 2012 — Ley de Protección de Datos Personales de Colombia y sus Decretos Reglamentarios (Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25).
• Ley 1266 de 2008 — Régimen general de habeas data.
• Ley 527 de 1999 — Comercio electrónico y firmas digitales.
• Circular 002 de 2015 y demás instrucciones de la Superintendencia de Industria y Comercio (SIC).
• Las demás normas que las complementen, modifiquen o sustituyan.

Para efectos de la presente Política, se entenderá por:

• Titular: Persona natural cuyos datos personales son objeto de tratamiento.
• Responsable del Tratamiento: Persona natural o jurídica que decide sobre la finalidad y el tratamiento de los datos personales.
• Encargado del Tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del Responsable.
• Tratamiento: Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación, supresión, entre otros.
• Dato Personal: Cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato Sensible: Dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
• Autorización: Consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
• Base de Datos: Conjunto organizado de datos personales que es objeto de tratamiento.
• Firma: Persona jurídica o natural suscriptora de LexOS que usa la plataforma para gestionar su práctica jurídica.
• Usuario: Persona natural con acceso a la plataforma bajo los roles de Socio/Administrador, Abogado o Asistente.
• Cliente de la Firma: Persona natural o jurídica cuyos datos son ingresados a la plataforma por la Firma contratante.
• Plataforma: Aplicación web LexOS disponible en https://lexos.software y sus subdominios.

4.1 Datos de la Firma Suscriptora y sus Usuarios

Al registrarse y usar LexOS, recopilamos la siguiente información de las Firmas y sus equipos:

Datos de registro y cuenta

• Nombre completo del administrador o socio principal
• Dirección de correo electrónico (obligatoria para autenticación)
• Nombre de la firma
• Ciudad de operación
• Fotografía de perfil (si el registro se realiza mediante Google OAuth, se obtiene la foto pública del perfil de Google)

Datos de facturación y suscripción

• Plan de suscripción contratado (Básico, Profesional o Firma)
• Historial de pagos y facturas emitidas por LexOS al suscriptor
• Fechas de inicio, vencimiento y renovación de suscripción

Datos de uso y actividad

• Registros de inicio y cierre de sesión, duración de cada sesión de trabajo
• Actividad dentro de la plataforma: casos creados o modificados, documentos gestionados, facturas emitidas, pagos registrados, consultas judiciales realizadas, clientes registrados, eventos de agenda, cambios de estado de prospectos
• Preferencias de notificación y configuración de jornada laboral
• Dirección IP de acceso
• Información del navegador (user agent) y dispositivo

Datos de los miembros del equipo

• Nombre completo
• Correo electrónico
• Rol dentro de la firma (Socio, Abogado Asociado, Asistente)
• Estado de la invitación y membresía

4.2 Datos de los Clientes de las Firmas (tratados como Encargado)

Las Firmas ingresan a LexOS información de sus propios clientes para gestionar casos. Estos datos son tratados por LexOS exclusivamente en calidad de Encargado del Tratamiento, a nombre y por instrucción de la Firma. Pueden incluir:

Datos de identificación del cliente

• Nombre completo o razón social
• Número de cédula de ciudadanía, cédula de extranjería o pasaporte
• Número de Identificación Tributaria (NIT) para personas jurídicas
• Tipo de persona (natural o jurídica)
• Correo electrónico
• Número de teléfono
• Ciudad de residencia

Datos del proceso o caso legal

• Título y descripción del caso
• Área del derecho (civil, laboral, penal, familiar, comercial, administrativo, constitucional)
• Estado y etapa del proceso
• Número de radicado judicial o interno
• Municipio y código DANE del despacho judicial
• Tipo de trámite (judicial, notarial, consulta)
• Información financiera asociada al caso: valor de honorarios, cuotas pactadas, fechas de pago, estado de pagos
• Notas y observaciones internas del abogado

Datos de procesos judiciales consultados

• Información obtenida de portales judiciales y administrativos públicos, vinculada al radicado del proceso: número de radicado, partes procesales, actuaciones, términos, despacho judicial asignado, estado del proceso
• Los portales consultados incluyen: Consulta de Procesos Nacional Unificada (CPNU) de la Rama Judicial, TYBA/Justicia21, Supernotariado, Superintendencia de Industria y Comercio (SIC), Superservicios, Superfinanciera, Supersalud y Supersociedades

Documentos

• Archivos adjuntos al caso (memoriales, escritos judiciales, contratos, documentos administrativos, facturas) almacenados en la plataforma
• Metadatos de los documentos: nombre, tipo de archivo, tamaño, fecha de carga, categoría

Datos del CRM (pipeline de prospectos)

• Nombre del prospecto
• Correo electrónico y teléfono
• Estado en el pipeline (contacto → reunión → propuesta → contrato → registrado)
• Resultado de verificaciones de conflictos de interés y KYC (Procuraduría, Contraloría, OFAC)
• Notas de viabilidad jurídica

Datos del canal de WhatsApp y de las campañas (como Encargado). Cuando la Firma usa el canal de WhatsApp o las campañas por correo: número de WhatsApp, nombre de perfil, mensajes y archivos que el prospecto envía o recibe, su clasificación y la constancia de autorización que la Firma registre; y, por cada correo de campaña, el destinatario y los eventos de entrega, rebote, queja, apertura y clic en el enlace. Apertura y clic se miden solo en el dominio de campañas de la Firma. Los archivos de WhatsApp se eliminan cuando la Firma elimina la conversación, el prospecto o su cuenta.

Documentos analizados con IA (como Encargado). El texto íntegro de los documentos que un Usuario somete al análisis de IA, y el resultado del análisis.

Datos financieros y tributarios (facturación electrónica DIAN)

• Cuando la Firma suscriptora del Plan Firma activa la facturación electrónica, LexOS transmite al proveedor de facturación electrónica los datos exigidos por la normativa tributaria colombiana para la expedición de la factura: identificación tributaria del cliente facturado (NIT o cédula), nombre o razón social, dirección y valor facturado

Datos de comunicaciones

• Registro de correos electrónicos enviados al cliente desde la plataforma (notificaciones de actualizaciones de caso, envío de documentos, confirmaciones de pago)
• Número de teléfono/WhatsApp del cliente y del responsable del caso, y registro de los mensajes de WhatsApp enviados desde la plataforma (notificación de actuaciones judiciales detectadas y de actualizaciones del caso)

4.3 Datos tratados por proveedores de inteligencia artificial

LexOS usa tres servicios de inteligencia artificial, siempre por cuenta de la Firma y solo cuando un Usuario o un proceso de la Plataforma lo requiere:

a) Importación masiva (Groq, EE. UU.): antes de enviar el archivo, el módulo PII Shield sustituye cédulas, NIT, teléfonos, correos, montos y direcciones por marcadores aleatorios. Groq no recibe esos datos.

b) Análisis de documentos (Anthropic PBC, EE. UU.): el texto íntegro del documento que el Usuario somete al análisis, sin anonimizar, porque su exactitud depende del texto completo. Anthropic lo procesa bajo sus términos comerciales, que le prohíben usar esos datos para entrenar sus modelos.

c) Clasificación de actuaciones judiciales (Google LLC, Gemini, EE. UU.): el texto de las actuaciones publicadas por los portales judiciales, para detectar la etapa del proceso y las audiencias.

4.4 Datos Recopilados Automáticamente

Al navegar por el sitio web o usar la plataforma:

• Cookies de sesión: Utilizamos cookies de tipo httpOnly para mantener la sesión autenticada del usuario de forma segura. Estas cookies no son accesibles desde el navegador (JavaScript) y son estrictamente necesarias para el funcionamiento del servicio.
• Logs de infraestructura: Nuestros proveedores de hosting (Cloudflare) y base de datos (Supabase) recopilan registros técnicos de las solicitudes al servidor (IP, timestamp, endpoint, código de respuesta) por motivos de seguridad y diagnóstico.
• Verificación anti-automatización (Cloudflare Turnstile): Las pantallas de acceso, registro y recuperación de contraseña ejecutan una verificación de Cloudflare Turnstile para distinguir a una persona de un programa automatizado, y así proteger las cuentas frente a intentos masivos de adivinar contraseñas. Normalmente la verificación es invisible. Tras varios intentos fallidos de acceso, la pantalla puede pedir que el usuario marque una casilla. Para funcionar, Cloudflare procesa datos técnicos del navegador y de la conexión (dirección IP, agente de usuario y señales de comportamiento del propio navegador). No utiliza cookies de publicidad ni construye perfiles con fines comerciales. Este tratamiento se rige adicionalmente por el Turnstile Privacy Addendum de Cloudflare, que se incorpora a esta política por referencia.

4.5 Datos de Visitantes y Prospectos del Sitio Web

Cuando una persona utiliza las herramientas del sitio público de LexOS sin ser todavía Suscriptor — por ejemplo, "Solicitar acceso", "Solicitar demo" o el análisis gratuito "Analiza tu firma" — recopilamos:

• Nombre completo
• Correo electrónico y, cuando se proporcione, número de teléfono
• Nombre de la firma
• Información que la persona describa sobre su firma para efectos del análisis gratuito solicitado

Estos datos se usan para atender la solicitud, contactar comercialmente a la persona y, si otorga su consentimiento, enviarle comunicaciones sobre LexOS. Quien no se convierta en Suscriptor puede solicitar la supresión de estos datos en cualquier momento a través de privacidad@lexos.software.

La autorización para evaluar una solicitud de acceso y la autorización para recibir comunicaciones comerciales se piden por separado, cada una con su casilla. La segunda es opcional y no condiciona el acceso, la prueba ni ninguna promoción.

5.1 Datos de la Firma Suscriptora y sus Usuarios

• Conservar la prueba de la aceptación de las Condiciones y de los términos de las promociones (versión, fecha, hora, usuario y dirección IP), con base en la ejecución del contrato y en la obligación legal (Ley 1480, arts. 39 y 50, lit. e).

5.2 Datos de Clientes de las Firmas (como Encargado)

5.3 Datos de Visitantes y Prospectos del Sitio Web

• Verificar la información de la solicitud de acceso en el RUES, en el Registro Nacional de Abogados y en otras fuentes públicas.
• Administrar las promociones: asignar y controlar cupos, liquidar precios y enviar los avisos de sus términos.

LexOS envía comunicaciones comerciales solo por los canales que el titular autorizó, en los horarios del artículo 3 de la Ley 2300 de 2023, y con un enlace para dejar de recibirlas en cada mensaje.

Peticiones, quejas y reclamos. Cuando una persona presenta una petición, queja o reclamo en https://www.lexos.software/pqr o en soporte@lexos.software, LexOS trata su nombre, su correo, su teléfono si lo da y el texto del mensaje para radicarla, responderla y conservar la prueba de su atención (Ley 1480 de 2011, art. 50 lit. g). Los conserva durante tres (3) años contados desde la respuesta. Para frenar el abuso del formulario, guarda durante un (1) día un resumen (huella) del correo y de la dirección IP de cada envío y de cada consulta, en lugar del correo y la IP.

LexOS no recopila ni trata datos sensibles sobre creencias religiosas, afiliación política, datos biométricos, historial clínico, orientación sexual ni origen racial. Sin embargo, la naturaleza de los procesos judiciales gestionados puede involucrar este tipo de información en los documentos adjuntados por la Firma; en ese caso, dicho contenido es responsabilidad exclusiva de la Firma suscriptora.

LexOS no recopila datos de menores de 18 años de manera directa. Las Firmas que, en virtud de su práctica jurídica, gestionen casos que involucren menores de edad son las únicas Responsables del tratamiento de dichos datos y deben contar con las autorizaciones legales correspondientes.

Para la operación de la plataforma, LexOS se apoya en los siguientes proveedores de servicios tecnológicos, que actúan como Encargados del Tratamiento y pueden tratar datos en servidores ubicados fuera de Colombia. LexOS les transmite esos datos conforme a los artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015:

Los proveedores actúan como Encargados o subencargados del Tratamiento: tratan los datos solo para la función indicada y conforme a las instrucciones de LexOS. Con cada uno, LexOS tiene un acuerdo de tratamiento de datos que contiene las obligaciones del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, y con base en él se realiza la transmisión de los datos fuera de Colombia.

LexOS implementa medidas técnicas y organizativas orientadas a garantizar la confidencialidad, integridad y disponibilidad de los datos personales:

Medidas técnicas

• Aislamiento por tenant: Cada firma de abogados opera en un espacio de datos completamente separado. Las políticas de Row Level Security (RLS) a nivel de base de datos garantizan que ningún usuario pueda acceder a datos de otra firma.
• Autenticación segura: Los tokens de sesión JWT se almacenan exclusivamente en cookies httpOnly, inaccesibles desde JavaScript y protegidas contra ataques XSS.
• Cifrado en tránsito: Toda la comunicación entre el navegador del usuario y los servidores utiliza HTTPS con TLS 1.2 o superior. Se aplica HSTS (HTTP Strict Transport Security) con un período de dos años y preload activado.
• Cifrado en reposo: Los datos se almacenan cifrados en los servidores de Supabase conforme a los estándares AES-256.
• Control de acceso por roles: El acceso a módulos y datos dentro de la plataforma está restringido según el rol del usuario (Socio, Abogado Asociado, Asistente) y, en el caso de los casos, según la asignación explícita por parte del administrador.
• Control de velocidad (rate limiting): Se implementan límites de solicitudes por IP y por usuario para prevenir ataques de fuerza bruta y uso abusivo de la plataforma.
• Validación de entradas: Todos los datos ingresados por el usuario son validados antes de ser procesados para prevenir inyecciones SQL, XSS y otros ataques comunes.
• Cabeceras de seguridad HTTP: Todas las respuestas incluyen cabeceras como X-Content-Type-Options, X-Frame-Options (SAMEORIGIN), Referrer-Policy y Permissions-Policy.
• Almacenamiento de archivos privado: Los documentos adjuntos se almacenan en un bucket privado en Supabase Storage; el acceso se otorga mediante URL firmadas temporales (válidas por 2 horas para visualización y descarga) y está restringido a miembros de la firma.
• PII Shield en importación IA: Los datos personales son anonimizados antes de cualquier interacción con proveedores de inteligencia artificial externos.

Medidas organizativas

• Registro de auditoría de actividades relevantes: creación y modificación de casos, documentos, pagos, notificaciones, prospectos, clientes y eventos de agenda
• Política de acceso mínimo necesario para el personal de LexOS
• Plan de respuesta ante incidentes de seguridad
• Revisiones periódicas de seguridad del código y la infraestructura

No obstante lo anterior, ningún sistema de seguridad es infalible. En caso de una brecha de seguridad que pueda comprometer datos personales, LexOS notificará a los titulares afectados y a la Superintendencia de Industria y Comercio conforme a los procedimientos establecidos en la normativa aplicable.

Los datos personales serán conservados mientras:

• (a) La suscripción de la Firma se encuentre vigente y activa.
• (b) Sea necesario para el cumplimiento de obligaciones legales, contables o regulatorias (los registros contables y de facturación se conservarán por el tiempo exigido por la legislación tributaria colombiana, que actualmente es de diez (10) años).
• (c) Existan reclamaciones, litigios o procesos pendientes relacionados con el servicio.

Tras la terminación del contrato de suscripción:

• La Firma tendrá un plazo de treinta (30) días calendario para exportar, mediante los reportes disponibles en la Plataforma, la información de su cuenta. Actualmente LexOS no ofrece una funcionalidad de autoservicio para la exportación integral del conjunto completo de datos (casos, documentos adjuntos y facturación); si la Firma requiere una exportación completa de sus datos, podrá solicitarla escribiendo a soporte@lexos.software, sujeta a los tiempos de atención que LexOS informe según el volumen de información.
• Transcurrido dicho plazo, los datos de la Firma y sus casos serán eliminados de los servidores activos de LexOS.
• Podrán conservarse copias de respaldo (backups) cifradas por un período adicional de hasta noventa (90) días, tras los cuales serán destruidas de forma segura.
• Los datos de logs de auditoría y seguridad serán retenidos por un (1) año desde su generación.

Vigencia de las bases de datos: las bases de datos de LexOS permanecerán vigentes mientras LexOS preste sus servicios y por los plazos de conservación de este numeral. Los eventos de entrega y lectura de los correos de campaña se conservan treinta (30) días.

Conforme a los artículos 8, 21 y 22 de la Ley 1581 de 2012, los titulares de datos personales tienen los siguientes derechos:

• Conocer: Conocer los datos personales que LexOS tiene sobre usted.
• Actualizar y rectificar: Solicitar la actualización o corrección de sus datos cuando sean inexactos, incompletos, fragmentados o lleven a error.
• Suprimir: Solicitar la eliminación de sus datos cuando no sean necesarios para las finalidades declaradas, cuando haya revocado su consentimiento o cuando no se respete la normativa aplicable. La supresión no procede cuando exista una obligación legal o contractual de conservar los datos.
• Revocar la autorización: Revocar el consentimiento otorgado para el tratamiento de sus datos, sin efecto retroactivo.
• Acceder gratuitamente: Conocer de forma gratuita sus datos personales almacenados en las bases de datos de LexOS, al menos una (1) vez cada período de mes calendario.
• Ser informado: Ser informado sobre el uso que se ha dado a sus datos personales, previa solicitud.
• Presentar quejas: Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a la normativa de protección de datos, una vez haya agotado el trámite de consulta o reclamo ante LexOS.
• No ser sometido a decisiones automatizadas: En los casos que aplique, no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de datos que produzcan efectos jurídicos sobre usted.

Para ejercer sus derechos como titular, puede contactarnos a través de los siguientes canales:

• Correo electrónico: privacidad@lexos.software
• Dirección física: AC 116 No. 70 D 48, Bogotá D.C., Colombia. Teléfono: +57 321 231 3458.

Su solicitud deberá incluir:

1. Nombre completo y número de identificación del titular
2. Descripción clara del derecho que desea ejercer
3. Datos de contacto para la respuesta
4. Documentos de soporte que estime pertinentes

Tiempos de respuesta:

• Consultas: diez (10) días hábiles, prorrogables por cinco (5) días hábiles adicionales con notificación previa.
• Reclamos: quince (15) días hábiles, prorrogables por ocho (8) días hábiles adicionales con notificación previa.

Si la solicitud es incompleta, LexOS le requerirá la información faltante dentro de los cinco (5) días hábiles siguientes a su recepción.

LexOS no dirige sus servicios a menores de dieciocho (18) años ni recopila intencionalmente datos personales de menores. Si usted es padre, madre o tutor legal y tiene conocimiento de que un menor ha proporcionado datos personales a LexOS sin su consentimiento, por favor contáctenos para proceder a su eliminación.

LexOS utiliza las siguientes tecnologías de cookies:

LexOS usa Google Analytics (Google LLC, EE. UU.), cargado mediante Google Tag Manager, para medir de forma agregada cómo se usa el sitio web público (páginas visitadas, duración y origen de la visita). No se carga dentro de la Plataforma. Estas cookies no son necesarias para el servicio: solo se activan si el visitante las acepta en el aviso de cookies, y puede retirarlas en cualquier momento. Nunca se cargan en las páginas de pago.

LexOS cumple con la Ley 1581 de 2012 y sus decretos reglamentarios, e inscribirá y mantendrá actualizadas sus bases de datos ante el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio en los casos en que dicha inscripción sea legalmente exigible conforme al Decreto 1074 de 2015 y el Decreto 090 de 2018.

Los pagos de los planes y de los paquetes de créditos se procesan a través de Wompi, de Bancolombia S.A. Los datos del medio de pago (número de tarjeta, credenciales bancarias o de Nequi) los recibe y los guarda Wompi. LexOS no los recibe ni los almacena. De Wompi, LexOS recibe y conserva: el identificador y el estado de la transacción, el valor, la fecha, el tipo de medio de pago y, según el medio, la franquicia y los últimos cuatro dígitos de la tarjeta, o el banco. Nunca guarda el número de celular de Nequi. Con esos datos, más los de facturación que registre el Suscriptor, LexOS expide el recibo y la factura electrónica.

LexOS se reserva el derecho de modificar esta Política en cualquier momento para reflejar cambios en la legislación, en los servicios ofrecidos o en las prácticas de tratamiento de datos. Cuando se realicen cambios materiales, notificaremos a los usuarios registrados mediante correo electrónico y/o un aviso destacado en la plataforma con al menos quince (15) días calendario de anticipación a la entrada en vigor de los cambios. El uso continuado de la plataforma tras la notificación constituye aceptación de la Política actualizada.

La autoridad de protección de datos en Colombia es la Superintendencia de Industria y Comercio (SIC), División de Protección de Datos Personales, con sede en Bogotá D.C. Si considera que LexOS no ha atendido adecuadamente su solicitud, puede presentar una queja ante la SIC a través de www.sic.gov.co.

La presente Política rige a partir del 7 de noviembre de 2026 y permanecerá vigente hasta que sea modificada o derogada de conformidad con lo establecido en la sección anterior.