Política de Tratamiento de Datos Personales

Versión 1.1 · Vigencia: 9 de noviembre de 2026

Esta Política de Tratamiento de Datos Personales explica el tratamiento de datos relacionado con Apilex, incluidos visitantes, usuarios de demostración, clientes y personas cuyos datos sean ingresados en el servicio. Se adopta en cumplimiento de la Ley 1581 de 2012 y del Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015 (artículos 2.2.2.25.1.1 y siguientes). La oferta dirigida a Colombia observa estas normas en los casos en que resulten aplicables, con independencia del país de establecimiento de la Prestadora. La Ley 1266 de 2008 no es aplicable a este tratamiento, porque Apilex no administra datos financieros, crediticios ni comerciales con fines de riesgo crediticio, salvo que se indique expresamente lo contrario.

1. Responsable y contacto

La Prestadora es Lawlabsai OÜ, sociedad de responsabilidad limitada constituida en Estonia, en adelante la “Prestadora”. Registro mercantil de Estonia: 17567633. Número de identificación de IVA (VAT): EE103014265.

Domicilio y dirección: Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412, Estonia.

Canal para protección de datos y ejercicio de derechos: info@apilex.ai. Atención al usuario: info@apilex.ai.

Persona designada para la atención de consultas y reclamos en materia de protección de datos (artículo 23 del Decreto 1377 de 2013, artículo 2.2.2.25.4.4 del Decreto 1074 de 2015): Berk Karayel. Contacto: info@apilex.ai. Las solicitudes pueden presentarse en español.

2. Roles en el tratamiento

La Prestadora actúa como Responsable del Tratamiento cuando define las finalidades del registro, la contratación, el cobro, la atención, la seguridad y la administración de su operación. Respecto de los documentos de clientes procesados bajo instrucciones de un abogado o de una firma, puede actuar como Encargado del Tratamiento, y corresponde a la firma la decisión sobre las finalidades de ese contenido.

Los roles se determinan por las operaciones reales y por los contratos aplicables. Un proveedor puede actuar como Encargado, subencargado o Responsable independiente según la actividad. El nombre atribuido a una parte no sustituye esa evaluación.

La sección 15 de los Términos y Condiciones regula las instrucciones del contratante para su contenido. Los datos de cuenta o de empleados no reciben automáticamente un único rol: la facturación y la seguridad propias se distinguen de la administración realizada por instrucción de la organización.

3. Datos y finalidades

Cuenta y contratación: datos de identificación y contacto, organización, autenticación, tarjeta profesional cuando se informe, plan y cobro, en la medida necesaria para la oferta y la ejecución del servicio. No se presume la verificación de la inscripción profesional por el solo hecho de que el producto esté dirigido a la actividad jurídica.

Uso y contenido: instrucciones, mensajes, documentos, respuestas y valoraciones suministradas por el usuario para la tarea solicitada. Estos materiales pueden incluir datos de terceros.

Demostración: concesión, vigencia y consumo de créditos, cuando la demostración esté disponible. Los datos necesarios para prevenir abusos deben ser proporcionales a la finalidad.

Atención: datos y contenido enviados en solicitudes de soporte o de ejercicio de derechos. Evite documentos de clientes cuando no sean necesarios para la solicitud.

Datos de uso: dirección IP, horarios de acceso, información del dispositivo y registros de fallas, según sean necesarios para el funcionamiento y la seguridad.

Pagos: información de cobro y de transacción necesaria para la contratación, incluidos los datos exigidos por el medio de pago elegido. El tratamiento se limita al cobro y a las obligaciones correspondientes. Los datos completos del instrumento de pago son tratados por el proveedor de pagos y no se almacenan en Apilex.

Finalidades: prestar el servicio contratado y la demostración; gestionar la cuenta, la autenticación y la seguridad; facturar y cobrar; atender consultas, reclamos y solicitudes de soporte; cumplir obligaciones legales, contables y tributarias; prevenir fraude y abuso; medir el uso y enviar comunicaciones promocionales únicamente con la autorización descrita en estos documentos. No se tratan datos para finalidades distintas de las informadas.

4. Autorización, principios y contenido profesional

El tratamiento se realiza con la autorización previa, expresa e informada del titular (artículo 9 de la Ley 1581 de 2012), obtenida al crear la cuenta, aceptar la oferta o utilizar los canales de contacto, por medios que permiten su consulta posterior. La Prestadora conserva prueba de la autorización. En los casos previstos en el artículo 10 de la Ley 1581 de 2012, la autorización no es necesaria. Las obligaciones legales y la defensa de derechos tienen fundamentos propios. La seguridad y la prevención de abuso se tratan en la medida necesaria para la ejecución del servicio, tras evaluar la necesidad, las expectativas del titular y las salvaguardas. Las promociones y las cookies opcionales se basan en una autorización separada, en el modelo descrito en estos documentos.

Se observan los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (artículo 4 de la Ley 1581 de 2012). El titular puede abstenerse de responder preguntas sobre datos sensibles o sobre niños, niñas y adolescentes; esa respuesta es facultativa.

Para el contenido tratado bajo instrucciones de una firma, el Responsable debe contar con la autorización de los titulares o con la excepción legal aplicable a la operación. Los datos sensibles exigen autorización explícita o una de las excepciones del artículo 6 de la Ley 1581 de 2012; el ejercicio o la defensa de un derecho en un proceso judicial puede ser pertinente según el caso, pero no autoriza automáticamente cualquier envío. La necesidad del servicio no es fundamento suficiente para datos sensibles.

Constituyen datos sensibles los que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, como los que revelan origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, organizaciones sociales, de derechos humanos o partidos políticos, salud, vida sexual y datos biométricos (artículo 5 de la Ley 1581 de 2012). Los datos sobre investigaciones o antecedentes penales también exigen un cuidado proporcional al riesgo.

5. Inteligencia artificial y búsqueda externa

Apilex utiliza tecnologías de OpenAI y de Anthropic. Los proveedores previstos se describen en la sección 13 de esta Política, según los recursos contratados. El nombre ChatGPT o Claude, por sí solo, no identifica el producto, la contratación ni la configuración de datos.

Las instrucciones, el contexto y los documentos necesarios son procesados por el proveedor del modelo. Cuando se utilice una herramienta de búsqueda externa, las consultas necesarias también podrán enviarse a los participantes de ese flujo, que deberán estar identificados en esta Política antes del uso. Una restricción a fuentes oficiales no mantiene el procesamiento exclusivamente en Apilex.

Evite incluir datos personales innecesarios en las preguntas de investigación. Las orientaciones del asistente no constituyen anonimización garantizada. Una negativa posterior al envío no deshace el procesamiento anterior.

Las instrucciones, los documentos y los resultados no se usan para entrenamiento o ajuste de modelos, publicidad, venta de contenido ni mejora general de productos de la Prestadora o de los proveedores. La Prestadora exige condiciones compatibles a los participantes que procesan ese contenido. La ausencia de entrenamiento no significa ausencia de almacenamiento.

La información operativa puede usarse para evaluar el desempeño y corregir fallas, sin reutilizar instrucciones, documentos o respuestas. Se aplican los fundamentos, los límites de acceso y los criterios de conservación de esta Política.

Los resultados jurídicos son apoyo para el profesional, que sigue siendo responsable de la decisión y de la revisión. Las funciones de gestión de la cuenta no se confunden con el contenido jurídico generado. Si existiera una decisión exclusivamente automatizada que afecte intereses de titulares, el tratamiento y los derechos correspondientes serán informados, conforme a la legislación aplicable.

6. Transmisión, acceso y divulgación

La sección 13 describe la configuración de proveedores de contenido prevista para la oferta. El flujo efectivo y los instrumentos internacionales se informan en la sección 7. Los servicios de cobro y de comunicación tratan únicamente los datos pertinentes para sus respectivas finalidades.

El acceso por empleados y contratistas se limita a la necesidad de la tarea, a las instrucciones aplicables y a la confidencialidad. Una solicitud de soporte no autoriza el acceso irrestricto a los documentos del contratante.

Las divulgaciones exigidas por la ley, por una autoridad pública en ejercicio de sus funciones o por orden judicial se evaluarán en cuanto a su necesidad y alcance. Los derechos de los titulares y las obligaciones propias de cada participante permanecen preservados.

7. Tratamiento internacional

El flujo real entre los usuarios en Colombia, la Prestadora establecida en Estonia y los demás participantes, incluido el acceso remoto por equipos, es el siguiente: los datos de usuarios en Colombia son recibidos por la Prestadora (Lawlabsai OÜ, Estonia) y alojados en la infraestructura de Amazon Web Services, Google Cloud Platform, MongoDB Atlas y Zilliz en el Espacio Económico Europeo; el contenido necesario para la solicitud es procesado por Anthropic (Claude, a través de Google Vertex AI) en el Espacio Económico Europeo y por OpenAI en los Estados Unidos; las llamadas a servicios globales de Google Vertex AI, cuando se utilicen, pueden procesarse fuera del Espacio Económico Europeo; el equipo de la propia Prestadora accede remotamente a los datos desde Turquía, en la medida necesaria para administrar cuentas, prestar soporte y operar el servicio. La sede de la empresa no determina, por sí sola, dónde se encuentran los servidores o las copias de seguridad. Apilex utiliza mecanismos automatizados para identificar y enmascarar determinados datos personales antes del envío a los modelos de inteligencia artificial, en los recursos en que esa función está disponible. Estos mecanismos pueden no identificar todos los datos personales y no garantizan una anonimización completa.

La recolección directa de datos del propio titular por un Responsable situado en el exterior tiene un régimen distinto de la transferencia entre agentes. El envío de datos de clientes por una firma a la Prestadora y la comunicación posterior a otros participantes deben evaluarse según el flujo real. La aplicación de la Ley 1581 de 2012 no se excluye por la eventual localización extranjera de la Prestadora.

Para las operaciones que constituyan transferencia (envío a otro Responsable) o transmisión (envío a un Encargado que trata datos por cuenta del Responsable) internacional en los términos del artículo 2.2.2.25.1.3 del Decreto 1074 de 2015, las partes, roles, datos, finalidades, países, accesos remotos, transferencias posteriores e instrumentos aplicables son los siguientes: (i) del titular o de la firma en Colombia a la Prestadora (Lawlabsai OÜ, Estonia): datos de cuenta, atención y contenido; (ii) de la Prestadora a Amazon Web Services, Google Cloud Platform, MongoDB Atlas, Zilliz, Google Vertex AI (llamadas regionales) y Anthropic, en el Espacio Económico Europeo: contenido necesario para la solicitud, con contrato de tratamiento de datos con cada proveedor; (iii) de la Prestadora a OpenAI (Estados Unidos) y a servicios globales de Google Vertex AI: contenido necesario para la solicitud, con contrato de tratamiento de datos con cada proveedor; (iv) acceso remoto por el equipo de la Prestadora desde Turquía: datos de cuenta, atención y contenido, limitado a la necesidad de la tarea y bajo obligaciones de confidencialidad y control de acceso de la Prestadora.

Estonia, los demás Estados miembros de la Unión Europea y del Espacio Económico Europeo y los Estados Unidos figuran entre los países que ofrecen un nivel adecuado de protección según los estándares fijados por la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017, incorporada a la Circular Única). Las transmisiones a Encargados y subencargados se amparan en contratos de transmisión de datos personales con el contenido exigido por el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, que incluyen la prohibición de entrenamiento y de reutilización del contenido. Para los flujos hacia países no incluidos en la lista de la Superintendencia, como el acceso remoto desde Turquía, el tratamiento se realiza por el propio personal de la Prestadora bajo sus controles, con fundamento en la autorización expresa e inequívoca del titular informada en esta Política y en la necesidad de ejecutar el contrato (artículo 26, literales a y e, de la Ley 1581 de 2012); los datos permanecen almacenados en el Espacio Económico Europeo. La autorización para el tratamiento y el mecanismo de transferencia o transmisión son requisitos distintos.

La información y, cuando corresponda, una copia de las cláusulas pertinentes pueden solicitarse al canal de protección de datos, con observancia de los términos de la sección 10 y de la protección de secretos legítimos. La aceptación de esta Política no es una autorización genérica para cualquier transferencia.

8. Conservación y supresión

Los datos se conservarán mientras sean necesarios para las finalidades informadas, salvo obligaciones legales y defensa de derechos (artículo 2.2.2.25.2.8 del Decreto 1074 de 2015). Terminada la necesidad, se procederá a la supresión u otra destinación legalmente admisible. La supresión de la cuenta alcanza su contenido, con observancia de esas salvedades y de la transición contratada.

Registros de acceso y de seguridad de la aplicación: hasta seis (6) meses, bajo confidencialidad y seguridad, sin perjuicio de la preservación legalmente exigida o requerida por autoridad competente. Esta regla no determina la conservación de todo el contenido de las conversaciones por seis meses.

Los participantes que procesan contenido por cuenta de la Prestadora deben observar las instrucciones y obligaciones de conservación y supresión aplicables, incluso al terminar su participación. Las obligaciones propias de un participante se evaluarán por separado, sin autorizar una reutilización incompatible del contenido.

Cuando exista fundamento para la conservación después de la terminación, los datos se limitarán a la finalidad pertinente. La retención no autoriza una reutilización incompatible. La información sobre la supresión debe distinguir lo que fue eliminado de lo que permaneció por motivo legítimo.

9. Seguridad e incidentes

La Prestadora se compromete a adoptar medidas administrativas, técnicas y humanas adecuadas al riesgo, a limitar los accesos y a exigir protección compatible de los participantes contratados (artículo 4, literal g, y artículo 17 de la Ley 1581 de 2012). La sección 16 de los Términos y Condiciones regula estos compromisos.

Las sospechas de exposición pueden comunicarse a info@apilex.ai, con únicamente la información necesaria para la verificación. Los incidentes serán evaluados y comunicados a la Superintendencia de Industria y Comercio y a los titulares cuando se cumplan los requisitos legales, en los términos aplicables, incluidos los previstos para el Registro Nacional de Bases de Datos cuando sea exigible. La comunicación recibida de un proveedor no sustituye las obligaciones propias de la Prestadora.

10. Derechos de los titulares y procedimiento

El titular puede conocer, actualizar y rectificar sus datos personales; solicitar prueba de la autorización otorgada; ser informado, previa solicitud, sobre el uso dado a sus datos; revocar la autorización y solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales; acceder en forma gratuita a sus datos personales objeto de tratamiento; y presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012 (artículo 8). La revocatoria o la supresión no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos.

Solicitudes: info@apilex.ai. Pueden presentarlas el titular, sus causahabientes, su representante o apoderado, o quien actúe por estipulación a favor de otro (artículo 2.2.2.25.4.1 del Decreto 1074 de 2015). La verificación de identidad será proporcional, sin exigir documentos excesivos. Cuando los datos estén bajo control de una firma, la solicitud podrá requerir traslado al Responsable, con asistencia de la Prestadora.

Consultas: se atenderán en un término máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no sea posible atender la consulta en ese término, se informarán los motivos de la demora y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término (artículo 14 de la Ley 1581 de 2012).

Reclamos: el reclamo debe contener la identificación del titular, la descripción de los hechos que lo motivan, la dirección y los documentos que se quieran hacer valer. Si está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción; transcurridos dos (2) meses sin respuesta, se entenderá desistido. Recibido el reclamo completo, se incluirá en la base de datos la leyenda “reclamo en trámite” en un término no mayor a dos (2) días hábiles. El término máximo para atenderlo será de quince (15) días hábiles contados desde el día siguiente a la fecha de recibo; si no es posible, se informarán los motivos y la nueva fecha, que no superará los ocho (8) días hábiles siguientes al vencimiento del primer término (artículo 15 de la Ley 1581 de 2012).

El titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante la Prestadora (artículo 16 de la Ley 1581 de 2012). No se establece una prórroga genérica de los términos por decisión unilateral.

11. Niños, niñas y adolescentes

El servicio está dirigido a adultos en actividad profesional. No envíe datos personales de niños, niñas y adolescentes en esta versión. El tratamiento de esos datos exige las condiciones del artículo 7 de la Ley 1581 de 2012 y del artículo 2.2.2.25.2.9 del Decreto 1074 de 2015. Si identifica un envío accidental, comunique el canal de protección de datos, sin repetir el contenido innecesariamente. La restricción de uso no elimina las obligaciones relativas a los datos que hayan sido recibidos.

12. Vigencia y actualizaciones

Esta Política rige a partir del 13 de octubre de 2026. Las bases de datos administradas por la Prestadora permanecerán vigentes mientras subsista la relación con el titular y las finalidades descritas, y mientras exista una obligación legal o contractual de conservación, conforme a la sección 8.

Los cambios relevantes de finalidad, participantes o condiciones se informarán antes de su aplicación, con las medidas contractuales y de protección de datos necesarias; cuando impliquen un tratamiento nuevo, se solicitará una nueva autorización. El simple cambio de proveedor no autoriza la reducción retroactiva de garantías ni el uso incompatible de datos anteriores. La versión vigente y la información aplicable permanecen identificables para el usuario en https://co.apilex.ai y en el sitio público.

13. Proveedores del tratamiento de contenido

OpenAI: suministro de modelos de inteligencia artificial para procesar instrucciones, documentos y demás contenido necesario para la solicitud. Región prevista en la configuración de referencia: Estados Unidos.

Anthropic Claude a través de Google Vertex AI: suministro de modelos, con intermediación de la infraestructura de Google. Datos comprendidos: contenido necesario para la solicitud, incluidos los datos personales presentes en él. Región prevista: Espacio Económico Europeo.

Google Vertex AI: infraestructura de acceso a los modelos. Datos comprendidos: contenido necesario para la solicitud. La configuración distingue llamadas regionales en el Espacio Económico Europeo y llamadas a servicios globales, según el recurso contratado.

Amazon Web Services y Google Cloud Platform: alojamiento e infraestructura. MongoDB Atlas: base de datos de la aplicación. Zilliz: base de datos para búsqueda por similitud. Estos servicios pueden tratar datos personales incluidos en el contenido. Región prevista para estas funciones: Espacio Económico Europeo.

La relación describe la configuración prevista para la oferta; el recurso contratado determina qué participantes reciben contenido. No hay envío necesario a todos ellos. La identificación comercial no sustituye la identificación de las partes en los instrumentos de tratamiento y transmisión informados en la sección 7. Los accesos remotos y las operaciones posteriores integran esa evaluación.

Los participantes deben observar las finalidades, la confidencialidad y la prohibición de entrenamiento y reutilización del contenido previstas en esta Política y en los Términos. Los nuevos subencargados o sustituciones siguen el aviso directo de 30 días y la oportunidad de objeción de la sección 15 de los Términos. Actualizar esta Política no sustituye el aviso contractual ni elimina las obligaciones sobre datos anteriores.