Aviso de Privacidad

Versión 1.1 · Vigencia: 9 de noviembre de 2026

Este Aviso de Privacidad integral explica el tratamiento de datos personales relacionado con Apilex, incluidos los visitantes del sitio, los usuarios de demostración, los clientes y las personas cuyos datos se incorporen al servicio. Se emite conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025 (la “LFPDPPP”), así como a su Reglamento y a los Lineamientos del Aviso de Privacidad en lo que no se opongan a la Ley vigente. La oferta dirigida a México observa la LFPDPPP en los casos en que resulta aplicable, con independencia del país de establecimiento de la prestadora.

1. Responsable y contacto

La responsable del tratamiento es Lawlabsai OÜ, sociedad de responsabilidad limitada constituida conforme a las leyes de Estonia, en adelante la “Prestadora”. Registro mercantil de Estonia: 17567633. Número de identificación de IVA (VAT): EE103014265.

Domicilio: Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412, Estonia. La Prestadora no cuenta con domicilio en México; el medio de contacto para todos los efectos de este Aviso es electrónico.

Canal para privacidad y ejercicio de derechos: info@apilex.ai. Atención a usuarios: info@apilex.ai.

Departamento de datos personales (LFPDPPP, art. 29): a cargo de Berk Karayel. Contacto: info@apilex.ai. Las solicitudes pueden presentarse en español.

2. Papeles en el tratamiento

La Prestadora actúa como responsable al decidir las finalidades del registro, la contratación, el cobro, la atención, la seguridad y la administración de su operación. Respecto de los documentos de clientes procesados conforme a las instrucciones de un abogado o despacho, actúa como encargado: el despacho decide las finalidades de ese contenido y es responsable frente a sus propios clientes y titulares.

Los papeles se determinan por las operaciones reales y por los contratos aplicables. Un proveedor puede actuar como encargado, subencargado o responsable independiente según la actividad. La denominación atribuida a una parte no sustituye esa evaluación.

La sección 15 de los Términos de Uso regula las instrucciones del contratante para su contenido. Los datos de cuenta o de empleados no reciben automáticamente un único papel: la facturación y la seguridad propias se distinguen de la administración realizada por instrucción de la organización.

3. Datos personales que tratamos

Identificación y contacto: nombre, correo electrónico, teléfono cuando se proporcione, organización y cargo.

Datos profesionales: número de cédula profesional cuando el usuario lo proporcione. Apilex no verifica la cédula ante el Registro Nacional de Profesionistas ni presume la calidad de abogado por el solo hecho de que el producto esté dirigido a la actividad jurídica.

Cuenta y autenticación: credenciales, códigos de verificación, preferencias, registros de aceptación de documentos legales y de consentimientos.

Datos patrimoniales o financieros: información de cobro y transacción necesaria para la contratación, incluidos los datos exigidos por el medio de pago elegido. El número completo de la tarjeta no es almacenado por la Prestadora; lo procesa el proveedor de pagos. El tratamiento se limita al cobro y a las obligaciones fiscales y contables correspondientes.

Uso y dispositivo: dirección IP, fechas y horas de acceso, información del navegador y del dispositivo, y registros de fallas, en la medida necesaria para el funcionamiento y la seguridad.

Contenido: instrucciones, mensajes, documentos, respuestas y valoraciones proporcionadas por el usuario para la tarea solicitada. Estos materiales pueden incluir datos personales de terceros, incluidos, en su caso, datos sensibles.

Demostración: otorgamiento, vigencia y consumo de créditos, cuando la demostración esté disponible. Los datos necesarios para prevenir abusos deben ser proporcionales a la finalidad.

Atención: datos y contenido enviados en solicitudes de soporte o de ejercicio de derechos. Evite incluir documentos de clientes cuando no sean necesarios para la solicitud.

La Prestadora no solicita datos personales sensibles de los usuarios para operar el servicio.

4. Finalidades

Finalidades primarias, necesarias para la relación jurídica: crear y administrar la cuenta; autenticar al usuario; prestar el servicio contratado o la demostración, incluido el procesamiento del contenido mediante los proveedores descritos en este Aviso; cobrar, facturar y emitir comprobantes; atender solicitudes de soporte y de ejercicio de derechos; garantizar la seguridad de la Plataforma y prevenir fraudes y abusos; cumplir obligaciones legales, fiscales y regulatorias; y documentar la aceptación de los Términos y los consentimientos.

Finalidades secundarias, que no son necesarias para la relación jurídica: enviar comunicaciones promocionales sobre novedades, eventos y ofertas de Apilex, por los canales y para los temas que el usuario seleccione; y medir el uso de la Plataforma y del sitio público mediante tecnologías opcionales de análisis, rendimiento y publicidad, conforme a la Política de Cookies.

Las finalidades secundarias sólo se atienden con el consentimiento del usuario, que puede negarse desde el momento del registro (las casillas no están preseleccionadas) o en cualquier momento posterior, por info@apilex.ai, en Configuración > Comunicaciones o en Configuración > Cookies. La negativa no es motivo para negar el servicio contratado ni la demostración.

5. Datos sensibles, patrimoniales y contenido profesional

Los datos personales sensibles (entre otros, origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas y preferencia sexual) y los datos patrimoniales o financieros exigen consentimiento expreso del titular, salvo las excepciones previstas en la LFPDPPP. El consentimiento expreso para los datos de cobro se recaba en el flujo de pago.

Para el contenido tratado conforme a las instrucciones de un despacho, corresponde al despacho, como responsable, identificar el fundamento del tratamiento y, cuando el contenido incluya datos sensibles o patrimoniales de terceros, contar con el consentimiento o con la excepción legal aplicable. El hecho de que el tratamiento se relacione con el ejercicio o la defensa de derechos puede ser pertinente según el caso, pero no autoriza automáticamente cualquier envío.

Los datos sobre investigaciones, procesos penales o sanciones también exigen un cuidado proporcional al riesgo, aun cuando no se enumeren expresamente entre los datos sensibles. Las restricciones de envío de la sección 5 de los Términos de Uso se aplican a todo contenido.

6. Consentimiento y su revocación

Para los datos no sensibles, el consentimiento se entiende otorgado tácitamente cuando, puesto a disposición este Aviso, el titular no manifiesta su oposición, o bien se recaba de forma expresa en los formularios correspondientes. Para los datos patrimoniales o financieros y para los datos sensibles se recaba consentimiento expreso. El consentimiento no se requiere en los supuestos de excepción previstos en la LFPDPPP, como el cumplimiento de obligaciones derivadas de la relación jurídica con el titular o de una disposición legal.

El titular puede revocar su consentimiento en cualquier momento por info@apilex.ai, sin efectos retroactivos. La revocación puede implicar que la Prestadora no pueda seguir prestando el servicio cuando el tratamiento sea necesario para ello, y no afecta la conservación exigida por obligaciones legales.

7. Inteligencia artificial y búsqueda externa

Apilex utiliza tecnologías de OpenAI y de Anthropic. Los proveedores previstos se describen en la sección 15 de este Aviso, según los recursos contratados. El nombre ChatGPT o Claude, por sí solo, no identifica el producto, la contratación ni las configuraciones de datos.

Las instrucciones, el contexto y los documentos necesarios son procesados por el proveedor del modelo. Cuando se utilice una herramienta de búsqueda externa, las consultas necesarias también podrán enviarse a los participantes de ese flujo, que deberán estar identificados en este Aviso antes de su uso. La restricción a fuentes oficiales no mantiene el procesamiento exclusivamente en Apilex.

Evite incluir datos personales innecesarios en las preguntas de investigación. Las orientaciones del asistente no constituyen una anonimización garantizada. Una negativa posterior al envío no deshace el procesamiento anterior.

Las instrucciones, los documentos y los resultados no se utilizan para el entrenamiento o ajuste de modelos, para publicidad, para la venta de contenido ni para la mejora general de productos de la Prestadora o de los proveedores. La Prestadora exige condiciones compatibles a los participantes que procesan ese contenido. La ausencia de entrenamiento no significa ausencia de almacenamiento.

La información operativa puede utilizarse para evaluar el desempeño y corregir fallas, sin reutilizar instrucciones, documentos o respuestas. Se aplican los fundamentos, los límites de acceso y los criterios de conservación de este Aviso.

Los resultados jurídicos son un apoyo para el profesional, que sigue siendo responsable de la decisión y de la revisión. Las funciones de administración de la cuenta no se confunden con el contenido jurídico generado. Apilex no adopta decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre los titulares; si ello ocurriera, el tratamiento y los derechos correspondientes se informarían conforme a la legislación aplicable.

8. Remisiones, transferencias y tratamiento internacional

La LFPDPPP distingue entre la remisión de datos a un encargado que los trata por cuenta de la Prestadora y la transferencia a un tercero distinto del responsable y del encargado (art. 2, fracción XX). Las remisiones a encargados, nacionales o internacionales, no constituyen transferencias y no requieren consentimiento del titular; se documentan mediante contratos que obligan al encargado a tratar los datos sólo conforme a las instrucciones de la Prestadora, a guardar confidencialidad, a implementar medidas de seguridad y a suprimir los datos al concluir el servicio. Por transparencia, este Aviso describe también esas remisiones.

El flujo real entre los usuarios en México, la Prestadora establecida en Estonia y los demás participantes, incluido el acceso remoto de equipos, es el siguiente: los datos de usuarios en México son recibidos por la Prestadora (Lawlabsai OÜ, Estonia) y alojados en la infraestructura de Amazon Web Services, Google Cloud Platform, MongoDB Atlas y Zilliz en el Espacio Económico Europeo; el contenido necesario para la solicitud es procesado por Anthropic (Claude, a través de Google Vertex AI) en el Espacio Económico Europeo y por OpenAI en los Estados Unidos de América; las llamadas a servicios globales de Google Vertex AI, cuando se utilizan, pueden procesarse fuera del Espacio Económico Europeo; y el personal de la propia Prestadora accede remotamente a los datos desde Türkiye, en la medida necesaria para administrar cuentas, prestar soporte y operar el servicio. La sede de la empresa no determina, por sí sola, dónde se ubican los servidores o las copias de seguridad. Apilex utiliza mecanismos automatizados para identificar y enmascarar determinados datos personales antes de su envío a los modelos de inteligencia artificial, en los recursos en que esa función está disponible. Esos mecanismos pueden no identificar todos los datos personales y no garantizan una anonimización completa.

Remisiones a encargados, que no requieren consentimiento por tratarse de tratamiento por cuenta de la Prestadora: (i) Amazon Web Services, Google Cloud Platform, MongoDB Atlas y Zilliz, en el Espacio Económico Europeo: alojamiento, base de datos y búsqueda por similitud; (ii) Google Vertex AI (llamadas regionales) y Anthropic, en el Espacio Económico Europeo: contenido necesario para la solicitud; (iii) OpenAI, en los Estados Unidos de América, y servicios globales de Google Vertex AI: contenido necesario para la solicitud; (iv) proveedores de envío de correo transaccional y de soporte: datos de contacto y contenido de las comunicaciones; (v) acceso remoto por el personal de la Prestadora desde Türkiye: datos de cuenta, atención y contenido, limitado a la necesidad de la tarea. Cada encargado está sujeto a un contrato de tratamiento de datos con las obligaciones que exigen la legislación mexicana y la del lugar de establecimiento de la Prestadora.

Transferencias a terceros que se efectúan: (i) al proveedor de servicios de pago (Stripe), para procesar cobros, prevenir fraudes y cumplir sus propias obligaciones regulatorias, por ser necesaria para el mantenimiento o cumplimiento de la relación jurídica con el titular; (ii) a autoridades competentes, cuando exista un requerimiento legalmente fundado; (iii) a asesores profesionales sujetos a confidencialidad, cuando sea necesario para el ejercicio o la defensa de derechos de la Prestadora; (iv) a la organización contratante, respecto de los datos de los usuarios que administra. Estas transferencias se ubican en los supuestos de excepción del artículo 36 de la LFPDPPP y, por tanto, no requieren consentimiento. Cualquier otra transferencia se realizará sólo con el consentimiento del titular. La Prestadora no vende datos personales ni los transfiere para fines de mercadotecnia de terceros.

Los titulares pueden solicitar información adicional sobre los participantes y los instrumentos aplicables por el canal de privacidad, con protección de los secretos legítimos. La aceptación de este Aviso no constituye un consentimiento genérico para cualquier transferencia.

9. Conservación, bloqueo y supresión

Los datos se conservarán mientras sean necesarios para las finalidades informadas, salvo obligaciones legales y defensa de derechos. Concluida la necesidad, los datos pasan a un periodo de bloqueo, durante el cual sólo se conservan para determinar posibles responsabilidades y no se tratan para ninguna otra finalidad, y después se suprimen. La supresión de la cuenta alcanza su contenido, con esas salvedades y con la transición contratada.

Plazos de referencia: datos de cuenta y contenido, mientras la cuenta esté activa y durante el periodo de exportación de 30 días posterior a su cierre; registros de cobro y comprobantes, durante los plazos de conservación fiscal y contable aplicables (por regla general, cinco años); registros técnicos de acceso y seguridad, hasta seis meses, bajo confidencialidad, salvo preservación legalmente exigida; registros de consentimientos y de sus revocaciones, mientras sean necesarios para demostrar su existencia y respetar la decisión del titular. Esa regla no implica conservar el contenido de las conversaciones por esos plazos.

Los participantes que procesan contenido por cuenta de la Prestadora deben observar las instrucciones y las obligaciones de conservación y supresión aplicables, incluso al concluir su participación. Las obligaciones propias de un participante se evaluarán por separado, sin autorizar una reutilización incompatible del contenido.

Cuando exista fundamento para conservar datos después de la terminación, se limitarán a la finalidad pertinente. La retención no autoriza una reutilización incompatible. La información sobre la supresión debe distinguir lo que fue eliminado de lo que permaneció por motivo legítimo.

10. Seguridad y vulneraciones

La Prestadora se compromete a adoptar las medidas de seguridad administrativas, técnicas y físicas adecuadas al riesgo, a limitar los accesos y a exigir una protección compatible a los participantes contratados. La sección 16 de los Términos de Uso regula esos compromisos.

Las sospechas de exposición pueden comunicarse a info@apilex.ai, con sólo la información necesaria para la investigación. Las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de los titulares les serán informadas de forma inmediata (LFPDPPP, art. 19), con indicación de la naturaleza del incidente, los datos comprometidos, las recomendaciones para proteger sus intereses, las medidas correctivas adoptadas y los medios para obtener más información. Cuando la normativa lo exija, también se informará a la autoridad. La comunicación recibida de un proveedor no sustituye las obligaciones propias de la Prestadora.

11. Derechos ARCO y limitación del uso

El titular puede solicitar el acceso a sus datos personales, su rectificación cuando sean inexactos o incompletos, su cancelación cuando ya no sean necesarios para las finalidades informadas, y oponerse a su tratamiento por causa legítima o cuando se utilicen para finalidades específicas. También puede revocar su consentimiento y limitar el uso o divulgación de sus datos, por ejemplo mediante su inscripción en la lista de exclusión de la Prestadora o en el Registro Público para Evitar Publicidad (REPEP) de la Procuraduría Federal del Consumidor.

Solicitudes: info@apilex.ai. La solicitud debe indicar el nombre del titular y un medio para comunicar la respuesta; la descripción clara y precisa de los datos y del derecho que se ejerce; los documentos que acrediten la identidad o, en su caso, la representación; y, para rectificaciones, la documentación que sustente la modificación. La verificación de identidad será proporcional, sin exigir documentos excesivos. Cuando los datos estén bajo el control de un despacho, la solicitud podrá requerir su remisión al responsable, con la asistencia de la Prestadora.

La Prestadora comunicará su determinación en un plazo máximo de veinte días hábiles contados desde la recepción de la solicitud y, si resulta procedente, la hará efectiva dentro de los quince días hábiles siguientes (LFPDPPP, art. 31). Esos plazos podrán ampliarse por una sola vez, por un periodo igual, cuando las circunstancias lo justifiquen y así se notifique. El ejercicio de los derechos es gratuito; únicamente podrán cobrarse los gastos justificados de envío o de reproducción. La negativa, total o parcial, se comunicará de forma fundada en los supuestos previstos por la Ley, como cuando el solicitante no sea el titular o no acredite la representación, los datos no obren en poder de la Prestadora, se lesionen derechos de terceros o exista un impedimento legal.

Si el titular no está conforme con la respuesta o no la recibe en el plazo legal, podrá iniciar el procedimiento de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno dentro de los quince días hábiles siguientes (LFPDPPP, art. 40). No se establece una prórroga genérica de derechos por decisión unilateral.

12. Cookies y tecnologías similares

El sitio público y la Plataforma utilizan cookies, almacenamiento local y tecnologías similares. Las tecnologías estrictamente necesarias permiten la autenticación, la seguridad y el registro de la elección de privacidad. Las categorías opcionales de preferencias, análisis, rendimiento y publicidad sólo se activan con la elección afirmativa del usuario y pueden desactivarse en cualquier momento mediante el enlace “Preferencias de cookies” del sitio, en Configuración > Cookies en la Plataforma, o en la configuración del navegador. La Política de Cookies describe las tecnologías, sus finalidades, los participantes y la forma de deshabilitarlas.

13. Niñas, niños y adolescentes

El servicio está destinado a personas adultas en el ejercicio de una actividad profesional. No envíe datos personales de niñas, niños y adolescentes en esta versión. Si identifica un envío accidental, comuníquelo al canal de privacidad, sin repetir el contenido innecesariamente. La restricción de uso no elimina las obligaciones relativas a los datos que hayan sido recibidos.

14. Cambios al Aviso

Este Aviso puede modificarse por cambios legislativos, por nuevas finalidades o participantes, o por ajustes en el servicio. Las modificaciones relevantes de finalidades, participantes o condiciones se informarán antes de su aplicación mediante aviso en la Plataforma y, cuando corresponda, por correo electrónico al contacto de la cuenta, con las medidas contractuales y de protección de datos necesarias. La versión vigente, con su número y fecha, está disponible en https://mx.apilex.ai/legal/privacy-notice. El simple cambio de un proveedor no autoriza la reducción retroactiva de garantías ni el uso incompatible de datos anteriores. Cuando una modificación requiera un nuevo consentimiento, se recabará antes de aplicarla.

15. Encargados del tratamiento de contenido

OpenAI: provisión de modelos de inteligencia artificial para procesar instrucciones, documentos y demás contenido necesario para la solicitud. Región prevista en la configuración de referencia: Estados Unidos de América.

Anthropic Claude a través de Google Vertex AI: provisión de modelos, con intermediación de la infraestructura de Google. Datos comprendidos: contenido necesario para la solicitud, incluidos los datos personales presentes en él. Región prevista: Espacio Económico Europeo.

Google Vertex AI: infraestructura de acceso a los modelos. Datos comprendidos: contenido necesario para la solicitud. La configuración distingue llamadas regionales en el Espacio Económico Europeo y llamadas a servicios globales, según el recurso contratado.

Amazon Web Services y Google Cloud Platform: alojamiento e infraestructura. MongoDB Atlas: base de datos de la aplicación. Zilliz: base de datos para búsqueda por similitud. Estos servicios pueden tratar datos personales incluidos en el contenido. Región prevista para esas funciones: Espacio Económico Europeo.

La relación describe la configuración prevista para la oferta; el recurso contratado determina qué participantes reciben contenido. No hay envío necesario a todos ellos. La identificación comercial no sustituye la identificación de las partes en los instrumentos de tratamiento descritos en la sección 8. Los accesos remotos y las operaciones posteriores forman parte de esa evaluación.

Los participantes deben observar las finalidades, la confidencialidad y la prohibición de entrenamiento y reutilización de contenido previstas en este Aviso y en los Términos. Los nuevos subencargados o las sustituciones siguen el aviso directo de 30 días y la oportunidad de objeción de la sección 15 de los Términos. Actualizar este Aviso no sustituye el aviso contractual ni elimina las obligaciones sobre datos anteriores.

16. Autoridad competente

La autoridad garante en materia de protección de datos personales en posesión de los particulares es la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones que correspondían al extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). Ante ella puede tramitarse el procedimiento de protección de derechos descrito en la sección 11 y presentarse denuncias por presuntas violaciones a la LFPDPPP. En materia de consumo, la Procuraduría Federal del Consumidor conserva sus atribuciones, incluido el REPEP.

17. Aviso de privacidad simplificado

Lawlabsai OÜ (Apilex), con domicilio en Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412, Estonia, es responsable del tratamiento de sus datos personales de identificación, contacto, cuenta, cobro y uso, así como del contenido que usted envíe, con las finalidades primarias de crear y administrar su cuenta, prestar el servicio o la demostración, cobrar, atender solicitudes, garantizar la seguridad y cumplir obligaciones legales. De manera adicional, y sólo con su consentimiento, trataremos sus datos para enviarle comunicaciones promocionales y para medir el uso mediante tecnologías opcionales. Si no desea que sus datos se traten para estas finalidades secundarias, deje sin marcar la casilla correspondiente en el formulario o escriba a info@apilex.ai; su negativa no afecta el servicio. El contenido se procesa mediante encargados ubicados en el Espacio Económico Europeo y en los Estados Unidos de América y no se utiliza para entrenar modelos. Puede consultar el Aviso de Privacidad integral, incluidos los mecanismos para ejercer sus derechos ARCO, en https://mx.apilex.ai/legal/privacy-notice.