RGPD y software para despachos: las 7 preguntas sobre tus datos

Cuando un despacho contrata un software de gestión, firma dos cosas a la vez. Una es un precio. La otra es un contrato por el que una empresa que no conoces pasa a tratar los hechos y las noticias que el artículo 542.3 de la Ley Orgánica del Poder Judicial te obliga a guardar en secreto, y que viven dentro de tus expedientes. De la primera se habla mucho. De la segunda, en nuestra experiencia, casi nadie pregunta nada hasta que quiere irse.

Este artículo son siete preguntas para hacer antes de firmar. No son retóricas: nos hemos leído toda la documentación contractual que hemos podido descargar de once proveedores de software para despachos españoles —condiciones generales, contratos de encargo y políticas de privacidad— y las hemos contestado una a una. Donde no existe o no era accesible, lo decimos.

Datos verificados el 14 de septiembre de 2026.

Un aviso de partida: AutonomIA Legal es nuestro producto. No está entre los once revisados, pero nos sometemos a las mismas siete preguntas al final, y no salimos bien parados en todas. Y otro aviso más útil: ninguna de estas preguntas exige que cambies de proveedor. Exigen que el que tengas te las conteste por escrito.

Por qué estas siete preguntas y no otras

Porque casi nadie las formula, y quien las formula no las responde.

Al preparar este artículo revisamos veintitrés páginas publicadas en español sobre protección de datos y software jurídico. No es un censo: es lo que encontramos en septiembre de 2026. Quince de ellas son de fabricantes de software, y casi todas se dedican a explicar las obligaciones que el Reglamento impone al despacho. Ninguna de esas quince aborda las que asume ella misma como encargada del tratamiento.

Hay un matiz que merece reconocimiento. LexIAGest —que es, a la vez, uno de los once proveedores revisados— publicó este mismo mes una comparativa que formula cinco de estas siete preguntas, con sus artículos bien citados. No responde ninguna. Nosotros hemos hecho la parte aburrida: leernos la letra pequeña de once proveedores.

Y hay un dato que conviene tener delante mientras lees, con su reserva. No hemos localizado ninguna resolución sancionadora de la Agencia Española de Protección de Datos contra un proveedor español de software jurídico, con la limitación de que su buscador de resoluciones no admitió consultas durante nuestra revisión, así que no nos consta ninguna, que no es lo mismo que decir que no existan. Quien da la cara ante la Agencia, en todo caso, es el despacho: el responsable del tratamiento eres tú.

1. ¿Dónde está escrito que mi proveedor es un encargado del tratamiento?

Es la pregunta que ordena todas las demás, y conviene hacerla aunque la respuesta parezca obvia.

Si el software guarda tus expedientes en sus servidores, esa empresa trata datos personales por cuenta tuya. El artículo 28.1 del Reglamento dice que el responsable «elegirá únicamente un encargado que ofrezca garantías suficientes». Elegir bien es tu obligación, y es justificable o no lo es.

Hay un caso que cambia el análisis y conviene conocer. Kmaleon no es un servicio en la nube: sus condiciones de enero de 2026 otorgan «una licencia descargable de uso profesional, revocable, intransferible, no exclusiva y no sublicenciable» (cl. 1.3). El programa se instala en tu equipo, y sus condiciones trasladan las copias al cliente con todas las letras: «Es responsabilidad del Cliente disponer, configurar y usar un programa de copias de seguridad» (cl. 9.9). Eso no elimina por sí solo la figura del encargado —el propio Kmaleon prevé entregar un contrato de encargo a quien lo pida, y ofrece una copia en nube prestada por un tercero—, pero sí cambia quién custodia el fichero principal. Pregunta en qué supuestos te consideran encargado. Y un apunte justo: sus condiciones no incluyen prórroga tácita ni renovación automática, algo poco común en este mercado.

2. ¿Puedo leer vuestro contrato de encargo antes de firmar?

Aquí empieza a verse quién ha hecho los deberes.

El artículo 28.3 del RGPD exige que el tratamiento se rija «por un contrato u otro acto jurídico» que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados. No es una formalidad: es el documento que acredita que elegiste bien.

De los once proveedores revisados, tres publican ese contrato donde cualquiera puede leerlo antes de firmar: Maite, con un anexo específico; Lefebvre, dentro de sus condiciones generales y con las categorías de datos enumeradas una a una, incluidos los penales y los de salud; y Sudespacho, incorporado en la cláusula 15.2 de sus condiciones. Al final del artículo verás cómo quedamos nosotros en este mismo criterio.

De los ocho restantes, siete se resuelven rápido: Kmaleon lo entrega solo a quien lo pide expresamente, y ya contamos ese detalle al analizar sus alternativas. Quolaw se apoya en un contrato genérico publicado en las condiciones de vLex que nunca nombra a Quolaw. LexIAGest lo entrega a petición. Abogafín, AccioGest y Nubbius no lo publican. Y de Aranzadi no hemos podido verificarlo: su política de privacidad accesible no menciona la figura del encargado.

El octavo, MN Program, merece párrafo aparte. Tiene un documento descargable que parece el contrato de encargo, pero su cláusula 2.1 acota que el tratamiento «se limitará a las actuaciones necesarias para realizar la comprobación de la viabilidad de la migración». Es decir: cubre la prueba de migración, no el servicio que vas a usar durante los próximos años. Su página de seguridad afirma que todos sus clientes tienen uno firmado; no lo publica.

3. ¿Dónde están mis datos, según el contrato y no según el pie de la web?

Esta es la pregunta donde más barato sale encontrar una contradicción.

El artículo 44 del Reglamento solo permite transferir datos «a un tercer país u organización internacional» si se cumplen las condiciones del capítulo V. Por eso casi todos los fabricantes ponen una frase tranquilizadora en algún sitio. El problema es que esa frase suele estar en un pie de página, no en el documento que firmas.

Tres ejemplos verificados el mismo día:

• MN Program afirma cuatro ubicaciones distintas en cuatro páginas propias: «en España, cumpliendo con la LOPD» (una norma derogada desde 2018), «en la UE cumpliendo con el RGPD», «Microsoft Azure» y, en un documento de mayo de 2022, «dos Data Centers de R situados en Coruña y Vigo». En esa misma web, su política de privacidad contiene texto de otra empresa, con una dirección de contacto que no es la suya.
• AccioGest dice «Servidores en España» en el pie de su web, mientras su política de privacidad declara Amazon Web Services con tratamiento en la Unión Europea y en Estados Unidos, amparado en cláusulas contractuales tipo.
• Nubbius invoca en su página de seguridad, como garantías vigentes, el Safe Harbor —anulado por el Tribunal de Justicia en 2015— y la certificación SAS 70 Tipo II, retirada en 2011. Esa página es además un espejo estático generado con una herramienta de copia de webs.

Ninguna de las tres cosas es necesariamente un incumplimiento. Lo que son es un aviso: el documento que deberías mirar primero es el contrato y la política de privacidad, no el pie de la web, porque el pie no suele formar parte de lo que firmas. Si las dos fuentes dicen cosas distintas, pide por escrito cuál de las dos es la buena.

Y hay silencios que también informan. Lefebvre, uno de los proveedores de mayor implantación, no concreta el país de sus servidores: habla de «los servidores de Lefebvre», sin más, aunque sí declara que los datos quedan «cifrados y con un acceso securizado» (condiciones de producto, cl. 3.1). A cambio, hace la afirmación más rotunda de las once y merece reconocerse: su cláusula 12.5 dice que «no se llevarán a cabo transferencias internacionales de los datos de carácter personal responsabilidad del cliente a los que tenga acceso». Eso es un compromiso contractual, no un adorno.

El único que concreta proveedor y país es LexIAGest, que nombra a Supabase e Irlanda. Quolaw permite elegir región entre Europa, Estados Unidos y Australia, sin decir país ni proveedor. Sudespacho declara la Unión Europea, pero solo para su producto aparte de copias de seguridad (cl. 24.1); para el servicio principal no lo dice. Abogafín y Nubbius se quedan en «datos en la nube» y «nube de Google», sin región.

De Aranzadi no hemos podido verificar el alojamiento: sus páginas de producto no respondieron durante nuestra revisión y su tienda está tras un cortafuegos. Sus notas de prensa mencionan alojamiento en Azure y certificación del Esquema Nacional de Seguridad en categoría alta; no hemos podido contrastarlo contra ningún certificado, así que no lo afirmamos. Lo que sí hemos podido leer, su política de privacidad accesible, no menciona la figura del encargado ni a sus subencargados. Pídeselo.

4. ¿Quiénes son vuestros subencargados, y están en el Espacio Económico Europeo?

Esta es la pregunta que casi nadie hace y la que más lejos llega.

El artículo 28.2 establece que tu proveedor «no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable», y que si la autorización es general debe informarte de los cambios «dando así al responsable la oportunidad de oponerse». Tú autorizas esa cadena. No puedes autorizar lo que no sabes que existe.

De once proveedores, uno solo publica la lista con nombres y dice además si cada uno está en el Espacio Económico Europeo. Es Maite, cuyo anexo enumera siete y reconoce que tres de ellos no lo están. Eso no es un defecto: es exactamente la información que necesitas para decidir, y es más de lo que da el resto del mercado junto.

Otros dos publican nombres sin completar el cuadro: LexIAGest enumera cuatro pero solo declara la ubicación de uno, y AccioGest enumera cinco.

En el extremo contrario hay dos redacciones que conviene leer antes de firmar. Sudespacho, en su cláusula 18, se reserva poder «contratar y/o subcontratar con terceras entidades todo lo que estime oportuno». Y Lefebvre abre su cláusula 12.12 diciendo que «no se subcontratarán los servicios con terceros» para, a continuación, autorizar el tratamiento a «las empresas y profesionales que Lefebvre, como Encargado, tenga contratados para que le presten servicios generales o auxiliares (servicios informáticos, tecnológicos, logísticos, asesoramiento, auditorías, etc.)», con tres días para que te opongas. No hay lista.

Un detalle que a un abogado le dirá bastante: el único contrato de encargo público de MN Program prohíbe la subcontratación por completo. Es coherente con su modelo, y es el documento que solo cubre la migración de prueba.

5. ¿Qué pasa con mis datos el día que me vaya?

El artículo 28.3.g exige que el encargado, «a elección del responsable», suprima o devuelva todos los datos al terminar. La elección es tuya, no suya. Cómo se traduce eso en la práctica es donde se ve la diferencia entre un contrato pensado y uno copiado.

Solo dos de los once fijan un plazo por escrito. LexIAGest fija treinta días. Maite no borra al terminar sino tras doce meses de inactividad, avisando y dando otros treinta días, y mientras tanto mantiene la cuenta en una versión limitada «para garantizar la continuidad y el acceso del Cliente a sus datos». El resto, o no lo dice, o lo deja a lo que exija la ley.

Lefebvre es explícito en esto último: sus condiciones dejan la conservación a lo que exija la ley y la devolución a que tú la reclames, y lo desglosamos en el post de precios. Kmaleon se limita a decir que dejarás de tener acceso (cl. 2.5.1).

Después está el coste, que nadie mira hasta que le toca. En Sudespacho, la primera copia es gratuita si la pides dentro del plazo contractual y con el servicio al corriente de pago; «las sucesivas copias de seguridad que contengan datos y documentos tendrán un coste de 100 € más IVA» (cl. 23.4). Y en MN Program, darse de baja pasa por un formulario que pide, dice, «el nombre de su nuevo proveedor de software de gestión», además de copia del documento de identidad y escrituras de apoderamiento.

Esa misma página incluye un aviso dirigido a clientes de Kit Digital que conviene leer con cuidado, porque no dice lo que a primera vista parece: según MN Program, el bono «no puede ser utilizado para adquirir una solución de digitalización cuyo fin sea sustituir a la solución contratada de MN Program», y hacerlo supondría «un fraude de ley» con «multas pecuniarias con hasta el triple del importe subvencionado». El aviso se refiere al uso del bono, no al cambio de proveedor en sí. Si estás en esa situación, es una pregunta para tu asesor, no para el comercial.

Lo que debes pedir por escrito, y que ninguno de los once documenta entero: en qué formato, en cuánto tiempo, a qué precio y si incluye los documentos o solo los datos de la ficha.

6. ¿Podéis usar mis expedientes para entrenar una inteligencia artificial?

Varios productos jurídicos han incorporado funciones de inteligencia artificial: Aranzadi con Allegra, Lefebvre con DocsIA y Maite, entre los once revisados. Cuando ocurre, detrás hay un proveedor de modelos, y ahí es donde importa quién es y dónde está.

De los once, el único que lo aborda de frente en su contrato es Maite, que se compromete a que los datos del cliente no se usen «en ningún caso y bajo ninguna circunstancia, para el entrenamiento». Es también el único caso en que esos proveedores están publicados: OpenAI Ireland y Anthropic, esta última fuera del Espacio Económico Europeo según su propia lista.

Del resto no consta ni el compromiso ni los proveedores. Y ahí está el punto ciego: si tu proveedor añade mañana un asistente que resume expedientes, la pregunta no es si funciona bien. Es a qué empresa le está enviando el texto de tus escritos, bajo qué contrato y con qué garantía de transferencia. Nosotros no incorporamos inteligencia artificial generativa dentro del sistema, así que hoy esa puerta no está abierta. Si algún día la abriéramos, esta pregunta nos la tendrías que hacer igual.

7. ¿Quién de vuestro equipo puede abrir un expediente mío?

La última es la más incómoda y la que casi nunca está escrita.

El artículo 22.1 del Estatuto General de la Abogacía Española dice que el secreto profesional «comprende todos los hechos, comunicaciones, datos, informaciones, documentos y propuestas» que el profesional «haya conocido, emitido o recibido en su ejercicio profesional». Y el apartado 4 del mismo artículo te obliga a ti a «hacer respetar el secreto profesional» a tus colaboradores y «demás personas que cooperen con él en su actividad profesional». El técnico de soporte que abre un expediente entra en ese supuesto, y la obligación de que lo respete es tuya.

En ninguno de los documentos que hemos podido leer hemos encontrado una cláusula que detalle quién del equipo de soporte puede abrir un expediente, en qué circunstancias y con qué registro queda ese acceso. Es la pregunta con menos respuestas publicadas de las siete.

Lo que sí hay son dos pistas de por dónde entra el acceso de terceros, y las dos están en los contratos. La cláusula 12.12 de Lefebvre autoriza expresamente el tratamiento a empresas contratadas para «auditorías», entre otros servicios auxiliares. Y la copia en nube de Kmaleon no la presta Kmaleon: la presta un tercero, con una retención de noventa días y sin ubicación declarada en sus condiciones de nivel de servicio.

Pídelo por escrito: si el acceso del soporte requiere tu autorización caso por caso, si queda registrado y si puedes consultar ese registro.

RGPD y software para despachos: lo que dicen los once contratos

Verificado el 14 de septiembre de 2026 sobre condiciones generales, políticas de privacidad y páginas de producto. «No lo publica» significa exactamente eso: no lo hemos encontrado publicado, no que no exista.

→ Desliza para ver más columnas

→ Desliza para ver más columnas

La columna de AutonomIA Legal recoge compromisos de servicio, no cláusulas publicadas. Por el criterio de esta tabla, hoy estaríamos entre los que no publican su contrato de encargo ni su lista de subencargados.

La sexta pregunta no cabe en la tabla porque no discrimina: solo Maite la responde por contrato, del resto no consta, y en nuestro caso no hay inteligencia artificial generativa dentro del sistema.

Tres lecturas, y ninguna es la que esperarías:

La transparencia no va por tamaño. El proveedor más joven de la lista es el único que te dice a qué siete empresas concretas llegan tus datos y cuáles están fuera del Espacio Económico Europeo. Lefebvre, con muchísima más implantación, no concreta dónde están sus servidores.

Reconocer un punto débil es mejor señal que no tener ninguno. Que Maite admita que tres de sus subencargados están fuera del Espacio Económico Europeo te permite decidir. Que otro no publique la lista no significa que no los tenga.

La contradicción interna es la alarma más barata de comprobar. No hace falta ser experto en protección de datos para abrir dos páginas de la misma web y ver si dicen lo mismo. Si no coinciden, ya tienes tu primera pregunta para la demo.

Las siete preguntas, para copiar y pegar en un correo

Esto es lo que se lleva un despacho de este artículo. Y un consejo de uso: no hace falta mandarlas todas de golpe a un proveedor con el que llevas años, porque eso cambia la conversación. Con dos basta para empezar, la 4 y la 5. Donde sí se mandan las siete enteras es a un candidato nuevo, y el mejor sitio para usarlas no es el correo: es tenerlas abiertas durante la demo, y ver cuánto tarda en contestarlas quien te la está haciendo.

1. ¿Dónde está escrito que actuáis como encargados del tratamiento respecto de los datos de mis clientes?
2. ¿Puedo leer vuestro contrato de encargo del tratamiento antes de firmar, y me lo enviáis firmado sin que tenga que pedirlo?
3. ¿En qué país y con qué proveedor de infraestructura se almacenan y se procesan mis expedientes? ¿En qué documento contractual figura?
4. ¿Cuál es vuestra lista completa de subencargados, y cuáles están fuera del Espacio Económico Europeo? ¿Cómo me avisáis si cambia?
5. Si me doy de baja: ¿en qué formato me devolvéis los datos, en cuánto tiempo, a qué coste, y con qué plazo y evidencia los borráis?
6. ¿Se usan mis documentos para entrenar modelos de inteligencia artificial, vuestros o de terceros? ¿Lo tenéis por escrito?
7. ¿Quién de vuestro equipo puede abrir un expediente mío, cómo queda registrado ese acceso y cómo puedo consultarlo?

La versión económica de esta lista, la de las permanencias y el coste real, está en las seis preguntas de la demo. Si un proveedor contesta las siete por escrito y sin rodeos, ya sabes bastante de él. Si tarda, también.

Cómo responde AutonomIA Legal a las siete

Nos toca, y con tres respuestas incómodas.

Los datos de tu despacho se almacenan y se procesan íntegramente en la Unión Europea, en Frankfurt, cifrados y con aislamiento por despacho. Tendrás tu contrato de encargo del tratamiento, sin que tengas que pedirlo. Al darte de baja, exportación completa de tus datos y borrado certificado en treinta días. Y no hay inteligencia artificial generativa dentro del sistema: tus escritos no salen hacia ningún modelo.

Ahora las incómodas, que son la 2, la 4 y la 7. Lo entregamos firmado, sí, pero el criterio que hemos usado con los demás en este artículo es más exigente: si se puede leer antes de firmar. Por ese criterio, hoy no publicamos nuestro contrato de encargo y estaríamos con los que no lo publican. Tampoco publicamos nuestra lista de subencargados, y es justo exigírnosla igual que al resto. Y no tenemos publicado un procedimiento de acceso del soporte con registro consultable: la séptima también nos la aplicamos.

Lo demás que conviene saber antes que después: no hay integración con LexNET a día de hoy. La migración desde tu sistema actual no es automática, es acompañada: la hacemos contigo, y por eso tarda lo que tarda. Y los avisos de plazos son un cálculo asistido sobre días hábiles con festivos nacionales y autonómicos; la fecha la confirmas tú, porque el plazo lo firma quien lo presenta.

Si quieres ver cómo funciona por dentro, está en cómo trabaja el sistema. Y para elegir producto, la comparativa de los cinco.

Preguntas frecuentes

¿Mi proveedor de software en la nube es un encargado del tratamiento?

Si almacena o procesa los expedientes de tus clientes por cuenta de tu despacho, normalmente sí. El artículo 28.1 del Reglamento te obliga a elegir «únicamente un encargado que ofrezca garantías suficientes», y esa elección tienes que poder justificarla. El análisis cambia cuando el programa se instala en tu propio equipo, como ocurre con Kmaleon, cuyas condiciones trasladan las copias de seguridad al cliente. Pregunta en qué supuestos te consideran encargado y pide que te lo señalen en el contrato.

¿Vale el contrato de encargo que firmé hace años?

Conviene revisarlo si ha dejado de describir lo que tu proveedor hace hoy. El artículo 28.3 exige que el contrato fije el objeto, la duración, la naturaleza y la finalidad del tratamiento. Si desde entonces tu proveedor ha añadido funciones de inteligencia artificial, ha cambiado de infraestructura o ha incorporado subencargados nuevos, el documento que firmaste describe otro servicio. Pide la versión vigente.

¿Tengo que controlar también a los subencargados de mi proveedor?

Tú autorizas la cadena entera, así que necesitas saber quién la forma. El artículo 28.2 dice que el encargado «no recurrirá a otro encargado sin la autorización previa por escrito» del responsable, y que con autorización general debe informarte de los cambios para darte «la oportunidad de oponerse». De los once proveedores revisados, solo uno publica la lista con nombres e indica cuáles están fuera del Espacio Económico Europeo. Al resto hay que pedírsela.

¿Qué le pasa a mis datos si dejo de pagar o me doy de baja?

Depende de lo que pusiera en el contrato el día que firmaste, y varía muchísimo. El artículo 28.3.g dice que la elección entre suprimir y devolver es tuya, no del proveedor. Solo dos de los once revisados fijan un plazo de borrado por escrito: treinta días en un caso y, en el otro, doce meses de inactividad más un aviso. Conviene además preguntar por el coste de las copias: uno de los contratos cobra cien euros más IVA por la segunda.

¿Qué documento manda si la web de mi proveedor y su contrato dicen cosas distintas?

El contrato y la política de privacidad son los documentos que firmas o que te vinculan como cliente; el pie de una web normalmente no forma parte de ellos. Nos hemos encontrado un proveedor que declara cuatro ubicaciones distintas en cuatro páginas propias y otro cuyo pie dice «Servidores en España» mientras su política de privacidad declara tratamiento en la Unión Europea y en Estados Unidos. Si las fuentes se contradicen, pide por escrito cuál es la buena y que te la señalen en el contrato.

Condiciones, políticas de privacidad y páginas de producto verificadas el 14 de septiembre de 2026, descargadas de los propios fabricantes. Donde un proveedor no publica un dato se indica expresamente, en lugar de estimarlo. De Aranzadi no ha sido posible verificar sus condiciones de contratación ni su alojamiento: su web de producto no respondió durante la revisión. El buscador de resoluciones de la Agencia Española de Protección de Datos tampoco admitió consultas ese día, así que la ausencia de sanciones que mencionamos es una búsqueda no concluyente. AutonomIA Legal es el producto de los autores y no forma parte de los once revisados. Este artículo no es asesoramiento jurídico.