Contrato de Encargo de Tratamiento de Datos Personales
Versión 2026-10-17.2 · Vigente desde el 17 de octubre de 2026
Entre:
El RESPONSABLE: el despacho de abogados o profesional que contrata LexCore, representado por la
persona que acepta este contrato desde su cuenta de administrador.
El ENCARGADO: LexCore ("LexCore"), San José, Costa Rica, con medio para notificaciones
privacidad@lexcorecr.com. Al constituirse como sociedad, este
contrato se actualizará con su razón social y cédula jurídica.
Las partes acuerdan este contrato conforme a la Ley N.° 8968 de Protección de la Persona frente al Tratamiento de
sus Datos Personales y su Reglamento. La aceptación electrónica desde el sistema, que queda registrada con la versión,
fecha, hora e IP, tiene plena validez entre las partes.
1. Objeto
El RESPONSABLE usa LexCore para gestionar su práctica profesional. Para prestar ese servicio, LexCore trata por cuenta
del RESPONSABLE los datos personales que este registra en el sistema. Este contrato regula ese tratamiento.
2. Datos y personas titulares
Titulares: clientes del RESPONSABLE, contrapartes, testigos, peritos y demás personas que figuran
en sus expedientes; personal del RESPONSABLE que usa el sistema.
Datos: identificación y contacto; información de expedientes judiciales y administrativos,
resoluciones, notificaciones y documentos; honorarios, pagos y gastos; datos notariales y de facturación; y, según
la materia, datos sensibles o de acceso restringido (salud, vida familiar, antecedentes penales, datos de personas
menores de edad, condición socioeconómica).
3. Obligaciones del ENCARGADO (LexCore)
Instrucciones. Tratar los datos únicamente para prestar el servicio y según las instrucciones del
RESPONSABLE, que se entienden dadas por el uso que este hace del sistema y su configuración. No usar los datos para
fines propios: no venderlos, no hacer publicidad con ellos, no entrenar modelos de inteligencia artificial, no
cruzarlos con otras fuentes.
Confidencialidad. Garantizar que quienes operan LexCore estén obligados a guardar secreto,
incluso después de terminada su relación. No acceder al contenido de los expedientes salvo a pedido del RESPONSABLE
para soporte o cuando sea indispensable para atender un incidente de seguridad.
Seguridad. Mantener al menos las medidas del Anexo, y mejorarlas conforme evolucione la técnica.
Subencargados. Usar solo los subencargados indicados en la sección 5, bajo obligaciones de
confidencialidad y seguridad equivalentes a las de este contrato. Avisar al RESPONSABLE con al menos 30 días de
anticipación antes de agregar o sustituir uno; si el RESPONSABLE se opone con causa razonable y no se encuentra una
alternativa, podrá terminar el contrato sin penalidad.
Derechos de los titulares. Si un titular dirige a LexCore una solicitud de acceso, rectificación,
supresión u oposición sobre datos del RESPONSABLE, trasladarla al RESPONSABLE dentro de los dos días hábiles
siguientes, y darle las herramientas y asistencia razonables para que la atienda dentro del plazo legal.
Incidentes. Notificar al RESPONSABLE sin dilación, y a más tardar dentro de las 48 horas
siguientes a detectarlo, cualquier incidente de seguridad que afecte sus datos, con la información disponible sobre
lo ocurrido, los datos afectados y las medidas adoptadas, para que el RESPONSABLE pueda cumplir sus propias
obligaciones de aviso a los titulares y a la PRODHAB.
Información. Poner a disposición del RESPONSABLE la información razonablemente necesaria para
demostrar el cumplimiento de este contrato.
Devolución y supresión. Al terminar el servicio, mantener los datos disponibles para exportación
durante 30 días naturales y luego eliminarlos, salvo instrucción distinta del RESPONSABLE o que una ley exija
conservarlos. Las copias de seguridad cifradas se eliminan automáticamente en un máximo de 90 días.
3 bis. Acceso de sus clientes por LexCore Personal
Cuando el RESPONSABLE comparte un expediente con un cliente, LexCore crea o usa la cuenta de LexCore Personal de ese
cliente y le muestra, en solo lectura, la información de ese expediente que el RESPONSABLE haya habilitado (por ejemplo,
documentos, agenda, honorarios o notificaciones). Compartir, elegir qué se muestra y quitar el acceso son instrucciones
del RESPONSABLE, quien sigue siendo responsable de esos datos. El cliente no recibe una copia: deja de ver el expediente
en cuanto el RESPONSABLE retira el acceso. Los datos que el cliente agregue a su propia cuenta quedan fuera de este
contrato y bajo la responsabilidad de LexCore.
4. Obligaciones del RESPONSABLE (el despacho)
Contar con una base legítima para tratar los datos que registra y, cuando corresponda, con el consentimiento
informado, expreso y por escrito de sus titulares, incluido el consentimiento para datos sensibles (art. 9) y para
la transferencia a los subencargados ubicados fuera de Costa Rica (art. 14).
Registrar solo los datos necesarios para la gestión de cada asunto y mantenerlos exactos.
Atender los derechos de sus titulares dentro del plazo legal.
Usar en la integración con la Gestión en Línea solo credenciales propias o de clientes que lo hayan autorizado.
Decidir si usa las funciones de inteligencia artificial y asegurarse de que ese uso sea compatible con lo que
informó a sus clientes.
Administrar los accesos de su personal (usuarios, roles y permisos) y retirarlos cuando corresponda.
Compartir con cada cliente solo los expedientes e información que le corresponda ver, y verificar que el correo
registrado del cliente sea el correcto antes de darle acceso.
5. Subencargados autorizados
El RESPONSABLE autoriza a LexCore a usar los siguientes subencargados:
Subencargado
País
Tratamiento
Amazon Web Services, Inc.
Estados Unidos
Alojamiento de servidores, base de datos, archivos y
copias de seguridad cifradas.
Brevo (Sendinblue SAS)
Francia (UE)
Envío de correos del sistema (alertas, avisos a clientes que el
despacho active).
Anthropic, PBC
Estados Unidos
Funciones de inteligencia artificial, solo cuando un usuario del
despacho las usa. Sin uso de los datos para entrenamiento.
Proveedor de servidores en Costa Rica
Costa Rica
Retransmisión de tráfico cifrado de extremo a
extremo hacia la Gestión en Línea, sin acceso a su contenido.
6. Responsabilidad
Cada parte responde por el incumplimiento de sus propias obligaciones bajo este contrato y la Ley 8968.
7. Vigencia y cambios
Este contrato rige mientras el RESPONSABLE use LexCore, y sus obligaciones de confidencialidad y supresión subsisten
después. Si LexCore lo modifica de forma sustancial, lo avisará y pedirá una nueva aceptación desde el sistema.
Anexo — Medidas de seguridad
Cifrado en tránsito (HTTPS/TLS) en todo el servicio.
Base de datos, archivos y copias de seguridad locales en un volumen cifrado; credenciales de la Gestión en Línea
cifradas por separado con clave propia.
Aislamiento de los datos de cada despacho a nivel de base de datos (seguridad por filas).
Contraseñas con algoritmo de huella irreversible; bloqueo de contraseñas filtradas conocidas; segundo factor de
autenticación; cierre de sesión por inactividad; revocación de sesiones; límites de intentos.
Roles y permisos por usuario dentro del despacho.
Bitácora de auditoría de acciones de los usuarios y del personal de LexCore.
Copias de seguridad cifradas, privadas, versionadas y con eliminación automática a los 90 días, con pruebas de
restauración.