1. Responsable del Tratamiento
El responsable del tratamiento de los datos personales es Leandro Quiroga Nacif, con domicilio electrónico en lnquiroganacif@derechito.com.ar, quien opera el servicio En Lista a través de enlista.com.ar.
Esta Política se dicta en cumplimiento de la Ley 25.326 de Protección de Datos Personales y su Decreto Reglamentario 1558/2001.
Ámbito de aplicación: Usuarios de En Lista en Telegram, su sitio web y la integración opcional con Google Calendar.
Autoridad de control: Agencia de Acceso a la Información Pública (AAIP).
2. Datos Personales Recopilados
Recopilamos las siguientes categorías de datos:
a) Datos de Telegram:
• user_id, username y first_name
b) Credenciales judiciales:
• IOL: tokens OAuth2 encriptados, sin almacenar la contraseña
• PJN: tokens y, en la conexión con renovación automática, contraseña encriptada
• Cédulas MZA: usuario y contraseña encriptados para consultar la casilla
• NO almacenamos contraseñas en texto plano
c) CUIT:
• Almacenado de forma protegida, mostrado como XXXX****XX
d) Datos de uso:
• Conteos diarios de consultas IA, caché de consultas
e) Datos de pago:
• Referencias de pago de MercadoPago
• NO almacenamos datos de tarjetas de crédito/débito
f) Agenda y Google Calendar:
• Eventos de agenda y datos sincronizados desde Google Calendar (identificador, título, descripción, fecha/hora, ubicación, recordatorios y enlace de Meet cuando existe)
• Tokens OAuth2 de Google Calendar encriptados (si lo conectás). Las secciones 8 a 11 detallan su acceso, uso y conservación
g) Feedback:
• Comentarios proporcionados voluntariamente
3. Base Legal y Finalidad del Tratamiento
Base legal: Consentimiento informado del titular (Art. 5, Ley 25.326). Al utilizar el Bot, el Usuario presta su consentimiento libre, expreso e informado para el tratamiento de sus datos.
Finalidades:
• Envío de notificaciones de novedades procesales
• Generación de resúmenes mediante inteligencia artificial
• Gestión de suscripciones y facturación
• Integración con calendario profesional
• Mejora continua del Servicio
Principio de minimización: Solo recopilamos los datos estrictamente necesarios para las finalidades descritas. No solicitamos ni almacenamos información que exceda lo requerido para la prestación del Servicio.
4. Almacenamiento y Medidas de Seguridad
Implementamos las siguientes medidas técnicas para proteger sus datos:
• Base de datos: SQLite en servidor seguro
• Encriptación: Fernet (AES-128-CBC) para todas las credenciales almacenadas
• Derivación de clave: HKDF-SHA256 con clave única por usuario
• Validación WebApp: HMAC-SHA256 conforme a las especificaciones de Telegram
• Logs: Redacción automática de información personal identificable (PII)
• Contraseñas: Nunca se almacenan en texto plano; IOL conserva tokens de sesión encriptados, sin guardar la contraseña. PJN puede conservar la contraseña encriptada para renovar la sesión; la conexión alternativa por token no la guarda. Cédulas MZA conserva usuario y contraseña encriptados para renovar el acceso. Podés eliminar las credenciales desde Configuración
5. Terceros y Transferencias Internacionales
Sus datos pueden ser compartidos con los siguientes terceros en el marco de la prestación del Servicio:
• IOL Mendoza / PJN Federal (Argentina): Consulta de expedientes con credenciales propias del Usuario
• Google (Gemini) (internacional): Procesamiento de texto judicial y transcripción de audio para los resúmenes y la agenda asistida por IA. Antes de enviar texto a la IA se enmascaran los identificadores directos (DNI, CUIT/CUIL, e-mails, teléfonos, CBU)
• MercadoPago (Argentina): Procesamiento de pagos
• Telegram (internacional): Plataforma de comunicación
• Google Calendar (internacional): Integración OAuth2
Las transferencias internacionales se justifican por el consentimiento del Usuario y la seudonimización del texto antes del envío (enmascarado de identificadores directos), conforme al Art. 12 de la Ley 25.326.
⚠️ No vendemos ni cedemos datos personales a terceros fuera de las finalidades aquí descriptas.
6. Conservación y Derechos del Titular
Conservación:
• Datos de cuenta: mientras la cuenta esté activa
• Supresión con /borrar: elimina los datos de la base activa (salvo los registros de pago, que se conservan por obligación fiscal). Para los respaldos, ver sección 11
• Revocación de credenciales de un portal: con /revoke
• Registros de pago: 10 años (obligación fiscal argentina)
Derechos del titular (Arts. 14 a 16, Ley 25.326):
• Acceso: Conocer qué datos tenemos sobre usted
• Rectificación: Corregir datos inexactos
• Supresión: Solicitar la eliminación de sus datos
• Revocación: Retirar su consentimiento en cualquier momento
Podés ejercer estos derechos directamente en el bot con /misdatos (acceso) y /borrar (supresión con las excepciones de conservación indicadas), o por correo a lnquiroganacif@derechito.com.ar.
Plazos legales de respuesta: acceso, 10 días corridos (Art. 14.2); rectificación y supresión, 5 días hábiles (Art. 16.3).
Tiene derecho a reclamar ante la AAIP: www.argentina.gob.ar/aaip
7. Disposiciones Finales
Cookies y tracking: El servicio se utiliza desde Telegram y sus páginas web. No utilizamos cookies, píxeles de seguimiento ni tecnologías de rastreo web.
Menores: El Servicio no está dirigido a menores de 18 años. No recopilamos deliberadamente datos de menores.
Modificaciones: Cualquier cambio a esta Política será notificado a los Usuarios a través del Bot. El uso continuado del Servicio tras la notificación implica la aceptación de la Política actualizada.
Contacto:
👤 Responsable: Leandro Quiroga Nacif
📧 Email: lnquiroganacif@derechito.com.ar
🌐 Web: enlista.com.ar
8. Datos de Google Calendar y permisos solicitados
La integración es opcional y se activa cuando elegís conectar Google Calendar y autorizás a En Lista — Asistente Jurídico en la pantalla de Google. No recibimos ni almacenamos la contraseña de tu cuenta de Google.
Solicitamos el permiso https://www.googleapis.com/auth/calendar.events, que permite ver y editar eventos. La implementación utiliza el calendario principal de la cuenta autorizada para crear, consultar, actualizar y eliminar los eventos vinculados con la agenda del bot.
Datos a los que accedemos: identificador del evento, título, descripción o notas, fecha y hora, zona horaria, ubicación, recordatorios, estado del evento y enlace de Google Meet cuando existe. También recibimos tokens de acceso y de renovación y su vencimiento para mantener la conexión autorizada.
La consulta de sincronización puede devolver otros eventos del calendario principal dentro del período consultado. Esos eventos se procesan temporalmente para localizar los ya vinculados a la agenda del bot; no se importan como nuevos eventos a nuestra base. Los datos de los eventos vinculados sí se guardan y se actualizan.
Esta integración no solicita permisos para leer Gmail, archivos de Google Drive ni contactos de Google.
9. Uso de los datos de Google y terceros que los reciben
Usamos los datos de Calendar para mostrar tu agenda, crear y modificar audiencias, reuniones y vencimientos, enviar recordatorios y mantener sincronizados los eventos del bot y Google Calendar. La sincronización funciona al consultar la agenda y periódicamente mientras la conexión esté activa. Si solicitás un enlace de Google Meet, se genera como parte del evento.
Google Calendar: recibe el contenido de los eventos que creás o editás y las solicitudes necesarias para consultar, sincronizar y eliminar eventos.
Telegram: recibe la información de agenda incluida en las vistas, respuestas y recordatorios que el bot te envía. Estos mensajes quedan sujetos a las opciones de conservación y eliminación de Telegram.
Google Gemini: cuando pedís consultar o modificar tu agenda con IA, enviamos la consulta y contexto de los eventos próximos almacenados en el bot, que puede incluir títulos, fechas, tipos y ubicaciones actualizados desde Calendar. Se utiliza para responder o interpretar tu pedido. Esta transferencia no es necesaria para la sincronización ordinaria ni para los recordatorios. Los tokens OAuth no se incluyen en el contexto enviado al modelo.
La API de Gemini se usa mediante un proyecto con facturación activa. Según las condiciones de los servicios de pago de Google, los prompts y las respuestas no se usan para mejorar sus productos. Google puede conservarlos temporalmente para detectar abusos, proteger el servicio o cumplir obligaciones legales: https://ai.google.dev/gemini-api/terms .
Alojamiento y respaldos: los datos se alojan en Google Cloud, en Estados Unidos, y pueden integrar las copias de seguridad detalladas en la sección 11. Google y Telegram pueden procesarlos fuera de Argentina.
No vendemos los datos obtenidos de Google ni los utilizamos para publicidad personalizada o para entrenar modelos de IA de propósito general. El uso y la transferencia de información recibida de las API de Google se rigen por la Google API Services User Data Policy, incluidos sus requisitos de Limited Use: https://developers.google.com/terms/api-services-user-data-policy .
10. Almacenamiento y protección de los datos de Google
Los tokens de acceso y de renovación de Google se almacenan cifrados en la base de datos y asociados a tu usuario de Telegram. Se utilizan para realizar las operaciones autorizadas y renovar el acceso sin pedirte que inicies sesión en cada sincronización.
Los campos de los eventos vinculados se conservan en la base de datos operativa para mostrar la agenda y programar recordatorios. El cifrado de credenciales no significa que todos los campos de los eventos estén cifrados individualmente.
Las llamadas a los servicios de Google se realizan mediante HTTPS. El servicio aplica controles de acceso asociados a tu usuario y medidas de redacción de datos identificatorios en los registros. La seudonimización previa al procesamiento de texto con IA reduce la exposición de identificadores directos; no equivale a anonimización completa del contenido de una agenda profesional.
Podés comunicar consultas de privacidad o incidentes al responsable en lnquiroganacif@derechito.com.ar.
11. Conservación, desconexión y eliminación de datos de Google
Conexión: conservamos los tokens mientras mantengas la integración. Desde Agenda → Desconectar Google Calendar podés detenerla: se solicita la revocación a Google y se eliminan los tokens de la base activa. También podés retirar el permiso desde las conexiones con aplicaciones de terceros de tu cuenta de Google.
Eventos: desconectar Calendar no elimina los eventos ya guardados en la agenda del bot ni los existentes en Google. Los eventos vinculados se conservan mientras permanezcan en tu cuenta del servicio, hasta que los elimines o solicites la supresión de la cuenta. Podés obtener una copia de tus datos con /misdatos.
Supresión de la cuenta: el comando /borrar, después de tu confirmación, elimina de la base activa tu perfil, tokens y eventos de agenda y cancela los recordatorios programados. Se intenta revocar el acceso a Google. Los comprobantes de pago se conservan según la sección 6; esta excepción no comprende los datos de Calendar.
La eliminación de la cuenta del bot no borra automáticamente los eventos de tu calendario de Google ni los mensajes ya enviados por Telegram: podés administrarlos desde esos servicios.
Copias de seguridad: la eliminación en la base activa no borra de inmediato las copias anteriores. Se programa una copia local de la base cada 6 horas y se conservan las últimas 40, equivalentes a unos 10 días si la programación funciona sin interrupciones. Las instantáneas diarias del disco tienen una retención automática de 14 días y pueden incluir esas copias locales, por lo que el contenido puede ser anterior a la fecha de la instantánea. Las instantáneas históricas y las conservadas al eliminar un disco no tienen vencimiento automático y requieren eliminación manual. Para solicitar la supresión de datos en respaldos o consultar su conservación, escribí a lnquiroganacif@derechito.com.ar.
Si cambia la forma en que usamos los datos de Google, actualizaremos esta política e informaremos a los usuarios antes de aplicar el nuevo uso.