Tus datos de clientes, protegidos por diseño.

Conviene ser concreto, porque «en la UE» puede querer decir muchas cosas. La base de datos de tu despacho —los expedientes, los documentos y las cuentas de usuario— está en Irlanda, en la región eu-west-1 de AWS que utiliza nuestro proveedor de base de datos gestionada. La aplicación que la consulta se ejecuta en Ámsterdam. Ambas dentro de la Unión Europea; ninguna de las dos en España.

Esa distinción importa y no la escondemos: si tu despacho necesita residencia en territorio español, hoy Mandato no la ofrece. Lo que sí ofrece es residencia europea, con la base de datos y el alojamiento contratados a proveedores que la garantizan por contrato.

La cadena completa se queda en la UE, y esa es la parte que conviene mirar con lupa en cualquier proveedor: la base de datos en Irlanda, la aplicación en Ámsterdam, el correo transaccional en la región europea de nuestro proveedor de envío y la integración de WhatsApp con un proveedor alemán. La mensajería es donde suelen romperse las promesas europeas de la competencia, y por eso la nombramos aparte.

Lo que sí sale del Espacio Económico Europeo es parte del tratamiento con IA, y está identificado uno por uno en el acuerdo de encargo del tratamiento: los modelos de complejidad media y alta procesan en Estados Unidos al amparo de las Cláusulas Contractuales Tipo y del EU-U.S. Data Privacy Framework. Hay un proveedor de IA europeo al que se puede dirigir el tramo rutinario. Conviene además una precisión que casi nadie hace: alojar en la UE y contratar con una entidad europea no son lo mismo — nuestro proveedor de correo opera en región europea pero su entidad contratante es estadounidense, de modo que la transferencia sigue amparada por las Cláusulas Contractuales Tipo. Aparece así en el DPA. No hay subencargados ocultos: cada uno consta con su función y su ubicación.

El mayor riesgo de un sistema multi-despacho no es un intruso externo: es que los datos de un despacho aparezcan, por error, en la pantalla de otro. Mandato lo evita en la capa más profunda, la de la base de datos, con seguridad a nivel de fila.

Cada fila de datos pertenece a un despacho, y ninguna consulta puede devolver filas de otro. No es una comprobación que la aplicación pueda olvidar hacer: es una regla de la propia base de datos que se aplica en cada lectura y cada escritura.

Mandato usa modelos de lenguaje para analizar documentos, redactar borradores, resumir reuniones y clasificar correo. Conviene saber a dónde va cada cosa, porque no todo va al mismo sitio.

Las tareas rutinarias —borradores, resúmenes, clasificación— se sirven sobre un modelo ligero. Las de complejidad media y alta, y el análisis de documentos, van a los modelos Claude de Anthropic, que procesan en Estados Unidos al amparo de las Cláusulas Contractuales Tipo y del EU-U.S. Data Privacy Framework.

Cada despacho puede activar el modo «solo UE» en sus ajustes. Con él, el tramo rutinario deja de salir a Estados Unidos y pasa a servirse por un proveedor europeo, con los modelos alojados en la UE. Somos deliberadamente precisos sobre su alcance: mueve el tramo rutinario, no la totalidad del tratamiento. Las tareas de complejidad media y alta siguen en Claude, y decirte lo contrario sería venderte una garantía que el producto no da.

Y sea cual sea el modelo, cada consulta a la IA queda en el registro de auditoría inmutable: qué expediente, qué usuario, cuándo.

La contraseña de una cuenta de Mandato no protege una lista de la compra. Desde el primer día protege nombres, NIE, números de pasaporte, documentos y detalles de asuntos sujetos a la Ley 10/2010 y al RGPD. Por eso el mínimo no es el habitual de ocho caracteres.

El alta exige al menos diez caracteres, con mayúscula, minúscula y cifra, y el formulario muestra un medidor de fuerza y la lista de requisitos mientras se escribe — para empujar más allá del mínimo, no para premiar el aprobado raspado. La regla vive en un único sitio del código y se aplica en el navegador y en el servidor, de modo que ninguna de las dos mitades pueda relajarse sin la otra.

A partir de ahí, cada usuario solo alcanza los datos de su despacho y los que su rol le permite, y todo lo que hace queda en el registro de auditoría.

Cuando un dato sensible se consulta, se modifica o se comparte, queda constancia. El registro de auditoría anota quién realizó la acción, sobre qué expediente y en qué momento, y no se puede editar ni borrar a posteriori.

La inteligencia artificial no es una excepción: cada interacción con la IA queda en ese mismo registro —quién la lanzó, sobre qué documento y cuándo— y los datos de tu despacho no se usan para entrenar modelos, ni los nuestros ni los del proveedor del modelo.

«Borra a este cliente» no es una instrucción que un despacho español pueda ejecutar sin más. Varias normas imponen plazos mínimos de conservación sobre lo que ese cliente generó, contados desde el fin de la relación: diez años la documentación de diligencia debida de la Ley 10/2010 (art. 25), y seis los registros contables y de facturación (art. 66 LGT y art. 30 del Código de Comercio).

Mandato lleva esos plazos como reglas, no como buenas intenciones. Cada despacho fija su propia ventana general —la del período de responsabilidad profesional— y los mínimos legales se pueden ampliar pero nunca bajar de su suelo.

Cuando se pide suprimir a un cliente cuya documentación sigue dentro de un plazo obligatorio, la respuesta correcta no es borrar: es anonimizar. Se eliminan los datos personales y se conserva el registro que la ley exige conservar, y la propia herramienta dice qué obligación lo está reteniendo y hasta qué fecha. Un expediente todavía abierto retiene mientras siga abierto, por razones evidentes.

Ningún proveedor serio promete que nunca ocurrirá un incidente; lo que distingue a uno serio es tener previsto qué hacer cuando ocurra. Mandato mantiene un proceso de respuesta ante incidentes: detección, contención, evaluación del alcance y notificación cuando procede.

Si un incidente afectara a datos personales y fuera notificable, el RGPD marca los plazos y los destinatarios, y actuamos conforme a ellos. Preferimos describir el proceso a prometer una invulnerabilidad que nadie puede garantizar.