Protocolo Maestro de Cumplimiento Normativo

1. Objetivo del protocolo

Este protocolo establece los procesos, controles y responsabilidades para garantizar el cumplimiento integral de la normativa aplicable a la plataforma JUSTICIA LEGALIA, con especial atención a:

• Protección de datos personales (RGPD + LOPDGDD)
• Sistemas de inteligencia artificial (AI Act UE 2024/1689)
• Comercio electrónico y consumo (TRLGDCU + LSSI-CE + Ley 3/2014)
• Servicios digitales (DSA — Reglamento UE 2022/2065)
• Identificación electrónica (eIDAS — Reglamento UE 910/2014)
• Esquema Nacional de Seguridad (ENS — RD 311/2022)

2. Matriz normativa aplicable

3. Procesos operativos críticos

3.1 · Proceso de alta de cliente

1. Captura de doble consentimiento granular (CGV + Privacidad)
2. Información precontractual visible (Art. 97 TRLGDCU)
3. Botón checkout con texto literal "Pedido con obligación de pago"
4. Registro de consentimiento con hash SHA-256 + timestamp + IP enmascarada
5. Email de confirmación con CGV adjuntas (Art. 28 LSSI-CE)
6. Activación inmediata del periodo de desistimiento de 14 días

3.2 · Proceso de uso del sistema IA

1. Banner AI Act Art. 50 visible al iniciar interacción con MORPHEUS
2. Triple checkbox de consentimiento informado (interacción IA + datos + supervisión humana)
3. Cada decisión del sistema etiquetada con agente responsable + base normativa
4. Botón "Solicitar revisión humana" visible en cada paso
5. Generación de documentos con marca "Asistido por IA" (Art. 50.2 AI Act)
6. Logs auditables almacenados durante el plazo legal mínimo

3.3 · Proceso de reclamación o queja

1. Hoja de reclamaciones electrónica disponible en /legal/reclamaciones.html
2. Respuesta en plazo máximo de 30 días
3. Enlace visible a plataforma ODR-UE (Reg. UE 524/2013)
4. Adhesión a Junta Arbitral de Consumo (en proceso)
5. Registro interno de toda reclamación recibida

3.4 · Proceso de ejercicio de derechos RGPD

1. Solicitud al email DPO: reclamacivil@gmail.com
2. Verificación de identidad (DNI o equivalente)
3. Respuesta en plazo máximo de 1 mes (ampliable a 2 más, justificado)
4. Gratuito salvo solicitudes manifiestamente infundadas o excesivas
5. Si denegado: información sobre el derecho de reclamación ante AEPD

3.5 · Proceso de brecha de seguridad

1. Detección: sistemas de monitorización 24/7 (logs + alertas)
2. Contención: aislamiento del incidente en máximo 4 horas
3. Notificación a AEPD: en 72 horas máximo (Art. 33 RGPD)
4. Notificación a afectados: si alto riesgo, sin dilación indebida (Art. 34 RGPD)
5. Análisis forense + lecciones aprendidas: registro interno
6. Notificación NIS2: si aplica, al CCN-CERT

4. Matriz de roles y responsabilidades

5. Controles técnicos implementados (ENS nivel medio)

• 🔐 Cifrado en tránsito: TLS 1.3 obligatorio · HSTS preload
• 🔐 Cifrado en reposo: AES-256 (Vercel KV + Stripe Vault)
• 🛡️ WAF y anti-DDoS: Cloudflare Enterprise
• 📋 Logs auditables: retención mínima 1 año · acceso restringido
• 🔑 Autenticación: contraseñas hash bcrypt cost 12 + 2FA disponible
• 🚨 Monitorización: alertas automáticas anomalías + cobertura 24/7
• ♻️ Copias de seguridad: cifradas + diarias + retención 30 días
• 🧪 Pruebas de penetración: anual por auditor externo (programada Q4 2026)

6. Indicadores clave de cumplimiento (KCIs)

7. Plan de mejora continua

1. Q3 2026: Designación DPO externo (voluntaria, mejora institucional)
2. Q3 2026: Auditoría de impacto de protección de datos (DPIA) del sistema IA
3. Q4 2026: Penetration test externo + obtención sello ENS nivel medio
4. 2 ago 2026: Declaración UE de conformidad CE (AI Act plenamente aplicable)
5. Q1 2027: Adhesión a Junta Arbitral de Consumo nacional
6. Q2 2027: Publicación primer Transparency Report anual
7. Q4 2027: Certificación ISO/IEC 42001 (sistemas de gestión IA)

8. Contacto · Equipo de cumplimiento

Compliance Officer: Alberto García Fernández
Email: reclamacivil@gmail.com
Asunto recomendado: "Compliance - [tu consulta]"
Buzón ético/whistleblower: ético@reclamacivil.es (anónimo si se solicita)
Autoridades de supervisión: AEPD · AESIA · AGE Consumo