Seguretat i secret professional des del disseny

Els models d’OpenAI i Anthropic reben només el que cal per a cada tasca i no ho fan servir per entrenar. Mostra els subencarregats (en castellà).

Mesures que funcionen avui a la plataforma.

• Accés amb el teu compte. Cada advocat entra amb el seu usuari: correu i contrasenya o el seu compte de Google. Res d’usuaris compartits.
• Permisos per despatx, seu i usuari. El despatx decideix qui veu cada cas i cada document. Els permisos s’apliquen al servidor, no només a la pantalla.
• Despatxos aïllats entre si. Les dades d’un despatx no són accessibles des d’un altre. En una xarxa, cada despatx comparteix només el que decideix.
• Xifratge en trànsit. Totes les connexions van per HTTPS, i l’aplicació obliga el navegador a fer-lo servir sempre (HSTS).
• Xifratge de la base de dades. La base de dades i els fitxers del despatx es guarden xifrats als servidors d’AWS a París.
• Dades a la Unió Europea. La base de dades i els fitxers del despatx s’emmagatzemen a la UE.
• Les teves dades no entrenen la IA. Els casos, els clients i els documents es fan servir només per prestar-te el servei, mai per entrenar models, ni d’Amara ni de tercers.
• Anàlisi de seguretat a cada publicació. Abans de publicar una versió nova de l’aplicació es revisen automàticament la configuració de la base de dades, les regles d’accés i les fallades conegudes.
• Infraestructura protegida. L’aplicació funciona darrere de la xarxa de Cloudflare, amb protecció contra atacs de denegació de servei.

Amara no envia res al client ni al jutjat pel seu compte. El que prepara queda a l’expedient perquè ho revisis.

• A WhatsApp la IA no intervé: la conversa amb el client és de l’advocat i queda desada a la seva fitxa.
• A LexMarket les dades del client no es mostren fins que el despatx adquireix el cas.

• RGPD i LOPDGDD. Amara actua com a encarregat del tractament i el despatx com a responsable, amb un acord d’encarregat del tractament públic (en castellà).
• ISO/IEC 27001. En tramitació. No la presentem com a obtinguda fins que ho estigui.
• Infraestructura certificada. Amazon Web Services i Cloudflare tenen les seves pròpies certificacions ISO/IEC 27001 i SOC 2.
• Models d’IA professionals. Fem servir els serveis professionals d’OpenAI i Anthropic, que publiquen els seus informes SOC 2 i no entrenen amb les dades enviades.

Els documents que solen demanar els despatxos abans de contractar, sempre disponibles. Són en castellà.

• Acord d’encarregat del tractament: quines dades tractem per compte del despatx i amb quines garanties.
• Subencarregats: quins proveïdors hi intervenen i on són.
• Política de privacitat: com tractem les dades de visitants, contactes i usuaris.
• Plantilla de política d’ús d’IA per al teu despatx, basada en la Circular 3/2026 del CGAE.
• Ús responsable de la IA: com treballa Amara i què decideix sempre l’advocat.
• Condicions generals de contractació del servei.

El Baròmetre del Sector Legal Digital a Espanya 2026 de l’Observatorio Legal, amb 6.512 respostes de professionals, retrata bé el problema: la IA ja es fa servir cada dia, però moltes vegades sense garanties.

Font: Observatorio Legal, Baròmetre del Sector Legal Digital a Espanya 2026, publicat sota llicència CC BY-SA 4.0.

Una IA es pot equivocar. Per això Amara no demana que te la creguis: treballa amb un corpus jurídic de legislació, jurisprudència i doctrina, mostra la referència en què es recolza i enllaça la resolució del CENDOJ només quan existeix. Si no troba una font, ho diu.

La confiança també es construeix sense exagerar. La certificació ISO/IEC 27001 està en tramitació i no la presentem com a obtinguda. Si el teu despatx necessita revisar condicions, proveïdors o mesures de seguretat abans de contractar, escriu-nos i et responem per escrit.

Escriu-nos a seguridad@amaralegal.ai amb una descripció del problema, els passos per reproduir-lo i l’URL afectat. Ho revisem i et responem per escrit. Et demanem que no ho facis públic fins que estigui corregit. També al nostre security.txt.