Compartición segura de archivos para despachos de abogados

El intercambio de archivos de un despacho de abogados no es un problema, sino cuatro: recibir documentos de un cliente que nunca ha usado tus sistemas, enviar el producto del trabajo hacia fuera, mover material entre abogados colaboradores, peritos y la parte contraria, y conservar el asunto entero en algún sitio durante todo el tiempo que exija tu política de retención. Cada uno tiene un modelo de amenaza distinto, y la mayoría de los despachos resuelve los cuatro con la misma herramienta — el correo electrónico — porque es el único canal que todas las contrapartes ya tienen.

Esta página trata de decidir qué usar en su lugar. Cubre qué exigen de verdad de una herramienta tus obligaciones de confidencialidad, qué cubre y qué no cubre la palabra «cifrado» cuando el material está amparado por el secreto profesional, cómo funcionan la recepción, la retención y el borrado cuando el proveedor no puede leer los archivos, y las preguntas que separan una respuesta real de una respuesta de marketing. ShieldFive aparece al final, con sus carencias nombradas — varias son descalificatorias para algunos despachos, y es mejor leerlo aquí que descubrirlo después de migrar. Nada de esto es asesoramiento jurídico; mandan las normas de tu colegio profesional y las condiciones pactadas con tus clientes, y varían según la jurisdicción.

El deber de confidencialidad y el privilegio son dos obligaciones distintas

Se confunden habitualmente en una sola, y esa confusión produce malas decisiones de herramienta.

El deber de confidencialidad es el amplio. En la mayoría de jurisdicciones cubre prácticamente todo lo relativo a una representación, con independencia de su origen, y obliga a hacer esfuerzos razonables para impedir la divulgación no autorizada. «Razonable» es la palabra operativa: es un estándar, no una lista de comprobación, y se mueve conforme se mueve la tecnología disponible. Una elección de herramienta que era defendible hace una década no es automáticamente defendible ahora.

En Estados Unidos la referencia habitual de esa obligación es la ABA Model Rule 1.6(c), que es una norma estadounidense y solo eso. Para un despacho español o latinoamericano el equivalente obvio es el deber de secreto profesional del abogado, que en el manejo de datos personales se solapa con el artículo 32 del RGPD (seguridad del tratamiento) y, en España, con la LOPDGDD (Ley Orgánica 3/2018), bajo la supervisión de la Agencia Española de Protección de Datos. Son cuerpos normativos distintos que desembocan en el mismo sitio: la herramienta por la que pasan los documentos del cliente forma parte del cumplimiento, no es un detalle ajeno a él.

El privilegio abogado-cliente es más estrecho y de naturaleza probatoria. Protege las comunicaciones confidenciales hechas con el fin de obtener asesoramiento jurídico, y puede perderse: por divulgación a un tercero, por un manejo descuidado, a veces por una entrega inadvertida. Es una figura del derecho angloamericano y no tiene traducción exacta en los ordenamientos de tradición continental, donde el mismo interés se protege por la vía del secreto profesional. Si hacer pasar material amparado por un proveedor que técnicamente puede leerlo afecta al privilegio es algo que depende de la jurisdicción y de los hechos, y ninguna página de un proveedor puede responderlo por ti. Pero la dirección del riesgo no está en duda: cuantas menos partes sean técnicamente capaces de leer el material, más corto es el argumento que tendrás que sostener alguna vez sobre él.

Ese es el vínculo práctico entre las normas deontológicas y la cuestión arquitectónica. Un proveedor que guarda los documentos de tus clientes en una forma que él puede leer es una parte con acceso. Puede ser una parte fiable y con un buen programa de seguridad — la mayoría lo son — pero su capacidad de leer los archivos es un hecho del sistema, y sobrevive a todas las promesas del contrato. Un proveedor que es arquitectónicamente incapaz de leerlos elimina la pregunta en lugar de responderla.

Qué cubre y qué no cubre la palabra «cifrado»

Casi todas las herramientas de archivos del mercado dicen que cifran tus datos. La palabra abarca al menos tres arreglos distintos, y la diferencia solo se ve bajo presión.

La mayoría de las afirmaciones de «cifrado de nivel bancario» describen la fila del medio. Es una postura legítima y común — cifrar en reposo con claves que tú gestionas es genuinamente mejor que no hacerlo — pero es una promesa sobre el comportamiento, no una restricción sobre la capacidad.

Ahora la parte que los proveedores dicen con menos frecuencia. Incluso en el modelo más fuerte, el cifrado no cubre:

• Los extremos. Un portátil comprometido, una máquina compartida, el móvil de un pasante sin bloqueo de pantalla. El cifrado protege el archivo en tránsito y en reposo, no el dispositivo donde se descifra y se lee.
• Al destinatario. Una vez que compartes un documento con la parte contraria, lo tiene. La caducidad y los límites de descarga restringen el reacceso a la copia del servidor; no alcanzan a la copia que está en su disco.
• El enlace, si el enlace es la clave. La compartición por enlace es una capacidad al portador: quien tenga la URL puede abrirla. Enviar el enlace a la dirección equivocada expone lo mismo que enviar el archivo, salvo que viaje un segundo factor por separado.
• Los metadatos, salvo que también estén cifrados. Los nombres de archivo y de carpeta filtran asuntos. Una carpeta con el nombre de una parte y un archivo llamado «borrador de acuerdo v4» son una divulgación aunque los documentos estén sellados. Pregunta específicamente si los nombres se cifran o simplemente se almacenan.
• El proceso legal contra cualquier otro. Tu cliente, tu abogado colaborador y tu perito pueden ser requeridos de forma independiente. El cifrado cambia lo que se le puede obligar a producir al proveedor, no lo que pueden producir las partes.
• La vía de entrega de una aplicación web. Todo cifrado en el navegador depende del JavaScript que envía el servidor. La formulación honesta es «cifrado en el navegador, texto cifrado en reposo», no «ningún servidor podría subvertir esto jamás». Cualquier proveedor que afirme la versión fuerte está exagerando.

Los cuatro intercambios, y qué necesita cada uno

Recepción del cliente. El más difícil de los cuatro, porque la restricción no es la seguridad sino la fricción. Un cliente que tiene que crear una cuenta, elegir una contraseña y recordarla enviará los documentos por correo, y no habrás resuelto nada. Lo que la recepción necesita es un enlace que el cliente pueda abrir en frío, una lista visible de lo que falta, y un cifrado que ocurra sin que el cliente se entere de que ocurrió. Evalúes lo que evalúes, prueba este paso con un cliente real y no técnico antes de comprometerte.

Envío del producto del trabajo. Aquí tienes más control y deberías usarlo: una caducidad, un límite de descargas y — el que más importa — un segundo factor que no viaje en el mismo correo que el enlace. Una contraseña enviada por SMS o dictada por teléfono convierte un enlace al portador en algo más parecido a una entrega con doble factor.

Abogados colaboradores, peritos, parte contraria. Son contrapartes profesionales con sus propios sistemas y sus propias obligaciones, y con frecuencia insistirán en los suyos. Cuenta con ir a donde estén. Lo que sí puedes seguir controlando es lo que sale de tu lado: una compartición acotada a documentos concretos en lugar de acceso a la carpeta del asunto, y un registro de qué enviaste y cuándo.

Conservación del asunto. Esto es gestión documental, no compartición de archivos, y las dos se confunden con frecuencia y de forma cara. Si necesitas archivo por asunto, comprobación de conflictos, historial de versiones ligado a un número de expediente y reglas de retención que se disparen solas, lo que necesitas es un sistema de gestión documental o una suite de gestión del despacho. Una herramienta de compartición metida en ese papel se convierte en un repositorio en la sombra que nadie puede buscar, lo que es peor que el correo al que sustituyó. Para divulgación masiva y due diligence, consulta data room frente a compartición segura de archivos; los controles que añade un data room (marca de agua por documento, Q&A, analítica granular de visualización) son reales y una herramienta de compartición no los tiene.

Retención y borrado

El borrado es donde las herramientas cifradas se comportan de forma distinta a las que tu despacho está acostumbrado a usar, y las diferencias importan para una política de retención.

Empieza por la distinción que causa casi toda la confusión: revocar una compartición no es borrar un archivo. La revocación mata la vía de entrada; el documento sigue en tu bóveda. El borrado elimina el objeto almacenado. Una política que dice «los enlaces caducan a los 30 días» no ha dicho nada sobre cuánto tiempo conserva el despacho el material, y un auditor se dará cuenta.

Segundo, en un sistema de conocimiento cero el borrado es genuinamente destructivo y no hay deshacer del lado del proveedor. Nadie del proveedor puede reconstruir un archivo cuyas claves nunca tuvo. Ese es el objetivo, y también es el riesgo: la misma propiedad que derrota a un requerimiento judicial derrota a tu propia petición de recuperación. Cualquier despacho que adopte uno necesita un acuerdo escrito de custodia de la frase de contraseña y de la clave de recuperación antes de meter un asunto vivo en la herramienta — en manos de más de una persona, guardado fuera del sistema, y probado.

Tercero, la caducidad automática y el deber de conservación están en conflicto directo. Una herramienta que borra con un temporizador borrará alegremente material que estás obligado a preservar. Cuando sea previsible un deber de conservación, guarda la copia auténtica en el sistema que gobierna tu calendario de retención y trata la herramienta de compartición como un canal, no como un repositorio.

Cuarto, pregunta qué significa el borrado aguas abajo. Las copias de seguridad cifradas pueden retener texto cifrado durante un tiempo después de que el registro desaparezca de tu interfaz. Eso suele estar bien — es ilegible — pero debería ser una respuesta documentada, no una suposición.

Qué preguntar a un proveedor

Las preguntas de abajo son aquellas cuyas respuestas de verdad difieren entre productos. Una respuesta vaga a cualquiera de ellas es en sí misma informativa.

1. ¿Pueden leer los archivos de mis clientes? ¿Eso es una política o una arquitectura? La única respuesta duradera es arquitectónica. «No miramos» y «no podemos mirar» son afirmaciones distintas.
2. ¿Quién guarda las claves, y qué entregan si reciben un requerimiento? Un proveedor que guarda claves entrega documentos. Un proveedor de conocimiento cero entrega texto cifrado y metadatos. Pregunta cuál de los dos, por escrito.
3. ¿Qué metadatos guardan, y están cifrados los nombres de archivo? Véase arriba: los nombres filtran asuntos.
4. ¿Dónde residen físicamente los datos, y bajo qué jurisdicción? Después pregunta si el contrato de encargo del tratamiento (el DPA del artículo 28 del RGPD) es estándar o está detrás de un contrato empresarial.
5. ¿Qué controles lleva un enlace de compartición, y va la clave en el enlace? Caducidad, límite de descargas, revocación, una contraseña opcional que viaje por separado. Si la clave va en la URL, dítelo con todas las letras: reenviar el enlace es reenviar el acceso.
6. ¿Qué pasa cuando un abogado se va? Eliminar la cuenta es lo mínimo. Pregunta qué ocurre con el material que esa persona ya descifró y cacheó, y si existe una rotación de claves que haga ilegible para ella el material futuro.
7. ¿Pueden darme un registro de accesos de un asunto concreto? Muchas herramientas no pueden, o solo lo muestran en una interfaz sin exportación. Si las guías de manejo de información que te impone un cliente exigen informes de acceso, resuélvelo antes de comprar.
8. ¿Qué garantía de terceros tienen? SOC 2 Type II, ISO 27001, un test de penetración reciente con un resumen que puedas leer. «Nos tomamos la seguridad muy en serio» no es una respuesta, y tampoco lo es una certificación en poder de la matriz salvo que el producto esté dentro del alcance.
9. ¿Qué pasa si perdemos la frase de contraseña? Para una herramienta cifrada la respuesta honesta es «los datos se han perdido». Confirma el mecanismo de recuperación y quién lo custodia.

Dónde encaja ShieldFive, y dónde no

ShieldFive ofrece almacenamiento, compartición y recogida de archivos cifrados en el cliente. Los archivos se cifran en el dispositivo antes de subirlos y los datos cifrados se almacenan en la UE. Tu contraseña nunca llega a nuestros servidores: el navegador la convierte en un valor de acceso independiente con Argon2id y solo envía ese valor, y la clave que abre la bóveda se deriva por separado y permanece en tu dispositivo. El código de la aplicación lo entregamos nosotros, así que el cliente que se te sirve en cada visita sigue formando parte del modelo de confianza. No es una garantía absoluta de que el proveedor no pueda descifrar los archivos. Las subidas web usan por defecto ML-KEM-1024/XChaCha20-Poly1305, con AES-GCM como alternativa; Android también usa por defecto el formato híbrido, con la misma alternativa AES-GCM, y lee ambos formatos. El núcleo criptográfico es abierto, pero las aplicaciones no son completamente abiertas y no se ha completado una auditoría de seguridad externa.

Para un despacho, eso encaja con tres de los cuatro intercambios. Hacia dentro, una solicitud de documentos para despachos de abogados da al cliente un enlace protegido con PIN, con una lista de lo pendiente y sin cuenta que crear, y cada subida se sella con las claves del despacho en el navegador del cliente. Para una recepción tipo cuestionario en lugar de documentos, los formularios de admisión cifrados funcionan igual. Hacia fuera, un enlace de compartición lleva caducidad, límite de descargas y una lista opcional de países permitidos — útil, pero trata esa lista como fricción y no como un control, porque una VPN la sortea. El control que sí conviene usar siempre es la contraseña de compartición: si la pones, queda fuera del enlace y se te muestra por separado, de modo que la URL por sí sola deja de bastar. Si la dejas sin poner, una clave generada automáticamente viaja en el fragmento del enlace, lo que significa que el enlace es la credencial.

En la baja de miembros del despacho, ShieldFive es más honesto que la mayoría y el detalle conviene conocerlo antes de depender de ello. Al eliminar a un miembro del despacho se borra su clave envuelta, con lo que pierde el acceso desde cualquier dispositivo o sesión nuevos. Pero un miembro que ya hubiera desbloqueado y cacheado la clave del despacho conserva el acceso a los documentos recibidos antes de la baja hasta que rotes las claves del despacho. La rotación emite una clave nueva para las solicitudes futuras y la vuelve a envolver para los miembros que quedan; no recifra lo que ya se recibió. Planifica las bajas en consecuencia.

Ahora los límites, que son la razón de ser de esta sección. ShieldFive no es un sistema de gestión documental ni de gestión del despacho: no hay archivo por asunto, ni comprobación de conflictos, ni cómputo de plazos procesales, ni control de tiempos y facturación, ni firma electrónica. No es un data room: no hay marca de agua por documento, ni flujo de Q&A, ni analítica de visualización. No tiene función de conservación por litigio (legal hold): nada suspende una caducidad ni bloquea un borrado porque exista un deber de conservación. Registra eventos de seguridad en el servidor, pero no expone un informe de accesos autoservicio y exportable que puedas entregar a un cliente bajo sus guías de manejo de información. Y no tiene ninguna auditoría de terceros completada: no hay SOC 2, no hay ISO 27001, y no se firma el Business Associate Agreement de HIPAA estadounidense. Lo que ofrece a cambio es un núcleo criptográfico de código abierto y una revisión de seguridad interna publicada, que es un tipo de evidencia distinto, no un sustituto.

Si la compra de tu despacho exige un SOC 2 completado hoy, o tus asuntos necesitan un sistema de gestión documental de verdad, ShieldFive no es la herramienta — y una página que te dijera lo contrario te estaría haciendo un flaco favor.

Un montaje viable para un despacho pequeño

1. Decide cuál es el repositorio auténtico, y asegúrate de que sea el que gobierna tu calendario de retención. La herramienta de compartición es un canal de entrada y salida.
2. Pon por escrito la regla de custodia de la frase de contraseña y de la clave de recuperación antes del primer asunto vivo: quién las tiene, dónde, y cómo entra una segunda persona si la primera no está disponible.
3. Elige los tipos de asunto que deben usar siempre intercambio cifrado — normalmente todo lo que lleve documentos de identidad, registros financieros, información de salud, o un cliente con condiciones de seguridad contractuales — y hazlo el valor por defecto para esos, no una opción.
4. Estandariza un único patrón de salida: caducidad puesta, límite de descargas puesto, contraseña puesta y enviada por un canal distinto al del enlace. Un patrón que todo el mundo sigue vale más que cinco configurables que no sigue nadie.
5. Prueba la recepción con un cliente real, idealmente uno impaciente y desde el móvil. Si la rodea, la herramienta ha fallado con independencia de su criptografía.
6. Mete las bajas en la lista de comprobación de salida: elimina al miembro, después rota la clave del despacho, y ten presente que los documentos ya recibidos siguen siendo legibles para quien cacheara la clave antigua.
7. Revisa al cabo de un ciclo de asunto y mira lo que de verdad importa: qué proporción del intercambio sensible sigue ocurriendo por correo. Ese número, y no una lista de funciones, es lo que te dice si el despliegue funcionó.

Como lectura adyacente, correo electrónico frente a compartición segura de archivos explica por qué falla el canal por defecto, la lista de comprobación para compartir documentos con clientes es la versión operativa corta del despliegue de arriba, y recogida segura de documentos para abogados de extranjería recorre la misma decisión para un área de práctica concreta con una comparativa completa de proveedores. Si estás comparando proveedores de conocimiento cero en general, diez de ellos valorados con honestidad es el repaso amplio.

Preguntas frecuentes

¿Usar una herramienta de compartición en la nube rompe el secreto profesional?

Por sí sola no, y ninguna página de un proveedor puede darte una respuesta específica para tu jurisdicción. La posición general es que usar un servicio de un tercero no vulnera automáticamente el deber de confidencialidad cuando el despacho ha tomado precauciones razonables para preservarla — lo que traslada el peso a qué significa «razonable» para tus asuntos, tu jurisdicción y la sensibilidad del material. En los sistemas angloamericanos la pregunta equivalente es si se renuncia al privilegio; en España y en Latinoamérica se plantea como secreto profesional más las obligaciones de seguridad del artículo 32 del RGPD. La conclusión práctica es la misma en ambos marcos: el argumento es más corto y más fuerte cuantas menos partes sean técnicamente capaces de leer los documentos. Consulta la guía de tu colegio profesional y las condiciones pactadas con tus clientes; trata esta página como contexto, no como asesoramiento.

¿Hace falta cifrado de extremo a extremo, o basta con el cifrado en reposo?

Para buena parte del material de un despacho, el cifrado en reposo con un proveedor solvente es una elección defendible, y fingir lo contrario sería deshonesto. La distinción muerde en situaciones concretas: material sujeto a cláusulas contractuales de confidencialidad del cliente, asuntos en los que el proveedor podría ser requerido de forma plausible, trabajo transfronterizo con restricciones de residencia de datos, y todo aquello en lo que una brecha del proveedor sería en sí misma una divulgación notificable. Ajusta el modelo al asunto en lugar de adoptar una única postura para todo.

¿Qué debe hacer un despacho ante la pérdida de una frase de contraseña en un sistema de conocimiento cero?

Planifica la recuperación antes de guardar asuntos reales: prueba el proceso de recuperación documentado y conserva una copia de seguridad independiente. ShieldFive emite una clave de recuperación en la configuración inicial, se muestra una sola vez, y no puede recuperarla por ti. El arreglo que funciona es el mismo que los despachos ya usan para las combinaciones de caja fuerte y los depósitos en escrow: la clave de recuperación guardada fuera del sistema, en manos de al menos dos personas, con una regla escrita de cómo accede la segunda. Confirma que funciona antes de que la herramienta guarde algo que no puedas permitirte perder.

¿Se puede usar ShieldFive como nuestro sistema de gestión documental?

No, y no está diseñado para eso. No hay archivo por asunto, ni comprobación de conflictos, ni historial de versiones ligado a un número de expediente, ni reglas de retención automáticas, ni firma electrónica. Usarlo como repositorio del despacho crearía un segundo almacén que tu gestor documental no ve. El papel que sí ocupa es el de canal: recoger documentos de los clientes y enviar material sensible hacia fuera, con la copia auténtica viviendo donde diga tu política de retención.

¿ShieldFive admite la conservación por litigio o produce un registro de auditoría para clientes?

Ninguna de las dos cosas, hoy. No hay mecanismo de conservación que suspenda una caducidad o bloquee un borrado, así que un asunto bajo deber de conservación no debería depender de una herramienta basada en temporizadores. Los eventos de seguridad se registran en el servidor, pero no existe un informe de accesos autoservicio y exportable que puedas adjuntar a las guías de manejo de información de un cliente. Si cualquiera de las dos es un requisito duro para tu práctica, esa es una razón legítima para elegir otra cosa — y conviene confirmarlo con cualquier proveedor, porque un número sorprendente de ellos tampoco puede exportar un registro de accesos.