Guía para las fuerzas del orden

Fecha de actualización: 20 de mayo de 2026

Fecha de entrada en vigor: 30 de mayo de 2026

Preámbulo

La presente Guía para las fuerzas del orden (en adelante, la “Guía”) se aplica a los organismos encargados de hacer cumplir la ley, órganos judiciales, fiscalías y demás autoridades legalmente facultadas que posean competencia en materia de investigación penal, revisión de seguridad nacional, obtención de pruebas o enjuiciamiento (en adelante, denominados colectivamente la “Autoridad requirente”).

El operador del software Easchi (en adelante, el “Operador” o “la Plataforma”) se compromete a mantener un equilibrio entre la protección de los derechos e intereses legítimos de los usuarios, la salvaguarda de la seguridad de los datos y el cumplimiento de las obligaciones legales. La presente Guía tiene por objeto exponer los principios generales del Operador para la tramitación de solicitudes de datos, los límites de la capacidad técnica según las distintas versiones del software y los procedimientos concretos de asistencia judicial, sin constituir asesoramiento jurídico, compromiso de cooperación ni garantía sobre el resultado de la gestión de ningún caso concreto.

Declaración especial: En la máxima medida permitida por la legislación aplicable, el Operador no asumirá responsabilidad legal alguna por los daños o perjuicios directos o indirectos (incluidos, entre otros, litigios o reclamaciones por vulneración de la privacidad de los usuarios) derivados de la cooperación de buena fe con las solicitudes de datos de la Autoridad requirente. En caso de conflicto entre la presente Guía y las leyes imperativas aplicables al Operador, este tramitará las solicitudes de conformidad con dicha legislación.

1 Principios fundamentales

1.1 Principio de legalidad

El Operador únicamente tramitará solicitudes de datos sobre la base de instrumentos judiciales legalmente vinculantes, procedimientos legales u otros mecanismos reconocidos por la legislación aplicable. Las solicitudes que no se presenten a través de los cauces legales no serán, en principio, objeto de tramitación en esta Plataforma.

1.2 Principio de legislación aplicable

El Operador evaluará cada solicitud de datos caso por caso en el marco de la legislación aplicable, que podrá incluir, entre otras:

• La legislación del lugar donde se encuentra el Operador;
• La legislación del lugar donde se almacenen efectivamente los datos;
• Las leyes de protección de datos y privacidad;
• Las leyes de ciberseguridad y seguridad de los datos;
• Los tratados internacionales y otros mecanismos de asistencia judicial aplicables.

1.3 Principio de proporcionalidad

El Operador examinará, conforme a lo exigido por la ley, el alcance, el período temporal y la pertinencia de la solicitud de datos. En caso de solicitudes que excedan manifiestamente un alcance razonable, carezcan de concreción o no guarden una relación razonable con el caso, el Operador se reserva el derecho de exigir información complementaria o, dentro de lo legalmente permitido, rechazar su tramitación.

2 Solicitudes y revisión

2.1 Sujetos legitimados

El Operador únicamente tramitará las solicitudes de datos presentadas por organismos oficiales que posean competencia legal en materia de investigación penal, revisión de seguridad nacional o enjuiciamiento judicial.

2.2 Requisitos documentales

La solicitud de datos deberá contener información suficiente para identificar el caso, el alcance de la solicitud, el período temporal y la autoridad emisora, e ir acompañada del correspondiente instrumento judicial legalmente vinculante u otros documentos reconocidos por la legislación aplicable. El Operador se reserva el derecho de solicitar documentación complementaria en función de las circunstancias, a fin de realizar las comprobaciones necesarias.

2.3 Verificación de la autenticidad de los documentos

El Operador se reserva el derecho de adoptar medidas razonables para verificar la identidad de la Autoridad requirente, así como la autenticidad e integridad de los documentos presentados. El Operador podrá rechazar la solicitud o exigir documentación adicional cuando el origen de la solicitud no pueda ser confirmado, exista riesgo de falsificación, el contenido sea manifiestamente anómalo o no se superen satisfactoriamente las verificaciones razonables.

3 Tramitación interna

3.1 Revisión necesaria

Una vez recibida la solicitud correspondiente, el Operador llevará a cabo la revisión necesaria dentro de los límites permitidos por la ley. Superada dicha revisión, el Operador tramitará la solicitud conforme a la legislación aplicable y dentro de sus capacidades técnicas.

3.2 Alcance de los datos

El Operador únicamente proporcionará los datos que efectivamente posea, a los que pueda acceder y que esté legalmente autorizado a facilitar. Los datos que pueden suministrarse podrán incluir metadatos de la cuenta (tales como la fecha de registro o el estado de los pedidos) y copias de los datos cifrados almacenados en los servidores.

El Operador no puede acceder ni descifrar el contenido en texto plano de todas las versiones. Las limitaciones técnicas concretas varían según la versión del software (véase el Capítulo 4). El Operador no está obligado a realizar, para la Autoridad requirente, tareas de ingeniería inversa, descifrado de datos cifrados ya revelados ni operaciones de asistencia no previstas expresamente en la presente Guía.

3.3 Notificación al usuario

Salvo que la legislación aplicable lo prohíba expresamente, un tribunal haya dictado una orden de confidencialidad (como una gag order), o la notificación pueda suponer una amenaza inminente para la vida o la integridad física, el Operador se reserva, por lo general, el derecho de notificar al usuario afectado en un plazo razonable tras la ejecución de la asistencia (y siempre que la legislación aplicable y la orden de confidencialidad lo permitan).

3.4 Conservación de datos

El Operador gestiona los plazos de conservación de datos de conformidad con su Política de Privacidad. El Operador no garantiza el acceso, la recuperación ni la posibilidad de proporcionar datos que ya hayan sido eliminados, hayan expirado o hayan dejado de estar bajo su control.

4 Capacidades técnicas y diferencias entre versiones

Dado que las leyes y regulaciones varían según el país o la jurisdicción, este software ofrece distintas versiones funcionales en función de los requisitos de cumplimiento normativo. La Autoridad requirente deberá identificar en primer lugar la versión del software utilizada por la cuenta objetivo, a fin de determinar la capacidad de asistencia técnica del Operador.

4.1 Versión Estándar

En esta versión, la Plataforma emplea una arquitectura de cifrado de extremo a extremo (E2EE). Los datos del contenido del usuario se almacenan de forma cifrada tras sincronizarse con los servidores, y el Operador no posee las claves de descifrado del usuario, por lo que no puede acceder al contenido del usuario en texto plano, ni recuperarlo ni proporcionarlo. El Operador únicamente puede facilitar una copia de los datos cifrados almacenados en los servidores, los cuales resultan ilegibles sin la clave del usuario.

4.2 Versión Solo con almacenamiento de terceros

En esta modalidad, y en cumplimiento de los requisitos normativos de determinadas jurisdicciones o por elección de privacidad del usuario, el software no activa ni proporciona infraestructura oficial alguna de sincronización en la nube.

El almacenamiento de los datos y la sincronización entre dispositivos dependen enteramente de los protocolos de almacenamiento en red de terceros (como WebDAV, almacenamiento compatible con S3) configurados por el propio usuario. Los servidores del Operador no acceden a, no alojan ni procesan ningún archivo de contenido ni dato de sincronización del usuario.

El Operador carece técnicamente de toda capacidad para recabar pruebas o descifrar datos de contenido. La Autoridad requirente deberá recabar las pruebas directamente, conforme a la ley, del dispositivo terminal del usuario o de los proveedores de servicios de almacenamiento de terceros integrados por este (tales como los proveedores de almacenamiento en la nube correspondientes).

4.3 Versión Solo con KN Sync

KN Sync emplea un mecanismo de acuerdo de claves. El Operador posee una clave privada maestra aislada regionalmente, la cual únicamente podrá ser utilizada para ayudar a descifrar datos específicos en un contexto de asistencia judicial. La clave privada maestra se mantiene bajo estricto aislamiento físico fuera de línea, de modo que el Operador no puede examinar activamente ningún dato de los usuarios. Solo se podrá iniciar un procedimiento de asistencia judicial caso por caso cuando se reciba una orden o mandamiento firme de un tribunal con jurisdicción territorial absoluta.

Con el fin de prevenir filtraciones de datos, salvaguardar la privacidad de los usuarios no objetivo y garantizar el rigor del procedimiento legal, el Operador aplica los siguientes protocolos para la asistencia de descifrado en relación con KN Sync:

4.3.1 Información de anclaje de identidad necesaria

Dado que el proceso de registro de este software se rige por el principio de “ausencia de información de identificación directa” (no se recopilan números de teléfono, correos electrónicos, etc.), la Autoridad requirente deberá proporcionar la siguiente información de identificación de la cuenta precisa para localizar al objetivo:

• Nombre de usuario exacto: nombre de usuario único generado automáticamente.
• Información del comprobante de pago: número de pedido histórico, número de transacción o captura de pantalla de la transacción en la plataforma de pago correspondientes a la cuenta objetivo.

4.3.2 Forma del instrumento judicial y verificación de solicitudes electrónicas transfronterizas

Ante los riesgos de phishing, solicitudes fraudulentas de datos y falsificación digital, el Operador aplica un riguroso mecanismo de verificación para los instrumentos transfronterizos y electrónicos, con el fin de garantizar la seguridad de los datos.

4.3.2.1 Principio de prioridad

El Operador dará prioridad a la tramitación de las solicitudes cursadas a través de acuerdos de asistencia judicial mutua (MLAT), por vía diplomática, o entregadas en mano en formato original en papel por funcionarios de los órganos judiciales del lugar donde se encuentra el Operador. Los documentos en papel deberán remitirse a la dirección a efectos de notificaciones y emplazamientos indicada en el domicilio registrado del Operador o en su Política de Privacidad.

4.3.2.2 Mecanismo de verificación prudente de las solicitudes electrónicas transfronterizas

En el caso de jurisdicciones distintas a aquella donde se encuentra el Operador, si la Autoridad requirente cursa la solicitud de descifrado por medios electrónicos, como el correo electrónico, el Operador se reserva el derecho de iniciar un proceso de verificación de seguridad antes de proceder a su ejecución:

• Bloqueo por los protocolos de los proveedores de correo electrónico: Las cuentas de correo electrónico del Operador para comunicaciones externas se apoyan íntegramente en proveedores comerciales de correo electrónico de primer nivel y tienen activados mecanismos de filtrado de seguridad (incluida, entre otras, la verificación de los protocolos SPF, DKIM y DMARC). Cualquier mensaje de solicitud que, por suplantación de la identidad del remitente, uso indebido del dominio o por no superar la verificación criptográfica del proveedor de correo, sea interceptado, rechazado o devuelto automáticamente por dicho proveedor, no generará para el Operador obligación legal alguna de conocimiento, comunicación o respuesta, al no haber llegado a la bandeja de entrada del Operador por no cumplir con los estándares técnicos básicos de cumplimiento normativo.
• Verificación mediante canales oficiales y confiables: Las solicitudes electrónicas deberán, en principio, ser enviadas desde direcciones de correo electrónico del dominio oficial del organismo requirente (p. ej., .gov.uk, .gov.au, etc.). El Operador se reserva el derecho de rechazar la tramitación de solicitudes informales remitidas desde dominios no oficiales o cuentas de correo públicas (como Gmail, Outlook, etc.).
• Verificación del instrumento judicial formal y del número de caso: El mensaje de solicitud electrónica deberá incluir obligatoriamente en adjunto un instrumento judicial formal, firmado y en formato PDF. Dicho instrumento deberá contener de forma clara el número de referencia del caso (Reference Number/Case ID), la autoridad emisora y el nombre del funcionario instructor. Cualquier solicitud cursada mediante simple texto sin formato en el cuerpo del correo, sin el correspondiente documento legal formal, o que carezca de un número de caso legalmente válido será considerada por el Operador como un acto individual extralimitado o una solicitud sin orden judicial, y no será tramitada.
• Firma digital confiable o nota diplomática: El Operador recomienda que los documentos electrónicos incluyan una firma digital verificable (como una firma PGP), o que se curse una notificación de identidad a través de la Embajada o Consulado del país requirente acreditado en el lugar donde se encuentra el Operador.
• Supuestos de exención por urgencia: En casos urgentes que impliquen una amenaza inminente para la vida o la integridad física, atentados terroristas u otras situaciones análogas, el Operador, previa recepción de las pruebas preliminares y tras su evaluación interna, podrá flexibilizar o eximir de parte del procedimiento de verificación electrónica y prestar asistencia acelerada en la medida en que sea técnicamente viable.

4.3.3 Procedimiento de ejecución del descifrado y protección de la cadena de custodia

Una vez satisfechos los requisitos de anclaje de identidad y verificación documental anteriores, el Operador ejecutará las siguientes actuaciones:

1. Doble cotejo del anclaje de identidad: El panel de administración realizará una comprobación de consistencia rigurosa de la “información de identificación de la cuenta” proporcionada por la Autoridad requirente. El “nombre de usuario” y la “información del comprobante de pago histórico (como el número de pedido o de transacción)” facilitados por la autoridad deberán coincidir de manera exacta con los registros del sistema. En caso de que exista discrepancia, conflicto de datos o el comprobante de pago pertenezca a un tercero ajeno e inocente, y con el fin de proteger la privacidad de los usuarios no objetivo, el procedimiento de descifrado se suspenderá automáticamente y el Operador exigirá a la Autoridad requirente que aporte información aclaratoria y materiales de subsanación.
2. Operación en entorno fuera de línea: La operación de descifrado se llevará a cabo en un dispositivo fuera de línea y físicamente aislado. La clave privada maestra solo se importará para el descifrado en dicho entorno fuera de línea, garantizando así que no se vea comprometida la seguridad del sistema.
3. Descifrado de datos específicos: El Operador únicamente descifrará los archivos de datos cifrados específicos que hayan sido expresamente designados por la Autoridad requirente y estén amparados por el instrumento legal.
4. Exención de responsabilidad sobre la eficacia probatoria: El Operador se limitará a extraer y revelar los datos según el estado de la técnica y en su estado original. El Operador no ofrece garantía alguna, expresa o implícita, sobre la admisibilidad, legalidad o eficacia probatoria de los datos proporcionados a la Autoridad requirente en un procedimiento judicial determinado. El Operador no asumirá responsabilidad alguna en caso de que los datos no sean admitidos en el proceso judicial debido a defectos en la forma de la prueba, en el procedimiento de transmisión transfronteriza u otras circunstancias análogas.

5 Notas

• La presente Guía tiene como única finalidad exponer los principios generales del Operador para la tramitación de solicitudes de datos y los límites de su capacidad técnica, sin constituir asesoramiento jurídico ni compromiso de cooperación.
• La Autoridad requirente deberá asegurarse por sus propios medios de que la solicitud cumple con los requisitos de la legislación de su jurisdicción, del lugar donde se encuentra el Operador y de cualquier otra normativa aplicable.
• El Operador se reserva el derecho de modificar la presente Guía en función de los cambios legales, los requisitos regulatorios o los ajustes en la política de la Plataforma.
• La versión modificada entrará en vigor a partir de la fecha de su publicación y se aplicará a las solicitudes de datos recibidas con posterioridad.