Contenido
Nota para OBT antes de publicar: debe firmarse el
contrato de encargo de tratamiento con cada cliente —está preparado en
legal/DPA_Plantilla_Encargado_Tratamiento_BORRADOR.docx— antes de dar de alta al
primer cliente de pago.
1. Quién trata tus datos
- Responsable
- Eduardo Ortega Busutil (persona física, empresario individual), que opera bajo los nombres comerciales OBTechnologies y Factuza
- NIF
- 50744036X
- Domicilio
- Avenida del Talgo 86, 1.º B — 28023 Madrid (España)
- Contacto de privacidad
- privacidad@factuza.com
- Autoridad de control
- Agencia Española de Protección de Datos — aepd.es
2. Dos papeles distintos: tus datos y los de tus clientes
Esta distinción es la clave de todo lo demás, así que la explicamos primero.
De tus datos como usuario de Factuza somos responsables. Tu correo, tu NIF, tu plan contratado, tus facturas de licencia y tus incidencias de soporte los tratamos nosotros y decidimos nosotros para qué.
De los datos que tú metes en la aplicación somos encargados. Los datos de tus clientes, de tus proveedores y de tus facturas son tuyos: tú decides qué se hace con ellos y nosotros los tratamos únicamente siguiendo tus instrucciones y las que impone la normativa de facturación. Esa relación se formaliza en un contrato de encargo de tratamiento (art. 28 del RGPD) que forma parte de las condiciones del servicio.
En la práctica esto significa que nosotros no usamos los datos de tus clientes para nada que no sea prestarte el servicio: ni los analizamos con fines comerciales, ni los cedemos, ni entrenamos nada con ellos.
3. Para qué tratamos tus datos y con qué base
| Tratamiento | Datos | Base jurídica |
|---|---|---|
| Cuenta y prestación del servicio | Identificación, correo, NIF, datos fiscales del emisor, plan y estado de la licencia | Ejecución del contrato (art. 6.1.b RGPD) |
| Facturación y cobro de la licencia | Datos de facturación e identificador de pago (el número de tarjeta lo trata la pasarela, nosotros no lo vemos) | Ejecución del contrato y obligación legal (arts. 6.1.b y 6.1.c) |
| Soporte e incidencias | Asunto, mensajes del hilo, datos técnicos que aportes | Ejecución del contrato (art. 6.1.b) |
| Envío de facturas a tus destinatarios por correo, en tu nombre | Correo del destinatario y factura adjunta | Encargo de tratamiento por tu cuenta (art. 28) |
| Remisión de registros a la AEAT (VeriFactu) | Registros de alta y anulación con su huella encadenada | Obligación legal (art. 6.1.c; RD 1007/2023) |
| Boletín «Factuza al día» | Correo, segmento y fecha del consentimiento | Consentimiento (art. 6.1.a), revocable en un clic |
| Seguridad, registros de acceso y copias | Identificador de sesión, fecha y hora, dirección IP, acciones sobre la cadena de registros | Obligación legal e interés legítimo en la seguridad (arts. 6.1.c y 6.1.f) |
No elaboramos perfiles comerciales, no tomamos decisiones automatizadas con efectos jurídicos sobre ti y no vendemos datos a terceros. Nunca.
4. Cuánto tiempo los conservamos
- Datos de la cuenta: mientras la relación esté vigente y, después, bloqueados durante los plazos de prescripción de las posibles responsabilidades.
- Facturas y registros de facturación: los plazos que impone la normativa —cuatro años de prescripción tributaria (Ley 58/2003) y seis años de conservación mercantil (art. 30 del Código de Comercio)—, contados desde el fin del ejercicio correspondiente.
- Registros de la cadena VeriFactu: por diseño son append-only: no se borran ni se modifican, porque su integridad es lo que da valor probatorio al sistema. Una factura se anula con un registro de anulación, nunca borrándola.
- Incidencias de soporte: tres años desde su cierre.
- Suscripción al boletín: hasta que te des de baja; conservamos la constancia del consentimiento y de la baja como prueba de cumplimiento.
5. Quién más interviene
Para prestar el servicio nos apoyamos en proveedores que actúan como encargados de tratamiento, con contrato firmado y solo para las finalidades indicadas:
| Proveedor | Para qué | Ubicación |
|---|---|---|
| Microsoft Azure | Alojamiento de la aplicación, base de datos y copias de seguridad | Región España (spaincentral) |
| Azure Communication Services | Envío de correo: facturas, avisos y boletín | Unión Europea |
| Azure Document Intelligence | Lectura (OCR) de las facturas de gasto que subes | Unión Europea |
| Microsoft Entra External ID | Registro e inicio de sesión | Unión Europea |
| Stripe | Cobro de la licencia. Los datos de tarjeta se tratan íntegramente en su entorno; Factuza no los almacena | UE / EE. UU. con garantías adecuadas |
| Agencia Estatal de Administración Tributaria | Destinataria de los registros de facturación. No es un encargado: es una cesión impuesta por ley | España |
Fuera de estos casos, no cedemos datos a terceros salvo obligación legal o requerimiento judicial.
6. Dónde se guardan
La infraestructura de Factuza está desplegada en la región de Azure en España. Tus facturas y las de tus clientes no salen del Espacio Económico Europeo.
La única transferencia internacional posible es la asociada a la pasarela de pago, amparada en las cláusulas contractuales tipo aprobadas por la Comisión Europea y en las medidas complementarias del propio proveedor.
7. Medidas de seguridad
- Cifrado en tránsito (TLS) y en reposo.
- Autenticación gestionada por un proveedor de identidad; nosotros no almacenamos contraseñas.
- Las credenciales y certificados viven en un almacén de secretos, nunca en el código.
- La cadena de registros de facturación es inmutable y su emisión, transaccional: no se puede alterar un registro pasado sin que la cadena lo delate.
- Copias de seguridad con recuperación a un punto en el tiempo.
- Acceso interno mínimo y trazado. El personal de soporte no consulta tus facturas salvo que lo pidas expresamente en una incidencia.
8. Uso de automatismos e inteligencia artificial
Factuza no utiliza inteligencia artificial generativa. Las dos funciones que podrían parecerlo no lo son:
- El dictado de facturas emplea el reconocimiento de voz del propio dispositivo y un intérprete de reglas deterministas. No genera contenido: lo interpreta.
- El OCR de gastos usa un modelo preentrenado de extracción que lee los datos de un documento. No crea contenido ni toma decisiones por ti.
Tus datos no se emplean para entrenar modelos, ni nuestros ni de terceros. Las mismas entradas producen siempre las mismas salidas, y cada casilla calculada indica su origen. Por eso Factuza queda fuera de las obligaciones de transparencia del artículo 50 del Reglamento (UE) 2024/1689; si algún día incorporásemos una función generativa, iría etiquetada como tal desde el primer día.
9. Tus derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él, escribiendo a privacidad@factuza.com. Responderemos en el plazo de un mes.
Dos matices honestos:
- El derecho de supresión tiene límites cuando existe una obligación legal de conservación. No podemos borrar registros de facturación dentro de los plazos fiscales y mercantiles, ni romper la cadena VeriFactu; sí podemos suprimir el resto y bloquear lo que la ley obliga a guardar.
- Si lo que quieres ejercer es un derecho sobre datos que otro usuario introdujo en su cuenta (por ejemplo, porque te ha facturado), el responsable es esa empresa, no nosotros. Trasladaremos tu solicitud sin demora.
Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos.
10. Cambios en esta política
Publicaremos cualquier modificación en esta misma página con su fecha. Si el cambio es sustancial y te afecta como usuario registrado, te lo avisaremos por correo antes de que entre en vigor.