Quién es el responsable y quién es el encargado
En FlexiFlow tratamos datos personales en dos papeles distintos. Conviene distinguirlos:
| Papel | De qué datos | Quién decide para qué se usan |
|---|---|---|
| Responsable del tratamiento | Tu cuenta, tu acceso, tus pagos, el uso de la web y el soporte | [NOMBRE DEL TITULAR — PENDIENTE] |
| Encargado del tratamiento | Lo que tú (o tu asesoría) guardas para tu actividad: facturas, clientes, proveedores, gastos, movimientos bancarios, documentos | Tú, o tu asesoría: son responsables de esos datos y nosotros los tratamos solo por su encargo |
Responsable (y encargado, en su caso): [NOMBRE DEL TITULAR — PENDIENTE], NIF [NIF DEL TITULAR — PENDIENTE]. Domicilio: [DOMICILIO — PENDIENTE]. Contacto de privacidad: [CORREO DE PRIVACIDAD — PENDIENTE]. El titular es un autónomo (persona física). No hemos designado un delegado de protección de datos.
Mi dinero (finanzas personales o del hogar) es una función de uso personal: lo que registras ahí lo usas tú. Para esos datos actuamos como responsable de la plataforma, y tú decides qué introduces.
Qué datos tratamos, para qué y con qué base
La «base jurídica» es la razón que permite el tratamiento según el artículo 6 del RGPD.
| Finalidad | Datos | Base jurídica | Cuánto tiempo |
|---|---|---|---|
| Crear y gestionar tu cuenta y tu acceso | Nombre, correo, empresa y NIF si lo indicas, contraseña (guardada cifrada de forma irreversible), rol dentro del equipo | Ejecución del contrato (art. 6.1.b) | Mientras tengas la cuenta |
| Prestarte el servicio contratado | Los datos de la cuenta y de los módulos que usas | Ejecución del contrato (art. 6.1.b) | Mientras tengas la cuenta |
| Cobrar suscripciones y recargas | Plan, importes, identificador de cliente en Stripe; no guardamos el número de tu tarjeta | Ejecución del contrato (art. 6.1.b) y obligación legal (art. 6.1.c) | Los plazos que exijan las normas contables y fiscales |
| Correo del servicio: verificar el correo, recuperar la contraseña, avisos de seguridad, recibos | Correo, nombre, contenido del aviso | Ejecución del contrato (art. 6.1.b) | El registro de la bandeja de salida se conserva 365 días |
| Seguridad y prevención de abusos | Sesiones (fecha, IP y navegador), intentos de acceso fallidos, registro de acciones sensibles | Interés legítimo en proteger el servicio (art. 6.1.f) | La sesión caduca a los 14 días; el resto, el mínimo necesario |
| Demostrar qué textos legales aceptaste | Versión, fecha, canal y IP truncada | Interés legítimo en acreditar la aceptación (art. 6.1.f) | Mientras tengas la cuenta |
| Atender tus consultas (ayuda y contacto) | Correo, asunto y mensaje | Interés legítimo / medidas precontractuales (art. 6.1.f / 6.1.b) | El tiempo necesario para resolverlas |
| Lista de espera y avisos de lanzamiento | Correo, idioma, interés | Consentimiento (art. 6.1.a), que puedes retirar | Hasta que lo retires o se cumpla el fin |
| Comunicaciones comerciales | — | Solo con tu consentimiento expreso (casilla sin marcar). Hoy no enviamos comunicaciones comerciales a las cuentas | — |
| Datos de tu actividad (facturas, clientes, gastos, bancos, documentos) | Los que tú introduces o sube tu asesoría, incluidos datos de terceros | Tratamiento por encargo: sigue tus instrucciones (artículo 28 del RGPD). Tú eres el responsable | Mientras tengas la cuenta; después, ver «Qué pasa al borrar la cuenta» |
No usamos tus datos para tomar decisiones automatizadas con efectos legales sobre ti. No vendemos tus datos.
Lectura de facturas con inteligencia artificial (opcional)
El lector de facturas ("Gastos con IA") primero intenta leer la factura con su propio programa en nuestro servidor. Solo si el cliente tiene activada la opción «Permitir IA», y la factura no se resuelve, puede enviarse una segunda pasada a un proveedor externo de inteligencia artificial.
- Qué se envía: las imágenes de las páginas de esa factura, que pueden incluir nombres, NIF, direcciones e importes.
- Quién la recibe: el proveedor indicado en Subencargados (hoy, Anthropic, en Estados Unidos).
- Cómo se activa: no hace falta activarla para usar el servicio. Se activa y se desactiva cliente a cliente en el lector. Si no la activas, tus facturas no salen de nuestro servidor para este fin.
- Quién decide: la asesoría o empresa que activa «Permitir IA» es quien debe tenerlo en cuenta frente a sus clientes.
- Qué se anota: cada envío queda registrado con los tokens usados.
A quién comunicamos tus datos
- Subencargados que nos ayudan a prestar el servicio (alojamiento, pagos, correo, copias de seguridad y, si se activa, inteligencia artificial): lista completa en Subencargados.
- Tu asesoría, si la has vinculado aceptando su invitación. Puede ver lo que compartes con ella; puedes romper el vínculo cuando quieras.
- Autoridades, cuando una ley nos obligue.
No cedemos tus datos a otras empresas para sus propios fines.
Transferencias internacionales
La mayor parte de los datos se queda en la Unión Europea (nuestro servidor). Pueden salir de la UE:
- Lectura con IA (opcional, solo si la activas): Estados Unidos. Garantía:.
- Pagos con Stripe: Stripe puede tratar datos desde fuera de la UE con las garantías que indica en sus condiciones.
Cuánto tiempo conservamos los datos
- Sesión: 14 días o hasta que cierres sesión.
- Correo de sistema (bandeja de salida): 365 días.
- Imágenes de página del lector: se borran pasados 90 días y se regeneran al abrir la factura.
- Documentos originales y datos de actividad: mientras tengas la cuenta.
- Copias de seguridad: se renuevan de forma rotatoria; un dato borrado puede permanecer en copias cifradas durante el ciclo de rotación.
Qué pasa al borrar la cuenta
Puedes pedir el borrado en «Mi cuenta». Tiene un periodo de gracia de 14 días en el que puedes cancelarlo. Pasado ese plazo se borran tus usuarios, sesiones, clientes, gastos, ajustes y demás datos. Se conservan las facturas emitidas y sus registros asociados, los justificantes de cobros y la constancia del borrado, durante el tiempo que exija la ley, y bloqueados para otros usos.
Tus derechos y cómo ejercerlos
Puedes pedir acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de tus datos, y retirar un consentimiento cuando lo hayas dado (artículos 15 a 22 del RGPD).
- Tú mismo, desde la app: en «Mi cuenta» puedes exportar tus datos y pedir el borrado de tu cuenta.
- Por correo: escribe a [CORREO DE PRIVACIDAD — PENDIENTE] indicando qué derecho quieres ejercer. Podemos pedirte que acredites quién eres.
- Plazo: respondemos en un mes como máximo; si la solicitud es compleja o hay muchas, puede ampliarse dos meses más, y te lo diremos.
- Si tus datos los trata tu asesoría o empresa (por ejemplo, eres cliente de una asesoría), dirige tu petición a ella, que es la responsable; la ayudaremos a atenderla.
Reclamación: si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.
Seguridad
Aplicamos medidas técnicas y de organización razonables: conexión cifrada (HTTPS), contraseñas guardadas con función de resumen y sal, control de accesos por roles, separación de los datos de cada cuenta, límites de intentos de acceso y copias de seguridad cifradas. El detalle está en el anexo de seguridad del Acuerdo de encargado del tratamiento. Ningún sistema es infalible: si hubiera una brecha que te afecte, te lo comunicaremos como exige la ley.
Menores
El servicio está pensado para personas mayores de edad y para su actividad profesional.
Cambios en esta política
Cada versión lleva número y fecha. Si hay un cambio importante, te avisaremos dentro de la aplicación y te pediremos que lo revises. Puedes ver lo que aceptaste en «Mi cuenta → Documentos legales».