Política de Privacidad

1. Introducción

La presente Política de Privacidad describe cómo se tratan los datos personales en relación con el sitio web factutpv.es y con el servicio SaaS FactuTPV. Aplica tanto a la información recabada a través del sitio como a los datos tratados durante la contratación, administración y uso del servicio.

Esta política debe leerse conjuntamente con el Aviso Legal, los Términos y Condiciones, el Contrato de Encargo del Tratamiento (DPA) y la Política de cookies y tecnologías similares.

En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa sobre el tratamiento de los datos personales a través del servicio FactuTPV.

2. Dos planos distintos: responsable y encargado

Es esencial distinguir dos planos diferentes de tratamiento:

Respecto a los datos del Plano B, el Cliente es responsable de informar a los interesados finales, obtener las bases legales necesarias y cumplir con el RGPD. FactuTPV asistirá al Cliente en la medida prevista en el DPA.

3. Identidad y contacto del responsable

4. Tratamientos como responsable, finalidades y bases legales

5. Categorías de datos tratados

FactuTPV no trata por iniciativa propia categorías especiales de datos (art. 9 RGPD). Los datos tratados son datos identificativos, de contacto, profesionales, fiscales, técnicos (IP, logs) y de facturación.

6. Destinatarios de los datos

Los datos pueden comunicarse a:

• Proveedor de hosting/cloud: Raiola Networks, S.L. (raiolanetworks.com).
• Proveedor de servicios de pago: Stripe, Inc.
• Subencargados técnicos: los subencargados que tratan datos por cuenta del Cliente se detallan en el DPA. Actualmente el envío de correos se realiza mediante infraestructura propia de FactuTPV, sin recurrir a un proveedor externo de correo transaccional. Si en el futuro se incorporase un proveedor externo para esta finalidad, se comunicará conforme al DPA y se incorporará a la lista de subencargados cuando proceda.
• Administración Tributaria (AEAT) y otras autoridades competentes, cuando exista obligación legal.
• Asesoría fiscal/contable del titular, cuando sea estrictamente necesario.

No se ceden datos a terceros con fines comerciales ajenos al servicio.

7. Transferencias internacionales

Con carácter general, los proveedores de FactuTPV se localizan en el Espacio Económico Europeo. En caso de transferencia internacional a un tercer país, se adoptará el mecanismo procedente (decisión de adecuación, Cláusulas Contractuales Tipo, BCR o excepciones del art. 49 RGPD) y, cuando proceda, medidas complementarias tras el análisis de impacto. El detalle se mantiene en el Anexo I del DPA.

8. Plazos de conservación

• Consultas web sin relación contractual posterior: hasta 12 meses desde la última interacción, salvo que el interesado solicite antes su supresión.
• Leads comerciales: hasta 24 meses desde el último contacto útil, salvo oposición o solicitud de supresión.
• Datos contractuales y de facturación: durante la vigencia del contrato y, una vez finalizado, durante el plazo legal de conservación de documentación fiscal y contable, orientativamente 4–6 años, y los plazos de prescripción de acciones aplicables. Los registros exigidos por la normativa del SIF/VeriFactu se conservarán por el plazo legalmente establecido.
• Logs de seguridad: durante el tiempo estrictamente necesario para finalidades de seguridad, auditoría y prevención de fraude.

Transcurridos estos plazos, los datos serán suprimidos o bloqueados adecuadamente.

9. Derechos de los interesados

Los interesados pueden ejercer los derechos reconocidos en el RGPD:

• Acceso: obtener confirmación de si se tratan sus datos y acceder a los mismos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación cuando ya no sean necesarios.
• Oposición: oponerse al tratamiento en determinadas circunstancias.
• Limitación: solicitar la limitación del tratamiento.
• Portabilidad: recibir los datos en un formato estructurado y de uso común.
• A no ser objeto de decisiones automatizadas con efectos jurídicos.

Para ejercer estos derechos, puede enviar una solicitud a privacidad@factutpv.es, identificándose adecuadamente. Se responderá en el plazo máximo de un mes.

Asimismo, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si considera que el tratamiento no se ajusta a la normativa vigente.

10. Decisiones automatizadas y elaboración de perfiles

FactuTPV no adopta decisiones automatizadas ni realiza elaboración de perfiles con efectos jurídicos o significativos sobre los interesados.

11. Estadísticas agregadas anónimas

FactuTPV publica en su sitio web métricas agregadas y anónimas sobre el uso del servicio (por ejemplo, número total acumulado de facturas emitidas a través de la plataforma, número aproximado de negocios activos en los últimos 30 días o porcentaje de disponibilidad del servicio).

Estas estadísticas se calculan sobre agregados de al menos 20 tenants y se redondean a la baja para impedir la identificación de ningún cliente individual. No incluyen importes, clientes finales, productos ni ninguna otra información comercial. Al no permitir la reidentificación, no constituyen datos personales en el sentido del art. 4.1 RGPD.

La base jurídica para su elaboración es el interés legítimo del responsable en la promoción, mejora y rendición de cuentas del servicio (art. 6.1.f RGPD). Estas estadísticas se publican exclusivamente con fines informativos y de marketing del servicio, y son revisadas periódicamente para garantizar su veracidad.

Los Clientes pueden ejercer el derecho de oposición al tratamiento (art. 21 RGPD) escribiendo a privacidad@factutpv.es; en tal caso excluiremos sus datos de los agregados a partir del siguiente cómputo.

12. FactuTPV como encargado del tratamiento por cuenta del Cliente

Cuando el Cliente utiliza el servicio para tratar datos personales de los que es responsable (clientes finales, empleados, facturas con datos de contraparte, etc.), FactuTPV actúa como encargado del tratamiento en los términos del art. 28 RGPD.

Esta relación se rige por el Contrato de Encargo del Tratamiento (DPA), disponible en factutpv.es/legal/dpa e incorporado por referencia al contrato del servicio. El DPA regula, entre otros extremos, el objeto, duración, naturaleza y finalidad del tratamiento, categorías de datos e interesados, instrucciones documentadas del responsable, confidencialidad y seguridad, régimen de subencargados, asistencia al responsable, notificación de incidentes, destino de los datos al finalizar, derechos de auditoría y transferencias internacionales.

El Cliente es el único responsable del cumplimiento del RGPD respecto de esos datos (información a los interesados, base legal, atención de derechos, etc.). FactuTPV asistirá al Cliente conforme al DPA.

13. Comunicaciones enviadas por clientes desde la plataforma

Cuando un cliente de FactuTPV utiliza la plataforma para enviar comunicaciones a sus propios clientes, proveedores u otros destinatarios (facturas, tickets, presupuestos, recordatorios, avisos, confirmaciones y, en su caso, comunicaciones comerciales), FactuTPV trata los datos personales necesarios para prestar técnicamente dicha funcionalidad por cuenta del cliente, que actúa como responsable del tratamiento.

En estos casos, la finalidad, los destinatarios, el contenido y la base jurídica del envío los determina el cliente de FactuTPV. FactuTPV no utiliza los datos de dichos destinatarios para fines propios de marketing ni los incorpora a sus propias campañas comerciales. Esta relación se rige por el Contrato de Encargo del Tratamiento (DPA).

FactuTPV podrá tratar metadatos técnicos de envío, estado de entrega, rebotes, errores y registros de seguridad con la finalidad de prestar el servicio, mantener la trazabilidad, prevenir abusos, proteger la reputación de envío y garantizar la seguridad y la continuidad de la plataforma.

14. Medidas de seguridad

FactuTPV aplica medidas técnicas y organizativas apropiadas al riesgo para proteger los datos personales frente a accesos no autorizados, alteración, pérdida o destrucción (art. 32 RGPD), incluidas:

• Cifrado de datos en tránsito (TLS/HTTPS); protecciones de almacenamiento y control de acceso, con cifrado en reposo cuando esté habilitado por la infraestructura o el proveedor aplicable.
• Almacenamiento de contraseñas mediante funciones hash seguras (bcrypt).
• Control de acceso basado en roles (RBAC) con principio de mínimo privilegio.
• Segregación lógica multi-tenant con filtrado por identificador de tenant.
• Copias de seguridad periódicas y procedimientos de recuperación.
• Monitorización de seguridad y registro de accesos.

El resumen completo de medidas figura en el Anexo II del DPA.

15. Menores

El servicio no está dirigido a menores de 18 años. FactuTPV no recaba conscientemente datos de menores.

16. Cambios en esta Política

FactuTPV podrá actualizar esta política para reflejar cambios legales, técnicos o del servicio. Las versiones anteriores podrán consultarse contactando a privacidad@factutpv.es. Cualquier modificación sustancial será notificada a través de la plataforma o por correo electrónico.