Información legal
Política de privacidad de Factulife
1. Responsable y ámbito de esta política
El responsable de los tratamientos propios descritos en esta política es Factulife Software, S.L., con NIF B19863638 y domicilio social en C/ Isabel Méndez 26, 5.º B, 28038 Madrid, España, inscrita en el Registro Mercantil de Madrid, sección 8.ª, hoja M-829495. En adelante, «Factulife».
Puedes contactar con nosotros y ejercer tus derechos en legal@factulife.es, o por correo postal al domicilio indicado, con la referencia «Protección de datos».
Esta política comprende la web pública de Factulife y su aplicación de facturación y gestión, incluidas las operaciones necesarias para crear y administrar cuentas, prestar soporte y gestionar la representación tributaria cuando se contrate. Se aplica a las personas que visitan la web, solicitan información, contratan como profesionales, actúan como contactos o representantes de clientes, utilizan una cuenta autorizada o firman documentos de representación.
Hay dos situaciones distintas. Factulife es responsable de los datos que utiliza para sus propias relaciones y obligaciones. Cuando un cliente introduce datos de sus clientes, proveedores, contactos u otras personas para gestionar su negocio, Factulife los trata por cuenta de ese cliente, como encargado, conforme al acuerdo de encargo de tratamiento, que forma parte de las condiciones del servicio. El apartado 4 explica esta diferencia.
2. De dónde proceden los datos y cuáles son necesarios
Recibimos los datos que nos facilitas en el alta, al usar la aplicación, al contactar con nosotros o al tramitar un mandato. También podemos recibirlos de la empresa que te autoriza a utilizar el servicio, del cliente o profesional que te identifica como representante o firmante, y de los documentos y evidencias de firma correspondientes. Los sistemas generan los datos técnicos necesarios para gestionar accesos, operaciones y seguridad.
En la representación, los datos proceden además de la documentación aportada para acreditar identidad y poderes y de los proveedores de firma que intervienen en el procedimiento. La información del procedimiento efectivamente utilizado es la siguiente: firma electrónica avanzada de Yousign: el firmante se identifica con su nombre, su correo electrónico y su teléfono móvil, y firma con un código de un solo uso que recibe por SMS; Yousign conserva las pruebas del proceso (fechas, dirección IP y pasos seguidos). Antes, Factulife comprueba la identidad y los poderes con la documentación aportada.
Los campos identificados como obligatorios son necesarios para atender la solicitud, prestar la función o cumplir una obligación legal. Sin ellos puede no ser posible crear la cuenta o tramitar una operación concreta. No facilitar un dato necesario para la representación no impide por sí solo utilizar funciones del servicio que no lo requieran. Las preferencias y funcionalidades opcionales no son un consentimiento general al tratamiento de todos los datos.
Cuando una organización nos facilita datos tuyos, te informaremos en los términos del artículo 14 RGPD, normalmente al contactar contigo o al facilitarte acceso y, cuando corresponda, dentro del plazo legal de un mes. La colaboración de la organización para facilitarte esta información no sustituye nuestras obligaciones propias.
3. Tratamientos en los que Factulife es responsable
En la siguiente tabla, «ejecución del contrato» se refiere al contrato con la propia persona física que sea parte o a las medidas precontractuales que haya solicitado. Para empleados, representantes y contactos de una persona jurídica, la gestión de la relación profesional se fundamenta, cuando no existe una obligación específica, en el interés legítimo de mantener esa relación y comprobar la autorización, con los límites del artículo 19 LOPDGDD.
| Finalidad | Datos que utilizamos | Base jurídica | Conservación | Destinatarios |
|---|---|---|---|---|
| Atender solicitudes de información y consultas. | Identificación, contacto y contenido de la solicitud. | Medidas precontractuales solicitadas, art. 6.1.b RGPD; o interés legítimo en atender una comunicación profesional, art. 6.1.f. | Hasta resolver la solicitud; después, sólo las evidencias necesarias si existen obligaciones o responsabilidades vinculadas. | Proveedores de infraestructura y correo; personal autorizado. |
| Crear la cuenta, gestionar el contrato y los usuarios autorizados. | Nombre, apellidos, correo, datos profesionales/fiscales necesarios, organización, identificadores de cuenta, credenciales, permisos y preferencias de perfil. | Art. 6.1.b para la persona física contratante; art. 6.1.f para representantes y usuarios de organizaciones. | Mientras se mantenga la cuenta o relación; después se eliminan los datos operativos innecesarios y se conservan únicamente las evidencias sujetas a deberes o responsabilidades. | Proveedores de infraestructura/correo y administradores de la organización respecto de la información necesaria para gestionar sus usuarios. |
| Facturar y gestionar el cobro de los servicios de Factulife; cumplir nuestras obligaciones contables y fiscales. | Identidad, NIF, domicilio fiscal, facturas del servicio y referencias de pago necesarias. | Ejecución de contrato o interés legítimo profesional, según el caso; cumplimiento de obligaciones legales, art. 6.1.c. | Documentación mercantil: seis años desde el último asiento pertinente, salvo regla especial. Documentación tributaria: durante los plazos que correspondan, atendiendo a su cómputo, interrupciones y obligaciones pendientes. | Entidades de pago que intervengan en el cobro, asesores sujetos a confidencialidad y autoridades cuando proceda legalmente. |
| Prestar soporte y enviar comunicaciones operativas sobre el servicio. | Datos de contacto, información de cuenta, consulta/incidencia y evidencias técnicas necesarias. | Art. 6.1.b o 6.1.f, según la relación. | Durante la gestión de la incidencia y, posteriormente, sólo lo necesario para acreditar su resolución y atender responsabilidades. Los logs de envío se conservan durante 30 días. | Infraestructura/correo y personal de soporte autorizado. El acceso al contenido del cliente se somete al encargo y a sus instrucciones. |
| Proteger cuentas, prevenir accesos no autorizados y mantener la seguridad del servicio. | Identificadores, IP, datos técnicos de navegador, sesión y dispositivo, fechas, operaciones, errores y evidencias de seguridad pertinentes. | Interés legítimo en proteger a los usuarios y el servicio, art. 6.1.f; cumplimiento de deberes específicos de seguridad cuando resulte aplicable el art. 6.1.c. | Los registros ordinarios de seguridad se conservan durante 14 días. Las evidencias de un incidente se mantienen el tiempo necesario para investigarlo y atender responsabilidades, con acceso limitado. | Infraestructura, personal de seguridad autorizado y autoridades o profesionales de defensa cuando exista habilitación. |
| Gestionar, acreditar, utilizar y revocar la representación contratada ante la AEAT. | Datos de partes, representantes y firmantes; identidad/NIF, contacto, cargo y poderes; documentos identificativos necesarios, firmas, documentos firmados, instrucciones, estados, huellas y evidencias de las actuaciones. | Art. 6.1.b para la parte persona física; art. 6.1.f para la relación profesional y comprobaciones proporcionadas; art. 6.1.c para la acreditación y conservación exigidas por la normativa tributaria y los modelos de representación. | Durante la tramitación y vigencia y, después, mientras sean exigibles las obligaciones y responsabilidades a las que responde cada evidencia. No se conservan indefinidamente documentos identificativos por su mera utilidad eventual. | Proveedores de infraestructura y firma, AEAT y, cuando proceda, autoridades, órganos judiciales y profesionales de defensa sujetos a confidencialidad. |
| Atender derechos y reclamaciones y acreditar el cumplimiento. | Solicitud, datos mínimos de identificación, actuaciones y comunicaciones necesarias. | Cumplimiento de obligaciones legales, art. 6.1.c; interés legítimo en la defensa de reclamaciones, art. 6.1.f, cuando corresponda. | Mientras sea necesario para atender la solicitud y las obligaciones o responsabilidades asociadas. | Autoridades de control, órganos judiciales y profesionales que deban intervenir. |
Los avisos de funcionamiento, seguridad, documentos o cuenta no se convierten en publicidad por enviarse por correo. Esta política no autoriza campañas publicitarias de terceros, venta de datos ni reutilización de los documentos de nuestros clientes para finalidades comerciales propias.
Criterios de conservación después de terminar una relación
La baja no comporta borrar inmediatamente los documentos que deban conservarse por una obligación legal. Tampoco permite conservar sin límite toda la cuenta o toda la documentación del negocio.
Para la prueba de obligaciones contractuales se considera, cuando sea aplicable, el plazo de cinco años del artículo 1964.2 del Código Civil, contado desde que pueda exigirse su cumplimiento, así como las interrupciones y los plazos especiales pertinentes. En materia tributaria se consideran los artículos 66 a 70 de la Ley General Tributaria, incluido el artículo 66 bis cuando corresponda. No aplicamos una regla indiscriminada de «cuatro años desde la fecha de la factura».
Cuando proceda, los datos se conservarán bloqueados conforme al artículo 32 LOPDGDD: no se utilizarán ordinariamente y quedarán a disposición de las autoridades competentes para atender las responsabilidades aplicables. Una vez finalicen los plazos y motivos de conservación, se suprimirán de forma segura. Las restricciones y supresiones se reaplicarán si es necesario restaurar una copia de seguridad.
4. Datos que tratamos por cuenta de nuestros clientes
Los clientes utilizan Factulife para gestionar clientes y proveedores, contactos, presupuestos, pedidos, albaranes, partes de trabajo, facturas y rectificativas, documentos periódicos y programados, facturas recibidas, correos, cuentas bancarias, remesas y registros de cumplimiento. Esos documentos pueden contener nombres, NIF, direcciones, contactos, conceptos, fechas, importes, impuestos, referencias bancarias y datos de las personas que intervienen en las operaciones.
El cliente determina las finalidades y la base jurídica de ese tratamiento. Factulife presta la herramienta y trata los datos siguiendo sus instrucciones. La empresa o profesional que emite o gestiona una factura es quien debe informar a la persona que aparece en ella. Si una asesoría actúa por cuenta de su propio cliente, la cadena de encargos debe reflejar esa situación y las autorizaciones necesarias.
El acuerdo de encargo regula las instrucciones, la confidencialidad, la seguridad, los subencargados, la asistencia para atender derechos y brechas, las auditorías y la devolución o supresión de datos. No utilizamos la facturación alojada por nuestros clientes para entrenar modelos propios o de terceros ni para comercializarla.
Al terminar el servicio se aplica el régimen de consulta/exportación, devolución o supresión del encargo y, cuando se haya contratado representación, las garantías específicas de su contrato. La conservación de facturas y registros fiscales se organiza sin alterar originales que legalmente deban permanecer íntegros y sin convertir toda la documentación del cliente en un archivo propio de Factulife.
La AEAT es responsable de los tratamientos que realiza con la información recibida bajo su habilitación legal. La representación no convierte a Factulife en responsable de todos los datos de facturación ni autoriza actuaciones distintas de las contratadas y válidamente instruidas.
Lectura automatizada de facturas y otras comprobaciones
Cuando un usuario autorizado solicita la lectura de una factura recibida, el documento puede enviarse al proveedor de inteligencia artificial identificado en el apartado 5 para extraer y estructurar información. La transmisión puede comprender el archivo completo y los datos personales que contenga. No se trata de una lectura exclusivamente local en el navegador.
La información extraída se guarda como borrador pendiente de revisión. El original y los datos del borrador pueden estar almacenados antes de que una persona los apruebe. El usuario debe comprobar su exactitud y corregir los errores antes de consolidar la información conforme al flujo del servicio. Esta función no se utiliza para decidir automáticamente sobre crédito, solvencia o derechos de una persona ni sustituye la responsabilidad del cliente sobre su facturación.
Los controles automáticos de integridad, vigencia o concordancia del expediente de representación no acreditan por sí solos todos los poderes. Las discrepancias que puedan afectar significativamente a una persona dispondrán de revisión humana. No se adoptarán decisiones exclusivamente automatizadas comprendidas en el artículo 22 RGPD sin la habilitación, información y garantías específicas que exige ese artículo.
El servicio no requiere como categoría ordinaria datos de salud, creencias u otras categorías especiales. Los clientes deben evitar incluirlos cuando no sean necesarios. Si un documento los contiene o una modalidad de identificación utiliza biometría para identificar de forma unívoca, se requiere la evaluación y habilitación específica correspondiente antes de tratar esos datos; una aceptación general del servicio no las sustituye.
5. Proveedores y otros destinatarios
El acceso se limita a los proveedores que sean necesarios para la función utilizada y a los datos que ésta requiera. Una empresa que interviene en varias funciones no tiene necesariamente el mismo papel en todas ellas.
| Proveedor y servicio | Función y papel | Localización y garantías |
|---|---|---|
| Amazon Web Services — Amazon Web Services EMEA SARL (Luxemburgo). | Infraestructura, aplicación, bases de datos, documentos, copias, correo mediante SES y custodia de claves/secretos. Encargado para datos propios de Factulife y subencargado para datos tratados por cuenta del cliente. | Región principal declarada: eu-west-3, París, Francia. Entidades, accesos remotos y transferencias: Los datos y sus copias de seguridad se alojan en la región de París (Francia, Unión Europea). Si AWS o sus subencargados acceden a ellos desde fuera del Espacio Económico Europeo, la transferencia queda cubierta por el Anexo de Tratamiento de Datos de AWS, que incorpora las cláusulas contractuales tipo de la Comisión Europea.. |
| Yousign SAS. | Firma del expediente de representación y evidencias necesarias por cuenta de Factulife. Sólo interviene cuando se utiliza ese procedimiento. Los tratamientos propios que le imponga la normativa se identificarán separadamente en la información de firma. | Sociedad francesa. Localizaciones, otros intervinientes y garantías aplicables: Yousign SAS (Francia) aloja los datos y las pruebas de firma en la Unión Europea y actúa como prestador de servicios de confianza conforme al Reglamento (UE) 910/2014 (eIDAS).. |
| Google, Gemini API — Google Cloud EMEA Limited (Irlanda). | Extracción de información de facturas cuando el cliente utiliza la lectura automatizada. Tratamiento del contenido por cuenta del cliente a través de Factulife, sujeto al encargo y a las condiciones de servicio aplicables. | No se afirma alojamiento exclusivamente europeo. Países de tratamiento, retención técnica y garantías: Google trata los documentos que se envían para leer sus datos en el servicio de pago de la API de Gemini, sin usarlos para entrenar sus modelos, y puede conservarlos durante un plazo limitado para detectar abusos. El tratamiento puede realizarse fuera del Espacio Económico Europeo; esas transferencias quedan cubiertas por el Anexo de Tratamiento de Datos de Google Cloud, con cláusulas contractuales tipo.. |
| Google Maps Platform — Google Cloud EMEA Limited (Irlanda). | Geocodificación y recursos de mapas cuando se usa la función correspondiente. Su intervención y los usos propios del proveedor no se califican automáticamente como subencargo; se someten a las condiciones de protección de datos específicas de ese servicio. | Datos comunicados, países, papel del proveedor y garantías: Se envían las direcciones que se quieren localizar o completar, sin otros datos de la cuenta. Google las trata conforme a las condiciones de Google Maps Platform; el tratamiento puede realizarse fuera del Espacio Económico Europeo, con las garantías del Anexo de Tratamiento de Datos de Google Cloud (cláusulas contractuales tipo).. |
Los destinatarios de documentos y las personas a las que el cliente concede acceso reciben la información según sus instrucciones y permisos. Una asesoría independiente no se considera por ese solo hecho subencargada de Factulife. Las entidades bancarias, autoridades y órganos judiciales sólo recibirán los datos que correspondan a la operación o habilitación aplicable.
No se permite a un proveedor reutilizar el contenido del negocio del cliente para entrenar modelos al margen del encargo. Las condiciones sobre datos de cuenta, uso técnico y prevención de abuso de cada proveedor deben distinguirse del tratamiento del contenido de las facturas.
6. Transferencias internacionales
La infraestructura principal está situada en Francia. Eso no significa que todos los proveedores, servicios auxiliares, subproveedores o accesos remotos estén necesariamente dentro del Espacio Económico Europeo. El apartado 5 identifica la información aplicable a cada servicio.
Cuando una operación implique transferir datos a un tercer país, se utilizará el mecanismo que corresponda: una decisión de adecuación aplicable al destinatario concreto o garantías adecuadas, como las cláusulas contractuales tipo de la Comisión Europea, junto con la evaluación y medidas complementarias que resulten necesarias. No se presume que una certificación de grupo cubra cualquier entidad o servicio.
Puedes solicitar en legal@factulife.es información adicional y una copia o el modo de acceder a las garantías aplicables. Sólo se ocultarán datos ajenos o información confidencial cuando sea necesario y sin impedir conocer la protección relevante. La autorización del cliente para un subencargado no sustituye los requisitos legales de una transferencia internacional.
7. Derechos y reclamaciones
Puedes solicitar el acceso, la rectificación, la supresión, la limitación, la oposición y, cuando se cumplan sus requisitos, la portabilidad de tus datos. También puedes retirar un consentimiento específico en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior, y ejercer las garantías aplicables frente a decisiones exclusivamente automatizadas.
Cuando el tratamiento se base en interés legítimo, puedes oponerte por motivos relacionados con tu situación particular. Dejaremos de tratar los datos salvo que existan motivos legítimos imperiosos que prevalezcan o sean necesarios para formular, ejercer o defender reclamaciones, en los términos legales.
Dirige tu solicitud a legal@factulife.es o al domicilio del apartado 1. Indica el derecho que solicitas y la información necesaria para localizar los datos. No exigimos una copia de tu DNI en todos los casos: sólo pediremos información adicional proporcionada cuando existan dudas razonables sobre tu identidad.
Responderemos, con carácter general, en un mes desde la recepción. Si la complejidad o el número de solicitudes justifican una ampliación, te lo comunicaremos dentro del primer mes, indicando los motivos; la ampliación no excederá de otros dos meses. El ejercicio es gratuito, salvo los supuestos previstos legalmente.
Si los datos están en la facturación o documentación de uno de nuestros clientes, trasladaremos la solicitud sin demora al responsable correspondiente y le asistiremos conforme al encargo. No divulgaremos documentos de una organización ni alteraremos sus registros fiscales por una petición no autorizada. La rectificación o supresión se atenderá mediante la solución compatible con las obligaciones de integridad y conservación aplicables.
Puedes presentar una reclamación ante la Agencia Española de Protección de Datos, a través de su sede electrónica, o ante la autoridad de control competente. No necesitas reclamar primero a Factulife para acudir a la autoridad.
La retirada de un consentimiento de privacidad, el cierre de una cuenta y la revocación de un mandato son actos distintos. La revocación de la representación se tramita por el procedimiento del contrato y no elimina las obligaciones legales de conservar sus evidencias.
8. Seguridad
Factulife aplica medidas técnicas y organizativas proporcionadas al riesgo para proteger la confidencialidad, integridad, disponibilidad y resiliencia de los datos. Comprenden la gestión de identidades y permisos, la separación lógica entre espacios de trabajo, la protección de comunicaciones, la custodia específica de material sensible y las medidas de registro, conservación y recuperación necesarias.
Las personas autorizadas sólo deben acceder a los datos necesarios para su función y están sujetas a deberes de confidencialidad. El soporte y la administración de infraestructura no autorizan el uso de información para finalidades ajenas al servicio. Las medidas concretas del tratamiento por cuenta del cliente se regulan en el encargo.
No existe una garantía absoluta frente a todo incidente. Cuando se produzca una violación de seguridad, se gestionará y se realizarán las comunicaciones al cliente, a la autoridad y a las personas afectadas que correspondan según el papel de Factulife y el riesgo.
9. Menores
Factulife se dirige a actividades empresariales y profesionales; no se ofrece específicamente al público infantil. La contratación requiere capacidad suficiente y, cuando se actúe por una organización, autorización para representarla. La edad a partir de la cual un menor puede consentir determinados tratamientos de datos no equivale por sí sola a capacidad para contratar este servicio.
Si un cliente necesita incorporar legítimamente datos de menores a un documento de su actividad, es responsable de su base jurídica, de la información y de la minimización correspondientes. Puede contactarnos para tratar un acceso o una recogida no autorizados.
10. Cookies y cambios de esta política
La política de cookies explica las cookies, el almacenamiento local y los recursos externos de la web y la aplicación, sus funciones, duraciones y mecanismos de elección.
Actualizaremos esta política cuando sea necesario para reflejar cambios reales del servicio o de la normativa. Publicaremos la versión y fecha de efectos y comunicaremos los cambios relevantes por un medio adecuado. Una actualización de esta política no convierte en consentidos usos que necesiten una elección separada ni modifica retroactivamente el alcance de un encargo o mandato.