Política de privacidad
Versión 2026-09-15. Es la que está en vigor; si cambia, cambia la fecha y se avisa a quien ya tenga cuenta. Las versiones anteriores se conservan y se pueden pedir.
Lo importante, en cinco líneas
- Leemos tu correo solo si tú nos das permiso, y solo para encontrar facturas. Es un permiso de lectura: no podemos escribir, enviar ni borrar nada.
- Lo mismo con tus cobros de Stripe, si nos los conectas: solo lectura. No podemos cobrar, ni devolver, ni mover tu dinero, y retiras el acceso desde tu propia cuenta de Stripe.
- Nunca vemos tu contraseña ni la de tu banco. No pedimos credenciales de acceso a ninguna entidad.
- No vendemos, cedemos ni cruzamos tus datos con los de nadie, ni los usamos para publicidad o para entrenar modelos de IA.
- Retiras el permiso cuando quieras. Lo que la ley obliga a conservar se conserva, y está dicho abajo con el plazo y el artículo.
Quién trata tus datos, y con qué papel
Pascual Monreal Sanz — NIF 53208721S.
Contacto: pascual@factucienda.com
Hay dos papeles distintos, y de cuál sea depende quién decide sobre qué:
- Tus datos: somos responsables del tratamiento. Decidimos qué hace falta para llevarte la fiscalidad, cuánto se conserva y con qué medios, y respondemos de ello. Es la posición que el Comité Europeo de Protección de Datos atribuye al despacho profesional que trabaja con instrucciones generales (Directrices 07/2020, ap. 27 y 40).
- Los datos de tus compradores, cuando emites con nuestra aplicación: el responsable eres tú y nosotros somos encargados. Nuestro título para tocarlos no es una base jurídica propia — es el contrato del artículo 28 del RGPD que firmamos contigo, y que puedes leer entero antes de contratar nada.
Qué datos tratamos y para qué
Si solo rellenas el formulario de contacto
Tu nombre, correo, teléfono si lo dejas, y lo que nos cuentes. Sirve para responderte y, si lo pides, llamarte. Nada más. Si no llegamos a trabajar juntos, esos datos se borran al año.
Base jurídica: tu consentimiento (art. 6.1.a del RGPD), que retiras escribiéndonos.
Si nos escribes por WhatsApp
Desde el 21 de septiembre de 2026, WhatsApp es también una puerta de entrada: en la web hay un botón que abre una conversación con nuestro número. Si escribes por ahí tratamos tu número de teléfono, tu nombre de perfil y lo que nos cuentes en el chat, con la misma finalidad que el formulario —responderte— y durante el mismo plazo: si no llegamos a trabajar juntos, se borra al año. Base jurídica: la aplicación de medidas precontractuales a petición tuya (art. 6.1.b del RGPD), porque eres tú quien abre la conversación. Aquí no hay casilla que marcar, y esa es la diferencia con el formulario: el formulario registra tu consentimiento con su casilla y WhatsApp no registra nada. Por eso no te pedimos documentación ni datos fiscales por ese canal: para eso te damos de alta y usas tu área.
Y el mensaje pasa por Meta antes de llegarnos. El servicio lo presta WhatsApp Ireland Limited (grupo Meta), que no es un encargado del tratamiento nuestro: es un responsable independiente, con sus propias condiciones y su propia política de privacidad, sobre las que no mandamos nada. Los mensajes viajan cifrados de extremo a extremo, pero Meta trata igualmente los datos de la conversación —quién escribe a quién, cuándo y desde qué dispositivo— conforme a esas condiciones suyas, y puede tratarlos fuera de la Unión Europea. Dicho sin adornos: escribirnos por WhatsApp significa aceptar el intermediario. Si prefieres no usarlo, el formulario y el correo llevan al mismo sitio y no pasan por Meta.
Si llegas a ser cliente
- Datos fiscales: nombre, NIF, domicilio fiscal, régimen de IVA, epígrafe de IAE, periodicidad.
- Documentación de alta: copia de tu documento de identidad y los datos que acreditan tu actividad. No es burocracia nuestra: un asesor fiscal es sujeto obligado por el art. 2.1.m) de la Ley 10/2010 y tiene que identificarte antes de empezar.
- Movimientos bancarios: los del extracto que tú nos subes. No conectamos con tu banco ni tenemos acceso a tus cuentas.
- Facturas de tus proveedores: el PDF y lo que se lee de él (emisor, fecha, importe, IVA, número).
- Contenido de tu correo, si nos autorizas: se buscan mensajes con facturas adjuntas dentro del período que estemos revisando.
- Tus cobros de Stripe, si nos los conectas: de cada movimiento se guardan fecha, importe bruto, comisión, neto, divisa y su identificador en Stripe. Nada más de tu cuenta. No podemos cobrar, ni devolver, ni mover dinero: los permisos que pedimos son de solo lectura y están a la vista en nuestra ficha del App Marketplace.
Todo eso se usa para una sola cosa: cruzar lo que has pagado contra los documentos que lo justifican, y decirte qué falta.
Bases jurídicas, que son tres y se apilan:
- Ejecución del contrato (art. 6.1.b): prestarte el servicio, facturarte y darte soporte.
- Obligación legal (art. 6.1.c): presentar tus declaraciones y conservar los justificantes lo exige el art. 29 de la Ley General Tributaria; y la identificación de alta y su conservación, la Ley 10/2010. Esto importa más de lo que parece: si toda la base fuera el contrato, el día que se acaba el contrato nos quedaríamos sin cobertura para conservar nada.
- Consentimiento explícito (art. 6.1.a) solo para el acceso a tu correo y a tu Stripe, que das en tu propio proveedor y retiras allí mismo.
Sobre el acceso a tu correo
- Se piden permisos de solo lectura.
- Nuestro código busca mensajes con facturas adjuntas del período que se está revisando, y solo eso. No indexa el buzón, no recorre conversaciones y no guarda los mensajes que no llevan una factura.
- De los que sí la llevan se guarda lo mínimo: remitente, asunto, fecha, el PDF de la factura y los datos extraídos de él.
- No se usan para publicidad ni para entrenar modelos de IA, ni nuestros ni de terceros.
- Al retirar el permiso, dejamos de acceder de inmediato.
Lo más cómodo, y lo que hace la mayoría, es tener un buzón solo para
facturas —del tipo facturas@tudominio— o reenviar ahí las
que lleguen a otro sitio. Se conecta ese, y ya está.
Sobre la conexión con tu Stripe
- Los permisos que pedimos son de solo lectura, y la lista completa es pública: está en nuestra ficha del App Marketplace de Stripe. No hay ni uno de escritura.
- Se leen los movimientos de tu saldo — cada cobro con su comisión desglosada — porque es el único sitio donde consta lo que Stripe y la plataforma se quedaron. Tu extracto bancario solo trae el neto.
- Las llaves de la conexión se guardan cifradas con AES-256-GCM, y la clave que las abre no está en la base de datos: vive en un secreto del servidor, aparte. Quien se llevara un volcado de la base no se llevaría con él nada que pueda usar.
- Retiras el acceso cuando quieras, desinstalando la aplicación desde los ajustes de tu propia cuenta de Stripe. No hace falta pedírnoslo, y te lo indica el propio Stripe al instalarla.
- Una conexión en modo de pruebas se marca como tal y nunca cuenta para una declaración.
Los datos de tus compradores
Esto merece su propio apartado porque no son tus datos: son de terceros, y llegan aquí sin que ellos nos conozcan.
Lo que Stripe devuelve de cada cobro incluye, si lo tiene, el nombre, el correo, el teléfono, la dirección y el NIF de quien te compró. Nosotros no lo necesitamos y no lo guardamos. De cada cobro se conserva únicamente el país del comprador, y se conserva porque decide si esa venta es intracomunitaria y a qué casilla va. Todo lo demás que identifique a una persona se descarta antes de escribir en la base.
Comprobado sobre la base de producción el 2026-09-14: ninguna fila guarda nombre, correo, teléfono, NIF ni datos de tarjeta de ningún comprador.
Papel y título. Cuando esos datos llegan porque emites con nuestra aplicación, el responsable eres tú y nosotros somos encargados: nuestro título es el contrato del art. 28. Cuando llegan dentro de una factura que hay que clasificar para tu declaración, la base es la obligación legal del art. 6.1.c): la de expedir y conservar facturas.
Con quién compartimos, y dónde está cada uno de verdad
Solo con quien hace falta para que el servicio funcione. Nadie más. Y con el país real, no con el del centro de datos:
| Quién | Para qué | De dónde es la empresa | Dónde se guardan tus datos | Garantía |
|---|---|---|---|---|
| Supabase, Inc. | Base de datos y cuentas | Estados Unidos | Servidores en Francia | Cláusulas contractuales tipo |
| Cloudflare, Inc. | Web y almacén de los PDF | Estados Unidos | Red con acotado europeo | Decisión de adecuación + cláusulas tipo |
| Nylas, Inc. | Conexión con tu correo | Estados Unidos | Residencia europea | Decisión de adecuación + cláusulas tipo |
| Sendinblue SAS (Brevo) | Los correos que te enviamos | Francia | Unión Europea y Estados Unidos | Decisión de adecuación + cláusulas tipo |
Todos actúan como encargados del tratamiento, con contrato y solo siguiendo nuestras instrucciones. No vendemos ni cedemos datos a nadie más, y no los usamos para publicidad.
Stripe no está en esa tabla, y no es un olvido. A Stripe no le mandamos nada: es tu proveedor de cobros y nosotros leemos de él, con el permiso que tú concedes y que retiras cuando quieras. Tu relación con Stripe es tuya y se rige por el acuerdo que tienes firmado con ellos.
Cuánto tiempo los guardamos
El plazo que manda en una asesoría no es el fiscal: son diez años, y vienen de la ley de blanqueo. No lo decidimos nosotros.
| Qué | Cuánto | Por qué, con el artículo |
|---|---|---|
| La documentación de tu alta: quién eres, qué actividad tienes, la copia del documento de identidad | 10 años desde que dejas de ser cliente | Art. 25.1 de la Ley 10/2010. Un asesor fiscal es sujeto obligado por su art. 2.1.m) |
| Tus facturas, tus registros de facturación y el registro de eventos del sistema | El plazo de prescripción tributaria: 4 años desde el día siguiente al fin del plazo de esa declaración — y vuelve a empezar si hay una inspección o un recurso | Art. 165.Uno de la Ley del IVA; art. 19.1 del RD 1619/2012; art. 8.2.c) del RD 1007/2023 y art. 8.3 de la Orden HAC/1177/2024 |
| Los libros y los justificantes del negocio | 6 años desde el último asiento | Art. 30 del Código de Comercio |
| Lo que sostiene una deducción o una base que compensas en otro ejercicio | La Administración puede comprobarlo 10 años | Art. 66 bis.2 de la Ley General Tributaria |
| Una solicitud de contacto que no llega a nada | 1 año | — |
A partir del quinto año, la documentación de tu alta deja de estar accesible en la operativa normal: el art. 25 de la Ley 10/2010 restringe el acceso a quien lleva el control interno.
Qué pasa el día que te vas
Te llevas todo: tus facturas, tus registros y tus datos, en un fichero que puedes abrir sin nosotros. Y después:
- Se borra lo que no estamos obligados a conservar: datos de contacto, los documentos que subiste, y los permisos que nos dieras — que además se revocan en el origen, tu Stripe y tu correo.
- No se borran los registros de tus facturas, y no es una decisión nuestra. Van encadenados por huella: cada uno lleva la del anterior, y esa cadena es lo que demuestra ante la Agencia Tributaria que nadie manipuló nada. Borrar los tuyos no sería quitar filas: sería partir la cadena.
- Lo que se conserva queda bloqueado en el sentido del art. 32 de la Ley Orgánica 3/2018: fuera de la operativa, y a disposición únicamente de jueces y tribunales, del Ministerio Fiscal y de las Administraciones competentes.
- Que esto no es una excusa lo dice el propio RGPD: su art. 17.3.b) excluye el derecho de supresión cuando existe una obligación legal de conservar.
Tus derechos
Acceso, rectificación, supresión, oposición, limitación y portabilidad. Se ejercen escribiendo a pascual@factucienda.com, y respondemos en un mes como máximo. Si te lo denegamos, te decimos el artículo por el que lo hacemos; no te damos largas.
Dos límites. La supresión no alcanza a lo que la ley obliga a conservar, que es lo de arriba. Y la normativa de prevención del blanqueo impone a los sujetos obligados un deber de no revelación (art. 24 de la Ley 10/2010), que limita el acceso a esa parte concreta del expediente.
Si crees que no lo hemos hecho bien, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es). Preferimos que nos lo digas antes a nosotros, pero es tu derecho y está ahí.
Seguridad
- Todo va cifrado en tránsito. Los PDF se guardan en la Unión Europea.
- Tus datos están aislados de los de cualquier otro cliente a nivel de base de datos, no solo en la pantalla.
- No usamos contraseñas: se entra con un enlace de un solo uso, así que no hay contraseña tuya que podamos perder.
- Si alguna vez hubiera una brecha que te afecte, te lo diríamos a ti y a la AEPD dentro de las 72 horas que marca el art. 33 del RGPD. Sin adornos, y sin prometer plazos más cortos de los que podemos cumplir.
Cookies
No hay política de cookies aparte porque no hay nada que contar en una página entera: solo usamos cookies técnicas, y por eso no verás un cartel pidiéndote permiso. Son estas:
| Cookie | De quién | Para qué | Cuánto dura |
|---|---|---|---|
sb-*-auth-token | Supabase | Mantener tu sesión abierta en el área | La sesión |
__cf_bm | Cloudflare | Distinguir personas de robots | 30 minutos |
Además guardamos en tu propio navegador, y solo ahí, si prefieres el tema claro u oscuro. Eso no sale de tu dispositivo. No hay analítica, ni píxeles, ni cookies de publicidad: no usamos Google Analytics ni equivalente. Las dos de la tabla están exentas de consentimiento por el art. 22.2 de la Ley 34/2002, al ser estrictamente necesarias para prestarte el servicio que has pedido. Si algún día añadiéramos una que no lo sea, cambiaría la fecha de esta página y te pediríamos permiso antes de activarla.