POLÍTICA DE PRIVACIDAD

Última actualización: 7 de julio de 2026

Esta Política de Privacidad regula el tratamiento de los datos personales que se recogen a través de VeriFácil (web, aplicación, bot de WhatsApp y API), conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

A validar por un asesor de protección de datos antes de publicar. Este texto es un borrador técnico completo y específico de VeriFácil, pero el detalle de bases jurídicas, plazos y encargados debe confirmarse con un profesional, especialmente por el tratamiento de certificados digitales y del modelo B2B2B con gestorías.

1. Responsable del tratamiento

2. El doble papel de VeriFácil (importante)

VeriFácil trata datos en dos posiciones distintas, y esto determina quién decide sobre cada dato:

• Como RESPONSABLE, respecto de los datos de la persona que contrata el servicio (el autónomo/empresa usuaria, o el personal de la gestoría): su cuenta, su facturación con nosotros, su soporte.
• Como ENCARGADO del tratamiento, respecto de los datos que el usuario o la gestoría introduce sobre sus propios clientes (nombre, NIF y dirección de los destinatarios de las facturas, contenido de gastos, etc.). En ese caso el usuario/gestoría es el responsable y VeriFácil trata esos datos únicamente siguiendo sus instrucciones, en los términos del Contrato de Encargado de Tratamiento.

3. Categorías de datos que tratamos

a) Datos de la cuenta y de contacto: nombre y apellidos o razón social, NIF/CIF, correo electrónico, teléfono, domicilio, datos de la actividad económica (epígrafe IAE, régimen de IVA/IRPF).

b) Certificados y credenciales de firma: el certificado digital (.p12/.pfx) y su contraseña que el usuario sube para firmar y remitir sus facturas a la AEAT. Es un dato de especialísima sensibilidad: se cifra en reposo, su clave privada no es accesible al personal de VeriFácil y se usa exclusivamente para las operaciones de firma/envío que el usuario ordena.

c) Datos de facturación generados: facturas emitidas y su contenido (importes, conceptos, huella/hash de la cadena Verifactu), y los datos de los destinatarios de esas facturas (clientes del usuario) —tratados como encargado (ver §2).

d) Gastos: imágenes y documentos de gastos que el usuario aporta (foto, PDF, email) y los datos extraídos por reconocimiento automático (proveedor, NIF, importe, categoría, validez de IVA).

e) Datos de WhatsApp: número de teléfono y contenido de los mensajes intercambiados con el bot para crear facturas o enviar gastos.

f) Datos de uso y técnicos: registros de acceso, dirección IP, identificadores de sesión, métricas de uso, datos del navegador/dispositivo.

g) Datos de pago: cuando se active el cobro, los datos de la suscripción (los datos de la tarjeta/cuenta los trata directamente el proveedor de pagos; VeriFácil no los almacena).

No se solicitan datos de categorías especiales del art. 9 RGPD. Si el usuario introdujera este tipo de datos en el contenido libre de una factura o gasto, sería bajo su exclusiva responsabilidad.

4. Finalidades y bases jurídicas

Asistente comercial con IA (web pública)

Si usas el chat de ayuda de nuestra web, tus mensajes se procesan con un proveedor externo de servicios de inteligencia artificial para poder responderte. No introduzcas datos personales en el chat: no los necesitamos para resolver tus dudas. Las conversaciones se conservan un máximo de 90 días con fines de mejora del servicio, salvo que nos facilites tus datos de contacto para que te llamemos (en ese caso, los tratamos como una solicitud comercial, igual que el formulario de contacto). La base jurídica de este tratamiento es el interés legítimo (art. 6.1.f RGPD) en atender consultas precontractuales de las personas visitantes; si nos facilitas tus datos de contacto, el tratamiento pasa a regirse por las medidas precontractuales a petición del interesado (art. 6.1.b RGPD).

5. Decisiones automatizadas

VeriFácil utiliza tecnologías de reconocimiento automático (transcripción de voz, lectura de imágenes/OCR y extracción de datos) para ayudar a crear facturas y clasificar gastos. Estas funciones no producen efectos jurídicos ni decisiones automatizadas sin intervención humana: el usuario (o la gestoría) revisa y confirma los datos antes de emitir o contabilizar. El triaje de validez de IVA es una ayuda de cribado, no un dictamen fiscal.

6. Destinatarios y encargados del tratamiento

Los datos se comunican a:

• La Agencia Estatal de Administración Tributaria (AEAT), cuando el usuario emite y remite sus facturas conforme a Verifactu. Es una cesión amparada en una obligación legal, no una decisión discrecional de VeriFácil.
• Encargados del tratamiento que prestan servicios a VeriFácil bajo contrato conforme al art. 28 RGPD. Conforme al art. 13.1.e RGPD, se informa por categorías de destinatarios:
  • Proveedores de alojamiento e infraestructura en la nube (bases de datos, servidores y almacenamiento de ficheros), ubicados en la Unión Europea.
  • Proveedores de servicios de inteligencia artificial para la transcripción de voz, la lectura automática de documentos e imágenes, y el asistente conversacional de ayuda de la web.
  • Proveedores de mensajería (canal de WhatsApp).
  • Proveedor de correo electrónico transaccional.
  • Pasarela de pago (cuando se active el cobro de la suscripción).

La relación actualizada de los encargados concretos (identidad, servicio y ubicación) está a disposición de cualquier interesado que la solicite en privacidad@verifacil.app, y se facilita a los Clientes que actúan como responsables (gestorías, autónomos) en el anexo de subencargados de su contrato. VeriFácil mantiene el registro de actividades de tratamiento (art. 30 RGPD).

Fuera de estos casos, no se ceden datos a terceros salvo obligación legal.

7. Transferencias internacionales

Algunos encargados (p. ej. proveedores de IA o mensajería) pueden tratar datos fuera del Espacio Económico Europeo. En tales casos la transferencia se ampara en las garantías adecuadas del Capítulo V del RGPD (cláusulas contractuales tipo de la Comisión Europea o decisiones de adecuación). (Confirmar el detalle por proveedor.)

8. Plazos de conservación

• Facturas y registros de facturación: durante 4 años como mínimo, conforme al artículo 8 del RD 1007/2023 y a los plazos de prescripción tributaria (art. 66 LGT). La cadena de hashes Verifactu es inmutable por diseño legal.
• Datos de la cuenta: mientras la relación esté vigente y, tras su fin, durante los plazos de prescripción de posibles responsabilidades.
• Certificados digitales: mientras el usuario los mantenga cargados; se eliminan de forma segura cuando el usuario los retira o cierra la cuenta.
• Gastos e imágenes: conforme a la política de retención del servicio y a las necesidades fiscales del usuario. Ver Política de Retención.

9. Derechos de las personas

Puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento, escribiendo a privacidad@verifacil.app, acreditando su identidad. Tiene derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) si considera que sus derechos no han sido atendidos.

Nota sobre la supresión: las facturas ya emitidas y encadenadas conforme a Verifactu no pueden alterarse ni eliminarse durante el plazo legal de conservación, por imperativo del RD 1007/2023. La supresión se aplicará a los datos no sujetos a esa obligación.

Si sus datos los trata VeriFácil como encargado (porque es cliente de una gestoría o destinatario de una factura), debe dirigir sus derechos al responsable (la gestoría o el emisor de la factura); VeriFácil le asistirá y le redirigirá.

10. Medidas de seguridad

VeriFácil aplica medidas técnicas y organizativas apropiadas: cifrado en tránsito (TLS) y en reposo de los datos sensibles (incluidos los certificados), autenticación en dos pasos obligatoria para las cuentas de gestoría, control de acceso por roles y aislamiento por cliente (cada cuenta solo accede a sus datos), registro de accesos y cambios, e inmutabilidad de las facturas emitidas.

11. Menores

El servicio se dirige a personas físicas o jurídicas que ejercen una actividad económica y no está destinado a menores de edad.

12. Cambios

Esta política podrá actualizarse. Los cambios sustanciales se comunicarán por los medios habituales y la versión vigente estará siempre disponible en el sitio web con su fecha de actualización.