Política de privacidad

1. Responsable y contacto

Taxaia es el nombre comercial de Alberto Soler Palau, con NIF 43149579S y domicilio en Julia Vicenç 26, 07181 Bendinat, Calvià, España. Puedes contactar para asuntos de privacidad y ejercer tus derechos en hola@taxaia.es o por escrito en ese domicilio, indicando «Privacidad».

El titular es responsable de los datos de registro, contratación, soporte y seguridad del servicio. Cuando una empresa o profesional incorpora datos de sus clientes, proveedores o empleados, esa organización decide sus finalidades y Taxaia los trata por su cuenta para prestar las funciones contratadas.

2. Datos que tratamos

• Datos de cuenta y contacto: nombre, correo electrónico, identificador de usuario, organización y permisos de acceso.
• Datos de gestión que introduces, importas o reenvías: datos fiscales, contactos, facturas, gastos, presupuestos, documentos y movimientos bancarios. Las conexiones bancarias, cuando las utilizas, requieren su autorización específica.
• Datos de las integraciones que autorizas, incluidos los correos y adjuntos descritos en el apartado siguiente y los tokens necesarios para mantener la conexión.
• Consultas al asistente, contenido necesario para responderlas, resultados y propuestas generadas por los ayudantes de Taxaia.
• Datos técnicos y de soporte: actividad de la cuenta, registros de seguridad, errores, información del navegador y comunicaciones que nos envías.
• Tu certificado digital, solo si el propietario de la organización decide subirlo para el envío a la Agencia Tributaria. Se guarda cifrado, no se puede descargar y se rige por la política de custodia que se muestra al subirlo.

3. Acceso a Google y Gmail

Iniciar sesión con Google y conectar un buzón de Gmail son funciones distintas. El inicio de sesión utiliza los permisos openid, email y profile para identificarte mediante tu identificador de Google, dirección de correo y nombre. Iniciar sesión no concede por sí solo acceso al contenido de Gmail.

Si conectas Gmail, Taxaia solicita los siguientes permisos:

• Lectura de correo (gmail.readonly): permite consultar mensajes, remitentes y destinatarios, asuntos, fechas, etiquetas, contenido y adjuntos. Se utiliza para localizar e importar facturas y justificantes, relacionar comunicaciones con tus contactos y detectar correos relevantes mediante los ayudantes que actives.
• Envío de correo (gmail.send): permite enviar desde tu cuenta las facturas y comunicaciones que solicites o apruebes. Para ello se procesan los destinatarios, el asunto, el mensaje y los archivos que se envían.

El permiso de lectura de Google tiene alcance sobre el buzón. Dentro de Taxaia, el tratamiento se limita mediante los ayudantes, etiquetas, carpetas y filtros que configures; esos filtros no reducen el alcance técnico del permiso OAuth concedido a Google. También puedes incorporar documentos manualmente o por reenvío sin conectar Gmail.

Guardamos los documentos importados, los datos extraídos y la información necesaria para las funciones activadas, como identificadores de mensajes y datos de correspondencia. Conservamos los tokens de autorización cifrados para mantener la conexión; no solicitamos ni almacenamos tu contraseña de Google.

4. Para qué utilizamos los datos

Utilizamos los datos para crear y administrar tu cuenta, prestar las funciones que solicitas, organizar documentos, extraer información de facturas, preparar propuestas contables y fiscales, enviar comunicaciones autorizadas, gestionar la suscripción, atender consultas y proteger el servicio frente a accesos indebidos.

La base del tratamiento es la ejecución del contrato para prestar el servicio, el cumplimiento de obligaciones legales cuando corresponda y el interés legítimo en mantener la seguridad y atender incidencias. Las conexiones opcionales se activan mediante tu autorización, que puedes retirar. Si un tratamiento requiere consentimiento, lo solicitaremos de forma específica; retirarlo no afecta al tratamiento anterior.

5. Inteligencia artificial y uso limitado de datos de Google

Las funciones de IA pueden procesar el texto de tus consultas, documentos, correos y adjuntos seleccionados para extraer datos, clasificar información, resumir comunicaciones y preparar respuestas o propuestas. El contenido necesario puede enviarse al proveedor de IA que atienda esa función, como Anthropic, OpenAI o Google Gemini, según la configuración del servicio. Este procesamiento sirve para responder a tu solicitud y requiere tratar el contenido, que puede contener datos personales.

No utilizamos los datos personales de nuestros clientes para entrenar modelos de IA. Los datos obtenidos a través de las API de Google Workspace, incluido Gmail, no se utilizan para desarrollar, mejorar ni entrenar modelos de inteligencia artificial o aprendizaje automático generalistas o no personalizados, ni se ceden a terceros para esos fines.

El uso de la información recibida de las API de Google y su transferencia a otras aplicaciones se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de uso limitado (Limited Use). No vendemos estos datos ni los utilizamos para publicidad personalizada, evaluación crediticia o comercialización de bases de datos.

El acceso humano a datos de Google se limita a los supuestos permitidos por esa política, como tu autorización expresa para resolver una incidencia, necesidades de seguridad o una obligación legal. Las propuestas de IA pueden contener errores y debes revisarlas antes de aprobar acciones con efectos contables, fiscales o de envío de comunicaciones.

No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma similar. Las propuestas de IA las aprueba una persona de tu organización, salvo las acciones que tú mismo configures como automáticas.

6. Proveedores y destinatarios

Compartimos los datos necesarios con proveedores que permiten prestar las funciones que utilizas. Cada uno trata solo la información necesaria para su función; no todos reciben el contenido de tus documentos o de tu buzón. Son estos:

• DigitalOcean, LLC: Alojamiento de la aplicación, la base de datos, los archivos y las copias de seguridad.
• Cloudflare, Inc.: DNS, protección frente a ataques y recepción de los correos, con sus adjuntos, que envías o reenvías a tu dirección de Taxaia.
• Anthropic, PBC: Modelos de inteligencia artificial: lectura de documentos, propuestas contables y fiscales, asistente. Sin uso para entrenamiento. Según la función que utilices y la configuración del servicio.
• OpenAI, LLC: Modelos de inteligencia artificial: lectura de documentos y correos, propuestas contables y fiscales, asistente y transcripción de notas de voz. Sin uso para entrenamiento. Según la función que utilices y la configuración del servicio.
• Google Ireland Limited / Google LLC: Inicio de sesión con Google, conexión con Gmail y, cuando está activado, lectura de documentos con Gemini. Sin uso para entrenamiento. Solo si inicias sesión con Google, conectas Gmail o la extracción con Gemini está activa.
• Microsoft Ireland Operations Limited: Conexión con un buzón de Outlook o Microsoft 365. Solo si conectas un buzón de Microsoft.
• Telegram FZ-LLC: Recepción de fotos y documentos que envías al bot de Taxaia. Solo si vinculas Telegram.
• Resend, Inc.: Envío de correos del servicio: acceso, avisos, facturas y presupuestos que decides enviar.
• Stripe Payments Europe, Ltd.: Cobro de la suscripción, facturas de Taxaia y portal de pago. Solo si contratas un plan de pago.
• Functional Software, Inc. (Sentry): Diagnóstico de errores técnicos. No recibe el contenido de tus documentos.
• Brightfield Software B.V. (Distyra): Conexión con tu banco para leer movimientos y saldo y conciliarlos. Usa a Enable Banking Oy (Finlandia), entidad de pago autorizada, para el acceso PSD2. Solo si conectas tu banco.
• Enable Banking Oy: Conexión con tu banco para leer movimientos y conciliarlos. Solo si conectas tu banco y tu entidad se atiende por esta vía.
• Amazon Web Services EMEA SARL: Custodia de la clave que cifra tu certificado digital (AWS KMS, región de España). Solo recibe la clave envuelta, nunca el certificado. Solo si subes tu propio certificado para VERI*FACTU.

La lista completa, con el lugar de tratamiento y las garantías de cada proveedor, está en el anexo II del contrato de encargo. Si la cambiamos, lo publicaremos allí y te avisaremos con 30 días de antelación.

Los miembros de tu organización y asesores a los que concedas acceso podrán consultar información según sus permisos. También se comunican datos a los destinatarios de los envíos que autorices y a administraciones públicas cuando lo solicites mediante una función del servicio o exista una obligación legal.

Si conectas Taxaia a un asistente de inteligencia artificial de otra empresa (por ejemplo, ChatGPT o Claude) desde Ajustes → Conectores, ese asistente podrá consultar los datos de la organización que autorices y preparar propuestas que tú apruebas en Taxaia. Lo que consulte pasa a ese proveedor bajo tu propia cuenta con él y conforme a sus condiciones y su política de privacidad: no actúa como encargado de Taxaia. Puedes desconectarlo en cualquier momento desde la misma pantalla y deja de tener acceso al instante.

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. Para las transferencias que lo requieran se aplicarán las garantías previstas en el RGPD, como decisiones de adecuación o cláusulas contractuales tipo. Puedes pedir información y copia de las garantías aplicables a través del contacto de privacidad.

7. Protección de los datos

Taxaia utiliza conexiones HTTPS, cifrado de los tokens de las integraciones, controles de acceso por usuario y organización y registros de actividad para proteger los datos. El acceso a las funciones del buzón se comprueba frente a las autorizaciones vigentes. Estas medidas buscan evitar accesos, usos o divulgaciones no autorizados.

Solo usamos cookies técnicas y de preferencias: mantener la sesión, completar el inicio de sesión con Google o Microsoft y recordar lo que eliges ocultar. No hay cookies de publicidad ni de seguimiento. La lista completa está en el aviso legal.

8. Conservación, desconexión y eliminación

Estos son los plazos de conservación:

• Datos de cuenta, documentos, facturas, gastos, conversaciones con el asistente y resultados de IA: mientras exista tu cuenta u organización. Tras pedir la baja, se eliminan en 30 días, con las excepciones siguientes.
• Facturas emitidas y sus registros de facturación: el plazo que exige la normativa tributaria y mercantil (hasta 6 años, art. 30 del Código de Comercio), con acceso bloqueado y solo para atender obligaciones legales.
• Facturas de tu suscripción a Taxaia: los mismos plazos, como documentación contable del titular.
• Sesiones y enlaces de acceso (dirección IP y navegador de cada inicio de sesión): 90 días después de caducar o cerrarse, para poder investigar un acceso indebido.
• Registro de actividad: mientras exista la cuenta, para proteger el servicio y poder reconstruir lo ocurrido ante una incidencia.
• Copias de seguridad: 14 días en el servidor y 90 días en la copia externa, que se guarda cifrada; ambas en la Unión Europea. Lo que borres desaparece de ellas al cumplirse esos plazos.

Necesitamos tu correo electrónico y los datos fiscales de tu organización para prestar el servicio; sin ellos no podemos crear la cuenta ni emitir facturas. El resto de datos los aportas según las funciones que uses.

Puedes desconectar Gmail desde los ajustes de conectores de Taxaia y retirar el permiso en las conexiones de tu cuenta de Google. Al desconectar en Taxaia se bloquea el uso de la conexión y se eliminan los registros de correspondencia e indicadores de correos importantes asociados a ella. Desconectar no elimina automáticamente las facturas y documentos ya importados, ni equivale a solicitar la eliminación de la cuenta. Al desconectar también borramos los tokens de acceso guardados y, en el caso de Google, revocamos el permiso concedido.

Para pedir la eliminación de tu cuenta, documentos, datos importados de Google o credenciales de conexión, escribe a hola@taxaia.es indicando la cuenta y el alcance de la solicitud. Comprobaremos tu identidad y tus permisos sobre la organización. Eliminaremos los datos que no sea necesario conservar; si una obligación legal o la atención de responsabilidades exige mantener parte de ellos, te informaremos del motivo y limitaremos su tratamiento a esa finalidad. Las copias de seguridad se retirarán conforme a su ciclo de conservación. Desde la aplicación móvil también puedes eliminar tu usuario en Cuenta; eso no borra los datos de la organización.

9. Tus derechos

Puedes solicitar acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad cuando sean aplicables, así como retirar tu consentimiento, utilizando el contacto del apartado 1. Si los datos se tratan por cuenta de una organización cliente, canalizaremos la solicitud hacia esa organización. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos.

10. Cambios en esta política

Publicaremos los cambios en esta página y actualizaremos la fecha. Cuando un cambio afecte de forma relevante al uso de tus datos, lo comunicaremos por los canales del servicio y solicitaremos una nueva autorización cuando sea necesaria.