Política de privacitat

1. Responsable del tractament

El responsable del tractament de les dades personals a què es refereix aquesta política és Serentill Labs, S.L., societat que explota el servei Verificus (en endavant, «Verificus»), amb NIF B05643143 i domicili a l'Avinguda de Lleida, 52, 25132 Benavent de Segrià (Lleida), inscrita al Registre Mercantil de Lleida, full L-38223, inscripció 1a.

Per a qualsevol qüestió relativa a la protecció de dades, la persona interessada es pot adreçar a Verificus a hola@verificus.es. Verificus no ha designat un delegat de protecció de dades, atès que no hi està obligada d'acord amb l'article 37 del Reglament (UE) 2016/679 (RGPD) i l'article 34 de la Llei orgànica 3/2018, de protecció de dades personals i garantia dels drets digitals (LOPDGDD).

2. Àmbit d'aplicació

2.1. Aquesta política descriu els tractaments que Verificus duu a terme com a responsable: la gestió dels comptes d'usuari, el cobrament de les subscripcions, l'atenció de consultes, la seguretat del servei, la representació de les persones usuàries davant l'Agència Estatal d'Administració Tributària (AEAT), el contacte amb les gestories que reben documents a través de Verificus i les estadístiques d'ús per millorar el servei.

2.2. Les dades que la persona usuària incorpora a Verificus en el marc de la seva activitat (factures, dades de clients i proveïdors, llibreta d'adreces, correus reenviats al servei, mandats SEPA i documents tramesos a la seva gestoria) són tractades per Verificus en qualitat d'encarregat del tractament, per compte de la persona usuària o de l'entitat per a la qual actua, que n'és la responsable. Verificus les tracta exclusivament per prestar el servei, d'acord amb les instruccions del responsable, amb subjecció al deure de confidencialitat i per mitjà dels subencarregats indicats a l'apartat 4, en els termes de l'article 28 del RGPD.

2.3. Les persones que hagin rebut una factura o un càrrec SEPA d'una persona usuària de Verificus han d'exercir els seus drets davant d'aquesta, que és la responsable del tractament. Si s'adrecen a Verificus, aquesta traslladarà la sol·licitud al responsable sense dilació.

2.4. Quan el compte hagi estat creat per una gestoria que presta serveis a la persona usuària, la gestoria és la responsable del tractament de les dades del compte al portal i dels documents que s'hi intercanviïn, i Verificus les tracta per compte seu. En aquest cas s'aplica l'avís de privacitat de la gestoria, que la persona usuària accepta en accedir-hi. Les factures que la persona usuària emeti o rebi continuen sota la seva responsabilitat, i la gestoria hi té accés en la mesura necessària per prestar-li els seus serveis.

3. Finalitats, bases jurídiques i terminis de conservació

3.1. Gestió del compte d'usuari

Verificus tracta el nom i els cognoms, l'adreça de correu electrònic, la contrasenya (conservada únicament en forma de resum criptogràfic irreversible) i, si la persona usuària les facilita, el telèfon, l'adreça postal, el NIF, el logotip i les dades bancàries necessàries per a l'emissió de remeses SEPA. Tracta també els espais de treball dels quals forma part, el rol que hi té i, per a cada sessió, l'adreça IP, el navegador i la data d'inici.

La finalitat és crear i mantenir el compte, autenticar la persona usuària, gestionar els espais de treball, els membres i les invitacions, i enviar les comunicacions necessàries per a la prestació del servei (verificació de l'adreça, invitacions i recuperació de la contrasenya). La base jurídica és l'execució del contracte de prestació del servei (article 6.1.b del RGPD). L'adreça de correu electrònic i la contrasenya són imprescindibles per crear el compte.

Les dades es conserven mentre el compte estigui actiu. Les sessions caduquen als trenta dies, els enllaços de verificació a les vint-i-quatre hores i les invitacions als set dies. Quan la persona usuària suprimeix el compte, Verificus elimina immediatament les seves dades personals; el contingut dels espais de treball compartits amb altres membres es manté a disposició d'aquests.

3.2. Prestació del servei de facturació

Les dades de les factures i de les contraparts (nom, NIF, adreça, correu electrònic, telèfon, imports i conceptes), l'historial d'enviament de cada factura, els correus rebuts a l'adreça de Verificus de la persona usuària, els mandats SEPA i els documents tramesos a la seva gestoria es tracten per compte de la persona usuària, en els termes de l'apartat 2.2.

Aquestes dades es conserven mentre el compte estigui actiu. En suprimir-lo, s'eliminen, llevat de les que la normativa obliga a conservar: les factures emeses i rebudes, els registres de facturació VeriFactu i les autoritzacions en virtut de les quals es van presentar. Aquestes queden bloquejades en els termes de l'article 32 de la LOPDGDD fins a l'1 de gener del setè any posterior a l'exercici a què corresponen, i posteriorment se suprimeixen. Durant el bloqueig només es poden posar a disposició de les autoritats o dels òrgans judicials que les requereixin. Els documents tramesos a la gestoria se suprimeixen als trenta dies de l'enviament.

3.3. Cobrament de la subscripció

Verificus tracta el nom o la raó social, el NIF, l'adreça de facturació, el correu electrònic i els identificadors de client i de subscripció assignats per Stripe. Les dades de la targeta s'introdueixen directament a Stripe, i Verificus no hi té accés.

La finalitat és el cobrament de la subscripció i l'emissió de les factures corresponents. Les bases jurídiques són l'execució del contracte (article 6.1.b del RGPD) i el compliment de les obligacions fiscals i comptables de Verificus (article 6.1.c del RGPD). Les factures i la documentació comptable es conserven durant sis anys, d'acord amb l'article 30 del Codi de Comerç.

Stripe tracta algunes d'aquestes dades com a responsable per a la prevenció del frau i el compliment de la normativa de serveis de pagament, en els termes de la seva pròpia política de privacitat.

3.4. Enviament de comunicacions electròniques

Per a l'enviament dels correus del servei i dels que la persona usuària tramet des de Verificus (factures i documents a la seva gestoria), Verificus tracta l'adreça i el nom del destinatari, el contingut del missatge i, si escau, els fitxers adjunts. La base jurídica és l'execució del contracte (article 6.1.b del RGPD); els enviaments que la persona usuària fa als seus clients es tracten per compte seu.

De cada factura enviada es conserven la data, l'adreça de destinació i la persona que en va ordenar l'enviament, mentre la factura existeixi. Verificus no conserva còpia del missatge. El proveïdor d'enviament en conserva el contingut i les dades de lliurament durant trenta dies.

3.5. Lectura automatitzada de factures

A petició de la persona usuària, Verificus extreu les dades de les factures rebudes (emissor, NIF, imports i impostos) a partir del document, de la fotografia o del correu reenviat al servei. A aquest efecte, el document es transmet a un model d'intel·ligència artificial d'Anthropic. Quan el correu no conté cap document adjunt, es transmet el text del missatge convertit en PDF. Aquest tractament es fa per compte de la persona usuària, en els termes de l'apartat 2.2.

Els proveïdors no utilitzen les dades per entrenar els seus models. Anthropic suprimeix les entrades i les sortides en un termini màxim de trenta dies.

El resultat té caràcter de proposta: la factura queda pendent de revisió fins que la persona usuària en comprova i en confirma les dades. No es pren cap decisió basada únicament en un tractament automatitzat que produeixi efectes jurídics o que afecti significativament la persona interessada, en el sentit de l'article 22 del RGPD.

3.6. Registres VeriFactu i representació davant l'AEAT

En emetre's una factura, Verificus tramet a l'AEAT el registre de facturació que exigeix el Reial decret 1007/2023, que conté el NIF i el nom de l'emissor i del destinatari, el número, la data, els imports i l'empremta del registre. Aquesta tramesa dona compliment a una obligació legal de la persona usuària, i Verificus la fa per compte seu.

Per presentar els registres en nom de la persona usuària, Verificus actua com a col·laborador social en la gestió tributària, i requereix la seva autorització expressa. Respecte d'aquest tractament, Verificus és responsable. Tracta el nom i el NIF de la persona o entitat representada, el formulari d'autorització signat i, quan se signa de manera manuscrita, la còpia del document d'identitat de la persona signant. La finalitat és la representació davant l'AEAT i l'acreditació de l'autorització. Les bases jurídiques són l'execució del contracte (article 6.1.b del RGPD) i el compliment de les obligacions de Verificus com a col·laborador social (article 6.1.c del RGPD). Les dades es comuniquen a l'AEAT i es conserven mentre l'autorització sigui vigent i, posteriorment, durant el mateix termini que les factures presentades a l'empara d'aquesta (apartat 3.2).

3.7. Seguretat del servei i còpies de seguretat

Verificus tracta l'adreça IP, el navegador, els identificadors d'usuari i d'espai de treball, la ruta i el resultat de cada petició i, quan hi figuren, l'adreça de correu electrònic o el NIF. Les credencials se suprimeixen dels registres abans que surtin del servidor. Manté, a més, un registre de les actuacions en matèria de privacitat i d'administració.

Les finalitats són detectar i investigar errors, incidents de seguretat i usos abusius, i acreditar el compliment de la normativa de protecció de dades. Les bases jurídiques són l'interès legítim de Verificus en la seguretat de la xarxa i de la informació (article 6.1.f i considerant 49 del RGPD) i el compliment del principi de responsabilitat proactiva (articles 5.2 i 32 del RGPD, en relació amb l'article 6.1.c). Els registres tècnics es conserven catorze dies; els informes d'errors, trenta dies; i el registre d'actuacions de privacitat i d'administració, tres anys.

Verificus fa diàriament una còpia de seguretat xifrada de la informació, emmagatzemada per un altre proveïdor dins de la Unió Europea. Les còpies es renoven de manera automàtica, i les dades suprimides hi romanen fins que caduca la còpia que les conté: aproximadament dos mesos en el cas dels fitxers i, per a la resta de dades, dotze mesos en la majoria dels casos i un màxim de sis anys. Durant aquest període les dades no es tracten per a cap altra finalitat que la recuperació davant d'un incident, i si s'hagués de restaurar una còpia, s'aplicarien de nou les supressions abans de reprendre el servei.

3.8. Atenció de consultes i exercici de drets

Verificus tracta el nom, l'adreça de correu electrònic, l'empresa, si s'indica, i el contingut de la consulta, amb la finalitat d'atendre-la. La base jurídica és l'execució del contracte (article 6.1.b del RGPD) quan la persona ja és usuària, el consentiment (article 6.1.a del RGPD) quan la consulta es formula mitjançant el formulari de verificus.es, i el compliment d'una obligació legal (article 6.1.c del RGPD) quan es tracta de l'exercici d'un dret. El formulari de verificus.es no emmagatzema cap dada: tramet el missatge per correu electrònic a hola@verificus.es. Les consultes es conserven dos anys des que es tanquen, i les sol·licituds d'exercici de drets, tres anys, per acreditar-ne l'atenció.

3.9. Gestories destinatàries de documents

Si un client t'envia documents amb Verificus, guardem el nom i el correu de la gestoria fins a 24 mesos per presentar-li Verificus per a gestories. Pots demanar que no el guardem amb l'enllaç «No guardeu el meu contacte» del correu, o escrivint a hola@verificus.es.

Les dades procedeixen de la persona usuària, que les facilita per trametre els documents a la seva gestoria. Verificus tracta el nom de la persona de contacte, el nom de la gestoria, l'adreça de correu electrònic, els clients que li han tramès documents i el nombre i les dates dels enviaments, però no el contingut dels documents. La base jurídica és l'interès legítim de Verificus a presentar el seu servei a professionals que ja treballen amb persones usuàries de Verificus (article 6.1.f del RGPD i article 19 de la LOPDGDD). Verificus no hi trametrà comunicacions comercials sense el seu consentiment previ.

Les dades es conserven vint-i-quatre mesos des de l'últim enviament rebut. Si la persona interessada s'hi oposa, se suprimeixen immediatament i només es conserva un resum criptogràfic de l'adreça per evitar que s'hi torni a incorporar. L'oposició no impedeix que continuï rebent els documents que li trametin els seus clients.

3.10. Millora del servei i estadístiques d'ús

Per saber com s'utilitza el servei i on troben dificultats les persones usuàries, Verificus registra les pantalles que es visiten, els formularis que s'obren, s'envien o s'abandonen, els errors que es mostren i les fites d'ús del compte (per exemple, la creació de l'empresa o l'emissió de la primera factura), així com l'origen de l'alta (l'enllaç o la campanya des de la qual s'ha arribat) i, si s'indica, el motiu de la baixa del pla. Aquestes dades s'associen a un identificador aleatori que no es deriva del nom, del correu electrònic ni del NIF. No es registren el contingut de les factures ni dels documents, els imports, els NIF, els noms, les adreces de correu electrònic ni el text que s'escriu als formularis.

Del lloc web verificus.es només es comptabilitzen, per dia, les pàgines visitades, l'idioma, el lloc web de procedència i la campanya, sense desar l'adreça IP ni cap identificador de la persona visitant.

La finalitat és detectar problemes d'ús, millorar el servei i avaluar-ne les condicions comercials. La base jurídica és l'interès legítim de Verificus a millorar el servei que presta (article 6.1.f del RGPD). Verificus elabora cada setmana un resum agregat i seudonimitzat d'aquestes dades, amb l'ajuda d'un model d'intel·ligència artificial d'Anthropic, que no hi rep cap dada identificativa. No se'n deriva cap decisió que afecti la persona usuària.

Les dades d'ús es conserven tretze mesos i se suprimeixen amb el compte. La persona usuària s'hi pot oposar en qualsevol moment des de Configuració → Les teves dades, i a partir d'aleshores no es registra el seu ús i se suprimeixen les dades d'ús registrades. Quan el compte l'ha creat una gestoria (apartat 2.4), aquestes dades només es tracten de forma agregada, llevat que la gestoria ho hagi autoritzat.

Aquest apartat també s'aplica a les persones de les gestories que fan servir Verificus per a gestories i Verificus Sync, quan la gestoria ho ha autoritzat. De Verificus Sync es registren, a més, la versió de l'aplicació, el sistema operatiu i els problemes de sincronització, mai els noms dels fitxers ni de les carpetes. Cada persona s'hi pot oposar des del seu compte.

4. Destinataris

Verificus no cedeix dades personals a tercers, llevat d'obligació legal. Els proveïdors següents hi accedeixen en qualitat d'encarregats o subencarregats del tractament, amb contracte d'encàrrec i únicament per a la finalitat indicada:

Les dades també es comuniquen a l'AEAT, en compliment de les obligacions descrites a l'apartat 3.6; a la gestoria de la persona usuària, en el supòsit de l'apartat 2.4; i als jutjats, tribunals i autoritats que les requereixin d'acord amb la llei.

5. Transferències internacionals

Determinats proveïdors tenen la seu als Estats Units o hi tracten dades. Les transferències corresponents s'emparen en les garanties següents:

El Marc de Privacitat de Dades UE-EUA és objecte de la Decisió d'execució (UE) 2023/1795 de la Comissió, de 10 de juliol de 2023, relativa al nivell adequat de protecció. Les clàusules contractuals tipus són les aprovades per la Decisió d'execució (UE) 2021/914 de la Comissió. La persona interessada en pot obtenir una còpia sol·licitant-la a hola@verificus.es.

6. Drets de les persones interessades

6.1. La persona interessada pot exercir els drets d'accés, rectificació, supressió, limitació del tractament, portabilitat i oposició, en els termes dels articles 15 a 22 del RGPD. Pot retirar en qualsevol moment el consentiment prestat, sense que això afecti la licitud del tractament anterior.

6.2. Des de l'apartat Configuració → Les teves dades de Verificus, la persona usuària pot obtenir una còpia de les seves dades (perfil, factures emeses i rebudes, empreses, sèries i registre de privadesa), suprimir el compte i oposar-se a les estadístiques d'ús (apartat 3.10). Qualsevol altra sol·licitud es pot adreçar a hola@verificus.es des de l'adreça associada al compte o acompanyada de la informació que permeti identificar la persona sol·licitant. Verificus hi respondrà en el termini d'un mes, prorrogable en els supòsits de l'article 12.3 del RGPD. L'exercici dels drets és gratuït.

6.3. Si considera que el tractament no s'ajusta a la normativa, la persona interessada pot presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid).

7. Galetes

7.1. Verificus utilitza exclusivament les galetes necessàries per a la prestació del servei sol·licitat. No utilitza galetes d'analítica ni de publicitat. Les estadístiques d'ús de l'apartat 3.10 no instal·len cap galeta ni desen cap dada al dispositiu.

7.2. Les galetes de sessió no són accessibles des del codi de la pàgina. Verificus emmagatzema, a més, a l'emmagatzematge de sessió del navegador, l'indicador que un avís ha estat tancat, per no tornar-lo a mostrar. Els informes d'errors es trameten a través dels servidors de Verificus i no instal·len cap galeta.

7.3. D'acord amb l'article 22.2 de la Llei 34/2002, de serveis de la societat de la informació i de comerç electrònic, aquestes galetes estan exemptes del deure d'obtenir el consentiment, perquè són estrictament necessàries per prestar el servei expressament sol·licitat per la persona usuària. Per aquest motiu, Verificus no mostra cap avís de consentiment.

7.4. El lloc web verificus.es no instal·la cap galeta, no desa cap dada al dispositiu ni carrega recursos de tercers. Compta les visites sense identificar la persona visitant (apartat 3.10).

8. Modificacions

Verificus pot modificar aquesta política per adaptar-la a canvis normatius o del servei. Cada modificació n'actualitzarà la versió i la data d'entrada en vigor. Quan la modificació afecti de manera substancial el tractament de les dades, Verificus ho comunicarà a les persones usuàries per correu electrònic o a través del servei amb antelació a la seva aplicació.

9. Versions lingüístiques

Aquesta política es publica en català, castellà i anglès. En cas de discrepància, prevaldrà la versió catalana.