Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales a que se refiere esta política es Serentill Labs, S.L., sociedad que explota el servicio Verificus (en adelante, «Verificus»), con NIF B05643143 y domicilio en la Avinguda de Lleida, 52, 25132 Benavent de Segrià (Lleida), inscrita en el Registro Mercantil de Lleida, hoja L-38223, inscripción 1.ª.

Para cualquier cuestión relativa a la protección de datos, la persona interesada puede dirigirse a Verificus en hola@verificus.es. Verificus no ha designado un delegado de protección de datos, dado que no está obligada a ello de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 (RGPD) y el artículo 34 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

2. Ámbito de aplicación

2.1. Esta política describe los tratamientos que Verificus lleva a cabo como responsable: la gestión de las cuentas de usuario, el cobro de las suscripciones, la atención de consultas, la seguridad del servicio, la representación de las personas usuarias ante la Agencia Estatal de Administración Tributaria (AEAT), el contacto con las gestorías que reciben documentos a través de Verificus y las estadísticas de uso para mejorar el servicio.

2.2. Los datos que la persona usuaria incorpora a Verificus en el marco de su actividad (facturas, datos de clientes y proveedores, libreta de direcciones, correos reenviados al servicio, mandatos SEPA y documentos remitidos a su gestoría) son tratados por Verificus en calidad de encargado del tratamiento, por cuenta de la persona usuaria o de la entidad para la que actúa, que es su responsable. Verificus los trata exclusivamente para prestar el servicio, de acuerdo con las instrucciones del responsable, con sujeción al deber de confidencialidad y por medio de los subencargados indicados en el apartado 4, en los términos del artículo 28 del RGPD.

2.3. Las personas que hayan recibido una factura o un cargo SEPA de una persona usuaria de Verificus deben ejercer sus derechos ante esta, que es la responsable del tratamiento. Si se dirigen a Verificus, esta trasladará la solicitud al responsable sin dilación.

2.4. Cuando la cuenta haya sido creada por una gestoría que presta servicios a la persona usuaria, la gestoría es la responsable del tratamiento de los datos de la cuenta en el portal y de los documentos que en él se intercambien, y Verificus los trata por cuenta de esta. En tal caso se aplica el aviso de privacidad de la gestoría, que la persona usuaria acepta al acceder. Las facturas que la persona usuaria emita o reciba continúan bajo su responsabilidad, y la gestoría tiene acceso a ellas en la medida necesaria para prestarle sus servicios.

3. Finalidades, bases jurídicas y plazos de conservación

3.1. Gestión de la cuenta de usuario

Verificus trata el nombre y los apellidos, la dirección de correo electrónico, la contraseña (conservada únicamente en forma de resumen criptográfico irreversible) y, si la persona usuaria los facilita, el teléfono, la dirección postal, el NIF, el logotipo y los datos bancarios necesarios para la emisión de remesas SEPA. Trata también los espacios de trabajo de los que forma parte, el rol que tiene en ellos y, para cada sesión, la dirección IP, el navegador y la fecha de inicio.

La finalidad es crear y mantener la cuenta, autenticar a la persona usuaria, gestionar los espacios de trabajo, los miembros y las invitaciones, y enviar las comunicaciones necesarias para la prestación del servicio (verificación de la dirección, invitaciones y recuperación de la contraseña). La base jurídica es la ejecución del contrato de prestación del servicio (artículo 6.1.b del RGPD). La dirección de correo electrónico y la contraseña son imprescindibles para crear la cuenta.

Los datos se conservan mientras la cuenta esté activa. Las sesiones caducan a los treinta días, los enlaces de verificación a las veinticuatro horas y las invitaciones a los siete días. Cuando la persona usuaria suprime la cuenta, Verificus elimina inmediatamente sus datos personales; el contenido de los espacios de trabajo compartidos con otros miembros se mantiene a disposición de estos.

3.2. Prestación del servicio de facturación

Los datos de las facturas y de las contrapartes (nombre, NIF, dirección, correo electrónico, teléfono, importes y conceptos), el historial de envío de cada factura, los correos recibidos en la dirección de Verificus de la persona usuaria, los mandatos SEPA y los documentos remitidos a su gestoría se tratan por cuenta de la persona usuaria, en los términos del apartado 2.2.

Estos datos se conservan mientras la cuenta esté activa. Al suprimirla, se eliminan, salvo los que la normativa obliga a conservar: las facturas emitidas y recibidas, los registros de facturación VeriFactu y las autorizaciones en virtud de las cuales se presentaron. Estos quedan bloqueados en los términos del artículo 32 de la LOPDGDD hasta el 1 de enero del séptimo año posterior al ejercicio al que corresponden, y posteriormente se suprimen. Durante el bloqueo solo pueden ponerse a disposición de las autoridades o de los órganos judiciales que los requieran. Los documentos remitidos a la gestoría se suprimen a los treinta días del envío.

3.3. Cobro de la suscripción

Verificus trata el nombre o la razón social, el NIF, la dirección de facturación, el correo electrónico y los identificadores de cliente y de suscripción asignados por Stripe. Los datos de la tarjeta se introducen directamente en Stripe, y Verificus no tiene acceso a ellos.

La finalidad es el cobro de la suscripción y la emisión de las facturas correspondientes. Las bases jurídicas son la ejecución del contrato (artículo 6.1.b del RGPD) y el cumplimiento de las obligaciones fiscales y contables de Verificus (artículo 6.1.c del RGPD). Las facturas y la documentación contable se conservan durante seis años, de acuerdo con el artículo 30 del Código de Comercio.

Stripe trata algunos de estos datos como responsable para la prevención del fraude y el cumplimiento de la normativa de servicios de pago, en los términos de su propia política de privacidad.

3.4. Envío de comunicaciones electrónicas

Para el envío de los correos del servicio y de los que la persona usuaria remite desde Verificus (facturas y documentos a su gestoría), Verificus trata la dirección y el nombre del destinatario, el contenido del mensaje y, en su caso, los archivos adjuntos. La base jurídica es la ejecución del contrato (artículo 6.1.b del RGPD); los envíos que la persona usuaria hace a sus clientes se tratan por cuenta de esta.

De cada factura enviada se conservan la fecha, la dirección de destino y la persona que ordenó el envío, mientras la factura exista. Verificus no conserva copia del mensaje. El proveedor de envío conserva su contenido y los datos de entrega durante treinta días.

3.5. Lectura automatizada de facturas

A petición de la persona usuaria, Verificus extrae los datos de las facturas recibidas (emisor, NIF, importes e impuestos) a partir del documento, de la fotografía o del correo reenviado al servicio. A tal efecto, el documento se transmite a un modelo de inteligencia artificial de Anthropic. Cuando el correo no contiene ningún documento adjunto, se transmite el texto del mensaje convertido en PDF. Este tratamiento se realiza por cuenta de la persona usuaria, en los términos del apartado 2.2.

Los proveedores no utilizan los datos para entrenar sus modelos. Anthropic suprime las entradas y las salidas en un plazo máximo de treinta días.

El resultado tiene carácter de propuesta: la factura queda pendiente de revisión hasta que la persona usuaria comprueba y confirma sus datos. No se toma ninguna decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o que afecte significativamente a la persona interesada, en el sentido del artículo 22 del RGPD.

3.6. Registros VeriFactu y representación ante la AEAT

Al emitirse una factura, Verificus remite a la AEAT el registro de facturación que exige el Real Decreto 1007/2023, que contiene el NIF y el nombre del emisor y del destinatario, el número, la fecha, los importes y la huella del registro. Esta remisión da cumplimiento a una obligación legal de la persona usuaria, y Verificus la realiza por cuenta de esta.

Para presentar los registros en nombre de la persona usuaria, Verificus actúa como colaborador social en la gestión tributaria, y requiere su autorización expresa. Respecto de este tratamiento, Verificus es responsable. Trata el nombre y el NIF de la persona o entidad representada, el formulario de autorización firmado y, cuando se firma de forma manuscrita, la copia del documento de identidad de la persona firmante. La finalidad es la representación ante la AEAT y la acreditación de la autorización. Las bases jurídicas son la ejecución del contrato (artículo 6.1.b del RGPD) y el cumplimiento de las obligaciones de Verificus como colaborador social (artículo 6.1.c del RGPD). Los datos se comunican a la AEAT y se conservan mientras la autorización esté vigente y, posteriormente, durante el mismo plazo que las facturas presentadas a su amparo (apartado 3.2).

3.7. Seguridad del servicio y copias de seguridad

Verificus trata la dirección IP, el navegador, los identificadores de usuario y de espacio de trabajo, la ruta y el resultado de cada petición y, cuando figuran en ellos, la dirección de correo electrónico o el NIF. Las credenciales se suprimen de los registros antes de que salgan del servidor. Mantiene, además, un registro de las actuaciones en materia de privacidad y de administración.

Las finalidades son detectar e investigar errores, incidentes de seguridad y usos abusivos, y acreditar el cumplimiento de la normativa de protección de datos. Las bases jurídicas son el interés legítimo de Verificus en la seguridad de la red y de la información (artículo 6.1.f y considerando 49 del RGPD) y el cumplimiento del principio de responsabilidad proactiva (artículos 5.2 y 32 del RGPD, en relación con el artículo 6.1.c). Los registros técnicos se conservan catorce días; los informes de errores, treinta días; y el registro de actuaciones de privacidad y de administración, tres años.

Verificus realiza diariamente una copia de seguridad cifrada de la información, almacenada por otro proveedor dentro de la Unión Europea. Las copias se renuevan de forma automática, y los datos suprimidos permanecen en ellas hasta que caduca la copia que los contiene: aproximadamente dos meses en el caso de los archivos y, para el resto de datos, doce meses en la mayoría de los casos y un máximo de seis años. Durante este periodo los datos no se tratan para ninguna otra finalidad que la recuperación ante un incidente, y si hubiera que restaurar una copia, se aplicarían de nuevo las supresiones antes de reanudar el servicio.

3.8. Atención de consultas y ejercicio de derechos

Verificus trata el nombre, la dirección de correo electrónico, la empresa, si se indica, y el contenido de la consulta, con la finalidad de atenderla. La base jurídica es la ejecución del contrato (artículo 6.1.b del RGPD) cuando la persona ya es usuaria, el consentimiento (artículo 6.1.a del RGPD) cuando la consulta se formula mediante el formulario de verificus.es, y el cumplimiento de una obligación legal (artículo 6.1.c del RGPD) cuando se trata del ejercicio de un derecho. El formulario de verificus.es no almacena ningún dato: remite el mensaje por correo electrónico a hola@verificus.es. Las consultas se conservan dos años desde su cierre, y las solicitudes de ejercicio de derechos, tres años, para acreditar su atención.

3.9. Gestorías destinatarias de documentos

Si un cliente te envía documentos con Verificus, guardamos el nombre y el correo de la gestoría hasta 24 meses para presentarle Verificus para gestorías. Puedes pedir que no lo guardemos con el enlace «No guardéis mi contacto» del correo, o escribiendo a hola@verificus.es.

Los datos proceden de la persona usuaria, que los facilita para remitir los documentos a su gestoría. Verificus trata el nombre de la persona de contacto, el nombre de la gestoría, la dirección de correo electrónico, los clientes que le han remitido documentos y el número y las fechas de los envíos, pero no el contenido de los documentos. La base jurídica es el interés legítimo de Verificus en presentar su servicio a profesionales que ya trabajan con personas usuarias de Verificus (artículo 6.1.f del RGPD y artículo 19 de la LOPDGDD). Verificus no le remitirá comunicaciones comerciales sin su consentimiento previo.

Los datos se conservan veinticuatro meses desde el último envío recibido. Si la persona interesada se opone, se suprimen inmediatamente y solo se conserva un resumen criptográfico de la dirección para evitar que vuelva a incorporarse. La oposición no impide que siga recibiendo los documentos que le remitan sus clientes.

3.10. Mejora del servicio y estadísticas de uso

Para saber cómo se utiliza el servicio y dónde encuentran dificultades las personas usuarias, Verificus registra las pantallas que se visitan, los formularios que se abren, se envían o se abandonan, los errores que se muestran y los hitos de uso de la cuenta (por ejemplo, la creación de la empresa o la emisión de la primera factura), así como el origen del alta (el enlace o la campaña desde la que se ha llegado) y, si se indica, el motivo de la baja del plan. Estos datos se asocian a un identificador aleatorio que no se deriva del nombre, del correo electrónico ni del NIF. No se registran el contenido de las facturas ni de los documentos, los importes, los NIF, los nombres, las direcciones de correo electrónico ni el texto que se escribe en los formularios.

Del sitio web verificus.es solo se contabilizan, por día, las páginas visitadas, el idioma, el sitio web de procedencia y la campaña, sin guardar la dirección IP ni ningún identificador de la persona visitante.

La finalidad es detectar problemas de uso, mejorar el servicio y evaluar sus condiciones comerciales. La base jurídica es el interés legítimo de Verificus en mejorar el servicio que presta (artículo 6.1.f del RGPD). Verificus elabora cada semana un resumen agregado y seudonimizado de estos datos, con la ayuda de un modelo de inteligencia artificial de Anthropic, que no recibe ningún dato identificativo. No se deriva de ello ninguna decisión que afecte a la persona usuaria.

Los datos de uso se conservan trece meses y se suprimen con la cuenta. La persona usuaria puede oponerse en cualquier momento desde Configuración → Tus datos, y a partir de entonces no se registra su uso y se suprimen los datos de uso registrados. Cuando la cuenta la ha creado una gestoría (apartado 2.4), estos datos solo se tratan de forma agregada, salvo que la gestoría lo haya autorizado.

Este apartado también se aplica a las personas de las gestorías que utilizan Verificus para gestorías y Verificus Sync, cuando la gestoría lo ha autorizado. De Verificus Sync se registran, además, la versión de la aplicación, el sistema operativo y los problemas de sincronización, nunca los nombres de los archivos ni de las carpetas. Cada persona puede oponerse desde su cuenta.

4. Destinatarios

Verificus no cede datos personales a terceros, salvo obligación legal. Los proveedores siguientes acceden a ellos en calidad de encargados o subencargados del tratamiento, con contrato de encargo y únicamente para la finalidad indicada:

Los datos también se comunican a la AEAT, en cumplimiento de las obligaciones descritas en el apartado 3.6; a la gestoría de la persona usuaria, en el supuesto del apartado 2.4; y a los juzgados, tribunales y autoridades que los requieran de acuerdo con la ley.

5. Transferencias internacionales

Determinados proveedores tienen su sede en los Estados Unidos o tratan datos allí. Las transferencias correspondientes se amparan en las garantías siguientes:

El Marco de Privacidad de Datos UE-EE. UU. es objeto de la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, relativa al nivel de protección adecuado. Las cláusulas contractuales tipo son las aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión. La persona interesada puede obtener una copia solicitándola en hola@verificus.es.

6. Derechos de las personas interesadas

6.1. La persona interesada puede ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, en los términos de los artículos 15 a 22 del RGPD. Puede retirar en cualquier momento el consentimiento prestado, sin que ello afecte a la licitud del tratamiento anterior.

6.2. Desde el apartado Configuración → Tus datos de Verificus, la persona usuaria puede obtener una copia de sus datos (perfil, facturas emitidas y recibidas, empresas, series y registro de privacidad), suprimir la cuenta y oponerse a las estadísticas de uso (apartado 3.10). Cualquier otra solicitud puede dirigirse a hola@verificus.es desde la dirección asociada a la cuenta o acompañada de la información que permita identificar a la persona solicitante. Verificus responderá en el plazo de un mes, prorrogable en los supuestos del artículo 12.3 del RGPD. El ejercicio de los derechos es gratuito.

6.3. Si considera que el tratamiento no se ajusta a la normativa, la persona interesada puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid).

7. Cookies

7.1. Verificus utiliza exclusivamente las cookies necesarias para la prestación del servicio solicitado. No utiliza cookies de analítica ni de publicidad. Las estadísticas de uso del apartado 3.10 no instalan ninguna cookie ni guardan ningún dato en el dispositivo.

7.2. Las cookies de sesión no son accesibles desde el código de la página. Verificus almacena, además, en el almacenamiento de sesión del navegador, el indicador de que un aviso ha sido cerrado, para no volver a mostrarlo. Los informes de errores se remiten a través de los servidores de Verificus y no instalan ninguna cookie.

7.3. De acuerdo con el artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico, estas cookies están exentas del deber de obtener el consentimiento, porque son estrictamente necesarias para prestar el servicio expresamente solicitado por la persona usuaria. Por este motivo, Verificus no muestra ningún aviso de consentimiento.

7.4. El sitio web verificus.es no instala ninguna cookie, no guarda ningún dato en el dispositivo ni carga recursos de terceros. Cuenta las visitas sin identificar a la persona visitante (apartado 3.10).

8. Modificaciones

Verificus puede modificar esta política para adaptarla a cambios normativos o del servicio. Cada modificación actualizará su versión y su fecha de entrada en vigor. Cuando la modificación afecte de manera sustancial al tratamiento de los datos, Verificus lo comunicará a las personas usuarias por correo electrónico o a través del servicio con antelación a su aplicación.

9. Versiones lingüísticas

Esta política se publica en catalán, castellano e inglés. En caso de discrepancia, prevalecerá la versión catalana.