Política de privacidad

Factu Labs S.L. ("Factu", "nosotros") presta un servicio que ayuda a empresas y autónomos a obtener facturas de sus proveedores. Esta política explica qué datos personales tratamos, con qué finalidad y cómo puedes ejercer tus derechos.

• Datos de cuenta: email y contraseña.
• Datos de tu organización: razón social, NIF/CIF, dirección fiscal y email de contacto.
• Datos de tus solicitudes: proveedor, descripción de la operación, importe y notas internas.
• Facturas y PDFs que recibimos o procesamos para validar la solicitud.
• Datos de Google cuando conectas Gmail: dirección del buzón, permisos autorizados, tokens OAuth y, sólo si activas la búsqueda de facturas, metadatos de mensajes y adjuntos PDF candidatos.
• Confirmación legal con timestamp e IP cuando creas una solicitud.
• Eventos de producto agregados (uso del dashboard) con privacidad activada.

• Contactar a tus proveedores en tu nombre para pedirles la factura.
• Validar las facturas recibidas antes de entregártelas.
• Localizar, deduplicar y procesar facturas que decidas buscar o incorporar.
• Cumplir con obligaciones legales y contables.
• Mejorar el producto en base a uso agregado.

Cuando conectas Gmail, Factu recibe la dirección del buzón, los permisos que autorizas y tokens OAuth. Para enviar solicitudes de factura, recordatorios y seguimientos usamos gmail.send. Sólo si activas por separado la búsqueda de facturas usamos gmail.readonly para consultar los metadatos necesarios, identificar mensajes que puedan contener facturas y descargar sus adjuntos PDF dentro de la ventana que elijas. Factu no modifica, mueve ni elimina mensajes de Gmail.

Usamos esos datos exclusivamente para prestar las funciones que solicitas: enviar comunicaciones desde el buzón autorizado, localizar facturas, evitar duplicados, mostrar candidatos dentro de Factu y procesar mediante OCR los PDFs que correspondan.

Factu no vende datos de Google, no los usa para publicidad, retargeting, determinar solvencia o conceder crédito, ni los usa para entrenar modelos de IA de propósito general.

El uso y la transferencia por Factu de información recibida de las API de Google se ajustan a la Política de Datos de Usuario de los Servicios API de Google, incluidos los requisitos de Uso Limitado.

Tratamos tus datos en base a la ejecución del contrato (artículo 6.1.b RGPD), tu consentimiento explícito al confirmar cada solicitud y el cumplimiento de obligaciones legales aplicables.

Para prestar el servicio, Vercel ejecuta la aplicación; Supabase gestiona la autenticación, la base de datos y el almacenamiento privado de PDFs; Mistral recibe durante el OCR una URL firmada temporal del PDF; y Resend procesa los datos de contacto y el contenido mínimo necesario para enviar notificaciones de Factu. Resend no envía los mensajes que salen de tu buzón de Gmail. Estas transferencias se limitan a prestar las funciones solicitadas. La lista y finalidad de los proveedores se mantiene en /subprocesadores.

Cuando tú lo indiques o autorices, Factu puede poner facturas, documentos y datos asociados a disposición de tu gestoría o de otras personas de tu organización con los permisos correspondientes.

También podemos comunicar datos cuando una ley, un tribunal o una autoridad competente nos lo exija, o cuando sea necesario para proteger la seguridad y los derechos de usuarios, terceros o Factu.

El acceso humano al contenido de Google es excepcional, se limita al mínimo necesario y sólo se permite con tu autorización afirmativa para datos concretos, para soporte imprescindible autorizado, por motivos de seguridad o para cumplir una obligación legal. El personal y los colaboradores autorizados están sujetos a deberes de confidencialidad y acceso restringido.

• Protegemos los datos en tránsito mediante HTTPS/TLS.
• Ciframos específicamente los tokens OAuth en reposo con AES-256-GCM.
• Mantenemos los PDFs en almacenamiento privado y generamos URLs firmadas que caducan, normalmente, a los 600 segundos.
• Aislamos los datos por organización y aplicamos controles de acceso y roles para limitar quién puede consultarlos.
• Restringimos los secretos a sistemas de servidor y aplicamos medidas para evitar que aparezcan en registros operativos.

Aplicamos plazos distintos según el tipo de dato y la finalidad:

• Las credenciales OAuth se conservan cifradas mientras exista la conexión o hasta que atendamos una solicitud de supresión, sujeta a las obligaciones legales aplicables. Al desconectar, Factu desactiva la conexión y deja de usarla, pero esto no implica por sí solo la revocación del acceso en Google ni la eliminación inmediata de todas las credenciales almacenadas.
• Los candidatos de factura no aceptados y sus PDFs se purgan a los 30 días. Si ignoras un candidato, su PDF se elimina después de 30 días, pero puede conservarse hasta 400 días un registro mínimo sin el PDF para impedir que el mismo adjunto se importe de nuevo.
• Las facturas y PDFs aceptados, las solicitudes y las evidencias fiscales o mercantiles pueden conservarse durante seis años cuando sea necesario para cumplir obligaciones legales o acreditar operaciones.
• Los eventos no fiscales de una organización cerrada se purgan después de 90 días.

Puedes solicitar acceso, rectificación, portabilidad o supresión de tus datos, así como oponerte o limitar determinados tratamientos, escribiendo a privacy@mrfactu.com. Cuando exista una obligación legal de conservación, limitaremos el tratamiento hasta que venza. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos.

Puedes desactivar la lectura de Gmail sin desactivar el envío y desconectar el buzón desde Factu. Para retirar directamente el acceso concedido a Factu, usa la página de permisos de tu cuenta de Google. También puedes pedirnos la revocación o eliminación escribiendo a privacy@mrfactu.com.

Si modificamos esta política, te avisaremos por email y actualizaremos la fecha de la cabecera.