Última actualización: 22 de septiembre de 2026
| Categoría | Datos concretos | Origen |
|---|---|---|
| Registro de usuario | Nombre, email, contraseña (hash bcrypt vía Supabase Auth) | Proporcionados por el usuario |
| Datos fiscales de la empresa | NIF/CIF, razón social, dirección, código postal, ciudad, provincia, teléfono, email, IBAN | Proporcionados por el usuario |
| Datos de clientes del usuario | NIF, razón social, dirección, email, teléfono de los receptores de facturas | Proporcionados por el usuario |
| Registros de facturación | Serie/número, fecha, importes (base, IVA, total), conceptos, huellas SHA-256, QR, cadena criptográfica | Generados por el sistema |
| Eventos de auditoría | Tipo de evento, descripción, timestamp, hash de integridad | Generados automáticamente |
| Datos técnicos | Dirección IP, user-agent del navegador | Recogidos automáticamente (logs del servidor) |
| Registros de errores del sistema | Mensaje de error, URL de la página, user-agent, identificador de empresa (sin datos personales del usuario final) | Recogidos automáticamente cuando se produce un error en la aplicación |
| Datos de pago | Referencia de transacción Stripe (no se almacenan datos de tarjeta) | Stripe (procesador de pagos) |
Datos que NO recogemos: datos biométricos, geolocalización, datos de salud, datos de menores.
| Finalidad | Base jurídica (art. 6 RGPD) | Plazo de conservación |
|---|---|---|
| Gestionar la cuenta del usuario y prestar el servicio de facturación | Ejecución del contrato (art. 6.1.b) | Mientras la cuenta esté activa |
| Emitir facturas con huella encadenada y código QR de cotejo, y remitir los registros de facturación a la AEAT | Obligación legal (art. 6.1.c) — RD 1007/2023, Orden HAC/1177/2024 | Mínimo 4 años (art. 66 LGT) / 6 años (art. 30 Código de Comercio) |
| Procesar pagos de suscripción | Ejecución del contrato (art. 6.1.b) | Mientras dure la relación contractual + plazo legal fiscal |
| Registro de eventos de auditoría y trazabilidad del sistema | Obligación legal (art. 6.1.c) + Interés legítimo (art. 6.1.f) — seguridad | 6 años |
| Prevención de fraude y seguridad del sistema | Interés legítimo (art. 6.1.f) | 12 meses (logs técnicos) |
| Diagnóstico y resolución de errores técnicos del sistema | Interés legítimo (art. 6.1.f) — mantenimiento y mejora del servicio | 6 meses |
| Acceso técnico a datos de cuentas para soporte, mantenimiento y seguridad | Ejecución del contrato (art. 6.1.b) + Interés legítimo (art. 6.1.f) | Registro de acceso conservado 2 años |
| Comunicaciones relacionadas con el servicio (cambios, mantenimiento, alertas) | Ejecución del contrato (art. 6.1.b) | Mientras la cuenta esté activa |
| Gestión de contactos comerciales (leads) y prospección comercial B2B | Interés legítimo (art. 6.1.f) — prospección dirigida a empresas y profesionales (art. 21.2 LSSI-CE) / Consentimiento (art. 6.1.a) en el resto de casos | 12 meses desde el último contacto |
| Analítica de uso del sitio web y medición de campañas publicitarias | Consentimiento (art. 6.1.a) — cookies aceptadas en el banner | Según la Política de Cookies (máximo 2 años) |
Llamamos lead a la persona que nos facilita sus datos a través del formulario de contacto, del widget de WhatsApp, de una reunión agendada o de una acción de prospección comercial dirigida a empresas y profesionales, sin ser todavía cliente.
No utilizamos los datos de leads para elaborar perfiles ni para tomar decisiones automatizadas, y no los cedemos a terceros para sus propias acciones comerciales.
No vendemos tus datos personales ni los cedemos a terceros para que los utilicen en sus propias acciones comerciales. Los datos solo se comunican a los destinatarios que se indican a continuación. Los proveedores de analítica y publicidad únicamente reciben datos si has aceptado las cookies correspondientes; si las rechazas, no se les comunica ningún dato.
| Destinatario | Finalidad | Ubicación | Garantías |
|---|---|---|---|
| AEAT (Agencia Tributaria) | Remisión de registros de facturación (Veri*factu) | España | Obligación legal (RD 1007/2023) |
| Supabase, Inc. | Alojamiento de base de datos y autenticación | Servidores UE (Frankfurt) | Encargado del tratamiento (art. 28 RGPD). EU-US Data Privacy Framework |
| Stripe, Inc. | Procesamiento de pagos con tarjeta | UE / EE.UU. | PCI DSS Nivel 1. Cláusulas Contractuales Tipo (Decisión 2021/914). EU-US DPF |
| Vercel, Inc. | Alojamiento del sitio web (CDN) | Global (edge nodes UE) | EU-US Data Privacy Framework |
| Resend, Inc. | Envío de emails transaccionales | EE.UU. | Cláusulas Contractuales Tipo. EU-US DPF |
| Google Ireland Ltd. | Analítica del sitio web (Google Analytics 4). Solo si aceptas las cookies | Irlanda (UE), con posible acceso desde EE.UU. | Encargado del tratamiento (art. 28 RGPD). Base jurídica: consentimiento (art. 6.1.a). EU-US DPF y Cláusulas Contractuales Tipo |
| Meta Platforms Ireland Ltd. | Medición de campañas publicitarias (Meta Pixel). Solo si aceptas las cookies | Irlanda (UE), con posible acceso desde EE.UU. | Corresponsables del tratamiento en la recogida (art. 26 RGPD). Base jurídica: consentimiento (art. 6.1.a). EU-US DPF y Cláusulas Contractuales Tipo |
Algunos de nuestros proveedores son empresas estadounidenses. Las transferencias internacionales se amparan en:
Los datos de facturación en la base de datos principal no salen de la UE (Supabase, región Frankfurt).
Puedes ejercer los siguientes derechos enviando un email a privacidad@factolegal.es o por correo postal a C/ Pena Corneira 2, 2.º C, 32005 Ourense:
Para verificar tu identidad, podremos solicitarte una copia del DNI/NIF únicamente cuando exista duda razonable sobre la misma (considerando 64 RGPD). Responderemos en el plazo máximo de 1 mes desde la recepción (art. 12.3 RGPD), prorrogable a 2 meses adicionales en caso de solicitudes complejas, informándote de la prórroga dentro del primer mes.
Nota importante: Los registros de facturación ya remitidos a la AEAT no pueden eliminarse, ya que su conservación es una obligación legal (RD 1007/2023, art. 30 Código de Comercio). Solo pueden corregirse mediante facturas rectificativas.
FactoLegal es un servicio profesional destinado a empresarios, autónomos y profesionales. No está dirigido a menores de 18 años. No recogemos conscientemente datos de menores de 14 años (art. 7 LOPDGDD). Si detectamos que un menor se ha registrado, procederemos a eliminar su cuenta y datos.
FactoLegal no realiza decisiones basadas únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre el usuario o le afecten significativamente de modo similar (art. 22 RGPD).
Aplicamos medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 del RGPD:
Dado el volumen y naturaleza actual del tratamiento de datos, FactoLegal no está obligado a designar un Delegado de Protección de Datos (art. 37 RGPD). No obstante, cualquier consulta sobre protección de datos puede dirigirse a privacidad@factolegal.es.
Si consideras que tus derechos no han sido debidamente atendidos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):
Para información detallada sobre las cookies que utilizamos, consulta nuestra Política de Cookies. Las cookies de analítica (Google Analytics) y publicidad (Meta Pixel) solo se activan si las aceptas y puedes cambiar tu elección cuando quieras desde Configurar cookies.
Nos reservamos el derecho a modificar esta política para adaptarla a novedades legislativas o cambios en nuestro tratamiento de datos. Cualquier modificación sustancial será comunicada al usuario por email o mediante aviso en la plataforma.