Política de privacidad

1. Quién trata tus datos

• Responsable: Turutech Software Labs, S.L.U., que opera bajo el nombre comercial Facturacitas.
• NIF: B13755624.
• Domicilio: Calle Valerio Catulo 20, 46800 Xàtiva (Valencia), España.
• Datos registrales: Registro Mercantil de Valencia, Tomo 11372, Libro 8650, Folio 140, Sección 8, Hoja V-210965, Inscripción 1 (10/05/2023).
• Contacto para protección de datos: tech@turutech.es.

El resto de la información del titular que exige la LSSI está en el aviso legal.

Turutech no ha designado delegado de protección de datos: no realiza observación habitual y sistemática de personas a gran escala ni trata categorías especiales de datos, de modo que no concurren los supuestos del artículo 37 del RGPD. Esa valoración se revisa periódicamente.

2. Dos papeles distintos: responsable y encargado

• Turutech es responsable de los datos de las cuentas: quien se registra, sus datos fiscales como emisor de facturas, sus calendarios vinculados y los eventos importados, y el soporte (apartados 3, 4 y 8).
• Turutech es encargado del tratamiento (artículo 28 del RGPD) de los datos de los clientes de cada cuenta: los contactos a los que el titular factura y las facturas que les emite. Quien decide para qué se usan, quién accede y cuánto se conservan es el titular de la cuenta. Es el apartado 5.

Esa segunda relación se formaliza en el encargo de tratamiento que cada cuenta acepta al registrarse y que forma parte de los términos y condiciones. Ese apartado manda sobre esta política en todo lo que toca a los datos de clientes.

3. Si tienes una cuenta en Facturacitas

Qué datos. De la persona que abre la cuenta: nombre, email, contraseña (guardada con hash, nunca en claro), idioma, fecha de aceptación de los términos y fecha de la última conexión. De la cuenta: si el emisor es un autónomo o una empresa, sus datos fiscales como emisor de facturas (nombre y apellidos o razón social, nombre comercial, NIF, dirección, email y teléfono de contacto) y la configuración que elijas (zona horaria, numeración, concepto, precio, impuesto, retención y notas por defecto, plantilla del email de las facturas).

Para qué. Crear y mantener la cuenta, autenticarte, prestarte el servicio (importar tus eventos y emitir tus facturas con tus datos de emisor a través de Celia, apartado 6), atender el soporte, enviarte avisos sobre la plataforma y cumplir las obligaciones fiscales que lleva aparejada la facturación.

Con qué amparo. La ejecución del contrato (art. 6.1.b del RGPD) para la cuenta y el servicio; la obligación legal (art. 6.1.c) para los datos fiscales y lo que exige la normativa de facturación; y nuestro interés legítimo (art. 6.1.f), junto con el deber del art. 32, para la seguridad de la plataforma y los avisos internos.

Avisos que no se pueden desactivar. Los que exige la ley o el propio servicio: cambios en los términos o en el encargo de tratamiento (con 30 días de antelación), avisos de seguridad (contraseña cambiada, sesiones cerradas, eliminación de la cuenta programada), el resultado de la revisión de tu representación ante la AEAT y las incidencias con tus facturas. No enviamos boletines comerciales.

Cuánto tiempo. Mientras la cuenta esté activa. Si pides eliminar la cuenta, todos los datos de Facturacitas se borran a los 7 días (apartado 15); lo que haya que conservar por obligación legal (las facturas emitidas y sus registros) sigue en Celia los plazos del apartado 11.

4. Tus calendarios: Google y Apple

Facturacitas lee tus calendarios para enseñarte tus eventos y que elijas cuáles facturar. Nunca escribe en ellos. Lo haces tú, cuando quieres: la importación no es automática.

Google Calendar. Lo vinculas autorizando a Facturacitas en tu cuenta de Google con el permiso de solo lectura de calendarios (calendar.readonly). Guardamos el email de esa cuenta, las credenciales de acceso que nos da Google (cifradas, nunca visibles) y el identificador y el nombre de los calendarios que elijas vincular. Puedes retirar el permiso desde la propia aplicación (desvincular) o desde la configuración de tu cuenta de Google; al desvincular el último calendario de una cuenta, revocamos las credenciales. El uso que Facturacitas hace de la información recibida de las API de Google cumple la Política de datos de usuario de los servicios API de Google, incluidos los requisitos de uso limitado: esos datos solo se usan para prestarte el servicio descrito aquí, no se venden ni se usan para publicidad y ningún humano los lee salvo con tu consentimiento, por seguridad o por obligación legal.

Apple Calendar (iCloud). Lo vinculas pegando la dirección pública de tu calendario (la que iCloud te da al activar «Calendario público»). Esa dirección es un enlace secreto que da acceso de lectura al calendario a quien lo tenga: la guardamos cifrada y nunca la mostramos entera. Para dejar de usarla, desvincula el calendario y, si quieres, desactiva el calendario público en iCloud.

Qué eventos guardamos. De cada evento del rango que importas: título, descripción, lugar, fechas y horas, zona horaria, estado (confirmado o cancelado), identificador en el calendario, fecha de la última modificación y, si el evento los tiene, los nombres y emails de los asistentes. Guardamos los cambios que detectamos al reimportar y qué factura salió de cada evento.

Para qué y con qué amparo. Para enseñarte la lista de eventos, que elijas cuáles facturar y preparar cada factura con la fecha del evento (art. 6.1.b del RGPD). No usamos los datos de tus calendarios para nada más: ni perfiles, ni publicidad, ni entrenar modelos.

Cuánto tiempo. Mientras la cuenta esté activa. Desvincular un calendario conserva los eventos ya importados y sus facturas (puedes archivar los que no quieras ver); eliminar la cuenta los borra todos (apartado 15).

5. Si eres cliente de alguien que usa Facturacitas

Aquí Turutech no decide nada. Si has recibido una factura generada con Facturacitas, tus datos los trata el profesional o la empresa que te la emite, que es el responsable. Turutech pone la plataforma y actúa como encargado, siguiendo sus instrucciones.

Qué datos. Los que esa persona registra en tu ficha de contacto: nombre y apellidos, NIF u otro documento de identificación, dirección, email, teléfono y las notas internas que anote; y las facturas que te emite, con sus importes y la fecha de la cita o sesión que facturan.

A quién dirigirte. Para acceder a tus datos, corregirlos, pedir que se supriman o cualquier otro derecho, el interlocutor es quien te factura. Si nos escribes a nosotros, trasladaremos tu petición a quien corresponde y te lo diremos.

Qué hacemos con esos datos. Alojarlos, ponerlos a disposición del titular de la cuenta, enviarlos a Celia para emitir cada factura (apartado 6), enviarte la factura por correo en su nombre y solo cuando él lo pide, y, cuando la ley lo exige, remitir a la AEAT el registro de facturación de cada factura. No los usamos para nada nuestro.

Ten en cuenta que una factura, una vez emitida, es un documento con efectos fiscales: ni quien te factura ni Turutech pueden borrarla ni modificarla; solo anularla o corregirla con una rectificativa, y ambas cosas dejan rastro. Tu derecho de supresión encuentra ahí un límite legal (apartado 13).

6. Facturas, Celia y la AEAT (Verifactu)

Facturacitas no emite facturas por sí misma: usa Celia, el sistema de facturación de Turutech (getcelia.com), como motor. Cada cuenta de Facturacitas es una subcuenta en Celia gestionada por Turutech: Celia numera cada factura, genera el PDF con su código QR, crea el registro de facturación con huella encadenada que exige el Real Decreto 1007/2023 (modalidad VERI*FACTU) y lo remite a la Agencia Estatal de Administración Tributaria cuando corresponde. Celia y Facturacitas son del mismo responsable: ese traspaso no es una cesión a un tercero.

Qué llega a la AEAT. Lo que fija la norma: identificación del emisor (NIF y nombre), número y fecha de la factura, tipo, descripción de la operación, importes y desglose de impuestos, identificación del destinatario cuando la ley la exige, la huella y los datos del sistema. No viajan notas internas ni datos del calendario.

Quién lo remite. Turutech, como colaborador social de la AEAT y con su propio certificado, en nombre del titular de la cuenta y bajo la representación que este le otorga (apartado 7). El titular sigue siendo el obligado tributario.

Con qué amparo. La obligación legal (art. 6.1.c del RGPD y art. 29.2.j de la Ley General Tributaria) para generar, conservar y remitir los registros; la ejecución del contrato para todo lo demás.

Inmutabilidad y plazos. Las facturas emitidas y sus registros de facturación son inmutables y se conservan en Celia como mínimo durante los plazos fiscales (cuatro años desde que la obligación tributaria resulta exigible y los que fije la normativa de facturación y mercantil), también si eliminas tu cuenta de Facturacitas (apartado 15).

Calendario y ámbito. Antes del 1 de enero de 2027 las facturas se emiten sin registro de facturación, sin QR y sin remisión a la AEAT. A partir de esa fecha la remisión es automática para los emisores con domicilio fiscal en territorio común español. Un emisor de otro país emite sus facturas sin registro ni remisión.

7. La representación otorgada a Turutech

Para que Turutech pueda remitir los registros en nombre del emisor, este le otorga su representación con el modelo oficial de la AEAT desde una página de Celia a la que Facturacitas te lleva. Un autónomo lo firma en pantalla y adjunta una copia de su DNI; una empresa lo firma con su certificado electrónico y adjunta, además, el documento que acredita a su representante legal. Turutech revisa y acepta cada representación antes de activarla.

Qué datos. Nombre o razón social, NIF y domicilio fiscal del otorgante; nombre, NIF y domicilio del representante legal cuando lo hay; la firma; y los documentos adjuntos, con los datos personales que figuran en ellos. Dónde. En Celia, en un bucket privado en la Unión Europea, servidos solo mediante enlaces firmados de corta duración, y solo para el equipo de soporte de Turutech; se entregan a la AEAT únicamente si esta requiere acreditar la representación.

Con qué amparo y cuánto tiempo. La ejecución del contrato (art. 6.1.b) y la obligación de acreditar la representación cuando la AEAT lo pida (art. 6.1.c); mientras la representación esté vigente y hasta cinco años después de que termine.

8. Soporte

El soporte se atiende por correo en info@facturacitas.com. Se guardan el email de quien escribe y el contenido de la conversación, con amparo en el contrato (art. 6.1.b) y en el interés legítimo de atender al cliente (art. 6.1.f), mientras la cuenta esté activa. Una petición: no incluyas datos de tus clientes en una consulta de soporte; casi nunca hacen falta.

9. Con quién compartimos los datos

Solo con los proveedores que hacen falta para prestar el servicio, con contrato de encargo del artículo 28, y con la Administración tributaria cuando la ley lo exige:

• DigitalOcean, LLC: servidores y base de datos, en sus centros de datos de la Unión Europea.
• Zoho Corporation B.V. (Países Bajos): envío del correo transaccional (bienvenida, recuperación de contraseña, avisos y las facturas que cada cuenta envía a sus clientes). Ve lo que viaja en cada correo.
• Celia (getcelia.com): el motor de facturación (apartado 6). Es de Turutech, el mismo responsable: no es un tercero, pero conviene saber que las facturas y los registros viven allí.
• Agencia Estatal de Administración Tributaria: destinataria de los registros de facturación. No es un encargado nuestro: es una autoridad pública que recibe los datos porque la ley lo ordena.
• Google LLC y Apple Inc.: son los proveedores de tus calendarios, no encargados nuestros. Facturacitas recibe de ellos los datos que tú autorizas (apartado 4) y no les envía nada tuyo, más allá de las peticiones de lectura con tus credenciales. Sus propias políticas de privacidad se aplican a lo que ellos tratan.

Dentro de Turutech, a los datos accede únicamente el equipo que presta el servicio y el soporte, con deber de confidencialidad. Los datos pueden comunicarse, cuando la ley lo exija, a jueces, tribunales y fuerzas de seguridad. No vendemos datos ni los cedemos con fines comerciales. No hay publicidad ni analítica de terceros, ni en la web ni en la aplicación.

10. Transferencias fuera del Espacio Económico Europeo

El alojamiento y la base de datos están íntegramente en la Unión Europea, y el correo lo envía una entidad europea. Si el proveedor de correo tratara algún dato fuera del EEE, lo haría al amparo de las cláusulas contractuales tipo de la Comisión Europea o de una decisión de adecuación (artículos 45 y 46 del RGPD). Las peticiones de lectura a Google y a Apple se dirigen a sus servicios conforme a los términos que tú tienes con ellos. Cualquier proveedor nuevo que implique una transferencia se comunicará conforme al apartado 16.

11. Cuánto tiempo conservamos cada cosa

• Cuenta, datos del emisor, calendarios, eventos y contactos: mientras la cuenta esté activa; se borran por completo a los 7 días de pedir la eliminación (apartado 15).
• Facturas emitidas y registros de facturación (en Celia): los plazos fiscales, como mínimo cuatro años desde la exigibilidad, y los que fije la normativa de facturación y mercantil; no se borran aunque se elimine la cuenta.
• Documentos de la representación ante la AEAT (en Celia): mientras esté vigente y cinco años después.
• Registros técnicos del servidor (logs): 12 meses.
• Conversaciones de soporte: mientras la cuenta esté activa.

12. Cómo protegemos los datos

• Cifrado en tránsito (HTTPS) en todas las comunicaciones.
• Contraseñas con hash (bcrypt) y sesión en una cookie que JavaScript no puede leer; recuperación de contraseña y reactivación de la cuenta con enlaces de un solo uso que caducan.
• Credenciales de Google y direcciones de calendarios de Apple cifradas en reposo, nunca visibles ni en la aplicación ni en los registros técnicos.
• Aislamiento entre cuentas: ninguna ve los datos de otra, y las pruebas automáticas lo comprueban.
• Copias de seguridad diarias de la base de datos y vigilancia automática de la disponibilidad.
• Procedimiento ante brechas de seguridad, con aviso a los afectados sin dilación indebida y, cuando proceda, a la Agencia Española de Protección de Datos.

Los datos de los contactos (nombre, NIF, dirección, email) son datos personales ordinarios y se guardan sin cifrado adicional en reposo, porque hacen falta en claro para buscar; la base de datos vive en el servidor de Turutech, con acceso restringido a la aplicación y a su administrador.

13. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y retirar tu consentimiento en cualquier momento cuando el tratamiento se base en él.

Cómo. Escribiendo a tech@turutech.es. Puede que te pidamos acreditar tu identidad. Respondemos en el plazo de un mes, ampliable hasta tres si la petición es compleja, diciéndotelo. La eliminación de la propia cuenta se pide desde la aplicación (apartado 15).

Si eres cliente de un usuario, tu interlocutor es ese usuario, no nosotros (apartado 5). Límites. La supresión no alcanza a lo que la ley obliga a conservar: las facturas emitidas y sus registros se mantienen en Celia durante los plazos fiscales.

Reclamar. Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).

14. Cookies y almacenamiento local

La aplicación usa únicamente una cookie técnica de sesión y unas pocas claves de almacenamiento local del navegador, todas estrictamente necesarias para funcionar; el detalle está en la política de cookies. Ni la aplicación ni esta web usan analítica, publicidad ni cookies de terceros, así que no hace falta pedir consentimiento ni mostrar un aviso.

15. Eliminar la cuenta

Desde Mi perfil puedes pedir la eliminación de tu cuenta. En ese momento la cuenta se desactiva y recibes un email con la fecha de eliminación y un enlace para reactivarla durante 7 días. Pasado ese plazo, borramos todos tus datos de Facturacitas: la cuenta, los datos del emisor, los contactos, los calendarios vinculados (revocando antes el acceso a Google), los eventos importados y las copias de tus facturas.

Lo que la ley obliga a conservar no se borra: las facturas que emitiste, sus registros de facturación y los documentos de tu representación ante la AEAT permanecen en Celia durante los plazos del apartado 11, bajo la custodia de Turutech, porque la normativa tributaria y de facturación lo exige tanto al emisor como al sistema que los generó. Si necesitas esos documentos después de eliminar la cuenta, escríbenos.

16. Cambios en esta política

Actualizamos esta política cuando cambia el servicio o la normativa. La versión publicada lleva siempre su fecha, y los cambios relevantes se comunican por correo. El alta o la sustitución de un proveedor que trate datos de clientes tiene un régimen más estricto: aviso con 30 días de antelación, como exige el encargo de tratamiento.

¿Dudas? Escríbenos a info@facturacitas.com.