Política de privadesa

Aquesta política explica com tracta les dades personals OrchOps, S.L., l'empresa que hi ha darrere de Kobrio, quan visites aquest lloc web, ens escrius o utilitzes l'aplicació. L'hem escrita perquè s'entengui; si alguna cosa no queda clara, pregunta'ns-ho.

1. Responsable del tractament

• Responsable: OrchOps, S.L. (Kobrio)
• NIF: B93940880
• Domicili: Calle de Luchana 23, 4.º, 28010 Madrid (España)
• Correu electrònic de protecció de dades: privacidad@kobr.io
• Delegat de protecció de dades: dpo@kobr.io (designació pendent de comunicar a l'AEPD)

2. Dos papers diferents: responsable i encarregat

Com a responsable, tractem les dades de les persones que visiten aquest web, ens escriuen, tenen un compte a Kobrio (titulars, col·laboradors i assessors) o contracten una subscripció.

Com a encarregat del tractament, tractem per compte de cada empresa que utilitza Kobrio (l'«emissor») les dades dels seus clients, proveïdors i contactes que apareixen a les seves factures, despeses i cobraments. En aquest cas el responsable és l'emissor, i el nostre paper es regeix pel contracte d'encàrrec del tractament que signa a l'aplicació abans d'emetre. Si ets client d'un emissor i vols exercir els teus drets, adreça't a ell; si ens escrius a nosaltres, li farem arribar la teva sol·licitud.

3. Quines dades tractem, per a què i amb quina base jurídica

Formulari de contacte

• Dades: nom, correu electrònic, telèfon (opcional), el teu missatge i, si ets assessor, el nom, el CIF/NIF i la província del despatx, el nombre aproximat de clients i el programa que utilitzeu.
• Per a què: respondre't i, si ets assessor, valorar la col·laboració i, si encaixa, convidar-te a Kobrio. Per protegir-lo del correu brossa, el formulari utilitza Cloudflare Turnstile (consulta Protecció antispam del formulari).
• Base jurídica: l'aplicació de mesures precontractuals a petició teva quan ens demanes informació per contractar o col·laborar (art. 6.1.b RGPD) i el nostre interès legítim a atendre la resta de consultes (art. 6.1.f RGPD).
• Termini: el necessari per atendre la teva sol·licitud i, després, un màxim de 12 mesos des de l'última vegada que la vam tractar, llevat que passis a tenir un compte a Kobrio (com a client o assessor): llavors, mentre el tinguis.

Compte i ús de l'aplicació

• Dades: nom, correu electrònic, foto de perfil (si la puges o tries fer servir la del teu compte de Google o Microsoft), els teus mètodes d'accés i segon factor (desats de manera que no es poden llegir), l'identificador del teu compte de Google o Microsoft si hi entres amb aquest compte, sessions, adreça IP i navegador, i el registre de les accions que fas a l'aplicació.
• Per a què: crear el teu compte per invitació, permetre't entrar amb seguretat, prestar-te el servei, donar-te suport i enviar-te els correus del servei (enllaços d'accés, invitacions, avisos).
• Base jurídica: l'execució del contracte (art. 6.1.b RGPD).
• Termini: mentre tinguis el compte. Des de Perfil i seguretat pots baixar una còpia de les teves dades («Baixa les meves dades») i demanar l'eliminació del teu compte, que confirma l'administrador de Kobrio (si ets l'únic titular d'una empresa, abans cal demanar-ne la baixa o traspassar-ne la titularitat a una altra persona). Quan s'elimina una persona, el seu compte s'anonimitza al moment i només en queda un registre sense nom ni correu electrònic perquè les factures i l'auditoria continuïn indicant qui va fer cada cosa. Si en donar d'alta la teva empresa encara no la podem atendre, en desem les dades i el teu correu electrònic en una llista d'espera durant 12 mesos per avisar-te.

Seguretat i prevenció de l'abús

• Dades: adreça IP, navegador, intents d'accés i registre d'auditoria.
• Per a què: protegir els comptes, limitar els intents abusius, detectar accessos indeguts i poder investigar-los.
• Base jurídica: el nostre interès legítim a mantenir el servei segur (art. 6.1.f RGPD).
• Termini: l'imprescindible per a aquesta finalitat. El registre d'auditoria es conserva 6 anys pel que fa a les factures (com les dades fiscals) i 3 anys en la resta (el termini de prescripció de les infraccions molt greus de la normativa de protecció de dades); el d'una empresa donada de baixa s'esborra amb ella.

Protecció antispam del formulari (Cloudflare Turnstile)

El formulari de contacte utilitza Cloudflare Turnstile en mode invisible per distingir les persones dels programes automàtics. No has de resoldre res: la comprovació es fa en enviar el formulari.

• Dades: l'adreça IP de la teva connexió, l'empremta TLS del teu navegador, la capçalera User-Agent i la clau del lloc (sitekey) amb l'origen de la pàgina.
• Per a què: detectar i bloquejar bots i enviaments abusius al formulari. Aquests senyals no s'utilitzen per identificar-te.
• Qui decideix: per a aquesta detecció de bots, OrchOps, S.L. és el responsable del tractament i Cloudflare actua com a encarregat. Les sol·licituds d'exercici de drets sobre aquest tractament s'adrecen a nosaltres (privacidad@kobr.io).
• Base jurídica: el nostre interès legítim a protegir el formulari contra el correu brossa i l'abús (art. 6.1.f RGPD).
• Cloudflare com a responsable independent: Cloudflare també utilitza aquests senyals, com a responsable pel seu compte, per millorar la seva detecció de bots. Per a aquest ús s'apliquen la seva política de privadesa i l'annex de privadesa de Turnstile.
• Transferència internacional: Cloudflare, Inc. té la seu als Estats Units, per la qual cosa aquestes dades s'hi poden tractar, amb les garanties per a transferències internacionals que Cloudflare descriu en la seva pròpia política de privadesa.

Com que és estrictament necessària per detectar i bloquejar bots, aquesta comprovació no depèn del que triïs a l'avís de galetes.

Subscripció i facturació de Kobrio

• Dades: dades fiscals de l'empresa que contracta, pla, cupons i pagaments. Les dades de la targeta o del compte bancari les tracta Stripe; nosaltres no les veiem completes.
• Per a què: cobrar la subscripció, emetre les nostres factures i portar la comptabilitat. Si col·labores amb Kobrio com a assessor, gestionar aquesta col·laboració i els seus pagaments.
• Base jurídica: l'execució del contracte (art. 6.1.b RGPD) i el compliment d'obligacions legals fiscals i mercantils (art. 6.1.c RGPD).
• Termini: el que exigeixen la normativa mercantil i la tributària (en general, sis anys per a la documentació comptable).

Dades del teu negoci (com a encarregats)

• Dades: les de les teves factures, despeses, justificants, clients i proveïdors, cobraments i, si els actives, consentiments dels teus clients per als recordatoris.
• Per a què: només per prestar-te el servei d'acord amb les teves instruccions i el contracte d'encàrrec.
• Termini: mentre facis servir Kobrio. Si dones de baixa la teva empresa, les seves dades i documents es conserven 6 anys des del final de l'any de la seva última factura o despesa, durant els quals els pots consultar i baixar complets amb «Baixa-ho tot»; t'avisem 3 mesos i 30 dies abans i, després, els esborrem. Pots demanar que els esborrem abans. Quant de temps ha de conservar les factures la teva empresa ho decideix la normativa que li és aplicable: baixa la teva còpia si necessites guardar-les més temps. Les baixades que preparem (paquets trimestrals i còpies completes) s'esborren al cap de 30 dies.

Resum dels terminis de conservació

• Empresa donada de baixa: les seves dades i documents, 6 anys des del final de l'any de la seva última factura o despesa; després s'esborren, amb avisos 3 mesos i 30 dies abans.
• Baixades preparades (paquets trimestrals i «Baixa-ho tot»): 30 dies.
• Registre d'auditoria: 6 anys pel que fa a les factures; 3 anys la resta.
• Missatges del formulari de contacte: 12 mesos, llevat que passis a tenir un compte a Kobrio.
• Llista d'espera d'altes: 12 mesos.
• Conversa amb l'assistent de l'aplicació: 12 mesos.
• Registre d'avisos enviats a altres aplicacions (webhooks): 90 dies.
• Empreses de demostració: 30 dies.
• Comptes eliminats: s'anonimitzen al moment.
• La nostra pròpia documentació comptable i fiscal: 6 anys.
• Còpies de seguretat de la base de dades: es renoven en unes 4 setmanes com a màxim, de manera que el que esborrem també hi desapareix passat aquest termini.

Còpies de seguretat al teu núvol

• Dades: si el titular d'una empresa connecta el seu Google Drive, Dropbox o OneDrive, desem el correu electrònic o el nom del compte connectat, els permisos d'accés que ens dona aquest servei (xifrats), l'estat de la connexió i la llista de fitxers copiats. En aquest núvol copiem els documents de cada trimestre: factures emeses, factures rebudes i despeses, justificants dels models presentats, llibres de factures i el resum del trimestre.
• Per a què: que tinguis una còpia dels teus documents al teu propi núvol, quan tanques un trimestre o quan la demanes.
• Base jurídica: l'execució del contracte (art. 6.1.b RGPD), perquè és una funció que actives tu. Els documents del teu negoci els copiem com a encarregats, seguint les teves instruccions.
• Termini: mentre el núvol estigui connectat. Quan el desconnectes, esborrem els permisos i la llista de fitxers; el que ja s'ha copiat es queda al teu núvol. Què rebem de cada servei i com desconnectar-lo es detalla a l'apartat 4.

Intel·ligència artificial

Les dades dels documents que puges o reenvies (tiquets i factures rebudes, factures i altres documents que importes, comandes, llistes de preus, resums del TPV, la factura anterior que puges quan et dones d'alta i els documents de consentiment que revises) s'extreuen automàticament. Per fer-ho, enviem aquest document al proveïdor d'IA que Kobrio assigna a aquesta tasca (OpenAI, Anthropic o Google; consulta l'apartat 5) només amb el que cal per interpretar-lo, com ara el nom i el NIF de la teva empresa i les teves categories de despesa, i mai amb dades d'altres emissors. La factura anterior que puges quan et dones d'alta no la desem: es descarta tan bon punt se n'extreuen les dades. El mateix val per al que escrius a l'assistent de l'aplicació (que només rep el teu missatge, la data, el teu territori fiscal, l'idioma i les teves categories de despesa: no li enviem la teva llista de clients, sinó que Kobrio busca el client pel seu NIF o pel seu nom), la descripció del teu negoci quan et dones d'alta i els conceptes que demanes traduir. Segons les condicions d'API d'aquests proveïdors (de pagament, en el cas de Google), no fan servir el que els enviem per entrenar els seus models, i nosaltres no utilitzem les teves dades per entrenar models. El que s'extreu és només una proposta: tu revises i valides cada dada abans de desar-la, de manera que no es prenen decisions automatitzades amb efectes jurídics sobre tu.

Visites a aquest web

Aquest web no utilitza analítica ni publicitat. Cloudflare, que el serveix, tracta la teva adreça IP i dades tècniques de la connexió per lliurar-te les pàgines i protegir-les d'atacs, pel nostre interès legítim que funcioni amb seguretat. El que es desa al teu navegador s'explica a la política de galetes.

4. Comptes d'altres serveis: entrar amb Google o Microsoft i còpies al teu núvol

Kobrio només es connecta a un compte teu d'un altre servei per a dues funcions que actives tu: entrar amb el teu compte de Google o de Microsoft, i desar còpies de seguretat al teu propi núvol (Google Drive, OneDrive o Dropbox). Aquest apartat s'aplica per igual a tots aquests serveis; el que algun exigeix en particular s'indica al final.

Què rebem i per a què

• Entrar amb Google o Microsoft (permisos openid, email i profile; a Microsoft, també User.Read i offline_access): el servei ens facilita el teu nom, el teu correu electrònic, la teva foto de perfil i l'identificador del teu compte. Els utilitzem només per comprovar que ets tu i permetre't entrar al teu compte de Kobrio. Entrar així mai no crea un compte: ha d'existir abans per invitació. El teu nom i el teu correu electrònic a Kobrio no canvien per entrar amb un altre compte, i la foto d'aquest compte només passa a ser la teva foto de perfil si tries «Fes servir la foto de Google» o «Fes servir la foto de Microsoft». Amb aquests permisos no accedim a cap altre servei del teu compte.
• Còpies de seguretat al teu núvol: si ets titular d'una empresa i connectes el teu núvol, Kobrio rep el correu electrònic o el nom d'aquest compte, per mostrar-te quin està connectat, i un permís limitat als seus propis fitxers: a Google Drive, https://www.googleapis.com/auth/drive.file (només els fitxers que crea Kobrio); a OneDrive, Files.ReadWrite.AppFolder (només la carpeta «Aplicacions/Kobrio»), amb User.Read i offline_access; a Dropbox, una carpeta d'aplicació («Aplicacions/Kobrio»). Amb aquest permís crea una carpeta per empresa, any i trimestre on copia els documents d'aquest trimestre. Kobrio només cerca al teu núvol les carpetes i els fitxers que ha creat, per col·locar cada còpia al seu lloc, i només n'esborra algun si actives l'esborrament en acabar el termini de conservació. Kobrio no pot veure, llegir ni modificar la resta del teu núvol, i no baixa el contingut de cap fitxer que hi tinguis.
• Base jurídica: l'execució del contracte (art. 6.1.b RGPD), perquè són funcions del servei que demanes tu.

Com utilitzem aquestes dades i amb qui les compartim

• Només per prestar-te aquestes dues funcions i mostrar-te'n l'estat a l'aplicació.
• No les utilitzem per a publicitat ni per elaborar perfils, i no les venem.
• No les utilitzem per entrenar models d'intel·ligència artificial, ni nostres ni de tercers, i no les enviem als proveïdors d'IA.
• Ningú de Kobrio no les consulta, llevat que ens donis permís (per exemple, per donar-te suport), quan sigui necessari per seguretat o quan ho exigeixi la llei.
• No les cedim ni les transferim a tercers. Només les tracten, per encàrrec nostre i amb un contracte que els obliga a protegir-les, els proveïdors imprescindibles perquè el servei funcioni, com l'allotjament de l'aplicació i la base de dades (Railway, a la UE; consulta la taula de l'apartat 5), i només les comunicaríem a una autoritat si la llei ens hi obliga. Els fitxers de les còpies van de Kobrio al teu núvol i es queden al teu compte.

Com les desem i les protegim

• Es desen a la nostra base de dades, en servidors de la Unió Europea.
• Els testimonis (tokens) que ens dona cada servei per actuar amb el teu permís (els d'accés i de renovació) es desen xifrats. Mai no rebem ni desem la teva contrasenya d'aquests serveis.
• Les comunicacions amb aquests serveis van xifrades, i les còpies les fa el servidor de Kobrio, en segon pla.

Quant de temps les conservem i com desconnectar-los

• Ho desconnectes tu, des de Kobrio, quan vulguis. El compte amb què entres, des de Perfil i seguretat, a «Compte de Google» o «Compte de Microsoft»; el teu núvol, des d'El meu negoci › Còpies de seguretat, amb «Desconnecta». Quan desconnectes, esborrem els tokens que desem d'aquest servei (i, en les còpies, la llista de fitxers copiats) i, quan el servei ho permet (Google i Dropbox), li demanem que anul·li el permís. Continues entrant amb l'enllaç per correu electrònic i el teu segon factor. Si s'elimina el teu compte de Kobrio, les seves vinculacions s'esborren juntament amb el compte.
• Mentre no ho desconnectis, conservem aquestes dades per prestar-te la funció. Els fitxers ja copiats es queden al teu núvol; són teus i els pots esborrar quan vulguis. Mentre estigui connectat, Kobrio només esborra còpies del teu núvol si actives l'esborrament en acabar el termini de conservació que triïs (de 4 a 10 anys), i t'avisa 30 dies abans.
• També pots retirar el permís de Kobrio des de la configuració del teu compte a cada servei (a Google, a myaccount.google.com/permissions; a Microsoft, a account.live.com/consent/Manage o, amb un compte de feina o d'estudiant, a myapps.microsoft.com; a Dropbox, a Configuració › Aplicacions connectades). Si retires així el permís del teu núvol, Kobrio deixa de copiar i t'avisa per correu electrònic que la connexió ha fallat.
• El registre d'auditoria desa quan vincules o desvincules un compte per entrar i quan es connecta (amb el correu electrònic o el nom del compte) o es desconnecta el teu núvol, durant el termini del registre d'auditoria indicat a l'apartat 3.
• Aquestes dades les desconnectes i les esborres tu mateix des de Kobrio, com s'explica més amunt. Per a qualsevol altra petició o dubte, escriu-nos a privacidad@kobr.io.

Dades de Google: ús limitat

El que s'explica més amunt s'aplica a les dades que rebem de les API de Google quan entres amb Google i quan connectes Google Drive. L'ús i la transferència a qualsevol altra aplicació de la informació rebuda de les API de Google per part de Kobrio s'ajustarà a la Política de dades d'usuari dels serveis de les API de Google, inclosos els requisits d'ús limitat.

5. Amb qui compartim les dades

No venem ni cedim les teves dades. Només les comuniquem quan la llei ho exigeix (per exemple, a l'Agència Tributària) o quan ho demanes tu, com quan assignes un assessor o envies una factura al teu client. Les factures emeses arriben a l'AEAT a través del proveïdor certificat, que actua en nom de l'emissor.

Per prestar el servei utilitzem aquests proveïdors, que tracten dades per encàrrec nostre amb un contracte que els obliga a protegir-les:

Les còpies que deses al teu Google Drive, Dropbox o OneDrive van al teu propi compte d'aquest servei, amb el qual tens el teu propi contracte: són proveïdors teus, no subencarregats de Kobrio. Entrar amb Google o Microsoft, desar còpies al teu núvol o pagar amb Stripe implica que aquests serveis també tractin les teves dades d'acord amb les seves pròpies polítiques. Els enllaços de pagament de cada emissor utilitzen el seu propi compte de Stripe: els diners van directament a l'emissor i Kobrio no els rep.

6. Transferències internacionals

L'aplicació, la base de dades i els fitxers són a la Unió Europea. Alguns proveïdors (els de correu, IA, Google, Microsoft i, en part, Stripe i la xarxa de Cloudflare) poden tractar dades fora de l'Espai Econòmic Europeu, sobretot als Estats Units. Per a Cloudflare Turnstile, consulta l'apartat anterior. En els altres casos la transferència s'empara en una decisió d'adequació de la Comissió Europea (com el Marc de privadesa de dades UE-EUA, per a les empreses adherides) o en clàusules contractuals tipus aprovades per la Comissió. Ens pots demanar més informació sobre aquestes garanties.

7. Els teus drets

Pots exercir en qualsevol moment, sense cost, els teus drets de:

• Accés: saber quines dades teves tractem.
• Rectificació: corregir les que siguin inexactes.
• Supressió: demanar que les esborrem quan ja no siguin necessàries, llevat que una llei ens obligui a conservar-les.
• Oposició: oposar-te als tractaments basats en el nostre interès legítim.
• Limitació: demanar que deixem d'utilitzar-les mentre es resol una reclamació.
• Portabilitat: rebre les teves dades en un format d'ús comú.
• Retirar el teu consentiment, quan sigui la base del tractament, sense que això afecti el tractament anterior.

Si tens un compte, des de Perfil i seguretat pots baixar una còpia de les teves dades i demanar l'eliminació del teu compte. Per a la resta, escriu-nos a privacidad@kobr.io indicant quin dret vols exercir; també et pots adreçar al nostre delegat de protecció de dades a dpo@kobr.io. Si tenim dubtes raonables sobre la teva identitat, et podrem demanar que l'acreditis. Et respondrem en el termini d'un mes.

Si creus que no hem tractat bé les teves dades, pots presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (www.aepd.es), tot i que t'agrairem que abans ens ho expliquis per intentar resoldre-ho.

8. Seguretat

Apliquem mesures tècniques i organitzatives adequades al risc: accés només per invitació, segon factor obligatori, xifratge del trànsit, credencials d'integracions xifrades, fitxers privats amb enllaços que caduquen, servidors a la UE i registre d'accessos de suport. Pots llegir-ne més a Privadesa i seguretat.

9. Menors

Kobrio és un servei per a professionals i empreses. No està adreçat a menors de 18 anys.

10. Canvis en aquesta política

Si canviem aquesta política, publicarem la nova versió aquí amb la data corresponent i, si el canvi és important, t'avisarem per correu electrònic o a l'aplicació abans que s'apliqui.