Política de privacidade

Esta política explica como trata os datos persoais OrchOps, S.L., a empresa detrás de Kobrio, cando visitas este sitio web, nos escribes ou usas a aplicación. Escribímola para que se entenda; se algo non queda claro, pregúntanos.

1. Responsable do tratamento

• Responsable: OrchOps, S.L. (Kobrio)
• NIF: B93940880
• Domicilio: Calle de Luchana 23, 4.º, 28010 Madrid (España)
• Correo electrónico de protección de datos: privacidad@kobr.io
• Delegado de protección de datos: dpo@kobr.io (designación pendente de comunicar á AEPD)

2. Dous papeis distintos: responsable e encargado

Como responsable, tratamos os datos das persoas que visitan esta web, nos escriben, teñen unha conta en Kobrio (titulares, colaboradores e asesores) ou contratan unha subscrición.

Como encargado do tratamento, tratamos por conta de cada empresa que usa Kobrio (o «emisor») os datos dos seus clientes, provedores e contactos que aparecen nas súas facturas, gastos e cobros. Nese caso o responsable é o emisor, e o noso papel réxese polo contrato de encargo do tratamento que asina na aplicación antes de emitir. Se es cliente dun emisor e queres exercer os teus dereitos, diríxete a el; se nos escribes a nós, farémoslle chegar a túa petición.

3. Que datos tratamos, para que e con que base xurídica

Formulario de contacto

• Datos: nome, correo electrónico, teléfono (opcional), a túa mensaxe e, se es asesor, o nome, CIF/NIF e provincia do despacho, o número aproximado de clientes e o programa que usades.
• Para que: responderche e, se es asesor, valorar a colaboración e, se encaixa, invitarte a Kobrio. Para protexelo do spam, o formulario usa Cloudflare Turnstile (ver Protección antispam do formulario).
• Base xurídica: a aplicación de medidas precontractuais por petición túa cando nos pides información para contratar ou colaborar (art. 6.1.b do Regulamento xeral de protección de datos, RXPD) e o noso interese lexítimo en atender o resto de consultas (art. 6.1.f RXPD).
• Prazo: o necesario para atender a túa solicitude e, despois, un máximo de 12 meses desde a última vez que a tratamos, salvo que pases a ter unha conta en Kobrio (como cliente ou asesor): entón, mentres a teñas.

Conta e uso da aplicación

• Datos: nome, correo electrónico, foto de perfil (se a subes ou escolles usar a da túa conta de Google ou Microsoft), os teus métodos de acceso e segundo factor (gardados de forma que non se poden ler), o identificador da túa conta de Google ou Microsoft se entras con ela, sesións, enderezo IP e navegador, e o rexistro das accións que fas na aplicación.
• Para que: crear a túa conta por invitación, deixarte entrar con seguridade, prestarche o servizo, darche soporte e enviarche os correos do servizo (ligazóns de acceso, invitacións, avisos).
• Base xurídica: a execución do contrato (art. 6.1.b RXPD).
• Prazo: mentres teñas a conta. Desde Perfil e seguridade podes descargar unha copia dos teus datos («Descargar os meus datos») e pedir a eliminación da túa conta, que confirma o administrador de Kobrio (se es o único titular dunha empresa, antes hai que pedir a súa baixa ou pasar a titularidade a outra persoa). Ao eliminar unha persoa, a súa conta anonimízase de inmediato e só queda un rexistro sen nome nin correo electrónico para que as facturas e a auditoría sigan indicando quen fixo cada cousa. Se ao dar de alta a túa empresa aínda non podemos atendela, gardamos os seus datos e o teu correo electrónico nunha lista de espera durante 12 meses para avisarte.

Seguridade e prevención do abuso

• Datos: enderezo IP, navegador, intentos de acceso e rexistro de auditoría.
• Para que: protexer as contas, limitar intentos abusivos, detectar accesos indebidos e poder investigalos.
• Base xurídica: o noso interese lexítimo en manter o servizo seguro (art. 6.1.f RXPD).
• Prazo: o imprescindible para esa finalidade. O rexistro de auditoría consérvase 6 anos no que se refire a facturas (como os datos fiscais) e 3 anos no demais (o prazo de prescrición das infraccións moi graves da normativa de protección de datos); o dunha empresa dada de baixa bórrase con ela.

Protección antispam do formulario (Cloudflare Turnstile)

O formulario de contacto usa Cloudflare Turnstile en modo invisible para distinguir as persoas dos programas automáticos. Non tes que resolver nada: a comprobación faise ao enviar o formulario.

• Datos: o enderezo IP da túa conexión, a pegada TLS do teu navegador, a cabeceira User-Agent, e a clave do sitio (sitekey) coa orixe da páxina.
• Para que: detectar e bloquear bots e envíos abusivos no formulario. Estes sinais non se usan para identificarte.
• Quen decide: para esta detección de bots, OrchOps, S.L. é o responsable do tratamento e Cloudflare actúa como encargado. As solicitudes de exercicio de dereitos sobre este tratamento diríxense a nós (privacidad@kobr.io).
• Base xurídica: o noso interese lexítimo en protexer o formulario fronte ao spam e o abuso (art. 6.1.f RXPD).
• Cloudflare como responsable independente: Cloudflare tamén usa estes sinais, como responsable pola súa conta, para mellorar a súa detección de bots. Para ese uso aplícanse a súa política de privacidade e o anexo de privacidade de Turnstile.
• Transferencia internacional: Cloudflare, Inc. ten a súa sede nos Estados Unidos, polo que estes datos poden tratarse alí, coas garantías para transferencias internacionais que Cloudflare describe na súa propia política de privacidade.

Ao ser estritamente necesaria para detectar e bloquear bots, esta comprobación non depende do que escollas no aviso de cookies.

Subscrición e facturación de Kobrio

• Datos: datos fiscais da empresa que contrata, plan, cupóns e pagamentos. Os datos da tarxeta ou da conta bancaria trátaos Stripe; nós non os vemos completos.
• Para que: cobrar a subscrición, emitir as nosas facturas e levar a contabilidade. Se colaboras con Kobrio como asesor, xestionar esa colaboración e os seus pagamentos.
• Base xurídica: a execución do contrato (art. 6.1.b RXPD) e o cumprimento de obrigas legais fiscais e mercantís (art. 6.1.c RXPD).
• Prazo: o que esixen a normativa mercantil e tributaria (en xeral, seis anos para a documentación contable).

Datos do teu negocio (como encargados)

• Datos: os das túas facturas, gastos, xustificantes, clientes e provedores, cobros e, se os activas, consentimentos dos teus clientes para recordatorios.
• Para que: só para prestarche o servizo segundo as túas instrucións e o contrato de encargo.
• Prazo: mentres uses Kobrio. Se dás de baixa a túa empresa, os seus datos e documentos consérvanse 6 anos desde o final do ano da súa última factura ou gasto, durante os que podes consultalos e descargalos completos con «Descargar todo»; avisámoste 3 meses e 30 días antes e, despois, borrámolos. Podes pedir que os borremos antes. Canto tempo debe conservar as súas facturas a túa empresa decídeo a normativa que se lle aplica: descarga a túa copia se necesitas gardalas máis tempo. As descargas que preparamos (paquetes trimestrais e copias completas) bórranse aos 30 días.

Resumo dos prazos de conservación

• Empresa dada de baixa: os seus datos e documentos, 6 anos desde o final do ano da súa última factura ou gasto; despois bórranse, con avisos 3 meses e 30 días antes.
• Descargas preparadas (paquetes trimestrais e «Descargar todo»): 30 días.
• Rexistro de auditoría: 6 anos o relativo a facturas; 3 anos o demais.
• Mensaxes do formulario de contacto: 12 meses, salvo que pases a ter unha conta en Kobrio.
• Lista de espera de altas: 12 meses.
• Conversa co asistente da aplicación: 12 meses.
• Rexistro de avisos enviados a outras aplicacións (webhooks): 90 días.
• Empresas de demostración: 30 días.
• Contas eliminadas: anonimízanse de inmediato.
• A nosa propia documentación contable e fiscal: 6 anos.
• Copias de seguridade da base de datos: renóvanse nunhas 4 semanas como máximo, así que o que borramos desaparece tamén delas pasado ese prazo.

Copias de seguridade na túa nube

• Datos: se o titular dunha empresa conecta o seu Google Drive, Dropbox ou OneDrive, gardamos o correo electrónico ou o nome da conta conectada, os permisos de acceso que nos dá ese servizo (cifrados), o estado da conexión e a lista de ficheiros copiados. Nesa nube copiamos os documentos de cada trimestre: facturas emitidas, facturas recibidas e gastos, xustificantes dos modelos presentados, libros de facturas e o resumo do trimestre.
• Para que: que teñas unha copia dos teus documentos na túa propia nube, cando pechas un trimestre ou cando a pides.
• Base xurídica: a execución do contrato (art. 6.1.b RXPD), porque é unha función que activas ti. Os documentos do teu negocio copiámolos como encargados, seguindo as túas instrucións.
• Prazo: mentres a nube estea conectada. Ao desconectala, borramos os permisos e a lista de ficheiros; o xa copiado queda na túa nube. Que recibimos de cada servizo e como desconectalo detállase no apartado 4.

Intelixencia artificial

Os datos dos documentos que subes ou reenvías (tíquets e facturas recibidas, facturas e outros documentos que importas, pedidos, listas de prezos, resumos do TPV, a factura anterior que subes ao darte de alta e os documentos de consentimento que revisas) extráense automaticamente. Para iso enviamos ese documento ao provedor de IA que Kobrio asigna a esa tarefa (OpenAI, Anthropic ou Google; ver o apartado 5) só co necesario para interpretalo, como o nome e o NIF da túa empresa e as túas categorías de gasto, e nunca con datos doutros emisores. A factura anterior que subes ao darte de alta non a gardamos: descártase en canto se extraen os seus datos. O mesmo vale para o que lle escribes ao asistente da aplicación (que só recibe a túa mensaxe, a data, o teu territorio fiscal, o idioma e as túas categorías de gasto: non lle enviamos a túa lista de clientes, senón que Kobrio busca o cliente polo seu NIF ou o seu nome), a descrición do teu negocio ao darte de alta e os conceptos que pides traducir. Segundo as condicións de API deses provedores (de pagamento, no caso de Google), non usan o que lles enviamos para adestrar os seus modelos, e nós non usamos os teus datos para adestrar modelos. O extraído é só unha proposta: ti revisas e validas cada dato antes de gardalo, así que non se toman decisións automatizadas con efectos xurídicos sobre ti.

Visitas a esta web

Esta web non usa analítica nin publicidade. Cloudflare, que a serve, trata o teu enderezo IP e datos técnicos da conexión para entregarche as páxinas e protexelas de ataques, polo noso interese lexítimo en que funcione con seguridade. O que se garda no teu navegador está na política de cookies.

4. Contas doutros servizos: entrar con Google ou Microsoft e copias na túa nube

Kobrio só se conecta a unha conta túa doutro servizo para dúas funcións que activas ti: entrar coa túa conta de Google ou de Microsoft, e gardar copias de seguridade na túa propia nube (Google Drive, OneDrive ou Dropbox). Este apartado aplícase por igual a todos eses servizos; o que algún esixe en particular indícase ao final.

Que recibimos e para que

• Entrar con Google ou Microsoft (permisos openid, email e profile; en Microsoft, tamén User.Read e offline_access): o servizo facilítanos o teu nome, o teu correo electrónico, a túa foto de perfil e o identificador da túa conta. Usámolos só para comprobar que es ti e deixarte entrar na túa conta de Kobrio. Entrar así nunca crea unha conta: ten que existir antes por invitación. O teu nome e o teu correo electrónico en Kobrio non cambian por entrar con outra conta, e a súa foto só pasa a ser a túa foto de perfil se escolles «Usar a miña foto de Google» ou «Usar a miña foto de Microsoft». Con estes permisos non accedemos a ningún outro servizo da túa conta.
• Copias de seguridade na túa nube: se es titular dunha empresa e conectas a túa nube, Kobrio recibe o correo electrónico ou o nome desa conta, para amosarche cal está conectada, e un permiso limitado aos seus propios ficheiros: en Google Drive, https://www.googleapis.com/auth/drive.file (só os ficheiros que Kobrio crea); en OneDrive, Files.ReadWrite.AppFolder (só o cartafol «Aplicaciones/Kobrio»), con User.Read e offline_access; en Dropbox, un cartafol de aplicación («Aplicaciones/Kobrio»). Con el crea un cartafol por empresa, ano e trimestre onde copia os documentos dese trimestre. Kobrio só busca na túa nube os cartafoles e ficheiros que creou, para colocar cada copia no seu sitio, e só borra algún se activas o borrado ao rematar o prazo de conservación. Kobrio non pode ver, ler nin modificar o resto da túa nube, e non descarga o contido de ningún ficheiro dela.
• Base xurídica: a execución do contrato (art. 6.1.b RXPD), porque son funcións do servizo que pides ti.

Como usamos eses datos e con quen os compartimos

• Só para prestarche esas dúas funcións e amosarche o seu estado na aplicación.
• Non os usamos para publicidade nin para elaborar perfís, e non os vendemos.
• Non os usamos para adestrar modelos de intelixencia artificial, nin nosos nin de terceiros, e non os enviamos aos provedores de IA.
• Ninguén de Kobrio os consulta, salvo que nos deas permiso (por exemplo, para darche soporte), cando sexa necesario por seguridade ou cando o esixa a lei.
• Non os cedemos nin transferimos a terceiros. Só os tratan, por encargo noso e cun contrato que os obriga a protexelos, os provedores imprescindibles para que o servizo funcione, como o aloxamento da aplicación e a base de datos (Railway, na UE; ver a táboa do apartado 5), e só os comunicariamos a unha autoridade se a lei nos obriga. Os ficheiros das copias van de Kobrio á túa nube e quedan na túa conta.

Como os gardamos e protexemos

• Gárdanse na nosa base de datos, en servidores da Unión Europea.
• Os tokens que nos dá cada servizo para actuar co teu permiso (os de acceso e de renovación) gárdanse cifrados. Nunca recibimos nin gardamos o teu contrasinal deses servizos.
• As comunicacións con eses servizos van cifradas, e as copias fainas o servidor de Kobrio, en segundo plano.

Canto tempo os conservamos e como desconectalos

• Desconéctalo ti, desde Kobrio, cando queiras. A conta coa que entras, desde Perfil e seguridade, en «Conta de Google» ou «Conta de Microsoft»; a túa nube, desde O meu negocio › Copias de seguridade, con «Desconectar». Ao desconectar, borramos os tokens que gardamos dese servizo (e, nas copias, a lista de ficheiros copiados) e, cando o servizo o permite (Google e Dropbox), pedímoslle que anule o permiso. Segues entrando coa ligazón por correo electrónico e o teu segundo factor. Se se elimina a túa conta de Kobrio, as súas vinculacións bórranse con ela.
• Mentres non o desconectes, conservamos estes datos para prestarche a función. Os ficheiros xa copiados quedan na túa nube; son teus e podes borralos cando queiras. Mentres estea conectada, Kobrio só borra copias da túa nube se activas o borrado ao rematar o prazo de conservación que escollas (de 4 a 10 anos), e avísate 30 días antes.
• Tamén podes retirar o permiso de Kobrio desde a configuración da túa conta en cada servizo (en Google, en myaccount.google.com/permissions; en Microsoft, en account.live.com/consent/Manage ou, cunha conta de traballo ou de estudante, en myapps.microsoft.com; en Dropbox, en Configuración › Aplicaciones conectadas). Se retiras así o permiso da túa nube, Kobrio deixa de copiar e avísate por correo electrónico de que a conexión fallou.
• O rexistro de auditoría garda cando vinculas ou desvinculas unha conta para entrar e cando se conecta (co correo electrónico ou o nome da conta) ou se desconecta a túa nube, durante o prazo do rexistro de auditoría indicado no apartado 3.
• Estes datos desconéctalos e bórralos ti mesmo desde Kobrio, como se explica arriba. Para calquera outra petición ou dúbida, escríbenos a privacidad@kobr.io.

Datos de Google: uso limitado

O anterior aplícase aos datos que recibimos das API de Google ao entrar con Google e ao conectar Google Drive. O uso e a transferencia a calquera outra aplicación da información recibida das API de Google por parte de Kobrio axustarase á Política de datos de usuario dos servizos das API de Google, incluídos os requisitos de uso limitado.

5. Con quen compartimos os datos

Non vendemos nin cedemos os teus datos. Só os comunicamos cando a lei o esixe (por exemplo, á Axencia Tributaria) ou cando o pides ti, como ao asignar un asesor ou enviar unha factura ao teu cliente. As facturas emitidas chegan á AEAT a través do provedor certificado, que actúa en nome do emisor.

Para prestar o servizo usamos estes provedores, que tratan datos por encargo noso cun contrato que os obriga a protexelos:

As copias que gardas no teu Google Drive, Dropbox ou OneDrive van á túa propia conta dese servizo, co que tes o teu propio contrato: son provedores teus, non subencargados de Kobrio. Entrar con Google ou Microsoft, gardar copias na túa nube ou pagar con Stripe implica que eses servizos traten os teus datos tamén segundo as súas propias políticas. As ligazóns de pagamento de cada emisor usan a súa propia conta de Stripe: o diñeiro vai directo a el e Kobrio non o recibe.

6. Transferencias internacionais

A aplicación, a base de datos e os ficheiros están na Unión Europea. Algúns provedores (os de correo, IA, Google, Microsoft e, en parte, Stripe e a rede de Cloudflare) poden tratar datos fóra do Espazo Económico Europeo, sobre todo nos Estados Unidos. Para Cloudflare Turnstile, ver o apartado anterior. Nos demais casos a transferencia ampárase nunha decisión de adecuación da Comisión Europea (como o Marco de Privacidade de Datos UE-EUA, para as empresas adheridas) ou en cláusulas contractuais tipo aprobadas pola Comisión. Podes pedirnos máis información sobre estas garantías.

7. Os teus dereitos

Podes exercer en calquera momento, sen custo, os teus dereitos de:

• Acceso: saber que datos teus tratamos.
• Rectificación: corrixir os que sexan inexactos.
• Supresión: pedir que os borremos cando xa non sexan necesarios, salvo que unha lei nos obrigue a conservalos.
• Oposición: opoñerte a tratamentos baseados no noso interese lexítimo.
• Limitación: pedir que deixemos de usalos mentres se resolve unha reclamación.
• Portabilidade: recibir os teus datos nun formato de uso común.
• Retirar o teu consentimento, cando sexa a base do tratamento, sen que afecte ao anterior.

Se tes unha conta, desde Perfil e seguridade podes descargar unha copia dos teus datos e pedir a eliminación da túa conta. Para o demais, escríbenos a privacidad@kobr.io indicando que dereito queres exercer; tamén podes dirixirte ao noso delegado de protección de datos en dpo@kobr.io. Se temos dúbidas razoables sobre a túa identidade, poderemos pedirche que a acredites. Responderémosche no prazo dun mes.

Se cres que non tratamos ben os teus datos, podes reclamar ante a Axencia Española de Protección de Datos (www.aepd.es), aínda que che agradeceremos que antes nolo contes para intentar resolvelo.

8. Seguridade

Aplicamos medidas técnicas e organizativas adecuadas ao risco: acceso só por invitación, segundo factor obrigatorio, cifrado do tráfico, credenciais de integracións cifradas, ficheiros privados con ligazóns que caducan, servidores na UE e rexistro de accesos de soporte. Podes ler máis en Privacidade e seguridade.

9. Menores

Kobrio é un servizo para profesionais e empresas. Non está dirixido a menores de 18 anos.

10. Cambios nesta política

Se cambiamos esta política, publicaremos a nova versión aquí coa súa data e, se o cambio é importante, avisarémoste por correo electrónico ou na aplicación antes de que se aplique.