Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es:

• Razón social: TONVI TECH SL
• NIF/CIF: B-19780394
• Domicilio: Calle Puerta del Mar 18, 5ª planta, 29005 Málaga, España
• Correo de contacto: info@aikount.com · Canal específico de protección de datos: info@aikount.com

Si en el futuro se designa un Delegado de Protección de Datos (DPD), sus datos de contacto se publicarán en esta misma sección.

2. Datos que tratamos

Tratamos las siguientes categorías de datos, según el uso que hagas del servicio:

• Datos de cuenta: nombre, dirección de correo electrónico y contraseña cifrada.
• Datos fiscales y de empresa que introduces como espacio de trabajo: razón social, NIF/CIF, domicilio fiscal, datos bancarios (IBAN/BIC) y configuración de facturación.
• Datos contables y financieros: facturas emitidas y recibidas, gastos, movimientos bancarios, suscripciones, clientes y proveedores, así como los documentos (PDF) que subas.
• Datos de cuentas y transacciones bancarias obtenidos a través de los agregadores bancarios que conectes voluntariamente (open banking).
• Datos técnicos y de uso mínimos: idioma preferido, sesión de autenticación y métricas de uso agregadas y anónimas (analítica sin cookies). Si aceptas las cookies de publicidad, también datos de medición de campañas de Google Ads y ChatGPT Ads (incluidos los identificadores de clic gclid, gbraid, wbraid u oppref) y el origen de tu registro (etiquetas utm y página de procedencia).
• Comunicaciones que nos envíes (soporte, registro, invitaciones de equipo).

3. Bases legales y finalidades

Tratamos tus datos con las siguientes bases jurídicas:

• Ejecución del contrato (art. 6.1.b RGPD): prestar el servicio de gestión contable y financiera que has contratado, incluida la creación de tu cuenta y espacio de trabajo.
• Obligación legal (art. 6.1.c RGPD): conservar la documentación contable y fiscal exigida por la normativa española (ver sección de conservación).
• Interés legítimo (art. 6.1.f RGPD): mantener la seguridad de la plataforma, prevenir el fraude y abuso y mejorar el producto mediante analítica anónima.
• Consentimiento (art. 6.1.a RGPD): cuando conectas integraciones externas (pasarelas de pago, agregadores bancarios), aceptas las cookies de publicidad de Google Ads y ChatGPT Ads o aceptas comunicaciones opcionales. Puedes retirarlo en cualquier momento.

4. Procesamiento con inteligencia artificial

Aikount utiliza modelos de IA para asistirte (por ejemplo, clasificar movimientos, leer facturas o responder consultas). Tanto nuestros servidores como el modelo de inteligencia artificial que utilizamos están ubicados en la Unión Europea. Ni nosotros ni el proveedor de IA utilizamos tus datos para entrenar modelos, ni los compartimos con fines publicitarios. Las decisiones automatizadas son siempre sugerencias revisables por ti; no producen efectos jurídicos sin tu confirmación.

5. Plazos de conservación

Conservamos tus datos mientras tu cuenta esté activa. Cuando solicitas la supresión desde Ajustes → Privacidad y datos, tu cuenta de usuario se anonimiza de forma inmediata e irreversible: sustituimos tu correo por un código sin retorno, tu nombre por «Usuario eliminado» y borramos tu vinculación con Google, tu segundo factor y todos los datos de origen publicitario. Cancelamos tu suscripción en Stripe y revocamos ante el proveedor los consentimientos de banca abierta que tuvieras activos.

Importante — qué pasa con tu contabilidad. La normativa española (artículo 30 del Código de Comercio, Ley General Tributaria y Real Decreto 1007/2023 sobre sistemas de facturación) nos obliga a conservar la documentación contable, los libros, los justificantes y los registros de facturación durante 6 años. Por eso, si eres el único propietario de un espacio de trabajo que contiene facturas o registros Veri*Factu, ese espacio no se destruye: pasa a estado BLOQUEADO conforme al artículo 32 de la LOPDGDD. Bloqueado significa que los datos quedan reservados, fuera de todo uso ordinario —nadie puede iniciar sesión en él, se eliminan las claves de API y las invitaciones pendientes— y solo se ponen a disposición de jueces, tribunales, el Ministerio Fiscal y las Administraciones competentes (señaladamente la AEAT) mientras dure el plazo. Cumplido ese plazo, un proceso automático los destruye definitivamente, incluidos los PDF de las facturas. Si el espacio de trabajo no contiene ningún registro fiscal, no hay nada que conservar y se borra por completo de inmediato, sus ficheros adjuntos incluidos.

Estos son los plazos concretos que aplicamos, con un proceso automático que los ejecuta periódicamente:

• Cuenta de usuario y datos de tu espacio de trabajo: mientras la cuenta esté activa. Tras la baja, anonimización inmediata de la cuenta de usuario.
• Facturas, libros contables, justificantes y registros Veri*Factu: 6 años desde la baja, en régimen de bloqueo (art. 32 LOPDGDD). Después se destruyen.
• Documentos subidos que quedaron a medio procesar (sin llegar a crear una factura o un gasto): 24 horas.
• Enlaces de un solo uso (confirmación de correo, restablecimiento de contraseña) una vez usados o caducados: 30 días.
• Registro de auditoría: la dirección IP y el navegador de quien realizó cada cambio se borran a los 24 meses; el histórico contable del cambio se conserva el plazo fiscal por formar parte del libro de operaciones.
• Cuentas registradas que nunca confirmaron su correo y no llegaron a usar ningún espacio de trabajo: 90 días.
• Registros de visitas a enlaces de afiliado (hash de IP y navegador, para detectar fraude): 13 meses.
• Datos de origen de la visita (campaña, procedencia, identificador de clic publicitario): se borran al anonimizar la cuenta, y el identificador de clic publicitario se elimina en el momento en que retiras el consentimiento.

Copias de seguridad: hacemos copias cifradas de la base de datos y de los documentos adjuntos. Se conservan 35 días en su versión diaria y hasta 180 días en su versión semanal, en Google Cloud Storage (región europe-west1, Unión Europea). Un borrado no puede alcanzar de forma selectiva a las copias ya escritas, de modo que tus datos pueden persistir en ellas hasta 180 días; las copias no se usan para nada más que la restauración ante un desastre y expiran solas.

6. Destinatarios y subencargados

No vendemos tus datos. Para prestar el servicio nos apoyamos en los siguientes encargados del tratamiento (subprocesadores), que tratan datos por cuenta nuestra bajo contrato conforme al art. 28 RGPD:

• Stripe Payments Europe, Ltd. (Irlanda) — cobro de tu suscripción a Aikount y datos de facturación, incluidos los métodos de pago que Stripe ofrece en el checkout (entre ellos, PayPal). Si además conectas Stripe como tesorería, leemos tus cobros para conciliarlos.
• Ponto · Ibanity (Bélgica) — agregación bancaria (open banking) para conectar tu banco.
• Salt Edge (Salt Edge Ltd, Reino Unido, con entidad en la Unión Europea) — conector opcional de agregación bancaria (PSD2): si conectas tu banco a través de él, accede a tus cuentas y movimientos con el alcance que autorizas («accounts» y «transactions»). Reino Unido cuenta con decisión de adecuación de la Comisión Europea.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburgo) — conector opcional de tesorería: si conectas tu cuenta de PayPal, leemos sus movimientos para conciliarlos.
• Google Cloud — Vertex AI (Gemini), región multirregional «eu»: funciones de asistencia y lectura de facturas. Los datos se procesan en la Unión Europea al amparo del Cloud Data Processing Addendum de Google y no se utilizan para entrenar modelos. Como respaldo automático ante una incidencia del proveedor utilizamos un modelo Qwen alojado en nuestra propia infraestructura.
• Hetzner Online GmbH (Alemania) — alojamiento del servicio y de la base de datos, en centros de datos situados en la Unión Europea.
• Contabo GmbH (Alemania) — alojamiento del panel de administración de despliegues (Coolify) desde el que se opera la plataforma. No almacena la base de datos, pero sí las variables de configuración del servicio, por lo que lo tratamos como subencargado.
• Google Cloud Storage (región europe-west1, Unión Europea) — copias de seguridad cifradas de la base de datos y de los documentos adjuntos, con una retención de 35 días (diarias) y 180 días (semanales). El acceso es de solo escritura desde nuestro servidor.
• Namecheap Private Email — envío de correo transaccional (confirmaciones, invitaciones, notificaciones).
• Cloudflare, Inc. — red de entrega y seguridad (CDN/WAF) y enrutado del buzón de facturas por email: si activas tu dirección fac-…@in.aikount.com, los correos transitan de forma efímera por su red. No almacenamos el cuerpo del correo ni el remitente; solo los adjuntos (PDF/imagen), que se guardan en nuestra infraestructura en la UE con la misma retención que las subidas manuales. Transferencias amparadas en cláusulas contractuales tipo y el Data Privacy Framework.
• OpenPanel — analítica de producto alojada en nuestra propia infraestructura (no es un servicio de terceros). Registra páginas vistas y eventos de uso asociados a un identificador SEUDÓNIMO: un código derivado de tu identificador interno mediante una función hash con clave, que no permite obtener tu correo ni tu nombre. No recibe tu dirección de correo, tu nombre ni el identificador de tu empresa, y no te rastrea entre sitios web.
• Google Ads (Google Ireland Limited / Google LLC) y ChatGPT Ads (OpenAI): medición de registros y primeros pagos atribuibles a anuncios, únicamente con tu consentimiento. Enviamos el identificador del clic, el evento y, en pagos, el importe y la moneda. No enviamos el contenido de tus documentos, datos bancarios, correo ni nombre a estas redes.
• Google Identity Services — botón «Continuar con Google» en las pantallas de acceso y registro. Solo interviene si eliges iniciar sesión con Google; nos devuelve tu identificador de Google, tu correo y tu nombre.
• Telegram (Telegram FZ-LLC, Emiratos Árabes Unidos) — canal interno de avisos de operación del programa de afiliados. Por no existir garantías de transferencia suficientes con este proveedor, los mensajes se han minimizado deliberadamente: contienen únicamente el nombre público del afiliado, su código, el país y un contador de coincidencias, nunca direcciones de correo ni direcciones IP.
• Agencia Estatal de Administración Tributaria (AEAT) — si activas Veri*Factu, los registros de facturación se remiten a su sede electrónica con tu certificado. No es un encargado nuestro: es una cesión derivada de tu obligación legal como obligado tributario.

Los conectores bancarios y de pagos (Ponto, PayPal y Stripe como tesorería) solo tratan tus datos si eres tú quien decide conectarlos.

Algunos subencargados pueden estar ubicados fuera del Espacio Económico Europeo (Stripe, Namecheap, Cloudflare y Google Ads en Estados Unidos; Telegram en Emiratos Árabes Unidos). En esos casos, las transferencias se amparan en garantías adecuadas: cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor está certificado, el EU-US Data Privacy Framework. En el caso de Telegram, al no existir tales garantías, hemos optado por no enviarle datos identificativos.

7. Programa de afiliados

Si te das de alta en el programa de afiliados de Aikount (aikount.com/afiliados) tratamos tus datos como responsables, con una finalidad y una base jurídica propias, distintas de las de tu cuenta de cliente.

• Datos que tratamos: nombre y correo de contacto, contraseña cifrada o tu identificador de Google si accedes con él, país, canales y enlaces que declaras, y la descripción de tu canal.
• Datos fiscales y de pago, necesarios para poder liquidarte las comisiones y emitir la autofactura: razón social o nombre, NIF, dirección completa y número de cuenta (IBAN), que se almacena cifrado.
• Prevención del fraude: guardamos un hash seudónimo de la dirección IP desde la que te diste de alta y desde la que se producen las visitas a tus enlaces, junto con el país y el navegador. No conservamos la dirección IP en claro. Estos datos permiten detectar patrones abusivos (por ejemplo, varias cuentas desde el mismo origen o tráfico de pago sobre nuestra propia marca) y pueden provocar la retención cautelar de una comisión, que siempre revisa una persona antes de decidir.
• Bases jurídicas: la ejecución del contrato del programa (art. 6.1.b) para la gestión de tu alta, tus comisiones y tus pagos; el cumplimiento de obligaciones legales (art. 6.1.c) para la facturación y la fiscalidad de esos pagos; y nuestro interés legítimo (art. 6.1.f) en prevenir el fraude en el programa.
• Destinatarios: los mismos proveedores de alojamiento, correo y contabilidad descritos en el apartado anterior. Recibimos un aviso interno en Telegram cuando llega una solicitud nueva, deliberadamente reducido a tu nombre público, tu código de afiliado y tu país — nunca tu correo ni tu IP.
• Conservación: mientras dure tu participación en el programa y, después, durante los plazos fiscales aplicables a las comisiones liquidadas (6 años). Los registros de visitas a tus enlaces se borran a los 13 meses.

8. Tus derechos

Como titular de los datos, puedes ejercer en cualquier momento los siguientes derechos:

• Acceso: saber qué datos tratamos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar el borrado de tus datos (sujeto a la obligación de conservación fiscal indicada arriba).
• Portabilidad: recibir tus datos en un formato estructurado y legible por máquina.
• Oposición y limitación: oponerte a determinados tratamientos o solicitar que se limiten.
• Retirar el consentimiento prestado, sin que ello afecte a la licitud del tratamiento previo.

Puedes ejercer estos derechos directamente desde la aplicación, en Ajustes → Privacidad y datos (RGPD), donde puedes descargar todos tus datos o eliminar tu cuenta. También puedes escribirnos a info@aikount.com (canal específico de protección de datos) o a info@aikount.com. Responderemos en el plazo máximo de un mes, prorrogable dos meses más si la solicitud es especialmente compleja, en cuyo caso te lo comunicaremos dentro del primer mes.

Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es.

9. Seguridad

Aplicamos medidas técnicas y organizativas para proteger tus datos: cifrado en tránsito (HTTPS), cifrado en reposo de los secretos sensibles de cada espacio de trabajo, control de acceso por roles y aislamiento multi-tenant entre los datos de distintos clientes. Cuando pagas una suscripción, los datos de tu tarjeta los gestiona directamente Stripe; Aikount no los almacena.

10. Menores

El servicio está dirigido a empresas, autónomos y profesionales. No está destinado a menores de edad y no recopilamos conscientemente sus datos.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta página con su fecha de actualización y, cuando los cambios sean relevantes, te avisaremos por los medios habituales.