SAFTCheck: Política de Privacidad

Quiénes somos

SAFTCheck es un producto de software gestionado por OCmods (Portugal). Contacto principal: [email protected].

OCmods es el responsable del tratamiento de los datos personales tratados a través de saftcheck.com. Los datos registrales completos están disponibles, previa solicitud, para cualquier interesado que ejerza sus derechos conforme a los artículos 15–21 del RGPD: escribe a la dirección indicada arriba y te responderemos en un plazo de 30 días. Esta política explica qué datos recogemos, por qué y cuáles son tus derechos conforme al RGPD (Reglamento (UE) 2016/679) y a la Ley portuguesa de protección de datos (Lei n.º 58/2019).

Qué datos recogemos

1. Archivos que subes

Archivos XML SAF-T subidos para su validación. Contienen datos de clientes, datos de proveedores, facturas e identificadores fiscales. Tratamos su contenido como confidencial.
Modificaciones que aplicas: si usas el editor integrado (función de pago) para corregir un NIF, un ATCUD o una fecha de la cabecera, el nuevo valor se escribe en el mismo archivo subido, en nuestro almacenamiento temporal. La versión original anterior a la modificación se sobrescribe y no se conserva. Las modificaciones no amplían el plazo de eliminación.
Conservación: los archivos subidos se eliminan automáticamente en un plazo de 60 minutos desde la subida mediante una tarea de purga programada. Hay dos excepciones que mantienen un archivo algo más de tiempo para que puedas usar lo que has pagado: mientras el pago correspondiente está en curso (hasta 60 minutos después de abrir el proceso de pago) y durante los 60 minutos siguientes a la confirmación del pago. Si la validación falla por un error interno, el archivo se elimina inmediatamente.
Comprobación del registro de IVA: para comprobar si la empresa que emitió el archivo está registrada a efectos del IVA, enviamos el NIF de la cabecera del archivo (y únicamente ese número) al servicio VIES de la Comisión Europea. La respuesta (válido o no, y el nombre registrado) se almacena en caché en nuestro servidor durante un máximo de 24 horas.
Qué conservamos tras la eliminación: para los usuarios que han iniciado sesión, un resumen de cada comprobación para el historial del panel: nombre del archivo, nombre de la empresa y NIF de la cabecera del archivo, ejercicio fiscal, número de errores, hash SHA-256 del archivo y tamaño del archivo. Estos registros se eliminan automáticamente a los 90 días, o antes si eliminas tu cuenta. Para los visitantes que no han iniciado sesión, conservamos un hash de la dirección IP junto con los hashes SHA-256 de los archivos comprobados durante 24 horas, para aplicar el límite diario gratuito. El contenido XML nunca se conserva.

2. Datos de la cuenta

Dirección de correo electrónico (necesaria para recibir el enlace mágico de inicio de sesión).
Fechas y horas de inicio de sesión y dirección IP (para la prevención del fraude y de los abusos).
Registros del historial de validaciones (según se describe arriba) para el panel, conservados durante 90 días.

3. Datos de facturación

Los pagos los procesa Paddle, nuestro vendedor registrado (Merchant of Record). No almacenamos los datos de tarjetas de crédito. A los datos de pago se les aplica el aviso de privacidad de Paddle: paddle.com/legal/privacy.
Conservamos los identificadores de transacción, las referencias de las facturas y el estado de la suscripción que recibimos de Paddle.
Compras sin iniciar sesión: si compras un Single Fix sin cuenta, recibimos la dirección de correo electrónico que introdujiste en Paddle y creamos una cuenta para ella (o añadimos la compra a tu cuenta existente con ese correo), de modo que la compra quede en tu historial y puedas iniciar sesión más tarde para verla. Puedes eliminar esa cuenta en cualquier momento, tal como se describe en "Tus derechos".

4. Datos técnicos

Registros del servidor: dirección IP, agente de usuario, rutas de las solicitudes, códigos de respuesta. Se conservan 30 días.
Cookies esenciales: una cookie de sesión (que también se usa para el inicio de sesión y para recordar un proceso de pago que hayas iniciado) y una preferencia de idioma. Son necesarias para que el sitio funcione y se instalan siempre.
Cookies opcionales: Google Analytics y el chat en directo de tawk.to. Ninguno de ellos se carga a menos que hagas clic en OK en el banner de cookies. Si haces clic en Rechazar, no se cargan en absoluto. Tu elección se guarda en el localStorage de este navegador (saftcheck_cookie_consent) y puedes cambiarla en cualquier momento con el enlace Configuración de cookies del pie de página. Sin rastreadores publicitarios.
Google Analytics 4 para estadísticas agregadas de tráfico (páginas vistas, sitio de procedencia, país, tipo de dispositivo y qué preguntas frecuentes de la página de inicio se abren). El script de Google no se solicita a Google en absoluto hasta que aceptas. Los tokens de subida que aparecen en las direcciones de las páginas se eliminan antes de enviar nada. Las direcciones IP se anonimizan. El plazo de conservación de los datos está fijado en el mínimo que ofrece Google (actualmente 2 meses para los datos de eventos). También puedes instalar el complemento oficial de inhabilitación de Google Analytics para navegadores.
Recursos de la página: tu navegador carga los estilos y scripts de la página desde redes públicas de distribución de contenidos (cdn.tailwindcss.com y unpkg.com). Como en cualquier solicitud web, estos proveedores ven tu dirección IP y los datos de tu navegador. No instalan cookies.

Por qué tratamos tus datos: bases jurídicas

Ejecución de un contrato (art. 6.1.b): para validar el archivo SAF-T que envías y prestar las funciones de pago.
Interés legítimo (art. 6.1.f): para conservar los registros del servidor por motivos de seguridad, prevenir abusos y mejorar el servicio.
Obligación legal (art. 6.1.c): para conservar los registros de facturación durante el plazo exigido por la legislación fiscal portuguesa.
Consentimiento (art. 6.1.a): para Google Analytics y el chat en directo, que solo se cargan después de que los aceptes en el banner de cookies.

Subencargados del tratamiento

Nuestra infraestructura:

Hetzner Online GmbH (Alemania): alojamiento de la aplicación y base de datos.
Cloudflare, Inc. (EE. UU., con centros de datos en la UE): se sitúa delante del sitio para el cifrado TLS, el almacenamiento en caché y la protección frente a ataques. Los archivos subidos pasan por Cloudflare cifrados en tránsito; Cloudflare no los almacena. Sujeto al Marco de Privacidad de Datos UE-EE. UU. y a las Cláusulas Contractuales Tipo.
Paddle.com Market Limited (Reino Unido): pagos y vendedor registrado (Merchant of Record).
Proveedor de envío de correo electrónico: envía el correo transaccional (enlaces de inicio de sesión, recibos). Trata tu dirección de correo electrónico y el contenido del mensaje. Pídenos el nombre del proveedor actual en la dirección indicada arriba.
tawk.to LLC (EE. UU.): widget de asistencia por chat en directo. Solo se carga después de que aceptes las cookies opcionales; instala sus propias cookies y trata la IP, el agente de usuario y cualquier mensaje que escribas en el chat. Sujeto al Marco de Privacidad de Datos UE-EE. UU.
Google Ireland Ltd. (Irlanda, con tratamiento posterior en EE. UU.): Google Analytics 4 para la medición agregada del tráfico, que solo se carga después de que aceptes las cookies opcionales. Sujeto al Marco de Privacidad de Datos UE-EE. UU. y a las Cláusulas Contractuales Tipo.
Comisión Europea (VIES): recibe el NIF de la cabecera de un archivo subido para confirmar su registro a efectos del IVA, según se describe arriba. Se trata de un servicio público, no de un encargado que actúe por cuenta nuestra.
Redes públicas de distribución de contenidos (Tailwind Labs para cdn.tailwindcss.com, y unpkg.com): sirven a tu navegador los estilos y scripts de la página.

Todos los subencargados están sujetos a sus propias condiciones conformes con el RGPD.

Tus derechos

Conforme al RGPD tienes derecho a:

Acceder a los datos personales que tenemos sobre ti.
Rectificar los datos inexactos.
Eliminar tu cuenta y todos los datos asociados ("derecho de supresión").
Exportar tus datos en un formato portable.
Retirar el consentimiento para cualquier tratamiento basado en el consentimiento.
Presentar una reclamación ante la autoridad portuguesa de protección de datos (CNPD): cnpd.pt.

Puedes ejercer el derecho de supresión directamente desde tu cuenta en https://saftcheck.com/account. Para cualquier otra solicitud, escribe a [email protected]. Respondemos en un plazo de 30 días.

Transferencias internacionales

Nuestro alojamiento (Hetzner) está en la UE. Algunos subencargados (Cloudflare, tawk.to, Google) tienen su sede en EE. UU. o transfieren datos a EE. UU., y se basan en el Marco de Privacidad de Datos UE-EE. UU. o en las Cláusulas Contractuales Tipo para dichas transferencias.

Cambios en esta política

Si introducimos cambios sustanciales, actualizamos la fecha de "Última actualización" y lo notificamos por correo electrónico a los usuarios que han iniciado sesión.