Política de Privacidad

Esta Política de Privacidad describe cómo Martin Schenk S.L., titular y responsable del servicio contix, recoge, trata y protege los datos personales de los usuarios, en cumplimiento del Reglamento (UE) 2016/679 (RGPD), de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y de la legislación complementaria.

1. Responsable del tratamiento

• Responsable: Martin Schenk S.L.
• NIF: B84645654
• Domicilio: Calle Claudio Coello 14, 28001 Madrid
• Contacto: a través del formulario de contacto

2. Datos que tratamos

Al utilizar contix tratamos las siguientes categorías de datos:

2.1 Datos de cuenta

• Nombre y apellidos (o razón social en caso de SL unipersonal)
• NIF / CIF
• Dirección fiscal
• Correo electrónico y teléfono de contacto
• Contraseña (almacenada de forma irreversible mediante hashing)

2.2 Datos de facturación y contabilidad

• Datos de tus clientes (nombre, NIF, dirección, email)
• Facturas emitidas y recibidas
• Presupuestos, gastos, tickets y justificantes
• Modelos fiscales generados

2.3 Datos bancarios (opcional, solo si subes un CSV)

• Movimientos contables que aparezcan en el archivo CSV que tú nos pases (fecha, importe, concepto, contrapartida)

contix no se conecta con tu banco y no almacena credenciales bancarias. Tú exportas el CSV desde la banca electrónica de tu banco y lo subes manualmente para cruzar cobros con tus facturas.

2.4 Datos técnicos

• Dirección IP y logs de acceso (con fines de seguridad)
• Navegador, sistema operativo y tipo de dispositivo
• Cookies técnicas necesarias para el funcionamiento del servicio

3. Finalidades y base jurídica

4. Conservación de los datos

Conservamos tus datos mientras tengas una cuenta activa en contix. Tras la baja, algunos datos se conservarán durante los plazos legales aplicables:

• Datos de facturación y fiscales: 6 años (art. 30 Código de Comercio, art. 29 LGT)
• Datos de facturas emitidas: hasta 10 años para obligaciones contables
• Logs de acceso y seguridad: hasta 12 meses
• Datos de cuenta tras baja: anonimizados o eliminados en un plazo máximo de 30 días, salvo los anteriores

5. Destinatarios y encargados del tratamiento

Para prestar el servicio, contix recurre a los siguientes proveedores, todos ellos bajo contrato de encargado de tratamiento conforme al art. 28 RGPD:

• Hetzner Online GmbH (Alemania) — hosting de la aplicación, base de datos y servidor SMTP saliente que envía los correos operativos del servicio (notificaciones, recordatorios). Infraestructura en el territorio de la UE.
• Stripe Payments Europe, Ltd. (Irlanda), con su matriz Stripe, Inc. (Estados Unidos) — procesa el cobro de la suscripción mensual. Recibe nombre, email, dirección de facturación y los datos de tu medio de pago (Stripe los almacena de forma certificada PCI-DSS; contix no llega a ver el número de tarjeta). Transferencia internacional cubierta por el EU-US Data Privacy Framework (Decisión de Adecuación de la Comisión Europea de 10 de julio de 2023).
• Cloudflare, Inc. (Estados Unidos, con red de servidores en la UE) — DNS autoritativo y red de entrega (CDN/proxy) para los dominios de contix. Trata direcciones IP y metadatos técnicos de las peticiones. Transferencia internacional cubierta por el EU-US Data Privacy Framework.
• Google LLC (Estados Unidos) — API Gemini para la lectura automática de tickets, únicamente cuando subes un ticket y solicitas el reconocimiento. Transferencia internacional cubierta por el EU-US Data Privacy Framework. Google ha firmado la certificación DPF y, en el modo Business API que utilizamos, no usa el contenido para entrenar sus modelos.
• Google LLC — Reconocimiento de voz (Estados Unidos), únicamente si activas el dictado en la creación de facturas. El navegador (Chrome, Edge o Safari) usa la Web Speech API y envía el audio capturado a los servidores de Google para transcribirlo. No se transmite ningún audio mientras el botón de micrófono está apagado, y contix no almacena el audio ni la transcripción más allá del texto que tú confirmes en el formulario. Transferencia internacional cubierta por el EU-US Data Privacy Framework. Base jurídica: consentimiento explícito al pulsar el botón de micrófono (art. 6.1.a RGPD). Puedes evitar este tratamiento usando la entrada de texto en su lugar.
• Google LLC — Extracción de datos de cliente (Estados Unidos), únicamente si activas la función «Rellenar con foto o texto» al crear un cliente. La imagen o el texto pegado se envían al modelo Gemini para extraer los campos del cliente (razón social, NIF/CIF, dirección, contacto). contix no almacena ni la imagen ni el texto fuente más allá de los campos que tú confirmes en el formulario; la imagen se descarta en memoria una vez devuelta la extracción. Transferencia internacional cubierta por el EU-US Data Privacy Framework. Base jurídica: consentimiento explícito al pulsar el botón de escaneo (art. 6.1.a RGPD). Puedes rellenar los datos manualmente para evitar este tratamiento.
• Functional Software, Inc. (Sentry, Estados Unidos), con tratamiento de datos en nube europea (Frankfurt) — monitorización de errores (Sentry). Únicamente recibe trazas de error técnicas cuando se produce una excepción en el backend o en la aplicación; los identificadores personales (IP, cabeceras de autenticación, cuerpos de petición con datos de formulario, contraseñas, tokens) se eliminan antes del envío. Base jurídica: interés legítimo (art. 6.1.f RGPD) en mantener la estabilidad del servicio. Sentry está certificada bajo el EU-US Data Privacy Framework, aunque al usar la región europea no se produce transferencia internacional efectiva para este tratamiento.

Además, podremos comunicar tus datos a:

• La Agencia Tributaria y otros organismos públicos cuando exista obligación legal
• Tu gestoría, únicamente si tú le concedes acceso
• Jueces y tribunales en los casos legalmente establecidos

6. Transferencias internacionales

Los datos tratados por contix se alojan en servidores ubicados en la Unión Europea (Alemania). Existen tres transferencias internacionales relevantes, todas ellas amparadas por el EU-US Data Privacy Framework:

• Cobro de la suscripción mediante Stripe (matriz en EE.UU.).
• DNS y red de entrega mediante Cloudflare (matriz en EE.UU.).
• Lectura automática de tickets mediante Google Gemini (EE.UU.) — solo cuando subes un ticket y solicitas el reconocimiento.

Si prefieres que tus tickets no se procesen mediante un proveedor estadounidense, puedes evitar el uso del OCR e introducir los datos del ticket manualmente. Esta elección no afecta al resto de funcionalidades.

7. Tus derechos

Como titular de los datos, dispones de los siguientes derechos:

• Acceso: conocer qué datos tratamos sobre ti
• Rectificación: corregir datos inexactos
• Supresión: eliminar tus datos cuando ya no sean necesarios
• Oposición: oponerte a ciertos tratamientos
• Limitación: solicitar la restricción temporal del tratamiento
• Portabilidad: recibir tus datos en formato estructurado y reutilizable
• Retirada del consentimiento: sin efecto retroactivo

Puedes ejercer estos derechos a través del formulario de contacto, adjuntando copia de un documento identificativo. Responderemos en un plazo máximo de un mes.

Si consideras que no hemos tratado tus datos conforme a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

8. Medidas de seguridad

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo del tratamiento: cifrado TLS en todas las comunicaciones, cifrado en reposo de datos sensibles, autenticación mediante tokens firmados, control de accesos por rol, logs de auditoría y copias de seguridad periódicas.

9. Cambios en esta política

Podemos actualizar esta Política de Privacidad para reflejar cambios en la legislación, en nuestros proveedores o en el servicio. Los cambios sustanciales se comunicarán por correo electrónico con antelación razonable.