Política de Privacidad

1. Responsable del tratamiento

Black Wings, S.L. (en adelante, «Anotados»)
CIF: B10991172
Domicilio: Valencia, España
Email de contacto: privacidad@anotados.com

2. Datos que recopilamos

Recopilamos los siguientes datos personales en función de tu uso de la plataforma:

Datos de registro: nombre completo, dirección de correo electrónico, contraseña (cifrada), empresa a la que perteneces.

Datos profesionales: departamento, código de empleado, rol dentro de la organización.

Datos fiscales y de gastos: importes, fechas, proveedores, CIF/NIF de proveedores y receptores, números de factura, tipos de IVA, categorías de gasto, formas de pago, descripciones, distancias (kilometraje), dietas.

Imágenes de justificantes: fotografías de tickets, facturas y recibos subidas por los usuarios.

Datos de navegación: dirección IP, tipo de navegador, sistema operativo, páginas visitadas, duración de la sesión.

Datos de facturación: los pagos se procesan a través de Stripe. Anotados no almacena números de tarjeta de crédito. Stripe actúa como procesador de pagos certificado PCI DSS.

Datos de visitantes y solicitudes comerciales: si solicitas una demostración del producto recogemos tu nombre, la empresa a la que perteneces, el número de empleados, tu correo electrónico y, si lo facilitas, tu teléfono. Si pides el desglose de la calculadora de IVA recogemos tu correo electrónico y los parámetros que hayas introducido. En ambos casos guardamos también el navegador y la página de procedencia, para distinguir tráfico real de automatizado. No es necesario tener cuenta en Anotados para solicitar una demostración, y estos datos no se asocian a ninguna empresa cliente.

3. Finalidad del tratamiento

Tratamos tus datos para las siguientes finalidades:

Prestación del servicio: gestión de gastos corporativos, generación de informes, workflows de aprobación, exportación de datos, asesoramiento fiscal automatizado.

Procesamiento OCR: las imágenes de justificantes se envían a la API comercial de Anthropic (Claude) para extracción automática de datos. Conforme a sus Términos Comerciales, Anthropic no utiliza estos datos para entrenar sus modelos y los elimina automáticamente en un plazo máximo de 30 días, salvo obligación legal o necesidad de prevención de abusos.

Asesoría fiscal IA: los datos de gastos se analizan mediante inteligencia artificial para proporcionar recomendaciones fiscales. Este análisis es informativo y no constituye asesoramiento fiscal profesional.

Comunicaciones transaccionales: envío de notificaciones por email sobre el estado de informes (envío, aprobación, rechazo).

Facturación: gestión de la suscripción y cobros a través de Stripe.

Mejora del servicio: análisis anónimo del uso para mejorar la funcionalidad.

Gestión de solicitudes comerciales: atender y organizar la demostración que has pedido, responderte y preparar la reunión con tus propios casos. Si has solicitado el desglose de la calculadora de IVA, enviártelo junto con la guía práctica asociada.

4. Base legal

Ejecución del contrato (Art. 6.1.b RGPD): el tratamiento es necesario para prestar el servicio contratado.

Interés legítimo (Art. 6.1.f RGPD): mejora del servicio y prevención de fraude.

Obligación legal (Art. 6.1.c RGPD): cumplimiento de obligaciones fiscales y contables.

Consentimiento (Art. 6.1.a RGPD): para cookies analíticas y comunicaciones comerciales, cuando aplique.

Medidas precontractuales a petición del interesado (Art. 6.1.b RGPD): tratamiento de los datos de quien solicita una demostración o el desglose de la calculadora. Es el propio interesado quien pide el contacto, y los datos se usan únicamente para atender esa petición.

5. Destinatarios de los datos

Tus datos pueden ser comunicados a los siguientes destinatarios:

Supabase Inc. — Alojamiento de base de datos y autenticación. Servidores en la UE. Política de privacidad.

Vercel Inc. — Alojamiento de la aplicación web. Servidores en la UE (región Frankfurt). Política de privacidad.

Anthropic PBC — Procesamiento de imágenes OCR e IA fiscal mediante su API comercial. Anthropic no entrena sus modelos con estos datos y los elimina en un plazo máximo de 30 días, salvo obligación legal. Política de privacidad.

Stripe Inc. — Procesamiento de pagos. Certificado PCI DSS. Política de privacidad.

Resend Inc. — Envío de correos electrónicos transaccionales. Política de privacidad.

Agencia Estatal de Administración Tributaria (AEAT) — Cuando el administrador de la cuenta activa la verificación VERI-FACTU, Anotados transmite de forma automatizada al servicio público de cotejo de la AEAT los datos de la factura del proveedor necesarios para comprobar su registro (NIF del emisor, número de factura, fecha e importe). Esta comprobación se realiza únicamente sobre facturas con código QR VERI-FACTU y tiene como única finalidad verificar su autenticidad frente a la AEAT.

No vendemos ni cedemos datos personales a terceros con fines comerciales.

6. Transferencias internacionales

Algunos de nuestros proveedores tienen sede en Estados Unidos (Anthropic, Stripe, Vercel, Resend). Estas transferencias se realizan al amparo del Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework) o, en su defecto, mediante cláusulas contractuales tipo aprobadas por la Comisión Europea.

La base de datos principal (Supabase) está alojada en servidores de la Unión Europea.

7. Plazos de conservación

Datos de la cuenta activa: mientras la cuenta esté activa y la suscripción vigente.

Tras cancelación — modo lectura legal: los datos se mantienen en modo de solo lectura durante seis (6) años a contar desde la fecha de cancelación, en cumplimiento del artículo 30 del Código de Comercio (deber de conservación de libros, correspondencia, documentación y justificantes durante 6 años) y los artículos 29.2.f y 66 de la Ley General Tributaria (conservación de justificantes y soportes con trascendencia tributaria durante el plazo de prescripción de 4 años, ampliado por el plazo mercantil). Durante este periodo los datos quedan bloqueados conforme al artículo 32 LOPD-GDD: acceso restringido al cliente en modo lectura, sin tratamiento ulterior salvo para la puesta a disposición a Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, y para el ejercicio o defensa de reclamaciones.

Reactivación self-service: durante los primeros 90 días tras la cancelación la reactivación es inmediata desde el portal. Pasados los 90 días requiere contacto con soporte.

Eliminación definitiva: transcurridos los 6 años desde la cancelación, los datos personales y los justificantes asociados se eliminan de forma irreversible de nuestros sistemas, salvo que exista en ese momento una obligación legal de conservación más extensa que aplique.

Cuentas de prueba no activadas: los plazos anteriores aplican a cuentas con relación contractual. Si finalizas el periodo de prueba de 14 días sin activar un plan, te lo notificamos por email y dispones de 7 días para activar la cuenta o exportar tus datos; después, la cuenta y todos sus datos se eliminan de forma completa e irreversible, en aplicación del principio de limitación del plazo de conservación (Art. 5.1.e RGPD). La conservación de los justificantes con relevancia fiscal corresponde en todo momento a su titular como obligado tributario; tras la eliminación, Anotados no conserva copia. Esta supresión al término del servicio se realiza conforme al Art. 28.3.g RGPD (supresión o devolución de los datos al finalizar la prestación, previa oferta de exportación). Anotados conserva únicamente un registro mínimo bloqueado de la notificación y la eliminación (identificador de la cuenta, email del propietario, fechas de aviso y borrado), al amparo del Art. 32 LOPD-GDD, durante el plazo de prescripción de responsabilidades.

Datos de facturación de Anotados (relación contractual con Black Wings, S.L.): facturas emitidas y registros de pagos se conservan según la normativa mercantil y fiscal aplicable a Black Wings, S.L. (mínimo 6 años, Art. 30 CCom).

Derecho de supresión y obligación legal: el ejercicio del derecho de supresión (Art. 17 RGPD) sobre datos personales no extingue las obligaciones legales de conservación de los justificantes y documentación contable durante los plazos indicados. En estos casos, los datos se conservan bloqueados conforme al Art. 32 LOPD-GDD.

Solicitudes de demostración y de la calculadora de IVA: se conservan doce (12) meses desde el último contacto — no desde la fecha de la solicitud. Cada intercambio de correo o nueva conversación reinicia ese plazo; si transcurren doce meses sin contacto alguno, los datos se eliminan. Dos precisiones que conviene tener claras:

(a) Si la solicitud da lugar a una relación de cliente, deja de aplicar este plazo: pasan a regir la relación contractual y los plazos fiscales y mercantiles descritos en los apartados anteriores.

(b) Si además nos has dado tu consentimiento para recibir comunicaciones comerciales, ese tratamiento tiene su propia base legal (Art. 6.1.a RGPD), independiente de la anterior, y se mantiene hasta que lo retires. Puedes oponerte u oponer la retirada en cualquier momento, sin justificación y sin coste, escribiendo a privacidad@anotados.com o desde el enlace de baja de cualquiera de esos correos. Retirar el consentimiento no afecta a la licitud del tratamiento previo.

8. Derechos de los usuarios

De acuerdo con el RGPD y la LOPD-GDD, tienes derecho a:

Acceso: solicitar una copia de tus datos personales.

Rectificación: corregir datos inexactos o incompletos.

Supresión: solicitar la eliminación de tus datos («derecho al olvido»).

Portabilidad: recibir tus datos en formato estructurado (Excel/PDF) para transferirlos a otro servicio.

Oposición: oponerte al tratamiento en determinadas circunstancias.

Limitación: solicitar la restricción del tratamiento.

Para ejercer estos derechos, envía un email a privacidad@anotados.com identificándote con tu nombre y email de registro. Responderemos en un plazo máximo de 30 días.

Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

Puedes ejercer tus derechos a través de nuestro formulario de ejercicio de derechos.

9. Seguridad

Implementamos medidas técnicas y organizativas para proteger tus datos:

Cifrado en tránsito (TLS/HTTPS) y en reposo. Autenticación con verificación en dos pasos (2FA TOTP). Control de acceso basado en roles (RBAC). Políticas de seguridad por fila en base de datos (RLS). Protección contra bots con Cloudflare Turnstile. Servidores alojados en la Unión Europea. Auditoría de acciones sobre informes de gastos.

10. Menores

Anotados es un servicio empresarial y no está dirigido a menores de 16 años. No recopilamos conscientemente datos de menores.

11. Modificaciones

Nos reservamos el derecho de actualizar esta política. Notificaremos los cambios significativos por email o mediante aviso en la plataforma. La fecha de última actualización se indica al inicio del documento.