Política de Privacidad

1. Responsable del tratamiento

Black Wings, S.L. (en adelante, «Anotados»)
CIF: B10991172
Domicilio: Valencia, España
Email de contacto: privacidad@anotados.com

2. Datos que recopilamos

Recopilamos los siguientes datos personales en función de tu uso de la plataforma:

Datos de registro: nombre completo, dirección de correo electrónico, contraseña (cifrada), empresa a la que perteneces.

Datos profesionales: departamento, código de empleado, rol dentro de la organización.

Datos fiscales y de gastos: importes, fechas, proveedores, CIF/NIF de proveedores y receptores, números de factura, tipos de IVA, categorías de gasto, formas de pago, descripciones, distancias (kilometraje), dietas.

Imágenes de justificantes: fotografías de tickets, facturas y recibos subidas por los usuarios.

Datos de navegación: dirección IP, tipo de navegador, sistema operativo, páginas visitadas, duración de la sesión.

Datos de facturación: los pagos se procesan a través de Stripe. Anotados no almacena números de tarjeta de crédito. Stripe actúa como procesador de pagos certificado PCI DSS.

3. Finalidad del tratamiento

Tratamos tus datos para las siguientes finalidades:

Prestación del servicio: gestión de gastos corporativos, generación de informes, workflows de aprobación, exportación de datos, asesoramiento fiscal automatizado.

Procesamiento OCR: las imágenes de justificantes se envían a la API de Anthropic (Claude) para extracción automática de datos. Las imágenes se procesan en tiempo real y no se almacenan en servidores de Anthropic más allá del procesamiento.

Asesoría fiscal IA: los datos de gastos se analizan mediante inteligencia artificial para proporcionar recomendaciones fiscales. Este análisis es informativo y no constituye asesoramiento fiscal profesional.

Comunicaciones transaccionales: envío de notificaciones por email sobre el estado de informes (envío, aprobación, rechazo).

Facturación: gestión de la suscripción y cobros a través de Stripe.

Mejora del servicio: análisis anónimo del uso para mejorar la funcionalidad.

4. Base legal

Ejecución del contrato (Art. 6.1.b RGPD): el tratamiento es necesario para prestar el servicio contratado.

Interés legítimo (Art. 6.1.f RGPD): mejora del servicio y prevención de fraude.

Obligación legal (Art. 6.1.c RGPD): cumplimiento de obligaciones fiscales y contables.

Consentimiento (Art. 6.1.a RGPD): para cookies analíticas y comunicaciones comerciales, cuando aplique.

5. Destinatarios de los datos

Tus datos pueden ser comunicados a los siguientes destinatarios:

Supabase Inc. — Alojamiento de base de datos y autenticación. Servidores en la UE. Política de privacidad.

Vercel Inc. — Alojamiento de la aplicación web. Servidores en la UE (región Frankfurt). Política de privacidad.

Anthropic PBC — Procesamiento de imágenes OCR e IA fiscal. Los datos se procesan en tiempo real sin almacenamiento permanente. Política de privacidad.

Stripe Inc. — Procesamiento de pagos. Certificado PCI DSS. Política de privacidad.

Resend Inc. — Envío de correos electrónicos transaccionales. Política de privacidad.

No vendemos ni cedemos datos personales a terceros con fines comerciales.

6. Transferencias internacionales

Algunos de nuestros proveedores tienen sede en Estados Unidos (Anthropic, Stripe, Vercel, Resend). Estas transferencias se realizan al amparo del Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework) o, en su defecto, mediante cláusulas contractuales tipo aprobadas por la Comisión Europea.

La base de datos principal (Supabase) está alojada en servidores de la Unión Europea.

7. Plazos de conservación

Datos de la cuenta activa: mientras la cuenta esté activa y la suscripción vigente.

Tras cancelación — modo lectura legal: los datos se mantienen en modo de solo lectura durante seis (6) años a contar desde la fecha de cancelación, en cumplimiento del artículo 30 del Código de Comercio (deber de conservación de libros, correspondencia, documentación y justificantes durante 6 años) y los artículos 29.2.f y 66 de la Ley General Tributaria (conservación de justificantes y soportes con trascendencia tributaria durante el plazo de prescripción de 4 años, ampliado por el plazo mercantil). Durante este periodo los datos quedan bloqueados conforme al artículo 32 LOPD-GDD: acceso restringido al cliente en modo lectura, sin tratamiento ulterior salvo para la puesta a disposición a Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, y para el ejercicio o defensa de reclamaciones.

Reactivación self-service: durante los primeros 90 días tras la cancelación la reactivación es inmediata desde el portal. Pasados los 90 días requiere contacto con soporte.

Eliminación definitiva: transcurridos los 6 años desde la cancelación, los datos personales y los justificantes asociados se eliminan de forma irreversible de nuestros sistemas, salvo que exista en ese momento una obligación legal de conservación más extensa que aplique.

Datos de facturación de Anotados (relación contractual con Black Wings, S.L.): facturas emitidas y registros de pagos se conservan según la normativa mercantil y fiscal aplicable a Black Wings, S.L. (mínimo 6 años, Art. 30 CCom).

Derecho de supresión y obligación legal: el ejercicio del derecho de supresión (Art. 17 RGPD) sobre datos personales no extingue las obligaciones legales de conservación de los justificantes y documentación contable durante los plazos indicados. En estos casos, los datos se conservan bloqueados conforme al Art. 32 LOPD-GDD.

8. Derechos de los usuarios

De acuerdo con el RGPD y la LOPD-GDD, tienes derecho a:

Acceso: solicitar una copia de tus datos personales.

Rectificación: corregir datos inexactos o incompletos.

Supresión: solicitar la eliminación de tus datos («derecho al olvido»).

Portabilidad: recibir tus datos en formato estructurado (Excel/PDF) para transferirlos a otro servicio.

Oposición: oponerte al tratamiento en determinadas circunstancias.

Limitación: solicitar la restricción del tratamiento.

Para ejercer estos derechos, envía un email a privacidad@anotados.com identificándote con tu nombre y email de registro. Responderemos en un plazo máximo de 30 días.

Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

Puedes ejercer tus derechos a través de nuestro formulario de ejercicio de derechos.

9. Seguridad

Implementamos medidas técnicas y organizativas para proteger tus datos:

Cifrado en tránsito (TLS/HTTPS) y en reposo. Autenticación con verificación en dos pasos (2FA TOTP). Control de acceso basado en roles (RBAC). Políticas de seguridad por fila en base de datos (RLS). Protección contra bots con Cloudflare Turnstile. Servidores alojados en la Unión Europea. Auditoría de acciones sobre informes de gastos.

10. Menores

Anotados es un servicio empresarial y no está dirigido a menores de 16 años. No recopilamos conscientemente datos de menores.

11. Modificaciones

Nos reservamos el derecho de actualizar esta política. Notificaremos los cambios significativos por email o mediante aviso en la plataforma. La fecha de última actualización se indica al inicio del documento.