Responsable del tratamiento
Entidad
Expert Estudios Profesionales, SLU
Dominio
holded.verifactu.business
Email de contacto
soporte@verifactu.businessPaís
España (UE)
+
Acuerdo de tratamiento de datos
Data Processing AgreementConector Holded para ChatGPT
Este acuerdo describe cómo tratamos los datos personales y de negocio en el marco del Conector Holded para ChatGPT, en cumplimiento del Reglamento (UE) 2016/679 (RGPD).
Última actualización: 11 de mayo de 2026.
Base legal
El tratamiento se basa en la ejecución del contrato con el usuario (art. 6.1.b RGPD) y, cuando aplica, en el interés legítimo del responsable para la seguridad y mejora del servicio (art. 6.1.f RGPD).
Encargados del tratamiento (subprocesadores)
Para prestar el servicio del conector ChatGPT contamos con los siguientes subprocesadores:
| Proveedor | Finalidad | País | Garantías |
|---|---|---|---|
| Holded S.L. | Acceso a datos de la cuenta del usuario via API REST | España (UE) | RGPD |
| OpenAI, Inc. | Procesamiento de lenguaje natural — ChatGPT | EE.UU. | Cláusulas contractuales tipo (SCC) |
| Vercel Inc. | Infraestructura y alojamiento del conector ChatGPT (Apps SDK) | EE.UU. | Cláusulas contractuales tipo (SCC) · DPA de Vercel |
| Neon (PostgreSQL gestionado) | Base de datos de usuarios, conexiones y tokens | UE | RGPD |
| Resend Inc. | Envío de emails transaccionales (avisos, soporte) | EE.UU. | Cláusulas contractuales tipo (SCC) |
Categorías de datos tratados
- — Datos identificativos del usuario (email, nombre).
- — API key de Holded (credencial de acceso, almacenada cifrada).
- — Datos de negocio consultados: facturas, contactos, productos, contabilidad, proyectos.
- — Tokens OAuth (access token TTL corto, refresh token con rotacion).
- — Registros de actividad (logs de operaciones, sin contenido de prompts).
Medidas de seguridad
- — Transmisión cifrada mediante TLS/HTTPS en todos los endpoints.
- — API keys almacenadas hasheadas o cifradas en base de datos.
- — Tokens de sesión y OAuth con TTL corto y revocación explícita disponible.
- — Acceso a datos de producción restringido a personal autorizado y auditado.
- — Rate limiting por IP en todos los endpoints públicos.
- — Auditoría de eventos en `external_connection_audit_logs` y `holded_mcp_pat_audit_logs`.
Plazos de conservación
Tokens OAuth
Access token: 24 horas (TTL alineado con la duración típica de una sesión de revisión por ChatGPT). Refresh token: 30 días con rotación en cada uso. La revocación manual desde el panel del responsable es inmediata.
Cuenta de usuario
Mientras la cuenta esté activa. Se elimina a petición en 30 días.
Logs operativos
Máximo 90 días. No contienen el contenido de las conversaciones.
Transferencias internacionales de datos
OpenAI y Resend tienen sede en EE.UU. Las transferencias se amparan en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión 2021/914), en cumplimiento del art. 46 RGPD. El responsable del tratamiento verifica periódicamente que los subprocesadores mantienen estas garantías actualizadas.
Para los detalles del tratamiento que realiza OpenAI sobre los prompts y respuestas generados en ChatGPT, consulta su Política de privacidad de OpenAI.
Derechos del interesado (RGPD)
En virtud del RGPD, tienes derecho a:
Acceso
Solicitar confirmación de qué datos tratamos sobre ti.
Rectificación
Corregir datos inexactos o incompletos.
Supresión
Eliminar tus datos cuando ya no sean necesarios.
Portabilidad
Recibir tus datos en formato estructurado y legible.
Oposición
Oponerte al tratamiento basado en interés legítimo.
Limitación
Restringir el tratamiento en determinadas circunstancias.
También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).
Contacto y ejercicio de derechos
Para ejercer cualquiera de estos derechos o para cualquier consulta sobre este acuerdo, escribe a soporte@verifactu.business indicando tu solicitud en el asunto. Responderemos en el plazo máximo de 30 días hábiles establecido por el RGPD.
Para soporte técnico del producto, utiliza soporte del conector ChatGPT.