Responsable del tratamiento
Entidad
Expert Estudios Profesionales
Dominio
verifactu.business / holded.verifactu.business
Email de contacto
info@verifactu.businessPaís
España (UE)
Acuerdo de tratamiento de datos
Data Processing Agreement — DPA
Este acuerdo describe cómo tratamos los datos personales y de negocio en el marco del Conector Holded de verifactu.business, en cumplimiento del Reglamento (UE) 2016/679 (RGPD).
Última actualización: 22 de abril de 2026.
Base legal
El tratamiento se basa en la ejecución del contrato con el usuario (art. 6.1.b RGPD) y, cuando aplica, en el interés legítimo del responsable para la seguridad y mejora del servicio (art. 6.1.f RGPD).
Encargados del tratamiento (subprocesadores)
Para prestar el servicio contamos con los siguientes subprocesadores:
| Proveedor | Finalidad | País | Garantías |
|---|---|---|---|
| Holded S.L. | Acceso a datos de la cuenta del usuario vía API REST | España (UE) | RGPD |
| OpenAI, Inc. | Procesamiento de lenguaje natural — conector ChatGPT | EE.UU. | Cláusulas contractuales tipo (SCC) |
| Anthropic, PBC | Procesamiento de lenguaje natural — conector Claude | EE.UU. | Cláusulas contractuales tipo (SCC) |
| Prisma / Neon / Supabase | Base de datos de usuarios y tokens de sesión | UE / EE.UU. | SCC / DPA del proveedor |
| Resend Inc. | Envío de emails transaccionales | EE.UU. | Cláusulas contractuales tipo (SCC) |
| Proveedor de hosting | Infraestructura de servidores y alojamiento | UE | RGPD |
Categorías de datos tratados
- — Datos identificativos del usuario (email, nombre).
- — API key de Holded (credencial de acceso, almacenada cifrada).
- — Datos de negocio consultados: facturas, contactos, productos, contabilidad.
- — Tokens de sesión y OAuth (identificadores técnicos, TTL limitado).
- — Registros de actividad (logs de operaciones, sin contenido de mensajes).
Medidas de seguridad
- — Transmisión cifrada mediante TLS/HTTPS en todos los endpoints.
- — API keys almacenadas hasheadas o cifradas en base de datos.
- — Tokens de sesión con TTL corto y revocación explícita disponible.
- — Acceso a datos de producción restringido a personal autorizado.
- — Rate limiting por IP en todos los endpoints públicos.
Plazos de conservación
Tokens de acceso
1 hora desde su emisión (access token). 30 días (refresh token).
Cuenta de usuario
Mientras el usuario mantiene la cuenta activa. Se elimina a petición.
Logs operativos
Máximo 90 días. No contienen el contenido de las conversaciones.
Transferencias internacionales de datos
Algunos subprocesadores (OpenAI, Anthropic, Resend) tienen sede en EE.UU. Las transferencias se amparan en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión 2021/914), en cumplimiento del art. 46 RGPD. El responsable del tratamiento verifica periódicamente que los subprocesadores mantienen estas garantías actualizadas.
Derechos del interesado (RGPD)
En virtud del RGPD, tienes derecho a:
Acceso
Solicitar confirmación de qué datos tratamos sobre ti.
Rectificación
Corregir datos inexactos o incompletos.
Supresión
Eliminar tus datos cuando ya no sean necesarios.
Portabilidad
Recibir tus datos en formato estructurado y legible.
Oposición
Oponerte al tratamiento basado en interés legítimo.
Limitación
Restringir el tratamiento en determinadas circunstancias.
También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).
Contacto y ejercicio de derechos
Para ejercer cualquiera de estos derechos o para cualquier consulta sobre este acuerdo, escribe a info@verifactu.business indicando tu solicitud en el asunto. Responderemos en el plazo máximo de 30 días hábiles establecido por el RGPD.
Para soporte técnico del producto, utiliza soporte Holded.