Política de Privacidad

Versión 1.3 · Última actualización: 2026-10-15

Este documento explica, en lenguaje claro, qué datos personales tratamos, para qué, con qué base jurídica, cuánto tiempo los conservamos, con quién los compartimos y qué derechos puedes ejercer. Trata específicamente el tratamiento de los precios recogidos del uso y de la memoria de la inteligencia artificial, que son las piezas singulares de este servicio.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es:

• Identidad / razón social: Legalitec SCP
• NIF / CIF: J44522498
• Dirección: Castellón, España
• Correo de contacto / delegado de protección de datos: info@legalitec.es

Estos mismos datos identificativos del prestador se facilitan en cumplimiento del artículo 10 de la Ley 34/2002 (LSSI-CE).

Doble rol: responsable y encargado del tratamiento

Legalitec actúa con dos papeles distintos según los datos de que se trate:

• Como responsable del tratamiento, trata los datos personales de tu cuenta y de tu empresa (identidad, credenciales, datos fiscales, facturación, precios recogidos del uso y memoria de IA vinculada a tu cuenta), conforme a esta política.
• Como encargado del tratamiento (art. 28 RGPD), trata por cuenta tuya los datos de tus clientes finales que tú introduces: el directorio de clientes, los receptores de facturas, proformas y albaranes, y los deudores de los recordatorios de cobro. Respecto de esos datos, tú eres el responsable y Legalitec solo los trata siguiendo tus instrucciones.

El contrato de encargado del tratamiento (DPA) que rige ese segundo papel se publica en la ruta /encargado (documento `legal/encargado-tratamiento.md`), forma parte integrante de las Condiciones de uso que aceptas al registrarte y detalla las cláusulas del art. 28.3 RGPD, los subencargados y las medidas de seguridad aplicables.

2. Finalidades del tratamiento

Tratamos tus datos para las siguientes finalidades, todas concretas y específicas:

1. Prestar el servicio: crear tu cuenta, autenticarte, generar y almacenar presupuestos y demás documentos, y permitir su descarga.
2. Gestionar la facturación y los créditos: procesar compras, canjes y consumos de créditos, emitir justificantes y atender incidencias de pago.
3. Construir una base de precios de referencia: registrar el precio efectivo de cada partida de los presupuestos que emites (incluido el ajuste manual, si lo hubo) para calcular bandas de precio de mercado por zona que ayuden al profesional a presupuestar mejor.
4. Mejorar el servicio con memoria de IA: reutilizar extracciones previas y precios por concepto para ahorrar coste y mejorar la calidad (ver apartados 12 y 13).
5. Seguridad y prevención de abuso: registrar sesiones (dirección IP y navegador), limitar el uso automatizado y proteger la integridad del servicio.
6. Cumplir obligaciones legales: conservar la documentación fiscal y atender requerimientos legales.

3. Base jurídica de cada finalidad

No solicitamos un consentimiento explícito (una casilla de «acepto») para estas finalidades porque no es la base jurídica aplicable: el servicio se presta por contrato y la captura de precios se ampara en el interés legítimo. La transparencia se da por información (esta política, las condiciones de uso y el aviso permanente en tu área de cuenta), no por una ventana emergente de consentimiento.

4. Interés legítimo concreto perseguido

Cuando la base jurídica es el interés legítimo (art. 6.1.f RGPD), el interés concreto que perseguimos, y que hemos ponderado frente a tus derechos, es:

• Propósito: construir una base de precios de mercado por partida y zona para que el profesional presupueste con referencias reales. Es un beneficio concreto y específico, no un interés comercial genérico ni publicitario.
• Necesidad: el precio efectivo por partida es el dato mínimo necesario para estimar bandas. No usamos datos de tu cliente, ni el título de la obra, ni la nota dictada en crudo, ni identificadores de la obra (minimización).
• Ponderación: el impacto es bajo porque el dato se agrega y anonimiza y nunca se publica nada atribuible a una empresa o profesional. Tu expectativa razonable se refuerza con esta política y con el aviso permanente. Además conservas el derecho de oposición (apartado 8) y el borrado de tus datos personales al eliminar la cuenta (apartado 7).

Puedes solicitar más información sobre esta ponderación escribiendo al correo de contacto.

5. Categorías de datos tratados

• Identidad y credenciales: nombre, correo electrónico, estado de verificación, rol, imagen de perfil y credenciales de acceso (contraseña cifrada o tokens de proveedor externo).
• Datos de tu empresa / emisor: nombre y apellidos o razón social, NIF/CIF, dirección, teléfono, correo, web, régimen fiscal, sector, provincia, datos de pago (IBAN y titular, si los facilitas), logotipo y cliente de pago.
• Sesiones: token de sesión, fecha de caducidad, dirección IP y navegador (user-agent).
• Presupuestos y clientes: nota dictada, partidas, importes, y los datos de tus clientes que tú decidas introducir (nombre, NIF, dirección, correo, teléfono). Estos datos no forman parte de la base de precios (ver apartado 12).
• Documentación fiscal: facturas, proformas, albaranes y facturas recurrentes, con sus importes y huellas de integridad.
• Precios recogidos del uso: precio efectivo por partida, partida normalizada, zona, unidad y tipo de IVA (ver apartado 12).
• Memoria de IA: nota normalizada y resultados de extracción, y precio unitario por concepto (ver apartado 13).
• Uso y coste de IA: operación, proveedor, modelo, tokens y coste, y cuotas de uso.
• Facturación y créditos: compras, suscripciones, movimientos de créditos y códigos de canje.

6. Destinatarios

Tus datos pueden ser tratados por los siguientes encargados / destinatarios, cada uno para su finalidad:

No vendemos ni cedemos tus datos personales a terceros con fines publicitarios. Tampoco usamos herramientas de analítica ni de seguimiento de terceros (ver apartado 11). El agregado de precios anonimizado (apartado 12) no se comparte con terceros.

Datos de tus clientes finales. Respecto de los datos de tus clientes finales (directorio de clientes, receptores de documentos y deudores de recordatorios), el responsable del tratamiento eres tú (el profesional) y Legalitec actúa como encargado del tratamiento (art. 28 RGPD), en los términos del contrato publicado en /encargado. Los proveedores anteriores tratan esos datos como subencargados, cada uno para su finalidad.

7. Transferencias internacionales y plazo de conservación

Transferencias internacionales. Algunos de los proveedores que nos ayudan a prestar el servicio tratan datos personales fuera del Espacio Económico Europeo (EEE). Cuando existe esa transferencia, se ampara en una garantía válida del art. 46 RGPD (decisión de adecuación o cláusulas contractuales tipo) y se informa conforme al art. 13.1.f RGPD. Es lo que ocurre con los siguientes proveedores:

• Proveedor de IA (MiniMax) — tratamiento en China. El proveedor de IA que transcribe la nota dictada y extrae las partidas es MiniMax, una empresa china; por tanto, la nota de voz y el texto de la obra que le enviamos se tratan en China, fuera del EEE. Esta transferencia se ampara en cláusulas contractuales tipo (SCC) y en una evaluación de impacto de la transferencia (TIA). Como mitigación planificada, migraremos el proveedor de IA a la región Europa (Xiaomi MiMo, Países Bajos, EEE), lo que eliminará esa transferencia; la migración técnica está prevista en una fase aparte y, hasta que se ejecute, se mantiene la garantía anterior.
• Stripe (pagos). La entidad contratante es la europea de Stripe (Irlanda, EEE); su contrato de encargado reconoce transferencias a Estados Unidos, amparadas en la decisión de adecuación del Marco de Privacidad de Datos UE-EEUU (EU-US DPF) y, como respaldo, en cláusulas contractuales tipo (SCC).
• Correo electrónico (verificación de cuenta y recordatorios). Por la vía SMTP propia, el servidor de correo está en España (EEE) y no hay transferencia. Por la vía Resend, el proveedor es Resend (Estados Unidos), con la transferencia amparada en la decisión de adecuación (EU-US DPF) y, como respaldo, en cláusulas contractuales tipo (SCC).
• Alojamiento (hosting). La aplicación y la base de datos se alojan en la nube de Oracle Cloud, en la región de Madrid (España), dentro del EEE: no hay transferencia fuera del EEE.

El resto de tratamientos no implican transferencia fuera del EEE.

Plazo de conservación.

• Datos personales de la cuenta (identidad, empresa, memorias de IA y precios recogidos vinculados a la cuenta): se conservan mientras exista tu cuenta.
• Al eliminar la cuenta: se produce el borrado en cascada de tus datos personales, de las observaciones de precio vinculadas a tu empresa y de las memorias de IA asociadas.
• Documentación fiscal: se conserva por obligación legal (art. 6.1.c RGPD), como excepción a la supresión (art. 17.3 RGPD), durante el plazo de conservación fiscal y mercantil: mínimo 4 años por la prescripción fiscal y 6 años por las obligaciones mercantiles de conservación de la documentación contable. Durante ese tiempo se conserva con minimización (el emisor y el receptor quedan como instantánea dentro del documento); transcurridos esos plazos, y sin otras obligaciones legales aplicables, se suprime.
• Estadísticas agregadas anónimas (bandas por partida y zona, ya anonimizadas): permanecen, porque no son datos personales (ver apartado 12).

8. Tus derechos

Puedes ejercer los siguientes derechos escribiendo al correo de contacto del apartado 1. La supresión cuenta además con un flujo propio dentro del producto (ver el cierre de este apartado):

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar el borrado de tus datos personales (con las excepciones de conservación legal fiscal del apartado 7).
• Limitación: pedir que restrinjamos el tratamiento en determinados supuestos.
• Portabilidad: recibir en formato reutilizable los datos que nos diste.
• Oposición (art. 21 RGPD): oponerte al tratamiento basado en el interés legítimo, en particular a la captura de precios y a la memoria de IA. Si te opones, dejaremos de tratar esos datos para esa finalidad, salvo que existan motivos legítimos imperiosos que prevalezcan.

La supresión puedes ejercerla ya desde el propio producto: en /cuenta/eliminar encontrarás el flujo de eliminación de cuenta (con confirmación fuerte) que borra tu identidad y credenciales, tus presupuestos, tu directorio de clientes y las memorias de IA y precios de tu empresa. Se conservan, por obligación legal, los documentos fiscales ya emitidos y la banda de precios agregada y anónima, en los términos del apartado 7. Los demás derechos (acceso, rectificación, limitación, portabilidad y oposición) se ejercen escribiendo al correo de contacto del apartado 1.

Tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es) si consideras que el tratamiento no se ajusta a la normativa, sin perjuicio de poder dirigirte antes a nosotros.

9. Datos obligatorios y opcionales

Los datos marcados como obligatorios en los formularios son necesarios para prestar el servicio (cuenta, emisión de documentos, facturación); si no los facilitas, no podremos darte el servicio. El resto de datos (por ejemplo, web, datos de pago para transferencias o el logotipo) son voluntarios y su no aportación no impide usar la aplicación.

10. Decisiones automatizadas

No adoptamos decisiones automatizadas con efectos jurídicos significativos sobre ti ni elaboramos perfiles basados en tus datos personales. El cálculo de bandas de precios es estadístico y agregado, no un perfil tuyo: se construye sobre datos anonimizados en los que no eres identificable.

11. Cookies

Usamos únicamente cookies técnicas necesarias, exentas de consentimiento (art. 22.2 LSSI-CE):

• Cookie de sesión (autenticación de better-auth): mantiene tu sesión iniciada. Incluye una caché de sesión de corta duración (5 minutos) para no consultar la base de datos en cada petición.
• Cookie `pv_guest`: identifica de forma anónima un presupuesto creado antes de iniciar sesión, para que puedas reclamarlo al registrarte. Dura 7 días y es httpOnly.

No hay analítica ni cookies de terceros ni scripts de seguimiento. Por eso no mostramos un banner de cookies: no existe nada que consentir.

12. Tratamiento específico de los PRECIOS recogidos del uso

Este apartado describe el tratamiento singular de este servicio.

• Qué registramos: el precio efectivo final de cada partida de un presupuesto emitido, incluido el ajuste manual que hayas podido aplicar, distinguiendo su origen (tarifario o ajuste) para poder moderar valores atípicos. También la partida normalizada, la zona (ciudad/provincia, nunca barrio ni código postal), la unidad y el tipo de IVA.
• Para qué: para calcular bandas de precio de mercado por partida y zona que te ayuden a presupuestar con referencias reales.
• Qué NO registramos: nunca datos de tu cliente (nombre, NIF, dirección, teléfono, correo), ni el título o identificadores de la obra, ni la nota dictada en crudo, ni los tokens del presupuesto. La captura está anonimizada respecto del cliente y de la obra por diseño.
• Base jurídica: interés legítimo (art. 6.1.f RGPD), con la ponderación del apartado 4.
• Vinculación: las observaciones se guardan vinculadas a tu empresa mientras exista tu cuenta, para poder auditarlas y para permitirte ejercer tus derechos.
• El agregado es anónimo de verdad: las bandas publicadas solo se calculan cuando hay suficientes presupuestos por celda (umbral mínimo k; no se publica ninguna banda con pocas muestras). El agregado no contiene empresas, obras, clientes ni fechas precisas, de modo que no permite reidentificarte. Por eso, una vez anonimizado, no es un dato personal y permanece aunque después borres tu cuenta.
• Tus derechos: puedes ejercer acceso, rectificación, supresión, limitación y portabilidad, y en particular el derecho de oposición del apartado 8. Las estadísticas ya anonimizadas, al no ser datos personales, no se eliminan al ejercer la supresión.

13. Tratamiento específico de la MEMORIA de la IA

Para ahorrar coste y mejorar la calidad, el servicio mantiene dos memorias técnicas que ya están en funcionamiento, acotadas por empresa, y que aquí declaramos con transparencia:

• Memoria de extracción (`ExtractionMemory`): guarda la nota normalizada de extracciones anteriores de tu empresa, para reutilizar resultados sin volver a llamar al modelo. Cada empresa solo reutiliza sus propias notas y estas no se mezclan con las de otras empresas. Como la nota es texto libre dictado, puede contener datos de tus clientes finales (por ejemplo, nombres o direcciones dictados); respecto de esos datos tú eres el responsable del tratamiento y Legalitec actúa como encargado (apartado 6 y contrato publicado en /encargado). Se declara expresamente porque constituye un tratamiento de datos personales.
• Precios por concepto (`ConceptPrice`): aprende el precio unitario por concepto/partida («última escritura gana») por empresa, como referencia de fallback cuando no hay tarifario. Tu empresa solo reutiliza sus propios precios aprendidos y estos no se comparten con otras empresas.

La única base de precios compartida entre empresas es el agregado anónimo de bandas k-anónimas descrito en el apartado 12; las memorias nunca alimentan ese agregado con datos del cliente o de la obra. Ambas memorias se amparan en el interés legítimo (art. 6.1.f) de mejorar y abaratar el servicio, y en la ejecución de contrato (art. 6.1.b) en lo que sirve directamente a la prestación. Puedes oponerte a este tratamiento y solicitar el borrado de tus datos personales por los cauces del apartado 8.

14. Cambios en esta política

Podemos actualizar esta política para reflejar cambios normativos o del servicio. La versión vigente será siempre la publicada en la aplicación, con su fecha de última actualización.

15. Recordatorios de cobro a terceros

Cuando activas los recordatorios de cobro, el servicio envía por correo, a tu instrucción, un aviso de pago a la persona o empresa que figura como deudora de la factura, que puede no coincidir con un cliente de tu directorio. El tratamiento de esos datos se rige por lo siguiente:

• Finalidad: recordar el pago de una factura concreta, dentro de la relación de cobro que mantienes con el deudor.
• Base jurídica: el interés legítimo del profesional acreedor (art. 6.1.f RGPD) en el cobro de sus facturas. Tú, como profesional, garantizas que dispones de una base jurídica y de la legitimación para tratar los datos del deudor y que estos son exactos.
• Rol de Legalitec: actúa como encargado del tratamiento (art. 28 RGPD), en los términos del contrato publicado en /encargado.
• Garantías del correo: el mensaje conserva el reply-to de tu empresa (la respuesta te llega a ti) e incluye una nota de destinatario erróneo, de modo que quien lo reciba por error sabe cómo avisarte.
• Sin mecanismo de baja: el recordatorio es una comunicación transaccional de cobro, no comunicación comercial (no le aplica el art. 21 LSSI-CE); por eso no se ofrece baja u oposición al deudor.

Si eres el deudor y has recibido un recordatorio por error, puedes ignorarlo o responder al correo para avisar al profesional.