XRechnungs

El responsable en el sentido del Reglamento General de Protección de Datos (RGPD) es:

No se ha designado un delegado de protección de datos, ya que no existe obligación legal de hacerlo.

Tratamos datos personales exclusivamente de conformidad con el RGPD y la normativa nacional aplicable en materia de protección de datos (en particular la BDSG).

El tratamiento se realiza para:

• Prestación de nuestros servicios SaaS
• Ejecución del contrato
• Garantizar la seguridad informática
• Mejora de nuestra oferta

3.1 Datos de registro y cuenta

• Nombre
• Dirección de correo electrónico
• Contraseña (almacenada como hash)
• Datos de la empresa (p. ej. nombre, dirección, NIF-IVA)

Finalidad: gestión de la cuenta y uso de la aplicación

Base jurídica: art. 6(1)(b) RGPD

3.2 Datos de facturación y negocio

• Nombres y direcciones de clientes, proveedores y socios comerciales
• Direcciones de correo electrónico y números de teléfono
• Números de identificación a efectos de IVA
• Datos de facturación, en particular importes, líneas de factura, datos bancarios, condiciones de pago y estado del pago, en la medida en que se almacenen en la aplicación o figuren en las facturas
• Datos de suscripción y estado de pago; los datos completos de tarjeta de crédito o de pago SEPA para las suscripciones son tratados por Stripe y no los almacena XRechnungs
• Descripciones de servicios y números de factura
• Datos de empleados (cuando figuren en facturas o documentos)

Finalidad: creación, validación y puesta a disposición de facturas electrónicas (XRechnung, ZUGFeRD)

Base jurídica:

• Art. 6(1)(b) RGPD (ejecución del contrato con el usuario)
• Art. 6(1)(f) RGPD (interés legítimo en proporcionar la plataforma SaaS)

3.3 Datos técnicos de uso

• Dirección IP
• Fecha y hora de acceso
• Información del navegador y dispositivo
• Horas de inicio de sesión y registros de actividad
• Archivos de registro

Finalidad: seguridad operativa, análisis de errores, detección de abuso

Base jurídica: art. 6(1)(f) RGPD (interés legítimo)

3.4 Análisis de errores y supervisión de la estabilidad

Utilizamos Sentry, un servicio de Functional Software, Inc., San Francisco, EE. UU. («Sentry»), para mejorar la estabilidad técnica de nuestra aplicación mediante la supervisión de la estabilidad del sistema y la detección de errores de código.

Sentry se utiliza exclusivamente para estos fines y no con fines publicitarios. La recopilación de datos se minimiza.

No transmitimos conscientemente a Sentry datos personales como nombres, direcciones de correo electrónico, datos de pago, documentos de factura, archivos XML, archivos PDF o adjuntos. Siempre que sea posible, los datos personales se eliminan o acortan antes de la transmisión.

Los datos de error transmitidos se conservan únicamente durante el tiempo necesario para analizar y corregir los errores técnicos.

El tratamiento se basa en nuestro interés legítimo en la seguridad, estabilidad y resolución de errores de nuestra aplicación conforme al art. 6(1)(f) RGPD.

El tratamiento principal de los datos productivos, en particular la base de datos productiva, los datos de factura, los datos de clientes, los documentos de factura, los archivos XML, los archivos PDF y los adjuntos, se realiza exclusivamente en servidores dentro de la Unión Europea (UE) o del Espacio Económico Europeo (EEE). El backend, la base de datos productiva y el almacenamiento de documentos se operan actualmente dentro de la UE en infraestructura de Hetzner. Para la prestación técnica utilizamos los siguientes proveedores de servicios:

Con los proveedores dentro de la UE/EEE existe un contrato conforme al art. 28 RGPD. Cuando se utilizan proveedores con sede en EE. UU., la transferencia de datos personales se realiza principalmente sobre la base de una decisión de adecuación conforme al art. 45 RGPD, en particular el EU-US Data Privacy Framework, siempre que el destinatario correspondiente esté actualmente certificado. De forma complementaria, o cuando sea necesario, se acuerdan cláusulas contractuales tipo de la UE conforme al art. 46(2)(c) RGPD. El estado de certificación actual de cada proveedor afectado se revisa y documenta periódicamente.

Al utilizar la función de conversión PDF a XRechnung/ZUGFeRD, los documentos de factura subidos (PDF o archivos de imagen) se transmiten a la API de OpenAI, Inc., EE. UU. para la extracción automatizada de datos de factura.

Esto puede implicar la transferencia de datos personales contenidos en el documento (p. ej. nombres, direcciones, NIF-IVA, datos bancarios o condiciones de pago).

De forma predeterminada, OpenAI no utiliza las entradas de API para mejorar ni entrenar modelos. Según OpenAI, las entradas y salidas de la API pueden conservarse en general hasta 30 días para la prestación de los servicios y la detección de abusos, salvo que se aplique una configuración de conservación distinta o una obligación legal.

La transferencia a EE. UU. se basa en las cláusulas contractuales tipo de la UE conforme al art. 46(2)(c) RGPD o en una decisión de adecuación conforme al art. 45 RGPD, según corresponda.

Base jurídica: art. 6(1)(b) RGPD (ejecución del contrato).

Más información: openai.com/policies/privacy-policy

Para la validación técnica de documentos de factura (XRechnung, ZUGFeRD) utilizamos el KoSIT Validator y el Mustang Validator. La validación se realiza del lado del servidor. Los datos contenidos en los documentos de factura se verifican técnicamente.

Base jurídica: art. 6(1)(b) RGPD (ejecución del contrato).

Para tramitar suscripciones y pagos utilizamos Stripe Payments Europe, Limited, Irlanda.

Los datos de pago en el marco del proceso de checkout y suscripción, en particular los datos completos de tarjeta de crédito o de pago SEPA, son tratados directamente por Stripe. XRechnungs no almacena datos completos de instrumentos de pago, sino únicamente los datos de suscripción y estado de pago necesarios para la gestión del contrato y de la cuenta.

Base jurídica: art. 6(1)(b) RGPD.

Más información: stripe.com/en/privacy

Si has dado tu consentimiento, utilizamos Google Analytics, un servicio de analítica web de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda.

Google Analytics utiliza cookies que permiten analizar el uso de nuestro sitio web. Hemos activado la anonimización de IP, por lo que tu dirección IP se acorta dentro de la UE.

Base jurídica: art. 6(1)(a) RGPD y § 25(1) TDDDG (consentimiento).

No puede excluirse la transferencia de datos a servidores de Google en EE. UU. Esto se basa en SCC conforme al art. 46 RGPD. Puedes revocar tu consentimiento en cualquier momento mediante la configuración de cookies.

Más información: policies.google.com/privacy

Utilizamos:

• Cookies técnicamente necesarias (inicio de sesión, sesión, seguridad)
• Cookies de analítica o estadísticas (solo con consentimiento)

Cookies técnicamente necesarias: § 25(2) TDDDG; art. 6(1)(f) RGPD (interés legítimo)

Cookies de analítica/estadísticas: § 25(1) TDDDG; art. 6(1)(a) RGPD (consentimiento)

Los datos personales solo se almacenan durante el tiempo necesario para la ejecución del contrato o mientras lo exijan obligaciones legales de conservación.

Los datos de factura y cuenta permanecen almacenados mientras exista una cuenta activa.

Eliminación de datos al finalizar

Tras la finalización del acuerdo de uso o la cancelación de la cuenta de usuario, puedes solicitar, a tu elección, la devolución o eliminación de los datos personales tratados por encargo.

• Para la devolución, ponemos los documentos y datos almacenados a disposición para su descarga en un formato electrónico habitual durante un período de 30 días naturales.
• Si solicitas la eliminación, o si dentro del período de 30 días no se produce una solicitud de devolución ni una descarga, los datos y documentos almacenados se eliminarán al expirar el período, salvo que existan obligaciones legales de conservación que lo impidan.
• La eliminación se documenta internamente de forma adecuada. La recuperación de los datos tras la eliminación no es técnicamente posible.

Ten en cuenta: XRechnungs almacena tus documentos durante la duración del uso activo de la cuenta. Sigues siendo responsable del cumplimiento de tus propias obligaciones fiscales y mercantiles de conservación (§§ 147 AO, 257 HGB). Recomendamos crear regularmente tus propias copias de seguridad fuera de la plataforma.

En la medida en que obligaciones legales de conservación por nuestra parte impidan una eliminación inmediata, los datos pertinentes se almacenarán hasta que expire dicha obligación y luego se eliminarán sin demora.

En el contexto del uso de XRechnungs, tratamos datos personales por cuenta de nuestros clientes (art. 28 RGPD). El correspondiente Acuerdo de tratamiento de datos (DPA) forma parte del acuerdo de uso.

Al registrarte y utilizar la plataforma, aceptas electrónicamente el DPA. El DPA (XRechnungs – Data Processing Agreement (DPA)) está disponible tras el registro en el área de usuario de la plataforma.

El DPA regula en particular la naturaleza, el alcance y la finalidad del tratamiento, los subencargados utilizados y las medidas técnicas y organizativas (TOM) conforme al art. 32 RGPD.

Tienes los siguientes derechos:

• Derecho de acceso (art. 15 RGPD)
• Derecho de rectificación (art. 16 RGPD)
• Derecho de supresión (art. 17 RGPD)
• Derecho a la limitación del tratamiento (art. 18 RGPD)
• Derecho a la portabilidad de los datos (art. 20 RGPD)
• Derecho de oposición al tratamiento (art. 21 RGPD)
• Derecho a retirar el consentimiento (art. 7(3) RGPD)

Para ejercer tus derechos, ponte en contacto con: info@xrechnungs.de

Tienes derecho a presentar una reclamación ante la autoridad supervisora competente en materia de protección de datos:

El comisionado estatal de protección de datos y libertad de información de Baden-Württemberg

www.baden-wuerttemberg.datenschutz.de

Aplicamos medidas técnicas y organizativas adecuadas conforme al art. 32 RGPD, en particular:

• Cifrado TLS/HTTPS de todas las transmisiones de datos
• Control de acceso basado en roles
• Separación lógica por inquilinos de los datos de usuario
• Copias de seguridad de datos cifradas
• Supervisión y registro de eventos relevantes para la seguridad
• Actualizaciones de seguridad periódicas

La descripción completa de nuestras medidas técnicas y organizativas (TOM) está disponible en el anexo 3 del DPA.

A pesar de todas las medidas técnicas y organizativas, no puede garantizarse por completo una protección absoluta de los datos frente al acceso de terceros.

No se realiza toma de decisiones automatizada, incluida la elaboración de perfiles, conforme al art. 22 RGPD.

Esta política de privacidad puede actualizarse cuando sea necesario. La versión actual está siempre disponible en esta página. Te informaremos por correo electrónico de cualquier cambio significativo.