Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través del sitio web www.elfactu.es y de la aplicación ElFactu (en adelante, «ElFactu» o «nosotros») es:

• Denominación social: LEON WEBS, S.L.
• Nombre comercial: ElFactu
• NIF: B26741918
• Domicilio social y fiscal: CL. Cirujano Rodríguez, 33, 24005 León (León), España
• Datos registrales: Inscrita en el Registro Mercantil de León, Sección 8.ª, Hoja LE-29865, Inscripción 1.ª (30/04/2026)
• Correo electrónico: jrobles@leonwebs.com
• Sitio web: www.elfactu.es

ElFactu no está obligado a designar un delegado de protección de datos (art. 37 RGPD y art. 34 LOPDGDD). Para cualquier cuestión sobre privacidad escriba a jrobles@leonwebs.com indicando en el asunto «Protección de datos».

2. Qué datos tratamos y de dónde proceden

2.1. Datos que usted nos facilita

• Datos de cuenta: correo electrónico y contraseña. La contraseña la guarda cifrada de forma irreversible el proveedor de autenticación; nunca la conocemos.
• Invitaciones de ElFactu: si nos pide que le demos de alta, usamos el correo que nos facilita para enviarle un enlace con el que usted mismo elige su contraseña. Nunca enviamos contraseñas por correo. Si no activa la cuenta en 30 días, eliminamos la invitación y la cuenta sin activar.
• Datos de identificación fiscal: tipo de entidad (autónomo o empresa), NIF/CIF, nombre y apellidos o razón social, dirección fiscal, código postal, ciudad, provincia y, opcionalmente, teléfono y cuenta bancaria (IBAN) para incluirla en sus facturas.
• Datos de facturación y contabilidad: facturas emitidas y sus líneas, series, facturas de gasto y los ficheros que adjunte, asientos, obligaciones y vencimientos que registre, y los registros de facturación generados para Verifactu (huella, XML y código QR).
• Datos de las funciones de gestión: movimientos bancarios que importe, solicitudes de aprobación y sus comentarios, historial de cambios de facturas y gastos, avisos de anomalías y exportaciones contables.
• Certificado digital: si activa el envío a la AEAT, el fichero .p12 o .pfx de su certificado y su contraseña. Se almacenan cifrados (AES-256-GCM) y solo se descifran en el servidor en el momento de autenticar la conexión con la AEAT.
• Datos de terceros que usted introduce: los de sus clientes y proveedores (NIF, nombre, dirección, correo, teléfono) y los de otras personas que figuren en sus facturas, gastos o movimientos bancarios. Sobre estos datos usted es el responsable y ElFactu actúa como encargado del tratamiento (véase el apartado 8).
• Comunicaciones: el contenido de los correos que nos envíe.

2.2. Datos que recibimos de terceros

• Inicio de sesión con Google: si usa «Continuar con Google», Google nos comunica su correo electrónico, su nombre y, en su caso, su foto de perfil, según la configuración de su cuenta de Google.
• Invitaciones de un gestor: si una asesoría o gestor que usa ElFactu le invita a vincular su cuenta, nos facilita su correo electrónico, que es el único dato suyo que recibimos de él, y lo usamos para enviarle la invitación. El correo de invitación indica el nombre de la asesoría o gestor que le invita cuando figura en su perfil de ElFactu. Si no tenía cuenta y no activa la que se crea con la invitación, suprimimos su correo en el plazo indicado en el apartado 4.
• Respuestas de la AEAT: el resultado de cada envío de registros de facturación (aceptado, rechazado, incidencias) se guarda como evidencia.

2.3. Datos que se generan al usar el servicio

• Datos técnicos y de acceso: dirección IP, tipo de navegador y dispositivo, fecha y hora de acceso y registros de errores, generados por nuestros proveedores de alojamiento y autenticación, y los días en que usa la aplicación (solo la fecha, sin la hora), que registra la propia Plataforma. Los usamos para operar, proteger y administrar el servicio y, de forma agregada, para las estadísticas internas descritas en el apartado 3.
• Metadatos de uso de la cuenta: fechas de alta, de último acceso, de última actividad y de la última factura creada; forma de alta y de acceso (correo, Google o invitación) y si usa la verificación en dos pasos; número de inicios de sesión, de días con actividad, de sesiones abiertas y de solicitudes de cambio de contraseña; número de facturas (incluidas las borradas) y cuántas se han generado en la aplicación, adjuntado como fichero, numerado con una serie o enviado a Verifactu; número de clientes, gastos, series y envíos a la AEAT, con su resultado y, si hay error, el código que devuelve la AEAT; espacio que ocupan sus ficheros; estado de su configuración (por ejemplo, si ha empezado o completado su perfil, tipo de entidad, si es gestor, si tiene Verifactu activado o cuándo caduca su certificado); vínculos con gestores e invitaciones enviadas; funciones que utiliza, y versión de los Términos aceptada. Se obtienen de nuestra propia base de datos, sin cookies, y nunca incluyen el contenido de sus facturas (importes, impuestos, conceptos, destinatarios o estado de cobro) ni los datos de sus clientes o proveedores.
• Datos de soporte y moderación: las notas internas que el personal de ElFactu registra sobre su cuenta al atenderle o al revisar un posible incumplimiento de los Términos, y las anotaciones del registro de administración que se refieren a su cuenta: las consultas de su ficha, las búsquedas por su correo, las veces que se muestra su correo completo y las acciones sobre su cuenta, con su motivo cuando se exige.
• Datos de navegación: páginas visitadas y acciones dentro de la aplicación medidas con herramientas de analítica, únicamente si acepta las cookies de analítica (véase la Política de cookies).

3. Para qué tratamos sus datos y con qué base jurídica

• Crear y gestionar su cuenta y prestarle el servicio (emitir facturas, gestionar clientes, gastos y series, generar PDF, exportar datos): ejecución del contrato (art. 6.1.b RGPD).
• Generar los registros de facturación y enviarlos a la AEAT en la modalidad Verifactu, y conservar las evidencias: ejecución del contrato y cumplimiento de obligaciones legales (arts. 6.1.b y 6.1.c RGPD; Ley 58/2003, General Tributaria; Real Decreto 1007/2023 y Orden HAC/1177/2024).
• Custodiar su certificado digital para autenticar los envíos: ejecución del contrato, por su instrucción expresa al subirlo.
• Enviarle comunicaciones sobre el servicio (cambios en las condiciones, incidencias, avisos de seguridad, recordatorios de plazos fiscales o vencimientos que usted haya configurado): ejecución del contrato e interés legítimo en mantenerle informado (art. 6.1.f RGPD).
• Garantizar la seguridad, prevenir el fraude y el abuso y depurar errores: interés legítimo (art. 6.1.f RGPD) y obligación de adoptar medidas de seguridad (art. 32 RGPD).
• Administrar la Plataforma y prestarle soporte (localizar su cuenta cuando nos escribe, reenviar invitaciones o enlaces de acceso y revisar el estado técnico del servicio): interés legítimo de ElFactu en mantener el servicio y atender sus solicitudes (art. 6.1.f RGPD) y ejecución del contrato (art. 6.1.b RGPD).
• Moderar el uso de la Plataforma y hacer cumplir los Términos (detectar usos abusivos o anómalos y, en su caso, suspender una cuenta conforme a la cláusula 13.3 de los Términos y condiciones): ejecución del contrato e interés legítimo en proteger la Plataforma y a sus usuarios (arts. 6.1.b y 6.1.f RGPD).
• Elaborar estadísticas internas de uso, capacidad y calidad del servicio (número de cuentas, inicios de sesión y franjas horarias de acceso, días de uso, facturas creadas, funciones utilizadas o envíos a la AEAT) a partir de los datos de acceso y de los metadatos de uso descritos en el apartado 2.3: interés legítimo (art. 6.1.f RGPD). Nunca usamos para ello el contenido de las facturas (importes, impuestos, conceptos, destinatarios o estado de cobro). Los resultados se presentan de forma agregada. Puede oponerse a los tratamientos basados en interés legítimo escribiéndonos.
• Darle de alta mediante invitación cuando usted lo solicita: aplicación de medidas precontractuales a petición suya (art. 6.1.b RGPD).
• Gestionar invitaciones de gestores: interés legítimo del gestor y de ElFactu en facilitar la vinculación de cuentas (art. 6.1.f RGPD); puede oponerse ignorando la invitación o escribiéndonos.
• Medir el uso del sitio web y de la aplicación con Google Analytics, Vercel Analytics y Vercel Speed Insights: su consentimiento (art. 6.1.a RGPD), que puede retirar en cualquier momento.
• Enviarle comunicaciones comerciales sobre ElFactu: solo si nos da su consentimiento (art. 6.1.a RGPD y art. 21 de la LSSI-CE), que puede retirar en cualquier momento desde el enlace incluido en cada comunicación o escribiéndonos.
• Atender sus derechos, consultas y reclamaciones y cumplir requerimientos de autoridades: obligación legal (art. 6.1.c RGPD).

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar. Calculamos algunos indicadores de actividad de cada cuenta (por ejemplo, un volumen inusual de facturas o errores repetidos de envío) solo para que una persona revise el caso; cualquier medida, como la suspensión de una cuenta, la decide siempre una persona. Las estimaciones fiscales que muestra la aplicación (por ejemplo, de los modelos 303 y 130) son cálculos orientativos a partir de sus propios datos y no se comunican a nadie.

4. Durante cuánto tiempo conservamos los datos

• Datos de cuenta y perfil: mientras mantenga la cuenta activa. Al darse de baja se suprimen, salvo lo indicado a continuación.
• Facturas, registros de facturación, evidencias de envío a la AEAT y datos de clientes y proveedores incluidos en ellas: durante los plazos de conservación exigidos por la normativa tributaria y mercantil: cuatro años de prescripción tributaria (art. 66 de la Ley General Tributaria), seis años para la documentación contable (art. 30 del Código de Comercio) y, para los registros de facturación Verifactu, hasta la prescripción de las obligaciones a que se refieren (Real Decreto 1007/2023). Durante ese periodo los datos quedan bloqueados (art. 32 LOPDGDD): solo se conservan a disposición de las autoridades y para atender responsabilidades, y se suprimen al terminar.
• Certificado digital: hasta que lo desactive o lo sustituya, o hasta su caducidad; puede desactivarlo en cualquier momento desde la sección Verifactu de la aplicación.
• Registros técnicos y de seguridad, incluido el registro de inicios de sesión: el tiempo necesario para su finalidad y, como máximo, doce meses, salvo que deban conservarse para investigar un incidente.
• Registro de días de uso de la aplicación (solo la fecha): trece meses.
• Registro de actividad de administración (consultas del personal autorizado a la ficha de una cuenta, búsquedas por correo, veces que se muestra el correo completo, invitaciones, suspensiones y demás acciones, con su motivo cuando se exige): tres años, para poder acreditar el uso correcto de esos accesos (art. 5.2 RGPD).
• Notas de soporte y moderación: mientras exista la cuenta; las ya resueltas se suprimen un año después de su resolución, salvo que deban conservarse para atender una reclamación.
• Invitaciones de alta de ElFactu no aceptadas: treinta días.
• Invitaciones de un gestor: caducan a los treinta días. Si la persona invitada no tenía cuenta y no llega a activar la que se crea con la invitación, suprimimos esa cuenta sin activar, con su correo y la invitación, sesenta días después del último envío (treinta días después de que caduque). Si ya tenía cuenta, la invitación se conserva mientras existan su cuenta y la del gestor.
• Constancia de la aceptación de los Términos (versión y fecha): mientras dure la relación y, después, bloqueada durante el plazo de prescripción de las acciones derivadas del contrato.
• Datos de las funciones de gestión e historial de cambios: mientras mantenga la cuenta; el historial de cambios de facturas y gastos se conserva después bloqueado junto con los documentos a los que se refiere y durante los mismos plazos.
• Datos de analítica: Google Analytics conserva los datos de usuario y eventos catorce meses como máximo; su consentimiento se renueva cada veinticuatro meses.
• Correos y consultas: mientras se tramitan y, después, durante los plazos de prescripción de las acciones legales.

5. A quién comunicamos sus datos

No vendemos ni cedemos sus datos a terceros para sus propios fines. Sus datos pueden ser tratados por:

• Agencia Estatal de Administración Tributaria (AEAT): recibe los registros de facturación que usted decide enviar en la modalidad Verifactu, identificados con su certificado. La comunicación se hace por su instrucción y para cumplir sus obligaciones tributarias.
• Gestores y asesorías: si vincula su cuenta a un gestor, este accede a sus datos de facturación con la misma extensión que usted, por la autorización que usted otorga al aceptar la vinculación. Puede revocarla en cualquier momento desde su panel o escribiéndonos.
• Encargados del tratamiento que nos prestan servicios con las garantías del art. 28 RGPD:
  • Supabase, Inc.: base de datos, autenticación, almacenamiento de ficheros y funciones de servidor.
  • Vercel, Inc.: alojamiento y distribución del sitio web y de la aplicación y, solo con su consentimiento, Vercel Analytics y Speed Insights.
  • Google LLC / Google Ireland Limited: Google Analytics 4, solo con su consentimiento. Cuando usa el inicio de sesión con Google, Google actúa como responsable independiente conforme a su propia política de privacidad.
  • Proveedor de reconocimiento óptico de caracteres (OCR): únicamente si la función de lectura automática de facturas de gasto está activada, recibe el texto extraído del documento para identificar número, fecha, NIF e importes.
• Autoridades públicas, jueces y tribunales: cuando exista una obligación legal.

6. Transferencias internacionales

Algunos de nuestros proveedores tienen su sede en Estados Unidos. Siempre que es posible contratamos el alojamiento de los datos en centros de datos de la Unión Europea. Cuando un tratamiento implica una transferencia fuera del Espacio Económico Europeo, se ampara en una decisión de adecuación de la Comisión Europea (en particular, el Marco de Privacidad de Datos UE-EE. UU. para las entidades certificadas) o en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas complementarias que procedan. Puede solicitarnos una copia de las garantías aplicables.

7. Sus derechos

Puede ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado, sin que ello afecte a la licitud del tratamiento anterior. Cuando el tratamiento se base en el interés legítimo, puede oponerse por motivos relacionados con su situación particular.

Para ejercerlos, escriba a jrobles@leonwebs.com desde el correo asociado a su cuenta o adjuntando un documento que acredite su identidad, e indique el derecho que ejerce. Responderemos en el plazo máximo de un mes, prorrogable dos meses más en casos complejos, en cuyo caso le informaremos de la prórroga. Muchos datos puede consultarlos y modificarlos directamente desde su perfil, y puede exportar sus facturas y gastos en CSV desde la aplicación. El derecho de acceso incluye las notas de soporte y moderación sobre su cuenta y las anotaciones del registro de administración que se refieren a ella (consultas de su ficha, búsquedas por su correo, veces que se muestra su correo completo y acciones).

Si considera que no hemos atendido correctamente sus derechos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid). Le agradeceremos que antes nos lo comunique para intentar resolverlo.

8. Encargo de tratamiento: los datos de sus clientes y proveedores

Cuando introduce en ElFactu datos de sus clientes, proveedores u otras personas, usted es el responsable de ese tratamiento y ElFactu los trata por su cuenta como encargado, conforme al art. 28 RGPD. Las condiciones del encargo (objeto, duración, instrucciones, confidencialidad, seguridad, subencargados, asistencia, notificación de brechas y devolución o supresión al finalizar) forman parte de los Términos y condiciones. Usted debe disponer de una base jurídica para tratar esos datos e informar a los interesados; para la facturación, esa base es con carácter general la relación contractual con ellos y las obligaciones legales de facturación.

9. Cuentas gestionadas por asesorías

ElFactu permite que una asesoría o gestor opere las cuentas de sus clientes. El gestor solo accede a las cuentas cuyos titulares han aceptado la vinculación, y cada acceso queda asociado a su usuario. Entre el gestor y su cliente existe una relación propia (normalmente, la asesoría actúa como encargado del tratamiento de su cliente) que no sustituye a esta política.

10. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre otras:

• Cifrado de las comunicaciones (TLS) y cifrado en reposo en los sistemas de nuestros proveedores.
• Cifrado adicional de los certificados digitales y sus contraseñas con AES-256-GCM y claves gestionadas fuera de la base de datos.
• Aislamiento de los datos de cada usuario mediante políticas de seguridad a nivel de fila y verificación de identidad en cada operación del servidor.
• Registros de facturación y evidencias de envío inalterables: solo se añaden, nunca se modifican ni borran.
• Contraseñas con requisitos mínimos de robustez, autenticación mediante tokens de corta duración y copias de seguridad periódicas.
• Principio de mínimo privilegio en el acceso del personal a los sistemas y a los secretos de configuración.
• Panel interno de administración: solo accede el personal autorizado de ElFactu, con verificación en dos pasos. Muestra metadatos de uso de las cuentas identificadas por un código interno, no su nombre, NIF ni dirección; su correo aparece enmascarado y solo se muestra completo cuando es necesario para atender una solicitud suya, prestarle soporte o por motivos de seguridad, moderación o un requerimiento legal, indicando el motivo. Las consultas de la ficha de una cuenta, las búsquedas por correo, las veces que se muestra el correo completo y las acciones realizadas desde el panel quedan anotadas en un registro que no se puede modificar; los listados y las estadísticas, que muestran varias cuentas a la vez, no se anotan cuenta por cuenta. El personal no consulta el contenido de sus facturas, clientes, proveedores, certificados ni movimientos bancarios salvo a petición suya documentada, cuando sea imprescindible para resolver una incidencia técnica o de seguridad que le afecte o por obligación legal.

Si se produjera una violación de la seguridad que suponga un alto riesgo para sus derechos, se lo comunicaremos sin dilación indebida, además de notificarla a la AEPD cuando proceda.

11. Menores de edad

ElFactu se dirige a profesionales y empresas. No está permitido el registro de menores de 18 años; si detectamos una cuenta de un menor, la cancelaremos.

12. Cookies

Usamos almacenamiento técnico imprescindible para el servicio y, solo con su consentimiento, cookies de analítica. Puede consultar el detalle y cambiar su elección en la Política de cookies o desde el botón «Configurar cookies».

13. Cambios en esta política

Podemos modificar esta política para adaptarla a cambios normativos, técnicos o del servicio. Publicaremos la nueva versión en esta página con su fecha y, si el cambio es relevante, se lo comunicaremos por correo electrónico o mediante un aviso en la aplicación con antelación razonable. Si el cambio afecta a las condiciones del servicio, se lo comunicaremos con antelación y le pediremos que acepte la nueva versión al acceder a la aplicación.

14. Normativa aplicable

• Reglamento (UE) 2016/679, General de Protección de Datos (RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
• Ley 58/2003, de 17 de diciembre, General Tributaria; Real Decreto 1007/2023, de 5 de diciembre, y Orden HAC/1177/2024, de 17 de octubre (sistemas informáticos de facturación y Verifactu).