Política de privacidad

Traducción facilitada a título informativo; solo es vinculante la versión alemana.

Esta política de privacidad explica cómo se tratan los datos personales cuando usted utiliza la plataforma ZUGFeRD en zugferd-invoice.attrian.de y la Stripe App «ZUGFeRD E-Invoicing» (conjuntamente, el «Servicio»).

1. Responsable del tratamiento y contacto

BrainWave Software GmbH, Heilig-Kreuz-Straße 24, 86152 Augsburg, Alemania. Más información en el aviso legal (/impressum).

Solicitudes en materia de protección de datos: zugferd-support@brainwave-software.de o por correo postal a la dirección indicada.

2. Funciones: responsable y encargado del tratamiento

Somos responsables del tratamiento de los datos de las cuentas de usuario de nuestros clientes (inicio de sesión, perfil de empresa).

Tratamos los datos de facturas que nuestros clientes gestionan a través de Stripe —en particular, los datos de los destinatarios de sus facturas— como encargados del tratamiento por cuenta de cada cliente (art. 28 del Reglamento General de Protección de Datos, RGPD). El cliente es el responsable del tratamiento de esos datos. Los destinatarios de las facturas deben dirigirse en primer lugar a la empresa que emitió la factura. Véase la sección 11 sobre el contrato de encargo del tratamiento.

3. Datos que tratamos

• Datos de la cuenta: nombre de usuario, dirección de correo electrónico, rol, contraseña (almacenada únicamente como hash bcrypt), pertenencia a una organización.
• Perfil de empresa del cliente: nombre de la empresa, dirección, NIF-IVA, número de identificación fiscal, datos bancarios (IBAN, BIC, titular de la cuenta), logotipo. Parte de estos datos se copia de la cuenta de Stripe durante la configuración (nombre, correo electrónico, identificación fiscal, dirección de soporte) y aparece en las facturas generadas.
• Datos de facturas procedentes de Stripe: número de factura, fecha, partidas, importes, tipos impositivos, moneda y datos del destinatario de la factura (nombre, dirección, dirección de correo electrónico, NIF-IVA).
• Documentos generados: XML ZUGFeRD/XRechnung, archivos PDF/A-3, informes de validación.
• Datos de conexión con Stripe: ID de la cuenta de Stripe y —si el cliente los almacena— claves API y secretos de webhook; configuración del envío por correo electrónico y por PEPPOL.
• Claves API para la API externa (almacenadas únicamente como hash) y fecha y hora del último uso.
• Solicitudes de acceso (título, descripción, justificación, estado, notas del administrador).
• Datos técnicos: datos de sesión, registros del servidor (hora, ruta de la API, código de estado, duración, contenido de la respuesta truncado), dirección IP (conservada solo en memoria para la limitación de solicitudes, no almacenada).

4. Finalidades y bases jurídicas

• Prestación del Servicio (conversión de facturas de Stripe a ZUGFeRD/XRechnung, validación, archivo, envío opcional): art. 6, apdo. 1, letra b), del RGPD (contrato) o, por cuenta del cliente, art. 28 del RGPD.
• Inicio de sesión, gestión de sesiones e inicio de sesión único: art. 6, apdo. 1, letra b), del RGPD.
• Seguridad, prevención de abusos y resolución de incidencias (registros, limitación de solicitudes): art. 6, apdo. 1, letra f), del RGPD; nuestro interés legítimo es operar el Servicio de forma segura y fiable.
• Nuestras propias obligaciones legales de conservación: art. 6, apdo. 1, letra c), del RGPD.

No utilizamos los datos con fines publicitarios, no vendemos datos ni utilizamos herramientas de análisis o seguimiento.

Facilitar los datos de la cuenta y de la empresa es necesario para celebrar el contrato y utilizar el Servicio; sin ellos no podemos prestar el Servicio. No existe obligación legal de facilitarlos.

No se toman decisiones automatizadas, incluida la elaboración de perfiles, en el sentido del art. 22 del RGPD.

5. Stripe y la Stripe App

Cuando usted instala la Stripe App o conecta su cuenta de Stripe, el Servicio lee a través de la API de Stripe: facturas y PDF de facturas, clientes (nombre, correo electrónico, dirección, identificaciones fiscales), tipos impositivos, datos de la cuenta (nombre comercial, correo electrónico, identificación fiscal, dirección de soporte) e imagen de marca (logotipo). Las solicitudes procedentes del Stripe Dashboard se autentican mediante la solicitud firmada de Stripe. Recibimos webhooks de Stripe sobre la instalación y desinstalación de la app y sobre facturas finalizadas y pagadas.

El tratamiento que realiza Stripe por su parte se rige por su contrato con Stripe y por la política de privacidad de Stripe (stripe.com/privacy). Para clientes del EEE, la entidad contratante suele ser Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda.

6. Alojamiento, almacenamiento y destinatarios

• Alojamiento: la aplicación y su base de datos PostgreSQL se ejecutan en servidores de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, en su centro de datos de Núremberg (Alemania).
• Almacenamiento de objetos: los archivos PDF, XML e informes generados se guardan en un almacenamiento de objetos compatible con S3 operado por nosotros (s3.attrian.de), con el mismo alojamiento que la aplicación. Los archivos se almacenan cifrados con AES-256.
• Envío por correo electrónico: las facturas se envían por correo electrónico solo si el cliente ha activado el envío por correo electrónico. En ese caso, el PDF de la factura se envía a la dirección de correo electrónico del destinatario de la factura a través del servicio SMTP Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Francia).
• Inicio de sesión único: «Login with ATTRIAN» utiliza un servidor Keycloak operado por nosotros (auth.attrian.de). Se adoptan la dirección de correo electrónico, el nombre de usuario y el nombre; la cuenta se crea en el primer inicio de sesión.
• PEPPOL: solo si un cliente configura el envío por PEPPOL, el XML de la factura se envía al punto de acceso indicado por el cliente; para localizar al destinatario se consultan los servicios de directorio de la red PEPPOL.
• Protección de red y frente a ataques: el acceso al Servicio se realiza a través de la red de Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, EE. UU. (proxy inverso, protección DDoS). Cloudflare trata los datos transmitidos, incluidas las direcciones IP, para reenviarlos a nuestros servidores. Existe un contrato de encargo del tratamiento con Cloudflare.
• Stripe: véase la sección 5.

Los datos solo se transfieren a un país fuera del EEE a través de Cloudflare, Inc. (EE. UU.). Cloudflare está certificada conforme al Marco de Privacidad de Datos UE-EE. UU.; la transferencia se basa en la decisión de adecuación de la Comisión Europea (art. 45 del RGPD). Además, se aplican las cláusulas contractuales tipo del contrato de encargo del tratamiento con Cloudflare. Todos los demás destinatarios tratan los datos en la UE o el EEE.

7. Cookies y almacenamiento local

Solo utilizamos almacenamiento estrictamente necesario (§ 25, apdo. 2, n.º 2, TDDDG):

• Cookie «sessionId»: cookie de sesión para el inicio de sesión, válida durante 24 horas, HttpOnly, solo HTTPS en producción. La sesión se almacena en nuestra base de datos.
• Cookie «sidebar_state»: recuerda si la barra lateral está contraída, 7 días.
• Almacenamiento local «language» (idioma seleccionado) y «cookie_consent» (su elección en el aviso de cookies).
• Almacenamiento de sesión «pkce_code_verifier» y «oauth_state»: solo durante el inicio de sesión único.

Las fuentes tipográficas se sirven desde nuestro propio servidor; en el navegador no se carga contenido de terceros (CDN, análisis, publicidad).

8. Conservación

• Los datos de la cuenta, el perfil de empresa, los datos de facturas y los documentos generados se conservan durante la vigencia del contrato.
• Cuando se desinstala la Stripe App, la cuenta se desactiva y se cierran todas las sesiones; los datos se conservan para que la app pueda volver a instalarse. Previa solicitud a zugferd-support@brainwave-software.de, eliminamos los datos en un plazo de 30 días, salvo que existan obligaciones legales de conservación.
• Las sesiones caducan a las 24 horas.
• Los registros del servidor se almacenan únicamente en nuestros servidores y se sobrescriben de forma continua una vez alcanzado el tamaño de almacenamiento asignado; actualmente no existe un plazo de eliminación fijo.

Nota: las obligaciones legales de conservación de facturas corresponden al emisor de la factura; por lo general, las facturas deben conservarse durante 8 años conforme al § 14b UStG y al § 147 AO (véanse también los GoBD). El Servicio no es un archivo con valor probatorio a efectos de auditoría; los clientes deben archivar ellos mismos los documentos generados.

9. Seguridad

Los datos se transmiten cifrados mediante HTTPS. Las contraseñas y las claves API se almacenan únicamente como hashes bcrypt. Los archivos generados y las claves de Stripe y tokens de acceso almacenados se cifran en reposo con AES-256. Los datos de los distintos clientes (tenants) están separados en la base de datos mediante seguridad a nivel de fila, y el acceso se basa en roles. Los intentos de inicio de sesión y las solicitudes de la Stripe App están sujetos a limitación de frecuencia. El inicio de sesión único requiere una dirección de correo electrónico verificada.

10. Sus derechos

• Acceso (art. 15 del RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20).
• Oposición al tratamiento basado en intereses legítimos (art. 21 del RGPD).
• Reclamación ante una autoridad de control de protección de datos (art. 77 del RGPD); la autoridad competente respecto de nosotros es la Oficina Estatal de Baviera para la Supervisión de la Protección de Datos (BayLDA), Promenade 18, 91522 Ansbach, Alemania.

Dirija sus solicitudes a la dirección indicada en la sección 1.

11. Contrato de encargo del tratamiento (DPA / AVV)

Los clientes que tratan datos personales de los destinatarios de sus facturas a través del Servicio celebran con nosotros un contrato de encargo del tratamiento conforme al art. 28 del RGPD; este forma parte de las condiciones de servicio (sección 10). La lista de subencargados del tratamiento se encuentra en /es/zugferd/support. Puede obtenerse una copia firmada por nosotros previa solicitud a zugferd-support@brainwave-software.de.

12. Modificaciones

Actualizamos esta política de privacidad cuando cambian el Servicio o la legislación. Se aplica la versión publicada aquí.

Última actualización: 11 de noviembre de 2026