Legal · Última actualización: 2026-09-30
Política de privacidad
Esta política describe cómo tratamos los datos personales en la plataforma Asesia, conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y, para usuarios en Bulgaria, la Ley de Protección de Datos Personales búlgara (ЗЗЛД).
1. Responsable del tratamiento
- Razón social: Trend Desire Ltd. (ТРЕНД ДИЗАЙЪР ЕООД)
- NIF: ЕИК/Булстат 203562473 · ДДС BG203562473
- Domicilio: ul. Spas Sokolov 60, 3000 Vratsa, Bulgaria / ул. „Спас Соколов“ № 60, 3000 Враца, България
- Contacto de privacidad: angel@creativy.es
2. Doble rol: responsable y encargado
Como responsable tratamos los datos de las cuentas de la plataforma: datos de registro del despacho y de sus usuarios, datos de facturación de la suscripción, comunicaciones de soporte y métricas de uso.
Como encargado del tratamiento (art. 28 RGPD) tratamos los datos que los despachos y empresas usuarias incorporan sobre sus propios clientes, empleados y proveedores (facturas, nóminas, extractos bancarios, documentos). En ese caso el responsable es el despacho o empresa usuaria y el tratamiento se rige por el contrato de encargo (DPA) aceptado dentro de la aplicación.
3. Datos que tratamos y finalidades
- Datos de cuenta (nombre, email, contraseña cifrada, teléfono): prestación del servicio y autenticación. Base jurídica: ejecución de contrato (art. 6.1.b RGPD).
- Datos de facturación (razón social, NIF, dirección, historial de pagos): gestión de la suscripción y obligaciones fiscales. Base: ejecución de contrato y obligación legal (art. 6.1.b y 6.1.c).
- Contenido del usuario (documentos, facturas, apuntes contables, nóminas): prestación del servicio como encargado. Base: contrato de encargo con el responsable.
- Datos técnicos (IP, registros de acceso, eventos de seguridad): seguridad de la plataforma, prevención de abuso y rate limiting. Base: interés legítimo (art. 6.1.f).
- Comunicaciones (emails de soporte y avisos operativos): atención al usuario. Base: ejecución de contrato.
No realizamos decisiones automatizadas con efectos jurídicos sobre las personas ni elaboramos perfiles comerciales. Las funciones de IA generan sugerencias que requieren revisión humana.
4. Subencargados y destinatarios
Para prestar el servicio nos apoyamos en proveedores. Esta tabla sale del mismo inventario que el anexo del contrato de encargo (DPA); el detalle completo (datos tratados, cuándo intervienen y documentación de cada proveedor) está en la página de subencargados y destinatarios.
| Proveedor | Papel | Finalidad | Ubicación | Garantía de transferencia |
|---|---|---|---|---|
| Vercel (alojamiento) | Subencargado | Alojamiento y ejecución de la aplicación web | UE (funciones en la región fra1, Fráncfort) con red perimetral global | Cláusulas Contractuales Tipo (art. 46.2.c RGPD; Decisión (UE) 2021/914) |
| Neon (PostgreSQL gestionado) | Subencargado | Base de datos de la aplicación | Región del proyecto de base de datos(no verificado) | Pendiente de verificar |
| Cloudflare R2 (almacenamiento de ficheros) | Subencargado | Almacenamiento cifrado de documentos y ficheros subidos | UE si el bucket se crea con jurisdicción UE | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) |
| Resend (correo saliente y entrante) | Subencargado | Envío de correos (accesos, avisos, facturas) y recepción del buzón de documentos | EE. UU. y otras regiones del proveedor(no verificado) | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) |
| Anthropic (Claude, IA) | Subencargado | IA: lectura de documentos, extracción de datos y asistentes | EE. UU.(no verificado) | Cláusulas Contractuales Tipo (art. 46.2.c RGPD; Decisión (UE) 2021/914) |
| Microsoft Azure AI Document Intelligence (OCR) | Subencargado | OCR: lectura de facturas y documentos | Región del recurso de Azure elegida al crearlo(no verificado) | Pendiente de verificar |
| NVIDIA NIM (IA y OCR de respaldo) | Subencargado | IA y OCR de respaldo cuando está activado | EE. UU.(no verificado) | Pendiente de verificar |
| Voyage AI (vectores del buscador de normativa) | Subencargado | Vectores para el buscador de normativa | EE. UU.(no verificado) | Pendiente de verificar |
| Stripe (cobro de la suscripción) | Subencargado(no verificado) | Cobro de la suscripción a la plataforma | UE / EE. UU.(no verificado) | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) |
| Google Firebase Cloud Messaging (avisos push de la app) | Subencargado | Entregar los avisos push de la app móvil (plazos, mensajes y documentos pedidos) a los móviles que los activan, incluido iOS a través de Apple Push Notification service. | Google (EE. UU. y otros países); pendiente de verificar el mecanismo de transferencia.(no verificado) | Pendiente de verificar |
| Stripe Connect (cobros online de la propia empresa) | Integración del usuario | Cobros online de la propia empresa a sus clientes (cuenta Stripe de la empresa) | Según el contrato de la empresa con Stripe(no verificado) | Según el contrato del usuario con su proveedor |
| Meta (WhatsApp Business) | Subencargado | Avisos, fichaje y recepción de documentos por WhatsApp | EE. UU. y otras regiones de Meta(no verificado) | Pendiente de verificar |
| Twilio (SMS) | Subencargado | Envío de SMS (avisos y fichaje) | EE. UU. y otras regiones del proveedor(no verificado) | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) |
| Telegram (avisos por bot) | Destinatario(no verificado) | Avisos por Telegram a quien vincula su cuenta | Según la política de Telegram(no verificado) | Pendiente de verificar |
| OpenStreetMap Foundation (teselas del mapa de fichajes) | Destinatario | Teselas del mapa de fichajes | Red de caché global de la OSMF(no verificado) | Pendiente de verificar |
| Enable Banking (lectura de cuentas bancarias) | Subencargado(no verificado) | Lectura de movimientos bancarios autorizada por el titular (PSD2) | Según el contrato con Enable Banking(no verificado) | Pendiente de verificar |
| Salt Edge (lectura de cuentas bancarias) | Subencargado(no verificado) | Lectura de movimientos bancarios autorizada por el titular (PSD2) | Según el contrato con Salt Edge(no verificado) | Pendiente de verificar |
| GoCardless Bank Account Data (lectura de cuentas bancarias) | Subencargado(no verificado) | Lectura de movimientos bancarios autorizada por el titular (PSD2) | Según el contrato con GoCardless(no verificado) | Pendiente de verificar |
| Mailgun / Postmark (correo entrante, alternativa a Resend) | Subencargado | Recepción del buzón de documentos si se elige este proveedor en lugar de Resend | Según el proveedor elegido(no verificado) | Pendiente de verificar |
| Destino de alertas de errores (webhook configurable) | Subencargado | Alertas de errores de producción | Según el destino configurado(no verificado) | Pendiente de verificar |
| Sentry (seguimiento de errores) | Subencargado | Seguimiento de errores de producción (si el dueño pone SENTRY_DSN) | Según la región elegida en Sentry (UE o EE. UU.)(no verificado) | Pendiente de verificar |
| Microsoft 365 (calendario, OneDrive y correo que conecta el usuario) | Integración del usuario | Sincronizar el calendario, OneDrive/SharePoint o el correo que conecta el usuario | Según la cuenta Microsoft del usuario(no verificado) | Según el contrato del usuario con su proveedor(no verificado) |
| Google (calendario que conecta el usuario) | Integración del usuario | Sincronizar el calendario que conecta el usuario | Según la cuenta Google del usuario(no verificado) | Según el contrato del usuario con su proveedor(no verificado) |
| Servidor de correo del usuario (IMAP) | Integración del usuario | Leer el buzón que conecta el usuario para recoger facturas | Servidor de correo del usuario(no verificado) | Según el contrato del usuario con su proveedor(no verificado) |
| Wolters Kluwer a3innuva Nómina (importación que conecta el despacho) | Integración del usuario | Importar nóminas desde la cuenta a3innuva del despacho | Según el contrato del despacho con Wolters Kluwer(no verificado) | Según el contrato del usuario con su proveedor(no verificado) |
No vendemos ni cedemos datos personales a terceros con fines comerciales. Podremos comunicar datos a administraciones públicas (AEAT, НАП, juzgados) cuando exista obligación legal.
Transferencias internacionales
Algunos proveedores tratan datos fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en una decisión de adecuación (art. 45 RGPD), como el Marco de Privacidad de Datos UE-EE. UU., o en Cláusulas Contractuales Tipo (art. 46.2.c RGPD). Donde la tabla indica «no verificado», la garantía aún no se ha comprobado en la documentación del proveedor.
Origen de los datos
Cuando actuamos como encargados, los datos de clientes, empleados y proveedores no los recogemos nosotros: nos los aporta el despacho o la empresa usuaria, que es quien debe informar a esas personas (arts. 13 y 14 RGPD).
5. Plazos de conservación
- Datos de cuenta: mientras la cuenta esté activa y, tras la baja, bloqueados durante los plazos de prescripción de responsabilidades legales.
- Datos de facturación de la suscripción: los plazos exigidos por la normativa fiscal y mercantil aplicable (con carácter general, hasta 6 años — art. 30 Código de Comercio — y los plazos de prescripción tributaria).
- Contenido del usuario (como encargado): mientras dure el contrato de encargo; a su fin, devolución o supresión según instrucciones del responsable, salvo obligación legal de conservación.
- Registros técnicos y de seguridad: el tiempo imprescindible y proporcionado para la finalidad de seguridad (orientativamente, hasta 12 meses).
6. Derechos de las personas (ARCO / RGPD)
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad (los clásicos derechos ARCO ampliados por el RGPD), escribiendo a angel@creativy.es desde el email asociado a tu cuenta o acreditando tu identidad. Responderemos en el plazo máximo de un mes.
Si el dato que deseas ejercitar corresponde a un tratamiento del que es responsable tu asesoría o la empresa que te dio acceso al portal, trasladaremos tu solicitud a dicho responsable, que es quien debe atenderla.
Tienes además derecho a presentar una reclamación ante la autoridad de control: la Agencia Española de Protección de Datos (aepd.es) en España o la Комисия за защита на личните данни (cpdp.bg) en Bulgaria.
7. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito (TLS) y en reposo (AES-256 para campos y documentos sensibles), aislamiento por tenant, control de accesos por roles y permisos, registro de auditoría, copias de seguridad y limitación de tasa frente a ataques de fuerza bruta.
8. Menores
La Plataforma está dirigida a profesionales y empresas. No tratamos deliberadamente datos de menores de edad.
9. Cambios en esta política
Publicaremos aquí cualquier cambio de esta política y, si es sustancial, lo comunicaremos por email o dentro de la aplicación. Consulta también la Política de cookies y el Aviso legal.