Política de privacidad

• Titular: Antonio del Olmo Tena (SpendRobin), NIF 52342198V.
• Domicilio: Calle Francisco de Quevedo 2, 28810 Villalbilla (Madrid), España.
• Email para cualquier asunto de privacidad: aolmomodus@gmail.com

SpendRobin trata datos personales en dos condiciones diferentes:

• Como responsable del tratamiento, de los datos de nuestros clientes: las personas que registran una empresa o la administran (cuenta, facturación y comunicaciones) y los visitantes de la web. Se explica en el apartado 3.
• Como encargado del tratamiento, de los datos que cada empresa cliente sube sobre sus empleados (tickets, gastos, IBAN, móviles, mensajes de WhatsApp o Telegram…). Aquí la responsable es la empresa, que decide qué datos sube y para qué; nosotros solo los tratamos para prestarle el servicio. Se explica en el apartado 4.

Si eres empleado de una empresa que usa SpendRobin, tu empresa es quien debe informarte y quien atiende tus derechos. Si nos escribes a nosotros, le trasladaremos tu petición.

Qué datos tratamos

• Cuenta: nombre de la empresa, tu nombre, email, móvil si lo indicas, contraseña (guardada cifrada con un hash, nunca en claro), rol y fecha en que aceptaste las condiciones y esta política.
• Datos de la empresa: NIF, IBAN y BIC (para generar los ficheros SEPA de pago), moneda y cuentas contables.
• Facturación: estado de la suscripción y número de usuarios facturables. El nombre, el email, el NIF y la dirección de facturación los gestiona Stripe; los datos de la tarjeta solo los ve Stripe.
• Comunicaciones: los emails que nos envías y nuestras respuestas.
• Datos técnicos: registro de actividad de la cuenta (qué se hizo, cuándo, desde qué canal y la dirección IP) y registros técnicos del servidor web.

Para qué y con qué base jurídica

No enviamos publicidad sin tu consentimiento, no vendemos datos ni elaboramos perfiles comerciales, y no tomamos decisiones automatizadas con efectos jurídicos sobre ti.

Los datos de la cuenta son necesarios para darte el servicio: sin ellos no podemos crear la cuenta. Si nos das datos de otra persona (por ejemplo, al invitar a un compañero), debes estar legitimado para hacerlo.

Cuando una empresa usa SpendRobin, sube o hace que sus empleados suban estos datos, de los que la empresa es responsable:

• Nombre, email, móvil, código de empleado, rol e IBAN (para reembolsarle lo que adelantó).
• Fotos y PDF de tickets y facturas, con los datos que contengan, y los gastos que resultan: comercio, CIF, fecha, importes, IVA, categoría, forma de pago, proyecto, notas, kilómetros y dietas.
• Dinero entregado y devuelto, pagos y reembolsos (incluidos los ficheros SEPA) y extractos de la tarjeta de empresa.
• Si el empleado usa WhatsApp o Telegram: su número o identificador y los mensajes, fotos y documentos que envía a SpendRobin. Si usa la app: el identificador del móvil para los avisos.
• Registro de actividad (qué hizo cada usuario, cuándo, por qué canal y desde qué IP).

Contrato de encargo del tratamiento (art. 28 RGPD)

Al aceptar las condiciones de uso, la empresa cliente (responsable) y SpendRobin (encargado) celebran el contrato de encargo del tratamiento, con este contenido esencial:

1. Objeto, duración y finalidad: tratar los datos anteriores solo para prestar el servicio de gestión de gastos mientras dure la suscripción.
2. Instrucciones: trataremos los datos únicamente siguiendo las instrucciones documentadas de la empresa (que son el propio uso del servicio y lo que nos pida por escrito) y le avisaremos si una instrucción nos parece contraria a la normativa. No usaremos los datos para fines propios.
3. Confidencialidad: las personas autorizadas para tratar los datos están obligadas a guardar secreto.
4. Seguridad: aplicamos las medidas técnicas y organizativas del art. 32 RGPD descritas en el apartado 9.
5. Subencargados: la empresa nos autoriza a recurrir a los proveedores del apartado 5. Avisaremos de cualquier cambio publicándolo en esta página y por email a los titulares, con al menos 15 días de antelación; si la empresa se opone, podrá darse de baja sin penalización. Les exigimos las mismas obligaciones de protección de datos.
6. Derechos de los interesados: ayudaremos a la empresa a atenderlos; el servicio ya le permite consultar, corregir, exportar y eliminar los datos de sus empleados. Si un empleado nos escribe, le trasladaremos la petición.
7. Brechas de seguridad: avisaremos a la empresa sin dilación indebida, y siempre que sea posible en un máximo de 48 horas, con la información de que dispongamos, y le ayudaremos con las notificaciones y evaluaciones de impacto que necesite (arts. 32 a 36).
8. Fin del servicio: la empresa puede exportar sus datos antes de darse de baja; después los suprimiremos, salvo los que la ley nos obligue a conservar, que quedarán bloqueados.
9. Cumplimiento: pondremos a disposición de la empresa la información necesaria para demostrar que cumplimos y permitiremos auditorías razonables, avisadas con antelación.

La empresa es responsable de tener una base jurídica para tratar los datos de sus empleados, de informarles (puede enlazar esta página) y de subir solo los datos necesarios.

Para prestar el servicio usamos estos proveedores. La lectura del texto del ticket (OCR) se hace en nuestro propio servidor; la inteligencia artificial solo recibe ese texto.

WhatsApp y Telegram son canales que el empleado elige usar; además de lo anterior, tratan los datos según sus propias condiciones y políticas de privacidad, que el usuario aceptó con ellos. Quien no quiera usarlos puede enviar los tickets desde la web o la app.

Algunos proveedores están fuera del Espacio Económico Europeo (EEE) o pueden acceder a datos desde fuera de él. En esos casos la transferencia se hace con las garantías del RGPD:

• DeepSeek (China, país sin decisión de adecuación): la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD) y en medidas adicionales de minimización: solo se envía el texto impreso en el ticket, sin la imagen ni los datos de contacto o bancarios del empleado, y no se usa para nada más que interpretar ese ticket.
• Stripe, Google (Firebase) y Meta (WhatsApp): Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023) y cláusulas contractuales tipo.
• Telegram: solo interviene si el empleado decide usar su bot, con las garantías que ofrece Telegram en sus condiciones.

Puedes pedirnos más información sobre estas garantías en aolmomodus@gmail.com.

• Cuenta y datos de la empresa: mientras la cuenta esté activa. Tras la baja los suprimimos, salvo lo que haya que conservar bloqueado para atender obligaciones legales o posibles reclamaciones durante los plazos de prescripción.
• Datos de los empleados: lo que decida la empresa, que puede eliminarlos en cualquier momento desde la web o la app, y como máximo mientras dure su suscripción.
• Registro de actividad: 60 días; se borra automáticamente cada día.
• Mensajes de WhatsApp enviados por el servicio: una copia técnica durante 14 días (para reenviarlos si fallan).
• Facturación: el plazo que exija la ley (por ejemplo, seis años para la documentación contable según el Código de Comercio y el plazo de prescripción de la normativa tributaria).

Puedes ejercer en cualquier momento, de forma gratuita, tus derechos de:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir los que sean inexactos.
• Supresión: que los borremos cuando ya no sean necesarios.
• Oposición: a los tratamientos basados en el interés legítimo.
• Limitación: que los conservemos sin usarlos mientras se resuelve una reclamación.
• Portabilidad: recibirlos en un formato estructurado y de uso común.

Escríbenos a aolmomodus@gmail.com indicando qué derecho ejerces y el email de tu cuenta. Si tenemos dudas razonables sobre tu identidad, podremos pedirte que la acredites. Responderemos en el plazo de un mes (ampliable dos meses más en casos complejos, avisándote).

Si eres empleado de una empresa cliente, dirígete primero a tu empresa (ver el apartado 2). Si consideras que no se han respetado tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

• Todas las comunicaciones con la web, la API y la app van cifradas (HTTPS).
• Las contraseñas se guardan con un hash (bcrypt), nunca en claro; los enlaces de invitación y recuperación caducan.
• Cada usuario solo ve lo que le permite su rol (empleado, administrador o titular) y cada empresa solo sus propios datos.
• Registro de actividad de las acciones importantes, sin guardar el IBAN completo.
• Servidor en la Unión Europea con acceso de administración restringido y base de datos propia del servicio.

SpendRobin es un servicio profesional para empresas y no está dirigido a menores de 18 años. Si sabemos que se han registrado datos de un menor sin autorización, los eliminaremos.

Si eres empleado

Tu cuenta la crea y la gestiona tu empresa. Pide al titular de la cuenta de tu empresa que te elimine: puede hacerlo en cualquier momento desde la web o la app, en Empleados. Si no tienes ningún gasto ni pago registrado, tu cuenta se borra por completo. Si los tienes, la empresa los necesita para su contabilidad: tu cuenta se anonimiza (se borran tu email, tu móvil, tu IBAN y tu contraseña, y ya no puedes entrar) y se conservan tu nombre y tus gastos mientras la empresa los necesite.

Si no consigues que tu empresa lo haga, escríbenos a aolmomodus@gmail.com desde el email o indicando el móvil de tu cuenta y el nombre de la empresa, y se lo trasladaremos.

Si eres el titular de una empresa

Para dar de baja la empresa y borrar todos sus datos (cuenta, usuarios, tickets y gastos), cancela la suscripción en Facturación y escríbenos a aolmomodus@gmail.com desde el email del titular. Antes, exporta lo que necesites (Excel, CSV o tu programa de contabilidad).

Plazo

Respondemos y borramos los datos en un plazo máximo de un mes desde la petición. Solo conservaremos, bloqueados, los datos que la ley nos obligue a guardar (por ejemplo, las facturas de la suscripción).

Si cambiamos esta política, publicaremos la nueva versión aquí con su fecha. Si el cambio es importante, avisaremos por email a los titulares de las cuentas antes de que entre en vigor.