GIRMA · GFACTU · Documentación legal · Versión 2026-10-11 Titular: Girma Piñeiro Gradin · NIF 35636331Q Francisco Asorey, n.º 5, Pontevedra, España girmalab.es@gmail.com Servicio de GFactu comercializado bajo la marca Girma. Los precios mensuales incluyen IVA. La contratación se confirma en Stripe y el uso fiscal requiere configurar correctamente el emisor y su certificado cuando corresponda. AVISO LEGAL 1. Identificación del prestador El titular del proyecto Girma y prestador del servicio GFactu es Girma Piñeiro Gradin, persona física con NIF 35636331Q. Domicilio de contacto: Francisco Asorey, n.º 5, Pontevedra, España. Correo para comunicaciones legales, soporte y privacidad: girmalab.es@gmail.com. Esta información se publica conforme al artículo 10 de la Ley 34/2002. Girma es el nombre comercial del proyecto; no se presenta como una sociedad mercantil distinta de su titular. 2. Ámbito de los sitios girma.es presenta los servicios de Girma; el portal de suscripciones gestiona la selección y contratación de servicios; GFactu proporciona el espacio de facturación y gestión. Las condiciones específicas de cada servicio y el resumen de contratación completan este aviso. La navegación es gratuita y no crea una suscripción ni una autorización de cobro. El acceso a funciones contratadas exige una cuenta y el cumplimiento de las condiciones del servicio. Las consultas enviadas al titular se tratan conforme a la política de privacidad. 3. Uso permitido y seguridad Debes utilizar los sitios de forma lícita, respetar los derechos de otras personas y facilitar información veraz cuando contactes o contrates. No están permitidos la suplantación, el acceso sin autorización, el uso de credenciales ajenas, el fraude, el envío de código malicioso ni las actuaciones destinadas a interferir en el servicio o extraer datos de otros usuarios. Comunica incidentes al correo publicado, sin adjuntar contraseñas, números completos de tarjeta, claves API o certificados privados. Una incidencia puede justificar restricciones proporcionadas de acceso para proteger cuentas y datos, con revisión y comunicación cuando sea posible sin perjudicar la investigación. 4. Propiedad intelectual Los contenidos, diseños, marcas y código propios están protegidos por sus derechos correspondientes. El acceso concede únicamente el uso necesario para consultar el sitio o utilizar el servicio contratado. La reproducción o explotación comercial exige autorización cuando resulte legalmente necesaria. Los componentes, fotografías y recursos de terceros mantienen sus licencias y atribuciones; este aviso no altera esas licencias ni los usos permitidos por la ley. Los datos y documentos que incorporas al servicio conservan su titularidad. Girma no adquiere derechos de explotación sobre tu cartera de clientes por alojarla y no la utilizará para campañas propias. 5. Información, enlaces y responsabilidad La información pública describe el estado del producto y no sustituye asesoramiento individual fiscal o jurídico. Los enlaces a normas oficiales permiten consultar su contenido; deben interpretarse teniendo en cuenta sus modificaciones, ámbito y régimen transitorio. Los sitios de bancos, Stripe, PayPal y otros proveedores se rigen también por su propia documentación. Girma responde de las obligaciones que le corresponden como prestador y fabricante de software. No se excluyen responsabilidades imperativas, daños por dolo ni derechos de consumidores. Las incidencias de un tercero se analizarán según su causa y las obligaciones asumidas, sin una exoneración general del prestador. 6. Comunicaciones y normas aplicables Las reclamaciones pueden remitirse al correo de contacto indicando servicio, cuenta y hechos, sin revelar secretos de acceso. Se conservará la información necesaria para tramitarlas. La Ley 34/2002 regula la información del prestador, las comunicaciones comerciales y la contratación electrónica; la Ley 7/1998 regula la incorporación de condiciones generales. El Derecho español y el de la Unión Europea se aplican con respeto a los derechos y fueros imperativos del usuario. Normativa y referencias oficiales Ley 34/2002 (LSSI): información, comunicaciones y contratación electrónica: https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 Ley 7/1998: condiciones generales de la contratación: https://www.boe.es/buscar/act.php?id=BOE-A-1998-8789 CONDICIONES DEL SERVICIO GFACTU 1. Partes, objeto y versión Estas condiciones regulan el acceso a GFactu entre Girma Piñeiro Gradin (Girma) y la persona o negocio titular de la cuenta. La versión es 2026-10-11. GFactu es un servicio de software accesible por Internet para organizar facturas, clientes y operaciones mediante las funciones habilitadas en el plan. El usuario que representa a un negocio debe estar autorizado para contratar y gestionar sus datos. El servicio se dirige a actividades profesionales y empresariales. Si una contratación reúne legalmente la condición de consumo, prevalecen las garantías obligatorias del Real Decreto Legislativo 1/2007; una declaración genérica de uso profesional no elimina esos derechos. 2. Uso del servicio y configuración fiscal GFactu permite gestionar la facturación del negocio según las funciones del plan contratado. Antes de emitir, el usuario debe revisar los datos del emisor, las series, los impuestos y la configuración de VERI*FACTU y del certificado aplicable. La contratación de una suscripción no sustituye esa configuración ni la revisión de las obligaciones fiscales del negocio. La emisión y rectificación se rigen por el Real Decreto 1619/2012. Los requisitos del sistema se encuadran en el artículo 29.2.j de la Ley 58/2003, el Real Decreto 1007/2023 y la Orden HAC/1177/2024. La declaración responsable del productor es específica del sistema y su versión; no equivale a una homologación emitida por AEAT. Según el texto vigente del Real Decreto 1007/2023, la adaptación de los obligados del artículo 3.1.a tiene como fecha límite el 1 de enero de 2027, y la del resto del artículo 3.1, el 1 de julio de 2027, con sus exclusiones y particularidades. Esas fechas no retrasan automáticamente las obligaciones propias de los productores y comercializadores. La factura electrónica B2B del Real Decreto 238/2026 es una obligación diferente, con su propio desarrollo y régimen transitorio; un PDF o un QR VERI*FACTU no acreditan por sí solos su cumplimiento. 3. Alta y contratación electrónica El alta crea una cuenta y registra la aceptación expresa de estas condiciones y la lectura de privacidad; no autoriza publicidad. Desde la cuenta eliges plan, revisas precio, periodicidad, impuestos y límites, corriges los datos y confirmas la contratación mediante el proveedor de pago. El proceso se ofrece en español. La activación depende del estado verificado del pago y la suscripción, no de parámetros añadidos a una URL. Si el pago consta como realizado y la activación sigue pendiente, revisa el estado o contacta con soporte antes de pagar otra vez. Un error de comunicación no demuestra que el primer cobro haya fallado. Las confirmaciones, referencias y la factura del servicio son documentos distintos. Las obligaciones de información previa y confirmación se regulan en los artículos 27 y 28 de la LSSI. Se conserva la versión aceptada y su fecha; en el portal de contratación se incorpora la documentación al registro de contratación. Puedes descargar el texto vigente y solicitar la copia correspondiente a tu aceptación al correo legal. Un aviso o correo ausente debe investigarse; no se presume su entrega por haber completado el navegador. 4. Planes, precios e impuestos La oferta pública actual comprende Inicio, Autónomo y Empresa, con periodicidad mensual y precios de 1,50 €, 6,99 € y 19,99 €, respectivamente, con IVA incluido. El resumen previo a confirmar debe expresar el total aplicable, impuestos, descuentos y periodicidad. Si el resumen presenta una discrepancia con la oferta, contacta antes de confirmar. Los descuentos se muestran antes de confirmar el pago y la documentación de la cuota está disponible a través de Stripe. La ficha del plan concreta emisores, usuarios, documentos y módulos incluidos. Inicio permite hasta cinco facturas ordinarias por ciclo. Los cupos se computan sobre el periodo de suscripción: los borradores no consumen cupo y la anulación de una factura emitida no devuelve ese cupo. Las rectificaciones fiscalmente necesarias no se bloquean por un límite comercial. Cuando un plan comparte cupo entre emisores, crear otro emisor no lo multiplica. Los módulos se autorizan por plan, suscripción y rol tanto en la interfaz como en el servidor. Mostrar una opción no garantiza que el plan incluya su uso. Los cambios de plan, periodicidades anuales, complementos o prorrateos solo se ofrecen cuando estén habilitados y se informe de su fecha efectiva y consecuencias económicas; no se presume un cambio automático. 5. Programa piloto El programa piloto se ofrece por invitación a diez negocios o autónomos. La oferta acordada es seis meses completamente gratis y, si continúan después, un 50 % de descuento de por vida en cualquiera de los planes disponibles, sin obligación de continuar. No se sustituye por un descuento temporal ni se introduce una obligación de permanencia. La asignación del piloto, fecha de inicio y beneficio deben constar en la invitación y la cuenta antes de cobrar. La finalización del periodo gratuito no autoriza un cargo sin una contratación válida. No contrates a precio normal suponiendo que se aplicará después un descuento no confirmado. Las cuestiones no definidas se resolverán de forma expresa, respetando el beneficio acordado. 6. Renovación, cancelación e impago La suscripción mensual se renueva mientras no se cancele conforme al contrato confirmado. Puedes solicitar la cancelación en girmalab.es@gmail.com indicando cuenta y referencia. El portal de cliente es un canal adicional cuando esté habilitado. No envíes contraseñas ni tarjetas. Se informará de la fecha efectiva y de los importes que correspondan; no se añade una penalización de permanencia no pactada. La cancelación al final del periodo conserva las prestaciones hasta esa fecha. Un impago o una suscripción inactiva pueden suspender módulos de operación. Cancelar no borra automáticamente documentos, no devuelve cobros de tus clientes ni sustituye una solicitud de supresión. Las vías de exportación y asistencia deberán permitir atender la conservación que corresponda. El titular puede consultar su cuenta de cobros ya conectada cuando el acceso al centro financiero esté disponible, sin activar nuevos cobros por esa excepción. Las devoluciones, cargos duplicados y reclamaciones se revisan según el contrato, la operación y los derechos aplicables. No se establece una exclusión general de reembolsos. La devolución de la suscripción y la devolución de una factura cobrada por tu negocio son operaciones diferentes. 7. Cobros, bancos y proveedores de pago La cuota de GFactu remunera el uso del software. Los cobros de tus facturas corresponden a tu negocio y requieren una cuenta comercial autorizada del proveedor compatible. Stripe y PayPal realizan identificación, aprobación de cuenta, procesamiento y gestión de saldos conforme a sus contratos, comisiones y posibles reservas o bloqueos. No basta con introducir un IBAN para activar una cuenta de cobros. Girma no se presenta como banco, custodio de fondos ni prestador autónomo de iniciación de pagos. Conectar una cuenta de cobros no autoriza transferencias generales a proveedores. El ingreso del saldo en tu cuenta bancaria depende del proveedor de pago y de la configuración y elegibilidad de tu cuenta; el software no garantiza plazos bancarios. La importación de extractos permite revisar movimientos y conciliarlos con facturas o compras. Confirmar una conciliación registra una operación existente; no inicia una transferencia ni verifica por sí solo la autenticidad del archivo. Revisa cuenta, fecha, importe y correspondencia antes de confirmar. Una marca manual de pagado sin movimiento comprobado no es prueba bancaria. Los estados pagado, pendiente y parcial se calculan a partir de los registros disponibles. Las notificaciones verificadas del proveedor pueden actualizar esos estados; las discrepancias requieren revisión. Anular un registro de pago conserva el historial y no devuelve fondos. Un reembolso o una disputa no genera automáticamente una factura rectificativa: debe revisarse el tratamiento fiscal de la operación. 8. Cuenta, permisos y obligaciones del usuario Mantén datos fiscales correctos, utiliza credenciales individuales y asigna únicamente los permisos necesarios. El titular administra usuarios y emisores; los datos de una empresa no deben trasladarse a otra por cambiar de pantalla. Notifica accesos indebidos y revoca cuentas o integraciones que dejen de estar autorizadas. Debes disponer de una base legítima para los datos de clientes, empleados y proveedores que introduzcas y cumplir tus obligaciones como emisor y responsable del tratamiento. No cargues categorías especiales de datos, información penal ni documentación innecesaria. No compartas claves privadas por email. Las conexiones y certificados fiscales exigen autorización y, cuando proceda, representación válida. 9. Documentos, conservación y salida Una factura emitida mantiene su trazabilidad y no se edita como un borrador; las correcciones se realizan mediante el procedimiento fiscal que corresponda. Conserva y revisa los documentos y las exportaciones disponibles. Un justificante de cobro no sustituye una factura con los requisitos legales. Antes de la baja puedes descargar los documentos disponibles y solicitar asistencia para devolver los datos. La duración de conservación de tus documentos depende de tus obligaciones e instrucciones como responsable y del encargo de tratamiento. El artículo 30 del Código de Comercio establece, cuando resulta aplicable, seis años desde el último asiento; la prescripción tributaria general de cuatro años de la LGT admite reglas de cómputo, interrupción y obligaciones especiales. No se promete eliminar indiscriminadamente documentación al cuarto año ni guardarla indefinidamente. Las credenciales, sesiones y autorizaciones de integraciones deben revocarse al concluir su necesidad. Una exportación de datos no incluye claves secretas de terceros. La devolución o supresión se coordina por el correo legal, distinguiendo datos tratados por tu cuenta de justificantes propios que Girma deba conservar. 10. Soporte, continuidad y responsabilidad El canal de soporte y reclamaciones es girmalab.es@gmail.com. Describe la incidencia y su referencia sin aportar secretos. Se investigarán fallos y discrepancias de pagos; no se promete atención permanente, disponibilidad absoluta ni un plazo de resolución que no se haya contratado. Girma responde de su software y de las obligaciones asumidas. El usuario revisa datos y autorizaciones, pero esto no exime al prestador de sus deberes técnicos, de seguridad o legales. No se excluyen responsabilidades indisponibles ni garantías legales de conformidad. El mantenimiento o una incidencia pueden afectar temporalmente al servicio; se procurará reducir su impacto y comunicar las actuaciones relevantes. 11. Derechos de consumidores y desistimiento Si actúas como consumidor, se aplican las obligaciones de información y confirmación de los artículos 97 y 98, el desistimiento de los artículos 102 a 108 y las garantías de servicios digitales del Real Decreto Legislativo 1/2007. Con carácter general, el plazo para desistir de una contratación a distancia es de catorce días naturales desde su celebración cuando corresponda. El acceso inmediato no constituye por sí mismo una renuncia. Cualquier excepción del artículo 103 o coste proporcional por prestación anticipada exige cumplir sus requisitos; no se impone mediante una casilla genérica de condiciones. Puedes comunicar el desistimiento al correo legal con nombre, servicio, fecha y referencia, mediante una declaración inequívoca. Modelo voluntario: «Comunico que desisto del contrato de GFactu celebrado el [fecha], a nombre de [nombre], referencia [referencia]. Fecha de comunicación: [fecha]». No es obligatorio utilizar este modelo. Cuando proceda el desistimiento, el reembolso se realizará en el plazo legal de catorce días desde la comunicación, por el mismo medio de pago salvo acuerdo admisible y sin gastos derivados del reembolso. Los derechos de conformidad, reclamación y resolución no se eliminan por una cláusula de ausencia de devoluciones. 12. Cambios, reclamaciones y jurisdicción Las versiones nuevas no reescriben la evidencia de las aceptaciones anteriores. Los cambios materiales de precio o condiciones se comunicarán antes de afectar a contratos vigentes, con los derechos de información, cancelación o resolución que correspondan. No se considera aceptación de un cambio perjudicial el mero acceso a una página. Se aplica el Derecho español y el de la Unión Europea. Las partes pueden buscar una solución por el canal de reclamaciones, sin impedir el recurso a autoridades o tribunales competentes ni imponer un fuero contrario a derechos imperativos. No se declara adhesión a arbitraje, certificación ni acreditación que no conste concedida. Anexo A. Encargo de tratamiento: objeto e instrucciones Para los datos que el negocio incorpora de sus clientes, proveedores y usuarios, el negocio es el responsable y Girma actúa como encargado de tratamiento, en los términos del artículo 28 del RGPD. El encargo comprende recepción, organización, almacenamiento, consulta, generación de documentos, exportación y supresión para prestar las funciones contratadas durante la relación y su devolución o cierre. Las categorías ordinarias son identificación y contacto, referencias profesionales y fiscales, líneas de factura, importes, vencimientos y referencias de cobros o gastos; los interesados son clientes, proveedores, empleados o representantes cuyos datos resulten necesarios. El responsable define la finalidad y proporciona instrucciones documentadas mediante el contrato y las operaciones autorizadas. El usuario debe incorporar únicamente los datos necesarios para la prestación del servicio y disponer de una base jurídica adecuada para su tratamiento. Girma tratará esos datos únicamente según instrucciones documentadas, también para transferencias internacionales, salvo obligación legal que deba comunicar cuando sea lícito. No los utilizará para publicidad propia, venta de bases de datos o entrenamiento de modelos. Si considera que una instrucción infringe la normativa de protección de datos, lo comunicará al responsable. Anexo B. Confidencialidad, seguridad y asistencia Girma limitará el acceso al personal autorizado, sujeto a confidencialidad, y aplicará medidas apropiadas al riesgo conforme al artículo 32 del RGPD. La aplicación incorpora controles por cuenta, empresa y rol, protección de sesiones, validación de operaciones y registros de acciones relevantes. La evaluación de copias, restauración y medidas de los proveedores forma parte de la preparación del servicio real; no se afirma una certificación de seguridad o una recuperación garantizada no comprobada. El encargado asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en solicitudes de derechos, seguridad, evaluaciones de impacto y consultas a autoridades. Si recibe directamente una solicitud relativa a los datos del negocio, la remitirá al responsable, sin resolverla en su nombre salvo instrucción o deber legal. Girma notificará al responsable las violaciones de seguridad de datos personales sin dilación indebida desde que tenga conocimiento, con información disponible sobre naturaleza, datos afectados, consecuencias y medidas, completándola cuando sea necesario. El plazo de setenta y dos horas del artículo 33 del RGPD corresponde a la notificación del responsable a la autoridad cuando proceda; no constituye un permiso para que el encargado retrase el aviso. Anexo C. Subencargados, transferencias y finalización La infraestructura prevista utiliza Vercel para alojamiento y Supabase para base de datos; el correo puede utilizar Resend o SMTP según el entorno. El inventario aplicable debe identificar entidad contratada, función, ubicación y garantías antes de incorporar datos reales. Stripe y PayPal pueden actuar como responsables independientes en sus actividades propias de pago e identificación y no se califican automáticamente como subencargados para todo tratamiento. El recurso a subencargados requiere autorización previa escrita, específica o general, conforme al artículo 28.2 del RGPD. Cuando sea general, se informará de las incorporaciones o sustituciones para permitir la oposición antes del cambio. Se impondrán obligaciones equivalentes al subencargado y Girma seguirá respondiendo frente al responsable de su cumplimiento. La aceptación de condiciones no constituye una autorización indeterminada a proveedores desconocidos. Las transferencias fuera del EEE requieren el mecanismo y garantías aplicables del capítulo V del RGPD, como decisión de adecuación o cláusulas contractuales tipo con evaluación y medidas complementarias cuando procedan. No se asegura residencia exclusiva en la UE sin comprobarla. El responsable podrá solicitar la información necesaria para acreditar estas obligaciones y realizar o encargar auditorías proporcionadas, respetando la seguridad y los datos de otros clientes. Al finalizar el servicio, Girma devolverá o suprimirá los datos y copias según la elección documentada del responsable, salvo conservación legal exigible. Se acordarán formato, alcance y ejecución, incluidos los ciclos de copias, sin usar una cancelación comercial como orden de destrucción fiscal. Los datos retenidos por obligación propia quedarán limitados a esa finalidad. Este anexo forma parte de las condiciones de prestación del servicio y no sustituye la configuración fiscal del negocio. Normativa y referencias oficiales Ley 34/2002 (LSSI): información, comunicaciones y contratación electrónica: https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 Ley 7/1998: condiciones generales de la contratación: https://www.boe.es/buscar/act.php?id=BOE-A-1998-8789 Real Decreto Legislativo 1/2007: consumidores y servicios digitales: https://www.boe.es/buscar/act.php?id=BOE-A-2007-20555 Real Decreto 1619/2012: obligaciones de facturación: https://www.boe.es/buscar/act.php?id=BOE-A-2012-14696 Ley 58/2003, General Tributaria: https://www.boe.es/buscar/act.php?id=BOE-A-2003-23186 Real Decreto 1007/2023: requisitos de sistemas de facturación: https://www.boe.es/buscar/act.php?id=BOE-A-2023-24840 Orden HAC/1177/2024: especificaciones técnicas de facturación: https://www.boe.es/buscar/act.php?id=BOE-A-2024-22138 Real Decreto 238/2026: factura electrónica entre empresarios y profesionales: https://www.boe.es/diario_boe/txt.php?id=BOE-A-2026-7295 Código de Comercio: conservación documental, artículo 30: https://www.boe.es/buscar/act.php?id=BOE-A-1885-6627#a30 Reglamento (UE) 2016/679 (RGPD): https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807 Ley Orgánica 3/2018 (LOPDGDD): https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 POLÍTICA DE PRIVACIDAD 1. Responsable y ámbitos del tratamiento Girma Piñeiro Gradin, NIF 35636331Q, domicilio Francisco Asorey, n.º 5, Pontevedra, España, es responsable de los datos de cuenta, contratación propia, consultas, soporte y seguridad del servicio. Contacto: girmalab.es@gmail.com. Esta política se facilita conforme a los artículos 12 a 14 del RGPD y a la Ley Orgánica 3/2018. Los datos de clientes y proveedores que introduce un negocio se tratan por cuenta de ese negocio, que decide su finalidad y actúa como responsable. Para ese ámbito se aplica el anexo de encargo de las condiciones. Si tus datos están en una factura de un cliente de GFactu, dirige la solicitud a ese negocio; Girma facilitará su traslado cuando pueda identificarlo sin revelar datos ajenos. 2. Datos y procedencia Recibimos los datos que facilitas al crear cuenta, contactar o contratar: nombre, email, empresa, NIF, datos de facturación y servicio elegido. Se registran la versión legal, fecha de aceptación, referencias de pago y suscripción y, cuando corresponde, un hash de la IP como evidencia; un hash vinculado a una persona no se considera automáticamente anónimo. Las operaciones del negocio pueden contener identificación y contacto de clientes o proveedores, documentos, importes, impuestos, vencimientos, referencias bancarias y de cobro, y actuaciones de usuarios autorizados. Los extractos importados deben limitarse a los movimientos necesarios. Los registros técnicos pueden incluir IP, fecha, ruta, errores y referencias de sesión para seguridad. Los proveedores de pago comunican estados y referencias de operaciones. El número completo y CVC de una tarjeta se introducen en el proveedor de pago, no en formularios propios de GFactu. No envíes datos de salud, ideología, información penal, contraseñas, claves API o certificados privados en consultas o campos de texto libre. La plataforma no está destinada a cuentas de menores. 3. Finalidades y bases jurídicas Atender una consulta comercial solicitada, crear y administrar la cuenta, prestar soporte y ejecutar la suscripción: medidas precontractuales o contrato, artículo 6.1.b del RGPD. Para personas de contacto de empresas se atiende a su relación profesional y, cuando corresponda, al interés legítimo y al artículo 19 de la LOPDGDD. Emitir y conservar justificantes de la facturación propia y atender requerimientos obligatorios: cumplimiento de obligaciones legales, artículo 6.1.c. Proteger accesos, prevenir fraude, investigar errores y defender reclamaciones: interés legítimo de seguridad y defensa, artículo 6.1.f, limitado a datos necesarios y sujeto al derecho de oposición en los términos legales. Las comunicaciones comerciales deben cumplir el artículo 21 de la LSSI y la base aplicable del RGPD. No se utiliza la aceptación del contrato o la lectura de privacidad como consentimiento publicitario. Cuando se solicite consentimiento, será específico, revocable y separado. Las funciones de facturación sobre datos del negocio se ejecutan conforme a sus instrucciones como responsable. 4. Datos necesarios y decisiones automatizadas Los campos obligatorios permiten identificar cuenta o emisor y prestar la función solicitada. Si faltan esos datos, puede no ser posible crear la cuenta, emitir el documento o tramitar la contratación; los campos opcionales deben indicarse como tales. Corregir un dato de cuenta no sustituye el procedimiento legal de rectificación de una factura emitida. El sistema aplica reglas de permisos, límites y estado de suscripción y sugiere correspondencias de conciliación que requieren revisión. No se describe la navegación como un sistema de decisiones exclusivamente automatizadas con efectos jurídicos del artículo 22 del RGPD ni se elaboran perfiles publicitarios propios mediante esas reglas. Los bancos y proveedores pueden aplicar sus controles de riesgo conforme a su propia información. 5. Destinatarios y proveedores Los usuarios autorizados de un negocio acceden según sus permisos. Pueden intervenir Vercel (alojamiento), Supabase (base de datos y autenticación administrativa del portal), Stripe y PayPal (pagos cuando se utilicen), y Resend o el servicio SMTP configurado (correo). El proveedor concreto y su papel dependen del servicio y entorno; no todos actúan como encargados en todas sus actividades. La comunicación de datos a bancos o proveedores de pago se limita a la operación y a sus obligaciones. AEAT u otras autoridades solo reciben los datos cuando exista función habilitada, representación cuando proceda y base jurídica. No se venden datos de clientes ni se comunica la cartera comercial para campañas propias. Antes de abrir a datos reales se debe completar el inventario contractual de proveedores y subencargados del encargo. 6. Transferencias internacionales El uso de proveedores globales puede implicar tratamiento fuera del Espacio Económico Europeo. No se afirma que todos los datos permanezcan en España o en la UE. Debe verificarse la entidad destinataria, ubicación efectiva y mecanismo del capítulo V del RGPD antes del tratamiento real. Cuando corresponda se utilizará una decisión de adecuación aplicable al destinatario o garantías del artículo 46, incluidas cláusulas contractuales tipo y medidas complementarias según la evaluación. Puedes solicitar información sobre las garantías aplicables al correo de privacidad, con las limitaciones necesarias para proteger secretos y datos de terceros. La política no acredita por sí sola que se haya firmado o validado un contrato con cada proveedor. 7. Conservación y cierre de cuenta Los datos de cuenta y operación se mantienen mientras son necesarios para la relación. Las consultas sin contrato se conservarán mientras se tramiten y durante el periodo necesario para atender responsabilidades, limitado a su finalidad. La cancelación del plan no es una orden automática de borrado de documentos del negocio; su devolución o supresión se coordina según el encargo y las instrucciones del responsable. Los justificantes propios de Girma se conservan por obligaciones legales: cuando sea aplicable, seis años conforme al artículo 30 del Código de Comercio, y los plazos tributarios de la Ley General Tributaria, incluida la prescripción general de cuatro años con sus reglas de cómputo e interrupción. Litigios, comprobaciones y otras normas pueden exigir un plazo adicional. No se aplica el mismo plazo a todos los datos por defecto. Tras la supresión o rectificación se aplicará el bloqueo exigible del artículo 32 de la LOPDGDD, restringiendo el uso a responsabilidades y autoridades competentes. Los plazos operativos de logs y copias deben documentarse antes del uso real; no se promete borrado inmediato de todas las copias ni conservación perpetua. Los tokens y sesiones tienen su propio vencimiento y mecanismos de revocación. 8. Derechos y forma de ejercerlos Puedes solicitar acceso, rectificación, supresión, limitación, oposición y portabilidad en los supuestos de los artículos 15 a 21 del RGPD, y retirar el consentimiento sin afectar al tratamiento previo lícito. Escribe a girmalab.es@gmail.com indicando el derecho y los datos necesarios para localizar la solicitud. No se exige adjuntar un DNI de forma automática: solo se pedirá comprobación proporcionada si existe duda razonable de identidad. La respuesta se facilitará sin dilación indebida y, con carácter general, en un mes. Si la complejidad o el número de solicitudes justifican prórroga de hasta otros dos meses, se informará dentro del primer mes y se explicará el motivo, conforme al artículo 12.3. Las solicitudes son gratuitas salvo las excepciones legales para solicitudes manifiestamente infundadas o excesivas. Puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) y ejercer las acciones que correspondan. La supresión no elimina obligaciones legales de conservación. En tratamientos realizados por cuenta de tu negocio, Girma lo asistirá y trasladará la solicitud al responsable competente. 9. Seguridad e incidencias Se aplican medidas de acceso por cuenta, empresa y rol, protección de sesiones y controles de operaciones adecuados al riesgo. La confidencialidad exige también que protejas el dispositivo y evites compartir credenciales. No existe una garantía de riesgo cero; comunica cualquier sospecha al correo de contacto, sin secretos adjuntos. Las violaciones de datos se evaluarán y comunicarán al responsable, autoridad y afectados cuando corresponda, conforme a los artículos 33 y 34 del RGPD. Los cambios relevantes de esta política se publicarán con versión y, cuando sea necesario, se comunicarán a los afectados; no se alteran retrospectivamente las evidencias de versiones ya aceptadas. Normativa y referencias oficiales Reglamento (UE) 2016/679 (RGPD): https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807 Ley Orgánica 3/2018 (LOPDGDD): https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 Ley 34/2002 (LSSI): información, comunicaciones y contratación electrónica: https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 Código de Comercio: conservación documental, artículo 30: https://www.boe.es/buscar/act.php?id=BOE-A-1885-6627#a30 Ley 58/2003, General Tributaria: https://www.boe.es/buscar/act.php?id=BOE-A-2003-23186 AEPD: ejercicio de derechos y reclamaciones: https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos COOKIES Y ALMACENAMIENTO TÉCNICO 1. Ámbito y regla de consentimiento Esta política comprende cookies y tecnologías equivalentes como localStorage y sessionStorage. El artículo 22.2 de la LSSI exige información y, salvo sus excepciones, consentimiento para almacenar o acceder a información del dispositivo. Las tecnologías estrictamente necesarias para el servicio solicitado no requieren ese consentimiento; su tratamiento de datos sigue sujeto al RGPD cuando proceda. El código propio revisado no incorpora publicidad comportamental ni un sistema propio de analítica opcional. Esto no certifica el inventario de recursos externos del navegador. Si se incorporan tecnologías no necesarias, deberán permanecer bloqueadas hasta la elección válida del usuario, con aceptación y rechazo igual de accesibles y retirada sencilla. Aceptar condiciones o seguir navegando no sustituye esa elección. 2. Sesión de GFactu GFactu utiliza la cookie propia gfactu_refresh para renovar y revocar la sesión autenticada. Es HttpOnly: el JavaScript de la aplicación no lee su contenido. La configuración de referencia establece una duración máxima de siete días por emisión de la cookie; al renovar la sesión se rota el token. En producción utiliza Secure y la configuración SameSite del servicio. Cerrar sesión revoca la sesión correspondiente y elimina la cookie. El token de acceso se gestiona en memoria; esta política no afirma que se almacene en localStorage. Bloquear la cookie de sesión puede impedir la renovación del acceso. Una cookie técnica no autoriza a reutilizar su identificador con fines publicitarios. 3. Preferencias locales e inventario gfactu_company_id conserva el contexto de emisor; gfactu_preferred_series: conserva la serie elegida; gfactu:sidebar-pinned recuerda la preferencia del menú; gfactu:print-format: recuerda el formato de impresión. Son preferencias del servicio en localStorage, sin fecha de expiración automática del navegador, y permanecen hasta su retirada por la aplicación o el usuario. No otorgan permisos por sí mismas ni contienen el número completo de una tarjeta. Los datos de un formulario mantenidos solo en memoria no se presentan como cookies persistentes. El inventario debe actualizarse si cambian las claves o funciones; no debe considerarse necesario un almacenamiento que se reutilice para una finalidad distinta. 4. Portal y proveedores externos La administración del portal de suscripciones utiliza la sesión de Supabase Auth: sus nombres y vencimientos concretos dependen del proyecto y la configuración de autenticación. No se confunde esta sesión administrativa con la cookie propia de GFactu ni se afirma que visitar la web pública requiera iniciar sesión administrativa. Checkout puede abrir el sitio de Stripe; conectar o administrar cobros puede cargar componentes de Stripe en la función solicitada. PayPal y los bancos pueden abrir sus propios flujos. Esos proveedores pueden utilizar tecnologías de sesión, seguridad, autenticación y prevención de fraude e informan de sus prácticas. Sus funciones no deben activarse automáticamente por visitar una página legal. Sus cookies y almacenamiento efectivos requieren revisión en el flujo correspondiente antes de la apertura comercial. 5. Control y cambios Puedes consultar y retirar el almacenamiento desde las opciones de privacidad o datos del sitio de tu navegador. Al borrar cookies puedes perder la sesión; al borrar preferencias tendrás que seleccionar de nuevo emisor, serie o impresión. Retirar almacenamiento no cancela una suscripción ni borra documentos del servidor. En un dispositivo compartido, cierra la sesión y revisa el almacenamiento antes de dejarlo. Si se habilitan categorías opcionales, la plataforma deberá ofrecer un control accesible para cambiar o retirar la elección con la misma facilidad que concederla. No se añade un banner de aceptación ficticia a tecnologías aún no inventariadas. Contacto sobre estas tecnologías: girmalab.es@gmail.com. La versión se actualizará cuando cambien finalidades, proveedores o configuración relevante. Normativa y referencias oficiales Ley 34/2002 (LSSI): información, comunicaciones y contratación electrónica: https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 Reglamento (UE) 2016/679 (RGPD): https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807 AEPD: Guía sobre el uso de las cookies: https://www.aepd.es/guias/guia-cookies.pdf Stripe: información sobre cookies: https://stripe.com/es/legal/cookies-policy PayPal: declaración de privacidad: https://www.paypal.com/es/legalhub/paypal/privacy-full