Información legal · 2026-10-11

Política de privacidad

La web presenta los servicios de Girma. Las condiciones de GFactu describen su entorno de pruebas y no habilitan facturación real ni cobros en producción. Los proyectos de otros servicios requieren su propuesta y condiciones específicas.

Descargar documentación legal · 2026-10-11

1. Responsable y ámbitos del tratamiento

Girma Piñeiro Gradin, NIF 35636331Q, domicilio Francisco Asorey, n.º 5, Pontevedra, España, es responsable de los datos de cuenta, contratación propia, consultas, soporte y seguridad del servicio. Contacto: girmalab.es@gmail.com. Esta política se facilita conforme a los artículos 12 a 14 del RGPD y a la Ley Orgánica 3/2018.

Los datos de clientes y proveedores que introduce un negocio se tratan por cuenta de ese negocio, que decide su finalidad y actúa como responsable. Para ese ámbito se aplica el anexo de encargo de las condiciones. Si tus datos están en una factura de un cliente de GFactu, dirige la solicitud a ese negocio; Girma facilitará su traslado cuando pueda identificarlo sin revelar datos ajenos.

2. Datos y procedencia

Recibimos los datos que facilitas al crear cuenta, contactar o contratar: nombre, email, empresa, NIF, datos de facturación y servicio elegido. Se registran la versión legal, fecha de aceptación, referencias de pago y suscripción y, cuando corresponde, un hash de la IP como evidencia; un hash vinculado a una persona no se considera automáticamente anónimo.

Las operaciones del negocio pueden contener identificación y contacto de clientes o proveedores, documentos, importes, impuestos, vencimientos, referencias bancarias y de cobro, y actuaciones de usuarios autorizados. Los extractos importados deben limitarse a los movimientos necesarios. Los registros técnicos pueden incluir IP, fecha, ruta, errores y referencias de sesión para seguridad. Los proveedores de pago comunican estados y referencias de operaciones.

El número completo y CVC de una tarjeta se introducen en el proveedor de pago, no en formularios propios de GFactu. No envíes datos de salud, ideología, información penal, contraseñas, claves API o certificados privados en consultas o campos de texto libre. La plataforma no está destinada a cuentas de menores.

3. Finalidades y bases jurídicas

Atender una consulta comercial solicitada, crear y administrar la cuenta, prestar soporte y ejecutar la suscripción: medidas precontractuales o contrato, artículo 6.1.b del RGPD. Para personas de contacto de empresas se atiende a su relación profesional y, cuando corresponda, al interés legítimo y al artículo 19 de la LOPDGDD.

Emitir y conservar justificantes de la facturación propia y atender requerimientos obligatorios: cumplimiento de obligaciones legales, artículo 6.1.c. Proteger accesos, prevenir fraude, investigar errores y defender reclamaciones: interés legítimo de seguridad y defensa, artículo 6.1.f, limitado a datos necesarios y sujeto al derecho de oposición en los términos legales.

Las comunicaciones comerciales deben cumplir el artículo 21 de la LSSI y la base aplicable del RGPD. No se utiliza la aceptación del contrato o la lectura de privacidad como consentimiento publicitario. Cuando se solicite consentimiento, será específico, revocable y separado. Las funciones de facturación sobre datos del negocio se ejecutan conforme a sus instrucciones como responsable.

4. Datos necesarios y decisiones automatizadas

Los campos obligatorios permiten identificar cuenta o emisor y prestar la función solicitada. Si faltan esos datos, puede no ser posible crear la cuenta, emitir el documento o tramitar la contratación; los campos opcionales deben indicarse como tales. Corregir un dato de cuenta no sustituye el procedimiento legal de rectificación de una factura emitida.

El sistema aplica reglas de permisos, límites y estado de suscripción y sugiere correspondencias de conciliación que requieren revisión. No se describe la navegación como un sistema de decisiones exclusivamente automatizadas con efectos jurídicos del artículo 22 del RGPD ni se elaboran perfiles publicitarios propios mediante esas reglas. Los bancos y proveedores pueden aplicar sus controles de riesgo conforme a su propia información.

5. Destinatarios y proveedores

Los usuarios autorizados de un negocio acceden según sus permisos. Pueden intervenir Vercel (alojamiento), Supabase (base de datos y autenticación administrativa del portal), Stripe y PayPal (pagos cuando se utilicen), y Resend o el servicio SMTP configurado (correo). El proveedor concreto y su papel dependen del servicio y entorno; no todos actúan como encargados en todas sus actividades.

La comunicación de datos a bancos o proveedores de pago se limita a la operación y a sus obligaciones. AEAT u otras autoridades solo reciben los datos cuando exista función habilitada, representación cuando proceda y base jurídica. No se venden datos de clientes ni se comunica la cartera comercial para campañas propias. Antes de abrir a datos reales se debe completar el inventario contractual de proveedores y subencargados del encargo.

6. Transferencias internacionales

El uso de proveedores globales puede implicar tratamiento fuera del Espacio Económico Europeo. No se afirma que todos los datos permanezcan en España o en la UE. Debe verificarse la entidad destinataria, ubicación efectiva y mecanismo del capítulo V del RGPD antes del tratamiento real.

Cuando corresponda se utilizará una decisión de adecuación aplicable al destinatario o garantías del artículo 46, incluidas cláusulas contractuales tipo y medidas complementarias según la evaluación. Puedes solicitar información sobre las garantías aplicables al correo de privacidad, con las limitaciones necesarias para proteger secretos y datos de terceros. La política no acredita por sí sola que se haya firmado o validado un contrato con cada proveedor.

7. Conservación y cierre de cuenta

Los datos de cuenta y operación se mantienen mientras son necesarios para la relación. Las consultas sin contrato se conservarán mientras se tramiten y durante el periodo necesario para atender responsabilidades, limitado a su finalidad. La cancelación del plan no es una orden automática de borrado de documentos del negocio; su devolución o supresión se coordina según el encargo y las instrucciones del responsable.

Los justificantes propios de Girma se conservan por obligaciones legales: cuando sea aplicable, seis años conforme al artículo 30 del Código de Comercio, y los plazos tributarios de la Ley General Tributaria, incluida la prescripción general de cuatro años con sus reglas de cómputo e interrupción. Litigios, comprobaciones y otras normas pueden exigir un plazo adicional. No se aplica el mismo plazo a todos los datos por defecto.

Tras la supresión o rectificación se aplicará el bloqueo exigible del artículo 32 de la LOPDGDD, restringiendo el uso a responsabilidades y autoridades competentes. Los plazos operativos de logs y copias deben documentarse antes del uso real; no se promete borrado inmediato de todas las copias ni conservación perpetua. Los tokens y sesiones tienen su propio vencimiento y mecanismos de revocación.

8. Derechos y forma de ejercerlos

Puedes solicitar acceso, rectificación, supresión, limitación, oposición y portabilidad en los supuestos de los artículos 15 a 21 del RGPD, y retirar el consentimiento sin afectar al tratamiento previo lícito. Escribe a girmalab.es@gmail.com indicando el derecho y los datos necesarios para localizar la solicitud. No se exige adjuntar un DNI de forma automática: solo se pedirá comprobación proporcionada si existe duda razonable de identidad.

La respuesta se facilitará sin dilación indebida y, con carácter general, en un mes. Si la complejidad o el número de solicitudes justifican prórroga de hasta otros dos meses, se informará dentro del primer mes y se explicará el motivo, conforme al artículo 12.3. Las solicitudes son gratuitas salvo las excepciones legales para solicitudes manifiestamente infundadas o excesivas.

Puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) y ejercer las acciones que correspondan. La supresión no elimina obligaciones legales de conservación. En tratamientos realizados por cuenta de tu negocio, Girma lo asistirá y trasladará la solicitud al responsable competente.

9. Seguridad e incidencias

Se aplican medidas de acceso por cuenta, empresa y rol, protección de sesiones y controles de operaciones adecuados al riesgo. La confidencialidad exige también que protejas el dispositivo y evites compartir credenciales. No existe una garantía de riesgo cero; comunica cualquier sospecha al correo de contacto, sin secretos adjuntos.

Las violaciones de datos se evaluarán y comunicarán al responsable, autoridad y afectados cuando corresponda, conforme a los artículos 33 y 34 del RGPD. Los cambios relevantes de esta política se publicarán con versión y, cuando sea necesario, se comunicarán a los afectados; no se alteran retrospectivamente las evidencias de versiones ya aceptadas.