Política de privacidad

1. Quiénes somos y cómo contactarnos

DocuSense es responsable del tratamiento de los datos de su cuenta. Una persona responsable de la privacidad vela por el cumplimiento de esta política. Para cualquier pregunta o solicitud, o para notificar un incidente:

2. Información que recopilamos

• Cuenta: nombre, apellido, correo electrónico e idioma preferido. Su contraseña nunca se guarda en claro: solo se conserva un hash bcrypt.
• Verificación en dos pasos: el secreto de la aplicación de autenticación (cifrado AES-256-GCM), la clave pública de sus llaves de acceso (passkeys) y códigos de respaldo con hash. No recibimos datos biométricos: la huella o el rostro permanecen en su dispositivo.
• Facturación: su plan, su periodo de facturación y el identificador de cliente asignado por nuestro proveedor de pagos. Los datos de la tarjeta se introducen directamente en este proveedor certificado PCI DSS y nunca pasan por nuestros servidores.
• Documentos: el archivo que envía, los datos extraídos (importes, nombres y números del documento) y el nombre original del archivo, con las secuencias largas de dígitos (números de identificación y de cuenta) enmascaradas.
• Búsqueda inteligente (si la activa): fragmentos de los datos extraídos con los identificadores enmascarados y sus representaciones numéricas (vectores) usadas para buscar.
• Registro de seguridad: dirección IP, navegador, fecha y tipo de acciones sensibles (inicio de sesión, cambio de contraseña, exportación, supresión, archivo rechazado). Nunca contiene el contenido de sus documentos.
• Registro técnico de solicitudes: para cada llamada a nuestra API, la fecha, la dirección llamada (sin sus parámetros), el resultado, la duración, la dirección IP, la ubicación aproximada (país, región, ciudad) y el operador de red deducidos de la dirección IP en nuestros propios servidores, el tipo de dispositivo, el navegador, el sistema y el idioma que indica su navegador, y su cuenta si ha iniciado sesión. Nunca contiene el contenido de las solicitudes, sus documentos, contraseñas ni tokens. Solo se usa para la seguridad, la detección de abusos y el diagnóstico de fallos; no se vende ni se usa para publicidad o elaboración de perfiles.

3. Para qué la usamos y con qué base

• Prestar el servicio (extraer, mostrar, exportar y enviar sus datos por API o webhook): ejecución de nuestro contrato con usted.
• Proteger su cuenta y la plataforma (autenticación, detección de abusos, análisis antivirus, registro): nuestro interés legítimo en proteger el servicio y a sus usuarios, y nuestras obligaciones legales.
• Facturar su suscripción y aplicar las cuotas: ejecución del contrato y obligaciones contables y fiscales.
• Enviar los correos necesarios (verificación, restablecimiento, alertas de seguridad): ejecución del contrato.
• Enviar novedades del producto e indexar sus documentos para la búsqueda inteligente: su consentimiento, que puede retirar en cualquier momento.

No vendemos su información, no la «compartimos» con fines de publicidad dirigida y no usamos sus documentos para entrenar modelos de inteligencia artificial.

4. Tratamiento por inteligencia artificial

Para extraer los datos, el contenido de su documento se envía a un proveedor de modelos de IA a través de su API profesional. El resultado es una propuesta automatizada: puede contener errores, y los casos dudosos se envían a una cola de revisión humana. DocuSense no toma ninguna decisión con efectos jurídicos sobre usted basada únicamente en un tratamiento automatizado.

El asistente de la aplicación responde preguntas sobre el uso de DocuSense. Sus preguntas se envían al proveedor de IA tras enmascarar los identificadores; el asistente no tiene acceso a sus documentos y las conversaciones no se conservan: solo se registra el número de preguntas para aplicar los límites de su plan.

5. Comunicación a proveedores

Solo comunicamos su información a los proveedores necesarios para el servicio (inteligencia artificial, pagos, envío de correos, alojamiento), obligados por contrato a la confidencialidad y la seguridad, y autorizados a usarla únicamente para prestarnos sus servicios. También podemos comunicarla cuando la ley lo exija o en el marco de una reorganización de la empresa, con las mismas protecciones. La lista de nuestros proveedores está disponible a petición.

Si usted conecta un programa contable o una herramienta de automatización, DocuSense le envía, según sus instrucciones, los datos de los documentos correspondientes. Esas herramientas se rigen por sus propias condiciones; puede desconectarlas en cualquier momento.

6. Transferencias internacionales

Nuestros proveedores pueden tratar su información en Canadá, Estados Unidos u otros países. Cuando su información sale de su país o región, la protegemos con garantías reconocidas: decisiones de adecuación, cláusulas contractuales tipo de la Comisión Europea o sus equivalentes británico y suizo, y una evaluación previa de impacto en la privacidad cuando la ley lo exige.

7. Plazo de conservación

• Archivo enviado: se elimina al terminar el procesamiento. Si espera en la cola, se cifra y se elimina como máximo en 1 hora.
• Datos extraídos de documentos fiscales: 7 años como máximo. Otros documentos: 3 años como máximo. Puede eliminarlos antes, en cualquier momento.
• Registro de seguridad: 5 años.
• Registro técnico de solicitudes: 90 días y luego se elimina automáticamente.
• Sesiones: caducan como máximo a los 30 días.
• Cuenta eliminada: borrado definitivo 30 días después de su solicitud. Los datos de documentos fiscales aún dentro de su plazo de conservación se desvinculan de su identidad (anonimizados, nombre de archivo borrado) hasta el final de ese plazo.

8. Seguridad

• Conexiones cifradas (TLS) y cifrado AES-256-GCM de los secretos y de los archivos en espera.
• Contraseñas con hash bcrypt, verificación en dos pasos obligatoria tras un periodo de gracia y llaves de acceso resistentes al phishing.
• Control de los archivos enviados: tipo real, macros, contenido activo de los PDF y análisis antivirus.
• Acceso mínimo necesario, aislamiento de los datos de cada cliente y registro de las acciones sensibles.

Si un incidente de seguridad afecta a su información, avisamos a las autoridades competentes y a las personas afectadas en los plazos de la ley aplicable (por ejemplo, 72 horas a la autoridad de control en Europa), y llevamos un registro de incidentes.

9. Sus derechos

Según su lugar de residencia, puede en particular:

• acceder a su información y obtener una copia en un formato estructurado y portable: Ajustes → Privacidad → Exportar mis datos;
• rectificar información inexacta: Ajustes → Perfil, o escribiéndonos;
• eliminar sus documentos, el índice de búsqueda o su cuenta: Ajustes → Privacidad;
• retirar un consentimiento (correos de novedades, búsqueda inteligente) en cualquier momento desde sus ajustes;
• oponerse a un tratamiento basado en nuestro interés legítimo o solicitar su limitación.

Para cualquier otra solicitud, escríbanos. Podemos verificar su identidad antes de responder, y respondemos en un plazo de 30 días o en el que fije su ley local. Ejercer sus derechos es gratuito y nunca da lugar a un trato desfavorable.

10. Cookies y almacenamiento local

DocuSense solo usa cookies estrictamente necesarias, sin publicidad ni medición de audiencia:

• Cookie de sesión (httpOnly, segura): mantiene su sesión iniciada de forma segura.
• ds_locale: recuerda el idioma elegido.
• Almacenamiento del navegador: preferencias de visualización (menú plegado, mensajes ya cerrados). Permanece en su dispositivo.

11. Documentos con información de otras personas

Cuando envía documentos sobre otras personas (por ejemplo, las nóminas de sus empleados o los extractos de sus clientes), usted es responsable de esa información y debe contar con una base legal para confiárnosla. DocuSense actúa entonces como encargado del tratamiento o proveedor de servicios: la tratamos solo según sus instrucciones, para prestarle el servicio. Las empresas pueden solicitar un acuerdo de tratamiento de datos (DPA).

12. Menores

El servicio está dirigido a empresas y adultos. No está destinado a menores de 16 años, o de la edad de consentimiento digital de su país si es mayor, y no recopilamos conscientemente su información.

13. Cambios

Si modificamos esta política de forma importante, se lo comunicaremos por correo o en la aplicación antes de su entrada en vigor. La fecha de actualización figura al principio de esta página.

14. Información específica por región

Unión Europea, Reino Unido y Suiza

Se aplican el RGPD, el RGPD del Reino Unido y la ley federal suiza de protección de datos. DocuSense es responsable del tratamiento de los datos de su cuenta y encargado del tratamiento de los documentos que nos confía. Las bases jurídicas figuran en la sección 3. Tiene derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad, y puede presentar una reclamación ante la autoridad de protección de datos de su país. Las transferencias fuera de estas regiones se protegen como se describe en la sección 6.

Canadá y Quebec

Se aplican la ley federal canadiense PIPEDA y, en Quebec, la Ley 25. La persona responsable de la protección de la información personal figura en la sección 1. Antes de comunicar información fuera de Quebec, evaluamos los factores relativos a la privacidad (artículo 17 de la Ley 25). Puede presentar una queja ante la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) o la Oficina del Comisionado de Privacidad de Canadá (priv.gc.ca).

Estados Unidos

Los residentes de California y de otros estados con ley de privacidad pueden solicitar conocer, corregir y eliminar su información personal, y recurrir una negativa escribiéndonos. Categorías recopiladas en los últimos 12 meses: identificadores (nombre, correo, dirección IP), información comercial (plan, facturación), información contenida en los documentos que envía (que puede incluir información financiera) y actividad de seguridad. No vendemos ni «compartimos» información personal, y solo usamos la información sensible para prestar el servicio. Puede designar a un agente autorizado para presentar una solicitud.

Otros países

Aplicamos esta política a todos nuestros usuarios y cumplimos las leyes de protección de datos de su país cuando son aplicables. Si le otorgan derechos adicionales, escríbanos para ejercerlos.